Хэш-функции на базе блочного шифра. Хэш-функция ГОСТ Р 34.11-94

При построении функции сжатия на основе блочного шифра возникают следующие проблемы.

1.Блочный шифр является только частично однонаправленной функцией сжатия, имеющей два входа (ключ и открытый текст) и один выход – шифртекст, так как при известных шифртексте и ключе можно найти открытый текст, используя расшифрование. Поэтому для построения функции сжатия на базе блочного шифра нужны дополнительные преобразования (см. пример на рис3.4.).

2.При несовпадения длины хэш-образа и размера блока шифра. Тогда в функции сжатия промежуточный результат разбивается на подблоки, каждый подблок шифруется на своем ключе, а результаты перемешиваются.

Российский стандарт ГОСТ Р 34.11-94 «Информационные технологии. Криптографическая защита информации. Функция хэширования» определяет алгоритм и процедуру вычисления хэш-функции для любых последовательностей двоичных символов, применяемых в криптографических методах обработки и защиты информации, в том числе для использования совместно с российским стандартом электронной цифровой подписи ГОСТ Р 34.10-2001 и базируется на блочном алгоритме шифрования ГОСТ 28147-89.

Входными параметрами являются:

М – исходное сообщение произвольной длины;

Н0 – стартовый вектор хэширования (несекретный 256-разрядный двоичный вектор, обычно константа для конкретной сети абонентов).

Результат - хэш-образ длиной 256 бит.

Логика выполнения ГОСТ Р.43.11-94.

Функция сжатия Н_і = f (М_i, Н_i-1) (оба операнда М_і и Н_і-1 являются 256-битовыми величинами) определяется следующим образом (см. рис.3.5):

1. Генерируются 4 ключа шифрования К_j, j = 1...4, путем линейного смешивания М_і, Н_і-1 и некоторых констант С_j.

2. Каждый ключ К_j, используют для шифрования 64-битовых подслов h_і слова Н_i-1 в режиме простой замены: Si = E_Kj(h_j).

Результирующая последовательность S₄, S₃, S₂, S₁ длиной 256 бит запоминается во временной переменной S.

3. Значение Н_і является сложной, хотя и линейной функцией смешивания S, М_i, и Н_i-1.

При вычислении окончательного хэш-значения сообщения М учитываются значения трех связанных между собой переменных:

Н_n - хэш-значение последнего блока сообщения;

Z - значение контрольной суммы, получаемой при сложении по модулю 2 всех блоков сообщения;

L - длина сообщения.

Эти три переменные и дополненный последний блок М' сообщения объединяются в окончательное хэш-значение следующим образом:

Н = f (Z Å М', f (L, f(М', Н_n))).

Необходимость – обеспечение криптостойкости

Пример.