---------------
什么是 Hash
Hash 的重要特?nbsp;
Hash 函数的实?nbsp;
主要?Hash 法
Hash 法的安全问?nbsp;
Hash 法的应?nbsp;
l??nbsp;
---------------
HashQ一般翻译做“散列”Q也有直接音译ؓ"哈希"的，是把Q意长度的输入Q又叫做预映， pre-imageQ，通过散列法Q变换成固定长度的输出，该输出就是散列倹{这U{换是一U压~映，也就是，散列值的I间通常q小于输入的I间Q不同的输入可能会散列成相同的输出，而不可能从散列值来唯一的确定输入倹{?/p>
数学表述为：h = H(M) Q其中H( )--单向散列函数QM--L长度明文Qh--固定长度散列倹{?/p>
在信息安全领域中应用的Hash法Q还需要满_他关键特性：
W一当然是单向?one-way)Q从预映，能够单迅速的得到散列|而在计算上不可能构造一个预映射Q其散列结果等于某个特定的散列|x造相应的M=H-1(h)不可行。这P散列值就能在l计上唯一的表征输入|因此Q密码学上的 Hash 又被UCؓ"消息摘要(message digest)"Q就是要求能方便的将"消息"q行"摘要"Q但?摘要"中无法得到比"摘要"本n更多的关?消息"的信息?/p>
W二是抗冲突?collision-resistant)Q即在统计上无法产生2个散列值相同的预映。给定MQ计上无法扑ֈM'Q满H(M)=H(M') Q此谓弱抗冲H性；计算上也难以L一对Q意的M和M'Q满H(M)=H(M') Q此谓强抗冲H性。要?强抗冲突?主要是ؓ了防范所?生日d(birthday attack)"Q在一?0人的团体中，你能扑ֈ和你生日相同的h的概率是2.4%Q而在同一团体中，?人生日相同的概率?1.7%。类似的Q当预映的I间很大的情况下Q算法必L_的强度来保证不能L扑ֈ"相同生日"的h?/p>
W三是映分布均匀性和差分分布均匀性，散列l果中，?0 ?bit 和ؓ 1 ?bit Q其L应该大致相等Q输入中一?bit 的变化，散列l果中将有一半以上的 bit 改变Q这又叫?雪崩效应(avalanche effect)"Q要实现使散列结果中出现 1bit 的变化，则输入中臛_有一半以上的 bit 必须发生变化。其实质是必M输入中每一?bit 的信息，量均匀的反映到输出的每一?bit 上去Q输Z的每一?bitQ都是输入中可能多 bit 的信息一起作用的l果?/p>
Damgard ?Merkle 定义了所?#8220;压羃函数(compression function)”Q就是将一个固定长度输入，变换成较短的固定长度的输出，q对密码学实践上 Hash 函数的设计生了很大的媄响。Hash函数是被设计ؓZ通过特定压羃函数的不断重?#8220;压羃”输入的分l和前一ơ压~处理的l果的过E，直到整个消息都被压羃完毕Q最后的输出作ؓ整个消息的散列倹{尽还~Z严格的证明，但绝大多C界的研究者都同意Q如果压~函数是安全的，那么以上qŞ式散列Q意长度的消息也将是安全的。这是所?Damgard/Merkle l构Q?/p>
在下图中QQ意长度的消息被分拆成W合压羃函数输入要求的分l，最后一个分l可能需要在末尾M特定的填充字节，q些分组被序处理Q除了第一个消息分l将与散列初始化g起作为压~函数的输入外，当前分组和前一个分l的压羃函数输出一赯作ؓq一ơ压~的输入Q而其输出又将被作Z一个分l压~函数输入的一部分Q直到最后一个压~函数的输出Q将被作为整个消息散列的l果?/p>
MD5 ?SHA1 可以说是目前应用最q泛的Hash法Q而它们都是以 MD4 为基设计的?/p>
1) MD4
MD4(RFC 1320)?MIT ?Ronald L. Rivest ?1990 q设计的QMD ?Message Digest 的羃写。它适用?2位字长的处理器上用高速Y件实?-它是Z 32 位操作数的位操作来实现的。它的安全性不像RSA那样Z数学假设Q尽?Den Boer、Bosselaers ?Dobbertin 很快q分析和差分成功的d了它3轮变换中?2 轮，证明了它q不像期望的那样安全Q但它的整个法q没有真正被破解q，Rivest 也很快进行了改进?/p>
下面是一些MD4散列l果的例子：
MD4 ("") = 31d6cfe0d16ae931b73c59d7e0c089c0
MD4 ("a") = bde52cb31de33e46245e05fbdbd6fb24
MD4 ("abc") = a448017aaf21d8525fc10ae87aa6729d
MD4 ("message digest") = d9130a8164549fe818874806e1c7014b
MD4 ("abcdefghijklmnopqrstuvwxyz") = d79e1c308aa5bbcdeea8ed63df412da9
MD4 ("ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789") = 043f8582f241db351ce627e153e7f0e4
MD4 ("12345678901234567890123456789012345678901234567890123456789012345678901234567890") = e33b4ddc9c38f2199c3e7b164fcc0536
2) MD5
MD5(RFC 1321)?Rivest ?991q对MD4的改q版本。它对输入仍?12位分l，其输出是4?2位字的联，?MD4 相同。它较MD4所做的改进是：
1) 加入了第四轮
2) 每一步都有唯一的加法常敎ͼ
3) W二轮中的G函数?(X ?Y) ?(X ?Z) ?(Y ?Z)) 变ؓ ((X ?Z) ?(Y ?～Z))以减其对称性；
4) 每一步都加入了前一步的l果Q以加快"雪崩效应"Q?nbsp;
5) 改变了第2轮和W?轮中讉K输入子分l的序Q减了形式的相似程度；
6) q似优化了每轮的循环左移位移量，以期加快"雪崩效应"Q各轮的循环左移都不同?nbsp;
管MD5比MD4来得复杂Qƈ且速度较之要慢一点，但更安全Q在抗分析和抗差分方面表现更好?/p>
消息首先被拆成若q个512位的分组Q其中最?12位一个分l是“消息?填充字节(100…0)+64 位消息长?#8221;Q以保对于不同长度的消息，该分l不相同?4位消息长度的限制D了MD5安全的输入长度必d?64bitQ因为大?4位的长度信息被忽略。??2位寄存器字初始化为A=0x01234567QB=0x89abcdefQC=0xfedcba98QD=0x76543210Q它们将始终参与q算qŞ成最l的散列l果?/p>
接着各个512位消息分l以16?2位字的Ş式进入算法的d@环，512位消息分l的个数据决定了循环的次数。主循环?轮，每轮分别用到了非U性函?/p>
F(X, Y, Z) = (X ?Y) ?(～X ?Z)
G(X, Y, Z) = (X ?Z) ?(Y ?～Z)
H(X, Y, Z) =X ⊕ Y ⊕ Z
I(X, Y, Z) = X ⊕ (Y ?～Z)
q?轮变换是对进入主循环?12位消息分l的16?2位字分别q行如下操作Q将A、B、C、D的副本a、b、c、d中的3个经F、G、H、Iq算后的l果与第4个相加，再加?2位字和一?2位字的加法常敎ͼq将所得之值@环左U若q位Q最后将所得结果加上a、b、c、d之一Qƈ回送至ABCDQ由此完成一ơ@环?/p>
所用的加法常数p样一张表T[i]来定义，其中i?…64QT[i]是i的正弦绝对g4294967296ơ方的整数部分，q样做是Z通过正u函数和幂函数来进一步消除变换中的线性性?/p>
当所?12位分l都q算完毕后，ABCD的联将被输ZؓMD5散列的结果。下面是一些MD5散列l果的例子：
MD5 ("") = d41d8cd98f00b204e9800998ecf8427e
MD5 ("a") = 0cc175b9c0f1b6a831c399e269772661
MD5 ("abc") = 900150983cd24fb0d6963f7d28e17f72
MD5 ("message digest") = f96b697d7cb7938d525a2f31aaf161d0
MD5 ("abcdefghijklmnopqrstuvwxyz") = c3fcd3d76192e4007dfb496cca67e13b
MD5 ("ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789") = d174ab98d277d9f5a5611c2c9f419d9f
MD5 ("12345678901234567890123456789012345678901234567890123456789012345678901234567890") = 57edf4a22be3c955ac49da2e2107b67a
参考相应RFC文可以得到MD4、MD5法的详l描q和法的C源代码?/p>
3) SHA1 及其?nbsp;
SHA1是由NIST NSA设计为同DSA一起用的Q访问http://www.itl.nist.gov/fipspubs可以得到它的详细规范--[/url]"FIPS PUB 180-1 SECURE HASH STANDARD"。它寚w度小?64的输入，产生长度?60bit的散列|因此抗穷?brute-force)性更好。SHA-1 设计时基于和MD4相同原理,q且模仿了该法。因为它?60bit的散列|因此它有5个参与运的32位寄存器字，消息分组和填充方式与MD5相同Q主循环也同h4轮，但每轮进?0ơ操作，非线性运、移位和加法q算也与MD5cMQ但非线性函数、加法常数和循环左移操作的设计有一些区别，可以参考上面提到的规范来了解这些细节。下面是一些SHA1散列l果的例子：
SHA1 ("abc") = a9993e36 4706816a ba3e2571 7850c26c 9cd0d89d
SHA1 ("abcdbcdecdefdefgefghfghighijhijkijkljklmklmnlmnomnopnopq") = 84983e44 1c3bd26e baae4aa1 f95129e5 e54670f1
其他一些知名的Hash法q有MD2、N-Hash、RIPE-MD、HAVAL{等。上面提到的q些都属?U?Hash法。还有另2cHash法Q一cd是基于对U分l算法的单向散列法Q典型的例子是基于DES的所谓Davies-Meyer法Q另外还有经IDEA改进的Davies-Meyer法Q它们两者目前都被认为是安全的算法。另一cLZ模运?LҎ的，也就是基于公开密钥法的，但因为其q算开销太大Q而缺乏很好的应用前景?/p>
没有通过分析和差分攻击考验的算法，大多都已l夭折在实验室里了，因此Q如果目前流行的Hash法能完全符合密码学意义上的单向性和抗冲H性，׃证了只有IDQ才是破坏Hashq算安全Ҏ的唯一Ҏ。ؓ了对抗弱抗冲H性，我们可能要穷举个数和散列值空间长度一样大的输入，卛_?^128?^160个不同的输入Q目前一台高个人电脑可能需?0^25q才能完成这一艰巨的工作，即是最高端的ƈ行系l，q也不是在几千年里的q得完的事。而因?生日d"有效的降低了需要穷丄I间Q将光低ؓ大约1.2*2^64?.2*2^80Q所以，强抗冲突性是军_Hash法安全性的关键?/p>
在NIST新的 Advanced Encryption Standard (AES)中，使用了长度ؓ128?92?56bit 的密钥，因此相应的设计了 SHA256、SHA384、SHA512Q它们将提供更好的安全性?/p>
Hash法在信息安全方面的应用主要体现在以下的3个方面：
1) 文g校验
我们比较熟悉的校验算法有奇偶校验和CRC校验Q这2U校验ƈ没有抗数据篡改的能力Q它们一定程度上能检ƈU正数据传输中的信道误码Q但却不能防止对数据的恶意破坏?/p>
MD5 Hash法?数字指纹"Ҏ，使它成ؓ目前应用最q泛的一U文件完整性校验和(Checksum)法Q不Unixpȝ有提供计md5 checksum的命令。它常被用在下面?U情况下Q?/p>
W一是文件传送后的校验，得到的目标文g计算 md5 checksumQ与源文件的md5 checksum 比对Q由两?md5 checksum 的一致性，可以从统计上保证2个文件的每一个码元也是完全相同的。这可以验文件传输过E中是否出现错误Q更重要的是可以保证文g在传输过E中未被恶意改。一个很典型的应用是ftp服务Q用户可以用来保证多ơ断点箋传，特别是从镜像站点下蝲的文件的正确性?/p>
更出色的解决Ҏ是所谓的代码{Q文件的提供者在提供文g的同Ӟ提供Ҏ件Hash值用自己的代码签名密钥进行数字签名的|及自q代码{证书。文件的接受者不仅能验证文g的完整性，q可以依据自己对证书{֏者和证书拥有者的信QE度Q决定是否接受该文g。浏览器在下载运行插件和java程序时Q用的是q样的模式?/p>
W二是用作保存二q制文gpȝ的数字指U，以便文件系l是否未l允许的被修攏V不系l管?pȝ安全软g都提供这一文gpȝ完整性评估的功能Q在pȝ初始安装完毕后，建立Ҏ件系l的基础校验和数据库Q因为散列校验和的长度很，它们可以方便的被存放在容量很的存储介质上。此后，可以定期或根据需要，再次计算文gpȝ的校验和Q一旦发C原来保存的值有不匹配，说明该文件已l被非法修改Q或者是被病毒感染，或者被木马E序替代。TripWire提供了一个此cd用的典型例子?/p>
更完的Ҏ是?MAC"?MAC" 是一个与Hash密切相关的名词，即信息鉴权码(Message Authority Code)。它是与密钥相关的Hash|必须拥有该密钥才能检验该Hash倹{文件系l的数字指纹也许会被保存在不可信ȝ介质上，只对拥有该密钥者提供可鉴别性。ƈ且在文g的数字指UҎ可能需要被修改的情况下Q只有密钥的拥有者可以计出新的散列|而企囄坏文件完整性者却不能得逞?/p>
2) 数字{
Hash 法也是C密码体系中的一个重要组成部分。由于非对称法的运速度较慢Q所以在数字{协议中，单向散列函数扮演了一个重要的角色?/p>
在这U签名协议中Q双方必M先协商好双方都支持的Hash函数和签名算法?/p>
{方先对该数据文gq行计算其散列|然后再对很短的散列值结?-如Md5?6个字节，SHA1?0字节Q用非对U算法进行数字签名操作。对方在验证{Ӟ也是先对该数据文件进行计其散列|然后再用非对U算法验证数字签名?/p>
?Hash |又称"数字摘要"q行数字{Q在l计上可以认ZҎ件本w进行数字签名是{效的。而且q样的协议还有其他的优点Q?/p>
首先Q数据文件本w可以同它的散列值分开保存Q签名验证也可以q数据文g本n的存在而进行?/p>
再者，有些情况下签名密钥可能与解密密钥是同一个，也就是说Q如果对一个数据文件签名，与对其进行非对称的解密操作是相同的操作，q是相当危险的，恶意的破坏者可能将一个试N你将其解密的文gQ充当一个要求你{的文件发送给你。因此，在对M数据文gq行数字{Ӟ只有对其HashD行签名才是安全的?/p>
3) 鉴权协议
如下的鉴权协议又被称?挑战--认证模式Q在传输信道是可被侦听，但不可被改的情况下Q这是一U简单而安全的Ҏ?/p>
需要鉴权的一方，向将被鉴权的一方发送随ZQ?#8220;挑战”Q，被鉴权方该随机串和自己的鉴权口令字一赯?Hash q算后，q还鉴权方，鉴权方将收到的Hashg在己端用该随Z和对方的鉴权口o字进?Hash q算的结果相比较Q?#8220;认证”Q，如相同，则可在统计上认ؓҎ拥有该口令字Q即通过鉴权?/p>
POP3协议中就有这一应用的典型例子：
S: +OK POP3 server ready <1896.697170952@dbc.mtview.ca.us>
C: APOP mrose c4c9334bac560ecc979e58001b3e22fb
S: +OK maildrop has 1 message (369 octets)
在上面的一DPOP3协议会话中，双方都共享的对称密钥Q鉴权口令字Q是tanstaafQ服务器发出的挑战是<1896.697170952@dbc.mtview.ca.us>Q客LҎ战的应答是MD5("<1896.697170952@dbc.mtview.ca.us>tanstaaf") = c4c9334bac560ecc979e58001b3e22fbQ这个正的应答使其通过了认证?/p>
散列法长期以来一直在计算机科学中大量应用Q随着C密码学的发展Q单向散列函数已l成Z息安全领域中一个重要的l构模块Q我们有理由深入研究其设计理论和应用Ҏ?/p>
}
}