Tiêu chuẩn quốc gia TCVN 11495-2:2016 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 9797-2:2011) quy định về các kỹ thuật an toàn trong công nghệ thông tin, tập trung vào các cơ chế Mã xác thực thông điệp (MAC) sử dụng hàm băm chuyên dụng. Dưới đây là tóm tắt chi tiết và chuyên sâu về các thuật toán, cơ chế vận hành, hiệu suất và phân tích độ an toàn được quy định trong tiêu chuẩn này.

1. Thuật toán MAC 1: Cơ chế hoạt động và tính toán hằng số

Thuật toán MAC 1 sử dụng hàm băm chuyên dụng đã được sửa đổi để tính toán mã xác thực thông điệp. Quy trình chi tiết bao gồm các bước cốt lõi sau:

• Bước 3 (Phép băm): Chuỗi đầu vào cho hàm băm đã sửa đổi h' chính là chuỗi dữ liệu đầu vào D. Kết quả thu được ký hiệu là H' := h'(D). Trong đó, giá trị khởi đầu IV của hàm băm được thay thế bằng IV' := K0, và hàm vòng kết quả được ký hiệu là ϕ'.
• Bước 4 (Biến đổi đầu ra): Hàm vòng sửa đổi ϕ' được áp dụng thêm một lần nữa. Đầu vào thứ nhất là chuỗi KT và đầu vào thứ hai là chuỗi H' (kết quả từ Bước 3), tức là H'' := ϕ'(KT, H'). Công thức xác định KT khác nhau tùy thuộc vào loại hàm băm chuyên dụng:
  • Đối với các Hàm băm Chuyên dụng 1, 2, 3, 4 và 8: KT = K2 || (K2 Å T0) || (K2 Å T1) || (K2 Å T2).
  • Đối với các Hàm băm Chuyên dụng 5 và 6: KT = K2 || (K2 Å T0) || (K2 Å T1) || (K2 Å T2) || K2 || (K2 Å T0) || (K2 Å T1) || (K2 Å T2).
  • Trong đó, T0, T1, T2 là các chuỗi 128-bit được định nghĩa riêng cho từng hàm băm chuyên dụng. Biến đổi đầu ra tương ứng với việc xử lý khối dữ liệu bổ sung được dẫn xuất từ K2 sau khi đệm và gắn thêm trường độ dài.
• Bước 5 (Cắt ngắn): Giá trị MAC gồm m bit được xác định bằng cách lấy m bit bên trái nhất của chuỗi H'', ký hiệu là MAC := m ~ H''.
• Hiệu suất của Thuật toán MAC 1: Nếu chuỗi dữ liệu đã đệm chứa q khối, thuật toán yêu cầu q + 7 lần áp dụng hàm vòng. Tuy nhiên, hiệu suất có thể được tối ưu hóa xuống còn q + 1 lần áp dụng bằng cách tính toán trước các giá trị K0, K1, K2 và thay thế IV bằng IV' trong quá trình thực thi. Đối với các chuỗi đầu vào dài, hiệu năng của Thuật toán MAC 1 tương đương với hiệu năng của hàm băm gốc.
• Tính toán hằng số (Điều 6.3): Các chuỗi Ti và Ui (với 0 ≤ i ≤ 2) là các phần tử cố định, được tính toán một lần duy nhất cho mỗi hàm băm. Định nghĩa của Ti sử dụng hằng số 496-bit R = "ab...yzAB...YZ1...89" và các hằng số 16-bit S0, S1, S2 (được tạo bằng cách lặp lại 2 lần biểu diễn 8-bit của i dưới dạng mã ASCII theo ISO/IEC 646:1991).
  • Công thức tính Ti cho Hàm băm Chuyên dụng 1, 2, 3, 4 và 8: Ti := 128 ~ (Si || R).
  • Công thức tính Ti cho Hàm băm Chuyên dụng 5 và 6: Ti := 128 ~ (Si || R || 0512), với 0512 là chuỗi gồm 512 bit '0'.
  • Công thức tính Ui: Ui := Ti || Ti+1 || Ti+2 || Ti || Ti+1 || Ti+2 (chỉ số dưới của Ti lấy theo modulo 3).

2. Quy định hằng số cho từng Hàm băm Chuyên dụng trong MAC 1

Tiêu chuẩn quy định chi tiết các hằng số Ti và dãy từ hằng số Ci cho từng hàm băm chuyên dụng cụ thể:

• Hàm băm Chuyên dụng 1 (RIPEMD-160): Định nghĩa các chuỗi hằng số 128-bit T0, T1, T2 cụ thể bằng hệ hexa. Hai dãy từ hằng số Ci và C'i (0 ≤ i ≤ 79) được xác định bằng phép toán XOR (ký hiệu ψ) giữa các phần của khóa K1 và các hằng số hexa cố định (ví dụ: 5A827999, 6ED9EBA1, 8F1BBCDC, A953FD4E, v.v.).
• Hàm băm Chuyên dụng 2 (RIPEMD-128): Định nghĩa các chuỗi hằng số T0, T1, T2 và hai dãy từ hằng số Ci và C'i (0 ≤ i ≤ 63) tương tự như RIPEMD-160 nhưng được điều chỉnh phù hợp với cấu trúc 128-bit.
• Hàm băm Chuyên dụng 3 (SHA-1): Định nghĩa các chuỗi hằng số T0, T1, T2 và dãy từ hằng số Ci (0 ≤ i ≤ 79) sử dụng các hằng số đặc trưng của SHA-1 như 5A827999, 6ED9EBA1, 8F1BBCDC, CA62C1D6 kết hợp XOR với các phần của khóa K1.
• Hàm băm Chuyên dụng 4 (SHA-256) & Hàm băm Chuyên dụng 8 (SHA-224): Các chuỗi Ti được tính dựa trên phiên bản đơn giản hóa của hàm băm. Dãy hằng số Ci (0 ≤ i ≤ 63) được định nghĩa là Ci = K1[i mod 8] ψ Wi, trong đó Wi là 32 bit đầu tiên của phần thập phân của các căn bậc 3 của 64 số nguyên tố đầu tiên.
• Hàm băm Chuyên dụng 5 (SHA-512) & Hàm băm Chuyên dụng 6 (SHA-384): Dãy hằng số Ci (0 ≤ i ≤ 79) được định nghĩa là Ci = K1[i mod 4] ψ Wi, trong đó Wi là 64 bit đầu tiên của phần thập phân của các căn bậc 3 của 80 số nguyên tố đầu tiên.

3. Thuật toán MAC 2 (Cơ chế HMAC)

Thuật toán MAC 2 (tương ứng với cơ chế HMAC tiêu chuẩn) yêu cầu hai lần áp dụng một hàm băm để tính toán giá trị MAC. Hàm băm được chọn từ tiêu chuẩn ISO/IEC 10118-3, yêu cầu kích thước khối đầu vào hàm vòng L1 là bội số dương của 8 và kích thước mã băm L2 thỏa mãn L2 ≤ L1. Kích thước khóa k (tính bằng bit) phải nằm trong khoảng L2 ≤ k ≤ L1.

Quy trình thực hiện gồm 4 bước chi tiết:

• Bước 1 (Mở rộng khóa): Gắn thêm (L1 - k) bit 0 vào bên phải khóa K để thu được chuỗi K' có độ dài L1. Sau đó, tạo ra hai khóa con K_I và K_O bằng phép toán XOR với các chuỗi đệm cố định:
  • K_I := K' Å IPAD (với IPAD là chuỗi lặp lại L1/8 lần của giá trị hexa '36' hoặc giá trị nhị phân '00110110').
  • K_O := K' Å OPAD (với OPAD là chuỗi lặp lại L1/8 lần của giá trị hexa '5C' hoặc giá trị nhị phân '01011100').
• Bước 2 (Phép toán băm): Tính giá trị băm trung gian H' bằng cách ghép nối khóa con trong K_I với chuỗi dữ liệu D: H' := h(K_I || D).
• Bước 3 (Biến đổi đầu ra): Tính giá trị băm cuối cùng H'' bằng cách ghép nối khóa con ngoài K_O với kết quả trung gian H': H'' := h(K_O || H').
• Bước 4 (Cắt ngắn): Lấy m bit bên trái nhất của chuỗi H'' để làm giá trị MAC: MAC := m ~ H''.
• Hiệu suất và tối ưu hóa: Thông thường, Thuật toán MAC 2 yêu cầu q + 3 lần áp dụng hàm vòng (với q là số khối dữ liệu đã đệm). Tuy nhiên, bằng cách tính toán trước các giá trị khởi đầu IV1 := ϕ(K_I, IV) và IV2 := ϕ(K_O, IV), số lần áp dụng hàm vòng có thể giảm xuống còn q + 1. Việc này đòi hỏi sửa đổi mã nguồn của hàm vòng và phương pháp đệm dữ liệu.

4. Thuật toán MAC 3: Tối ưu hóa cho dữ liệu đầu vào ngắn

Thuật toán MAC 3 là một biến thể của Thuật toán MAC 1, được thiết kế tối ưu cho các chuỗi dữ liệu đầu vào ngắn (tối đa 256 bit). Thuật toán giới hạn kích thước khóa k tối đa là 128 bit và độ dài MAC m tối đa bằng LH/2 (một nửa kích thước đầu ra của hàm băm).

Quy trình thực hiện gồm 5 bước chi tiết:

• Bước 1 (Mở rộng khóa): Nếu khóa K ngắn hơn 128 bit, thực hiện ghép nối tuần hoàn K vào chính nó để lấy 128 bit trái nhất tạo thành K'. Sau đó, tính toán các khóa con K0, K1, K2 bằng cách sử dụng các hằng số U0, U1, U2:
  • K0 := h'(K' || U0 || K')
  • K1 := 128 ~ (K' || U1 || K') đối với Hàm băm Chuyên dụng 1, 2, 3.
  • K1 := 256 ~ (K' || U1 || K') đối với Hàm băm Chuyên dụng 4, 5, 6, 8.
  • K2 := 128 ~ (K' || U2 || K')
  • Khóa dẫn xuất K1 sau đó được phân tách thành các từ K1[i] (4 từ đối với Hàm băm 1, 2, 3, 5, 6 và 8 từ đối với Hàm băm 4, 8) tuân theo quy ước thứ tự byte của từng tiêu chuẩn hàm băm tương ứng.
• Bước 2 (Sửa đổi các hằng số và IV): Các hằng số cộng trong hàm vòng được sửa đổi bằng cách cộng modulo 2^w với một từ của K1 (ví dụ: C0 := C0 ψ K1[0]). Giá trị khởi đầu IV được thay thế bằng IV' := K0.
• Bước 3 (Đệm dữ liệu): Chuỗi dữ liệu D được đệm thêm các bit '0' vào phía bên phải để đạt độ dài chính xác là 256 bit. Các bit đệm này chỉ dùng để tính toán MAC và không cần truyền đi hoặc lưu trữ cùng dữ liệu gốc.
• Bước 4 (Áp dụng hàm vòng): Xác định chuỗi bit LD_bar là biểu diễn nhị phân 128-bit của độ dài dữ liệu gốc LD. Đầu vào của hàm vòng ϕ' là sự kết hợp của K2, LD_bar và kết quả XOR giữa K2 và LD_bar:
  • Đối với Hàm băm Chuyên dụng 1, 2, 3, 4 và 8: H := ϕ'(K2 || LD_bar || (K2 Å LD_bar), IV).
  • Đối với Hàm băm Chuyên dụng 5 và 6: H := ϕ'(K2 || LD_bar || (K2 Å LD_bar) || K2 || LD_bar || (K2 Å LD_bar), IV).
• Bước 5 (Cắt ngắn): Giá trị MAC m bit được rút ra từ m bit trái nhất của chuỗi H': MAC := m ~ H'.
• Hiệu suất: Thuật toán MAC 3 yêu cầu 7 lần áp dụng hàm vòng đơn giản hóa, nhưng có thể tối ưu hóa xuống còn duy nhất 1 lần áp dụng bằng cách tính toán trước các giá trị K0, K1, K2.

5. Phân tích độ an toàn của các Thuật toán MAC (Phụ lục C)

Phụ lục C cung cấp các phân tích chuyên sâu về mức độ an toàn của các thuật toán MAC nhằm hỗ trợ người dùng lựa chọn tham số phù hợp. Hai chiến lược tấn công chính được xem xét bao gồm:

• Tấn công giả mạo (Forgery attack): Đối phương cố gắng dự đoán giá trị MAC hợp lệ cho một chuỗi dữ liệu D mà không biết khóa bí mật K.
• Tấn công khôi phục khóa (Key recovery attack): Đối phương tìm cách xác định trực tiếp khóa K từ một số lượng cặp dữ liệu/MAC đã biết. Đây là hình thức tấn công nguy hiểm nhất vì nó cho phép giả mạo mọi thông điệp tùy ý.

Các hình thức tấn công cụ thể và biện pháp phòng ngừa được quy định như sau:

• Đoán MAC (Guessing MAC): Tấn công giả mạo không xác minh được với xác suất thành công là max(1/2^m, 1/2^k). Biện pháp phòng ngừa duy nhất là lựa chọn độ dài khóa k và độ dài MAC m đủ lớn.
• Khôi phục khóa vét cạn (Exhaustive key search): Yêu cầu trung bình 2^(k-1) phép tính toán và khoảng k/m cặp dữ liệu/MAC để xác minh khóa duy nhất. Phòng ngừa bằng cách chọn kích thước khóa k lớn hoặc thay đổi khóa thường xuyên (ví dụ: sử dụng một khóa khác nhau cho mỗi thông điệp).
• Giả mạo ngày sinh (Birthday forgery): Dựa trên việc tìm kiếm va chạm trong (internal collision) giữa hai thông điệp D và D' sao cho chúng tạo ra cùng một giá trị MAC và cùng trạng thái đầu vào của biến đổi đầu ra. Tấn công này yêu cầu khoảng 2^(n/2) chuỗi dữ liệu đã biết và 2^(n-m) chuỗi dữ liệu được lựa chọn. Biện pháp phòng ngừa hiệu quả là thêm một khối chứa số sê-ri (số thứ tự tuần tự) vào trước chuỗi dữ liệu để làm cho việc tính toán MAC phụ thuộc vào trạng thái, đảm bảo mỗi số sê-ri chỉ được sử dụng một lần duy nhất trong suốt vòng đời của khóa.
• Khôi phục khóa đường tắt (Shortcut key recovery): Các tấn công dựa trên va chạm trong để khôi phục khóa. Tiêu chuẩn ghi nhận hiện tại chưa có báo cáo về bất kỳ cuộc tấn công đường tắt thành công nào đối với các thuật toán MAC được mô tả trong văn bản này.

Chứng minh độ an toàn toán học:

• Thuật toán MAC 1: Được chứng minh là an toàn với giả thiết hàm vòng ϕ được nạp khóa bởi giá trị khởi đầu IV và hằng số cộng là một hàm giả ngẫu nhiên (pseudorandom function).
• Thuật toán MAC 2: Được chứng minh là an toàn nếu hàm vòng ϕ được nạp khóa bởi IV là một thuật toán MAC mạnh (đầu ra khó dự đoán).
• Thuật toán MAC 3: Độ an toàn dựa trên các giả thiết tương tự như đối với Thuật toán MAC 1 và MAC 2 trên hàm vòng ϕ.

6. Danh mục cấu trúc tiêu chuẩn (Mục lục hệ thống)

Tiêu chuẩn TCVN 11495-2:2016 được cấu trúc chặt chẽ bao gồm các phần sau:

• Lời nói đầu, Phạm vi áp dụng, Tài liệu viện dẫn, Thuật ngữ và định nghĩa, Ký hiệu và giải thích, Các yêu cầu chung.
• Điều 6: Thuật toán MAC 1 (Mô tả chi tiết 5 bước thực hiện, phân tích hiệu suất và phương pháp tính toán hằng số cho các Hàm băm chuyên dụng từ 1 đến 8).
• Điều 7: Thuật toán MAC 2 (Mô tả chi tiết quy trình mở rộng khóa, phép băm, biến đổi đầu ra, cắt ngắn và phân tích hiệu suất tối ưu hóa).
• Điều 8: Thuật toán MAC 3 (Quy trình 5 bước tối ưu hóa cho dữ liệu ngắn và phân tích hiệu suất).
• Các Phụ lục kèm theo: Phụ lục A (Mô đun ASN.1), Phụ lục B (Các ví dụ thực tế), Phụ lục C (Phân tích chi tiết độ an toàn của các thuật toán MAC) và Thư mục tài liệu tham khảo liên quan.