Целостность информации

Хеш-функции для вычисления кода проверки целостности сообщений принадлежат к подклассу бесключевых хеш-функций. В реально существующих криптосистемах эти хеш-функции являются криптографическими, то есть кроме минимальных свойств хеш-функций(сжатие данных, простота вычисления дайджеста (англ. digest) от сообщения) удовлетворяют следующим свойствам:

• необратимость (англ. preimage resistance);
• стойкость к коллизиям первого рода (англ. weak collision resistance);
• стойкость к коллизиям второго рода (англ. strong collision resistance).

В зависимости от того, каким из этих свойств удовлетворяют MDC хеш-функции, можно выделить два их подкласса:

• однонаправленные хеш-функции (OWHF, от англ. one-way hash function), которые удовлетворяют свойству необратимости и устойчивы к коллизиям первого рода;
• устойчивые к коллизиям хеш-функции (CRHF, от англ. collision resistant hash function), которые устойчивы к коллизиям первого и второго рода (вообще говоря, на практике CRHF хеш-функции удовлетворяют и свойству необратимости).

Существует три основных типа MDC алгоритмов хеш-функций, по способу их построения:

• на блочных шифрах; например: алгоритм Matyas-Meyer-Oseas, алгоритм Davies-Meyer, алгоритм Miyaguchi-Preneel, MDC-2, MDC-4;
• специальные (англ. customized) алгоритмы хеширования, в которых делается упор на скорость, и которые независимы от других компонент системы (в том числе блочных шифров или компонент модульного умножения, которые могут быть уже использованы для других целей). Например: MD4, MD5, SHA-1, SHA-2, RIPEMD-128, RIPEMD-160;
• на модульной арифметике; например: MASH-1, MASH-2.

К MAC хеш-функциям для вычислений кодов аутентификации сообщений, подсемейству ключевых хеш-функций, относят семейство функций удовлетворяющих следующим свойствам:

• простота вычисления дайджеста (англ. digest) от сообщения;
• сжатие данных — входное сообщение произвольной битовой длины преобразуется в дайджест фиксированной длины;
• стойкость ко взлому — имея одну и более пар сообщение-дайджест, (x[i], h(x[i])), вычислительно невозможно получить новую пару сообщение-дайджест (x, h(x)), для какого-либо нового сообщения x.

Если не выполняется последнее свойство, то MAC может быть подделан. Также последнее свойство подразумевает, что ключ невозможно вычислить, то есть, имея одну или более пар (x[i], h(x[i])) с ключом k, вычислительно невозможно получить этот ключ.

Алгоритмы получения кода аутентификации сообщения могут быть разделены на следующие группы по их типу:

• на блочных шифрах. Например, CBC-MAC, RIPE-MAC1, RIPE-MAC3;
• получение MAC из MDC;
• специальные (англ. customized) алгоритмы. Например, MAA, MD5-MAC;
• на потоковых шифрах. Например, CRC-based MAC.

Существуют методы получения из MDC кодов аутентификации сообщений включением секретного ключа во входные данные алгоритма MDC. Недостатком такого подхода является то, что фактически на практике большинство алгоритмов MDC разработано так, что они являются либо OWHF, либо CRHF, требования к которым отличаются от требований к MAC алгоритмам.

1. secret prefix method : К последовательности блоков данных ${\displaystyle x}$=x₁x₂x₃..x_n в начало приписывается секретный ключ k: k||x. Для данной последовательности данных с помощью итерационной хеш-функции вычисляется MDC, например, такой, что H₀=IV (от англ. initial value), H_i=f(H_i-1,x_i) h(x) = H_n. Таким образом, MAC ${\displaystyle M}$=h(k||x). Минусом такого подхода является то, что третья сторона может дописать в конец последовательности блоков дополнительные данные y: k||x||y. Новый MAC может быть вычислен без знания ключа k: ${\displaystyle M}$₁ = f(${\displaystyle M}$,y).
2. secret suffix method : Секретный ключ приписывается в конец последовательности данных: x||k. В этом случае MAC ${\displaystyle M}$=h(x||k). В этом случае может быть применена атака методом дней рождений. При длине дайджеста в n бит. Третьей стороне понадобится порядка 2^n/2 операций, чтобы для сообщения x найти сообщение x’ такое, что h(x)= h(x’). При этом знание ключа k будет не обязательно. Узнав значение MAC ${\displaystyle M}$ для сообщения x, третья сторона сможет сгенерировать корректную пару (x’,${\displaystyle M}$).
3. envelope method with padding : Для ключа k и MDC h вычисляется MAC от сообщения h_k(x)=(k||p||x||k), где p — строка, дополняющая ключ k до длины блока данных, для того, чтобы гарантировать, что будет произведено как минимум 2 итерации. Например, для MD5 k — 128 бит, а p — 384 бита.
4. HMAC : Для ключа k и MDC h вычисляется MAC от сообщения h_k(x)=(k||p₁||h(k||p₂||x)), где p₁,p₂ — различные строки, дополняющие k до длины блока данных. Такая конструкция довольно эффективна, несмотря на двойное использование h.

От исходного сообщения вычисляется MDC, ${\displaystyle M}$=h(x). Этот дайджест добавляется к сообщению С=(x||h(x)). Затем расширенное таким образом сообщение шифруется каким-то криптоалгоритмом E с общим ключом k. После шифрования полученное сообщение C_encripted передается второй стороне, которая используя ключ, выделяет из шифрованного сообщения данные x’ вычисляет для него значение дайджеста ${\displaystyle M}$’. Если он совпадает с полученным ${\displaystyle M}$, то считается, что целостность сообщения была сохранена. Целью этого шифрования является защита добавленного MDC, чтобы третья сторона не могла изменить сообщение без нарушения соответствия между расшифрованным текстом и восстановленным кодом проверки целостности данных. Если при передаче данных конфиденциальность не является существенной, кроме как для обеспечения целостности данных, то возможны схемы, в которых будут зашифрованы только либо сообщение x, либо MDC.

• Использование схемы с шифрованием только MDC, (x, E_k(h(x))), фактически приводит к частному случаю MAC. Но в данном случае, что нетипично для MAC, коллизия для данных x, x’ может быть найдена без знания ключа k. Таким образом, хеш-функция должна удовлетворять требованию стойкости к коллизиям второго рода. Так же надо отметить, что существуют такие проблемы: если коллизия найдена для двух значений входных данных при каком-либо ключе, то она сохранится и при изменении этого ключа; если длина блока шифра меньше, чем длина дайджеста, то разбиение дайджеста может привести к уязвимости схемы.
• Шифрование только данных, (E_k(x), h(x)), дает некоторый выигрыш в вычислениях при шифровании(за исключением коротких сообщений). Как и в предыдущем случае, хеш-функция должна быть устойчива к коллизиям второго рода.

По сравнению с предыдущим случаем в канал посылается сообщение следующего вида: E_k(x||h_k1(x)). Такая схема обеспечения целостности имеет преимущество над предыдущей схемой с MDC: если шифр будет взломан, MAC все равно будет обеспечивать целостность данных. Недостатком является то, что используется два различных ключа, для криптоалгоритма и для MAC. При использовании подобной схемы, следует быть уверенным, что какие-либо зависимости между алгоритмом MAC и алгоритмом шифрации не приведут к уязвимости системы. Рекомендуется, чтобы эти два алгоритма были независимыми (например, такой недостаток системы может проявляться, когда в качестве алгоритма MAC используется CBC-MAC, и в качестве схемы шифрования CBC).

Вообще говоря, шифрация всего сообщения при использовании кодов аутентификации сообщений не обязательно с точки зрения обеспечения целостности данных, поэтому в простейших случаях в схеме может не происходить шифрация сообщения (x||h_k(x)).