Имитовставка

Простым способом преобразовать однонаправленную хэш-функцию в имитовставку (MAC) является шифрование хэш-значения симметричным алгоритмом. Такой MAC может быть преобразован в однонаправленную хэш-функцию с помощью раскрытия ключа.

Другим способом является выработка имитовставки (MAC) с помощью специализированного алгоритма имитозащиты на основе симметричного алгоритма шифрования.

CBC-MAC: Простейший способ создать зависящую от ключа имитовставку — шифрование сообщения блочным алгоритмом в режимах CBC или CFB. Имитовставкой является последний шифрованный блок, зашифрованный в этих режимах. Потенциальная проблема, связанная с безопасностью этого метода, состоит в том, что получатель должен знать ключ, и этот ключ позволяет ему генерировать сообщения с тем же значением имитовставки, что и у полученного сообщения, таким образом, имитовставка на основе симметричного шифра не даёт знания того, кто (отправитель или получатель) сформировал эту имитовставку. Отсюда следует, что имитовставка на основе симметричного шифра не может заменять собой электронную подпись.

ГОСТ 28147-89 предусматривает выработку имитовставки в соответствующем режиме. Длина имитовставки от 1 до 32 бит. Её выработка происходит по следующей схеме.

Открытый текст ${\displaystyle T_{O}}$ разбивается на блоки длиной 64 бита. Последний блок в случае необходимости дополняется нулями.

${\displaystyle T_{O}=T_{O}^{(1)}\,T_{O}^{(2)}\,\ldots \,T_{O}^{(N)}}$

Первый блок ${\displaystyle T_{O}^{(1)}}$ шифруется в режиме простой замены ГОСТ 28147-89^{[уточнить]} тем же ключом, что и сообщение, но с применением 16 циклов вместо 32. Результат складывается побитово по модулю 2 со вторым блоком ${\displaystyle T_{O}^{(2)}}$ и так же шифруется. Результат складывается с третьим блоком, и так далее.

${\displaystyle I=E'_{k}(T_{O}^{(N)}\oplus E'_{k}(T_{O}^{(N-1)}\oplus E'_{k}(\,\ldots \,E'_{k}(T_{O}^{(2)}\oplus E'_{k}(T_{O}^{(1)}))\,\ldots \,))}$

Первые 32 бита получившегося блока составляют имитовставку. Спецификация шифра предусматривает использование в качестве имитовставки, по желанию, меньшее количество бит, но не большее.

Имитовставка обычно передаётся в конце сообщения и может вычисляться либо отдельно от шифрования/расшифрования, либо в процессе оного.

MAA (Message Authenticator Algorithm) — алгоритм проверки подлинности сообщений.

Этот алгоритм является стандартом ISO. Он выдаёт 32-битовое хэш-значение и был спроектирован для мэйнфреймов с быстрыми инструкциями умножения.

v=v<<<1

e=v xor w

x=((((e+y) mod 2^32)۷A۸C)*(x xor Mi))mod 2^32-1

y=((((e+x) mod 2^32)۷B۸D)*(y xor Mi))mod 2^32-1

Эти действия повторяются для каждого блока сообщений, Mi, и результирующее хэш-значение получается с помощью XOR x и y. Переменные v и e зависят от ключа. A, B, C и D являются константами. Возможно, этот алгоритм широко используется, но он недостаточно безопасен. Он разработан давно и не слишком сложен.

Сначала сообщение делится на m-битовые блоки. Затем:

${\displaystyle H_{0}=I}$, где ${\displaystyle I}$ — секретный ключ
${\displaystyle H_{i}=(H_{i-1}+M_{i})^{2}\mod p}$, где ${\displaystyle p}$ — простое число меньше ${\displaystyle 2^{m}-1}$.

Джунеман предложил значения ${\displaystyle n=16}$ и ${\displaystyle p=2^{31}-1}$. Также он предложил, чтобы ${\displaystyle H_{1}}$ использовался в качестве дополнительного ключа, а действительное сообщение начиналось бы с ${\displaystyle H_{2}}$.

Из-за множества вскрытий типа "дня рождения", было предложено вычислять QCMDC 4 раза, используя результат одной итерации в качестве 4 для следующей итерации^{[уточнить]}, а затем результаты объединялись бы в 128-битовое хэш-значение. В дальнейшем эта идея была усилена за счёт параллельного выполнения 4-х итераций с поперечными связями между ними.

Данная^{[какая?]} схема была взломана Дон Копперсмитом.

• Словарь криптографических терминов / Под ред. Б. А. Погорелова и В. Н. Сачкова. — М.: МЦНМО, 2006. — С. 94. — ISBN 5-94057-257-X.

• UMAC