8 Лекция - Криптографические функции хеширования

21

n len ar 1

5.Определить MAC k,a E k,wr k1 Iv .

Взавершение данного раздела отметим, что все ключевые функции хеширования, построенные на основе блочных алгоритмов шифрования, вырабатывает код целостности, длина которого совпадает с длиной блока алгоритма шифрования. Для шифров с маленькой длиной блока, скажем п = 64, в силу парадокса «дней рождений» данный класс алгоритмов становится уязвим к атакам на построение коллизий. С другой стороны, у отечественного блочного шифра «Кузнечик» длина блока n равна 128, что является приемлемым для применения шифра «Кузнечик» в режиме выработки имитовставки.

Универсальные функции хеширования

Введем понятие универсальная функция хеширования для функций, зависящих от секретного ключа k, принадлежащего некоторому множеству K.

Определение. Пусть k K. Отображение h k,x :K V* Vn

называют ε-почти универсальной функцией хеширования (ε-almost universal, ε-AU),

если найдется действительное число ε такое, что 0<ε≤1, и для любых двух различных элементов x, y V* выполнена оценка

k K :h k,x h k, y K .

Если выполнено равенство ε=2-n, то отображение h(k,x) называют универсальной функцией хеширования.

Из данного нами определения следует, что для универсальной функции хеширования при случайном выборе ключа k вероятность появления коллизии на двух различных сообщениях х, у не превосходит величины 2-n.

Определение. Пусть, как и ранее, k K. Отображение h(k,x) называют ε-почти строго универсальным (ε-almost strong universal, ε-ASU), если выполнены следующие условия

1. для любых x V* и h Vn выполнено равенство

k K :h k,x h 2 n K .

2. Для любых различных x, y V* и для любых h,t Vn выполнена оценка

k K :h k,x h,h k, y t 2 n K

Если выполнено равенство ε=2-n, то отображение h(k,x) называют строго универсальной функцией хеширования.

Для ε-ASU функций хеширования значение ε задает величину условной вероятности появления события h(k,y) = b при выполнении события h(k,x) = а. Можно показать, что всякая функция, удовлетворяющая второму определению, также удовлетворяет и первому.

Приведем несколько универсальных функций, для которых доказано, что они являются ε-ASU функциями при некоторых значениях ε. Будем считать, что множества K и V* совпадают, а для каждого сообщения x V* используемый ключ k удовлетворяет равенству len x = len k Для сообщений х и ключей k мы будем использовать запись

x x1,...,xt ,k k1,...,kt ,,

при некотором натуральном t. Тогда, ε-ASU являются следующие функции:

22

1. MMH. Определим p=232+15 – простое число, тогда

где xi,ki 232

2.Square Hash. Пусть w ≥ 2 - натуральное число, p - наибольшее простое число меньшее, чем 2w. Определим

Как видно из приведенных примеров, все функции обладают большим ключом, длина которого совпадает с длиной сообщения, для которого вычисляется код целостности. На практике ключи аутентификации имеют небольшую длину. В связи с этим, прямое использование универсальных функций хеширования затруднительно и требует описания дополнительного алгоритма развертки ключа. Наиболее известным алгоритмом, построенным на принципах универсальных функций хеширования, стал ориентированный на реализацию на 32-х битных процессорах алгоритм UMAC (Black J., Halevi S., Krawczyk H., Krovetz Т., Rogauay P. UMAC: Fast and Secure Message Authentication // Proceedings Of Crypto'99. — LNCS 1666. — Springcr-Verlag. — 1999. — pp.216-233).

Данный алгоритм использует алгоритм выработки производного ключа, основанный на применении блочного алгоритма шифрования, которым, по мнению авторов UMAC, должен являться алгоритм AES.

Представим исходное сообщение а, для которого нужно вычислить код целостности, в виде

a a1 ||...||a2l;a1,...,a2l 232 ;l

Пусть k Vm — ключ аутентификации, а Е(k, ∙) - алгоритм зашифрования блочного

n

шифра с длиной блока n, кратной 32. Обозначим .s 32 тогда производным ключом

является последовательность значений k1,...,k2l 232 , вычисляемая по следующему правилу:

s Vn таких, что

EncMac k1,k2,a = c,s ,s si,i 1,t,

должна являться трудноразрешимой для максимально возможного натурального значения t.

Следует отметить, что в настоящее время не существует стандартизированного решения, описывающего режим шифрования с возможностью аутентификации. До недавнего времени в рекомендациях NIST (NIST Special Publication 800-38D. Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC. - 2007) был описан режим, получивший название GMAC. Однако в 2012 году был предложен алгоритм построения коллизии для данного режима (Saarinen M.J.O. Cycling Attacks on GCM, GHASH and Other Polynomial MACs and Hashes. — 2012. http://eprint.iacr.org/2011/202.).

Несмотря на то что стандартизированных решений в настоящее время нет, существует несколько подходов к построению отображений, задающих режим шифрования с возможностью аутентификации. Остановимся на некоторых из них несколько подробнее.

1.Наиболее очевидным способом построения режима шифрования с возможностью аутентификации является последовательное применение ключевой функции хеширования

ивычисление кода целостности, а потом зашифрование сообщения с помощью некоторого режима блочного шифрования. При этом для вычисления кода целостности логично использовать функцию НМАС, рассмотренную выше, которая удовлетворяет всем условиям определения ключевой функции хеширования.

Основным аргументом против такого способа построения является высокая сложность вычислений, поскольку передаваемое сообщение обрабатывается дважды — при вычислении кода целостности и при зашифровании. Если необходимо передавать сообщение большой длины, то высокое время его обработки может оказаться неприемлемым.

2.Подход на основе полиномиальных конструкций, примером которого может служить функция GMAC. Коротко данная функция может описана следующим образом.

Пусть n - длина блока алгоритма зашифрования, Iv Vn — синхропосылка.

Рассмотрим режим счетчика блочного алгоритма шифрования, рассмотренный в соответствующем разделе, в котором внутреннее состояние шифра (значение счетчика) определяется равенствами

ω0 = Е(k, Iv), i i 1 0 i , i

Рассмотрим сообщение a a1 ||...||ar,a1,...,ar Vn , и определим шифртекст c c1 ||...||cr равенствами

Тогда, значение кода целостности определяется равенством

MAC k,a E k,hr Iv , i 1,r, где hi ci hi 1 0 ,hi GF 2n ,h0 0.

3. Третий подход к построению режимов шифрования с аутентификацией основан на использовании универсальных функций хеширования. Впервые такой подход был предложен в работе (Лебедев П.А., Нестеренко А.Ю. Режим шифрования с возможностью аутентификации // Системы высокой доступности. — Том 9. — N 3. — 2013. — стр. 6-13) .

25

Пусть, как и ранее, n — длина блока алгоритма зашифрования Е, k1 – секретный ключ зашифрования, k2 — секретный ключ аутентификации, α — примитивный элемент

поля GF(2n) и Iv Vn — синхропосылка.

Рассмотрим режим блочного шифрования XTS, изложенный нами ранее в соответствующей теме, применительно к сообщению, представленному в виде

a a1 ||...||a2r , где

lenai n, i 1,2r 2

при r ≥ 2 и при любом r ≥ 1

0 lena2r 1 n,0 lena2r n

Данное представление означает, что исходное сообщение а дополняется нулями до тех пор, пока суммарная длина не станет равной 2rn для минимально возможного натурального числа r, то есть

a|| 0...0 a1 ||...||a2r .

2rn lena

Определим процедуру зашифрования сообщения а в режиме XTS следующими равенствами:

0 E k2,Iv ,

i 0 i,

i E k1,ai i ,

ci i i, i 1,r',

где

Тогда, шифртекст с определяется равенствами:

2r 1 0 2r 1.

Сформулированные соотношения соответствуют равенствам для режима XTS, приведенным нами в соответствующем разделе. При этом для любого значения r' = r выполнено равенство len с = len a, то есть размер шифртекста совпадает с размером открытого текста

Для вычисления кода аутентичности сообщения а нам потребуются значения γ1,…,γ2r, определенные формулами, приведенными выше, при r' > 2r - 2. Если же

выполнено равенство r’ = 2r - 2, то мы определим величину 2r E k2, Iv , для некоторой константы Vn .

Теперь воспользуемся универсальной функцией NH, описанной нами ранее, и определим

26

r

hz2i 1z2i mod22n ,

i1

где zi ai i mod2n для всех i 1,2r и h 22w . Тогда значение кода аутентичности определяется равенством Mac k1,k2,a =E k1,t , где шифрование выполняется в режиме простой замены, а величина t определена равенством

t h l mod22n ,l lena||0...0||E k ,lena ,lenl 2n .

2

2n