快速實現(xiàn)SHA-1算法的硬件結(jié)構(gòu)

摘要：安全散列算法是數(shù)字簽名等密碼學(xué)應(yīng)用中重要的工具。目前最常用的安全散列算法是SHA-1算法，它被廣泛地應(yīng)用于電子商務(wù)等信息安全領(lǐng)域。為了滿足應(yīng)用對安全散列算法計算速度的需要，該文提出了一種快速計算SHA-1算法的硬件結(jié)構(gòu)。該方法通過改變硬件結(jié)構(gòu)、引入中間變量，達到縮短關(guān)鍵路徑的目的，進而提高計算速度。這種硬件結(jié)構(gòu)在0.18Lm工藝下的ASIC實現(xiàn)可以達到3.9Gb/s的數(shù)據(jù)吞吐量，是改進前的兩倍以上;它在FPGA上實現(xiàn)的性能也接近目前SHA-1算法商用IP核的兩倍。

關(guān)鍵詞：集成電路設(shè)計;安全散列算法(SHA-1);關(guān)鍵路徑;硬件結(jié)構(gòu)

單向散列函數(shù)是密碼學(xué)中一種重要的工具，它可以將一個較長的位串映射成一個較短的位串，同時它的逆函數(shù)很難求解。許多安全技術(shù)中都會用到單向散列函數(shù)的這種特殊性質(zhì)，比如數(shù)字簽名、密碼保護、消息鑒別等。鑒于單向散列函數(shù)在密碼系統(tǒng)中的重要地位，密碼學(xué)家們設(shè)計了各種各樣的安全散列函數(shù)。目前最常用的散列函數(shù)是NIST于1995年頒布的安全散列算法SHA-1。

SHA-1算法和之前的MD4、MD5等安全散列算法原理很接近，但是安全性更好。它可以通過一系列的迭代計算把任意長度的比特串壓縮成長度為160bit的位串。而且一般認為它的這個計算過程在密碼學(xué)意義上是單向的，也就是說很難找到兩個不同的位串可以壓縮成相同的160bit。到目前為止，還沒有對SHA-1有效的攻擊方法。

由于SHA-1算法的良好特性，它被廣泛使用在諸如電子商務(wù)這樣的現(xiàn)代安全領(lǐng)域，尤其是被大量應(yīng)用于公鑰密碼系統(tǒng)的數(shù)字簽名中。目前幾乎所有相關(guān)密碼協(xié)議、標準或者系統(tǒng)中，都包括了SHA-1算法，其中比較著名的有SSL、IPSec和PKCS。在這些場合下，能否快速計算出消息的散列值直接影響到整個系統(tǒng)的處理能力。但是，由于SHA-1算法本身是一個很復(fù)雜的算法，計算量也較大，加上每次迭代都需要依賴上次的計算結(jié)果，因此不論是硬件還是軟件實現(xiàn)，計算速度都很有限，這大大限制了算法的適用場合。

本文提出一種新的硬件實現(xiàn)方法，通過改變迭代結(jié)構(gòu)，達到縮短關(guān)鍵路徑的目的，進而提高SHA-1的計算速度。

SHA-1算法

算法描述

SHA-1算法能夠?qū)⑷我忾L的輸入壓縮成160bit的輸出。但是，SHA-1算法中的基本迭代只能處理512bit的數(shù)據(jù)塊，因此為了處理任意長度的數(shù)據(jù)，首先需要將輸入的消息每512bit分成一塊，并且將最后一塊不足512bit的消息按一定規(guī)則補齊。(限于篇幅，SHA-1算法的詳細描述見文[1]，下面是算法進一步的簡單描述。)

分塊之后就可以對每塊消息按下述方法依次進行處理。

1)在5個中間變量H0、H1、H2、H3和H4中置入特定初值。

2)對每塊消息依次執(zhí)行步驟a)到e)

a)將512bit的消息塊分成16個32bit的字W0，W1，…，W15;

b)For t=16 to 79l etWt=S1(W t-3W t-8

W t-14

W t-16);

c)LetA=H0，B=H1，C=H2，D=H3，E=H4;

d)For t=0 to 79 do

i)teMP=S 5 (A)+f t(B，C，D)+E+Wt+Kt;

ii)E=D;D=C;C=S30(B);B=A;A=TEMP;

e)LetH0=H0+A，H1=H1+B，H2=H2+C，H3=H3+D，H4=H4+E。

所有消息塊處理完后得到的5個32bit變量H0到H4構(gòu)成了160bit的數(shù)據(jù)，這就是SHA-1算法輸出的散列值。

算法中使用了一些簡單的邏輯函數(shù)和常數(shù)，其中函數(shù)ft()和常數(shù)Kt分別為

算法中S1(*)、S5(*)和S30(*)分別表示按位循環(huán)左移1bit、5bit和30bit。算子“∧”、“∨”、“”和“+”分別表示按位“與”、按位“或”、按位“異或”以及32bit整數(shù)加法。