Keyed-Hash Message Authentication Code

aus Wikipedia, der freien Enzyklopädie
(Weitergeleitet von HMAC)
Wechseln zu: Navigation, Suche

Ein Keyed-Hash Message Authentication Code (HMAC) ist eine Art Message Authentication Code (MAC), dessen Konstruktion auf einer kryptografischen Hash-Funktion basiert.[1] HMACs werden in RFC 2104[2] sowie im NIST Standard FIPS 198 spezifiziert und in RFC 4868[3] für den Einsatz in IPsec erweitert. Zudem können sie beispielsweise in den Protokollen TLS[4] und SSH[5] eingesetzt werden.

Inhaltsverzeichnis

Konstruktion [Bearbeiten]

Der HMAC wird aus der Nachricht M und einem geheimen Schlüssel K mittels der Hash-Funktion \mathrm{H} nach RFC 2104 wie folgt berechnet.[2] K wird auf die Blocklänge B der Hash-Funktion (512 Bit für die meisten gängigen Hash-Funktionen) aufgefüllt. Falls die Länge von K größer als die Blocklänge der Hash-Funktion ist, wird K durch \mathrm{H}(K) ersetzt.

\mathrm{HMAC}_K(M) = \mathrm{H}\Big( (K \oplus opad ) \;||\; \mathrm{H}\big( (K \oplus ipad ) \;||\; M\big)\Big)

Die Werte opad und ipad sind dabei Konstanten, \oplus steht für die bitweise XOR-Operation und \;||\; für die Verknüpfung durch einfaches Zusammensetzen (Konkatenation).

Nach RFC 2104 sind beide Konstanten wie folgt definiert:[2]

opad = \underbrace{\mathrm{0x5C}\dotso\mathrm{0x5C}}_{B\text{-mal}} \text{ und } ipad = \underbrace{\mathrm{0x36}\dotso\mathrm{0x36}}_{B\text{-mal}}.

Entwurfsprinzipien [Bearbeiten]

Merkle-Damgård-Konstruktion: Aus den Nachrichtenblöcken wird durch wiederholte Anwendung der Kompressionsfunktion der Hashwert erzeugt.

Die auf den ersten Blick umständlich anmutende Konstruktion resultiert aus der Tatsache, dass fast alle kryptographischen Hashfunktionen auf der Merkle-Damgård-Konstruktion beruhen, also auf der Iteration einer Kompressionsfunktion. So gibt es beispielsweise einen einfachen Angriff auf eine Konstruktion eines MACs als H(K \| M). Aufgrund der Struktur der Hashfunktion kann leicht zu einem beliebigen X und dem Hashwert H(M) einer unbekannten Nachricht M der Hashwert H(M \| X) berechnet werden, wenn die Finalisierungsfunktion fehlt oder leicht umkehrbar ist. Damit kann aber auch H(K \| M) zu H(K \| M \| X) erweitert werden.[6]

Wenn die zugrundeliegende Hashfunktion als kollisionsresistent angenommen wird, sind einfache MAC-Konstruktionen möglich, beispielsweise die Berechnung als H(M \| K). Die Konstruktion ist allerdings unsicher sobald eine Kollision gefunden ist, denn wenn H(M_1) = H(M_2), dann ist aufgrund der Struktur unabhängig vom Schlüssel K auch H(M_1 \| K) = H(M_2 \| K).[6]

Die Idee der HMAC-Konstruktion ist, bei der Sicherheit nicht auf die Kollisionsresistenz der Hashfunktion, sondern auf schwächere Annahmen zu vertrauen. Aus diesem Grund ist ein auf MD5 basierender HMAC immer noch sicher, obwohl für MD5 bereits Kollisionen gefunden wurden.

Sicherheit [Bearbeiten]

Falls die zugrundeliegende Kompressionsfunktion eine pseudozufällige Funktion ist, so ist auch die HMAC-Konstruktion eine pseudozufällige Funktion.[7] Da jede pseudozufällige Funktion auch ein guter MAC ist,[8] ist die HMAC-Konstruktion ebenfalls ein guter MAC.

Literatur [Bearbeiten]

  • William Stallings: Cryptography and Network Security: Principles and Practice. 5. Auflage. (International Edition), Pearson Education, publishing as Prentice Hall, 2011, ISBN 978-0-13-705632-3.

Weblinks [Bearbeiten]

Einzelnachweise [Bearbeiten]

  1. ↑ Stallings: Cryptography and Network Security: Principles and Practice. S. 399–400.
  2. ↑ a b c H. Krawczyk, M. Bellare, R. Canetti: RFC 2104, HMAC: Keyed-Hashing for Message Authentication. IETF. Abgerufen am 11. November 2011.
  3. ↑ S. Kelly, S. Frankel: RFC 4868, Using HMAC-SHA-256, HMAC-SHA-384, and HMAC-SHA-512 with IPsec. IETF. Abgerufen am 11. November 2011.
  4. ↑ T. Dierks, E. Rescorla: RFC 5246, The Transport Layer Security (TLS) Protocol Version 1.2. IETF. S. 14. Abgerufen am 11. November 2011: „The TLS record layer uses a keyed Message Authentication Code (MAC) to protect message integrity. The cipher suites defined in this document use a construction known as HMAC, described in [HMAC], which is based on a hash function. Other cipher suites MAY define their own MAC constructions, if needed.“
  5. ↑ T. Ylonen, C. Lonvick, Ed.: RFC 4253, The Secure Shell (SSH) Transport Layer Protocol. IETF. S. 12. Abgerufen am 11. November 2011: „The "hmac-*" algorithms are described in [RFC2104].“
  6. ↑ a b  Mihir Bellare, Ran Canetti, and Hugo Krawczyk: Keying hash functions for message authentication. In: Advances in Cryptology – Crypto 96 Proceedings. LNCS 1109, Springer, 1996, S. 1–15, doi:10.1007/3-540-68697-5_1 (Link).
  7. ↑  Mihir Bellare: New Proofs for NMAC and HMAC: Security without Collision-Resistance. In: Advances in Cryptology – Crypto 2006 Proceedings. LNCS 4117, Springer, 2006, S. 602–619, doi:10.1007/11818175_36 (Link).
  8. ↑  Mihir Bellare, Oded Goldreich und Anton Mityagin: The Power of Verification Queries in Message Authentication and Authenticated Encryption. 2004 (http://eprint.iacr.org/2004/309).
Von „http://de.wikipedia.org/w/index.php?title=Keyed-Hash_Message_Authentication_Code&oldid=116979683“