差分密码分析与MD5消息摘要算法的碰撞研究
在当今数字化时代，密码系统的安全性至关重要。差分密码分析作为一种强大的密码分析方法，对众多密码系统的安全性构成了挑战。本文将深入探讨差分密码分析在MD5消息摘要算法中的应用，以及相关的理论和实践。
1. 差分密码分析概述
差分密码分析是一种分析特定明文对差异对相应密文对差异影响的方法。自Biham和Shamir首次提出以来，它已成功应用于包括DES、Fed、N - Hash等多种密码系统。这些密码系统易受差分密码分析攻击的一个共同因素是它们大量使用异或（XOR）操作来引入混淆。而异或操作等价于模2向量加法，差分密码分析通过选择特定距离（模2）的明文对来减少或消除这些XOR操作的密码学效果。
随着差分密码分析的兴起，密码系统设计者开始寻求避免其影响的方法，例如减少或避免在传统角色中使用XOR操作。MD5消息摘要算法就是这样一个例子，它旨在在32位机器上快速运行，并采用模$2^{32}$加法来实现混淆。
2. MD5消息摘要算法
MD5消息摘要算法接受任意长度的消息作为输入，并生成128位的消息摘要。其作者设计该算法用于数字签名应用，要求在计算上不可能产生具有相同摘要的两条消息。
2.1 整体结构
MD5计算消息摘要的过程分为五个阶段：
1.
填充消息
：将消息填充为长度模512余448位。填充内容为一个“1”位后跟若干“0”位。
2.
附加长度信息
：将消息填充前的长度的64位表示附加到填充后的消息末尾，使最终消息长度是512位的整数倍，即16个32位字的整数倍。
3.
初始化寄存器
：使用一个四字寄存器MD来计算消息摘要，并将其初始化为常量。
4.
分块处理
：将消息按16字的块依次处理，每个块的处理包括四个轮函数，每个轮函数由16步组成。
5.
输出摘要
：寄存器MD中最终存储的就是计算得到的消息摘要。
在寻找两条等效消息时，我们将在一个16字的块内进行操作。由于$M_0$和$M_{N - 1}$的结构受第一和第二阶段处理的限制，不易攻击，因此我们将重点攻击其他块。
2.2 块处理
消息摘要寄存器MD在每个块的处理过程中从指定的常量状态$MD_0$开始更新，最终状态$MD_j$即为$MD5(m)$的值。第$j$个块的处理涉及四个轮函数FF、GG、HH和II，具体计算如下：
$MD_j = MD_{j - 1}+II(M_j,HH(M_j,GG(M_j,FF(M_j,MD_{j - 1}))))$
这些轮函数结构相似，消息摘要寄存器被视为一个四字的移位寄存器，每个元素为一个字宽，分别记为A、B、C和D。每个轮由16步组成，每步的计算为：
$A = B + ((A + f(B,C,D)+x[s]+t) <<< k)$
其中，$f$是一个随轮变化的辅助函数，$x[s]$是从当前消息块$M_j$中选取的一个字，$s$、$t$和$k$是步骤的参数，$<<< k$表示字的$k$位左循环移位。每步涉及四个加法操作、一个循环移位操作和一个辅助函数。
辅助函数$f$以三个32位字为输入，产生一个32位字为输出，且是按位并行的，即输出字的每一位仅取决于输入字的相应位。具体的辅助函数定义如下表所示：
| 轮 | $f$ | $f(X,Y,Z)$ |
| — | — | — |
| | | |
3. 密码分析问题
消息摘要算法面临两个相关的密码分析挑战：一是找到两条具有相同摘要的消息，Rivest和Dusse推测MD5在这方面的难度约为$2^{128}$次操作；二是找到具有给定摘要的任意消息，难度也约为$2^{128}$次操作。
我们将针对较简单的问题，即找到两条不同的消息$m$和$m $，使得$MD5(m) = MD5(m )$。在简单假设MD5的密码分析难度均匀分布在其64步的情况下，为了优于Rivest的推测，我们需要在每一步的成功率大于0.5，这是一个极具挑战性的目标。此外，吞吐量也是衡量MD5在差分密码分析下难度的一个指标，MD5每步仅产生2位输出，而DES每步产生4位输出。
由于每步中大量的模$2^{32}$加法操作，促使我们尝试对MD5进行模$2^{32}$的差分密码分析。下面我们将分别对加法函数、循环移位函数和步骤反馈函数进行差分密码分析。
3.1 加法函数的差分密码分析
设$x + c = z$，$x + c = z $，则$z’ = z - z = x - x = x’$，概率为1。同样，若$x + y = z$，$x + y = z $，则$z’ = z - z = x - x + y - y = x’ + y’$，概率也为1。
3.2 循环移位函数的差分密码分析
对于32位字$x$，其$k$位左循环移位$CLS_k(x)$可表示为两个量的和。设$n = 2^{32}$，$m = 2^{32 - k}$，则$CLS_k(x)$可分解为一个左移$k$位和一个右移$32 - k$位的操作。
当考虑$z’ = CLS_k(x) - CLS_k(x*) \mod n$时，根据$x$和$x’$的大小关系分为两种情况：
1. 当$x \geq x’$时，$x - x’ \geq 0$，$x - x’ \mod n = x - x’$。
2. 当$x < x’$时，$x - x’ < 0$，$x - x’ \mod n = x - x’ + n$。
若固定$x’$，$x$遍历所有$n$个可能值时，情况1发生$n - x’$次（$x$取值为$x’$到$n - 1$），情况2发生$x’$次（$x$取值为0到$x’ - 1$）。
我们分别对这两种情况进行分析，通过相关定理和计算，可以得到不同情况下$z’$的概率分布。例如，在情况1中，当$x \geq x’$时，$Pr(z’ > 0)$有特定的计算公式，且可以计算出特定事件发生的次数。
3.3 步骤反馈函数的差分密码分析
步骤反馈函数$f$的分析是一个难题。一般来说，当$w = f(X,Y,Z)$，$w = f(X ,Y ,Z )$时，我们关注$w’ = w - w* \mod 2^{32}$。目前，关于$w’$的值及其相关概率所知甚少，由于缺乏理论支持且完整模拟所需的内存超出可用计算机内存，我们只能进行近似分析。
一种推测是，某些低权重的$X’$、$Y’$和$Z’$值可能会导致高概率的$w’$值。另一种推测是，只允许$X’$、$Y’$和$Z’$中的一个取非零值可能会有有用的结果。在这种受限空间内进行蒙特卡罗评估开始变得可行，可能会得到有用的结果。
同时，当我们将$X’$、$Y’$和$Z’$的差异限制在最高位时，模$2^{32}$和模2的差分密码分析是相同的，且模2的$f$函数分析相对简单。
4. MD5各轮的密码分析
我们可以将前面开发的分析工具应用于MD5的各轮。每轮由16步组成，我们以FF轮为例进行详细分析。
我们的目标是找到两个消息块$M_a$和$M_a $，使得$FF(M_a) = FF(M_a )$。我们选择从轮的末尾开始工作，在第11步结束时，$A_{11}’ = B_{11}’ = C_{11}’ = D_{11}’ = 0$。我们的目标是引入差异，然后消除它，使得$A_{16}’ = B_{16}’ = C_{16}’ = D_{16}’ = 0$。
以下是FF轮各步骤的具体分析：
1.
第12步
：我们只能在$A’$、$B’$和$C’$限制在最高位的情况下分析FF轮辅助函数$F$。我们的目标是选择$x[12]$使得$A_{12}’ = 2^{31}$。通过分析可知，这相当于选择$x’$使得$2^{31} = CLS_{22}(x’)$。由于$z = CLS_k(x)$是一个置换，其逆为$x = CLS_{32 - k}(z)$，我们可以使用前面推导的理论计算出$x’$。有两个高概率值，我们选择29，其概率为1/2。
2.
第13步
：我们需要知道$w’ = F(X,Y,Z) - F(X
,Y,Z)$的可能值及其相应概率。当输入差异限制在最高位时，进位没有影响，步骤辅助函数可以作为单比特布尔函数进行评估。对于当前函数，$w’$的最高位为0或1，概率均为1/2。我们选择0，然后目标是选择$x_{13}’$使得$A_{13}’ = 0$，即$z_{13}’ = 2^{31}$。通过$CLS_{7}$的逆函数，我们选择$x’ = 124$，使得$z_{13}’ = 2^{31}$的概率为1/2。
3.
第14步
：计算$w’ = F(X,Y,Z) - F(X,Y
,Z)$的最高位为0或1，概率均为1/2。我们选择0，目标是选择$x_{14}’$使得$A_{14}’ = 0$，即$z_{14}’ = 0$。显然$x_{14}’ = 0$，且$z_{14}’ = 0$的概率为1。
4.
第15步
：与第14步类似，计算$w’ = F(X,Y,Z) - F(X,Y,Z
)$，选择$w’$的最高位为0，然后选择$x_{15}’ = 0$，使得$z_{15}’ = 0$的概率为1。
5.
第16步
*：通过观察可知$w’ = 0$的概率为1。我们的目标是选择$x_{16}’$使得$A_{16}’ = 0$。注意到$p_{16}’ = 2^{31}$，若选择$x_{16}’ = 2^{31}$，由于所有加法都是模$2^{32}$的，所以$q_{16}’ = 0$，进而$A_{16}’ = 0$的概率为1。
通过以上步骤，我们完成了FF轮的分析。同样的过程也应用于GG、HH和II轮，结果总结如下表所示：
| 字 | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 概率 |
| — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — | — |
| FF | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 29 | 224 | 0 | 0 | 231 | $2^{-5}$ |
| GG | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 211 | 0 | 0 | 0 | 231 | 2M | 0 | 0 | $2^{-2}$ |
| HH | 0 | 0 | 231 | 0 | 0 | 0 | 232 - 2s | 0 | 0 | 78 00 00 00 | 0 | 0 | 231 | 0 | 0 | 231 | $2^{-2}$ |
| II | 0 | 0 | 0 | 0 | 125 | 0 | 0 | 0 | 0 | 231 | 0 | 23’ | 0 | 210 | 0 | 0 | $2^{-}$ |
每次选择等概率的$w’$值时，我们也可以选择另一个值，从而得到不同的差分。而且，第二大概率的差分通常以$1/2 - \epsilon$的概率出现，也能产生有用的差分。此外，这里展示的差分可以在一轮中向前滑动到第一轮的第一步。
然而，目前的挑战是找到一个单一的$M_a’$，使MD5的四轮同时失效。这需要进一步的研究和探索。
5. 相关哈希方案分析
除了MD5的分析，还提到了两种新的2m位哈希轮函数方案：串联DM（Tandem DM）和并行DM（Abreast DM）方案。
5.1 方案特点
这两种方案中的子函数$h_1$和$h_2$具有相同的输入。攻击$h$（在自由启动目标或自由启动碰撞攻击中）意味着必须同时攻击$h_1$和$h_2$。如果$h_1$和$h_2$足够“不同”，对一个子函数的攻击对攻击另一个子函数没有帮助，且两者在安全性上与看似安全的DM方案相当，那么攻击$h$的复杂度等于攻击$h_1$和$h_2$复杂度的乘积。在这两种方案中，子函数$h_1$和$h_2$被选择为尽可能“不同”。
并行DM方案提供了一个2m位的哈希函数，其强度至少与m位的DM方案相同，Meyer - Schilling方案也有类似特点。
5.2 安全性评估
到目前为止的研究表明，在假设底层密码没有弱点的情况下，这两种新提出的2m位哈希轮函数没有明显弱点，我们尚未找到比暴力攻击更好的攻击方法。但需要指出的是，串联DM和并行DM方案在计算2m位的最终哈希值时，每m位消息块需要进行两次m位的块加密。
6. 总结与展望
通过对MD5消息摘要算法的差分密码分析，我们展示了如何应用模$2^{32}$的差分密码分析方法找到高概率的差分，使得MD5的每一轮消息摘要寄存器保持不变。我们还对加法函数、循环移位函数和步骤反馈函数进行了详细的差分分析，为进一步研究MD5的安全性提供了理论基础。
同时，串联DM和并行DM方案作为新的哈希函数方案，在安全性上有一定的特点，但也存在计算复杂度较高的问题。未来的研究方向包括找到一个能使MD5四轮同时失效的单一消息块差分，以及进一步优化和评估这些新的哈希方案的安全性和性能。
差分密码分析在密码学领域仍然是一个活跃的研究方向，随着计算机技术的发展和新的密码系统的出现，我们需要不断探索和改进分析方法，以保障密码系统的安全性。
通过本文的研究，我们对MD5和相关哈希方案的安全性有了更深入的理解，也为密码系统的设计和评估提供了有价值的参考。在实际应用中，我们应该充分考虑这些分析结果，采取相应的措施来提高密码系统的安全性。
差分密码分析与MD5消息摘要算法的碰撞研究
7. 差分密码分析在其他密码系统中的应用回顾
差分密码分析自提出以来，已在多个密码系统中得到应用，且有时会产生毁灭性的效果。以下是一些受差分密码分析影响的密码系统：
| 密码系统 | 受影响情况 |
| — | — |
| DES | 差分密码分析对其有显著影响，被成功用于分析该系统的安全性 |
| Fed | 同样受到差分密码分析的攻击 |
| N - Hash | 易受差分密码分析的影响 |
| PES | 差分密码分析可对其进行有效分析 |
| Snefru | 是差分密码分析的应用对象之一 |
| Khafre | 受到差分密码分析的关注 |
| REDOC - II | 差分密码分析揭示了其潜在的安全问题 |
| LOKI | 被差分密码分析多次研究，有相关文献表明其安全性受到质疑 |
| Lucifer | 也是差分密码分析的研究目标之一 |
这些密码系统的一个共同特点是大量使用异或（XOR）操作来引入混淆，而差分密码分析正是利用了这一特点，通过选择特定距离（模2）的明文对来减少或消除XOR操作的密码学效果。
8. MD5差分密码分析的实际意义
MD5消息摘要算法在数字签名等领域曾经被广泛应用，但随着差分密码分析等技术的发展，其安全性受到了严重挑战。找到两条具有相同MD5摘要的消息意味着可以伪造数字签名，这对于依赖MD5进行安全验证的系统来说是极其危险的。
例如，在软件分发过程中，如果攻击者能够找到两个不同的软件版本，使其MD5摘要相同，那么他们就可以将恶意软件替换为正常软件，而用户在验证MD5摘要时却无法察觉。因此，对MD5进行差分密码分析有助于发现其安全漏洞，促使密码系统设计者采用更安全的算法。
9. 未来密码系统设计的启示
从MD5的差分密码分析以及相关哈希方案的研究中，我们可以得到以下关于未来密码系统设计的启示：
-
减少对单一操作的依赖
：MD5大量使用模$2^{32}$加法操作，虽然在计算速度上有优势，但也为差分密码分析提供了可乘之机。未来的密码系统应避免过度依赖某一种操作，而是采用多种不同的运算来增加密码系统的复杂性。
-
提高子函数的独立性
：如串联DM和并行DM方案所示，子函数之间的独立性可以提高密码系统的安全性。在设计新的密码系统时，应尽量使各个子函数之间的关联性降低，使得对一个子函数的攻击难以扩展到其他子函数。
-
加强对新攻击方法的研究
：随着计算机技术的不断发展，新的攻击方法可能会不断涌现。密码系统设计者需要密切关注密码分析领域的最新研究成果，及时对密码系统进行改进和优化，以抵御新的攻击。
10. 总结分析流程的mermaid流程图
graph LR
classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px
classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px
A([开始]):::startend --> B(选择分析的密码系统):::process
B --> C{是否为MD5?}:::process
C -->|是| D(分析MD5整体结构):::process
D --> E(分析MD5块处理过程):::process
E --> F(对加法函数进行差分分析):::process
F --> G(对循环移位函数进行差分分析):::process
G --> H(对步骤反馈函数进行差分分析):::process
H --> I(分析MD5各轮):::process
C -->|否| J(分析其他密码系统特点):::process
J --> K(检查是否大量使用XOR操作):::process
K -->|是| L(应用差分密码分析):::process
K -->|否| M(寻找其他攻击切入点):::process
I --> N(总结分析结果):::process
L --> N
M --> N
N --> O(提出改进建议):::process
O --> P([结束]):::startend
11. 总结
本文围绕差分密码分析在MD5消息摘要算法及相关哈希方案中的应用展开了深入研究。
- MD5分析 ：详细介绍了MD5的整体结构和块处理过程，通过对加法函数、循环移位函数和步骤反馈函数的差分分析，找到了高概率的差分，使得MD5的每一轮消息摘要寄存器保持不变。虽然目前尚未找到能使MD5四轮同时失效的单一消息块差分，但为进一步研究其安全性提供了重要的理论基础。
- 相关哈希方案 ：分析了串联DM和并行DM方案的特点和安全性，指出这些方案在安全性上有一定优势，但计算复杂度较高。
差分密码分析作为一种强大的密码分析方法，对密码系统的安全性构成了严峻挑战。未来的密码系统设计需要充分考虑这些分析结果，不断改进和优化，以保障数字信息的安全。
在密码学的发展过程中，密码分析与密码设计始终是相互促进的。通过对现有密码系统的深入分析，我们可以发现潜在的安全漏洞，从而推动新的、更安全的密码系统的设计。同时，新的密码系统的出现也会促使密码分析方法的不断创新和发展。我们期待在未来的研究中，能够找到更有效的方法来保障密码系统的安全性，应对日益复杂的安全挑战。
为了更直观地展示本文的主要内容，以下是一个关键内容的总结表格：
| 内容类别 | 主要信息 |
| — | — |
| 差分密码分析 | 分析特定明文对差异对密文对差异的影响，已应用于多个密码系统 |
| MD5 | 整体结构分五个阶段，块处理涉及四个轮函数；通过差分分析找到高概率差分，但未找到使四轮同时失效的差分 |
| 相关哈希方案 | 串联DM和并行DM方案子函数尽量不同，安全性有特点但计算复杂度高 |
| 未来启示 | 减少对单一操作依赖，提高子函数独立性，加强新攻击方法研究 |
通过对这些内容的梳理，我们可以更清晰地把握密码系统的安全性现状和未来发展方向。在实际应用中，应根据具体需求选择合适的密码系统，并持续关注密码学领域的最新研究成果，以确保信息安全。
扫一扫
2257
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
