Технології захисту інформації - копия

Y0 YL-1

Рис. 6.8. Логіка виконання MD5

Додавання складається з одиниці, за якою слід необхідну кількість нулів.

Крок 2: додавання довжини.

64-бітове уявлення довжини вихідного (до додавання) повідомлення в бітах приєднується до результату першого кроку. Якщо первісна довжина більше, ніж 264, то використовуються тільки останні 64 біти. Таким чином, поле містить довжину вихідного повідомлення за модулем 264.

У результаті перших двох кроків створюється повідомлення, довжина якого кратна 512 бітам. Це розширене повідомлення, що

розширеного повідомлення кратна шістнадцяти 32-бітовим словами.

Рис. 6.9. Структура розширеного повідомлення

Крок 3: ініціалізація MD-буфера.

Використовується 128-бітний буфер для зберігання проміжних і остаточних результатів геш-функції. Буфер може бути представлений як чотири 32-бітних регістри (A, B, C, D). Ці регістри ініціалізувалися такими шістнадцятковим числами:

A = 01234567; B = 89ABCDEFC; С = FEDCBA98; D = 76543210.

211

Крок 4: обробка послідовності 512-бітних (16-слівних) блоків. Основою алгоритму є модуль, що складається з чотирьох циклічних

обробок, позначений як HMD5. Чотири цикли мають схожу структуру, але кожен цикл використовує свою елементарну логічну функцію, що

позначається fF,fG,fH і fI відповідно. На рис. 6.10 наведено послідов-

+ + + +

MDq+1(128 біт)

Рис. 6.10. Обробка чергового 512-бітного блоку

Кожен цикл приймає на вході поточний 512-бітний блок Yq , що

обробляється в даний момент, і 128-бітове значення буферу ABCD, яке є проміжним значенням дайджесту, і змінює вміст цього буфера. Кожен

212

цикл також використовує четверту частину 64-елементної таблиці T 1...64 , побудованої на основі функції sin. i-ий елемент T, що позначається T i , має значення, рівне цілій частині від 232 abs(sin(i)), i заданий в радіанах. Оскільки abs(sin(i)) є числом між 0 і 1, кожен елемент T є цілим, яке може бути представлено 32 бітами. Таблиця забезпечує "випадковий" набір 32-бітних значень, які повинні ліквідувати будь-яку регулярність у вхідних даних. Для отримання MDq 1 вихід

чотирьох циклів додається за модулем 232 с MDq . Додавання

відбувається незалежно для кожного з чотирьох слів у буфері. Крок 5: вихід.

Після обробки всіх L 512-бітних блоків виходом L-ої стадії є 128бітний дайджест повідомлення.

Розглянемо більш детально логіку кожного з чотирьох циклів виконання одного 512-бітного блоку. Кожен цикл складається з 16 кроків, що оперують з буфером АВСD.

Логіку виконання окремого кроку наведено на рис. 6.11. Кожен крок можна подати у вигляді:

A ← B + CLSs (A + f(B,C,D) + X[k] + T[i]) ,

де A,B,C,D – чотири слова буфера; після виконання кожного окремого кроку відбувається циклічний зсув вліво на одне слово;

f – одна з елементарних функцій fF,fG,fH,fI ;

CLSs – циклічний зсув вліво на s біт 32-бітного аргументу;

X k M q 16 k k e 32-бітове слово в q-му 512 блоці повідомлення;

T i – і-те 32-бітове слово в матриці T ; + – додавання за модулем 232.

На кожному з чотирьох циклів алгоритму використовується одна з чотирьох елементарних логічних функцій. Кожна елементарна функція отримує три 32-бітових слова на вході і на виході створює одне 32-бітове слово. Кожна функція є множиною побітових логічних операцій, тобто n- ий біт виходу є функцією від n-ого біта трьох входів. Елементарні

fI C (B D).

213

Масив з 32-бітових слів X 0...15 містить значення поточного 512-бітного вхідного блоку, який обробляється в даний момент. Кожен цикл виконується 16 разів, а оскільки кожен блок вхідного повідомлення обробляється в чотирьох циклах, то кожен блок вхідного повідомлення обробляється за схемою, показаною на рис. 6.10, 64 рази. Якщо уявити вхідний 512-бітний блок у вигляді шістнадцяти 32-бітових слів, то кожне вхідне 32-бітове слово використовується чотири рази, по одному разу в кожному циклі, і кожен елемент таблиці T, що складається з 64 32-бітних слів, використовується тільки один разів.

A B C D

f

+

X[k] (k-е слово

+Y[k], k=0..15)

+ T[i]

CLSS

+

Рис. 6.11. Логіка виконання окремого кроку

Після кожного кроку циклу відбувається циклічний зсув вліво чотирьох слів A,B,C і D. На кожному кроці змінюється тільки одне з чотирьох слів буфера ABCD Отже, кожне слово буфера змінюється 16 разів, і потім 17-ий раз у кінці для отримання остаточного виходу даного блоку. Додавання алгоритмом можна виконувати таким чином:

MD0 IV

MDq 1 MDq fI Yq, fH Yq, fG Yq,fF Yq,MDq

MD MDL 1 ,

де IV – початкове значення буфера ABCD, визначене на кроці 3; Yq – g-ий 512-бітний блок повідомлення;

L – кількість блоків у повідомленні (включаючи поля доповнення та довжини).

214

6.3. Алгоритми SHA-1, SHA-2

Геш-функція SHA-1

Алгоритм SHA-1 розроблений у 1992 році і формує за вхідним двійковим рядком довільної довжини 160-бітний геш-код. Алгоритм носить циклічний характер і у своїх циклах використовує тикий набір нелінійних функцій:

f(u, v, w) (u v) (u w);

g(u, v, w) (u v) (u w) (v w); h(u, v, w) u v w;

де u, v, w – 32-бітні змінні (слова); u v – логічне "І" за розрядами;

u v – логічне "АБО" за розрядами;

u – логічне "доповнення" за розрядами;– додавання за модулем 2.

Далі при описі роботи алгоритму символ " " позначає додавання за модулем 232 , "<<<s" – циклічний зсув уліво на s розрядів.

SHA-1 реалізує геш-функцію, побудовану на ідеї функції стиснення. Входами функції стиснення є блок повідомлення довжиною 512 біт і вихід попереднього блоку повідомлення. Вихід є значення всіх геш-

блоку.

Алгоритм SHA-1.

Вхід. Двійковий рядок х довжиною b ≥0 . Вихід. 160-бітний геш-код за рядком х.

1. Ініціалізація. Ініціалізувати п’ять векторів ініціалізації: h1 = 67452301x; h2 = efcdab89x; h3 = 98badcfex;

h4 = 10325476x ; h5 = c3d2e1f0x.

Задати чотири додаткові константи. y1 = 5a827999x; y2 = 6ed9eba1x;

y3 = 8f1bbcdcx ; y4 = ca62c1d6x.

215

2. Передобробка. Доповнити рядок х так, щоб його довжина була кратна числу 512. Для цього додати в кінець рядка одиницю, а потім стільки нульових біт, скільки необхідно для одержання рядка довжиною на 64 біти коротше довжини, кратної 512. Додати останні два 32-х розрядні слова, що містять двійкове представлення числа b . Нехай m – кількість 512-бітних блоків в отриманому доповненому рядку. Таким чином, форматований вхід буде складатися з 16 m 32-х розрядних слів x0x1...x16m 1 . Ініціалізувати вектор змінних зчеплення:

(H1,H2,H3 ,H4 ,H5 ) = (h1,h2,h3 ,h4 ,h5 ).

3. Обробка. Для всіх i від 0 до m -1 кожний i -й блок із шістнадцяти 32-х бітних слів перетворити у вісімдесят 32-х бітних слів і записати в тимчасовий масив за таким алгоритмом:

Xi x16i j , 0 ≤j ≤15;

Xi ((Xj 3 Xj 8 Xj 14 XJ 16 ) 1).

Зазначимо, що у початковій версії, що називалася SHA, алгоритм не містив лівого зрушення на один біт. Ця зміна введена для посилення геш-функції. У результаті отриманий алгоритм SHA-1.

Ініціалізувати робочі змінні:

(A,B,C,D,E) = (H1,H2,H3,H4,H5 ).

Обчислити для всіх i від 0 до m -1:

Для j 0 до 19

t ((A 5) f(B,C,D) E Xj y1);

(A,B,C,D,E) = (t, A,B <<< 30,C,D).

Для j 20 до 39

t ((A 5) h(B,C,D) E Xj y2 );

(A,B,C,D,E) = (t, A,B <<< 30,C,D).

Для j 40 до 59

t ((A 5) g(B,C,D) E X j y 3 );

(A,B,C,D,E) = (t, A,B <<< 30,C,D).

Для j 60до 79

t ((A 5) h(B,C,D) E Xj y4 );

(A,B,C,D,E) = (t, A,B <<< 30,C,D).

216

Обновити вектор змінних зчеплення:

(H1,H2,H3,H4,H5 ) = (H1 + A,H2 + B,H3 + C,H4 + D,H5 + E).

4. Завершення. Як геш-код прийняти величину:

H1 || H2 || H3 || H4 || H5 .

Порівняно з 128-розрядними геш-функціями, 160-розрядний гешкод, який виробляється SHA-1, забезпечує більшу стійкість до силових атак. Геш-функції SHA-1 і RIPEMD-160 за стійкістю приблизно рівні й обидві перевершують MD5. Розширення блоку вхідного повідомлення введено з метою забезпечення більшої відмінності між вхідними блоками. Надмірність, що вводиться, сприяє підвищенню стійкості гешфункції. На рис. 6.12 наведена схема однієї ітерації алгоритму SHA-1.

SHA-2

Secure Hash версія Алгоритм 2 – безпечний алгоритм гешування, версія 2 – збірна назва односпрямованих геш-функцій SHA-224, SHA-256, SHA-384 і SHA-512. Геш-функції призначені для створення

217

"відбитків" або "дайджестів" повідомлень довільної бітової довжини. Застосовуються в різних додатках або компонентах, пов’язаних із захистом інформації.

Геш-функції SHA-2 розроблені Агентством національної безпеки США і опубліковані Національним інститутом стандартів і технологій у федеральному стандарті обробки інформації FIPS PUB 180-2 в серпні 2002 року. У цей стандарт також увійшла геш-функція SHA-1, розроблена в 1995 році. У лютому 2004 року в FIPS PUB 180-2 була додана SHA-224. У жовтні 2008 року вийшла нова редакція стандарту – FIPS PUB 180-3.

Улипні 2006 року з’явився стандарт RFC 4634 "Безпечні гешалгоритми США (SHA і HMAC-SHA)", що описує SHA-1 і сімейство SHA-2. Агентство національної безпеки від імені держави випустило патент на SHA-2 під ліцензією Royalty Free.

Загальний опис.

Геш-функції сімейства SHA-2 побудовані на основі структури Меркле – Дамгарда.

Початкове повідомлення після доповнення розбивається на блоки, кожен блок – на 8 слів. Алгоритм пропускає кожен блок повідомлення через цикл з 64-ма чи 80-ма ітераціями (раундами). На кожній ітерації 2 слова з восьми перетворюються, функцію перетворення задають інші слова. Результати обробки кожного блоку складаються, сума є значенням геш-функції.

Алгоритм використовує такі бітові операції: ǁ – конкатенація; + – додавання;

and – побітове "І"; or – побітове "АБО";

xor – виключає "АБО";

shr – логічний зсув вправо; rotr – циклічний зсув вправо.

На рис. 6.13 наведена схема однієї ітерації алгоритму SHA-2.

Утабл. 6.12 наведено деякі технічні характеристики різних варіантів SHA-2. "Внутрішній стан" означає проміжну геш-суму після обробки чергового блоку даних.

218

Геш-функції SHA-2 використовуються для перевірки цілісності даних і в різних криптографічних схемах. На 2008 рік сімейство гешфункцій SHA-2 не має такого широкого розповсюдження, як MD5 і SHA-1 незважаючи на виявлені в останніх недоліки.

6.4. Огляд алгоритмів гешування конкурсу SHA-3

219

створення класу геш-функцій потенційно стійких до атак, націлених на SHA-2, а також збереження або збільшення ефективності гешування порівняно з SHA-2 [23; 57].

Алгоритм-переможець конкурсу SHA-3 повинен підтримувати розмір вихідного блоку 224, 256, 384 і 512 бітів. Використання дайджестів геш-кодів довжиною 160-біт не допускаються через можливість знаходження колізій атаками грубої сили (повного перебору всіх варіантів). При проведенні конкурсу зберігаються ті ж вимоги, що і до попередніх геш-функцій: максимальний розмір вхідного значення, розмір вихідного значення, колізійна стійкість, стійкість до знаходження прообразу і другого прообразу, потоковий режим обчислення "за один прохід" [23].

Алгоритми функцій обчислення для різного розміру блоків повинні бути ідентичні і мати мінімум відмінностей в реалізації. Використання абсолютно різних наборів алгоритмів для отримання чотирьох фіксованих значень довжини виходу не допускається [23].

Крім цього висуваються вимоги щодо удосконалення існуючих алгоритмів роботи геш-функцій: можливо включення опції рандомізованого гешування, покращене розпаралелювання, оптимальна робота на безлічі сучасних платформ (включаючи як 64-бітові процесори, так і 8- бітові процесори, а також смарт-карти) [3].

Керівники конкурсу допускають використання параметризації в алгоритмах-конкурсантів – зміна параметрів числа раундів з урахуванням допустимих меж "ефективності в обмін на безпеку". Хоча в стандарт така можливість не буде включена.

У геш-функції класу SHA-3 можуть бути вбудовані процедури погодження для обчислення кодів автентифікації повідомлень (HMAC): наприклад, передача в якості одного з вхідних параметрів довжини блоку вхідного повідомлення, якщо вона заздалегідь точно відома. Значення всіх вбудованих параметрів і констант повинні бути сконструйовані таким чином, щоб не дати можливості вбудовування лазівок і відмичок з боку розробників, для чого мають бути приведені відповідні докази та процедури перевірки [3].

Проведений аналіз специфічних вимог до стійкості показав, що основною вимогою є забезпечення теоретичних меж стійкості (в реаль-

220