27、密码学中的哈希、签名与算法设计解析-优快云博客

密码学中的哈希、签名与算法设计解析

在当今数字化时代，信息的安全传输与认证至关重要。混合系统中，公钥加密方案用于分发密钥，之后在快速的传统算法中使用该密钥。下面我们将深入探讨信息认证、对称认证、数字签名以及传统密码算法的分析与设计。

信息认证概述

信息认证主要包含两个方面：
- 数据来源认证 ：确定信息的来源方。
- 数据完整性 ：判断信息是否被修改。

此外，信息的及时性、消息顺序和信息目的地等方面也很重要。可以通过在消息中使用序列号和时间戳，以及在数据中包含地址信息来处理这些方面。在数据通信中，由于信息与其载体之间的物理联系丢失，信息更容易被伪造，手写、签名或语音等隐式认证方式不再适用。

过去人们普遍认为，使用传统算法对信息进行加密足以保护其真实性。然而，这种观点是错误的。例如，在ECB模式下使用分组密码，攻击者可以重新排列块；对于加法流密码，对手可以修改明文位。“有意义”的信息隐含着信息包含冗余，以便区分真实信息和任意明文，但有些应用中明文可能几乎没有或没有冗余。公钥密码学也明确了保密性和认证之间的区别，知道公钥的人都可以发送机密消息，但接收方无法确定发送者。

信息认证可分为两个不同级别：
- 传统消息认证 ：适用于相互信任的双方，共同抵御外部恶意攻击。双方地位平等，共享相同的秘密密钥。但如果双方发生纠纷，第三方无法解决。
- 数字签名 ：当双方相互不信任时（如商业关系），需要电子签名，即数字签名。

对称认证

对称认证的基本思想与加密类似，用短密钥的保密性替代大量信息的保密性。在认证中，用保护信息的唯一“指纹”（哈希结果）来替代信息的真实性。这个过程包括两个部分：首先使用哈希函数将信息压缩为固定长度的字符串，然后对哈希结果进行保护。

操作步骤

哈希函数压缩 ：使用（密码学）哈希函数将信息压缩为固定长度的字符串。
哈希结果保护 ：
- MDC（操作检测码） ：如果有额外的认证通道，可以使用无秘密参数的哈希函数。MDC需满足以下条件：
  - 难以找到具有给定哈希结果的输入（原像抗性）。
  - 难以找到与给定输入具有相同哈希结果的第二个输入（第二原像抗性）。
  - 难以找到两个不同输入具有相同哈希结果（抗碰撞性）。
    满足这三个条件的MDC称为抗碰撞哈希函数。例如RIPEMD - 160和SHA - 1已经被标准化。并非所有应用都需要抗碰撞哈希函数，有时（第二）原像抗性就足够了。
- MAC（消息认证码） ：需要通信双方交换秘密密钥。MAC是消息每一位和密钥每一位的复杂函数，从观察多个文本/MAC对推导密钥或在不知道密钥的情况下计算或预测MAC是不可行的。

以下是MAC的使用流程：

graph LR
    A[Alice] -->|计算MACK(P)并附加到消息P| B[消息P + MACK(P)]
    B -->|发送| C[Bob]
    C -->|重新计算MACK(P)| D{验证是否匹配}
    D -->|是| E[接受消息为真实]
    D -->|否| F[拒绝消息]

对于安全的MAC，攻击者最好的做法是猜测MAC，Bob能以高概率检测到修改。通常n位MAC攻击者成功的概率为1/2ⁿ，n一般在32到64之间。计算MAC的一种流行方法是使用CBC模式的分组密码加密消息，并将最后一块的部分位作为MAC，但这种方法的安全性不如以前认为的那样高。此外，存在类似于Vernam方案的无条件安全的MAC算法，例如基于Reed - Solomon码的算法。

数字签名

数字签名是文档上手写签名的电子等价物，它将密钥与文档绑定，第三方可以验证签名的有效性。与MAC不同，MAC双方都能计算，第三方无法区分，而数字签名依赖于公钥密码学。

操作步骤

签名过程 ：
- 消息恢复签名 ：Alice为信息P添加冗余得到~P，用她的秘密密钥解密~P。Bob用Alice的公钥加密签名，并验证信息~P是否具有规定的冗余。这种签名方式对公钥系统有额外要求：PA(SA(P)) = P。例如RSA公钥加密方案可用于构建具有消息恢复功能的数字签名。
- 带附录的数字签名 ：当Alice要签署长消息时，她不直接签署信息，而是签署信息的MDC哈希结果。签名附加到信息后，Bob重新计算消息的MDC并使用Alice的公钥加密签名，若结果相同则接受签名。用于此目的的MDC需要抗碰撞性，否则Alice可能会对欺诈性消息负责。

除了基于公钥加密方案的数字签名，还有其他带附录的签名方案，如DSA，可以定义“签名操作”和“验证操作”，而不涉及“解密”和“加密”操作。

传统密码算法的分析与设计

传统密码算法的设计和分析有三种主要方法，下面我们将详细介绍这些方法以及密码算法的生命周期。

三种密码学方法

现代密码学致力于开发可证明安全且高效的密码算法，但往往难以实现。因此，研究密码算法通常采用以下三种方法：
|方法|特点|优点|缺点|
| ---- | ---- | ---- | ---- |
|信息理论方法|追求无条件安全的算法，如Vernam方案和基于Reed - Solomon码的MAC|计算效率高|密钥材料成本可能过高|
|复杂性理论方法|将方案的安全性降低到其他已知难题或密码原语的安全性，从抽象计算模型出发，假设对手计算能力有限|强制精确定义，证明可验证|许多密码应用的构建块无法简化，结果方案可能效率不高或安全降低不紧密|
|系统基方法|基于已知最佳破解算法和实际计算能力估计安全，通过试错形成密码分析原则，设计具有可证明属性的构建块并组装成密码原语|产生实际解决方案|依赖已知算法和能力估计|

密码算法的生命周期

密码算法的生命周期通常包括以下阶段：

graph LR
    A[新想法] --> B[评估算法安全性]
    B -->|无条件安全| C[编写证明并确认模型]
    B -->|计算安全| D[编写安全证明并检查漏洞]
    B -->|系统基方法| E[证明部分结果并说服他人]
    C --> F[发布算法]
    D --> F
    E --> F
    F --> G[独立评估]
    G -->|发现小错误| H[修复方案]
    G -->|安全破坏| I[放弃想法]
    H --> J[集成到产品]
    I --> K[结束]
    J --> L[标准化]
    L --> M[市场应用]
    M -->|安全降级| N[退出服务]

评估阶段 ：密码学家首先评估算法的安全性。对于无条件安全的方案，需要编写证明并确保模型正确；对于计算安全的方案，编写安全证明并检查漏洞，评估假设的现实性；对于系统基方法，证明部分结果并说服他人。同时，要为安全参数给出下限，并指明对应安全级别的参数值。
发布阶段 ：将算法在会议、期刊或互联网请求评论（RFC）中发布，期望得到独立评估。其他研究人员可能会发现各种漏洞，从证明中的小错误到完全的安全破坏。根据结果，可能会对方案进行小修复或放弃该想法。评估密码算法通常是一项耗时的任务，例如DES的设计和评估就花费了大量人力和时间。
市场应用阶段 ：少数算法能够通过评估阶段，理想情况下该阶段应持续数年。存活下来的算法可以集成到产品中并推向市场，有时会被NIST、IEEE、IETF或ISO等组织标准化。然而，即使没有发现新的安全漏洞，密码算法的安全性也会随时间下降，如果算法不是模块化的，最终将不得不停止使用。

密码学中的哈希、签名与算法设计解析

信息认证与攻击示例

为了更直观地理解信息认证面临的挑战，我们来看一些具体的攻击示例。以ECB模式下的分组密码为例，假设我们有一个由多个数据块组成的消息，攻击者可以通过重新排列这些数据块来改变消息的含义，而接收方可能仍然能够解密出看似正常的明文，但实际上信息已经被篡改。

再看加法流密码，如Vernam方案。假设攻击者截获了一段密文，由于加法流密码的特性，攻击者可以随意修改明文中的某些位。例如，将明文中的一个“0”改为“1”，而接收方在解密时无法察觉这种修改。

这些攻击示例表明，仅仅依靠传统的加密方法来保证信息的真实性是不够的，我们需要更强大的认证机制。

对称认证的实际应用

对称认证在实际应用中有着广泛的场景，特别是在电子交易领域。下面我们以银行电子交易为例，详细说明MAC的使用流程。

密钥交换 ：银行和客户之间首先交换一个秘密密钥。这个密钥是双方通信的基础，只有双方知道。
消息签名 ：客户在进行交易时，会生成一个消息P，例如转账请求。客户计算该消息的MAC值MACK(P)，并将其附加到消息后面。
消息传输 ：客户将带有MAC的消息发送给银行。
消息验证 ：银行接收到消息后，重新计算消息P的MAC值MACK(P)，并与接收到的MAC值进行比较。如果两者匹配，银行就认为消息是真实的，接受交易请求；否则，拒绝交易。

在这个过程中，即使攻击者截获了消息并试图修改，由于不知道秘密密钥，也无法计算出正确的MAC值，从而保证了交易的安全性。

数字签名的安全性分析

数字签名的安全性主要依赖于公钥密码学和哈希函数的特性。下面我们从几个方面分析数字签名的安全性。

密钥的安全性 ：数字签名的核心是密钥的使用。私钥必须严格保密，只有签名者本人知道。如果私钥泄露，攻击者就可以伪造签名。因此，保护私钥的安全是数字签名安全的基础。
哈希函数的抗碰撞性 ：在带附录的数字签名中，哈希函数的抗碰撞性非常重要。如果哈希函数存在碰撞，攻击者可以找到两个不同的消息具有相同的哈希值，从而伪造签名。例如，攻击者可以找到一个欺诈性消息P’，其哈希值与合法消息P的哈希值相同，这样就可以用合法签名来验证欺诈性消息。
公钥的真实性 ：验证签名时，需要使用签名者的公钥。因此，公钥的真实性必须得到保证。通常，公钥会通过证书机构（CA）进行认证，以确保其真实性和有效性。

传统密码算法的发展趋势

随着信息技术的不断发展，传统密码算法也面临着新的挑战和机遇。下面我们探讨传统密码算法的发展趋势。

量子计算的挑战 ：量子计算的发展对传统密码算法构成了巨大的威胁。量子计算机可以在短时间内破解一些基于数学难题的密码算法，如RSA和DSA。因此，研究抗量子计算的密码算法成为了当前密码学的一个重要方向。
物联网的需求 ：物联网的快速发展对密码算法提出了新的要求。物联网设备通常具有资源受限的特点，因此需要设计轻量级的密码算法，以满足物联网设备的计算能力和存储能力。
多方安全计算的兴起 ：多方安全计算允许多个参与方在不泄露各自数据的情况下进行协同计算。这需要设计新的密码算法来保证计算的安全性和隐私性。