三个著名加密算法(MD5、RSA、DES)的解析一

2008-01-21 22:16

归功于黑客们对黒人家网站的热情，很多网站建设者对自己网站的用户数据或者网站数据都采取加密保护的方法，而且，为了不被黑客采取窃听的方法对软件下载进行中途拦截，很多软件下载基地也把软件的加密数据公开以便用户核对软件的完整性。今天Leying就当今网络流行的三种加密方式加以解析，这三种比较流行的加密算法是：MD5、RSA和DES。 0d~>zKho Xh ;Pbm|K 一、MD5算法 1 f ). J k/l s!e? MD5的全称是Message-Digest Algorithm 5，在90年代初由MIT的计算机科学实验室和RSA Data Security Inc发明，经MD2、MD3和MD4发展而来。 XzI hF X6 HI*xk MD5将任意长度的“字节串”变换成一个128bit的大整数，并且它是一个不可逆的字符串变换算法，换句话说就是，即使你看到源程序和算法描述，也无法将一个MD5的值变换回原始的字符串，从数学原理上说，是因为原始的字符串有无穷多个，这有点象不存在反函数的数学函数。 a 39Kl_/ t 5g@ t0$ MD5的典型应用是对一段Message(字节串)产生fingerprint(指纹)，以防止被“篡改”。举个例子，你将一段话写在一个叫 readme.txt文件中，并对这个readme.txt产生一个MD5的值并记录在案，然后你可以传播这个文件给别人，别人如果修改了文件中的任何内容，你对这个文件重新计算MD5时就会发现。如果再有一个第三方的认证机构，用MD5还可以防止文件作者的“抵赖”，这就是所谓的数字签名应用。 > r6`bh [4 9 N[k ?kUZ MD5还广泛用于加密和解密技术上，在很多操作系统中，用户的密码是以MD5值（或类似的其它算法）的方式保存的， 用户Login的时候，系统是把用户输入的密码计算成MD5值，然后再去和系统中保存的MD5值进行比较，而系统并不“知道”用户的密码是什么。 X `YAJG 4 IuQQ 二、RSA算法 f^/qDv Pur (P &~PJH RSA是第一个既能用于数据加密也能用于数字签名的算法。它易于理解和操作，也很流行。算法的名字以发明者的名字命名：Ron Rivest, Adi Shamir 和Leonard Adleman。但RSA的安全性一直未能得到理论上的证明。它经历了各种攻击，至今未被完全攻破。 8(J& _ 7 u +d IDFSd 三、DES算法 hD T iXc o Vk * G 美国国家标准局1973年开始研究除国防部外的其它部门的计算机系统的数据加密标准，于1973年5月15日和1974年8月27日先后两次向公众发出了征求加密算法的公告。 1977年1月，美国政府颁布：采纳IBM公司设计的方案作为非机密数据的正式数据加密标准（DES?Data Encryption Standard）。 # -?C{ $2I ,5` pe%W7 1.加密算法之MD5算法 l, 5<g-r V $h" Ht2/ J 在一些初始化处理后，MD5以512位分组来处理输入文本，每一分组又划分为16个32位子分组。算法的输出由四个32位分组组成，将它们级联形成一个128位散列值。 A f Ag#75q 4JF)w; X} 首先填充消息使其长度恰好为一个比512位的倍数仅小64位的数。填充方法是附一个1在消息后面，后接所要求的多个0，然后在其后附上64位的消息长度（填充前）。这两步的作用是使消息长度恰好是512位的整数倍（算法的其余部分要求如此），同时确保不同的消息在填充后不相同。 Uc nj7>+" EAiE@r> 4 四个32位变量初始化为： ,= o) R,[ [X >/! mt A=0x01234567 Y 4E UW% B=0x89abcdef : 0K[ fBa C=0xfedcba98 /; w$ "@9 D=0x76543210 i q s j#KL"B_ A 它们称为链接变量（chaining variable） 接着进行算法的主循环，循环的次数是消息中512位消息分组的数目。 WH`E=p^x4 "zU}]|R 将上面四个变量复制到别外的变量中：A到a，B到b，C到c，D到d。 KIt:y t Fx f<!3vA h 主循环有四轮（MD4只有三轮），每轮很相拟。第一轮进行16次操作。每次操作对a，b，c和d中的其中三个作一次非线性函数运算，然后将所得结果加上第四个变量，文本的一个子分组和一个常数。再将所得结果向右环移一个不定的数，并加上a，b，c或d中之一。最后用该结果取代a，b，c或d中之一。 ?B g <7 4 vj ? v7 以下是每次操作中用到的四个非线性函数（每轮一个）。 ]<3$S x_{y gHU/yi! T F(X,Y,Z)=(X&Y)|((~X)&Z) E _VLI'Hn? G(X,Y,Z)=(X&Z)|(Y&(~Z)) 99T_y `df H(X,Y,Z)=X^Y^Z ?s b O b I(X,Y,Z)=Y^(X|(~Z)) }*+ ?1kv +8+@Az[ e0 (&是与,|是或,~是非,^是异或) $4yv)6 G a} N m; 5K 这些函数是这样设计的：如果X、Y和Z的对应位是独立和均匀的，那么结果的每一位也应是独立和均匀的。 )9sRD N r 函数F是按逐位方式操作：如果X，那么Y，否则Z。函数H是逐位奇偶操作符。 ,Y ~{R g G ,o(7z^1Pe; 设Mj表示消息的第j个子分组（从0到15），<<< s表示循环左移s位，则四种操作为： ,fS }c p V v J* IUy FF(a,b,c,d,Mj,s,ti)表示a=b+((a+(F(b,c,d)+Mj+ti)<<< s) G {*m] 0Q GG(a,b,c,d,Mj,s,ti)表示a=b+((a+(G(b,c,d)+Mj+ti)<<< s) Jd _ w: H. HH(a,b,c,d,Mj,s,ti)表示a=b+((a+(H(b,c,d)+Mj+ti)<<< s) uW w4l"RK` II(a,b,c,d,Mj,s,ti)表示a=b+((a+(I(b,c,d)+Mj+ti)<<< s) T :+%3+;a *ayn<Vlh`^ 这四轮（64步）是： )/F B73! 4 `@] jm 第一轮 j ""I,$t = E Cw' FF(a,b,c,d,M0,7,0xd76aa478) } 49X N FF(d,a,b,c,M1,12,0xe8c7b756) }B2 H)dG^K FF(c,d,a,b,M2,17,0x242070db) `Z] Tp 1 U FF(b,c,d,a,M3,22,0xc1bdceee) {<~ 0nLyJS FF(a,b,c,d,M4,7,0xf57c0faf) A+% o E FF(d,a,b,c,M5,12,0x4787c62a) QC0^G, 9. FF(c,d,a,b,M6,17,0xa8304613) <{m!.9g9 FF(b,c,d,a,M7,22,0xfd469501) j &) Xi ^^ FF(a,b,c,d,M8,7,0x698098d8) " m +Eu|{ FF(d,a,b,c,M9,12,0x8b44f7af) 1/q(xka { FF(c,d,a,b,M10,17,0xffff5bb1) + U&aK dQs FF(b,c,d,a,M11,22,0x895cd7be) gWA)V* }f FF(a,b,c,d,M12,7,0x6b901122) r= 4'6! FF(d,a,b,c,M13,12,0xfd987193) <.( IJ FF(c,d,a,b,M14,17,0xa679438e) raY5 nc{ FF(b,c,d,a,M15,22,0x49b40821) gbwKT`N * q c~6F'?R 第二轮 s4P8P Dh z hLGUkG?6G GG(a,b,c,d,M1,5,0xf61e2562) G U~ ?S'{ GG(d,a,b,c,M6,9,0xc040b340) 85$MHod}[, GG(c,d,a,b,M11,14,0x265e5a51) *CA | }l GG(b,c,d,a,M0,20,0xe9b6c7aa) ~ 6. AE/ow GG(a,b,c,d,M5,5,0xd62f105d) Ttn= VX{ / GG(d,a,b,c,M10,9,0x02441453) qd~)Ya1 GG(c,d,a,b,M15,14,0xd8a1e681) #6fp " GG(b,c,d,a,M4,20,0xe7d3fbc8) jC ,f oq L GG(a,b,c,d,M9,5,0x21e1cde6) YKf, v Hau GG(d,a,b,c,M14,9,0xc33707d6) i 9 6Pel GG(c,d,a,b,M3,14,0xf4d50d87) L {bcmo/ U GG(b,c,d,a,M8,20,0x455a14ed) E{^*^+c"h GG(a,b,c,d,M13,5,0xa9e3e905) 6/h Y[a! GG(d,a,b,c,M2,9,0xfcefa3f8) Z *.fSmT8) GG(c,d,a,b,M7,14,0x676f02d9) Yb% H 9A GG(b,c,d,a,M12,20,0x8d2a4c8a) .6xP>!E }Q g TY /B. 第三轮 "Fy 34 T0N 'C1=(PE% ` HH(a,b,c,d,M5,4,0xfffa3942) " L1cHP ~d HH(d,a,b,c,M8,11,0x8771f681) $R 2 T) HH(c,d,a,b,M11,16,0x6d9d6122) XAS oS 5 HH(b,c,d,a,M14,23,0xfde5380c) l J3 /^Htn HH(a,b,c,d,M1,4,0xa4beea44) [z ]@ <99/ HH(d,a,b,c,M4,11,0x4bdecfa9) &32qv` V_ HH(c,d,a,b,M7,16,0xf6bb4b60) Cnd*%CPZ HH(b,c,d,a,M10,23,0xbebfbc70) AU}lKq7 % HH(a,b,c,d,M13,4,0x289b7ec6) z: ^Kr"= n HH(d,a,b,c,M0,11,0xeaa127fa) i bl ^ A= HH(c,d,a,b,M3,16,0xd4ef3085) iv?'&IU fK HH(b,c,d,a,M6,23,0x04881d05) 82~U I'f / HH(a,b,c,d,M9,4,0xd9d4d039) 0 (Vb ji HH(d,a,b,c,M12,11,0xe6db99e5) oZ& n s!# HH(c,d,a,b,M15,16,0x1fa27cf8) :) c > 5 HH(b,c,d,a,M2,23,0xc4ac5665) blid* @- A r'}# 6 第四轮 3 94u']M Uf v{6"sH II(a,b,c,d,M0,6,0xf4292244) `tVB V :4/ II(d,a,b,c,M7,10,0x432aff97) ]g I X G` II(c,d,a,b,M14,15,0xab9423a7) 2N5 N^S II(b,c,d,a,M5,21,0xfc93a039) ZZ!d:1 '7 II(a,b,c,d,M12,6,0x655b59c3) pp R _y II(d,a,b,c,M3,10,0x8f0ccc92) &'W gBj P II(c,d,a,b,M10,15,0xffeff47d) cC " 7Vt9b II(b,c,d,a,M1,21,0x85845dd1) bk mX@+ Pe II(a,b,c,d,M8,6,0x6fa87e4f) j[iJo 5 II(d,a,b,c,M15,10,0xfe2ce6e0) vI N6W II(c,d,a,b,M6,15,0xa3014314) -| J? - II(b,c,d,a,M13,21,0x4e0811a1) dMRwQejY{7 II(a,b,c,d,M4,6,0xf7537e82) _[0Ugfz ( II(d,a,b,c,M11,10,0xbd3af235) :".! 6~:2 II(c,d,a,b,M2,15,0x2ad7d2bb) _ '2r=a#` II(b,c,d,a,M9,21,0xeb86d391) ~+CNED0z+ c v #H 常数ti可以如下选择： ,w R r x& }d 6g {` 在第i步中，ti是4294967296*abs(sin(i))的整数部分,i的单位是弧度。 (2的32次方) 0n( Q@O _10#r uc r 所有这些完成之后，将A，B，C，D分别加上a，b，c，d。然后用下一分组数据继续运行算法，最后的输出是A，B，C和D的级联。 YVs{ /1 |' 4<LRa=X T$ MD5的安全性 !r[ uw J= 34P? nW ( MD5相对MD4所作的改进： i <@|+*>M ~L}0) FZ/9 1.增加了第四轮. Y<k vJb&1* 2.每一步均有唯一的加法常数. cFu vi^ n/ 3.为减弱第二轮中函数G的对称性从(X&Y)|(X&Z)|(Y&Z)变为(X&Z)|(Y&(~Z)) ?= ulf GrY 4.第一步加上了上一步的结果,这将引起更快的雪崩效应. % =_ Iq/lC 5.改变了第二轮和第三轮中访问消息子分组的次序,使其更不相似. &z,w 0FOre 6.近似优化了每一轮中的循环左移位移量以实现更快的雪崩效应.各轮的位移量互不相同. RAxA H qwV pGNc45 2.加密算法之RSA算法 &)` A4bf% )5e } Id 它是第一个既能用于数据加密也能用于数字签名的算法。它易于理解和操作，也很流行。算法的名字以发明者的名字命名：Ron Rivest, Adi Shamir 和Leonard Adleman。但RSA的安全性一直未能得到理论上的证明。它经历了各种攻击，至今未被完全攻破。 (bZ)pW/iw [j-]n#E=9y 一、RSA算法 : >#xpg& 2x hOw7"'# ! 首先, 找出三个数, p, q, r, 其中 p, q 是两个相异的质数, r 是与 (p-1)(q-1) 互质的数...... p, q, r 这三个数便是 private key <. RgMPi _ @ / 接著, 找出 m, 使得 rm == 1 mod (p-1)(q-1)..... 这个 m 一定存在, 因为 r 与 (p-1)(q-1) 互质, 用辗转相除法就可以得到了..... mltN$b%G=d U%j=)VD ]) 再来, 计算 n = pq....... m, n 这两个数便是 public key [V }I34 UN -F@Rpfrj_# 编码过程是, 若资料为 a, 将其看成是一个大整数, 假设 a < n.... 如果 a >= n 的话, 就将 a 表成 s 进位 (s <= n, 通常取 s = 2^t), 则每一位数均小於 n, 然後分段编码...... 接下来, 计算 b == a^m mod n, (0 <= b < n), b 就是编码後的资料...... ZuILDevMD `q%Z/!} 解码的过程是, 计算 c == b^r mod pq (0 <= c < pq), 於是乎, 解码完毕...... 等会会证明 c 和 a 其实是相等的 g:O ~1 jq l` fjz- eE 如果第三者进行窃听时, 他会得到几个数: m, n(=pq), b...... 他如果要解码的话, 必须想办法得到 r...... 所以, 他必须先对 n 作质因数分解......... 要防止他分解, 最有效的方法是找两个非常的大质数 p, q, 使第三者作因数分解时发生困难......... 4LJUO5(y@ ZG e+w]( <定理> buG 0 #: uXNJ {] o 若 p, q 是相异质数, rm == 1 mod (p-1)(q-1), a 是任意一个正整数, b == a^m mod pq, c == b^r mod pq, 则 c == a mod pq 3RZP 12x Iy6 "2$%a 证明的过程, 会用到费马小定理, 叙述如下: 6rF [e b Z,! w.TYo m 是任一质数, n 是任一整数, 则 n^m == n mod m (换另一句话说, 如果 n 和 m 互质, 则 n^(m-1) == 1 mod m) 运用一些基本的群论的知识, 就可以很容易地证出费马小定理的........ /}]X 3n g ,H'O`oV!1E <证明> kQ RN Vdiz O|O #T.T g 因为 rm == 1 mod (p-1)(q-1), 所以 rm = k(p-1)(q-1) + 1, 其中 k 是整数 因为在 modulo 中是 preserve 乘法的 dUk^DI ,:l (x == y mod z and u == v mod z => xu == yv mod z), 所以, c == b^r == (a^m)^r == a^(rm) == a^(k(p-1)(q-1)+1) mod pq jt@ k< #h~ D[ x0sly 1. 如果 a 不是 p 的倍数, 也不是 q 的倍数时, 则 a^(p-1) == 1 mod p (费马小定理) => a^(k(p-1)(q-1)) == 1 mod p a^(q-1) == 1 mod q (费马小定理) => a^(k(p-1)(q-1)) == 1 mod q 所以 p, q 均能整除 a^(k(p-1)(q-1)) - 1 => pq | a^(k(p-1)(q-1)) - 1 即 a^(k(p-1)(q-1)) == 1 mod pq => c == a^(k(p-1)(q-1)+1) == a mod pq _S7GkpoK KA# 4i u{ 2. 如果 a 是 p 的倍数, 但不是 q 的倍数时, 则 a^(q-1) == 1 mod q (费马小定理) => a^(k(p-1)(q-1)) == 1 mod q => c == a^(k(p-1)(q-1)+1) == a mod q => q | c - a 因 p | a => c == a^(k(p-1)(q-1)+1) == 0 mod p => p | c - a 所以, pq | c - a => c == a mod pq Mf^ ; ('~ n{J<7I e"* 3. 如果 a 是 q 的倍数, 但不是 p 的倍数时, 证明同上 SWvy< f4< M $dDExd~ 4. 如果 a 同时是 p 和 q 的倍数时, 则 pq | a => c == a^(k(p-1)(q-1)+1) == 0 mod pq => pq | c - a => c == a mod pq e *;-vS9H Q.E.D. <? 5 ,3 `V .-T^ S"`d| 这个定理说明 a 经过编码为 b 再经过解码为 c 时, a == c mod n (n = pq).... 但我们在做编码解码时, 限制 0 <= a < n, 0 <= c < n, 所以这就是说 a 等於 c, 所以这个过程确实能做到编码解码的功能..... * D ! $gfa fn>MO D!l 二、RSA 的安全性 /2~ Cn c*O :K GUO{_u RSA的安全性依赖于大数分解，但是否等同于大数分解一直未能得到理论上的证明，因为没有证明破解 RSA就一定需要作大数分解。假设存在一种无须分解大数的算法，那它肯定可以修改成为大数分解算法。目前， RSA 的一些变种算法已被证明等价于大数分解。不管怎样，分解n是最显然的攻击方法。现在，人们已能分解多个十进制位的大素数。因此，模数n 必须选大一些，因具体适用情况而定。 N Cbn< ojb #u ` i4 三、RSA的速度 ^3 C8GzOsO /tH^w@j47 由于进行的都是大数计算，使得RSA最快的情况也比DES慢上倍，无论是软件还是硬件实现。速度一直是RSA的缺陷。一般来说只用于少量数据加密。 # e:cB'f Ry 9kGdqO 四、RSA的选择密文攻击 o| FjNL r /o1a't; RSA在选择密文攻击面前很脆弱。一般攻击者是将某一信息作一下伪装( Blind)，让拥有私钥的实体签署。然后，经过计算就可得到它所想要的信息。实际上，攻击利用的都是同一个弱点，即存在这样一个事实：乘幂保留了输入的乘法结构： x{y}p H"H &/o4R :i ( XM )^d = X^d *M^d mod n KWwEK] = cQK^$6( 前面已经提到，这个固有的问题来自于公钥密码系统的最有用的特征--每个人都能使用公钥。但从算法上无法解决这一问题，主要措施有两条：一条是采用好的公钥协议，保证工作过程中实体不对其他实体任意产生的信息解密，不对自己一无所知的信息签名；另一条是决不对陌生人送来的随机文档签名，签名时首先使用One-Way HashFunction 对文档作HASH处理，或同时使用不同的签名算法。在中提到了几种不同类型的攻击方法。 l Rb|GS.h/ ]k0 Pe ;< 五、RSA的公共模数攻击 ( .r9 b l { nQ?+o3 若系统中共有一个模数，只是不同的人拥有不同的e和d，系统将是危险的。最普遍的情况是同一信息用不同的公钥加密，这些公钥共模而且互质，那末该信息无需私钥就可得到恢复。设P为信息明文，两个加密密钥为e1和e2，公共模数是n，则： R 9 +0Z oS d`eX_]Z C1 = P^e1 mod n N+0[ p@0 # 3 ~#`& C2 = P^e2 mod n 5u5-:#sL y f*%Y]XL; % 密码分析者知道n、e1、e2、C1和C2，就能得到P。 v ?@= WG J/k4CV*li( 因为e1和e2互质，故用Euclidean算法能找到r和s，满足： ^D ]y <@01 A M Sn^ 75 r * e1 + s * e2 = 1 ^ZD0r p(l QUb#84 假设r为负数，需再用Euclidean算法计算C1^(-1)，则 8 b|m66#| 3 F Q Xp ( C1^(-1) )^(-r) * C2^s = P mod n FNH JHuTe PESJ7 / ^E 另外，还有其它几种利用公共模数攻击的方法。总之，如果知道给定模数的一对e和d，一是有利于攻击者分解模数，一是有利于攻击者计算出其它成对的e’和d’，而无需分解模数。解决办法只有一个，那就是不要共享模数n。 -z?O ^:e#x a4D4*= !G0 RSA的小指数攻击。 有一种提高 RSA速度的建议是使公钥e取较小的值，这样会使加密变得易于实现，速度有 %q5 iy0~P 所提高。但这样作是不安全的，对付办法就是e和d都取较大的值。 K $Y c!4M $C?G 7V s RSA算法是第一个能同时用于加密和数字签名的算法，也易于理解和操作。RSA是被研究得最广泛的公钥算法，从提出到现在已近二十年，经历了各种攻击的考验，逐渐为人们接受，普遍认为是目前最优秀的公钥方案之一。RSA的安全性依赖于大数的因子分解，但并没有从理论上证明破译RSA的难度与大数分解难度等价。即RSA的重大缺陷是无法从理论上把握它的保密性能如何，而且密码学界多数人士倾向于因子分解不是NPC问题。 RSA的缺点主要有：A)产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。B)分组长度太大，为保证安全性，n 至少也要 600 bits 以上，使运算代价很高，尤其是速度较慢，较对称密码算法慢几个数量级；且随着大数分解技术的发展，这个长度还在增加，不利于数据格式的标准化。目前，SET( Secure Electronic Transaction )协议中要求CA采用比特长的密钥，其他实体使用比特的密钥。 {