密码学与网络安全最终版(3).pdf

1、1. AES（ 97） (1) AES 数学基础 AES 使用有限域 GF（ 28）内的算术，在 8 位的字节上运算。 有限域 GF（ 28）中的多项式加法等同于按位异或（ XOR）运算。 有限域 GF（ 28）中两个元素的乘法为模 2 元域 GF（ 28）上的一个 8 次不可约多项式的多项式乘法。对于 AES 的 8 次不可约多项式为： m(x)=x8 + x4 + x3 + x + 1 (2) AES 总体结构 1） 明文分组的长度为 128 位即 16 字节，密钥长度可以为 16 字节， 24字节或 32 字节（ 128 位， 192 位或 256 位） 2） 加密和解密算法的输入是一个

2、 128 位分组。 3） 密码由 N 轮组成，其中轮数依赖于密钥长度： 16 字节密钥是 10 轮，24 字节密钥对应 12 轮， 32 字节密钥对应 14 轮。前 N 1 轮由 4 个不同的变换组成：字节代替，行移位，列混淆和轮密钥加。最后一轮仅包括 3 个变换（字节代替，行移位和轮密钥加），而在第一轮的前面有一个起始的单变换（轮密钥加），可以视为 0 轮。 (3) AES 详细结构（特性） 1） AES 结构的一个显著特征是 它不是 Feistel 结构。 2） 输入的轮密钥被扩展成由 44 个 32 位字节所组成的数组 wi。 3） 由 4 个不同的阶段组成，包括一个置换和 3 个代替：

3、 字节代替 ：用一个 S 盒完成分组的字节 到字节的代替。把该字节的高4 位作为行值，低 4 位作为列值，以这些行列值作为索引从 S 盒的对应位置取出元素作为输出。 行移位 ：一个简单的置换。状态的 第 一行保持不变。把状态的第二行循环左移 一 个字节，状态的第三行循环左移两个字节，状态的第四行循环左移三个字节。 列混淆 ：利用域 GF（ 28）上的算术特性的一个代替。 轮密钥加 ：当前分组和扩展密钥的一部分进行按位 XOR。 4） 算法结构 非常 简单 。对加密和解密操作，算法由轮密钥加开始，接着执行 9 轮迭代运算，每轮都包含所有四个阶段的代替，接着是第 10轮的三个阶段。 5） 仅仅在轮

4、密钥加阶段 中使用密钥。 6） 每个阶段均可逆。 7） AES 的加密解密算法不一样。 2. SHA-512 算法步骤（ 251） 算法的输入是最大长度小于 2128 位的消息，输出的是 512 的消息摘要，输入消息以 1024 位的分组为单位进行处理。 （ 1） 附加填充位。 填充消息使其长度模 1024 与 896 同余 即长度 896（ mod1024） 。填充位数在 11024 之间，由一个 1 和后续的 0 组成。 （ 2） 附加长度。 在消息后附加一个 128 位的块，将其视为 128 位的无符号整数（最高有效字节在前），它包含填充前消息的长度。 （ 3） 初始化 Hash 缓冲区

5、。 （ 4） 以 1024 位的 分组（ 128 个字节）为单位处理消息。 （ 5） 输出。 所有的 N 个 1024 位分组都处理完以后，从第 N 阶段输出的是 512位的消息摘要。 总结： H0 = IV H1 = SUM64(Hi-1,abcdefghi) MD = HN 3. 椭圆曲线（ 223） (1) 实数域上的椭圆曲线 ： y2 = x3 + ax + b 椭圆曲线加法的运算规则： 1） O 是加法的单位元。这样有 O = O；对椭圆曲线上的任何一点 P，有 P + O = P。 2） 点 P 的负元具有相同的 x 坐标和相反的 y 坐标点，即若 P = ( x , y )，则

6、P = ( x , y )。 3） 要计算 x 坐标不相同的两点 P 和 Q，则在 P 和 Q 间作一条直线并找出第三个交点 R，显然存在有唯一的交点 R， P + Q = R。 4） 计算具有相同 x 坐标的两个点 P 和 P，有 P + ( P ) = O。 5） 为计算点 Q 的两倍，画出一条切线并找出另一交点 S，则 Q + Q = 2Q = S。 (2) Zp 上的椭圆曲线： y2 mod p = ( x3 + ax + b )mod p 1) P + O = P。 2) 若 P = ( xp , yp )， 则 P + ( xp , yp ) = O。 点 ( xp , yp )是

7、 P 的负元，记 为 P。 3) 若 P = ( xp , yp )， Q = ( xQ , yQ )，且 P Q则 R = P + Q = ( xR , yR ) 由下列规则确定： xR = （ 2 xp xQ ） mod p yR = （ （ xp xR） yp） mod p 其中，当 P Q, = (yQ yp) / （ xQ xp） mod p 当 P = Q, = (3 xp2 + a ) / （ 2 yp） mod p 4) 乘法定义为重复加 (3) GF（ 2m）上的椭圆曲线： y2 + xy = x3 + ax + b ECC Diffie-Hellman 密钥交换 全局公开量

8、： Eq( a , b ) 参数为 a， b 和 q 的椭圆曲线，其中 q 是素数或形如 2m的整数 G 阶为 n 的椭圆曲线上的点，其中 n 是大整数 用户 A 的密钥产生：选择私有的 nA ， nA n 选择公开的 PA， PA = nA * G 用户 B 的密钥产生：选择私有的 nB， nB n 选择公开的 PB， PB = nB * G 用户 A 产生秘密钥： K = nA * PB 用户 B 产生秘密钥： K = nB * PA 椭圆曲 线加 /解密 加 /解密系统也需要点 G 和椭圆群 Eq(a,b)这些参数 （ 1） 每个用户 A 选择一个私钥 nA ，并产生公钥 PA = nA

9、 * G （ 2） 若 A 要将消息 Pm 加密后发送给 B，则 A 随机选择一个正整数 K，并产生密文 Cm。该密文是一个点对 Cm =（ KG， Pm + K PB） （ 3） 此处 A 使用了 B 的公钥 PB。 B 要对密文解密，则需用第二个点减去第一个点与 B 的私钥之积。 Pm + K PB nB（ KG） = Pm + K(nB G) nB (KG) = Pm 4. ElGamal 数字签名方案 （ 303） ElGamal 数字签名方案 的基本元素是素数 q 和 ，其中 是 q 的原根。 用户 A 产生公钥 /私钥对 （ 1） 生成随机整数 XA，使得 1 XA q-1。 （

10、2） 计算 YA = XA mod q。 （ 3） A 的私钥是 XA， A 的公钥是 q, , YA。 为了对消息 M 进行签名，用户 A 计算 hash 值 m = H(M)， 0 = m = q-1 的整数。 A 产生数字签名 （ 1） 选择随机整数 K，使得满足 1 = K = q-1 以及 gcd( K , q-1 ) = 1，即K 与 q-1 互素 （ 2） 计算 S1 = k mod q （ 3） 计算 K-1 mod (q-1)，即计算 K 模 q-1 的逆 （ 4） 计 算 S2 = K-1 (m- XAS1) mod (q-1) （ 5） 签名包括（ S1,S2）对 任意用

11、户 B 验证签名 （ 1） 计算 V1 = m mod q （ 2） 计算 V2 = (YA) S1 (S1)S2 mod q 如果 V1= V2 则签名合法。 正确性证明 假设等式成立，那么有： m mod q = (YA) S1 (S1)S2 mod q 假设 V1= V2 m mod q = XAS1KS2 mod q 代入 YA和 S1 m- XAS1 mod q = KS2 mod q 等式左右移项 m- XAS1 = KS2 mod (q-1) 原根的性质 m- XAS1 = K K-1 (m-XAS1) mod (q-1) 代入 S2 ElGamal 数字签名方案 的安全性 (1

12、) ElGamal 数字签名方案 的安全性依赖于乘法群上的离散对数的困难性 (2) 要求素数 q 必须足够大，且 q 1 至少包含一个大素数 (3) ElGamal 签名 算法对同一个消息 M 所产生的签名依赖于随机数 k，随机数k 不能泄露，且每次都不相同。 5. SSL(Safe Socket Layer 安全套接层 )（ 303） （ 1） SSL 概述和体系结构 SSL 为 TCP 提供可靠的的端到端安全服务， SSL 是两层协议。 SSL 包含两个重要概念： SSL 会话和 SSL 连接。 （ 2） SSL 握手协议的处理过程 1） 建立安全功能，包括协议版本，会话标志，密码套件，压

13、缩方法和初始随机数。 2） 服务器认证和密钥交换。服务器发送证书，发送密钥交换信息，向客户端申请证书，发出问候消息阶段结束信号。 3） 客户端认证和密钥交换。客户端对服务器证书的合法性进行认证，发送密钥交换信息，发送证书验证信息。 4） 完成安全连接设置并结束握手协议。 6. 密钥协商 （ 216） DH 算法实质是一个通信双方进行密钥协定的协议，它的安全性基于有限域上计算离散对数的困难性。 Diffie-Hellman 密钥交换协议 ： 首先， Alice 和 Bob 双方约定 2 个大整数 q 和 ,其中 1 q，这两个整数无需保密，然后，执行下面的过程 1) Alice 随机选择一个大整

14、数 XA(保密 )，并计算 YA = XA mod q 2) Bob 随机选择一个大整数 XB(保密 )，并计算 YB = XB mod q 3) Alice 把 YA发送给 Bob， Bob 把 YB 发送给 Alice 4) Alice 计算 K = YBXA mod q 5) Bob 计算 K = YAXB mod q K 即是共享的密钥。 监听者 Oscar 在网络上只能监听到 YA 和 YB，但无法通过 YA 和 YB 计算出XA和 XB，因此， Oscar 无法计算出 K= XAXB mod q。 中间人攻击： 第三方 C 在和 A 通信时扮演 B；和 B 通信时扮演 A。 A 和

15、 B 都与 C 协商 了一个密钥，然后 C 就可以监听和传递通信量。中间人的攻击按如下进行： （ 1） B 在给 A 的报文中发送他的公开密钥。 （ 2） C 截获并解析该报文。 C 将 B 的公开密钥保存下来并给 A 发送报文，该报文具有 B 的用户 ID 但使用 C 的公开密钥 YC，仍按照好像是来自 B 的样子被发送出去。 A 收到 C 的报文后，将 YC 和 B 的用户 ID 存储在一块。类似地，C 使用 YC 向 B 发送好像来自 A 的报文。 （ 3） B 基于私有密钥 XB 和 YC 计算秘密密钥 K1。 A 基于私有密钥 XA和 YC计算秘密密钥 K2。 C 使用私有密钥 XC

16、 和 YB 计算 K1，并使用 XC 和 YA计算 K2。 （ 4） 从现在开始， C 就可以转发 A 发给 B 的报文或转发 B 发给 A 的报文，在途中根据需要修改它们的密文。使得 A 和 B 都不知道他们在和 C 共享通信。 7. IPSec（ 474） （ 1） IPSec 结构 （ 2） 传输模式与隧道模式： 传输模式： 为上层协议提供保护，同时增加 IP 包载荷的保护。 可用于两台主机之间的端到端通信。 在 IPV4 上运行 AH 或 ESP 时 ，其载荷是 跟在 IP 报 头后 面 的数据 ； 对 IPV6而言 ，其载荷是 跟在 IP 报 头后 面 的数据 和 IPV6 的任何扩

17、展头。 AH 可以认证 IP 载荷和 IP 头的选中部分。 ESP 可以加密和认证 （ 可选 ） IP 载荷，但不包括 IP 头 隧道模式： 对整个 IP 包提供保护。 其载荷是整个数据包 加安全域 AH 可 以认证整个内部 IP 包 和外部 IP 头中的选中部分。 ESP 可以加密和认证 （ 可选 ） 整个内部 IP 包，包 括 内部 IP 包 头 （ 3） ESP 加密和认证范围 8. PGP（ 447） PGP 提供了可用于电子邮件和文件存储应用的认证性和保密性。 PGP 的实际操作由 4 类服务组成：认证、保密、压缩和电子邮件兼容性。 认证： PGP 提供了数字签名服务。 （ 1） 发

18、送方生成消息。 （ 2） 用 SHA-1 算法生成消息的 160 位 hash 码。 （ 3） 用发送方的私钥按 RSA 算法加密该 hash 码并将结果预先加入到消息中。 （ 4） 接收方用发送方的公钥按 RSA 算法解密消息并恢复 hash 码。 （ 5） 接收方对该消息用相同 的 hash 函数生成新的 hash 码，并比较该 hash码与解密得到的 hash 码，如果两者吻合则该消息为可信。 保密： 通过对传输的消息或者本地存储的文件进行加密来实现。 （ 1） 发送者生成消息和仅用于加密该消息的会话密钥，该会话密钥为 128位随机自然数。 （ 2） 采用 CAST-128(或 IDEA

19、 和 3DES)算法，使用该会话密钥加密消息。 （ 3） 采用 RSA 算法，用接受者的公开密钥加密该会话密钥并预先发送给对方。 （ 4） 接受者采用 RSA 算法，用自己的私钥解密并恢复会话密钥。 （ 5） 用会话密钥解密消息。 保密性和认证性： （ 1） 生成一个明文的签名 。 （ 2） 用 CAST-128(或 IDEA 和 3DES)对明文消息和签名进行加密。 （ 3） 用 RSA（或 EIGamal）对会话密钥加密。 9. IEEE802.11i（ 431） （ 1） IEEE802.11i 协议结构 （ 2） IEEE802.11i 定义的服务： 1认证性：一种协议，用来定义用户和

20、认证服务器（ AS）之间的交互，以提供相互认证，并生成用于客户端与 AP之间通过无线连接进行通信的短期密钥。 2访问控制：该功能增强了认证功能的使用，为消息提供路由，并为密钥交换提供支持。它能与多种认证协议协同工作。 3 带消息完整性的机密性： MAC 层的数据与消息完整码一起加密以 保证数据不被改变。 （ 3） IEEE802.11i 操作阶段：功能发现，认证和交互 （ 4） 对密钥分发： (1) AP STA：消息包括 AP 的 MAC 地址和一个随机数（ Anonce）。 (2) STA AP： STA 生成自己的随机数 (Snonce)，使用随机数和 MAC 地址，加上 PMK，来生成

21、一个 PTK。 STA 接着发送一个包含 MAC 地址和 Snonce的消息，使 AP 能够生成一个同样的 PTK。 (3) AP STA： AP 现在能够生成 PTK。 AP 接着发送一个消息到 STA，包括与第一个消息同样的信息，但是多了 MIC。 (4) STA AP：这仅仅是一个确认消息，也受 MIC 保护。 （ 5） 组密钥分发： 1） AP STA：这个消息包 括 GTK，使用 RC4 或 AES 加密。用于加密的密钥是 KEK，附加有一个 MIC 值。 2） STA AP： STA 确认对 GTK 的接收。消息包括一个 MIC 值。 10. IEEE802.1x（ 381） （

22、1） （ 1） IEEE802.1x 协议栈 （ 3） IEEE802.1x 概念 IEEE 802.1X 是基于端口的访问控制方案，同时还有认证和计费功能。 IEEE 802.1X 为 LAN 接入提供点对点式的安全接入，适用于 802 标准的各种网络。 IEEE 802.1X 使用可扩展授权协议 （ EAP）进行授权。 EAP 是一个网络访问和授权的框架。 EAP 在客户端系统和认证服务器之间为认证消息交换提供了一个通用的传输服务。 EAPol(EAP OVER LAN)： 802.1x 定义的申请者和认证者之间通信的 EAP 封装机制，能够在局域网上传输 EAP 报文的协议。 非受控端口

23、：始终对用户开发，只允许用于传送认证信息。 受控端口：认证通过之后，控制端口才会打开，用户才能正常访问网络服务。 （ 3） IEEE802.1x 访问控制 （ 4） EAP 协议交换 EAP 执行过程： 1） 通常使用一个底层协议来连接 EAP 认证者。 2） 在底层交换建立了 EAP 所需连接后，认证者向客户端发送一个对于其身份的请求，客户端会返回一个带有其身份消息的回应。 （ 5） EAP 转移模式中的信息流 EAP 转移模式中的消息流 （ 1） 有一个从客户端发送到认证者的消息或者信号 ，但没有显示，它使用非EAP 协议，请求一个 EAP 交换来获得网络接入。 （ 2） 认证者和客户端交

24、互中首次 request 和 response 消息是关于身份的，认证者请求客户端的身份，客户端在应答消息中申明自己的身份 （ 3） 应答通过认证者传递到认证服务器。其余的 EAP 交换在客户端和认证服务器之间进行。 （ 4） 在收到身份 response 消息后，服务器选择一种 EAP 方法，并发送第一个EAP 消息，这个消息的 type 域与这种 EAP 方法向关联。 （ 5） 如果客户端支持这种 EAP 方法，就会回应一个这种方法的应答消息。 如果不支持，客服端发送一个 NAK，服务器或者选择另一种 EAP 方法或者发送一个 failure 消息结束这 次连接。选择的 EAP 方法决定了请求 应答交换的次数。当服务器认为认证成功或认证失败时，交换结束。