安全散列算法ＳＨＡ－１的研究 张松敏，陶荣，于国华 （洛阳理工学院，河南洛阳４７１０２３） 摘要：信息加密技术是当今保障网络安全的一种重要手段，加密算法已成为人们研究的一个热点。对ＳＨＡ～Ｉ算法进行了深入 研究，介绍了ＳＨＡ—Ｉ算法的特性和应用，并对ＳＨＡ一１算法原理及实现进行了分析。 关键词：安全散列算法；ＳＨＡ一１；加密技术 Ｒｅｓｅａｒｃｈ ｏｆ Ｓｅｃｕｒｅ Ｈａｓｈ Ａｌｇｏｒｉｔｈｍ ＳＨＡ－１ ＺＨＡＮＧ Ｓｏｎｇ ｒａｉｎ，ＴＡＯ ＲＯ噌，ＹＵ ＧｕＯ—ｎｕａ （Ｚｕｏｙａｎｇ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｋｎｏｌｏｇｙ，Ｌｕｏｙａｎｇ，Ｈｅｎａｎ ４２１０２Ｙ，Ｃｈ／ｎａ） Ａｂｓｔｒａｃｔ：Ｉｎｆｏｒｍａｔｉｏｎ ｅｎｃｒｙｐｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ ｈａｓ ｂｅｃｏｍｅ ａｎ ｉｍｐｏｒｔａｎｔ ｍｅａｎｓ ｔｏ ｅｎｓｕｒｅ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ａｎｄ ｅｎｃｒｙｐｔｉｏｎ ａｌｇｏｒｉｔｈｍ ｈａｓ ｂｅｃｏｍｅ ａ ｈｏｔｓｐｏｔ．Ｔｈｉｓ ｐａｐｅｒ ｉｎｔｒｏｄｕｃｅｓ ｔｈｅ ＳＨＡ ｌ ａｌｇｏｒｉｔｈｍ ｃｈａｒａｃｔｅｒｉｓｔｉｃ ａｎｄ ａｐｐｌｉｃａｔｉｏｎ．ａｎａｌｙｓｅｓ ＳＨＡ－１ ａｌｇｏｒｉｔｈｍ ｐｒｉｎｃｉｐｌｅ ａｎｄ ｆｍｐｌｅｍｅｎｔａｔｉｏｎ． Ｋｅｙ ｗｏｒｄｓ：Ｓｅｃｕｒｅ ｈａｓｈ ａｌｇｏｒｉｔｈｍ；ＳＨＡ １；Ｅｎｃｒｙｐｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ １引言 安全散列算法（ＳＨＡ）是一种常用的数据加密算法。 它由美国国家标准与技术局（ＮＩＳＴ）于１９９３年作为联邦 ２。１．１ ＳＨＡ－１的迭代函数 ＳＨＡ—ｌ使用８０个连续的逻辑函数：ｆ ，ｆ ”，ｆ 。。 每个函数ｆｔ（０≤ｔ≤７９）都操作三个３２位字（Ｂ，Ｃ，Ｄ）， 产生一个３２位字作为输出。函数ｆｔ（Ｂ，Ｃ，Ｄ）定义如下： （Ｉ１ （Ｂ， Ｄ）＝（Ｂ－ ｊ０（～Ｂ、Ｄ） （２１． Ｂ．Ｃ Ｄ）＝（Ｂ Ｃ０Ｄ）￡３） ．Ｄ）＝（Ｂ （Ｏ≤ ≤１９） （２０≤ｆ ３９） （４Ｏ ， ５９） 信息处理标准公布（即第一代ＳＨＡ算法ＳＨＡ一０）。在 １９９５年，其改进版本ＳＨＡ一１也正式公布（ＳＨＡ—ｌ具有 比ＳＨＡ一０更高的安全性ｏ ＳＨＡ－１算法…是目前最常 用的安全散列算法和最先进的加密技术。ＳＨＡ一１算法的 思想是接收一段明文，然后以一种不可逆的方式将它转 ｊ０（Ｂ Ｄｊ０（ ＾Ｄ）Ｌ４）， ｅＢ．Ｃ Ｄ）：（Ｂ￥（＝ｆ０Ｄ）（６０≤ ７９） （渔Ｉ咧：，是与，～足Ｊ｜．０足井或） 换成一段（通常更小）密文，也可以简单地理解为取一 串输入码，把它们转化为长度较短、位数固定的输出序 ２．１。２ ＳＨＡ－１常量 ＳＨＡ一１一共需要８０个３２位的常量（Ｋ ，Ｋ ”， Ｋ 。），以ｌ６进制给出，它们如下所示： （１）Ｋ＋＝０ｘ５Ａ８２７９９９（０≤ｔ≤１９） （２）Ｋ＋＝０ｘ６ＥＤ９ＥＢＡ １ （２０≤ｔ≤３９） （３）Ｋ．＝０ｘ８Ｆ１ＢＢＣＤＣ （４０≤ｔ≤５９） 列即散列值（称为信息摘要）的过程。该算法对长度不 超过２ 的消息产生１６０位的消息摘要输出，输入按５１２ 位的分组进行处理。ＳＨ Ａ一１算法具有两个重要特性 ： 单向性和抗碰撞性。单向性即由原始消息计算出信息摘 要很容易，而由消息摘要计算出原始消息在计算上则几乎 是不可行的。而所谓的抗碰撞性是指，要找到两个不同的 （４）Ｋ ＝０ｘＣＡ６２Ｃ １Ｄ６ （６０≤ｔ≤７９） ２．２预处理 在进行散列值计算之前，先要对需要加密的数据进 行预处理。这一预处理由三部分组成：消息填充、分割 已填充消息（将填充后的消息等分成ｍ位处理块）、为 原始消息生成同一个信息摘要在计算上也是不可行的。 ＳＨＡ一１算法在加密学中扮演着极其重要的角色，可 以用于实现数据保密、防止数据更改和身份验证等功能。 一个典型的应用是从数字消息、ＩＰ信息包、磁盘文件等 散列值计算设置初始化值。 ２。２．１消息填充 假设原始消息（Ｍ）的长度是Ｌ位。首先，在消息最 后加一位“ｌ”，接着在这位“ｌ”后面补ｋ个…０，使 数据抽取散列值（称为消息摘要），并与对称或非对称加 密技术一起来完成对原始数据的认证和完整性检查。另 外，ＳＨＡ一１算法是当今众多流行加密思想核心，几乎 无处不在。它在许多安全协议中广为使用，如：数字签 得Ｌ＋１＋ｋ（即补位后的消息长度）满足对５ｌ２取模后 余数是４４８。然后，添加最后的６４位二进制数据，这６４ 名标准（ＤＳＳ）、传输层安全（ＴＬＳ）、安全电子交易（ＳＥＴ）、 互联网协议安全（ＩＰＳｅｃ）、无线局域网（ＷＬＡＮｓ）安全、 随机数生成算法和密码存储机制等。 位二进制数据就是原始Ｌ位消息（Ｍ）长度的二进制表示。 例如：在８位ＡＳＣＩＩ码系统中，消息“ａｂｃ”长度为８ ×３＝２４，加上一位“１”，还要添加４４８一（２４＋１）＝ ４２３位“０”，最后加上６４位原始消息长度二进制表示后， 就得到５ｌ２位的填充消息： ２ ＳＨＡ－１算法原理分析 ２．１函数与常量定义 ＝』 — ～Ｏ４ ，——— Ｌ＿＿、 基于上述ＳＨＡ－Ｉ算法原理的分析，ＳＨＡ一１算法实 现流程如图１所示。 ０ １１００００１ 。㈣。。１ １０００ ａ ｂ ｃ Ｌ＝２４ ２．２．２分割已填充消息 经过消息填充后，还必须将数据划分成ｍ位一组 的Ｎ块的数据块来提供给下面的散列值计算过程。对于 ＳＨＡ—ｌ，填充过的消息被分割成Ｎ（Ｍ“’，Ｍ ，…，Ｍ ） 块，每块５１２位。然后每组５１２位的输入块可以表示成 １６个３２位的字，分别记为：Ｍ。“ ，Ｍ “ ，…，Ｍ， ” 。 ２．２．３设置初始散列值（Ｈ（。 ） 在安全散列算法开始其核 １５的散列迭代计算之 前，还必须设置好正确的初始散列值Ｈ 。而Ｈ 的 数量和字长取决于消息摘要的选择。对于ＳＨＡ一１，初始 散列值由下面５个３２位的字组成，其１６进制表示如下： Ｈ （。 ＝ ７４５２３０１；ＨＩ￣ｌ＝０ｘＥＦＣＤＡＢ８９；Ｈ“”＝啦 ８ＢＡＤＣＦＥ； ，，Ｈｆｆ＝０ｘ１０３２５４７６；Ｈ ‘” ＝：０ｘＣ３Ｄ２Ｅ１Ｆ０。 ２．３散列值计算 在对原始数据消息进行了填充、分割后，就可以 开始ＳＨ Ａ－１算法的核心部分：散列值计算。计算需要 两个缓冲区，每个都由５个３２位的字组成，还需要一 个８０个３２位字的缓冲区。第一个５个字的缓冲区被 标识为Ａ，Ｂ，Ｃ，Ｄ，Ｅ。第二个５个字的缓冲区被标识为 洋 图１ ＳＨＡ １算法买现流程 ＳＨＡ一１算法是一种易于实现并可以基于多种平台 Ｈ。，Ｈ ，Ｈ：，Ｈ，，Ｈ 。８０个字的缓冲区被标识为Ｗ。，Ｗ１’．”，Ｗ 。 另外，还需要一个一个字的ＴＥＭＰ缓冲区。为了产生消 息摘要，定义的１６个字的数据块Ｍ．，Ｍ 一，Ｍ 会依次 进行处理，处理每个数据块包含８０个步骤，在处理每 个数据块之前，缓冲区Ｈ Ｈ．，Ｈ，，Ｈ ，Ｈ 被设置初始值。 一—．．．．．．．．．．．．．．．．． ．．Ｌ 的方便易行的安全算法 ，目前很多计算机语言，像Ｃ， Ｊａｖａ，Ｃ＋＋和ＰＨＰ依照ＳＨＡ—ｌ算法的标准都能实现 ＳＨＡ－１。当然，受语言平台应用性的制约，应用最广泛 的是Ｃ语言和Ｊａｖａ语言。自身计算机上的消息认证一 般采用Ｃ语言实现就足够，不仅能够保证良好的可移植 为了处理Ｍ．，需要进行如下步骤： （１）将Ｍ，分成ｌ６个字Ｗ。，Ｗ 一，Ｗ， （Ｗ。是最左边 的字）。 （２）对于ｔ＝１６到７９，令 ｓ （ ０Ｈ 一。０ ＠ ）。 性，而且实现起来也比较简单、容易理解。考虑到网络 上的数字签名，乃至电子商务等，一般采用Ｊａｖａ实现代 码较简单迅速，其可移植性和安全性也能得到更好的保 证。事实上，这里还存在一个潜在的问题：ＳＨＡ—ｌ算法 信息摘要的计算速度并不总是能满足要求。使得ＳＨＡ－ｌ 算法的硬件实现也有很多途径，如利用现场可编程门阵 （３）令Ａ＝Ｈ ，Ｂ＇－Ｈ．，Ｃ＝Ｈ，，Ｄ＝Ｈ ，Ｅ－－Ｈ 。 （４）对于ｔ＝０到７９，执行下面的循环： Ｄ＝Ｃ；Ｃ＝Ｓ （Ｂ）；Ｂ－＂Ａ；Ａ－－ＴＥＭＰ。 ＴＥＭＰ＝Ｓ （Ａ）＋ｆ （Ｂ，Ｃ，Ｄ）＋Ｅ＋Ｗ ＋Ｋ．；Ｅ＝Ｄ； 鍪 Ｈ，＋Ｃ；Ｈ ３： 列不仅可以实现这种算法，并且某种程度上也能提高运 算速度。特别是随着数字通信领域的飞速发展，在急剧 增长的无线移动设备领域，对加密系统的性能要求越来 （５）计算第一个５个字的缓冲区Ｈ Ｈ．，Ｈ，，Ｈ 和Ｈ 。令： Ｈ ０＝Ｈ ０＋Ａ；Ｈｌ＝Ｈ ｌ＋Ｂ；Ｈ，＝越严格。使得ＳＨＡ－１算法软硬件优化方案的实现成为 专家关注的热点。 Ｈ ＋Ｄ；Ｈ４＝Ｈ４＋Ｅ。 （说明：Ｓ，、（Ｘ）是位循环移位操作符，其中，Ｘ是一 个字，ｎ是一个整数且０≤Ｉ１≤３２） ３．２算法安全性 ＳＨＡ—ｌ算法是由ＭＤ５算法演变而来的 ，它们之 间最大的区别在于前者产生的摘要长度比后者长３２ｂｉｔ。 ＳＨＡ－１对于强行攻击，产生任何一个报文使之摘要等于 给定报文摘要的难度为２１６０数量级的操作，较ＭＤ５的 ２１２８数量级操作要难。因此，ＳＨＡ—ｌ算法对抵抗强行 攻击的强度很高。同时，因为ＳＨＡ—ｌ算法的循环步骤 当上述循环步骤重复过ｎ次之后（即处理完Ｍ｜、之后）， 就可以得到原始数据的散列摘要输出，消息摘要是一个１６０ 位的字符串，按下面的顺序标识：Ｈ。Ｈ Ｈ，Ｈ Ｈ 。 ３ ＳＨＡ－１算法实现与安全性 ３．１算法实现 有８０次，比ＭＤ５算法的６４次要多，所以其运行速度也 较慢。从目前密码学研究的最新进展来看，ＳＨＡ—ｌ虽然 参考文献： ［１】李克洪，王大玲，董晓梅．实用密码学与计算机数据 安全【Ｍ】．沈阳：东北大学出版社，２００２． 【２】孙楠楠，韩银河，许都．一种基于循环展开结构的 被发现存在缺陷（碰撞），但在近几年内，仍然可以大量 使用ＳＨＡ—ｌ算法 。同时，专家们认为王小云等人发 现了当前所用的散列算法存在的问题，必将帮助新的散 列算法设计者考虑到这方面的问题，使得新的散列算法 具有更好的安全性。美国政府的大多数应用被要求在今 年年底以前改用ＳＨＡ一２散列函数系列，早期的应用也 要尽可能地进行升级。ＳＨＡ一２算法跟ＳＨＡ一１基本上相 似，至今尚未出现对ＳＨＡ－２算法的攻击。 ＳＨＡ－１算法实现【Ｊ】．信息技术，２００７，３：２９． 【５】朱雷钧．哈希函数加密算法的高速实现【Ｄ】．上海：上 海交通大学，２００７． ［４】高铭达．基于ＳＨＡ－１安全认证的题库管理系统［Ｄ】．厦 门：厦门大学，２００９． ［５】杜谦，张文霞．多语言可实现的ＳＨＡ一】散列算法［Ｊ】． ４结束语 随着互联网与通信技术的飞速发展，人们的信息化生 活水平在不断提高。电子商务，电子邮件，网上金融交易， 数据上传下载日益影响着人们的日常生活。大量重要的数 据信息存储在网络服务器中，给人们带来方便的同时也造 成了巨大的信息安全隐患。在保证信息系统安全性的各种 技术中，数据信息加密算法扮演了一个重要角色。人们已 经对信息加密技术进行了详细深入的研究。虽然ＳＨＡ一１加 武汉理工大学学报，２００＂／，（２９）：４５ ４４． ［６】ＤｏｕｇｌａｓＰ￣．Ｓｔｉｎｓｏｎ．密码学原理与实践【Ｍ】．北京市：电子 工业出版社，２００５． ［７】林雅榕，侯整风．对哈希算法ＳＨＡ一１的分析和改进【Ｊ］． 计算机技术与发展，２００６（１ ６）：１ ２４—１ ２５． 作者简介：张松敏（１ ９７７一），女，硕士，讲师，研究方向 数字图像处理技术和信息安全技术。 收稿日期：２０１ ０－０７ ２４ 密技术由于其自身安全等级高，被广泛应用在社会的各行 各业。但随着加密技术的不断更新和发展，ＳＨＡ—ｌ算法将 来可能会完全被其他更安全的算法取代。 （上接第２页） 有消除分割私钥的影响，才能暴露标识密钥的线性方程。 消除分割私钥的办法是寻找分割私钥的重复。 钥规模则是两个总量的乘积（Ｎ， Ｎ，），因此当Ｎ ＝Ｎ：时， 其密钥规模最大。密钥规模是指无意义共谋规模的上限 （实际上，离真正的上限还差很远），如果本规模的共谋 是不可能事件，那么用户规模可以是无限的。假设ＥＣ Ｃ 密钥长度为１６０比特（２０］３），其公钥长度为４０］３，那么 密钥的存储量和密钥规模的关系如表１。 表１存储量和密钥规模的关系 ２ ｆ４０ＫＢ） ＺＶ－ｆｌ 设组合矩阵变量的总量为Ｎ．，分割私钥变量的总量为 Ｎ，。因为标识密钥方程组的秩为Ｎ．．．，要列Ｎ 个联立方程， 至少要获得Ｎ 个重复。假设用户量为Ｎ． Ｎ２，分割私钥重 复的概率为Ｎ．次，那么可以找到Ｎ 个重复，但是： （１）在这些重复中，只有参与共谋的才有私钥，可 以列出方程，而没有参与共谋的，即使找到了重复，也 因为没有私钥，所以列不出方程，因而没有意义。 ２ｌ０（４０１￣、 ２ｌ！“椰ＫＢ） （２）在消除分割私钥影响以后的组合私钥的线性方 程中，又只有线性无关方程才有意义，而线性相关方程 没有意义。 填模 ２：Ｂ＝１．０Ｉ】 ２： １．６ＩＩＯ’ 当Ｎ。 Ｎ，个用户全体参与共谋的情况下，Ｎ．个方程 恰好满秩的可能性几乎等于零，显然方程不可能有惟一 解，私钥的组合矩阵仍然是安全的。 １０小结 ＣＰＫ是基于组合的公钥体制，将密钥生产和密钥管 理结合起来，能够实现数字签名和密钥交换，可以满足 超大规模信息网络与非信息网络（包括物联）中的标识 鉴男ＩＪ、实体鉴别、数据保密需求。 ９存储量与密钥规模 当组合矩阵变量总量为Ｎ。，分割密钥变量总量为Ｎ （注：２０１０年８月８日召开了ＣＰＫ ｖ５．０的座谈会，本版 时，公布所需要的空间是两个总量之和（Ｎ．＋Ｎ！），而密 本是根据专家意见修改的确定稿，以后不再使用版本号。） 编后语：经过十多年的发展，目前世界上已形成三种认证系统。一是基于公共密钥基础设施（ＰＫＩ）技术实现的认证系统。二是基 于标识（１ＢＥ）算法实现的认证系统。三是我国著名密码专家南相浩教授发明的基于组合公钥（０ＰＫ）算法实现的认证系统。三个系统中 惟有ｃＰＫ综合解决了规模化、无需第三方认证、不需要在线数据库支持等关键技术问题，并已达成芯片级实现，而成本代价只相＂３于其 －他系统的几十分之一，代表了认证技术的发展方向，使我国在这一关键技术领域走在了世界前列。 目前，组合公钥（ＣＰＫ）体制拟报国际标准和国家标准．专家们已就此进行过讨论，得到肯定和支持。０ＰＫ体制发明者南相浩教授赐 稿本刊“组合公钥（ｃＰＫ）体制标准（ｖ５．０）”一文，希望广泛听取各界更大范围的意见和反映，欢迎反馈您的意见和建议。 蠲