应用密码学基础(微课视频版) 课件汇 李晓峰 07 哈希函数 -13协议的安全分析

哈希函数哈希函数(HashFunction)哈希函数(Hashfunction)H也称为单向散列函数，其特点是:1.函数输入为任意长度的消息M，输出为固定长度的消息h，ℎ=𝐻(𝑀).2.函数H是容易计算的，也就是说给定M，很容易计算ℎ=𝐻(𝑀).3.给定h，计算M，这是个困难问题。这是哈希函数单向性(one-way)的要求。4.给定M，找到另外一个消息𝑀′，使得𝐻(𝑀)=𝐻(𝑀′)是个困难问题。也就是哈希函数要能抗碰撞(collision-resistance)。Merkle-Damgåard结构目前大多数哈希函数的结构都采用Merkle-Damgåard结构，其中𝑚𝑖,𝑖=1,...,𝑙是数据的分组，𝐼𝑉(initialvector)是初始向量，𝑓是符合哈希要求的压缩函数。对哈希函数的两种基本攻击穷举攻击已知一个哈希值H(M)，攻击者依据一定的遍历规则创建消息，直到找到一个消息𝑀′，使得𝐻(𝑀′)=𝐻(𝑀)。生日攻击(birthdayattack)攻击者通过一定的方法寻找两个随机消息𝑀′和M，使得𝐻(𝑀′)=𝐻(𝑀).MD5MD5是RonRivest在1990年10月作为RFC提出的(RFC1321)，其前身是MD4(RFC1320)。MD5输入为任意长度的信息，输出128bit的摘要信息(散列值)。消息填充填充后的消息比特长度L为模512下是448，也就是说𝐿=448(mod512)，或者说𝐿=𝑛×512+448，n为大于等于1的正整数。填充方式为第一位为1，后面为0。附加消息长度前面填充后最后有448bit，448+64=512𝑏𝑖𝑡，留下的这64bit用于填写消息长度，用little-endian方式存储。那么可存储的最大消息长度为264，如果消息长度大于此数，存储长度模264

后的值。附加消息长度后，进行后续运算的消息长度是512的倍数。缓冲区初始化就是初始化MD5核心算法中的𝑊0,𝑋0,𝑌0,𝑍0：𝑊0=01234567;𝑋0=89𝐴𝐵𝐶𝐷𝐸𝐹;𝑌0=𝐹𝐸𝐷𝐶𝐵𝐴98;𝑍0=76543210分组流水处理将消息分为n个512bit长度的分组𝑚1,𝑚2,...,𝑚𝑛，然后对n个分组依次执行：1.(𝑊1,𝑋1,𝑌1,𝑍1)=𝐻𝑀𝐷5(𝑊0,𝑋0,𝑌0,𝑍0,𝑚1)2.(𝑊2,𝑋2,𝑌2,𝑍2)=𝐻𝑀𝐷5(𝑊1,𝑋1,𝑌1,𝑍1,𝑚2)3.(𝑊3,𝑋3,𝑌3,𝑍3)=𝐻𝑀𝐷5(𝑊2,𝑋2,𝑌2,𝑍2,𝑚3)...n.(𝑊𝑛,𝑋𝑛,𝑌𝑛,𝑍𝑛)=𝐻𝑀𝐷5(𝑊𝑛−1,𝑋𝑛−1,𝑌𝑛−1,𝑍𝑛−1,𝑚𝑛)输出MD5的输出为𝑊𝑛||𝑋𝑛||𝑌𝑛||𝑍𝑛。MD5算法表示整个MD5算法，输入为原始消息𝑀𝑠，初始量𝑊0,𝑋0,𝑌0,𝑍0，输出为128bit，𝑊||𝑋||𝑌||𝑍，我们记为(𝑊,𝑋,𝑌,𝑍)𝑜𝑟𝑊||𝑋||𝑌||𝑍=𝑀𝐷5(𝑊0,𝑋0,𝑌0,𝑍0,𝑀𝑠).核心算法𝐻𝑀𝐷5核心算法𝐻𝑀𝐷5是个分组算法，输入是512位的分组数据，输出是128位。四轮运算R算法的输入是512bit的消息M，我们再将其分为16组，每组32bit，𝑀=𝑀0||𝑀1||𝑀2||...||𝑀15,然后对其进行四轮核心运算。我们将整个四轮运算过程记为𝑅(𝐹,𝐺,𝐻,𝐼,𝑊,𝑋,𝑌,𝑍,𝑀):𝑊×𝑋×𝑌×𝑍×𝑀→𝑊×𝑋×𝑌×𝑍,也就是说这四轮运算后输出是新的W,X,Y,X,下面我们看看四轮运算的具体过程第一轮C为F,所以核心运算是FF(W,X,Y,Z,M,s,t)，在第一轮中依次对16个分组数据执行FF运算，也就是说第一轮执行16次FF运算，每一次的执行FF时，W,X,Y,X是上一次运算后的W,X,Y,X，在执行第一次FF时，W,X,Y,X的初始值为，𝑊=0𝑥01234567,𝑋=0𝑥89𝑎𝑏𝑐𝑑𝑒𝑓,𝑌=0𝑥𝑓𝑒𝑑𝑐𝑏𝑎98,𝑍=0𝑥76543210.第二轮C为G第三轮C为H第四轮C为I四轮运算中，每轮消息顺序不同，第一轮为顺次，消息从𝑀0,𝑀2,...,𝑀15，第二、三、四轮，对M的顺序进行了置换：第一轮=𝑀𝑖,𝑖=0,1,...,15第二轮=𝑀1+5𝑖𝑚𝑜𝑑16,𝑖=0,1,...,15第三轮=𝑀5+3𝑖𝑚𝑜𝑑16,𝑖=0,1,...,15第四轮=𝑀7𝑖𝑚𝑜𝑑16,𝑖=0,1,...,15按上面公式，可知，第二轮M的顺序是：𝑀1,𝑀6,𝑀11,𝑀0,𝑀5,𝑀10,𝑀15,𝑀4,𝑀9,𝑀14,𝑀3,𝑀8,𝑀13,𝑀2,𝑀7,𝑀12每轮每次运算移位数的取值如表每轮中的每次运算都有𝑡𝑖，他是个常数，在四轮运算中其是顺序变换，共有64个常数值𝑡1,𝑡2,...,𝑡64，我们这样设定这个常数值,𝑡𝑖

=[232×𝑎𝑏𝑠(𝑠𝑖𝑛(𝑖))],其中i的单位为弧度(RAD)，[]表示取整运算，就是取一个数的整数部分，abs是绝对值，其实我们可以事先做好这个常数表，以备计算是使用，下面我们计算𝑡1。𝑡1=[232×𝑎𝑏𝑠(𝑠𝑖𝑛(1))]=[3614090360.3]=3614090360=[𝑑76𝑎𝑎478]16核心运算我们定义一个核心运算，其中C为非线性函数F,G,H,I中的一个，𝑑<<𝑠表示对数d循环左移s位，+表示模232加法，后面为了方便我们直接写+，核心运算CC我们定义为：𝐶𝐶(𝑊,𝑋,𝑌,𝑍,𝑀,𝑠,𝑡):𝑊=𝑋+((𝑊+𝐶(𝑋,𝑌,𝑍)+𝑀+𝑡)<<𝑠)我们定义一个核心运算，其中C为非线性函数F,G,H,I中的一个，𝑑<<𝑠表示对数d循环左移s位，+表示模232加法，后面为了方便我们直接写+，核心运算CC我们定义为：𝐶𝐶(𝑊,𝑋,𝑌,𝑍,𝑀,𝑠,𝑡):𝑊=𝑋+((𝑊+𝐶(𝑋,𝑌,𝑍)+𝑀+𝑡)<<𝑠)非线性函数在核心运算定义中有四个非线性函数𝐹(𝑋,𝑌,𝑍),𝐺(𝑋,𝑌,𝑍),𝐻(𝑋,𝑌,𝑍),𝐼(𝑋,𝑌,𝑍)，下面我们分别定义这四个非线性函数。我们定义四个非线性函数，其中X，Y，Z是32bit数,∧是与操作，∨是或操作,⊕是异或操作，¬是非操作。1.𝐹(𝑋,𝑌,𝑍)=(𝑋∧𝑌)∨(¬𝑋∧𝑍)2.𝐺(𝑋,𝑌,𝑍)=(𝑋∧𝑍)∨(¬𝑌∧¬𝑍)3.𝐻(𝑋,𝑌,𝑍)=𝑋⊕𝑌⊕𝑍4.𝐼(𝑋,𝑌,𝑍)=𝑌⊕(𝑋∧¬𝑍)SHASHA是SecureHashAlgorithm的缩写。1993年发布SHA，1995年发布SHA-1，2002年发布SHA-2，2008年发布SHA-3，2015年发布SHA-4。自学SHA-1FederalInformationProcessingStandardsPublication180-1,1995April17,SpecificationsfortheSECUREHASHSTANDARD谢谢Q&A消息认证码目的消息认证码是用于消息认证的，消息认证是一个过程，用来保证接受到消息的真实性(是宣称者发来的)和消息的完整性(未被篡改，插入，删除)，同时还用于验证消息的顺序性和时间性(未重排，重放，延迟)。几种MACNIST有三种MAC：Keyed-HashMessageAuthenticationCode(HMAC)KECCAKMessageAuthenticationCode(KMAC)TheCMACModeforAuthenticationMAC函数要求基于DES的MAC基于哈希函数的MAC(HMAC)HMAC是密钥相关的哈希运算消息认证码（Hash-basedMessageAuthenticationCode）的缩写，就是利用哈希函数构造MAC的方法，HMAC可以与任何哈希函数(MD5、SHA等)捆绑使用，是由H.Krawezyk，M.Bellare，R.Canetti于1996年提出的一种基于Hash函数和密钥进行消息认证的方法，并于1997年作为RFC21044被公布，并在IPSec和其他网络协议（如SSL）中得以广泛应用，现在已经成为事实上的Internet安全标准。HMAC计算过程伪代码其中，ipad是将00110110重复B次，获得与分组长度相同的一个数，opad是将01011010重复B次，获得与分组长度相同的一个数。H()是哈希函数，如果我们在HMAC中选用MD5，即H为HMD5，那么b=512bit(B=64bytes)，n=128bit，IV=(W,X,Y,Z)。谢谢Q&A密钥管理密钥管理涉及的内容1.密钥产生2.密钥分发(传输)3.验证密钥4.更新密钥5.密钥存储6.备份密钥7.密钥有效期8.销毁密钥相关标准因为密钥的安全在现在的密码体制安全中是决定性的，所以美国的NIST也就密钥管理，发布了一些标准，比如SP800-57RecommendationforKeyManagement:Part1–General，Part2–BestPracticesforKeyManagementOrganizations，Part3:Application-SpecificKeyManagementGuidance等，在SP800-57Part1中，其从几个侧面讨论了密钥管理，可以从NISTSP800-57Part1的目录上看到。密码的种类密钥信息保护需求部分目录密钥信息的保障要求Integrityprotection......Confidentialityprotection......Associationprotection......Assuranceofdomain-parameterandpublic-keyvalidity......Assuranceofprivatekeypossession......密钥生命周期密钥管理系统要求密钥分发基本方法有中心的密码分发无中心的密钥分发有中心密钥分发无中心的密钥分发Diffie-Hellman密钥交换DH中间人攻击密钥分割在有些应用场合，为了保证密钥的安全，需要密钥(或者秘密)由多人持有，任何一个人持有的信息不能得到完整的密钥，只有全部或达到规定的人数时，将这些人持有的信息合并，才可以获得(或者计算)完整的密钥。Shamir门限方案拉格朗日插值法(LagrangeInterpolationPolynomial)此多项式代表的曲线通过n个点（x1,y1）,...,(xn,yn)利用f(x)的n个采样点构造拉格朗日多项式P(x)，以此来拟合f(x)。门限方案CRT门限方案Asmuth和Bloom在其1980发表的文章"AModularApproachtoKeySafeguarding"一文中提出了一个基于中国剩余定理的密码共享方案。谢谢Q&A数字签名目标数字签名作为书面签名的电子模拟，提供了以下保证：声称的签署者签署了信息；信息在签名生成后未被修改。两大类基于对称密钥算法的数字签名基于公钥算法的数字签名基于对称密钥算法的数字签名如果有一个可以信赖的第三方TTP(trustedthirdparty),用下面的方法可以用传统的密码系统实现数字签名。A将自己的一对可逆的秘密变换EA和DA告诉TTP，当A传送签名的信息M给B时，A计算出C=DA(M),然后将C发送给B。为了验证C并得到M，B将C传送给TTP。TTP计算出EA(C)=M,然后通过B的秘密变换将M传送给B。用传统的密码系统实现数字签名还有许多其他方法，这里就不再介绍了。我们给出一个例子的主要原因是，目前有一种错误认识，就是将数字签名等同于公钥数字签名。数字签名的基本概念示例鲍勃有两把钥匙，一把是公钥，另一把是私钥。鲍勃把公钥送给他的朋友们—-帕蒂、道格、苏珊—-每人一把。苏珊要给鲍勃写一封保密的信。她写完后用鲍勃的公钥加密，就可以达到保密的效果。鲍勃收信后，用私钥解密，就看到了信件内容。这里要强调的是，只要鲍勃的私钥不泄露，这封信就是安全的，即使落在别人手里，也无法解密。鲍勃给苏珊回信，决定采用"数字签名"。他写完后先用Hash函数，生成信件的摘要（digest）。然后，鲍勃使用私钥，对这个摘要加密，生成"数字签名"（signature）。鲍勃将这个签名，附在信件下面，一起发给苏珊。苏珊收信后，取下数字签名，用鲍勃的公钥解密，得到信件的摘要。由此证明，这封信确实是鲍勃发出的。苏珊再对信件本身使用Hash函数，将得到的结果，与上一步得到的摘要进行对比。如果两者一致，就证明这封信未被修改过。CA的出现复杂的情况出现了。道格想欺骗苏珊，他偷偷使用了苏珊的电脑，用自己的公钥换走了鲍勃的公钥。此时，苏珊实际拥有的是道格的公钥，但是还以为这是鲍勃的公钥。因此，道格就可以冒充鲍勃，用自己的私钥做成"数字签名"，写信给苏珊，让苏珊用假的鲍勃公钥进行解密。后来，苏珊感觉不对劲，发现自己无法确定公钥是否真的属于鲍勃。她想到了一个办法，要求鲍勃去找"证书中心"（certificateauthority，简称CA），为公钥做认证。证书中心用自己的私钥，对鲍勃的公钥和一些相关信息一起加密，生成"数字证书"（DigitalCertificate）。鲍勃拿到数字证书以后，就可以放心了。以后再给苏珊写信，只要在签名的同时，再附上数字证书就行了。苏珊收信后，用CA的公钥解开数字证书，就可以拿到鲍勃真实的公钥了，然后就能证明"数字签名"是否真的是鲍勃签的。证书实例下图就是我们用OpenSSL生成了BUU的CA公私钥证书，然后再用OpenSSL生成个人的公私钥对，用BUUCA颁发的证书(.cer)文件中的内容。https实例我们经常会用到https协议，这个协议主要用于网页加密，这就是一个应用"数字证书"的实例。

https标准Https的意思是“HTTPOverTLS”,此协议是IETFRequestforComments:2818HTTPOverTLS。TLS是SSL协议的升级版，SSL/TLS是介于Https和TCP之间的协议。Https是IETF的RFC2818“HTTPOverTLS”标准，利用TLS层提供的服务进行安全通信，如果看RFC2818标准，你会看到描述很简单，详细的初始化、密钥交换协议都是在TLS层实现，TLS也是IETF的标准，标准号为RFC8446,标准名为"TheTransportLayerSecurity(TLS)ProtocolVersion1.3"，我们可以看到在这个标准中，认证用的是公钥体制，加密用的对称加密体制，在协议中定义了AES加密选项，密钥交换使用的是Diffie-Hellman协议。DSS签名方案与标准DSS(DigitalSignatureStandard)是美国的国家标准，目前最新发布的是2013版。签名与验证DSA参数DSA(DigitalSignatureAlgorithm)使用以下参数：1.p=素数模数，其中在512≤L

≤1024且L是64的倍数时，有2L−1<𝑞<2L2.q=p-1的一个素因子，其中2159

<q

<21603.g=ℎ(p−1)/q

(mod𝑞)，其中h是任意满足1<ℎ<p

−1且ℎ(p−1)/q

(mod𝑞)>1的整数（g在模p下次数为q）4.x=随机或伪随机生成的整数，满足0<x

<q5.y=gx

(modp)6.k=随机或伪随机生成的整数，满足0<k<qDSA签名生成消息M的签名是根据以下方程计算的一对数字r和s：𝑠=(gk(modp))(modq)r

=(k-1(SHA−1(M)+xr))(modq)DSA签名验证在验证已签名消息中的签名之前，通过身份验证的方式向验证者提供素数p、q和g，以及发送方的公钥和身份。让M′、𝑠′和r

′分别为消息M、r和s的接收版本，y为签名者的公钥。要验证签名，验证者首先检查是否满足0<r′<q和0<s′<q；如果有任何一个条件被违反，将拒绝该签名。如果这两个条件都满足，验证者计算：如果v

=r

′，则签名已验证，验证者可以信任接收到的消息是由持有与y对应的私钥x的一方发送的。如果v不等于𝑠′，则消息可能已被修改，消息可能被签名者错误地签名，或者消息可能被冒名顶替者签名。应将消息视为无效。RSA签名算法pka,ska

分别表示a的公钥和私钥，H表示哈希函数，E表示加密函数，D表示解密函数，C表示一个数的比较函数，相等为真，不等为假，a

→b

::M

表示a把消息M发给b，a

←b

::M

表示b把消息M发到给a,b::H(M)表示在b端计算M的哈希值，RSA签名可以表示为：谢谢Q&A安全服务和安全机制标准概念在GB/T-25609-2033《信息安全技术术语》这一国家标准中，对安全服务和安全机制及其相关概念定义如下：3.3安全策略securitypolicy用于治理某一组织及其系统内管理、保护并分发影响安全及有关元素的资产(包括敏感信息)的一组规则、指导和实践。3.7安全服务securityservice根据安全策略，为用户提供某种安全功能及相关保障。3.8安全功能securityfunction为实现安全要素的要求，并正确实施相应安全策略所提供的功能。3.11安全机制securitymechanism实现安全功能，提供安全服务的基本方法。NIST在其2022发布的SP800-160V1R1EngineeringTrustworthySecureSystems(工程建造可信安全系统)中对这两个概念的定义为：securityservice：

securitycapabilityorfunctionprovidedbyanentity.securitymechanism：Adeviceormethodforachievingasecurity-relevantpurpose.密码学支撑的安全服务在NIST标准“SP800-57Part1Rev.5RecommendationforKeyManagement:Part1–General”中对密码学支撑的安全服务进行了总结，密码技术可以支撑7种安全服务：1.Confidentiality(机密性)：Confidentialityisthepropertywherebyinformationisnotdisclosedtounauthorizedparties.2.DataIntegrity(数据完整性)：Dataintegrityisapropertywherebydatahasnotbeenmodifiedinanunauthorizedmannersinceitwascreated,transmittedorstored.Modificationincludestheinsertion,deletionandsubstitutionofdata.3.Authentication(认证)：Threetypesofauthenticationservicescanbeprovidedusingcryptography:identityauthentication,integrityauthentication,andsourceauthentication.Anidentityauthenticationserviceisusedtoprovideassuranceoftheidentityofanentityinteractingwithasystem.Anintegrityauthenticationserviceisusedtoverifythatdatahasnotbeenmodified(i.e.,thisserviceprovidesintegrityprotection).Asourceauthenticationserviceisusedtoverifytheidentityoftheuserorsystemthatcreatedinformation(e.g.,atransactionormessage).4.Authorization(授权):Authorizationisconcernedwithprovidinganofficialsanctionorpermissiontoperformasecurityfunctionoractivity(e.g.,accessingaroom).5.Non-reputation(非否认性):Inkeymanagement,non-repudiationisatermassociatedwithdigitalsignaturekeysanddigitalcertificatesthatbindthenameofthecertificatesubjecttoapublickey.6.SupportServices(所需的服务支持):Thebasiccryptographicsecurityservicesdiscussedaboveoftenrequireothersupportingservices.Forexample,cryptographicservicesoftenrequiretheuseofkeyestablishmentandrandomnumbergenerationservices.Keyestablishmentistheprocessbywhichcryptographickeysaresecurelyestablishedamongentitiesusingmanualtransportmethods(e.g.,keyloaders),automatedmethods(e.g.,key-transportand/orkey-agreementprotocols),oracombinationofautomatedandmanualmethods.Randomnumbersareneededduringthegenerationofcryptographickeys,challengevaluesandnonces(seeSP800-175B).7.CombiningServices(组合服务):Inmanyapplications,acombinationofsecurityservices(e.g.,confidentiality,integrityauthentication,sourceauthentication,andsupportfornon-repudiation)isdesired.Designersofsecuresystemsoftenbeginbyconsideringwhichsecurityservicesareneededtoprotecttheinformationcontainedwithinandprocessedbythesystem.Aftertheseserviceshavebeendetermined,thedesignerthenconsiderswhatmechanismswillbestprovidetheseservices.Notallmechanismsarecryptographicinnature.Forexample,physicalsecuritymaybeusedtoprotecttheconfidentialityofcertaintypesofdata,andidentificationbadgesorbiometricidentificationdevicesmaybeusedforidentityauthentication.However,cryptographicmechanismsconsistingofalgorithms,keys,andotherkeyingmaterialoftenprovidethemostcost-effectivemeansofprotectingthesecurityofinformation.Thisisparticularlytrueinapplicationswheretheinformationwouldotherwisebeexposedtounauthorizedentities.

OSI7层模型与安全服务与机制ISO(internetstandardorganization)国际标准在1989发布了一个标准“Informationprocessingsystems——OpenSystemsInterconnection——BasicReferrenceModel——Part2:SecurityArchitecture”，在此标准中对安全服务、安全机制和安全服务和机制在OSI7层模型中的部署情况。此标准对应我们的国标“GB/T9387.2–1995信息处理系统——开放系统互连——基本参考模型——第2部分:安全体系结构”,下面的中文翻译来自GB/T9387.OSI七层结构安全服务(SecurityServices)五种安全服务鉴别访问控制数据机密性数据完整性抗抵赖鉴别(authentication)对等实体鉴别(peer-entityauthentication):这种服务当由(N)层提供时,将使(N+1)实体确信与之打交道的对等实体正是它所需要的(N+1)实体。数据原发鉴别(dataoriginauthentication):这种服务当由(N)层提供时,将使(N+1)实体确信数据来源正是所要求的对等(N+1)实体。数据原发鉴别服务对数据单元的来源提供确认。这种服务对数据单元的重复或篡改不提供保护。访问控制(accesscontrol)这种服务提供保护以对付OSI可访问资源的非授权使用。这些资源可以是经OSI协议访问到的OSI资源或非OSI资源。这种保护服务可应用于对资源的各种不同类型的访问(例如:使用通信资源;读、写或删除信息资源;处理资源的执行)或应用于对一种资源的所有访问。这种访问控制要与不同的安全策略协调一致。数据机密性这种服务对数据提供保护使之不被非授权地泄露;分述如下:连接机密性:这种服务为一次(N)连接上的全部(N)用户数据保证其机密性。注:在某些使用中和层次上,保护所有数据可能是不适宜的,例如加速数据或连接请求中的数据。无连接机密性：这种服务为单个无连接的(N)SDU中的全部(N)用户数据保证其机密性。选择字段机密性:这种服务为那些被选择的字段保证其机密性,这些字段或处于(N)连接的(N)用户数据中,或为单个无连接的(N)SDU中的字段。通信业务流机密性:这种服务提供的保护,使得通过观察通信业务流而不可能推断出其中的机密信息。数据完整性这种服务对付主动威胁,可取如下所述的各种形式之一。注:在一次连接上,连接开始时使用对等实体鉴别服务,并在连接的存活期使用数据完整性服务就能联合起来为在此连接上传送的所有数据单元的来源提供确证,为这些数据单元的完整性提供确证,而且,例如使用顺序号,还能另外为数据单元的重复提供检测。带恢复的连接完整性:这种服务为(N)连接上的所有(N)用户数据保证其完整性,并检测整个SDU序列中的数据遭到的任何篡改、插入、删除或重演(同时试图补救恢复)。不带恢复的连接完整性:与上条的服务相同,只是不作补救恢复。选择字段的连接完整性：这种服务为在一次连接上传送的(N)-SDU的(N)用户数据中的选择字段保证其完整性,所取形式是确定这些被选字段是否遭到了篡改、插入、删除或重演。无连接完整性:这种服务当由(N)层提供时,对发出请求的那个(N+1)实体提供完整性保证。这种服务为单个的无连接SDU保证其完整性,所取形式可以是确定一个接受到的SDU是否遭受了篡改。另外,在一定程度上也能提供对重演的检测。选择字段无连接完整性:这种服务为单位无连接的SDU中的被选字段保证其完整性,所取形式为确定被选字段是否遭受了篡改。抗抵赖有数据原发证明的抗抵赖:为数据的接收者提供数据来源的证据。这将使发送者谎称未发送过这些数据或否认它的内容的企图不能得逞。有交付证明的抗抵赖:为数据的发送者提供数据交付证据。这将使得接收者事后谎称未收到过这些数据或否认它的内容的企业不能得逞。特定的安全机制(Specificsecuritymechanisms)加密数字签名机制访问控制机制数据完整性机制鉴别交换机制通信业务填充机制路由选择控制机制公证机制(Notarization)

普遍安全机制(Pervasivesecuritymechanisms)普遍性安全机制不是为任何特定的服务而设定的，普遍安全机制可以认为属于安全管理方面。安全机制可信功能度(trustedfunctionality)安全标记事件检测安全审计跟踪安全恢复安全服务与安全机制间关系安全服务与层的关系谢谢Q&A协议协议的概念协，众之同和也，议，语也，后引申为，商议，讨论，协议就是通过商议达到一致。英文对应的单词为Protocol。在密钥学中我们可以看到很多类型的协议，这些协议都是要完成一定的安全目标，并且是有两个或以上不同的参与方，并且这些参与方相互交互，最终达成安全目标。零知识协议(Zero-knowledgeProtocol)零知识协议(zero-knowledgeprotocol)是基于这样一个思考，就是是否能够在不给通信方提供任何有用信息的前提下，使得通信方确信知道对方拥一个给定的信息。零知识协议基本想法在密码学中，零知识证明或零知识协议是一种方法，可以使一个当事方（证明者）向另一个当事方（验证者）证明一个给定陈述是真实的，而不透露任何除了该陈述确实是真实之外的信息。如果证明该陈述需要证明者持有某些秘密信息，那么根据定义，验证者将无法将该陈述进一步证明给其他人，因为验证者没有持有秘密信息。被证明的陈述必须包括证明者拥有这类知识的断言（否则，在零知识的协议结束时，验证者将获得额外信息，即证明者拥有所需秘密信息的知识）。如果陈述仅仅指出证明者持有秘密信息，这被称为零知识知识证明。需要注意，如果可以直接泄露信息，证明自己拥有某些信息的知识，这就显得太容易了；零知识的挑战是证明自己拥有这类知识，而不泄露秘密信息或其他任何内容。零知识的一个形象示例1989年J.Quisquater和L.Guillon在文章“HowtoExplainZero-KnowledgeProtocolstoYourChildren”中列举了一个形象的基本零知识协议的例子。其构造了一个简单的迷宫，只有知道秘密口令的人才能打开迷宫通道。现在，P希望向V证明P能够打开这个门，但是不愿意向V泄露P掌握的秘密口令。为此，P采用了所谓“分割与选择”(cutandchoice)技术实现一个零知识协议。这种技术的零知识协议如下：1.V(Verifier)在初始状态下停留在位置A；2.P(Prover)一直走到迷宫深处，随机选择位置C或位置D；3.P消失后，V走到位置B，并命令P从某个出口返回位置B；4.P服从V的命令，必要时利用秘密口令打开C和D之间的门；5.P和V重复以上(1)-(4)n次。在上述协议中，如果P不知道秘密口令，他只能从来路返回，而不能走另外一条路。此外，P每一次猜对V要求他走哪一条路的概率是50%，因此，每一轮协议P能欺骗V的概率是50%，假定n=16，则执行n轮协议后，P成功欺骗V的概率是1/65536，于是，如果P能够16次按V的要求路线返回，V即能证明P确实知道秘密口令。我们还看出，V无法从上述证明中获取丝毫有关P的秘密口令的信息，所以，这是一个零知识协议。认证协议(Authenticationprotocol)认证协议就是完成认证目标的安全协议，也就是A通过这个过程让对方B"确认"她是A，或者，"相信"她是A。Needham-Schroeder协议Needham和Schroeder在1978年的CommunicationsoftheACM上发表了文章"Usin