3.2. Функції хешування

Здатність функції хешування протистояти атакам з перебором всіх варіантів залежить виключно від довжини хеш-коду, породжуваного алгоритмом. Нагадаємо, що функція хешування повинна мати такими трьома властивостями.

• Однобічність. Для будь-якого коду h практично неможливо обчислити таке х, що H(x) = h.

• Слабка опірність колізій. Для будь-якого блоку х повинно бути практично неможливо обчислити таке у≠х, що H(x) = H(y).

■ Сильна опірність колізій. Практично неможливо обчислити будь-яку пару різних значень х та у, для яких Н(х) = H(у).

Для коду довжини n порядок необхідних зусиль, як ми вже бачили, пропорційний наступним величинам.

Однобічність	2n
Слабка опірність колізіям	2n
Сильна опірність колізіям	2n/2

При необхідності забезпечити сильну опірність колізій (що бажано для хеш-кодів загального призначення) стійкість хеш-коду щодо атак з перебором всіх варіантів характеризується значенням 2n/2. Ооршот (Oorschot) і Вінер (Wiener) в [OORS94] запропонували проект створення машини пошуку колізій для MD5 вартістю 10 мільйонів доларів, яка могла б виявити колізію при 128-бітової довжині хеш-коду за 24 дні. Таким чином, 128-бітовий код можна вважати достатнім. Наступне значення довжини, якщо хеш-код розглядати як послідовність 32-бітових сегментів, становитиме 160 бітів. При такій довжині хеш-коду тій же машині для пошуку колізії потрібно понад чотирьох тисяч років. В даний час два найбільш популярнихалгорітма обчислення хеш-кодів, SHA-1 і RIPEMD-160, якраз забезпечують хеш-код 160-бітової довжини.

13. Алгоритми хешування. Алгоритм hmac.

Можна простежити цілий ряд аналогій в еволюції функцій хешування і симетричних блокових шифрів. Ми вже бачили, що зростаючі можливості атак з перебором всіх варіантів і досягнення криптоанализа привели до падіння популярності DES і створенню нових алгоритмів шифрування з довшими ключами і з новими властивостями, що дають можливість протистояти різним видам криптоаналізу. Точно так само досягнення обчислювальної техніки та криптоаналізу функцій хешування привели до зниження популярності спочатку MD4, а потім і MD5 - двох функцій хешування, що застосовувалися найчастіше. У відповідь на ситуацію, що склалася були розроблені нові алгоритми хешування з довшими хеш-кодами і спеціальними властивостями, покликаними протистояти конкретним методам криптоаналізу. Іншою аналогією є загальне небажання відмовлятися від уже напрацьованих схем. Алгоритм шифрування DES базується на шифрі Файстеля, який, у свою чергу, спирається на запропоновану ще Шенноном підстановлювально-перестановочну схему (substitutional-permutational network). Після цього практично всі заслуговуючі уваги блокові шифри будувалися за схемою Файстеля, оскільки в цю схему виявлялося можливим додати захист від нових криптоаналітичних загроз. Якщо замість схеми симетричного блочного шифрування використовувати абсолютно нову схему, будуть потрібні значні зусилля, щоб з'ясувати, чи не є нова схема ареною для нових успішних криптоаналітичних атак, з якими сторона, яка захищається, досі не мала справи. Точно так же структура найбільш важливих з сучасних функцій хешування відповідає одній базовій структурі, показаної на рис. 8.10. Знову ж, на практиці ця структура виявилася надійною, тому нові розробки полягають в удосконаленні базової структури і збільшенні довжини хеш-коду.

1. HMAC

У главі 8 ми розглянули приклад алгоритму обчислення коду автентичності повідомлення (MAC), заснованого на використанні симетричного блочного шифру, а саме алгоритм аутентифікації даних, визначений у FIPS PUB 113. Традиційно застосовуваний цим алгоритмом підхід був найбільш загальним підходом до створення MAC. В останні роки зріс інтерес до методу обчислення MAC на основі криптографічних хеш-кодів. Пояснюється це наступними обставинами.

Таблиця 13.1. Порівняння швидкості роботи деяких функцій хешування (реалізація на С + +, процесор Pentium 266 МГц)

Алгоритм	Мбіт/сек
MD5	32,4
SHA-1	14,4
RIPEMD-160	13,6

1. Криптографічні функції хешування, наприклад MD5 і SHA-1, у вигляді програмної реалізації звичайно виконуються швидше, ніж симетричні блокові шифри, наприклад DES.

2. Програмні бібліотеки для криптографічних функцій хешування широко доступні.

3. Для криптографічних функцій хешування немає обмежень на експорт з США або інших країн, тоді як для симетричних блокових шифрів вони передбачені, навіть у разі використання шифру для обчислення значень MAC.

Функція хешування типу MD5 була розроблена для використання в якості засобу обчислення значень MAC і не може застосовуватися для цього безпосередньо, оскільки не залежить від секретного ключа. Був запропонований ряд варіантів додавання секретного ключа у вже існуючий алгоритм хешування. Найбільшу підтримку отримав підхід, званий НМАС [BELL96a, BELL96b]. Алгоритм НМАС був представлений в документі RFC 2104, прийнятий як обов'язковий для реалізації в протоколі безпеки IP і використовується в інших протоколах Internet, наприклад в SSL.