【正文】 （ PK， SK），由兩部分組成： PK 是加密密鑰是公開的， SK是解密密鑰是保密的。如果愛麗絲想要發(fā)送一個鮑勃的消息 m，她對 m使用 Bob 的公開密鑰 PK。鮑勃解密密文用他的解密密鑰 SK，這只有他自己知道。我們可以得到 ： 從數(shù)學上講，公鑰加密是一個所謂的單向函數(shù)與一個活板門。每個人都可以很容易地使用公共密鑰加密的明文 PK，但反過來是困難的。它從密文推斷出明文的幾乎是不可能的，不知道的秘密密鑰 SK（即活板門信息）。 公開密鑰加密方法需要更復(fù)雜的運算，比經(jīng)典對稱方法效率較低。因此對稱方法用于大量數(shù)據(jù)的加密。在使用對稱加密之前，愛麗絲和鮑勃不得不統(tǒng)一一個密鑰。為了保持密鑰的保密，他們需要一個安全的通信通道。為了這個目的常見的做法是使用公共密鑰加密。 密碼學的目標 提供保密不是密碼學的唯一目的。密碼學也可以用來解決其他 問題： 1。數(shù)據(jù)的完整性。一個消息的接收方可以檢查消息是否被修改，在傳輸過程中，無論是有意或無意的。沒有人可以替代的假消息的原始信息，或它的一部分。 2。認證：消息的接收方可以驗證其來源。沒有人能夠假裝愛麗絲發(fā)送一個消息給鮑勃（數(shù)據(jù)源認證）。當啟動通信，愛麗絲和鮑勃應(yīng)該能夠彼此識別（認證）。 3。不可否認：發(fā)送者不能否認，她發(fā)出了一個信息。 如果信息是寫在紙上，媒體對操縱提供了一定的安全。手寫的個人簽名是為了保證認證和不可否認 .如果使用電子媒介，媒介本身都沒有提供安全性，因為它很容易傳輸在一個計算機網(wǎng)絡(luò)中替 換消息的一些字節(jié)，如果網(wǎng)絡(luò)是公開的這特別容易，比如上網(wǎng)。 所以，雖然加密具有悠久的歷史，而提供數(shù)據(jù)完整性和認證技術(shù)的意義是為了適應(yīng)快速增長的電子通信的需要。 有對稱以及確保消息完整性的公共密鑰的方法。古典對稱方法需要一個密鑰 K 是由發(fā)送者和接收者共享。消息 m的一個增強的消息認證碼（ MAC）。代碼是由算法生成的，取山東建筑大學 畢業(yè)設(shè)計 13 決于密鑰的增強信息的保護。對修改。接收機可以測試傳入消息（ M， M）的完整性檢查是否有 消息認證碼可以通過 Hash 函數(shù)來實現(xiàn)（見 3 章）。 數(shù)字簽名需要公鑰的方法（見 3 章的例子和細節(jié)）。與傳統(tǒng)的手寫簽 名相比，他們的目的是提供認證和不可抵賴性。注意，不可否認的是如果使用數(shù)字簽名來簽署合同不可缺少的特征。數(shù)字簽名依賴于簽名者的密鑰只能由他產(chǎn)生。另一方面，任何人都可以檢查是否有簽名是有效的，通過一個公開的驗證算法驗證，這取決于簽名者公共密鑰。如果愛麗絲要簽名的消息 M，她將該算法與她簽密和得到簽名。鮑勃接收簽名的消息 M，然后用愛麗絲的公鑰檢查簽名是否通過測試 這是常見的不簽署消息本身，而是應(yīng)用加密哈希函數(shù)（見 節(jié)）并簽署哈希值。著名的方案像 RSA（ Rivest，得名于它的發(fā)明者：夏米爾和阿德爾曼），解密 算法是用來生成簽名和加密算法驗證。這種方法對數(shù)字簽名是因此通常被稱為“哈希然后解密”范式（見 詳情）。更復(fù)雜的簽名方案，如概率簽名方案（ PSS），需要更多的步驟。修改哈希值通過偽隨機序列將簽約到概率的過程（見 ）。 數(shù)字簽名依賴信息。不同的信息，產(chǎn)生不同的簽名。因此，像經(jīng)典的消息認證碼，數(shù)字簽名可以保證消息的完整性。 攻擊 密碼學的主要目的是從竊聽者試圖得到一些關(guān)于明文的信息保持明文的秘密。討論之前，敵人也可以積極嘗試修改消息。然后，密碼也要保證消息的完整性。對手是假設(shè)有 完全訪問的通信信道。 密碼分析是研究對加密方案的攻擊科學。成功的攻擊可能，例如，恢復(fù)明文（或明文的密文部分），原始消息的替換零件，或偽造數(shù)字簽名。密碼學和密碼分析往往被更多的總稱密碼學。 密碼分析中的一個基本假設(shè)首先由 。它通常被稱為凱闊福原理。它指出，攻擊者知道所有的密碼系統(tǒng)的細節(jié)，包括算法和實現(xiàn)。根據(jù)這一原則，一個密碼系統(tǒng)的安全性必須完全基于密鑰。 在一個保密性加密方案的的攻擊，試圖從密文恢復(fù)明文，甚至更徹底，恢復(fù)密鑰。下山東建筑大學 畢業(yè)設(shè)計 14 面的調(diào)查只限于被動攻擊。攻擊者，通常我們叫她夏娃，不嘗試 修改消息。她監(jiān)視通信信道和信道的結(jié)束點。所以她不僅可以截獲密文，而且（至少從時間到時間）她可以觀察加密和解密消息。她沒有密鑰的信息。例如，夏娃可能是銀行計算機操作員。她看到收到的明文有時也可能是密文?；虍a(chǎn)生即將發(fā)送的明文和密文。也許她設(shè)法選擇讓加密明文或密文解密。 可能的攻擊取決于對手夏娃的實際資源。他們通常分類如下： 攻擊密文。夏娃已經(jīng)有能力得到密文。這在任何加密的情況是可能的。即使夏娃以后不能執(zhí)行更復(fù)雜的攻擊，我們必須假定，她可以訪問加密的消息。不能抵抗只有密文攻擊是完全不安全的加密方法。 明文 攻擊。夏娃已經(jīng)有能力獲得對稱密文。通過這些信息，她試圖解密密文，而她沒有明文。乍一看，它可能會出現(xiàn)這樣的信息一般不會提供給攻擊者。然而，它往往是可用的。夏娃可能知道消息的標準格式。 選擇性明文攻擊。夏娃已經(jīng)有能力選擇性的獲得明文和密文。然后她試圖解密密文，而她沒有明文。而這又似乎是不可能的，在許多情況下，夏娃能做的只是這一點。例如，她送了一些有趣的信息給她的受害者，她深信他將加密并發(fā)送出去。這類攻擊假設(shè)夏娃必須首先獲得明文密文對任何她想要的，然后她做分析，沒有任何進一步的互動。這意味著她只需要訪問一次加 密裝置。 可適應(yīng)性選擇明文攻擊。這是以往的攻擊一樣，夏娃對應(yīng)的明文和密文做了一些分析，并得到更多的對。她可能會隨心所欲的對收集到的進行分析調(diào)試。這意味著她有漫長的訪問加密裝置或能使它重復(fù)使用。 可適應(yīng)性選擇密文攻擊。這些攻擊類似于上述明文攻擊。夏娃可以選擇密文并得到相應(yīng)的明文。她已獲得解密裝置。 密碼協(xié)議 加密和解密算法，加密散列函數(shù)或偽隨機發(fā)生器（見 節(jié)， 8 章）的基本構(gòu)建塊（又稱密碼原語）解決問題涉及保密，認證和數(shù)據(jù)完整性。在許多情況下，一個單一的模塊是不足以解決給定的問題：不同的原語必 須結(jié)合。一系列步驟必須執(zhí)行來完成給定的任務(wù)。這樣的一個明確的一系列步驟稱為密碼協(xié)議。常見的是，我們增加一個條件：我們需要兩個或兩個以上當事人參與。我們只使用長期協(xié)議如果至少有兩個人需要完成的任務(wù)。 以數(shù)字簽名方案舉一個反例。一個典型的生成一個數(shù)字簽名方案首先應(yīng)用加密哈希函數(shù) H 的消息后，第二步，用公鑰解密算法的哈希值 h 計算簽名（ M）。一人做的兩步驟。因山東建筑大學 畢業(yè)設(shè)計 15 此，我們不把它稱為一個協(xié)議。 協(xié)議的典型例子是用戶身份鑒別協(xié)議。有很多情況下，一個用戶愛麗絲的身份已被證實。愛麗絲想登錄到遠程計算機，例如，或獲得電子銀行帳戶的 訪問。密碼或 PIN 號碼是用于這一目的。這種方法并不總是安全的。例如，誰說愛麗絲的密碼或 PIN 傳輸時能夠扮演她。我們簡述了一個要求響應(yīng)協(xié)議以防止這種攻擊（然而，它是不完美的；見第 ）。 該協(xié)議基于公鑰簽名方案中，我們假設(shè)愛麗絲有一個關(guān)鍵的方案。現(xiàn)在，愛麗絲可以用下面的方法向鮑勃證明自己的身份 鮑勃隨機發(fā)送一個要求 C 發(fā)給愛麗絲。 愛麗絲用密鑰對 C 進行簽名，并將響應(yīng)發(fā)給鮑勃 這樣鮑勃就能確認愛麗絲的身份。 只有愛麗絲可以返回請求 C 有效的簽名，因為只有她知道的秘密密鑰。因此，愛麗絲證明了她的身份，沒有她的密 鑰。沒有人能觀察到愛麗絲的秘密密鑰，即使驗證者鮑勃。 假設(shè)一個竊聽者觀察交換的消息。后來，她想扮演愛麗絲。自從鮑勃選擇他的挑戰(zhàn) C隨機的（從一個龐大），他利用同樣的挑戰(zhàn)兩次的概率是非常小的。因此，她無法通過她的觀察獲得任何好處。 在協(xié)議雙方可以成為朋友或敵人。協(xié)議可以攻擊。攻擊可以針對底層加密算法或?qū)λ惴ê蛥f(xié)議的實現(xiàn)。也有可能是對協(xié)議本身的攻擊。有可能是被動攻擊竊聽者的表現(xiàn)，唯一的目的是獲取信息。對手也可能試圖通過積極操縱協(xié)議獲得優(yōu)勢。她會假裝別人，替代消息或重播舊信息。 重要協(xié)議的密鑰交換，電子選舉，數(shù)字現(xiàn) 金和身份證明在 4 章討論互動。 可證明安全性 它是理想的設(shè)計，是可證明安全的密碼體制。意味著數(shù)學證明密碼抵抗某些類型的攻擊的可證明安全的。在這一領(lǐng)域的開創(chuàng)性工作是由香農(nóng)他的信息理論里的，他開發(fā)的一個消息和完善保密的概念，相關(guān)的信息量的措施。一個完美的密碼完全抵制一切唯密文攻擊。攻擊者得不到關(guān)于明文，即使他的計算能力和時間資源是無限的。弗納姆的一次一密密碼本（見 節(jié)），這一消息加密位異或它與真正的隨機位串，最著名的是完美的密碼。它甚至抗拒所有提到的被動攻擊。這可以通過香農(nóng)理論的數(shù)學證明。經(jīng)典信息理論安 全在 節(jié)討論；對香農(nóng)信息理論的介紹可以在附錄 B 中不幸發(fā)現(xiàn)，弗納姆的一次一密密碼本 。 和完善好的秘密密碼通常是不切實際的。它在很多情況下是不現(xiàn)實的生成和對完美的要求保密處理足夠長的真正的隨機比特序列。 山東建筑大學 畢業(yè)設(shè)計 16 更近的途徑可證明安全性因此放棄完善保密的理想和（不現(xiàn)實）的無限計算能力的假設(shè)。算法的計算復(fù)雜度的考慮。只考慮攻擊，可能在實踐中是可行的。可行的手段，攻擊可以通過一個有效的算法來執(zhí)行。當然，這里的效率的正確觀念產(chǎn)生的問題。當然，與非多項式時間算法的效率較低。反之亦然算法和多項式的運行時間通常被認為是有效的。在這本書中，我們也采用這一概念的效率。 一個密碼系統(tǒng)的攻擊方式可能是由隨機事件的影響。對手夏娃會嘗試擲硬幣來決定這種情況。因此，概率算法用于模型的攻擊者。破譯加密系統(tǒng)，例如一個密文攻擊，意味著一個有多項式時間設(shè)法得到的密文的明文信息的概率算法，具有一定的不可忽略的概率。概率算法可以拋擲硬幣，和他們的控制流可以至少部分地由這些隨機事件。采用隨機源，他們可以在實踐中實現(xiàn)。不得與非確定性算法混淆。概率的概念（多項式）算法和概率模型的基礎(chǔ)是在 5 章討論。 一個公鑰密碼體制的安全性是基于一些計算問題的困難程度（這是解決問 題的有效算法）。例如，一個 RSA 密鑰可以很容易的計算出如果計算大整數(shù)的素因子是可能的。但是，據(jù)認為，大整數(shù)分解是不可行的。有用于公鑰系統(tǒng)的計算問題的硬度沒有數(shù)學證明。因此，公鑰的方法安全性證明總是條件：他們所依賴的基本假設(shè)的有效性。 假設(shè)美國一個特定的函數(shù) f是一個方法；即， f可以有效地計算，但它是不可行的計算。假設(shè)，以及單向函數(shù)的概念，可以通過概率多項式時間算法的使用非常精確。成功轉(zhuǎn)化的功能通過一個概率多項式算法的概率非常小，小到可以忽略不計，意味著它是給定的無窮小的多項式（見 6 章，定義 ）。重要的例 子，如因數(shù)分解，離散對數(shù)和二次剩余的假設(shè)，都包括在這本書中（見 6 章）。 有類似于安全的經(jīng)典觀念。香農(nóng)的完善保密性有一個計算的比喻：密文不可區(qū)分性（或語義安全）。如果攻擊者無法區(qū)分兩個明文加密是完全保密的，即使她計算資源是無限的：如果對手前夕知道密文 C 或加密，她已經(jīng)不是一個正確的選擇沒有更好的機會。 – 也稱密文不可區(qū)分的多項式時間不可 – 意味著夏娃的機會成功地應(yīng)用概率多項式時間算法是最可以忽略不計，大于 1 / 2（ 9 章，定義 ）。 作為一個典型的結(jié)果，它被證明在 節(jié)中，公鑰密文和一次密密碼本。這意味著，例如，使 RSA 公鑰密文無法進行一次密密碼本， RSA 函數(shù)是一種唯一的假設(shè)下。公鑰一次密密碼本類似弗納姆的一次密密碼本。不同的是，該消息是一個偽隨機比特序列進行異或運算，從一個短暫的真正的隨機種子生成的，通過一個單向函數(shù)。 因此，單向函數(shù)不僅是公鑰加密和數(shù)字簽名的基本成分。他們還產(chǎn)量計算完美的偽隨山東建筑大學 畢業(yè)設(shè)計 17 機比特生成器（ 8 章）。如果一個單向函數(shù)，它不僅是不可能計算 X，但某些比特（稱為核心位）是演繹同樣困難。這種特性被稱為一個單向函數(shù)的比特安全性。例如，最小的有效位硬的 RSA 函數(shù)模型核心點。從一個真正的隨機種子，反復(fù)應(yīng)用和 每一步的核心點，你得到的偽隨機比特序列。這些比特序列不能區(qū)分真正的隨機比特序列通過一個高效的算法，或等價地，（姚的定理， 節(jié)）它預(yù)測，從以前的一位幾乎是不可能的。所以他們真的是完美的計算。 第七章 的一個重要部分是詳細研究了一個含有概率的單向函數(shù)的安全并包括一個深入的分析。 隨機性和加密方案的安全性是密切相關(guān)的。有沒有安全的隨機性。加密方法提供保密只有密文隨機出現(xiàn)的對手夜。弗納姆的一次密密碼本是完全保密的，因為，由于真正的隨機密鑰字符串，加密的消息是一個夏娃真正的隨機比特序列一次性墊。公鑰密文無法區(qū)分的，因為如 果夏娃運用一個有效的概率算法，她無法分辨?zhèn)坞S機密鑰字符串，因此，與真正的隨機序列的密文。 公鑰一次密密碼本防止被動竊聽，誰執(zhí)行一個密文攻擊（見第 節(jié)以上的攻擊分類）。然而，主動攻擊，誰執(zhí)行適應(yīng)性選擇密文攻擊，可以在實踐中 – 真正危險的 Bleichenbacher的十萬次選擇性密文攻擊證明（ 節(jié)）。因此，安全防范這樣的攻擊也是可取的。在 節(jié)中，我們研究了公鑰加密方案是安全的抗適應(yīng)性選擇密文攻擊的實例，并證明了它們的安全性。其中一個例子，克萊默博士的公鑰加密方案，是第一個實用的方案的安全性證明是完 全基于一個標準的一些理論假設(shè)和哈希函數(shù)的標準假設(shè)（碰撞）。 理想的加密散列函數(shù)是一個隨機函數(shù)。它產(chǎn)生的哈希值不能區(qū)分隨機均勻分布的值。這樣一個隨機函數(shù)也被稱為隨機預(yù)言。有時候，一個密碼方案的安全性可以證明在隨機預(yù)言模型。除了所假定的計算問題的硬度，這樣的證明依賴于假設(shè)方案中使用的哈希函數(shù)是真正的隨機函數(shù)。這種方案的例子包括公鑰加密方案 OAEP（第 ）、環(huán)保（ ），上述簽名 PSS 和全域散列 RSA 簽名（第 ）。我們給環(huán)和域散列簽