Технології захисту інформації - копия

Функції, використані в SHA-384 і SHA-512.

SHA-384 і SHA-512 використовують 6 функцій Ch (x, y, z) і Maj (x, y,z) нелінійні функції з 192-бітним входом і 64-бітним виходом, і 4 лінійні функції з 64-бітним входом і 64-бітним виходом: ∑0, ∑1, s0, s1.

Спочатку визначимо 4 лінійні операції:

∑0(X)=X>>>28 X>>>34 X>>>39;

∑1(X)=X>>>14 X>>>18 X>>>41;

σ0(X)=X>>>1 X>>>8 X>>>7;

σ1(X)=X>>>19 X>>>19 X>>>6.

Операція Ch приймає три 64-бітних слова X, Y, Z. Операція є функцією побітового вибору, тобто якщо i-тий біт Х установлений, те i- тий біт виходу є i-тий біт Y. З іншого боку, i-тий біт виходу є i-тий біт Z. Ця операція може бути легко реалізована як Ch(X,Y,Z)=(X Y) (̅ ).

Операція Maj також приймає три 64-бітних слова X, Y, Z. Операція є функцією побітової мажоритарності, тобто якщо більшість i-тих біт X, Y і Z установлені, тоді i-тий біт виходу встановлений, і навпаки. Ця операція може бути легко реалізована як Maj (X,Y,Z) =( X Y) (X Z) (Y Z).

MDC, на основі модулярної арифметики

У ISO/IEC 10118-4 визначаються дві геш-функції MASH-1 і MASH-2, основані на ітеративному зведенні в степінь за модулем. Ці функції є покращеними варіантами функцій, визначених у стандартах CCITT X.509:1988 і ISO/IEC 9594-8:1989, що були визнані недостатньо без-

печними. Внаслідок цього вони були виключені з обновлених версій стандартів ITU-T X.509:1993 і ISO/IEC 9594-8:1995.

Основною ідеєю геш-функцій є використання ітеративної функції як циклової функції, яка використовує модулярну арифметику. Причинами стандартизації і застосування таких геш-функцій є, по-перше, можливість використання існуючих програмних і апаратних засобів модулярної арифметики, застосовуваних у несиметричних криптосистемах, і подруге, забезпечення необхідного рівня стійкості. Основним недоліком функцій є низька швидкість формування геш-коду.

Геш-функція MASH-1 (Modular Arithmetic Secure Hash-1) викорис-

товує RSA подібні модулі N, довжина яких забезпечує необхідну стійкість.

181

4. Циклова функція. Для всіх 1 i t 1 відобразити два n-роз- рядних вхідних блоки (Hi 1, yi) в один n-розрядний блок відповідно до виразу:

Hi = ((((Hi 1 yi ) A)2 modN) n) Hi 1 ,

де – операція побітового логічного АБО;

– додавання по модулі два ( XOR );

– збереження молодших n -розрядів m -розрядного результату.

Загальний вид циклової функції наведено на рис. 6.5.

5. Закінчення. У якості геш-коду приймається n -розрядний блок

Ht 1..

yn

Рис. 6.5. Загальний вид циклової функції MASH-1

Алгоритм MASH-2 відрізняється від алгоритму MASH-1 тільки показником ступеня в цикловій функції, що має такий вигляд:

Загальний вигляд циклової функції наведено на рис. 6.6.

183

Пізніша версія стандарту MASH-2 відрізняється від MASH-1 показником ступеня, що забезпечує велику нелінійність циклової функції, і зниження вірогідності колізій з одного боку, а з іншою викликає зниження швидкості гешування MASH-2. Таким чином, використання модулярної арифметики в алгоритмах ключового гешування дозволяє отримати стійкі схеми автентичності, та це призводить до підвищення розрахункової складності криптоперетворень і часу формування гешкоду.

Порівняно з 128-розрядними геш-функціями 160-розрядний гешкод, який виробляється SHA-1, забезпечує більшу стійкість до силових атак. Геш-функції SHA-1 і RIPEMD-160 за стійкістю приблизно рівні та обидва перевершують MD5. Не менш важливим параметром є швидкість роботи алгоритму. SHA-1, RIPEMD-160 містить більшу кількість кроків і виконується на 160-бітовому буфері порівняно зі 128-бітовим буфером MD5. Таким чином, SHA-1 виконується на 25 % повільніше, ніж MD5 на тих же апаратурах. RIPEMD-160 має 160 кроків, і виконується приблизно на 15 % повільніше, ніж SНА-1. Порівняльний аналіз геш-функцій наведено у табл. 6.4.

184

Проведений аналіз табл. 6.4 показує, що використання МDC-коду за даним вхідним повідомленним геш-коду може обчислити будь-який суб’єкт, а при використанні МАС-коду обчислити геш-код за даним вхідним повідомленням може тільки суб’єкт, що володіє секретним ключем. Таким чином, використання МАС-кодів дозволяє інтегровано вирішувати завдання гешування і забезпечення стійкості отриманих геш-кодів [23, 35; 45].

Коди автентифікації повідомлень UMAC, TTMAC, EMAC, HMAC

Основними задачами проекту NESSIE є відбір кращих десяти криптографічних примітивів. У цей набір входять алгоритми блокового і потокового шифрування, генератори випадкових чисел, схеми швидкої автентифікації даних (MAC), геш-функції і алгоритми цифрового підпису. В якості основних критеріїв відбору претендентів обрані реальна безпека, продуктивність, гнучкість і вимоги ринку.

Перевагою MAC є те, що він дозволяє одночасно отримати і перевірити інформацію за допомогою того ж секретного ключа. Це означає, що відправник і одержувач повідомлення повинні домовитися про ключ до початку повідомлення, як це має місце у випадку з симетричним шифруванням.

185

Код автентифікації повідомлення (MAC) є коротким фрагментом інформації, який використовується для перевірки достовірності повідомлення. MAC – код перевірки повідомлення, який використовує функцію відображення і надає дані у вигляді значень фіксованого розміру, а потім – гешує саме повідомлення [23; 45].

Алгоритм MAC приймає як введення секретний ключ і повідомлення достовірності довільної довжини, і видає MAC. МАС-код захищає цілісність повідомлення, а також його автентичність, дозволяючи контролерам (які також володіють секретним ключем) виявляти які-небудь зміни в первинному змісті повідомлення, яке передається.

Алгоритм МАС-коду працює таким чином, що перші блоки відкритих даних, які беруть участь у виробленні MАС-коду, можуть містити службову інформацію (наприклад, адресну частину, час, синхропосилку) і не зашифровуватися.

Головною перевагою цього механізму при порівнянні з електронноцифровим підписом є більш простий алгоритм генерації та верифікації, який дозволяє забезпечити високу швидкодію алгоритмів автентифікації повідомлень у локальних мережах та комп’ютерних системах [5; 8 – 10; 13 – 15; 17].

Загальний принцип роботи МАС-кодів приведено на рис. 6.7.

Якщо однакові, то МАС-код автентичність та цілісність, МАС-код

інакше помилка

Рис. 6.7. Принцип роботи MAC алгоритмів

MAC алгоритми можуть бути виготовлені з інших криптографічних примітивів, таких, як криптографічні геш-функцiї (як у випадку з UMAC), або для блокових алгоритмів шифрування (OMAC, CBC-MAC і PMAC).

186

Для вивчення основних характеристик МАС кодів і їх порівняльної оцінки в науково-дослідному проекті NESSIE (IST-1999-12324) були розглянуті основні практичні алгоритми МАС кодів і відібрані чотири кращі.

Two-Track-MAC

TTMAC (також відомий як Two-Track-MAC) має найвищий рівень безпеки MAC примітивів, розглянутих у NESSIE. Дизайн TTMAC заснований на геш-функції RIPEMD-160 (з невеликими змінами). Безпека може бути доведена в припущенні, що основною функцією стиснення є псевдовипадковою. TTMAC має конкретне виконання переваги: вона особливо ефективна в разі коротких повідомлень, а також має оптимальну спритність ключів.

Особливість Two-Track-MAC полягає в шифруванні повідомлення по двох незалежних шляхах (на рис. 6.8 позначені як L і R). Такий підхід дозволяє збільшити розмір внутрішнього стану. У результаті чого отримуємо більше можливих значень внутрішньої функції шифрування. Це дозволяє ускладнити атаки, засновані на переборі всіляких значень.

У порівнянні з MDx-MAC, який так само заснований на RIPEMD-160 Two-Track-MAC набагато ефективніше для коротких повідомлень (512 або 1024 біт), і також ефективніше на довгих повідомленнях.

Інша важлива перевага TTMAC є можливість швидкої зміни ключа шифрування. Це дозволяє збільшити стійкість системи, без зниження швидкості. При досить частій зміні ключа зловмиснику не вдасться зібрати великої кількості пар повідомлення – MAC-код, що сильно знижує ймовірність підбору ключа або MAC-коду.

Проект двухтрекового MAC засновано на геш-функції RIPEMD-160. Спочатку повідомлення, що автентифікується, заповнюється 1-бітами, і потім 0-бітами, поки довжина не досягнеться 448 mod 512. Потім двійкове представлення довжини вихідного повідомлення (mod 264) додається так, що довжина повідомлення стає кратною 512. Кожний 512-бітовий блок розділено на набори шістнадцяти 32-бітових слів, W0, …, W15.

Секретний ключ є набором з 5-ти 32-бітових слів, K0, …, K4. Алгоритм працює на основі повторення функції стиску таким способом.

Два набори з п’яти 32-бітових слів X0, …, X4 і Y0, …, Y4 і набір 16 слів повідомлення є входом для двох різних функцій fL і fR, що генерують на виході п’ять 32-бітових слова кожна:

A0, …, A4 = fL(X0, …, X4, W0, …, W15);

B0, …, B4 = fR(Y0, …, Y4, W0, …, W15).

187

Ці дві функції ідентичні використаним в RIPEMD-160 (деталі наведені далі). Потім необхідно обчислити два нові набори з п’яти слів кожний, віднімаючи вхідні повідомлення з результатів попереднього кроку:

Ci = Ai – Xi mod 232, 0 ≤ i ≤ 4;

Di = Bi – Yi mod 232, 0 ≤ i ≤ 4.

Для завершення функції стиску, десять слів Ci і Di змішані у двох лінійних перетвореннях gL і gR:

E0, …, E4 = gL(C0, …, C4, D0, …, D4);

F0, …, F4 = gR(C0, …, C4, D0, …,D4).

Ei і Fi разом з наступним набором слів повідомлення, формують вхідні значення для наступного проходу функції стиску. У першій ітерації п’ять секретних ключових слова Ki є входом як Xi так і Yi, 0 ≤ i ≤ 4

В останній ітерації, де останні слово повідомлення є входом, fL і fR здійснюють свопінг простору. Після віднімання вхідних слів, замість виконання gL і gR наприкінці цієї ітерації обчислюємо:

Ei = Ci – Di mod 232, 0 ≤ i ≤ 4.

Результати цього вирахування формують вихід двотрекового MAC. Додаткове вихідне перетворення визначене для обчислення більш коротких значень MAC.

Функції fL і fR.

Функції fL і fR, які відомі як лівий і правий слід функції стиску, ідентичні функціям, використаним у функції стиску RIPEMD-160. Вони складаються з 80 послідовних кроків. Спершу визначаються константи й функції.

Аддитивні константи:

188

Нелінійні функції на бітовому рівні:

Нехай дані вихідні значення a0, b0, c0, d0, e0. Функція fL (лівий слід функції стиску), складається з таких кроків для 0 ≤ I ≤ 79 (додавання по mod 232):

ai+1 = ei

bi+1 = (ai + fi(bi,ci,di) +Wr[i] + ki)<<s[i] + ei ,

ci+1 = bi di+1 = ci<<10

ei+1 = di

189