现代密码学基础

1. 现代密码学基础 教师：张茹 电话：62283694 Emal：zhangru@china.com

2. 课程安排 • 第1～17周上课 • 第18周考试

3. 参考书 • 应用密码学。【美】Burce，机械工业出版社 • 现代密码新理论 。杨义先，科学出版社

4. 1.1密码学研究的基本问题 • 一、密码体制 • 密钥 • 明文、密文 • 加密算法 • 解密算法

5. 安全性评价 • 无条件安全性 若密文中不含明文的任何信息，则认为该密码体制是安全的，否则就认为是不安全的。已经证明，达到这样高等级（完善）的安全性，仅当所用密钥的长度不短于加密的发送消息的总长度才有可能。 • 有条件安全性 把搭线者提取明文信息的可能性改为搭线者提取明文信息的可行性，这种安全性称为有条件安全性，即搭线者在一定的计算资源条件下，他不能从密文恢复出明文。

6. 密码分析学 • 密码分析是研究密码体制的破译问题，即试图在不知道密钥的情况下，从截取到的密文恢复出明文消息或密钥。 • 对一个具体的密码体制的分析结果是评价这一体制安全性的一种检验。

7. 密码分析（或称攻击）分类 • 唯密文分析（攻击），密码分析者取得一个或多个用同一密钥加密的密文； • 已知明文分析（攻击），除要破译的密文外，密码分析者还取得一些用同一密钥加密的明密文对； • 选择明文分析（攻击），密码分析者可取得他所选择的任何明文所对应的密文（当然不包括他要恢复的明文），这些明密文对和要破译的密文是用同一密钥加密的； • 选择密文分析（攻击），密码分析者可取得他所选择的任何密文所对应的明文（要破译的密文除外），这些密文和明文和要破译的密文是用同一解密密钥解密的，它主要应用于公钥密码体制。

8. 二、单向函数与伪随机序列生成器 • 一个单向函数是一个函数，由x计算函数值y是容易的，但由y计算函数的逆是困难的（在某种平均意义下）。 • 直观地说，一个伪随机序列生成器是一个确定算法，它把短的随机比特（种子）扩展为长得多的貌似随机的比特序列，换句话说，伪随机序列生成器的输出虽然不是真正的随机序列，但在计算资源一定的条件下，要判别这个输出与等长的真随机序列的不同是不可行的。

9. 三、数字签名与杂凑（Hash）函数 • 对一个不能伪造的数字签名方案有下列要求： • 每个用户能有效（容易）地在他选择的文件上产生他自己的签名； • 每个用户能有效（容易）地验证一给定的数字串是否是另一特定用户在某特定文件上的签名； • 没人能在其他用户没签名的文件上有效（容易）地产生他们的签名。

10. 杂凑函数是一个将不等长消息压缩为固定长度消息的确定性算法h，它具有如下性质：杂凑函数是一个将不等长消息压缩为固定长度消息的确定性算法h，它具有如下性质： • 任给消息x，计算h（x）是容易的； • 要找两个不同的消息x1, x2 使得h(x1)=h(x2)是计算上不可行（困难）的。

11. 四、消息认证和身份识别 • 一个不保密的论证方案是一个使通信双方能进行公开通信而不受入侵者欺骗的协议。 • 一个典型的认证方案包括：认证算法、消息和认证密钥。 • 对一个安全的认证方案有下列要求： （1）通信双方能有效（容易）地产生任意消息的认证标签； （2）通信双方能有效（容易）地验证一给定的数字串是否是一给定消息的认证标签； （3）没有入侵者能有效（容易）地产生通信双方没发送消息的消息认证标签。

12. 用户方需要向提供服务方证明自己的身份而使提供服务方（可能是计算机）能验证是真正用户还是假冒该用户的入侵者。 • 一个安全的身份识别方案有下列要求： • 每个用户能有效地提供自己的身份证明信息； • 每个提供服务者能有效地验证提供身份证明信息者的身份； • 没人（包括服务提供者）能有效地提供其他人的身份证明信息。

13. 五、抗欺骗协议（fault-tolerant protocol）和零知识证明 • 同时交换秘密问题——合同问题 • 函数的多方计算问题——投票问题

14. 零知识证明是构造安全协议的一个主要工具。 • 不严格地说，零知识证明除了给出结论的正确性外不给出任何其他信息，它提供一个工具使各方能放心地执行所给协议。

15. 1.2密码学应用 • 特点 • 密码学是在密码设计者和密码分析者之间不断斗争中发展起来的。 • 密码学的发展与通信技术和计算技术的发展密切相关。 • 密码学是密码体制和安全协议（包括它们的分析和破译方法）的总体。 • 应用领域 • 军事、政府和外交等机要通信的保密和识破别国的密码 • 扩大到商务、金融和社会各个领域