7.2. Ключевые функции хэширования

В криптографических приложениях к ключевым функци­ям хэширования предъявляются следующие основные требо­вания:

– невозможность фабрикации;

– невозможность модификации.

Первое требование означает высокую сложность подбора сообщения с правильным значением свертки. Второе – высокую сложность подбора для заданного сообщения с известным значением свертки другого сообщения с правильным значением свертки.

Иногда эти свойства объединяют в одно более сильное свойство – свойство вычислительной устойчивости. Это требование означает высокую сложность подбора для заданного множества сообщений {х₁,..,х_t} (быть может, пустого) с известными значениями сверток еще одного сообщения х, х х_i, i=1,...,t, с правильным значением свертки (возможен случай h(x) = h(х_i), i{1,...,t}).

Заметим, что здесь и всюду ниже слова "высокая слож­ность" означают такую вычислительную сложность задачи, при которой ее решение с использованием вычислительной техники за реальное время невозможно.

Ключевые функции применяются в ситуациях, когда стороны доверяют друг другу и могут иметь общий секретный ключ. Обычно в этих условиях не требуется, чтобы система обеспечивала защиту в случае отказа получателя от факта получения сообщения или его подмены. Поэтому от ключевых хэш-функций не требуется устойчивости к коллизиям.

Обычные атаки на ключевые хэш-функции заключаются в имитации, то есть в передаче сфабрикованных сообщений в пустом канале, а также в подмене передаваемых сообщений с целью навязывания приемной стороне ложных сообщений.

Заметим, что из свойства вычислительной устойчивости вытекает невозможность определения ключа, используемого хэш-функцией, так как знание ключа дает возможность вычислять значение свертки для любого набора данных. В то же время обратное утверждение неверно, так как подбор значе­ния функции хэширования возможен в некоторых случаях без предварительного определения ключа.

В качестве примера рассмотрим широко распространенную хэш-функцию, построенную на основе одношаговой сжимающей функции вида

f_k(x,Н)=Е_k(хН),

где E_k — алгоритм блочного шифрования.

Для вычисления значения h(M) сообщение М представляется в виде последовательности n-битовых блоков М₁,М₂,..,М_N. Если при этом длина сообщения не кратна длине блока, то последний блок неким специальным образом допол­няется до полного блока. Алгоритм вычисления свертки име­ет следующий вид:

Н₀ = 0, Н_i = Е_k (М_i H_i-1), i=1,...,N, h(M)=H_N. (7.2)

Данный алгоритм фактически совпадает с режимом шиф­рования со сцеплением блоков (см. 6), с той лишь разни­цей, что в качестве результата берется не весь шифртекст Н₁,Н₂,..,Н_N, а только его последний блок. Такой режим в ГОСТе 28147-89 называется режимом выработки имитовставки.

Еще одной основой для построения ключевых хэш-функций могут служить бесключевые хэш-функции. При этом для вычисления значения свертки ключ приписывается к ис­ходному сообщению.

Заметим, что если ключ просто дописывать в начало или в конец исходного сообщения, то это может приводить к по­тенциальным слабостям, позволяющим в некоторых случаях осуществлять модификацию сообщений.

Пусть, например, ключ k добавляется к началу сообщения согласно формуле h_k(х) = h(k,x). Если функция h построена на основе одношаговой сжимающей функции по формуле (7.1), то по известным значениям М и H=h(k,M) можно вычис­лять значения этой функции для любых сообщений вида ( М, М') с дописанным произвольным окончанием М'. Это объясняется итеративностью процедуры вычисления функции, в силу которой для нахождения значения H'=h(k,M,M') не требуется знание ключа k, достаточно воспользоваться уже вычисленным "промежуточным" значением H. Поэтому такая функция не устойчива к модификации.

В случае когда ключ добавляется в конец сообщения согласно формуле H =h_k (M)=h(M,k), знание коллизии для функции h, то есть пары х₁,х₂, х₁х₂, такой, что h(х₁) = h(х₂), позволяет вычислять значения h(х₁,k) =h(х₂,k) для любого ключа k. Поэтому трудоемкость моди­фикации сообщения М= х₁ оценивается не величиной 0(2ⁿ), а сравнима с трудоемкостью поиска коллизии, оцениваемой "величиной 0(2^п/2}, так как в данном случае применима атака, основанная на парадоксе "дней рождений".

В связи с этим более предпочтительными являются способы введения ключа, при которых ключ вставляется в сооб­щение не один, а, по крайней мере, два раза. Можно указать два таких способа:

H=h(k,y,M,k),

H=h(k, y₁,h(k, y₂,M)),

где y, y₁, у₂ – дополнения ключа k до размера, кратного длине блока п. Для определенных бесключевых хэш-функций h такой подход позволяет строить эффективно вычислимые и устойчивые к атакам ключевые хэш-функции. Недостатком такого метода является слишком большая длина п свертки. Для целей проверки целостности обычно вы­бирают длину свертки п в пределах 32-64, а для аутентифи­кации необходимо условие п > 128.

В заключение отметим, что существуют ключевые хэш-функции, не использующие какую-либо основу типа блочного шифрования или вычисления бесключевой хэш-функции, а разработанные независимо с учетом эффективной реализации на современных ЭВМ. Примером служит ключевая хэш-функция, используемая в алгоритме МАА (Message Authenticator Algorithm), утвержденном стандартом ISO 8731-2.