TIÊU CHUẨN QUỐC GIA TCVN 11495-2:2016 (ISO/IEC 9797-2:2011) VỀ CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – MÃ XÁC THỰC THÔNG ĐIỆP (MAC) – PHẦN 2: CƠ CHẾ SỬ DỤNG HÀM BĂM CHUYÊN DỤNG

TIÊU CHUẨN QUỐC GIA

TCVN 11495-2:2046

ISO/IEC 9797-2:2011

CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – MÃ XÁC THỰC THÔNG ĐIỆP (MAC) – PHẦN 2: CƠ CHẾ SỬ DỤNG HÀM BĂM CHUYÊN DỤNG

Information technology – Security techniques – Message Authentication Codes (MACS) – Part 2: Mechanisms using a dedicated hash-function

 

Lời nói đầu

TCVN 11495-2:2016 hoàn toàn tương đương với ISO/IEC 9797-2:2011.

TCVN 11495-2:2016 do Tiểu ban kỹ thuật tiêu chuẩn quốc gia TCVN/JTC1/SC 27 Kỹ thuật an ninh biên soạn, Tổng cục Tiêu chuẩn Đo lường Chất lượng đề nghị, Bộ Khoa học và Công nghệ công bố.

Bộ tiêu chuẩn TCVN 11495 (ISO/IEC 9797) Công nghệ thông tin – Các kỹ thuật an toàn – Mã xác thực thông điệp (MAC) gồm các tiêu chuẩn sau:

– Phần 1: Cơ chế sử dụng mã khối;

– Phần 2: Cơ chế sử dụng hàm băm chuyên dụng;

– Phần 3: Cơ chế sử dụng hàm băm phổ biến;

 

CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – MÃ XÁC THỰC THÔNG ĐIỆP (MAC) – PHẦN 2: CƠ CHẾ SỬ DỤNG HÀM BĂM CHUYÊN DỤNG

Information technology – Security techniques – Message Authentication Codes (MACS) – Part 2: Mechanisms using a dedicated hash-function

1  Phạm vi áp dụng

Tiêu chuẩn này quy định ba thuật toán MAC mà sử dụng một khóa bí mật và một hàm băm (hoặc hàm vòng của nó) cùng với một kết quả n-bit để tính ra MAC có m-bit. Các cơ chế này có thể được sử dụng như các cơ chế toàn vẹn dữ liệu để xác minh rằng dữ liệu đã không bị thay đổi theo một cách trái phép. Chúng cũng có thể được sử dụng như các cơ chế xác thực thông điệp để đảm bảo rằng một thông điệp đã được khởi tạo bởi một thực thể có nắm giữ khóa bí mật. Độ mạnh của các cơ chế toàn vẹn dữ liệu và xác thực thông điệp phụ thuộc vào entropy và độ bí mật của khóa, vào độ dài (tính theo bit) n của mã băm được tạo ra bởi hàm băm, vào độ mạnh của hàm băm, vào độ dài (tính theo bit) m của MAC và vào cơ chế cụ thể.

Ba cơ chế được quy định trong tiêu chuẩn này dựa trên các hàm băm chuyên dụng được quy định trong ISO/IEC 10118-3. Cơ chế thứ nhất được biết đến là MDx-MAC. Nó gọi hàm băm một lần, nhưng thực hiện một sửa đổi nhỏ đối với hàm vòng trong hàm băm bằng cách cộng một khóa vào các hằng số cộng tính trong hàm vòng. Cơ chế thứ hai được biết đến là HMAC. Nó gọi hàm băm hai lần. Cơ chế thứ ba là một biến thể của MDx-MAC, nhận đầu vào chỉ là các chuỗi ngắn (nhiều nhất 256 bit). Cơ chế này cho hiệu năng cao hơn đối với các ứng dụng chỉ làm việc với chuỗi dữ liệu đầu vào ngắn.

Tiêu chuẩn này có thể được áp dụng cho các dịch vụ an toàn của kiến trúc, quy trình, ứng dụng an toàn bất kỳ.

CHÚ THÍCH Khung cơ cấu chung để cung cấp các dịch vụ toàn vẹn được chỉ ra trong ISO/IEC 10181-6 [5].

2  Tài liệu viện dẫn

Các tài liệu viện dẫn sau đây rất cần thiết cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu không ghi năm công bố thì áp dụng phiên bản mới nhất, bao gồm cả các sửa đổi, bổ sung (nếu có).

ISO/IEC 10118-3:2004, Information technology-Security techniques – Hash-functions – Part 3: Dedicated hash-functions (Công nghệ thông tin – Các kỹ thuật an toàn – Hàm băm – Phần 3: Hàm băm chuyên dụng).

ISO/IEC 10118-3:2004/Amd. 1:2006, information technology – Security techniques – Hash-functions – Part 3: Dedicated hash-functions – Amendment 1: Dedicated Hash-Function 8 (SHA-224) (Công nghệ thông tin – Các kỹ thuật an toàn – Hàm băm – Phần 3: Hàm băm chuyên dụng – Sửa đổi 1: Hàm băm chuyên dụng 8 (SHA-224)).

3  Thuật ngữ và định nghĩa

Tiêu chuẩn này áp dụng các thuật ngữ và định nghĩa sau đây.

3.1

Khối (block)

chuỗi bit có độ dài L₁, tức là độ dài của đầu vào thứ nhất của hàm vòng.

[ISO/IEC 10118-3]

3.2

Hàm băm kháng va chạm (collision-resistant hash-function) hàm băm thỏa mãn tính chất sau:

– Về mặt tính toán không thể tìm được bất kỳ hai đầu vào khác nhau mà ánh xạ đến cùng một đầu ra.

[ISO/IEC 10118-3] .

3.3

Entropy (entropy)

tổng lượng thông tin được cung cấp bởi một tập các bit, đại diện của nỗ lực công việc cần có cho kẻ thù địch đủ để có thể tái tạo cùng tập các bit đó.

[ISO/IEC 18032]

3.4

Chuỗi dữ liệu đầu vào (input data string)

chuỗi các bit làm đầu vào cho hàm băm.

3.5

Mã băm (hash-code)

chuỗi các bit là đầu ra của hàm băm.

[ISO/IEC 10118-1]

3.6

Hàm băm (hash-function)

hàm ánh xạ các chuỗi bit đầu vào đến các chuỗi bít đầu ra có độ dài cố định, thỏa mãn hai tính chất sau:

– đối với một đầu ra cho trước, về mặt tính toán không thể tìm được một đầu vào ánh xạ tới đầu ra đó;

– đối với một đầu vào cho trước, về mặt tính toán không thể tìm được một đầu vào thứ hai mà ánh xạ tới cùng đầu ra.

[ISO/IEC 10118-1]

3.7

giá trị khởi tạo (initializing value)

giá trị được sử dụng để xác định điểm khởi đầu của hàm băm. [ISO/IEC 10118-1]

3.8

khóa thuật toán MAC (MAC algorithm key)

Khóa dùng đề điều khiển hoạt động của một thuật toán MAC.

[TCVN 11495-1 (ISO/IEC 9797-1)]

3.9

Mã Xác thực Thông điệp (Message Authentication Code)

MAC

chuỗi các bit là đầu ra của một thuật toán MAC.

CHÚ THÍCH  Một mã MAC đối khi được gọi là một giá trị kiểm tra mật mã (xem ví dụ ISO 7498-2 [1]).

[TCVN 11495-1 (ISO/IEC 9797-1)]

3.10

Thuật toán Mã Xác thực Thông điệp (Message Authentication Code algorithm)

thuật toán MAC (MAC algorithm)

thuật toán để tính ra một hàm ánh xạ các chuỗi bit và một khóa bí mật thành các chuỗi bit có chiều dài cố định thỏa mãn hai tính chất sau:

– đối với khóa bất kỳ và chuỗi đầu vào bất kỳ, hàm có thể tính được một cách hiệu quả;

– đối với khóa cố định bất kỳ, khi không cho biết thông tin về khóa trước về mặt tính toán là không thể tính ra giá trị của hàm trên bất kỳ chuỗi đầu vào mới nào, thậm chí khi đã biết thông tin về tập chuỗi đầu vào và các giá trị hàm tương ứng, trong đó giá trị của chuỗi đầu vào thứ i có thể được chọn sau khi quan sát i-1 giá trị hàm đầu tiên (đối với số nguyên i >1).

CHÚ THÍCH  1 Thuật toán MAC đôi khi được gọi là hàm kiểm tra mật mã (xem ví dụ trong ISO/IEC 7498-2 [1]).

CHÚ THÍCH  2 Khả năng tính toán phụ thuộc vào các yêu cầu và môi trường an toàn do người dùng quy định.

[TCVN 11495-1(ISO/IEC 9797-1)]

3.11

Biến đổi đầu ra (output transformation)

hàm được áp dụng tại điểm cuối thuật toán MAC, trước phép toán cắt ngắn.

[TCVN 11495-1(ISO/IEC 9797-1)]

3.12

Đệm (padding)

thêm các bit bổ sung vào một chuỗi dữ liệu.

[ISO/IEC 10118-1]

3.13

Hàm vòng (round-function)

Hàm biến đổi hai chuỗi nhị phân có độ dài L₁ và L₂ thành một chuỗi nhị phân có độ dài L₂.

CHÚ THÍCH  1 Hàm này được sử dụng lặp như một phần của hàm băm, trong đó kết hợp một chuỗi dữ liệu có độ dài L₁ với đầu ra trước đó có độ dài L₂.

[ISO/IEC 10118-1]

CHÚ THÍCH  2 Hàm này cũng được tham chiếu như hàm nén trong một bản mô tả hàm băm cụ thể.

3.14

Độ mạnh an toàn (security strength)

Con số tương ứng với lượng công việc (tức là số lượng phép toán) cần có để phá vỡ một thuật toán hoặc hệ thống mật mã.

CHÚ THÍCH Độ mạnh an toàn được quy định theo bit, và là một giá trị cụ thể từ tập (80, 112, 128, 192, 256). Độ mạnh an toàn bằng b bit có nghĩa là khoảng 2^b phép toán cần có để phá vỡ hệ thống.

3.15

từ (word)

chuỗi có 32 bit được sử dụng trong các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8, hoặc chuỗi có 64 bit được sử dụng trong các Hàm băm Chuyên dụng 5 và 6 của ISO/IEC 10118-3.

(ISO/IEC 10118-3]

4. Ký hiệu và giải thích

Tiêu chuẩn này sử dụng các ký hiệu và giải thích đã định nghĩa trong TCVN 11495-1 (ISO/IEC 9797-1) [3]:

D m q j ~ X X Å Y X || Y :=

Chuỗi dữ liệu đầu vào, tức là chuỗi dữ liệu là đầu vào cho thuật toán MAC.  Độ dài (theo bit) của MAC. Số các khối trong chuỗi dữ liệu đầu vào D sau quá trình đệm và phân tách Chuỗi nhận được từ chuỗi X bằng cách lấy j bit bên trái nhất của X.  Phép XOR của các chuỗi bit X và Y. Phép ghép nối chuỗi bit X và Y (theo thứ tự này). Ký hiệu định nghĩa phép toán “đặt bằng với” được sử dụng trong các đặc tả thủ tục của các thuật toán MAC, trong đó chỉ ra giá trị của chuỗi ở bên trái của ký hiệu sẽ được làm bằng với giá trị của biểu thức ở bên phải của ký hiệu

Đối với mục đích của tiêu chuẩn này, các ký hiệu và giải thích sau được áp dụng:

	Chuỗi dữ liệu đã được đệm
h h’	Hàm băm  Hàm băm h có các hằng số đã sửa đổi và giá trị IV đã sửa đổi. Hàm băm h được đơn giản hóa không có phép đệm và gắn thêm độ dài, không cắt ngắn đầu ra hàm vòng (L2 bit) về LH bit bên trái nhất. CHÚ THÍCH 1  Chỉ được áp dụng cho các chuỗi đầu vào có độ dài là bội nguyên dương của L1. CHÚ THÍCH 2 Đầu ra của  Phải là L2 bit thay cho LH bit; đặc biệt, trong các Hàm băm Chuyên dụng 6 và 8 được định nghĩa trong ISO/IEC 10118-3, LH luôn nhỏ hơn L2.
H’, H”	Các chuỗi có L2 bit được sử dụng trong tính toán thuật toán MAC để lưu trữ kết quả trung gian.
IV’. IV1, IV2 k K	Các giá trị khởi đầu. Độ dài (tính theo bit) của khóa của thuật toán MAC. Khóa bí mật của thuật toán MAC.
K’, k0, k1, k2,		Các khóa bí mật được dẫn xuất của thuật toán mac.
KT	Chuỗi đầu vào thứ nhất của hàm ϕ được sử dụng trong bước biến đổi đầu ra của Thuật toán MAC 1.
	Chuỗi bit mã hóa độ dài thông điệp trong Thuật toán MAC 3.
OPAD, IPAD R, S0, S1, S2	Các chuỗi hằng số được sử dụng trong Thuật toán MAC 2. Các chuỗi hằng số được sử dụng trong tính toán các hằng số cho Thuật toán MAC 1 và Thuật toán MAC 3.
T0, T1, T2	Các chuỗi hằng số được sử dụng trong dẫn xuất khóa cho Thuật toán MAC 1 và Thuật toán MAC 3.
U0, U1, U2	Các chuỗi hằng số được sử dụng trong dẫn xuất khóa cho Thuật toán MAC 1 và Thuật toán MAC 3.
ϕ’ K1[i]	Hàm vòng cùng với các hằng số được sửa đổi. Từ thứ i của chuỗi K1, tức là K1 = K1[0] || K1[1] || K1[2] || K1[3

Tiêu chuẩn này sử dụng các ký hiệu và giải thích sau đã được định nghĩa trong ISO/IEC 10118-1.

H IV LX

Mã băm Giá trị khởi đầu Độ dài (tính theo bit) của chuỗi bit X

Tiêu chuẩn này sử dụng các ký hiệu và giải thích sau đã được quy định trong ISO/IEC 10118-3.

L1	Các từ là hằng số được sử dụng trong các hàm vòng Độ dài (tính theo bit) của chuỗi đầu vào thứ nhất trong số hai chuỗi đầu vào cho hàm vòng ϕ
L2	Độ dài (tính theo bít) của chuỗi đầu vào thứ hai trong số hai chuỗi đầu vào cho hàm vòng ϕ, của chuỗi đầu ra từ hàm vòng ϕ và của IV.
w	Độ dài (tính theo bit) của một từ; w là 32 khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8 của ISO/IEC 10118-3, và w bằng 64 khi sử dụng các Hàm băm Chuyên dụng 5 và 6 của ISO/IEC 10118-3.
ϕ	Hàm vòng, tức là, nếu X và Y là các chuỗi bit có các độ dài tương ứng L1 và L2, thì ϕ(X,Y) là chuỗi nhận được bằng cách áp dụng ϕ vào X và Y.
ψ	Phép toán cộng modulo 2w, trong đó w là số các bit trong một từ. Cho nên, nếu A và B là các từ, thì A ψ B là từ nhận được bằng cách xử lý A và B như các biểu diễn nhị phân của các số nguyên và tính tổng của chúng theo modulo 2w, và kết quả được ràng buộc nằm giữa 0 và 2w – 1 bao gồm các đầu mút. Giá trị của w là 32 trong các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8 và bằng 64 trong các Hàm băm Chuyên dụng 5 và 6.

5  Các yêu cầu

Người dùng muốn áp dụng một thuật toán MAC trong tiêu chuẩn này phải lựa chọn:

– Một thuật toán MAC trong số các thuật toán đã được quy định trong các Điều 6, 7 và 8;

– Một hàm băm chuyên dụng từ các hàm đã được chỉ ra trong ISO/IEC 10118-3;

– Độ dài (tính theo bit) m của MAC.

CHÚ THÍCH 1 Việc sử dụng của các Thuật toán MAC 1 và 3 cùng với Hàm băm Chuyên dụng 7 của ISO/IEC 10118-3 không được chỉ ra trong tiêu chuẩn này.

Thỏa thuận trên các lựa chọn này trong số những người dùng là cần thiết cho việc sử dụng cơ chế toàn vẹn dữ liệu.

Khóa K được sử dụng trong thuật toán MAC phải có entropy thỏa mãn hoặc vượt quá độ mạnh an toàn được cung cấp bởi thuật toán MAC.

CHÚ THÍCH 2 Trong mọi trường hợp, khóa K của thuật toán MAC phải được chọn sao cho mọi khóa có thể là khóa được chọn một cách xấp xỉ bằng nhau.

Đối với các Thuật toán MAC 1 và 2, độ dài m của MAC phải là một số nguyên dương nhỏ hơn hoặc bằng với độ dài của mã băm L_H. Đối với Thuật toán MAC 3, độ dài m của MAC sẽ là một số nguyên dương nhỏ hơn hoặc bằng với một nửa độ dài của mã băm, tức là, m ≤, L_H/2.

Đối với các Thuật toán MAC 1 và 2, độ dài tính theo bit của chuỗi dữ liệu đầu vào D nhiều nhất là 2⁶⁴ – 1 khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8, và nhiều nhất là 2¹²⁸ – 1 khi sử dụng các Hàm băm Chuyên dụng 5 và 6. Đối với Thuật toán MAC 2, nó nhiều nhất bằng 2²⁵⁶ – 1 khi sử dụng Hàm băm Chuyên dụng 7. Đối với thuật toán MAC 3, nó nhiều nhất là 256.

Việc lựa chọn một thuật toán MAC cụ thể, hàm băm chuyên dụng và giá trị cho m là nằm ngoài phạm vi của tiêu chuẩn này.

CHÚ THÍCH 3 Các lựa chọn này ảnh hưởng mức an toàn của thuật toán MAC. Xem thêm thông tin chi tiết tại Phụ lục C. Khóa được sử dụng để tính và xác minh MAC cần phải giống nhau. Nếu chuỗi dữ liệu đầu vào cũng được mã hóa, thì khóa được sử dụng để tính MAC phải khác với khóa đã được sử dụng để mã hóa.

CHÚ THÍCH 4 Được coi là thực hành mật mã tốt phải có các khóa độc lập cho tính bảo mật và tính toàn vẹn dữ liệu.

6  Thuật toán MAC 1

CHÚ THÍCH 1 Điều này mô tả về MDx-MAC [9] cùng với các Hàm băm Chuyên dụng 1-6 và 8. Bảng 1 chỉ ra các tên thường được biết đến của MDx-MAC cùng với từng hàm băm chuyên dụng riêng rẽ.

Bảng 1 – Thuật toán MDx-MAC cùng với các Hàm băm Chuyên dụng khác nhau.

Hàm băm Chuyên dụng	Thuật toán MDx-MAC cũng được biết đến như
Hàm băm Chuyên dụng 1	RIPEMD-160-MAC
Hàm băm Chuyên dụng 2	RlPEMD-128-MAC
Hàm băm Chuyên dụng 3	SHA-1-MAC
Hàm băm Chuyên dụng 4	SHA-256-MAC
Hàm băm Chuyên dụng 5	SHA-512-MAC
Hàm băm Chuyên dụng 6	SHA-384-MAC
Hàm băm Chuyên dụng 8	SHA-224-MAC

CHÚ THÍCH 2 Việc sử dụng Thuật toán MAC 1 cùng Hàm băm Chuyên dụng 7 của ISO/IEC 10118-3 không được quy định trong tiêu chuẩn này.

Thuật toán MAC 1 đòi hỏi một lần áp dụng của hàm băm để tính giá trị MAC, nhưng yêu cầu các hằng số trong hàm vòng tương ứng được sửa đổi.

Hàm băm phải được chọn từ các Hàm băm Chuyên dụng 1 – 6 trong ISO/IEC 10118-3:2004, và Hàm băm Chuyên dụng 8 trong ISO/IEC 10118-3:2004/Amd.1:2006.

Độ dài theo bít của khóa k nhiều nhất là 128 bit.

6.1  Mô tả của Thuật toán MAC 1

Thuật toán MAC 1 bao gồm 5 bước sau: mở rộng khóa, sửa đổi các hằng số và IV, phép băm, biến đổi đầu ra và cắt ngắn,

6.1.1  Bước 1 (mở rộng khóa)

Nếu K ngắn hơn 128 bit, nối K vào chính nó [128/k] lần và chọn 128 bit bên trái nhất của kết quả để tạo thành khóa 128-bit K’ (nếu độ dài (tính theo bit) của K bằng 128 thì K’ : = K):

K’ := 128 ~ (K || K || … || K).

Tính các khóa con K₀, K₁ và K₂ như sau:

K₀ := (K || U₀ || K’);

K₁ := 128 ~ (K’ || U₁ || K’), khi sử dụng các Hàm băm Chuyên dụng 1, 2 và 3;

K₁ := 256 ~ (K’ || U₁ || K’), khi sử dụng các Hàm băm Chuyên dụng 4, 5, 6 và 8;

K₂ := 128 ~ (K’ || U₂ || K’),

Tại đây U₀, U₁, và U₂ là các hằng số 768 bit mà được định nghĩa trong Điều 6.3, và  ký hiệu hàm băm h đã đơn giản hóa, tức là không có phép đệm và gắn thêm độ dài và không cắt ngắn đầu ra của hàm vòng (L₂ bit) về L_H bit bên trái nhất.

CHÚ THÍCH 1 Bước đệm và gắn thêm độ dài được bỏ qua bởi vì trong trường hợp này độ dài của chuỗi đầu vào hoặc là L₁ bit hoặc là 2L₁ bit.

CHÚ THÍCH 2 Việc cắt ngắn được bỏ qua vì trong trường hợp này độ dài của K₀ luôn là L₂ bit, ít nhất nó bằng L_H.

Khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3, 5 và 6, khóa dẫn xuất K₁ được phân tách thành 4 từ được ký hiệu bởi K₁[i] (0 ≤ i ≤ 3), tức là:

K₁ = K₁[0] || K₁[1] || K₁[2] || K₁[3].

Khi sử dụng các Hàm băm Chuyên dụng 4 và 8, khóa dẫn xuất K₁ được tách thành 8 từ được ký hiệu bởi K₁[i] (0 ≤ i ≤ 7), tức là:

K₁ = K₁[0] || K₁[1] || K₁[2] || K₁[3] || K₁[4] || K₁[5] || K₁[6] || K₁[7].

Để chuyển đổi một chuỗi thành các từ cần có một quy ước thứ tự byte. Quy ước thứ tự byte cho việc chuyển đổi này được định nghĩa cho hàm băm chuyên dụng đã chọn có trong ISO/IEC 10118-3.

6.1.2  Bước 2 (sửa đổi các hằng số và IV)

Khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3, 4, 5 và 8, các hằng số cộng tính đã sử dụng trong hàm vòng được sửa đổi bằng cách cộng mod 2^w với một từ của K₁, ví dụ:

C₀ := C₀ ψ K₁[0].

Điều 6.3 chỉ ra từ nào của K₁ được cộng vào từng hằng số.

Giá trị khởi đầu IV của hàm băm được thay thế bởi IV’ := K₀. Hàm thu được từ các thay đổi trong bước này được ký hiệu bởi h’, và hàm vòng của nó được ký hiệu bởi ϕ’.

6:1.3  Bước 3 (phép băm)

Chuỗi đầu vào cho hàm hăm đã sửa đổi h’ là bằng với chuỗi dữ liệu đầu vào D, tức là:

H’ := h’(D).

6.1.4  Bước 4 (biến đổi đầu ra)

Hàm vòng đã sửa đổi ϕ’ được áp dụng thêm một lần nữa, với đầu vào thứ nhất là chuỗi KT (được định nghĩa dưới đây) và đầu vào thứ hai là chuỗi H’ (kết quả của Bước 3), tức là:

H” := ϕ’(KT, H’).

Đối với các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8,

KT = K₂ || (K₂ Å T₀) || (K₂ Å T₁) || (K₂ Å T₂).

Đối với các Hàm băm Chuyên dụng 5 và 6,

KT = K₂ || (K₂ Å T₀) || (K₂ Å T₁) || (K₂ Å T₂) || K₂ || (K₂ Å T₀) || (K₂ Å T₁) || (K₂ Å T₂).

Ở đây T₀, T₁ và T₂ là các chuỗi 128-bit được định nghĩa trong Điều 6.3 cho mỗi hàm băm chuyên dụng.

CHÚ THÍCH Biến đổi đầu ra tương ứng với việc xử lý khối dữ liệu thêm được dẫn xuất từ K₂ sau khi đệm và gắn thêm trường độ dài.

6.1.5  Bước 5 (cắt ngắn)

MAC gồm m bit được nhận được bằng cách lấy m bit bên trái nhất của chuỗi H”, tức là

MAC := m ~ H”.

6.2  Hiệu suất

Nếu chuỗi dữ liệu đã được đệm (trong đó thuật toán đệm phụ thuộc vào hàm băm đã chọn) chứa q khối, thì Thuật toán MAC 1 yêu cầu q + 7 lần áp dụng hàm vòng.

Việc này có thể được rút gọn về q + 1 lần áp dụng hàm vòng bằng cách tính trước các giá trị K₀, K₁ và K₂, và bằng cách thay thế giá trị khởi đầu IV bằng giá trị IV’ trong khi áp dụng hàm vòng. Khuyến cáo thực hiện sửa đổi này với mã lệnh của hàm băm cùng với sửa đổi bắt buộc được yêu cầu cho Bước 2. Đối với các chuỗi đầu vào dài, Thuật toán MAC 1 có hiệu suất là so sánh được với hiệu năng của hàm băm đã được sử dụng.

6.3  Tính toán hằng số

Các hằng số mô tả trong mục này được sử dụng trong các Thuật toán MAC 1 và 3. Thuật toán MAC 3 được chỉ ra trong Điều 8.

Các chuỗi T_i và U_i (0 ≤ i ≤ 2) là các phần tử cố định trong mô tả của thuật toán MAC. Chúng được tính (chỉ một lần) khi dùng hàm băm; chúng khác nhau cho mỗi một trong số bảy hàm băm.

Các hằng số 128-bit T_i và các hằng số 768-bit U_i được định nghĩa như sau. Định nghĩa của T_i bao gồm hằng số 496-bit R = ‘ab…yzAB…YZ1…89″ và các hằng số 16-bit S₀, S₁, S₂ trong đó S_i là chuỗi 16-bit được tạo nên bằng cách lặp lại 2 lần biểu diễn 8-bit của i (ví dụ biểu diễn hexa của S₁ là 3131). Trong cả hai trường hợp mã ghi dạng ASCII được sử dụng: tương đương với mã ghi khi sử dụng ISO/IEC 646:1991.

For i := 0 to 2

T_i := 128 ~  (S_i || R) cho Hàm băm Chuyên dụng 1, 2, 3, 4 và 8.

T_i := 128 ~  (S_i || R || 0⁵¹²) cho Hàm băm Chuyên dụng 5 và 6, trong đó 0⁵¹² là 512 bit ‘0’.

For i: = 0 to 2

U_i := T_i || T_i+1 || T_i+2 || T_i || T_i+1 || T_i+2

trong đó chỉ số dưới trong T_i được lấy theo modulo 3.

Trong các Hàm băm Chuyên dụng 1, 2, 3, 4, 5, 6 và 8, đối với tất cả các hằng số C_i,  và tất cả các từ K₁[i], bit có nghĩa lớn nhất tương ứng với bít bên trái nhất. Các hằng số C_i, và  được trình bày bằng biểu diễn hexa.

6.3.1  Hàm băm Chuyên dụng 1 (RIPEMD-160)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 1 được định nghĩa như sau (trong biểu diễn hexa):

T₀ = 1CC7086A046AFA22353AE88F3D3DACEB

T₁ = E3FA02710E491D851151CC34E4718D41

T₂ = 93987557C07B8102BA592949EB638F37

Hai dãy các từ là hằng số C₀, C₁,…, C₇₉ và , ,…,được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 1. Chúng được định nghĩa như sau:

C_i = K₁[0] ψ 00000000, (0 ≤ i ≤ 15),

C_i = K₁[1] ψ 5A827999, (16 ≤ i ≤ 31),

C_i = K₁[2] ψ 6ED9EBA1, (32 ≤ i ≤ 47),

C_i = K₁[3] ψ 8F1BBCDC, (48 ≤ i ≤ 63),

C_i = K₁[0] ψ A953FD4E, (64 ≤ i ≤ 79),

 = K₁[1] ψ 50A28BE6, (0 ≤ i ≤ 15),

 = K₁[2] ψ 5C4DD124, (16 ≤ i ≤ 31),

 = K₁[3] ψ 6D703EF3, (32 ≤ i ≤ 47),

 = K₁[0] ψ 7A6D76E9, (48 ≤ i ≤ 63),

 = K₁[1] ψ 00000000, (64 ≤ i ≤ 79),

6.3.2  Hàm băm Chuyên dụng 2 (RIPEMD-128)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 2 được định nghĩa như sau (trong biểu diễn hexa):

T₀ = FD7EC18964C36D53FC18C31B72112AAC

T₁ = 2538B78EC0E273949EE4C4457A77525C

T₂ = F5C93ED85BD65F609A7EB182A85BA181

Hai dãy các từ là hằng số C₀, C₁,…, C₆₃ và , ,…, được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 2. Chúng được định nghĩa như sau:

C_i = K₁[0] ψ 00000000, (0 ≤ i ≤ 15),

C_i = K₁[1] ψ 5A827999, (16 ≤ i ≤ 31),

C_i = K₁[2] ψ 6ED9EBA1, (32 ≤ i ≤ 47),

C_i = K₁[3] ψ 8F1BBCDC, (48 ≤ i ≤ 63),

 = K₁[0] ψ 50A28BE6, (0 ≤ i ≤ 15),

 = K₁[1] ψ 5C4DD124, (16 ≤ i ≤ 31),

 = K₁[2] ψ 6D703EF3, (32 ≤ i ≤ 47),

 = K₁[3] ψ 00000000, (48 ≤ i ≤ 63),

6.3.3  Hàm băm Chuyên dụng 3 (SHA-1)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 3 được định nghĩa như sau (trong biểu diễn hexa):

T₀ = 1D4CA39FA40417E2AE5A77B4 9067BBCC

T₁ = 9318AFEF5D5A5B46EFCA6BEC0E138940

T₂ = 4544209656E14F97005DAC76868E97A3

Hai dãy các từ là hằng số C₀, C₁,…, C₇₉ được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 3. Chúng được định nghĩa như sau:

C_i = K₁[0] ψ 5A827999, (0 ≤ i ≤ 19),

C_i = K₁[1] ψ 6ED9EBA1, (20 ≤ i ≤ 39),

C_i = K₁[2] ψ 8F1BBCDC, (40 ≤ i ≤ 59),

C_i = K₁[3] ψ CA62C1D6, (60 ≤ i ≤ 79),

6.3.4  Hàm băm Chuyên dụng 4 (SHA-256)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 4 được tính như sau (trong đó  là phiên bản được đơn giản hóa của Hàm băm Chuyên dụng 4 được định nghĩa trong Điều 6.1.1):

T₀ = 128 ~  (S₀ || R),

T₁ = 128 ~  (S₁ || R),

T₂ = 128 ~  (S₂ || R),

Dây các từ là hằng số C₀, C₁,…, C₆₃ được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 4. Chúng được định nghĩa như sau:

C_i = K₁[imod 8] ψ  (0 ≤ i ≤ 63),

trong đó dãy  ở biểu diễn hexa (bit có nghĩa lớn nhất tương ứng với bit bên trái nhất) được định nghĩa như sau, các từ được liệt kê theo thứ tự C₀, C₁,…, C₆₃.

CHÚ THÍCH Các giá trị này là 32 bit đầu tiên của phần thập phân của các căn bậc 3 của 64 số nguyên tố đầu tiên. Chúng là dãy hằng số được sử dụng trong SHA-256.

6.3.5  Hàm băm Chuyên dụng 5 (SHA-512)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 5 được tính như sau (trong đó R là phiên bản được đơn giản hóa của Hàm băm Chuyên dụng 5 được định nghĩa trong Điều 6.1.1):

Dãy các từ là hằng số C₀, C₁,…, C₇₉ được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 5. Nó được định nghĩa như sau:

C_i = K₁[imod 4] ψ  (0 ≤ i ≤ 79),

trong đó dãy  ở biểu diễn hexa (bít có nghĩa lớn nhất tương ứng với bit bên trái nhất) được định nghĩa như sau, các từ được liệt kê theo thứ tự C₀, C₁,…, C₇₉.

CHÚ THÍCH Các giá trị này là 64 bit đầu tiên của phần thập phân của các căn bậc 3 của 80 số nguyên tố đầu tiên. Chúng là dãy hằng số được sử dụng trong SHA-512.

6.3.6  Hàm băm Chuyên dụng 6 (SHA-384)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 6 được tính như sau (trong đó  là phiên bản được đơn giản hóa của Hàm băm Chuyên dụng 6 được định nghĩa trong Điều 6.1.1):

Dãy các từ là hằng số C₀, C₁,…, C₇₉  được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 6. Chúng được định nghĩa như sau:

C_i = K₁[imod 4] ψ  (0 ≤ i ≤ 79),.

trong đó dãy  chính là dãy cho Hàm băm Chuyên dụng 6 của Điều 6.3.5.

6.3.7  Hàm băm Chuyên dụng 8 (SHA-224)

Các chuỗi hằng số 128-bit T_i cho Hàm băm Chuyên dụng 8 được tính như sau (trong đó  là phiên bản được đơn giản hóa của Hàm băm Chuyên dụng 8 được định nghĩa trong Điều 6.1.1):

T₀ = 128 ~  (S₀ || R),

T₁ = 128 ~  (S₁ || R),

T₂ = 128 ~  (S₂ || R),

Dây các từ là hằng số C₀, C₁,…, C₆₃ được sử dụng trong hàm vòng của Hàm băm Chuyên dụng 8. Chúng được định nghĩa như sau:

C_i = K₁[imod 8] ψ  (0 ≤ i ≤ 63),

trong đó dãy   chính là dãy cho Hàm băm Chuyên dụng 4 của Điều 6.3.4.

7  Thuật toán MAC 2

CHÚ THÍCH 1 Mục này chứa mô tả của HMAC [7].

Thuật toán MAC 2 yêu cầu hai lần áp dụng của một hàm băm để tính một giá trị MAC.

Hàm băm được chọn từ ISO/IEC 10118-3, với yêu cầu rằng L₁ là bội số dương của 8 và L₂ ≤ L₁.

CHÚ THÍCH 2 Các Hàm băm Chuyên dụng 1 – 7 trong ISO/IEC 10118-3:2004 và Hàm băm Chuyên dụng 8 trong ISO/IEC 10118-3/Amd1:2006 thỏa mãn các điều kiện này.

Kích thước khóa k tính theo bít cần ít nhất bằng L₂, trong đó L₂ là kích thước của mã băm tính theo bit, và nhiều nhất là L₁ bit, trong đó L₁ là kích thước của đầu vào dữ liệu của hàm vòng tính theo bit, tức là, L₂ ≤ k ≤ L₁.

7.1  Mô tả của Thuật toán MAC 2

Thuật toán MAC 2 yêu cầu 4 bước sau: mở rộng khóa, phép toán băm, biến đổi đầu ra và cắt ngắn.

7.1.1  Bước 1 (mở rộng khóa)

Gắn thêm (L₁ – k) bit 0 vào bên phải của khóa K: chuỗi thu được có độ đài L₁ được ký hiệu bởi .

Khóa  được mở rộng để tạo ra hai khóa con  và :

• Định nghĩa chuỗi IPAD như ghép nối của L₁/8 bản sao của giá trị hexa ’36’ (hay giá trị nhị phân ‘00110110’). Sau đó tính giá trị  như XOR của  và chuỗi IPAD, tức là:

 :=  Å IPAD.

• Định nghĩa chuỗi OPAD như ghép nối của L₁/8 bản sao của giá trị hexa ‘5C’ (hay giá trị nhị phân ‘01011100’). Sau đó tính giá trị  như XOR của  và chuỗi OPAD, tức là:

 :=  Å OPAD.

7.1.2  Bước 2 (phép toán băm)

Chuỗi đầu vào của hàm băm bằng với ghép nối của  và D, tức là:

H’ := h( || D).

7.1.3  Bước 3 (biến đổi đầu ra)

Chuỗi đầu vào của hàm băm bằng với ghép nối của  và H’, tức là:

H” := h( || H’).

7.1.4  Bước 4 (cắt ngắn)

MAC có m bít được rút ra bằng cách lấy m bit trái nhất của chuỗi H”, tức là:

MAC := m ~ H”.

7.2  Hiệu suất

Nếu chuỗi dữ liệu đã được đệm (trong đó thuật toán đệm là đặc thù đối với hàm băm được chọn) chứa q khối, thì Thuật toán MAC 2 yêu cầu q + 3 lần áp dụng hàm vòng.

Nó có thể được rút gọn về q + 1 lần áp dụng hàm vòng bằng cách sửa đổi mã lệnh của hàm vòng. Người ta có thể tính trước các giá trị IV₁ := ϕ(, IV) và IV₂ := ϕ (,IV) và thay thế giá trị khởi đầu IV bởi IV₁ trong lần áp dụng thứ nhất của hàm băm, và bởi IV₂ trong biến đổi đầu ra (lần áp dụng thứ hai của hàm băm). Nó cũng yêu cầu một sửa đổi của phương pháp đệm: thực ra, đầu vào thực sự của hàm băm bây giờ là L₁ bit ngắn hơn; điều đó có nghĩa rằng giá trị L₁ phải được thêm vào giá trị L_D.

Đối với các chuỗi đầu vào dài, Thuật toán MAC 2 có hiệu năng so sánh được với hiệu năng của hàm băm được sử dụng.

8  Thuật toán MAC 3

CHÚ THÍCH Điều này chứa một biến thể của Thuật toán MAC 1, nó được tối ưu hóa cho các đầu vào ngắn (nhiều nhất 256 bit).

Thuật toán MAC 3 yêu cầu bảy lần áp dụng cho hàm vòng đơn giản hóa để tính toán một giá trị MAC, nhưng việc này có thể được giảm về một lần áp dụng của hàm vòng này bằng cách thực hiện các tính toán trước nhất định.

Hàm băm phải được lựa chọn từ các Hàm băm chuyên dụng 1 – 6 từ ISO/1EC 10118-3:2004 và Hàm băm Chuyên dụng 8 từ ISO/IEC 10118-3/Amd1:2006.

Kích cỡ khóa k tính bằng bít lớn nhất bằng 128 bít và độ dài MAC theo bít là m lớn nhất bằng L_H/2.

8.1  Mô tả của Thuật toán MAC 3

Thuật toán MAC 3 yêu cầu năm bước sau: mở rộng khóa, sửa đổi các hằng số của hàm vòng, đệm, áp dụng hàm vòng và cắt ngắn.

8.1.1  Bước 1 (mở rộng khóa)

Nếu K ngắn hơn 128 bit, ghép nối K vào chính nó một số đủ lần và chọn 128 bit bên trái nhất để tạo ra khóa 128-bit K’ (nếu độ dài (tính theo bít) của K bằng với 128 thì K’ := K):

K’ := 128 ~(K || K || … || K).

Tính các khóa con K₀, K₁, và K₂ như sau:

K₀ :=  (K’ || U₀ || K’);

K₁ := 128 ~(K’ || U₁ || K’), khi sử dụng các Hàm băm Chuyên dụng 1, 2 và 3;

K₁ := 256 ~(K’ || U₁ || K’), khi sử dụng các Hàm băm Chuyên dụng 4, 5, 6 và 8;

K₂ := 128 ~(K’ || U₂ || K’).

Ở đây U₀, U₁ và U₂ là các hằng số 768-bit mà được định nghĩa trong Điều 6.3, và  ký hiệu hàm băm h mà không có phép đệm và gắn thêm độ dài, và không cắt ngắn đầu ra hàm vòng (L₂ bit) thành L_H bit bên trái nhất.

CHÚ THÍCH 1 Phép đệm và gắn thêm độ dài được bỏ qua bởi vì trong trường hợp này độ dài của chuỗi đầu vào hoặc là L₁ bit hoặc là 2L₁ bit.

CHÚ THÍCH 2 Phép cắt ngắn được bỏ qua bởi vì trong trường hợp này độ dài của K₀ luôn là L₂ bit, nó là ≥ L_H.

Khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3, 5 và 6, khóa dẫn xuất K₁ được phân tách thành 4 từ được ký hiệu bởi K₁[i] (0 ≤ i≤ 3), tức là:

K₁ = K₁[0] || K₁[1] || K₁[2] || K₁[3].

Khi sử dụng các Hàm băm Chuyên dụng 4 và 8, khóa dẫn xuất K₁ được phân tách thành 8 từ được ký hiệu:

K₁ = K₁[0] || K₁[1] || K₁[2] || K₁[3] || K₁[4] || K₁[5] || K₁[6] || K₁[7].

Để chuyển đổi một chuỗi bít thành các từ, một quy ước thứ tự byte được yêu cầu. Quy ước thứ tự byte cho chuyển đổi là quy ước mà được định nghĩa cho mỗi hàm băm chuyên dụng trong ISO/IEC 10118-3.

8.1.2  Bước 2 (sửa đổi các hằng số và IV)

Khi sử dụng các Hàm băm Chuyên dụng 1, 2, 3,4, 5, 6 và 8, các hằng số dùng để cộng được sử dụng trong hàm vòng được sửa đổi bởi phép cộng mod 2^w với một từ của K₁, ví dụ:

C₀ := C₀ ψ K₁[0].

Điều 6.3 chỉ ra từ nào của K₁ được cộng vào từng hằng số.

Giá trị khởi đầu IV của hàm băm được thay thế bởi IV’ := K₀. Hàm vòng kết quả được ký hiệu bởi ϕ’.

8.1.3  Bước 3 (đệm)

Các bit đệm được thêm vào chuỗi dữ liệu ban đầu chỉ được sử dụng để tính MAC. Do vậy, các bit đệm này (nếu có) không cần phải lưu trữ hoặc truyền đi cùng với dữ liệu. Người kiểm tra phải biết dù các bit đệm có được lưu trữ hoặc truyền đi hay không.

Chuỗi dữ liệu D là đầu vào cho thuật toán MAC cần phải được đệm về phía bên phải cùng với số ít nhất các bít ‘0’ (có thể không có) như cần thiết để nhận được chuỗi dữ liệu  có độ dài 256 bit.

CHÚ THÍCH Nếu chuỗi dữ liệu đầu vào là trống, thì chuỗi dữ liệu đã được đệm  chứa 256 bit ‘0’

8.1.4  Bước 4 (áp dụng hàm vòng)

Chuỗi bit  được tính như biểu diễn nhị phân của độ dài (tính theo bit) L_D của chuỗi dữ liệu D, nó được đệm về phía bên trái bởi số ít nhất các bit ‘0’ như cần thiết để nhận được một chuỗi 128-bit. Bit bên phải nhất của chuỗi bit  tương ứng với bit có nghĩa nhỏ nhất của biểu diễn nhị phân của L_D.

Chuỗi đầu vào của hàm vòng ϕ’ (cùng với các hằng số được sửa đổi) bằng với ghép nối K₂,  và kết quả XOR của K₂ và .

Đối với các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8:

H : = ϕ’(K₂ ||  || (K₂ Å ), IV).

Đối với các Hàm băm Chuyên dụng 5 và 6:

H : = ϕ’(K₂ ||  || (K₂ Å ) || K₂ || || (K₂ Å ), IV ).

8.1.5  Bước 5 (cắt ngắn)

MAC có m bit được rút ra bằng cách lấy m bit trái nhất của chuỗi H’, tức là:

MAC := m ~ H’.

8.2  Hiệu suất

Thuật toán MAC 3 yêu cầu 7 lần áp dụng hàm vòng.

Thuật toán có thể được rút gọn về một lần áp dụng duy nhất của hàm vòng bằng cách tính trước các giá trị K₀, K₁, K₂.

 

 

Phụ lục C

(tham khảo)

Phân tích độ an toàn của các thuật toán MAC

Phụ lục này đề cập về mức an toàn của các thuật toán MAC trong tiêu chuẩn này. Mục tiêu là để hỗ trợ người sử dụng tiêu chuẩn này trong việc lựa chọn một trong những cơ chế và giá trị các tham số.

Trong phụ lục này, MAC_K(D) ký hiệu MAC cho chuỗi D được tính khi dùng khóa của thuật toán MAC là K.

Để xác định mức an toàn của một thuật toán MAC, hai chiến lược tấn công đã được xem xét:

Tấn công giả mạo: Tấn công này bao gồm việc dự đoán giá trị của MAC_K(D) cho chuỗi dữ liệu D mà không có hiểu biết ban đầu về K. Nếu đối phương có thể làm điều này cho một chuỗi dữ liệu duy nhất, anh ta được gọi là có khả năng giả mạo. Các tấn công thực hành được thường yêu cầu rằng một giả mạo là xác minh được, tức là MAC bị giả mạo là tính được chuẩn xác từ trước với xác suất gần bằng 1. Hơn nữa, trong nhiều ứng dụng chuỗi dữ liệu có một khuôn dạng đặc biệt, tại đó áp đặt các ràng buộc thêm lên chuỗi dữ liệu D;

Tấn công khôi phục khóa: Tấn công này bao gồm việc tìm ra bản thân khóa K của thuật toán MAC từ một số các cặp chuỗi dữ liệu/MAC. Một tấn công như vậy là mạnh hơn so với giả mạo, vì nó cho phép các giả mạo tùy ý.

Tính khả thi của một tấn công phụ thuộc vào số các cặp chuỗi dữ liệu/MAC đã biết và số các cặp chuỗi dữ liệu/MAC lựa chọn được yêu cầu, và vào số các lần mã hóa không trực tuyến.

Các tấn công có thể chống lại các thuật toán MAC được mô tả dưới đây: không có đảm bảo rằng danh sách này là đầy đủ toàn bộ. Hai tấn công đầu là tổng quát, tức là, chúng áp dụng được vào thuật toán MAC bất kỳ. Tấn công tiếp theo áp dụng được vào thuật toán MAC lặp bất kỳ (để biết chi tiết hơn hãy xem [9]).

Đoán MAC: Đó là một giả mạo mà không xác minh được, và nó có xác suất thành công bằng max(1/2^m, 1/2^k). Tấn công này áp dụng được vào tất cả các thuật toán MAC, và chỉ có thể bị ngăn ngừa bằng lựa chọn đúng đắn của m và k.

Khôi phục khóa vét cạn: Tấn công này yêu cầu về trung bình 2^k-1 lần tính; việc xác minh của một tấn công như vậy yêu cầu khoảng k/m cặp chuỗi dữ liệu/MAC. Một lần nữa tấn công này áp dụng được vào tất cả các thuật toán MAC. Nó có thể bị ngăn chặn bằng lựa chọn đúng của giá trị k. Một cách khác, người ta có thể ngăn cản ai đó nhận được k/m cặp chuỗi dữ liệu/MAC, đó là số cần thiết để nhận dạng khóa một cách duy nhất. Ví dụ, nếu k = 128 và m = 64, xấp xỉ 2⁶⁴ khóa tương ứng với một cặp chuỗi dữ liệu/MAC đã cho; nếu một khóa khác được sử dụng để tính mỗi giá trị MAC, thì việc khôi phục khóa bằng cách vét cạn sẽ không hiệu quả hơn so với việc đoán giá trị MAC.

Giả mạo ngày sinh [9]: nếu đối phương biết một số đủ các cặp chuỗi dữ liệu/MAC, anh ta hy vọng tìm được hai chuỗi dữ liệu D và D’ sao cho MAC_K(D) = MAC_K(D’) và các giá trị đầu vào của biến đổi đầu ra trong cả hai tính toán là bằng nhau; nó được gọi là một va chạm trong. Nếu D và D’ tạo nên một va chạm trong, thì MAC_K(D||Y) = MAC_K(D‘||Y) đối với chuỗi Y bất kỳ. Việc này cho phép một giả mạo sau một chuỗi dữ liệu đã được chọn, vì kẻ thù địch có thể dự đoán MAC cho D’||Y sau khi đã quan sát MAC tương ứng cho D||Y. Giả mạo này là trên các chuỗi dữ liệu có dạng đặc biệt, mà có thể không được quan tâm trong tất cả các ứng dụng, nhưng cần được nhận thấy rằng các mở rộng của tấn công này tồn tại mà cho phép có tính mềm dẻo lớn hơn trong các chuỗi dữ liệu. Tấn công yêu cầu một chuỗi dữ liệu được lựa chọn và xấp xỉ 2^n/m chuỗi dữ liệu đã biết và 2^n–m chuỗi dữ liệu được lựa chọn.

Tấn công giả mạo kiểu ngày sinh có thể bị ngăn ngừa bằng cách thêm một khối vào phía trước chuỗi dữ liệu mà chứa một số seri và làm cho việc tính MAC phụ thuộc trạng thái. Điều này có nghĩa rằng cài đặt phải đảm bảo rằng mỗi số seri chỉ được sử dụng 1 lần để tính MAC trong thời gian sống của khóa. Điều này không sẵn có trong mọi môi trường.

Khôi phục khóa đường tắt: Một số thuật toán MAC tiềm tàng bị tổn thương đối với các tấn công khôi phục khóa dựa trên va chạm trong. Chưa có báo cáo về có tấn công đường tắt đối với các Thuật toán MAC đã được mô tả trong tiêu chuẩn này.

Các chứng minh độ an toàn

Đã chứng minh được rằng Thuật toán MAC 1 là an toàn nếu các giả thiết sau đúng [8]:

• Hàm vòng ϕ được nạp khóa bởi giá trị khởi đầu IV và bởi hằng số dùng để cộng là một hàm giả ngẫu nhiên.

CHÚ THÍCH Một hàm giả ngẫu nhiên cùng với khóa bí mật mà có hành vi như một hàm ngẫu nhiên (tức là, khó phân biệt với một hàm ngẫu nhiên) đối với người không biết khóa bí mật.

Đã chứng minh được rằng Thuật toán MAC 2 là an toàn nếu các giả thiết sau đúng [6]:

• Hàm vòng ϕ được nạp khóa bởi giá trị khởi đầu IV là một thuật toán MAC mạnh (tức là, đầu ra của nó là khó dự đoán được).

Độ an toàn của Thuật toán MAC 3 là tương tự đối với các giả thiết được làm trên hàm vòng ϕ để chứng minh độ an toàn của các thuật toán MAC 1 và 2.

THƯ MỤC TÀI LIỆU THAM KHẢO

[1] ISO 7498-2:1989, Information processing systems – Open Systems Interconnection – Basic Reference Model – Part 2: Security Architecture;

[2] ISO/IEC 646:1991, Information technology – ISO 7-bit coded character set for information interchange;

[3] TCVN 11495-1 (ISO/IEC 9797-1), Công nghệ thông tin – Các kỹ thuật an toàn – Các mã xác thực thông điệp (MAC) – Phần 1: Các cơ chế sử dụng mã khối;

[4] ISO/IEC 10118-1:2000, Information technology – Security techniques – Hash- functions – Part 1 :General;

[5] ISO/IEC 10181-6:1996, Information technology – Open Systems Interconnection – Security frameworks for open systems: Integrity framework.

[6] BELLARE, M. “New proofs for NMAC and HMAC: Security without Collision- Resistance,” Advances in Cryptology, Proceedings Crypto’06, LNCS 4117, C. Dwork, Ed., Springer-Verlag, 2006, pp. 602-619;

[7] BELLARE, M., CANETTI, R., KRAWCZYK, H. “Keying hash functions for message authentication”, Advances in Cryptology, Proceedings Crypto’96, LNCS 1109, N. Koblitz, Ed., Springer-Verlag, 1996, pp. 1-15;

[8] BELLARE, M. CANETTI, R., KRAWCZYK, H. “Pseudorandom functions revisited: The cascade construction and its concrete security,” Proc. 37th Annual Symposium on the Foundations of Computer Science, IEEE, 1996, pp. 514-523. Full version via http://www- cse.ucsd.edu/users/mihir;

[9] PRENEEL, B. VAN OORSCHOT, P.C. “MDx-MAC and building fast MACS from hash functions,” Advances in Cryptology, Proceedings Crypto’95, LNCS 963, D. Coppersmith, Ed., Springer- Verlag, 1995, pp. 1-14;

[10] ISO/IEC 18032, Information technology – Security techniques – Prime number generation;

 

MỤC LỤC

Lời nói đầu

1  Phạm vi áp dụng

2  Tài liệu viện dẫn

3  Thuật ngữ và định nghĩa

4  Ký hiệu và giải thích

5  Các yêu cầu

6  Thuật toán MAC 1

6.1  Mô tả của Thuật toán MAC 1

6.1.1  Bước 1 (mở rộng khóa)

6.1.2  Bước 2 (sửa đổi các hằng số và IV)

6.1.3  Bước 3 (phép toán băm)

6.1.4  Bước 4 (biến đổi đầu ra)

6.1.5  Bước 5 (cắt ngắn)

6.2  Hiệu suất

6.3  Tính toán các hằng số

6.3.1  Hàm băm Chuyên dụng 1 (RIPEMD-160)

6.3.2  Hàm băm Chuyên dụng 2 (RIPEMD-128)

6.3.3  Hàm băm Chuyên dụng 3 (SHA-1)

6.3.4  Hàm băm Chuyên dụng 4 (SHA-256)

6.3.5  Hàm băm Chuyên dụng 5 (SHA-512)

6.3.6  Hàm băm Chuyên dụng 6 (SHA-384)

6.3.7  Hàm băm Chuyên dụng 8 (SHA-224)

7  Thuật toán MAC 2

7.1  Mô tả của Thuật toán 2

7.1.1  Bước 1 (mở rộng khóa)

7.1.2  Bước 2 (phép toán băm)

7.1.3  Bước 3 (biến đổi đầu ra)

7.1.4  Bước 4 (cắt ngắn)

7.2  Hiệu suất

8  Thuật toán MAC 3

8.1  Mô tả của Thuật toán MAC 3

8.1.1  Bước 1 (mở rộng khóa)

8.1.2  Bước 2 (sửa đổi các hằng số và IV)

8.1.3  Bước 3 (đệm)

8.1.4  Bước 4 (áp dụng hàm vòng)

8.1.5  Bước 5 (cắt ngắn)

8.2  Hiệu suất

Phụ lục A (quy định) Mô đun ASN.1

Phụ lục B (tham khảo) Các ví dụ

Phụ lục C (tham khảo) Phân tích độ an toàn của các thuật toán MAC

Thư mục tài liệu tham khảo