Utilizzo di AES per i controlli di integrità dei file, sostituzione di MD5

Question

Prima di tutto: so che AES è un codice a blocchi e non una funzione di hashing. Tuttavia, sono bloccato con un microcontroller con poca RAM e memoria flash, e AES-128 è già implementato su di esso e utilizzato per lo scopo previsto - la crittografia.

Sfortunatamente, dovrò anche implementare una funzione di hashing per i controlli di integrità dei file sullo stesso microcontrollore. Date le risorse limitate, mi chiedevo se sarebbe stato possibile utilizzare l'algoritmo AES esistente invece di MD5 per l'hashing. Una possibilità per farlo potrebbe essere:

1. crittografare il primo blocco del file utilizzando una chiave fittizia (come tutti gli zeri per esempio)
2. Encrypt il blocco successivo con il blocco cifrato precedente come chiave
3. continuare in questo modo fino a quando tutti i dati del file è stato elaborato
4. Usa l'ultimo blocco cifrato come l'hash

in teoria, credo che questo dovrebbe funzionare. Se ci sono dati corrotti ovunque nel file, ciò porterebbe a differenze in tutti i blocchi successivi.

Ora, la grande domanda è: quanto bene questo metodo si comporterebbe in termini di collisioni? O per dirla diversamente: come sarebbe distribuito l'ultimo "hash"?

Answer 1

Sembra che tu voglia utilizzare AES-CMAC, un algoritmo di autenticazione basato su AES.

Answer 2

Più enfaticamente sì è possibile eseguire una funzione hash da AES. In effetti, un numero di richieste per il concorso NIST SHA3, che deciderà sulla prossima funzione di hash approvata dal governo degli Stati Uniti, fare exactly that.

Una funzione di hash tradizionale è solo uno cascaded compression function ed è facile da construct compression functions from block cyphers. (Alcune persone sono anche andate dall'altra parte e hanno utilizzato il block cypher out of SHA-2 per l'uso indipendente.)

È possibile, ovviamente, creare una funzione di hash corretta, ma se tutto ciò che serve è l'integrità del file, e quindi non bisogno di avere pre-resistenza, resistenza alle collisioni o tutte quelle altre proprietà che gli hash crittografici hanno contro avversari malevoli, quindi probabilmente puoi anche solo mettere il tuo chip AES in qualsiasi modalità di concatenamento che ha, alimentando il file come messaggio e utilizzare l'ultimo blocco come hash. (Basta scegliere valori fissi da usare per la chiave e IV. Nothing up my sleeve numbers che sembrano casuali ma non sono probabilmente buone scelte, come i primi 128 bit dopo il punto decimale in e e pi.)

Answer 3

L'algoritmo proposto non hanno una seconda resistenza pre-immagine (che implica anche che non ha resistenza di collisione), quindi non è un hash crittograficamente forte.

Se ho un messaggio P0 P1 P2 che hash per H, allora posso facilmente costruire un secondo messaggio Q0 Q1 Q2 QX che hash anche per H - scelgo Q0 Q1 Q2 arbitrariamente, quindi calcolare QX da decifrareH con l'apposita chiave (la crittografia di Q2).