（4）具有数据完整性测量的数字签名方式 方式： (1)发送方A用MD5或则SHA-1等消息摘要算法对消息M估算消息摘要(MD0)。 (2)发送方A用自己公钥加密这个消息摘要，这个过程的输出是A的数字签名(DS) (3)发送方(A)将消息M和数字签名(DS)一起发给接收方(B) (4)接收方(B)收到消息(M)和数字签名(DS)后，接收方(B)用发送方的私钥揭秘数字签名。这个过程得到原来的消息摘要(MDl）。 第二十八页，共六十八页。 （4）具有数据完整性测量的数字签名方式 （5）接收方(B)使用与A相同的消息摘要算法估算消息摘要(MD2)。 （6）B比较两个消息摘要如下： MD2，第5步求出； MDl，第4步从A的数字签名求出。 如果MDI=MD2，则可以表明：B接受原消息(M)是A发来的、未经更改的消息（认证和数据完整性），B也保证消息来自A而不是他人伪装A。 该方式的缺点是没有对信息M进行保密 第二十九页，共六十八页。 （5）具有保密性和数据完整性测量的数字签名方式 （1）发送方A用MD5或则SHA-1等消息摘要算法对消息M估算消息摘要(MD0)。 （2）发送方 A用一次性对称密钥K1加密要发送的消息M。
（消息保密）。 （3）A用B的公钥加密一次性对称密钥K1（密钥的封装） （4）发送方A用自己公钥加密消息摘要(MD0) ，这个过程的输出是A的数字签名(DS) （5）发送方A将加密的消息M，加密的一次性对称密钥K1和数字签名 (DS)一起发给接收方B 第三十页，共六十八页。 （5）具有保密性和数据完整性测量的数字签名方式 （6）B用自己的公钥揭秘第3步的结果（加密的一次性对称密钥K1 ），得到一次性对称密钥K1。 （7）B用一次性对称密钥K1揭秘第2步的结果（加密的信息M），得到原消息M 。 (8)接收方B使用与A相同的消息摘要算法再度估算接收到的消息M’的摘要(MD2)。 (9) 通过第5步收到数字签名 后，用发送方A的私钥揭秘数字签名。这个过程得到先前的消息摘要(MD1）。 第三十一页，共六十八页。 （5）具有保密性和数据完整性检查的数字签名方式 (10) B比较两个消息摘要如下： MD2，由第8步求出； MD1，由第9步从A的数字签名求出。 如果MDI=MD2，则可以表明：B接收原的消息M可以避免查获功击（保密性）并且是从A发来的（认证） 、是未经更改的消息（数据完整性），B也保证消息来自A而不是他人伪装A（数字签名）。
讨论，这里的数字签名是否须要再加密？答：可以不加密，因为从数字签名揭秘得到的信息摘要里是看不到与原消息有关的任何信息，这由摘要的性质决定的。 第三十二页，共六十八页。 （6）双方都不能翻供的数字签名不可翻供机制 (1) A用随机对称秘钥K对信息M加密得到E(K，M)，并用自己的公钥进行数字签名，记为A私(E(K，M))，然后用接收方的私钥加密后发送给接收方（三次加密）； (2) 接收方用自己的公钥揭秘后得到A私(E(K，M))，再用发送方的私钥揭秘后得到E(K，M)；(这一步确定发送方不可翻供) （两次揭秘） (3) B用自己的公钥加密E(K，M)，得到B私(E(K，M))，再用发送方的私钥加密后献给发送方；（这个步骤确定接收方不可翻供，进行了两次加密） 第三十三页，共六十八页。 （6）双方都不能翻供的数字签名不可翻供机制 (4) A用自己的公钥揭秘得到B私(E(K，M))，再用接收方的私钥揭秘得到E(K，M)，确认接收方已收到信息； (5)A把对称密钥K用自己的公钥签名，并用B的公钥加密，然后发送给B； (6)B揭秘后，得到对称密钥K，就可以对E(K，M)解密而得到M。 (7)抵赖行为的指责：由于双方都交换了数字签名，因此这个机制对双方的推托行为都具有作用 第三十四页，共六十八页。
直接签名的缺点 前面述说的直接签名中，不可抵赖性的验证模式依赖于发送方的秘钥保密，发送方要推托发送某一消息时，可能会宣称其私有秘钥已曝露、过期或被盗用等 需要可信第三方的参与来确保类似的情况出现，例如及时将已曝露的公钥报告给可信的第三方授权中心，接收方在验证签名时要先到可信的第三方授权中心查验发送方的私钥是否注销，然后再验证签名 仲裁者必须是一个所有通信方都能充分信任的仲裁机构 第三十五页，共六十八页。 （7）基于第三方的仲裁的不可推托机制 X用自己的私有秘钥KRx签名（加密）要发送的消息M，用EKRx[M]表示； X用Y的公开秘钥KUy加密第1步结果，用EKUy (EKRx[M])表示； X将第2步的结果以及X的标识符IDx一起用KRx签名后发送给A，用EKRx[IDx||EKUy (EKRx[M])表示； X将X的标识符IDx也发送给A； 第三十六页，共六十八页。 （7）基于第三方的仲裁的不可翻供机制 A首先检测X的私钥/私钥对是否有效和身分是否真实（后者可利用身分的可鉴别性来完成），并通过第3步揭秘得到的X的标识符和第4步收到的X的标识符比较相等来确保X的身分不被冒充； A对X的推托抨击：A通过第3步的数字签名知该消息是来自X，并且中途未被篡改，X不能推托； A将从X收到签名消息揭秘验证后获得的信息IDx||EKUy[EKRx[M]，再加上时间戳T（防止重放攻击）用自己的公钥KRa签名后发送给Y，公式为EKRa[IDx||EKUy[EKRx[M]]||T]，并保留要被签名的副本； 第三十七页，共六十八页。
（7）基于第三方的仲裁的不可推托机制 Y收到A的信息后用A的私钥揭秘获得EKUy[EKRx[M]； Y用自己的公钥揭秘第8步的信息，再用X私钥揭秘，就获得M； Y对X的推托抨击：如果X推托发送过M，Y可以向A提起申述，将IDx|| EKUy[EKRx[M]] || T发给A，由A按照原先的保留信息（第7步）通过第6步来确认X不可推托没有发送消息M。 第三十八页，共六十八页。 (7)DSA数字签名方式 DSA（Digital Signature Algorithm）是另外一种数字签名的方式，它借助SHA-1估算原消息的摘要，也是基于非对称秘钥加密，但其目的和方式完全不同基于RSA的数字签名，它只能对消息进行签名，不能加密，它涉及到复杂的物理估算，大家参考书其他的资料。 第三十九页，共六十八页。 实例： Web Service提供者安全对用户的一次信息发送 现有持证Web service甲向持证用户乙提供服务。为了保证信息传送的真实性、完整性和不可否认性，需要对传送的信息进行数字加密和数字签名。其传送过程如下： (1)甲打算好要传送的数字信息(明文) (2)甲对数字信息进行哈希运算得到一个信息摘要（计算摘要） (3)甲用自己的公钥对信息摘要进行加密得到甲的数字签名，并将其附在信息上（对摘要进行签名） 第四十页，共六十八页。
实例： Web Service提供者安全对用户的一次信息发送 （4）甲随机形成一个DES秘钥，并用此秘钥对要发送的信息进行加密产生密文（对称密钥加密原文）。 （5）甲用乙的私钥对刚刚随机形成的加密密钥再进行加密，将加密后的DES秘钥连同密文一起传送给乙。（密钥封装） （6）乙收到甲传送过来的密文，数字签名和加密过的DES秘钥，先用自己的公钥对加密的DES秘钥进行揭秘，得到DES秘钥。 （7）乙之后用DES秘钥对收到的密文进行揭秘，得到明文的数字信息，然后将DES秘钥抛弃。（解密原信息） 第四十一页，共六十八页。 实例： Web Service提供者安全对用户的一次信息发送 （8）乙用甲的私钥对甲的数字签名进行揭秘得到信息摘要 （9）乙用相同的hash算法对收到的明文再进行一次hash运算，得到一个新的信息摘要。 （10）乙将收到的信息摘要和新形成的信息摘要进行比较，如果一致，说明收到的信息没有被更改过。 以上10个步骤是Web Service向用户发送信息的过程，同样也适用于用户向Web Service递交信息的过程。 第四十二页，共六十八页。 非对称密钥加密算法的功击1:中间人攻击 在上面的数据加密，数字签名，数据完整性检查等过程中都用到了非对称密钥加密技术，因此非对称密钥加密技术十分重要，但它也有被功击可能性，这就是中间人攻击，具体功击的方式： （1）张三要给李四安全（保密）发送信息，张三必须先向李四提供自己的私钥K张，并恳求李四也把他的公钥K李给张三（相互要交换私钥）。
（2）中间攻击者王五查获张三的私钥K张，并用自己的私钥K王替换K张，并把K王转发给李四。 第四十三页，共六十八页。 非对称密钥加密算法的功击1:中间人攻击 （3）李四答复张三的信息，发出自己的私钥K李 （4）王五又查获李四的信息，将李四的私钥K李改为自己的私钥K王，并把它转发给张三。 （5）张三觉得李四的私钥是K王，就用K王加密要发送的信息给李四。 （6）王五查获张三发送的信息，并用自己的公钥揭秘信息，非法获得张三发送的信息，他又用李四的私钥K李重新加密消息，然后转发给李四。 第四十四页，共六十八页。 非对称密钥加密算法的功击1:中间人攻击 （7）李四用自己的公钥揭秘从王五收到的信息，并进行响应的答复，李四的答复是用K王加密的，以为这是张三的私钥。 （8）王五查获这个消息，用自己的公钥揭秘，非法获得信息，并用张三的私钥K张重新加密信息，然后转发给张三，张三用自己的公钥揭秘发过来的信息。 （9）这个过程不断重复，张三和李四发送的信息都被王五看见，而她们两个还以为是直接进行通讯呢。 第四十五页，共六十八页。 非对称密钥加密算法的功击2:公钥的假冒发布 出现这个问题的主要诱因是自己的私钥被他人冒名顶替，因此必须解决私钥和身分必须相符合。
下面再看一个事例 用户A假扮B，发布A的私钥KA说这是B的私钥KB，这样有人要给B发信息时才会误用A的公钥加密，A查获加密的消息后，A可以用自己的公钥揭秘，非法见到信息的内容，因此要有可信的第三方管理你们的私钥及其身分。 第四十六页，共六十八页。 PGP加密技术 PGP（Pretty Good Privacy）加密技术是一个基于RSA私钥加密体系的电邮加密软件。 PGP加密技术的创始人是日本的Phil Zimmermann。他的创造性是把RSA私钥体系和传统加密体系的结合上去，并且在数字签名和密钥认证管理机制上有巧妙的设计。 因此PGP成为目前几乎最流行的私钥加密软件包。 第四十七页，共六十八页。 PGP简介 因为RSA算法估算量极大，在速率上不适宜加密大量数据，所以PGP实际上拿来加密的不是RSA本身，而是采用传统加密算法IDEA，IDEA加揭秘的速率比RSA快得多。 PGP随机生成一个秘钥，用IDEA算法对明文加密，然后用RSA算法对密钥加密。收件人同样是用RSA解出随机秘钥，再用IEDA解出原文。 这样的链式加密既有RSA算法的保密性（Privacy）和认证性（Authentication），又保持了IDEA算法速度快的优势。
第四十八页，共六十八页。 数字签名及不可抗抵赖性介绍 第一页，共六十八页。 数字签名及不可抗抵赖性介绍ppt课件 第二页，共六十八页。 复习 五大安全服务 有效的加密方式 数据完整性 第三页，共六十八页。 讨论课 大约在11周有个讨论课，问题分组，代表发言（默认是主任，大家可以报考发言，不发言的要起码提问一个问题），大家讨论 （1）加密技术在网路安全中的作用的辨证关系 （2）安全技术与安全管理在网路安全中的关系 （3）网络安全与资金投入的关系 （4）网络安全与网路性能的关系 （5）网络不安全的外因与内因及其辨证关系 （6）防火墙的利与弊 （7）网络安全与其他安全的关系和地位 第四页，共六十八页。 不可抵赖性的意义 数据完整性保证发送方和接收方的网路传送数据不被第三方篡改和替换，但不能保证双方自身的误导和翻供 在双方自身的误导中，双方的不可抵赖性（又称不可否认性（Non-repudiation））是网路安全的一个重要安全特点，特别在当前电子商务应用中更是变得愈发重要。 例如张大海向李小虎发送一个会议通知，李小虎没有参加大会，并以没有收到通知为由推卸责任。 第五页，共六十八页。 常见的推托行为 ①A向B发了信息M，但其不承认其以前发过； ②A向B发了信息M0，但其却说发了M1； ③B收到了A发来的信息M，但却不承认收到了； ④B收到了A发来的信息M0，但却说收到的是M1。
第六页，共六十八页。 用户不可抵赖性定义 不可抵赖性致力生成、收集、维护有关已申明的风波或动作的证据，并使该证据可得而且确认该证据，以此来解决关于此风波或动作发生或未发生而导致的争议。 第七页，共六十八页。 基本思路 抗抵赖性机制的实现可以通过数字签名来保证。 它的基本思路是通过用户自己独有的、惟一的特点（如公钥）对信息进行标记或则通过可信第三方进行公证处理来避免双方的推托行为 例如：基于共享秘钥的抗推托技术，由于没办法区别是哪方的误导，对于下述误导行为没有办法解决： 接收方B伪造一个不同的消息，但宣称是从 发送方A 收到的 第八页，共六十八页。 基本思路 数字签名主要使用非对称秘钥加密体制的公钥加密发送的消息M 把用公钥加密要发送的消息过程称为签名消息，加密后的信息称为签名 在使用数字签名后，如果今后发生争议，则双方找个公证人，接收方B可以掏出签名后的消息，用发送发A的私钥揭秘因而证明这个消息是A发来的，即不可翻供(即A未能证实自己发了消息，因为消息是用他的公钥加密的，只有他有这个公钥) 第九页，共六十八页。 基本思路 在数字签名中，即使攻击者改变消息，也无法达到任何目的，因为攻击者没有A的公钥，无法再度用A的公钥加密改变后的消息，保证了数据的完整性，因此A既不能翻供没有发送消息，也不能翻供发送的消息不是M。
一个完整的抗抵赖性机制包括两部份：一个是签名部份，另一个是验证部份，签名部份的秘钥是秘密的，只有签名人把握，这也是抗抵赖性的前提和假定；验证部份的秘钥应该公开，以便于别人进行验证。 第十页，共六十八页。 用户不可抵赖性机制的评价标准 抗抵赖性机制的安全性 最重要的标准就是是否能真正起到抗翻供的疗效，伪造抗翻供的的签名在估算复杂性意义上是否具有不可行性 抗抵赖性机制是否须要第三方参与 抗翻供的基本思路有两种，一种是凭着自身特有的特点进行抗翻供，称为直接数字签名法抗翻供，另一种是利用可信的第三方进行公证来避免翻供行为，称为仲裁数字签名抗翻供机制 第十一页，共六十八页。 用户不可抵赖性机制的评价标准 抗抵赖性机制的信息有效率 抗抵赖性机制是否具有单向抗翻供功能 可抵赖性有两个方面，一方面是发送信息方不可翻供，另一方面是信息的接收方的不可抵赖性。 抗抵赖性机制是否同时具有保密，完整性验证作用 抗抵赖性机制的性能 发送方估算消息摘要，进行公钥签名，接收方进行验证签名（解密）等。 第十二页，共六十八页。 数字签名定义 ISO对数字签名是这样定义的：附加在数据单元上的一些数据，或是对数据单元所做的密码变换，这种数据或变换容许数据单元的接收者用以确认数据单元的来源和数据单元的完整性，并保护数据，防止被别人(如接收者)伪造。
第十三页，共六十八页。 数字签名作用 用发送方的公钥加密消息有哪些用? A的私钥是公开的，谁都可以访问，任何人都可以用其揭密消息，了解消息内容，因而未能实现保密。那么它的作用是哪些？它的作用是： （1）身份认证： 假如接收方B收到用A的公钥加密的消息，则可以用A的私钥揭秘。如果揭秘成功，则B可以肯定这个消息是A发来的。这是因为，如果B才能用A的私钥揭秘消息，则表明最初消息用A的公钥加密并且只有A晓得他的公钥 。因此发送方A用公钥加密消息即是他自己的数字签名。 第十四页，共六十八页。 数字签名作用 （2）防冒充： 他人不可能冒充A，假设有攻击者C冒充A发送消息，由于C没有A的公钥，因此不能用A的公钥加密消息，接收方也就不能用A的私钥揭秘。因此，不能冒充A。 （3）防翻供： 如果今后发生争议，则双方找个公证人，B可以掏出加密消息，用A的私钥揭秘因而证明这个消息是A发来的，即不可翻供(即A未能证实自己发了消息，因为消息是用他的公钥加密的，只有他有这个公钥)。 第十五页，共六十八页。 数字签名作用 （4）防信息篡改 即使C在中途查获了加密消息，能够用A的私钥揭秘消息，然后改变消息，也无法达到任何目的，因为C没有A的公钥，无法再度用A的公钥加密改变后的消息。
因此，即使C把改变的消息转发给B。B也不会误以为来自A，因为它没有用A的公钥加密。 第十六页，共六十八页。 数字签名作用 （5）数字签名在现代Web商务中具有重要意义。 大多数国家早已把数字签名看成与手工签名具有相同法律效力的授权机制。数字签名早已具有法律效力。 例如，假设通过Internet向交行发一个消息(例如网银)，要求把钱从你的帐号转入某个同事的帐号，并对消息进行数字签名，则这个事务与你到交行亲手签名的疗效是相同的 第十七页，共六十八页。 （1）基于RSA的数字签名抗翻供机制 步骤1：A用自己的公钥加密消息M，用EA私(M）表示； 步骤2：A把加密的消息发送给B； 步骤3：B接收到加密的消息后用A的私钥揭秘，用公式DA公(EA私(M）)表示； 步骤4：B假如揭秘成功，表示消息M一定是A发送的，起到了数字签名的作用； 第十八页，共六十八页。 对A的推托指责 如果A翻供，B将从A收到的信息EA私(M）交给仲裁者，仲裁者和B一样用A的私钥揭秘EA私(M），如果揭秘成功，说明B收到的信息一定是用A的公钥加密的，因为A的公钥只有A自己拥有，因此不能翻供没有发送消息M，并且A也不能翻供自己发送的信息不是M，因为信息M中途倘若被攻击者篡改，由于篡改者没有A 的公钥，因此不能再用A是公钥重新签名（加密），接收方也不能用A的私钥正确揭秘。
第十九页，共六十八页。 评价 这个机制简单，可以避免发送者推托未发送消息的行为，并且在机制中不需要专门的第三方参与，具有完整性验证的作用 由于签名是用发送方的公钥签名，因此任何人可以用他的私钥进行揭秘，而私钥是公开的，这样的数字签名只能起到签名的作用但不能保密，容易遭到网路查获的功击。 这个机制的性能较低，因为签名和验证操作都是用的非对称加密机制加密的，并且是对整个信息M进行签名的。 第二十页，共六十八页。 （2）具有保密作用的RSA签名 改进的方式：用接收方的公钥加密要发送的信息，假设A是发送方，B是接收方, A向B发送消息M，则具有保密作用的数字签名方式是： （1）A用自己的公钥加密消息M，用EA私(M）表示。 （2） A用B的公钥加密第1步的消息，用EB公 (EA私(M))表示 (3)把两次加密后的消息发送给B 第二十一页，共六十八页。 （2）具有保密作用的RSA签名 （4）B接收到加密的消息后用自己的公钥揭秘，获得签名EA私(M），用公式DB私（EB公(EA私(M))）= EA私(M）表示。 （5）B对第4步的揭秘结果再用A的私钥揭秘，获得发送的消息M，用公式DA公(EA私(M）)=M表示。
如果揭秘成功，表示消息M一定是A发送的，起到了数字签名的作用。 第二十二页，共六十八页。 讨论 先加密后签名怎样？（是否遵循交换律？,可能出现篡改签名吗？） 在这个签名机制中，采用的是先签名后加密，那么能够先加密后签名呢，答案是否定的，因为假如先加密后签名，则信息在传输过程中被攻击者截取到后，可以解签名，虽然攻击者不知道密文信息所对应的明文的具体内容，但攻击者可以伪造他自己的签名，然后继续发送。这样接收者因为不能正确解签名，就不知道这是谁发出的信息了, 会确定这封信是黑客发给他的。 第二十三页，共六十八页。 （3）基于数字信封的数字签名 前面两种方式的缺点：速度慢 由于签名是用非对称加密算法RSA对整个消息进行加密，而RSA的加密速率慢，因此不能挺好推广。 下面结合数字信封的加密方式，只对一次性对称秘钥进行签名。 方法： （1）A用一次性对称密钥K1加密要发送的消息M。（消息保密） （2）A用自己的公钥加密K1。（签名K1） （3）A用B的私钥加密第2步的结果，组成数字信封。（对签名结果封装） 第二十四页，共六十八页。 （4）B用自己的公钥揭秘第3步的结果，得到签名。 （5）B用A的私钥揭秘第4步的结果，得到一次性对称密钥K1。
（6）B用一次性对称密钥K1揭秘第1步的结果，得到原消息。 （3）基于数字信封的数字签名 第二十五页，共六十八页。 评价 最大优点是改进了上述机制性能低的缺点，只对短的对称秘钥签名，该签名似乎只对一次性对称密钥K1 进行签名，好像没有跟整个消息关联，但实际上因为这个消息是用K1加密的，因此签名也是跟整个消息是关联的 关联的程度没有下边即将述说的基于消息摘要的数字签名不可推托机制强 第二十六页，共六十八页。 （4）具有数据完整性测量的数字签名方式 第二十七页，共六十八页。
