Цілісність інформації

Хеш-функції для обчислення коду перевірки цілісності повідомлень належать до підкласу безключових хеш-функцій. В реально існуючих криптосистемах ці хеш-функції - криптографічні, тобто крім мінімальних властивостей хеш-функцій (стиснення даних, простота обчислення дайджесту (англ. digest) від повідомлення) задовольняють таким властивостям:

• безповоротність (англ. preimage resistance);
• стійкість до колізій першого роду (англ. weak collision resistance);
• стійкість до колізій другого роду (англ. strong collision resistance).

В залежності від того, яким із цих властивостей задовольняють MDC хеш-функції, можна виділити два їх підкласи:

• односпрямовані хеш-функції (OWHF, від англ. one-way hash function), які задовольняють властивості безповоротності та стійкі до колізій першого роду;
• стійкі до колізій хеш-функції (CRHF, від англ. collision resistant hash function), які стійкі до колізій першого і другого роду (взагалі кажучи, на практиці CRHF хеш-функції задовольняють і властивості незворотності).

Існує три основних типи MDC алгоритмів хеш-функцій, за способом їх побудови:

• на блокових шифрах; наприклад: алгоритм «Matyas-Meyer-Oseas», алгоритм «Davies-Meyer», алгоритм «Miyaguchi-Preneel», MDC-2, MDC-4;
• спеціальні (англ. customized) алгоритми хешування, в яких робиться наголос на швидкість, і які незалежні від інших компонент системи (в тому числі блочних шифрів або компонент модульного множення, які можуть бути використані для інших цілей). Наприклад: MD4, MD5, SHA-1, SHA-2, RIPEMD-128, RIPEMD-160;
• на модульної арифметики; наприклад: MASH-1, MASH-2.

До MAC хеш-функцій для обчислення кодів аутентифікації повідомлень, підродини ключових хеш-функцій, відносять сімейство функцій, що задовольняють наступним властивостям:

• простота обчислення дайджесту (англ. digest) від повідомлення;
• стиснення даних — вхідне повідомлення довільної бітової довжини перетворюється в дайджест фіксованої довжини;
• стійкість до злому — маючи одну і більше пар повідомлення-дайджест (x[i], h(x[i])), обчислювально неможливо отримати нову пару повідомлення-дайджест (x, h(x)), для якого-небудь нового повідомлення x.

Якщо не виконується остання властивість, то MAC може бути підроблений. Також остання властивість означає, що ключ неможливо обчислити, тобто, маючи одну або більше пар (x[i], h(x[i])) з ключем k, обчислювально неможливо отримати цей ключ.

Алгоритми отримання коду аутентифікації повідомлення можуть бути розділені на наступні групи за їх типом:

• на блокових шифрах. Наприклад, CBC-MAC, RIPE-MAC1, RIPE-MAC3;
• отримання MAC з MDC;
• спеціальні (англ. customized) алгоритми. Наприклад, MAA(Message authentication algorithm), MD5-MAC;
• на потокових шифрах. Наприклад, CRC-based MAC.

Існують методи отримання з MDC кодів автентифікації повідомлень включенням секретного ключа у вхідні дані алгоритму MDC. Недоліком такого підходу є те, що фактично на практиці більшість алгоритмів MDC розроблено так, що вони є або OWHF, або CRHF, вимоги до яких відрізняються від вимог до MAC алгоритмів.

1. secret prefix method: До послідовності блоків даних ${\displaystyle x}$=x₁x₂x₃..x_n в початок приписується секретний ключ k: k||x. Для даної послідовності даних за допомогою ітераційної хеш-функції обчислюється MDC, наприклад, такий, що H₀=IV (англ. initial value), H_і=f(H_i-1,x_і) h(x) = H_n. Таким чином, MAC ${\displaystyle M}$= h(k||x). Недоліком такого підходу є те, що третя сторона може дописати в кінець послідовності блоків додаткові дані y: k||x||y. Новий MAC може бути обчислений без знання ключа k: ${\displaystyle M}$₁ = f(${\displaystyle M}$,y).
2. secret suffix method: Секретний ключ приписується в кінець послідовності даних: x||k. У цьому випадку MAC ${\displaystyle M}$=h(x||k). В цьому випадку може бути застосована атака методом днів народження. При довжині дайджесту n біт. Третій стороні знадобиться близько 2^n/2 операцій, щоб для повідомлення x знайти повідомлення x’ таке, що h (x)= h (x'). При цьому знання ключа k буде не обов'язково. Дізнавшись значення MAC ${\displaystyle M}$ повідомлення x, третя сторона зможе згенерувати коректну пару (x',${\displaystyle M}$).
3. envelope method with padding: Для ключа k і MDC h MAC обчислюється від повідомлення h_k(x)=(k||p||x||k), де p — рядок, що доповнює ключ k до довжини блоку даних, для того, щоб гарантувати, що буде зроблено як мінімум 2 ітерації. Наприклад, для MD5 k — 128 біт, а p — 384 біта.
4. HMAC: Для ключа k і MDC h MAC обчислюється від повідомлення h_k(x)=(k||p₁||h(k||p₂||x)), де p₁,p₂ — різні рядки, доповнюють k до довжини блоку даних. Така конструкція досить ефективна, незважаючи на подвійне використання h.

Від вихідного повідомлення обчислюється MDC, ${\displaystyle M}$=h(x). Цей дайджест додається до повідомлення С=(x||h(x)). Потім розширене таким чином повідомлення шифрується якимось криптоалгоритмом E з загальним ключем k. Після шифрування отримане повідомлення C_encripted передається другій стороні, яка використовуючи ключ, виділяє з шифрованого повідомлення дані x обчислює значення дайджесту ${\displaystyle M}$'. Якщо він збігається з отриманим ${\displaystyle M}$, то вважається, що цілісність повідомлення було збережено.

Метою цього шифрування є захист доданого MDC, щоб третя сторона не могла змінити повідомлення без порушення відповідності між розшифрованим текстом і відновленим кодом перевірки цілісності даних

Якщо при передачі даних конфіденційність не є суттєвою, крім як для забезпечення цілісності даних, то можливі схеми, в яких будуть зашифровані або повідомлення x, або MDC.

• Використання схеми з шифруванням тільки MDC, (x, E_k(h(x))), фактично призводить до окремого випадку MAC. Але в даному випадку, що нетипово для MAC, колізія для даних x, x' може бути знайдена без знання ключа k. Таким чином, хеш-функція має задовольняти вимогу стійкості до колізій другого роду. Так само треба відзначити, що існують такі проблеми: якщо колізія знайдена для двох значень вхідних даних при якому-небудь ключі, то вона збережеться і при зміні цього ключа; якщо довжина блоку шифру менше, ніж довжина дайджесту, то розбиття дайджесту може призвести до уразливості схеми.
• Шифрування тільки даних, (E_k(x), h(x)), дає певний виграш в обчисленнях при шифруванні (за винятком коротких повідомлень). Як і в попередньому випадку, хеш-функція повинна бути стійка до колізій другого роду.

Порівняно з попереднім випадком в канал надсилається повідомлення наступного вигляду: E_k(x||h_k1(x)). Така схема забезпечення цілісності має перевагу над попередньою схемою з MDC: якщо шифр буде зламаний, MAC все одно буде забезпечувати цілісність даних. Недоліком є те, що використовується два різних ключі, для криптоалгоритма і для MAC. При використанні такої схеми, слід бути впевненим, що будь-які залежності між алгоритмом MAC і алгоритмом шифрування не призведуть до уразливості системи. Рекомендується, щоб ці два алгоритми були незалежними (наприклад, такий недолік системи може проявлятися, коли як алгоритм MAC використовується CBC-MAC, і як схема шифрування CBC).

Взагалі кажучи, шифрування повідомлення при використанні кодів аутентифікації повідомлень не обов'язково з точки зору забезпечення цілісності даних тому в найпростіших випадках у схемі може не відбуватися шифрування повідомлення (x||h_k(x)).