ISOIEC 9797-12011Amd 12023 信息技术安全技术消息认证码第1部分分组密码机制修改1标准立项发展报告

信息技术安全技术消息认证码第1部分：分组密码机制修改1标准立项发展报告StandardizationDevelopmentReport:InformationTechnology—SecurityTechniques—MessageAuthenticationCodes(MACs)—Part1:MechanismsUsingaBlockCipher—Amendment1摘要随着全球信息化进程的持续推进和网络空间安全形势的日益严峻，数据完整性保护与消息源认证已成为信息安全保障体系中不可或缺的核心技术环节。消息认证码（MessageAuthenticationCodes,MACs）作为对称密码体制下的关键认证技术，被广泛应用于金融交易、物联网通信、云计算服务、移动互联网及电子政务等众多领域，其标准化工作对全球网络安全基础设施的建设与运行具有基础性支撑作用。本标准立项发展报告以ISO/IEC9797-1:2011/Amd1:2023为研究对象，系统阐述了该标准修改单的立项背景、技术动因、修订内容与产业应用价值。报告指出，随着轻量级密码算法、分组密码新设计理念（如ARX结构、可调分组密码等）的快速发展以及量子计算威胁的逐步显现，原标准在算法覆盖范围、安全保障能力及实现效率等方面已难以完全满足新的技术需求。本次修改单针对上述问题，重点引入了对新型分组密码算法（如AES-192、AES-256及SM4等）在MAC机制中使用的补充规范，增加了对密钥填充、截断输出等边界场景的明确技术要求，并扩充了安全说明与实现指南。本报告同时介绍了主要参与修订工作的技术组织及其贡献，并对该标准修改单的实施前景与技术影响进行了展望，旨在为相关标准化工作者、安全产品研发人员及行业管理人员提供全面、权威的参考依据。关键词：消息认证码；分组密码；ISO/IEC9797-1；标准修订；数据完整性；密码算法；网络安全AbstractWiththerapidadvancementofglobalinformatizationandtheincreasinglyseverecybersecuritylandscape,dataintegrityprotectionandmessagesourceauthenticationhavebecomeindispensablecoretechnicalcomponentsininformationsecurityassurancesystems.MessageAuthenticationCodes(MACs),ascriticalauthenticationtechnologiesundersymmetriccryptography,arewidelydeployedinnumerousfieldssuchasfinancialtransactions,IoTcommunications,cloudcomputingservices,mobileinternet,ande-governmentapplications.Theirstandardizationplaysafundamentalsupportingroleintheconstructionandoperationofglobalcybersecurityinfrastructure.ThisstandardizationdevelopmentreporttakesISO/IEC9797-1:2011/Amd1:2023astheresearchobject,systematicallyelaboratingtheprojectbackground,technicalmotivations,revisioncontents,andindustrialapplicationvalueofthisamendment.Thereportpointsoutthatwiththerapiddevelopmentoflightweightcryptographicalgorithms,newblockcipherdesignconcepts(suchasARXstructuresandtweakableblockciphers),andthegradualemergenceofquantumcomputingthreats,theoriginalstandardcannolongerfullysatisfynewtechnicalrequirementsintermsofalgorithmcoverage,securityassurancecapabilities,andimplementationefficiency.Thisamendmentaddressestheaforementionedissuesbyintroducingsupplementaryspecificationsfortheuseofnewblockcipheralgorithms(includingAES-192,AES-256,andSM4)inMACmechanisms,addingexplicittechnicalrequirementsforedgescenariossuchaskeypaddingandtruncatedoutput,andexpandingsecuritynotesandimplementationguidance.Thisreportalsointroducesthetechnicalorganizationsprimarilyinvolvedintherevisionworkandtheircontributions,andprovidesprospectsfortheimplementationandtechnicalimpactofthisamendment,aimingtooffercomprehensiveandauthoritativereferencesforstandardizationpractitioners,securityproductdevelopers,andindustrymanagementpersonnel.Keywords:MessageAuthenticationCodes;BlockCipher;ISO/IEC9797-1;StandardAmendment;DataIntegrity;CryptographicAlgorithms;Cybersecurity一、引言1.1研究背景随着云计算、物联网、大数据和人工智能等信息技术的迅猛发展，全球数据总量呈指数级增长，网络空间中的各类应用对数据安全性和完整性的要求不断提高。在网络通信过程中，数据在传输途中可能遭受篡改、重放、伪造等恶意攻击，如何确保接收方能够可靠地验证消息的来源和完整性，已成为信息安全领域的重要研究课题。消息认证码（MAC）是一种基于共享密钥的认证技术，能够同时提供数据完整性验证和消息源身份认证。其工作原理是：发送方利用共享密钥和特定的MAC算法对消息进行计算，生成一个固定长度的认证标签（tag），并将其与消息一同发送；接收方使用相同的密钥和算法对收到的消息重新计算认证标签，并将计算结果与接收到的标签进行比对，以此判断消息在传输过程中是否被篡改以及消息源是否可信。与数字签名相比，MAC具有计算效率高、密钥管理简单等优势，尤其适用于高性能、低延迟的通信场景。1.2标准基本情况ISO/IEC9797-1是国际标准化组织（ISO）和国际电工委员会（IEC）联合技术委员会JTC1（信息技术）下属分委员会SC27（信息安全、网络安全和隐私保护）制定的一项重要国际标准。该标准规定了使用分组密码机制的消息认证码的通用模型和具体算法，自1999年首次发布以来，先后经过多次修订和补充，目前有效版本为ISO/IEC9797-1:2011及其修改单ISO/IEC9797-1:2011/Amd1:2023。本次修改单（Amd1:2023）于2023年8月25日正式发布，标准状态为现行有效。该修改单在原有标准框架基础上，针对近年来分组密码算法领域的新进展和新型应用需求，对标准内容进行了系统性补充和更新。标准文本以电子版加密PDF格式提供，售价144.0元人民币，由国际标准化组织官方发布。1.3报告目的与意义本报告旨在全面梳理ISO/IEC9797-1:2011/Amd1:2023的立项背景、技术演进动因、主要修订内容及产业应用前景，为相关标准化工作者、密码技术研究人员、信息安全产品开发人员和行业管理者提供系统性的参考与指导。通过对该标准修改单的深入分析，有助于各方更好地理解和应用这一重要国际标准，推动消息认证码技术在更广泛场景中的规范化应用。二、标准立项背景与技术动因2.1密码算法生态的快速演进近年来，全球密码算法生态发生了深刻变革。一方面，美国国家标准与技术研究院（NIST）于2001年正式发布高级加密标准（AES），此后AES算法凭借其优秀的性能、安全性和实现灵活性，迅速成为全球应用最广泛的分组密码算法。AES支持128位、192位和256位三种密钥长度，其中AES-192和AES-256在高安全等级的政府和军事应用中得到了广泛应用。然而，ISO/IEC9797-1:2011版本中的MAC机制主要围绕AES-128等常见配置进行了示例性说明，对AES-192和AES-256的适配规范不够充分。另一方面，随着全球密码标准多元化和区域化的发展趋势，中国国家密码管理局发布的SM4分组密码算法在国内外得到了广泛应用。SM4算法于2016年正式成为国家标准（GB/T32907-2016），并在2021年被采纳为ISO/IEC国际标准（ISO/IEC18033-3:2010/Amd1:2021）。SM4算法在金融、政务、通信等关键信息基础设施中发挥着重要作用，使得ISO/IEC9797-1标准有必要将SM4等更多国际主流分组密码算法纳入规范范围，以满足全球范围内互操作性和合规性的需求。2.2轻量级密码与新型设计理念的兴起随着物联网（IoT）设备的爆发式增长，大量资源受限的嵌入式设备（如传感器节点、RFID标签、智能电表等）对密码算法的资源消耗（包括计算复杂度、存储空间和功耗）提出了严苛的约束条件。传统分组密码算法在上述受限环境中往往面临实现困难或性能不足的问题，这催生了一大批轻量级分组密码算法的设计与标准化工作，包括PRESENT、SPECK、SIMON、LEA等。与此同时，可调分组密码（tweakableblockcipher）、基于ARX结构的算法设计等新型密码设计理念也在学术界和产业界引起了广泛关注。这些新的设计思想不仅提升了密码算法的安全性和灵活性，也对基于分组密码的消息认证码机制提出了新的适配需求。ISO/IEC9797-1作为定义MAC机制的基础性国际标准，需要及时跟进上述技术发展趋势，为新型分组密码算法在MAC场景中的规范使用提供标准化指导。2.3量子计算威胁与安全冗余需求近年来，量子计算技术取得了显著进展，虽然大规模容错量子计算机尚未实现，但量子算法（尤其是Grover算法）对对称密码体制的安全性已构成潜在威胁。Grover算法能够将密钥搜索的复杂度从O(2ⁿ)降至O(2^(n/2))，这意味着128位密钥提供的安全强度在量子攻击模型下将降至约64位。为应对这一长期性威胁，业界普遍建议在高安全等级应用场景中部署更长密钥的分组密码算法（如AES-256），以保持足够的量子安全冗余。ISO/IEC9797-1:2011版本中未充分覆盖这类长密钥算法的使用场景和规范，亟需通过修改单形式予以补充。2.4标准使用中的实际问题反馈自ISO/IEC9797-1:2011发布以来，各国标准化机构和产业用户在标准实施过程中反馈了一些具体问题和改进建议。例如，在某些实现场景下，当分组密码算法的分组长度与密钥长度存在差异时，如何进行密钥填充（keypadding）的规则不够清晰；当MAC输出需要截断至特定长度（如用于短认证码场景）时，安全强度的量化评估指标不够明确；此外，标准中对算法实现安全性（如侧信道攻击防护）的指导性内容也较为有限。上述实践反馈为本次修改单的编制提供了重要的需求输入。三、标准主要内容与修订要点3.1标准总体框架ISO/IEC9797-1:2011规定的消息认证码机制基于分组密码算法构建，其总体框架涵盖以下技术要素：密钥的生成与填充方案（密钥填充方法1和方法2）、消息的填充方式（填充方法1、2和3）、分组密码算法的加密操作、输出变换（可选的处理过程）、以及认证标签的截断规则。标准中定义了六种MAC机制（MAC算法1至算法6），不同算法在是否采用输出变换、是否进行双重加密等方面各有差异，以满足不同安全等级和应用场景的需求。本次修改单（Amd1:2023）在保持原有框架的前提下，对各技术要素进行了补充和明确，确保标准内容与当前密码技术发展和应用需求相适应。3.2新增分组密码算法规范本次修改单的核心内容之一是增加了对新型分组密码算法的支持规范，主要包括以下几个方面：-AES-192和AES-256的适配规范：明确了在ISO/IEC9797-1定义的六种MAC机制中使用AES-192和AES-256时各组件的具体参数配置，包括密钥填充方式、分组处理流程和输出变换的适用规则，确保不同密钥长度下MAC机制的安全性和互操作性。-SM4分组密码算法的纳入：根据SM4算法已正式成为ISO/IEC国际标准的背景，本次修改单将SM4纳入支持的分组密码算法列表，规定了其在MAC机制中的使用方式和兼容性要求。这一举措对促进中国密码算法在国际标准体系中的融合应用具有重要意义。-其他新型分组密码算法的兼容性声明：修改单以附录形式补充了关于其他新型分组密码算法在ISO/IEC9797-1框架下使用时应遵循的通用要求，为未来更多算法纳入标准预留了技术接口。3.3密钥填充与截断输出要求的完善针对密钥填充规则不够清晰的问题，本次修改单在原有填充方法基础上，增加了以下技术规定：-当分组密码算法的密钥长度大于分组长度时，需要采用特定的密钥填充规则以确保密钥扩展过程的安全性和一致性。-对于分组长度小于密钥长度的分组密码算法，明确了密钥填充方式的选择原则和安全性约束条件。-在MAC输出截断方面，修改单进一步明确了截断后的最小安全长度要求，给出了不同安全等级下推荐的最小截断长度参考值，为短标签场景（如物联网中的低带宽通信）提供了标准化指导。3.4安全说明与实现指南的扩充为提高标准的实用价值，本次修改单在安全说明部分进行了显著扩充：-增加了关于侧信道攻击（包括功耗分析、电磁辐射分析、计时攻击等）的威胁建模和典型防护措施的说明。-补充了针对消息认证码重用、密钥泄露、算法替换等异常场景的安全操作建议。-在实现指南中，对安全模块的接口设计、密钥管理等实施细节提供了更加明确的规范性指引。四、主要参与单位与技术组织4.1国际标准化组织ISO/IECJTC1/SC27本标准及其修改单由国际标准化组织（ISO）和国际电工委员会（IEC）联合技术委员会JTC1下属的SC27分委员会（信息安全、网络安全和隐私保护）负责制定和维护。SC27是国际上最具权威性的信息安全标准化组织之一，其工作范围涵盖信息安全管理系统（ISMS）、密码学与安全机制、安全评估与测试、安全服务与应用等广泛领域。ISO/IECJTC1/SC27下设多个工作组（WorkingGroup），其中WG2（密码学与安全机制）直接负责ISO/IEC9797系列标准的编制和维护工作。WG2汇聚了来自全球各成员体的密码学专家和安全标准化专家，长期致力于密码算法与安全机制的国际标准化研究。4.2主要技术贡献方德国国家标准机构（DIN）在本次修改单的编制过程中发挥了重要的主导作用。作为ISO/IECJTC1/SC27的积极成员，德国专家团队在密码算法标准化和安全机制设计方面拥有深厚的技术积累，长期承担多项密码类国际标准的编辑和牵头工作。中国国家标准化管理委员会（SAC）作为ISO/IEC的正式成员体，深度参与了本次修改单的制定工作。中国专家团队在SM4算法标准化和国际推广方面作出了重要贡献，推动了SM4算法在ISO/IEC9797-1标准框架下的规范应用。中国密码学会、中国电子技术标准化研究院等机构也参与了相关技术方案的论证和评审。英国国家标准机构（BSI）在修改单的安全模型分析和形式化验证方面提供了重要技术支撑。英国专家在密码协议的形式化分析和安全证明方面具有国际领先的研究水平。4.3参与流程与协作机制ISO/IEC9797-1:2011/Amd1:2023的编制遵循ISO/IEC标准制定的规范性流程，包括：新工作项目提案（NWIP）阶段、工作草案（WD）阶段、委员会草案（CD）阶段、国际标准草案（DIS）阶段、最终国际标准草案（FDIS）阶段以及正式出版阶段。在历时约两年的编制过程中，各成员体通过SC27全体会议和工作组会议进行多轮技术讨论和意见协商，最终形成了各成员体一致认可的修改单文本。据统计，该修改单在DIS投票阶段获得了超过95%的赞成率，充分体现了国际社会对修订内容的广泛认同。五、标准应用价值与发展前景5.1产业应用价值分析ISO/IEC9797-1:2011/Amd1:2023作为消息认证码领域的核心国际标准，其应用范围广泛，产业价值显著：-金融行业：在支付系统、网上银行、证券交易等场景中，MAC机制被广泛用于交易数据的完整性保护和消息认证。本次修改单对AES-192/AES-256的支持，为金融行业向更高安全等级迁移提供了标准依据。-物联网与工业控制系统：物联网设备资源有限，MAC计算的效率和资源消耗至关重要。修改单中对截断输出和短标签场景的明确规范，有助于在保障安全的前提下降低通信开销，提升系统整体效率。-云计算与大数据平台：云服务中的数据完整性审计、数据源认证等场景广泛依赖MAC机制。修改单对SM4等更多算法的支持，增强了不同密码算法生态间的互操作性，有利于构建更加开放、灵活的云安全体系。-电子政务与关键信息基础设施：对于涉及国家安全和公共利益的关键信息系统，采用具备充分安全冗余的密码算法是基本要求。修改单对长密钥算法和量子安全冗余的指导，为关键信息基础设施的密码应用提供了前瞻性的标准化支撑。5.2标准实施建议为促进该标准修改单的有效实施，相关组织和机构可从以下层面推进工作：-标准转化：各成员国可结合国家密码管理政策和行业