CN101902332A - 基于耦合混沌映射系统的带密钥的散列方法 - Google Patents

Abstract

本发明的目的是设计一种带密钥的散列方法，也就是消息认证码的产生方法，散列值和密钥的长度都是256比特，消息分组长度是1024比特。基于耦合混沌映射系统的带密钥的散列方法，采用一维耦合混沌映射系统，输入消息与扩展子密钥作为混沌映射系统的参数，通过一维耦合混沌映射系统有限次的迭代操作，可以使消息和密钥达到足够的混乱与扩散，产生随机分布、不重复的散列值，保证了该散列方法具有强抗碰撞性和软件实现运算速度快的特性。

Description

基于耦合混沌映射系统的带密钥的散列方法

技术领域

本发明涉及信息安全技术领域，更确切地说是涉及用于消息认证的散列技术。

技术背景

散列方法，是一种把任意长度的输入消息转化成固定长度的输出消息摘要的一种方法。这个输出消息摘要为该消息的散列值(也称Hash值)。散列方法的特点是单向性，即由原文求散列值容易，由散列值求原文困难；抗碰撞性，即给定散列方法的描述，找到两个不同的输入消息散列到同一个值是计算上不可行的，或给定散列方法的描述和一个随机选择的消息，找到另一个与该消息不同的消息使得它们散列到一个值是计算上不可行的。

散列技术的一个重要用途是用于具有消息认证功能的数字签名。面对互联网中各种各样的威胁与攻击，信息的接收方有必要对其收到的信息进行消息认证。消息认证包括两层含义：一是消息的起源认证检测，即对消息的发送者的身份进行认证；二是消息的完整性检验，即验证消息在传送或存储过程中未被篡改、删除或插入等。由要认证的消息M得到散列值，作为消息认证的依据，假定通信双方A与B，A向B发送消息时计算散列值，然后消息和散列值一起被发送给B，B对收到的消息进行相同的散列运算，得到新的散列值，并将接收到的散列值与B计算出的散列值进行对比，如果相同则B可以确信消息的来源和未被篡改。

散列方法包含不带密钥和带密钥的两类，后者是指散列值由只有通信双方指定的一个密钥K来控制，在这种情况下，消息M的散列值也称为消息认证码(Message Authentication Code)。散列技术中常见的不带密钥的散列方法，如MD5、SHA-1方法的安全性受到了众多密码学家的质疑，而带密钥的散列方法因其在通信双方间增加了共享密钥的使用，所以被业界认为更为安全。在传统密码学中，带密钥的散列方法通常基于已有的散列方法，比如HMAC，也可以基于分组加密方法，或者基于泛散列函数族方法，因此其安全性常依赖于这些基础密码本身。

本发明特制了一个全新的、基于混沌耦合映射的、带密钥的散列方法，独立于已有的散列方法和加密方法，可用于消息认证中。其主要特点是采用一维耦合混沌映射系统，输入消息与密钥作为混沌映射系统的参数，通过一维耦合混沌映射系统有限次的迭代操作，可以使消息和密钥达到足够的混乱与扩散，产生随机分布、不重复的散列值，保证了该散列方法具有强抗碰撞性和软件实现运算速度快的特性。

发明内容

本发明的目的是设计一种带密钥的散列方法，散列值和密钥的长度都是256比特。一种基于耦合混沌映射系统的带密钥的散列方法，其过程特征在于以下处理步骤：

A1)消息预处理，包括确定初始值和消息整形；

A2)密钥扩展，是把256比特的密钥K扩展成1024比特的子密钥；

A3)参数生成，是输入消息和扩展子密钥，产生一维耦合映射系统的两组参数；

A4)压缩过程，是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换过程；

A5)散列值输出，包括依次处理所有消息分组和散列值输出变换。

在A1中，消息预处理包括确定初始值和消息整形两个步骤：

A1.1)确定初始值，是指散列双方需要约定初始变量H₀，即确定8个初始变量h₀(j)级联组成H₀＝h₀(1)||h₀(2)||...||h₀(8)||，每个h₀(j)都是一个属于[0，2³²)区间上的整数；

A1.2)消息整形，是指把消息通过填充补充位，添加原文长度信息，使整形消息长度为分组长度的整数倍；每组消息固定为1024比特，整形原文消息长度为1024t比特，t为整数；

所述的由原文消息生成整形消息的过程，进一步包括：

对输入的原始消息进行填充补位，以使其补位后的消息长度在对1024取模后的余数是896，补位是先补一个1再补0，直到长度满足对1024取模余数是896，补位至少补一位，最多补1024比特，即使长度已经满足对1024取模余数是896，补位也必须要进行；然后补长度，补一个128比特长度的数据来表示原始消息的长度，补到已经进行了补位操作的消息后面；最后整个消息按顺序分成一个个1024比特的消息分组数据块M₁，M₂，...，M_t，用t表示消息整形后的最终分组数目；每组消息M_i可用32个整数级联表示，M_i＝m(1)||m(2)||...||m(32)||，每个m(j)(j＝1，2，...，32)都是属于[0，2³²)区间上的整数。

在A2中，密钥扩展是把256比特的密钥K扩展成1024比特的子密钥。密钥K为256比特，用8个整数级联表示，K＝k(1)||k(2)||...||k(8)||，每一个k(j)都是一个属于[0，2³²)区间上的整数；经过扩展变换得到总长为1024比特的子密钥，子密钥用32个整数来表示，ka(1)，ka(2)，...，ka(32)，每一个ka(j)都是一个属于[0，2³²)区间上的整数；所述的密钥扩展具体实施步骤是：

步骤1：输入密钥值K，得到8个整数kk(j)，即kk(j)＝k(j)，j＝1，2，...，8；

步骤2：把8个整数kk(j)扩展成16个整数kk(j)，即

$\mathrm{kk}\left(j\right)=\mathrm{kk}(j-8)+(\mathrm{kk}(j-8)>>>12)\&CirclePlus;(\mathrm{kk}(j-5)>>>11)+(\mathrm{kk}(j-3)<<<11),$ j＝9，10，...，16操作

是按比特位异或，操作+是模2³²加法，操作x＞＞＞(＜＜＜)y表示对x右(左)循环移位y比特；

步骤3：把扩展得到的16个整数kk(j)再压缩为新的8个整数kk(j)，即

kk(j)＝kk(j+8)+kk(9-j)，j＝1，2，...，8

重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝1，2，...，8；再重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝9，10，...，16；继续重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝17，18，...，24；最后重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝25，26，...，32；总计输出了总长为1024比特的子密钥，即ka(j)，j＝1，2，...，32。

在A3中，参数生成是由输入的分组消息M_i和扩展子密钥ka(j)，产生一维耦合映射系统的两组参数，具体方法如下：

A3.1)第一组参数，通过线性变换可以把第i个消息分组M_i转化为32个双精度实数b_i，j，i＝1，2，3，4，j＝1，2，...，8，即

b_i，j＝2.0+m((i-1)*8+j)/2³¹，i＝1，2，3，j＝1，2，...，8；

b_4，j＝m(24+j)/2³²，j＝1，2，...，8

A3.2)第二组参数，扩展得到的子密钥ka(j)与输入的消息分组M_i混合后，转化为另外一组32个双精度实数a_i，j，i＝1，2，3，4，j＝1，2，...，8，即

$a_{i,j}=2.0+[\mathrm{ka}((i-1)*8+j)\&CirclePlus;(m(i-1)*8+j)>>>8]/2^{31},$ i＝1，2，3，j＝1，2，...，8

$a_{4,j}=[\mathrm{ka}(24+j)\&CirclePlus;(m(24+j)>>>8)]/2^{32},$ j＝1，2，...，8

其中操作

是按比特位异或，操作x＞＞＞y表示对x右循环移位y比特。

在A4中，压缩过程是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换：

A4.1)一维迭代耦合映射系统，其动力学系统表示为：

x_n+1(j)＝f₁(a_1，j，x_n(j))+f₁(a_2，j+1，x_n(j+1))+f₁(a_3，j-1，x_n(j-1))

                                                                           (1)

+f₂(a_4，j+4，x_n(j+4))+c_j mod1，j＝1，2，...，8

x_n+2(j)＝f₁(b_1，j，x_n+1(j))+f₁(b_2，j+1，x_n+1(j+1))+f₁(b_3，j-1，x_n+1(j-1))  

                                                                           (2)

+f₂(b_4，j+4，x_n+1(j+4))+c_j mod1，j＝1，2，...，8

其中n为离散时间迭代步数，j为格点坐标，格点长度为8，对所有参量使用周期边界条件；f₁(a，x)＝ax(1-x)是逻辑斯蒂映射，当a＞3.57时，逻辑斯蒂映射是混沌的；f₂(a，x)是分段线性映射，具体表示为

c₁＝0.1，c₂＝0.2，对于其他格点j，c_j＝0；参数a_i，j和b_i，j，i＝1，2，3，4，j＝1，2，...，8，由步骤A3得到；依次执行式(1)、(2)r次得到输出变量x_2r(j)，j＝1，2，...，8；当迭代次数不等于4和8次，即r≠4和r≠8时，输出变量x_2r(j)直接反馈执行(1)、(2)迭代操作，当迭代次数等于4和8次，即r＝4和r＝8时，输出变量x_2r(j)执行A4.2非线性变换；

所述的一维迭代耦合映射系统，进一步包括以下两种情况：

A4.1.1)对于第一个消息分组M₁，式(1)、(2)的初始值定义为：

x₀(j)＝h₀(j)/2³²，j＝1，2，...，8

其中h₀(j)是在步骤A1.1中散列双方约定的初始变量H₀，即H₀＝h₀(1)||h₀(2)||...||h₀(8)||；

A4.1.2)对于第i个消息分组M_i，式(1)、(2)的初始值定义为：

x₀(j)＝h_i-1(j)/2³²，j＝1，2，...，8，i＝1，2，...，t

其中h_i-1(j)是对第(i-1)个消息分组M_i-1压缩过程计算输出的中间变量H_i-1，即H_i-1＝h_i-1(1)||h_i-1(2)||...||h_i-1(8)||，每个h_i-1(j)都是一个属于[0，2³²)区间上的整数；

A4.2)非线性变换，是把上述步骤A4.1中的模拟信号x_2r(j)进行两次非线性变换，所述的非线性变换的过程，进一步包括：

A4.2.1)对于第4次迭代，即r＝4时，依据以下公式对输出变量x_2r(j)进行非线性操作：

x_2r(j)＝(x_2r(j)×2⁵⁰ mod2³²)/2³²，j＝1，2，...，8

所述上式首先把双精度实数x_2r(j)放大2⁵⁰倍，然后取模2³²，得到32比特长的整数(模数转换)，最后再转化为双精度实数；

A4.2.2)对于第8次迭代，即r＝8时，依据以下公式对其进行非线性操作，并得到中间变量H_i＝h_i(1)||h_i(2)||...||h_i(8)||：

h_i(j)＝x_2r(j)×2⁵⁰ mod2³²，j＝1，2，...，8，i＝1，2，...，t

所述上式首先把双精度实数x_2r(j)放大2⁵⁰倍，然后取模2³²，得到32比特长的整数h_i(j)。

在A5中，输出散列值包括依次处理所有消息分组和散列值输出变换两个过程：

A5.1)依次处理所有消息分组，是对所有分组M₁，M₂，...，M_t按分组顺序重复执行步骤A3、A4，直到最后一个消息分组M_t处理结束，得到H_t＝h_t(1)||h_t(2)||...||h_t(8)||，每一个h_t(j)，j＝1，2，...，8，都是一个属于[0，2³²)区间上的整数；

A5.2)通过输出变换得到最终的散列值，所述输出变换的过程是把256比特的密钥K与256比特的H_t模2³²加后，按顺序如下输出：

h(K，M)＝K+H_t＝k(1)+h_t(1)||k(2)+h_t(2)||...||k(8)+h_t(8)||

其中操作+是模2³²加法。

本发明具有以下技术效果：

1.散列方法基于混沌耦合映射结构，输入消息与扩展子密钥作为混沌系统的参数，使消息和密钥的比特流达到足够的混乱和扩散；对混沌变量采用非线性变换，增加了理论计算攻击的难度；

2.散列方法中浮点数计算包含线性与非线性映射，引入线性映射可以消除逻辑斯蒂映射的由初始条件引发的碰撞，并改善逻辑斯蒂映射的不均匀特性；

3.软件实现运算速度快。

附图说明

图1是基于耦合混沌映射系统的压缩过程示意图。

图2是输入消息的散列过程示意图。

图3是信息只改变一个比特位，散列值的变化。

图4是密钥只改变一个比特位，散列值的变化。

图5是初始值只改变一个比特位，散列值的变化。

具体实施方式

下面结合附图和实例对本发明作进一步详细说明，本散列方法的具体构造方法包括如下五个步骤：

B1)消息预处理，包括确定初始值和消息整形；

B2)密钥扩展，是把256比特的密钥K扩展成1024比特的子密钥；

B3)参数生成，是输入消息和扩展子密钥，产生一维耦合映射系统的两组参数；

B4)压缩过程，是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换过程；

B5)散列值输出，包括依次处理所有消息分组和散列值输出变换。

在B1中，消息预处理包括确定初始值和消息整形两个步骤：

B1.1)确定初始值，是指散列双方需要约定初始变量H₀，确定8个初始变量h₀(j)级联组成H₀＝h₀(1)||h₀(2)||...||h₀(8)||，每个h₀(j)都是一个属于[0，2³²)区间上的整数；

B1.2)消息整形，是指把消息通过填充补充位，添加原文长度信息，使整形消息长度为分组长度的整数倍过程；每组消息固定为1024比特，整形原文消息长度为1024t比特，t为整数；

所述的由原文消息生成整形消息的过程，进一步包括：

对输入的原始消息进行填充补位，以使其补位后的消息长度在对1024取模后的余数是896，补位是先补一个1再补0，直到长度满足对1024取模余数是896，补位至少补一位，最多补1024比特，即使长度已经满足对1024取模余数是896，补位也必须要进行；然后补长度，补一个128比特长度的数据来表示原始消息的长度，补到已经进行了补位操作的消息后面；最后整个消息按顺序分成一个个1024比特的消息分组数据块M₁，M₂，...，M_t，用t表示消息整形后的最终分组数目；每组消息M_i可用32个整数级联表示，M_i＝m(1)||m(2)||...||m(32)||，每个m(j)(j＝1，2，...，32)都是属于[0，2³²)区间上的整数。

在B2中，密钥扩展是把256比特的密钥K扩展成1024比特的子密钥。密钥K为256比特，用8个整数级联表示，K＝k(1)||k(2)||...||k(8)||，每一个k(j)都是一个属于[0，2³²)区间上的整数；经过扩展变换得到总长为1024比特的子密钥，子密钥用32个整数来表示，ka(1)，ka(2)，...，ka(32)，每一个ka(j)都是一个属于[0，2³²)区间上的整数。所述的密钥扩展具体实施步骤是：

步骤1：输入密钥值K，得到8个整数kk(j)，即kk(j)＝k(j)，j＝1，2，...，8；

步骤2：把8个整数kk(j)扩展成16个整数kk(j)，即

$\mathrm{kk}\left(j\right)=\mathrm{kk}(j-8)+(\mathrm{kk}(j-8)>>>12)\&CirclePlus;(\mathrm{kk}(j-5)>>>11)+(\mathrm{kk}(j-3)<<<11),$ j＝9，10，...，16操作是按比特位异或，操作+是模2³²加法，操作x＞＞＞(＜＜＜)y表示对x右(左)循环移位y比特；

步骤3：把扩展得到的16个整数kk(j)再压缩为新的8个整数kk(j)，即

kk(j)＝kk(j+8)+kk(9-j)，j＝1，2，...，8

重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝1，2，...，8；再重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝9，10，...，16；继续重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝17，18，...，24；最后重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝25，26，...，32；总计输出了总长为1024比特的子密钥，即ka(j)，j＝1，2，...，32。

在B3中，参数生成是由输入的分组消息和扩展子密钥产生一维耦合映射系统的两组参数，具体方法如下：

B3.1)第一组参数，通过线性变换可以把第i个消息分组M_i转化为32个双精度实数b_i，j，i＝1，2，3，4，j＝1，2，...，8，即

b_i，j＝2.0+m((i-1)*8+j)/2³¹，i＝1，2，3，j＝1，2，...，8

b_4，j＝m(24+j)/2³²，j＝1，2，...，8

B3.2)第二组参数，扩展得到的子密钥ka(j)与输入的消息分组M_i混合后，转化为另外一组32个双精度实数a_i，j，i＝1，2，3，4，j＝1，2，...，8，即

$a_{i,j}=2.0+[\mathrm{ka}((i-1)*8+j)\&CirclePlus;(m(i-1)*8+j)>>>8]/2^{31},$ i＝1，2，3，j＝1，2，...，8

$a_{4,j}=[\mathrm{ka}(24+j)\&CirclePlus;(m(24+j)>>>8)]/2^{32},$ j＝1，2，...，8

在B4中，压缩过程是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换过程(如图1所示)：

B4.1)一维迭代耦合映射系统，其动力学系统表示为：

x_n+1(j)＝f₁(a_1，j，x_n(j))+f₁(a_2，j+1，x_n(j+1))+f₁(a_3，j-1，x_n(j-1))        

                                                                           (3)

+f₂(a_4，j+4，x_n(j+4))+c_j mod1，j＝1，2，...，8

x_n+2(j)＝f₁(b_1，j，x_n+1(j))+f₁(b_2，j+1，x_n+1(j+1))+f₁(b_3，j-1，x_n+1(j-1))    

                                                                           (4)

+f₂(b_4，j+4，x_n+1(j+4))+c_j mod1，j＝1，2，...，8

其中n为离散时间迭代步数，j为格点坐标，格点长度为8，对所有参数使用周期边界条件；f₁(a，x)＝ax(1-x)是逻辑斯蒂映射，当a＞3.57时，逻辑斯蒂映射是混沌的；f₂(a，x)是分段线性映射，具体表示为

c₁＝0.1，c₃＝0.2，对于其他格点j，c_j＝0；参数a_i，j和b_i，j(i＝1，2，3，4，j＝1，2，...，8)由步骤B3得到；依次执行式(3)、(4)r次得到输出变量x_2r(j)，j＝1，2，...，8；当迭代次数不等于4和8次，即r≠4和r≠8时，输出变量x_2r(j)直接反馈执行(3)、(4)迭代操作，当迭代次数等于4和8次，即r＝4和r＝8时，输出变量x_2r(j)执行非线性变换；

所述的一维迭代耦合映射系统，进一步包括以下两种情况：

B4.1.1)对于第一个消息分组M₁，式(3)、(4)的初始值定义为：

x₀(j)＝h₀(j)/2³²，j＝1，2，...，8

其中h₀(j)是在步骤B1.1中散列双方约定的初始变量H₀，即H₀＝h₀(1)||h₀(2)||...||h₀(8)||；

B4.1.2)对于第i个消息分组M_i，式(3)、(4)的初始值定义为：

x₀(j)＝h_i-1(j)/2³²，j＝1，2，...，8，i＝1，2，...，t

其中h_i-1(j)是第(i-1)个消息分组M_i-1输出的中间变量H_i-1，即H_i-1＝h_i-1(1)||h_i-1(2)||...||h_i-1(8)||，每个h_i-1(j)都是一个属于[0，2³²)区间上的整数；

B4.2)非线性变换，是把上述步骤B4.1中的模拟信号x_2r(j)进行两次非线性变换，所述的非线性变换的过程，进一步包括：

B4.2.1)对于第4次迭代，即r＝4时，依据以下公式对输出变量x_2r(j)进行非线性操作：

x_2r(j)＝(x_2r(j)×2⁵⁰ mod2³²)/2³²，j＝1，2，...，8

所述上式首先把双精度实数x_2r(j)放大，然后取模2³²，得到32比特长的整数(模数转换)，最后再转化为双精度实数；

B4.2.2)对于第8次迭代，即r＝8时，依据以下公式对其进行非线性操作，并得到中间变量H_i＝h_i(1)||h_i(2)||...||h_i(8)||：

h_i(j)＝x_2r(j)×2⁵⁰ mod2³²，j＝1，2，...，8，i＝1，2，...，t

所述上式首先把双精度实数x_2r(j)放大，然后取模2³²，得到32比特长的整数h_i(j)。

在B5中，输出散列值包括依次处理所有消息分组和散列值输出变换两个过程(如图2所示)：

B5.1)依次处理所有消息分组，是对所有分组M₁，M₂，...，M_t按分组顺序重复执行步骤B3、B4，直到最后一个消息分组M_t处理结束，得到H_t＝h_t(1)||h_t(2)||...||h_t(8)||，每一个h_t(j)，j＝1，2，...，8，都是一个属于[0，2³²)区间上的整数；

B5.2)通过输出变换得到最终的散列值，所述输出变换的过程是把256比特的密钥K与H_t模2³²加后，按顺序输出如下：

h(K，M)＝K+H_t＝k(1)+h_t(1)||k(2)+h_t(2)||...||k(8)+h_t(8)||

其中操作+是模2³²加法。

下面结合一个具体消息，进一步说明本发明的技术方案，包括中间运算过程及部分结果。

1.确定初始值

散列操作前要约定初始值H₀＝h₀(1)||h₀(2)||...||h₀(8)||，给定h₀(1)到h₀(8)(十六进制表示)为51ff5c  9044df76  317b9d08  cf0661f3  95c0d47e  7ad70a5159ab4ca9  e55a354b。

2.建立整形消息

以原文abc这三个字母为例，对应于十六进制表示的ASCII码值为61，62，63，得到整形消息为一个分组，即m(1)到m(32)分别为60616280 0 0 0 0 00 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 00 0 18(十六进制表示)，其中末尾的四个数字0 0 0 18表示了消息的长度，即24比特长。

3.扩展密钥

给定密钥k(1)到k(8)为1 1 1 1 1 1 1 1(十六进制表示)，得到扩展子密钥ka(1)到ka(32)为14a1645b 19ba6c2d 99260a39 830ea697 e2fcf1d3817789d1 c1681f28 5fe0a91c 9d2dd5bc feb86830 e31551d9 3d710ec3a5fdc73c a220ffbf 68e564cb 6e38ed8c 133abcfc 3378c729 576127e856bc9cd8 27894f4 454aad7 f4cbf12f e0fed5ee d41a7ab4 cd241afc7f47beb0 f0f383e0 95ea8b57 c20ba1d0 cc1553aa f435eae1。

4.计算参数

由消息和扩展子密钥产生的双精度参数b_i，j和a_i，j分别见表1和表2。

5.压缩过程计算

压缩过程计算得到输出变量H₁，h₁(1)到h₁(8)分别为8e761553 138967d6cebda9b  10061124  329f6cff  41cd614b  e3ab4be2  24b8e673。

6.输出散列值(摘要)

h₁(i)和密钥k(i)模2³²加法运算，得到256比特的散列值14a6622f 5e4994db64609c77 24861f0d 9992e091 eefcc35b c0cae526 58aa26c7。

仅改变信息“abc”到“abd”，密钥K和初值H₀不变，得到256比特的散列值为94ccf47b a0f99c8a 919f22b6 c1242249 d98cd787 dd1232 ba5f5dde11dd6e23。为了更好地说明散列值的变化，对改变前后的散列值按比特位异或操作，得到806a9654 feb00851 f5ffbec1 e5a23d44 401e3716 ee21d1697a95b8f8 497748e，把上述结果用比特串表示(每个32比特按比特位从低到高排列)

0 0 1 0 1 0 1 0 0 1 1 0 1 0 0 1 0 1 0 1 0 1 1 0 0 0 0 0 0 0 0 1

1 0 0 0 1 0 1 0 0 0 0 1 0 0 0 0 0 0 0 0 1 1 0 1 0 1 1 1 1 1 1 1

1 0 0 0 0 0 1 1 0 1 1 1 1 1 0 1 1 1 1 1 1 1 1 1 1 0 1 0 1 1 1 1

0 0 1 0 0 0 1 0 1 0 1 1 1 1 0 0 0 1 0 0 0 1 0 1 1 0 1 0 0 1 1 1

0 1 1 0 1 0 0 0 1 1 1 0 1 1 0 0 0 1 1 1 1 0 0 0 0 0 0 0 0 0 1 0

1 0 0 1 0 1 1 0 1 0 0 0 1 0 1 1 1 0 0 0 0 1 0 0 0 1 1 1 0 1 1 1

0 0 0 1 1 1 1 1 0 0 0 1 1 1 0 1 1 0 1 0 1 0 0 1 0 1 0 1 1 1 1 0

0 0 1 0 0 1 1 1 0 0 0 1 0 0 1 0 1 1 1 0 1 1 1 0 1 0 0 1 0 0 1 0

图3显示了异或后的256比特值，约50％的比特位发生了变化，表明散列值具有很好的随机性。

仅改变密钥K中的k(1)，其他密钥值不变，k(1)由“1”变到“0”，信息“abc”和初值H₀不变，得到256比特的散列值30c6a2ca 32d3bed3 2d2acda74dee35ea a305cd0f f1e3695d fd2cc35b cd54973b，和图3类似，图4显示了散列值具有很好的随机性。

仅改变初值H₀中的h₀(1)，其他初始值不变，h₀(1)由“51ff5c”变到“51ff5d”，信息“abc”和密钥K不变，得到256比特的散列值a795e75b ae997df3 27dee000a8082571 52be11e 1bd0dcd4 c1a03381 20538d87，和图3类似，图5显示了散列值具有很好的随机性。

本发明方法提供了一种抗碰撞攻击的带密钥的散列方法，可用于软件编程实现，有较快的处理效率。

以上所述为本发明的较佳实施例而已，但本发明不应该局限于该实施例。所以凡是不脱离本发明所公开的精神下完成的等效或更改，都落入本发明保护的范围。

表1双精度浮点表示的参数b_i，j

bi，j	1	2	3	4
					1	2.752971947193146	2.000000000000000	2.000000000000000	0.000000000000000
2	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
					3	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
4	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
					5	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
6	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
					7	2.000000000000000	2.000000000000000	2.000000000000000	0.000000000000000
8	2.000000000000000	2.000000000000000	2.000000000000000	0.000000005587935

表2双精度浮点表示的参数a_i，j

ai，j	1	2	3	4
					1	3.162140515167266	3.227961270138621	2.150230048224330	0.828529042191803
2	2.201001665089279	3.990002654492855	2.402123351115733	0.801332174800336
					3	3.196473386604339	3.774088126141578	2.682652462273836	0.497188489884138
4	3.023884605150670	2.480012746062130	2.677631001919508	0.941215746104717
					5	3.773344257380813	3.296807197853923	2.019304865971208	0.585610111942515
6	3.011460520792753	3.266632049810141	2.033833842258900	0.757989991456270
					7	3.510990042239428	2.819500540848821	3.912473819684237	0.797200421337038
8	2.749043596908450	2.861112302169204	3.757776967249811	0.922697715694085

Claims (7)

1.基于耦合混沌映射系统的带密钥的散列方法，其过程特征在于以下处理步骤：

A1)消息预处理，包括确定初始值和消息整形；

A2)密钥扩展，是把256比特的密钥K扩展成1024比特的子密钥；

A3)参数生成，是输入消息和扩展子密钥，产生一维耦合映射系统的两组参数；

A4)压缩过程，是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换过程；

A5)散列值输出，包括依次处理所有消息分组和散列值输出变换。

2.根据权利要求1所述的基于耦合混沌系统的带密钥的散列方法，其特征在于所述的步骤A1消息预处理包括确定初始值和消息整形两个步骤：

A1.1)确定初始值，是指散列双方需要约定初始变量H₀，确定8个32比特初始变量h₀(j)级联组成H₀＝h₀(1)||h₀(2)||...||h₀(8)||，每个h₀(j)都是一个属于[0，2³²)区间上的整数；

A1.2)消息整形，是指把消息通过填充补充位，添加原文长度信息，使整形消息长度为分组长度的整数倍过程；每组消息固定为1024比特，整形原文消息长度为1024t比特，t为整数；

所述的由原文消息生成整形消息的过程，进一步包括：

对输入的原始消息进行填充补位，以使其补位后的消息长度在对1024取模后的余数是896，补位是先补一个1再补0，直到长度满足对1024取模余数是896，补位至少补一位，最多补1024比特，即使长度已经满足对1024取模余数是896，补位也必须要进行；然后补长度，补一个128比特长度的数据来表示原始消息的长度，补到已经进行了补位操作的消息后面；最后整个消息按顺序分成一个个1024比特的消息分组数据块M₁，M₂，...，M_t，用t表示消息整形后的最终分组数目；每组消息M_i可用32个整数级联表示，M_i＝m(1)||m(2)||...||m(32)||，每个m(j)(j＝1，2，...，32)都是属于[0，2³²)区间上的整数。

3.根据权利要求1所述的基于耦合混沌系统的带密钥的散列方法，其特征在于所述的步骤A2密钥扩展是把256比特的密钥K扩展成1024比特的子密钥；密钥K为256比特，用8个整数级联表示，K＝ k(1)||k(2)||...||k(8)||，每一个k(j)都是一个属于[0，2³²)区间上的整数；经过扩展变换得到总长为1024比特的子密钥，子密钥用32个整数来表示，ka(1)，ka(2)，...，ka(32)，每一个ka(j)都是一个属于[0，2³²)区间上的整数。

4.根据权利要求3所述的密钥扩展，其具体实施步骤是：

步骤1：输入密钥值K，得到8个整数kk(j)，即kk(j)＝k(j)，j＝1，2，...，8；

步骤2：把8个整数kk(j)扩展成16个整数kk(j)，即

$\mathrm{kk}\left(j\right)=\mathrm{kk}(j-8)+(\mathrm{kk}(j-8)>>>12)\&CirclePlus;(\mathrm{kk}(j-5)>>>11)+(\mathrm{kk}(j-3)<<<11),$ j＝9，10，...，16操作是按比特位异或，操作+是模2³²加法，操作x＞＞＞(＜＜＜)y表示对x右(左)循环移位y比特；

步骤3：把扩展得到的16个整数kk(j)再压缩为新的8个整数kk(j)，即

kk(j)＝kk(j+8)+kk(9-j)，j＝1，2，...，8

重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝1，2，...，8；再重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝9，10，...，16；继续重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝17，18，...，24；最后重复执行步骤2和步骤3三次，输出8个整数kk(j)，j＝1，2，...，8，作为子密钥ka(j)，j＝25，26，...，32；总计输出了总长为1024比特的子密钥，即ka(j)，j＝1，2，...，32。

5.根据权利要求1所述的基于耦合混沌系统的带密钥的散列方法，其特征在于所述的步骤A3参数生成是由输入的分组消息M_i和扩展子密钥ka(j)，产生一维耦合映射系统的两组参数，具体方法如下：

A3.1)第一组参数，通过线性变换可以把第i个消息分组M_i转化为32个双精度实数b_i，j，i＝1，2，3，4，j＝1，2，...，8，即

b_i，j＝2.0+m((i-1)*8+j)/2³¹，i＝1，2，3，j＝1，2，...，8；

b_4，j＝m(24+j)/2³²，j＝1，2，...，8

A3.2)第二组参数，扩展得到的子密钥ka(j)与输入的消息分组M_i混合后，转化为另外一组32个双精度实数a_i，j，i＝1，2，3，4，j＝1，2，...，8，即

$a_{i,j}=2.0+[\mathrm{ka}((i-1)*8+j)\&CirclePlus;(m((i-1)*8+j)>>>8)]/2^{31},$ i＝1，2，3，j＝1，2，...，8

$a_{4,j}=[\mathrm{ka}(24+j)\&CirclePlus;(m(24+j)>>>8)]/2^{32},$ j＝1，2，...，8

其中操作

是按比特位异或，操作x＞＞＞y表示对x右循环移位y比特。

6.根据权利要求1所述的基于耦合混沌系统的带密钥的散列方法，其特征在于所述的步骤A4压缩过程是把输入的1024比特消息压缩，输出256比特，所述方法包括一维迭代耦合映射系统和非线性变换过程：

A4.1)一维迭代耦合映射系统，其动力学系统表示为：

x_n+1(j)＝f₁(a_1，j，x_n(j))+f₁(a_2，j+1，x_n(j+1))+f₁(a_3，j-1，x_n(j-1))

                                                                    (1)

+f₂(a_4，j+4，x_n(j+4))+c_j mod1，j＝1，2，...，8

x_n+2(j)＝f₁(b_1，j，x_n+1(j))+f₁(b_2，j+1，x_n+1(j+1))+f₁(b_3，j-1，x_n+1(j-1))

                                                                    (2)

+f₂(b_4，j+4，x_n+1(j+4))+c_j mod1，j＝1，2，...，8

其中n为离散时间迭代步数，j为格点坐标，格点长度为8，使用周期边界条件；f₁(a，x)＝ax(1-x)是逻辑斯蒂映射，当a＞3.57时，逻辑斯蒂映射是混沌的；f₂(a，x)是分段线性映射，具体表示为

c₁＝0.1，c₂＝0.2，对于其他格点j，c_j＝0；参数a_i，j和b_i，j(i＝1，2，3，4，j＝1，2，...，8)由步骤A3得到；依次执行式(1)、(2)r次得到输出变量x_2r(j)，j＝1，2，...，8；当迭代次数不等于4和8次，即r≠4和r≠8时，输出变量x_2r(j)直接反馈执行(1)、(2)迭代操作，当迭代次数等于4和8次，即r＝4和r＝8时，输出变量x_2r(j)执行下述A4.2非线性变换；

所述的一维迭代耦合映射系统，进一步包括以下两种情况：

A4.1.1)对于第一个消息分组M₁，式(1)、(2)的初始值定义为：

x₀(j)＝h₀(j)/2³²，j＝1，2，...，8

其中h₀(j)是在步骤A1.1中散列双方约定的初始变量H₀，即H₀＝h₀(1)||h₀(2)||...||h₀(8)||；

A4.1.2)对于第i个消息分组M_i，式(1)、(2)的初始值定义为：

x₀(j)＝h_i-1(j)/2³²，j＝1，2，...，8，i＝1，2，...，t

其中h_i-1(j)是对第(i-1)个消息分组M_i-1压缩(函数)方法计算输出的中间变量H_i-1，即H_i-1＝h_i-1(1)||h_i-1(2)||...||h_i-1(8)||，每个h_i-1(j)都是一个属于[0，2³²)区间上的整数；

A4.2)非线性变换，是把上述步骤A4.1中的模拟信号x_2r(j)进行两次非线性变换，所述的非线性变换的过程，进一步包括：

A4.2.1)对于第4次迭代，即r＝4时，依据以下公式对输出变量x_2r(j)进行非线性操作：

x_2r(j)＝(x_2r(j)×2⁵⁰ mod2³²)/2³²，j＝1，2，...，8

所述上式首先把双精度实数x_2r(j)放大2⁵⁰倍，然后取模2³²，得到32比特长的整数(模数转换)，最后再转化为双精度实数；

A4.2.2)对于第8次迭代，即r＝8时，依据以下公式对其进行非线性操作，并得到中间变量H_i＝h_i(1)||h_i(2)||...||h_i(8)||：

h_i(j)＝x_2r(j)×2⁵⁰ mod2³²，j＝1，2，...，8，i＝1，2，...，t

所述上式首先把双精度实数x_2r(j)放大2⁵⁰倍，然后取模2³²，得到32比特长的整数h_i(j)。

7.根据权利要求1所述的基于耦合混沌系统的带密钥的散列方法，其特征在于所述的步骤A5输出散列值包括依次处理所有消息分组和散列值输出变换两个过程：

A5.1)依次处理所有消息分组，是对所有分组M₁，M₂，...，M_t按分组顺序重复执行步骤A3、A4，直到最后一个消息分组M_t处理结束，得到H_t＝h_t(1)||h_t(2)||...||h_t(8)||，每一个h_t(j)，j＝1，2，...，8，都是一个属于[0，2³²)区间上的整数；

A5.2)通过输出变换得到最终的散列值，所述输出变换的过程是把256比特的密钥K与256比特的H_t模2³²加后，按顺序如下输出：

h(K，M)＝K+H_t＝k(1)+h_t(1)||k(2)+h_t(2)||...||k(8)+h_t(8)||

其中操作+是模2³²加法。

Images