《數(shù)字簽名與鑒別協(xié)議.ppt》由會員分享，可在線閱讀，更多相關(guān)《數(shù)字簽名與鑒別協(xié)議.ppt（20頁珍藏版）》請在裝配圖網(wǎng)上搜索。

第十章 數(shù)字簽名與鑒別協(xié)議 10.1 數(shù)字簽名原理 10.2 鑒別協(xié)議 10.3 數(shù)字簽名標(biāo)準(zhǔn) 本章重點和復(fù)習(xí)要點,本章重點和復(fù)習(xí)要點 通信方A、B的主密鑰如何進行安全分配；通信方A和B共享的對話密鑰如何進行安全分配 D-H中有無KDC？D-H是對稱加密算法還是公開加密算法？K是對稱加密密鑰還是公開加密密鑰？該方案有無鑒別通信雙方的功能，所以容易遭受什么攻擊？ N-S算法有無KDC？它是一個對稱加密算法還是公開加密算法？KS是對稱加密密鑰還是公開加密密鑰？ N-S的密鑰分配和相互鑒別過程 為什么說CA相對KDC來說不容易形成瓶頸？ 返回首頁,10.1 數(shù)字簽名原理 當(dāng)通信雙方發(fā)生了下列情況時，數(shù)字簽名技 術(shù)必須能夠解決引發(fā)的爭端： ? 否認(rèn)，發(fā)送方不承認(rèn)自己發(fā)送過某一報文。 ? 偽造，接收方自己偽造一份報文，并聲稱它來自發(fā)送方。 ? 冒充，網(wǎng)絡(luò)上的某個用戶冒充另一個用戶接收或發(fā)送報文。 ? 篡改，接收方對收到的信息進行篡改。 返回首頁,10.1.1-2 數(shù)字簽名原理和流程 公開密鑰算法對信息直接加密（作為數(shù)字簽 名）非常耗時，因此： 1）首先生成一個代表你的報文的簡短的、獨特的報文摘要； 2）其次用發(fā)送方的私鑰加密這個摘要，作為發(fā)送方對該報文的數(shù)字簽名。,數(shù)字簽名流程： (1) 采用散列算法對原始報文進行運算，得到一個固定長度的數(shù)字串，稱為報文摘要(Message Digest)，保證了報文的不可更改性。 (2) 發(fā)送方用目己的私有密鑰對摘要進行加密來形成數(shù)字簽名。 (3) 這個數(shù)字簽名將作為報文的附件和報文一起發(fā)送給接收方。,(4) 接收方首先對接收到的原始報文用同樣的算法計算出新的報文摘要， 再用發(fā)送方的公開密鑰對報文附件的數(shù)字簽名進行解密， 比較兩個報文摘要，如果值相同，接收方就能確認(rèn)該數(shù)字簽名是發(fā)送方的，否則就認(rèn)為收到的報文是偽造的或者中途被篡改。,10.2 鑒別協(xié)議 10.2.1 報文鑒別 1）一種方法是發(fā)送方用自己的私鑰對報文簽名，簽名足以使任何人相信報文是可信的。 2）另一種方法常規(guī)加密算法也提供了鑒別。但有兩個問題，一是不容易進行常規(guī)密鑰的分發(fā)，二是接收方?jīng)]有辦法使第三方相信該報文就是從發(fā)送方送來的，而不是接收方自己偽造的。 返回首頁,10.2.2 相互鑒別 利用常規(guī)加密方法進行相互鑒別不得不從 Needham—Schroeder協(xié)議談起，它采用了常規(guī) 加密體制和密鑰分配中心KDC技術(shù)。 盡管這個協(xié)議本身存在一定的安全漏洞，但 是后來發(fā)展的很多鑒別協(xié)議都是在Needham— Schroeder協(xié)議的基礎(chǔ)上擴展而成的。,1）在該協(xié)議中，通信各方與KDC共享一個主密鑰，它已通過其他安全渠道傳送完成。 2）KDC為通信的雙方產(chǎn)生短期通信所需的會話密鑰，并通過主密鑰來保護這些密鑰的分發(fā)。 Needham—Schroeder協(xié)議步驟： （1）A?KDC:（IDa，IDb，Ra）。 通信方A將由自己的名字IDa，通信方B的名字 IDb和隨機數(shù)Ra組成的報文傳給KDC。,（2）KDC?A: EKa(Ra, IDb, Ks, EKb(Ks, IDa))。 KDC產(chǎn)生一隨機會話密鑰Ks ，用Kb對Ks和通信 方A名字加密。然后用Ka對通信方A的隨機值、通 信方B的名字、會話密鑰Ks和已加密的報文進行加 密，最后將它傳送給通信方A。 （3）A?B: EKb(Ks, IDa)。 通信方A將報文解密并提取Ks。他確認(rèn)Ra與他 在第(1)步中發(fā)送給KDC的一樣。然后他將KDC 用Kb加密的報文轉(zhuǎn)發(fā)給通信方B。,（4）B?A: EKs(Rb)。 通信方B對報文解密并提取Ks，然后產(chǎn)生另一隨 機數(shù)Rb。他使用Ks加密它并發(fā)送給通信方A。 （5）A?B: EKs(Rb-1)。 通信方A用Ks將報文解密，產(chǎn)生Rb-1并用Ks對它 加密，然后將報文發(fā)回給通信方B。 （6）通信方B用Ks對信息解密，并驗證它是Rb-1。 ——會話密鑰分配和雙向認(rèn)證,盡管Needham—Schroeder協(xié)議已經(jīng)考慮了重放 攻擊，但是設(shè)計一個完美的沒有漏洞的鑒別協(xié)議往 往是很困難的。 讓我們考慮一下這種情況：如果一個對手已經(jīng)獲 得了一個舊的會話密鑰，那么在第(3)步中就可冒充 通信方A向通信方B發(fā)送一個舊密鑰的重放報文，而 此時通信方B無法確定這是一個報文的重放……,Denning對Needham—schroeder協(xié)議進行了修 改，防止這種情況下的重放攻擊，其過程如下： （1）A?KDC:（IDa，IDb）。 （2）KDC?A: EKa(T, IDb, Ks, EKb(T, Ks, IDa))。 （3）A?B: EKb(T, Ks, IDa)。 （4）B?A: EKs(Rb)。 （5）A?B: EKs(Rb-1)。 時間戳T向A和B確保該會話密鑰是剛產(chǎn)生的。,10.2.3 單向鑒別 第一個需求是電子郵件報文的首部必須是明 文的，以便報文能被SMTP處理，而郵件報文內(nèi) 容應(yīng)該加密。 第二個需求是鑒別。典型的是，收方想得到 某種保證，即該報文確實是來自被認(rèn)為的發(fā)方。,基于常規(guī)加密方法的方案實現(xiàn)鑒別： （1）A?KDC:（IDa，IDb, Ra）。 （2）KDC?A: EKa(IDb, Ks, Ra, EKb(Ks, Da))。 （3）A?B: EKb(Ks, IDa) EKs(M)。 1）這個方案會遭到重放攻擊。 2）如果在報文中加入時間戳，由于電子郵件潛在的時延，時間戳的作用非常有限。,公開密鑰加密方法適合電子郵件，如果發(fā)方 和收方都知道對方的公開密鑰，則可以同時提 供機密性和鑒別。 A?B: EKUb ( M, EKRa ( H( M ) ) ) A?B: EKUb (Ks)，EKs ( M, EKRa ( H( M ) ) ),10.3 數(shù)字簽名標(biāo)準(zhǔn) 目前已有大量的數(shù)字簽名算法，如RSA數(shù)字簽 名算法、EIGamal數(shù)字簽名算法、橢圓曲線數(shù)字 簽名算法等。 ? 美國的數(shù)字簽名標(biāo)準(zhǔn)/算法(DSS/DSA) 美國國家標(biāo)準(zhǔn)技術(shù)學(xué)會(NIST)的一個標(biāo)淮，它 是ElGamal數(shù)字簽名算法的一個修改。 當(dāng)選擇p為512比特的素數(shù)時，ElGamal數(shù)字簽 名的尺寸是1024比特；而在DSA中通過選擇一個 160比特的素數(shù)可將簽名的尺寸降低為320比特。 返回首頁,? 安全散列標(biāo)準(zhǔn)/算法（SHS/SHA） DSS簽名使用FIPS80-1和安全hash標(biāo)淮(SHS)產(chǎn) 生和核實數(shù)字簽名。許多加密者認(rèn)為SHS所指定的 安全散列算法(SHA)是最強勁的散列算法。 DSS的安全性表現(xiàn)在如下的幾個方面： 1) 對報文的簽名不會引起私有密鑰的泄漏。 2) 若不知私有密鑰，沒有人能夠?qū)o定的報文產(chǎn)生簽名。 3) 沒有人能夠產(chǎn)生匹配給定簽名的報文。 4) 沒有人能夠修改報文并使原有的簽名依然有效。,