ГОСТ Р 34.11-2012. Национальный стандарт Российской Федерации. Информационная технология. Криптографическая защита информации. Функция хэширования

(утв. и введен в действие Приказом Росстандарта от 07.08.2012 № 216-ст)

ИСТОРИЯ ИЗМЕНЕНИЙ НОРМАТИВНО-ТЕХНИЧЕСКИХ АКТОВ

flowchart LR
  n0["ГОСТ Р 34.11-94"]:::rst
  click n0 "https://bukva.ai/docs/standart-154" "ГОСТ Р 34.11-94. Государственный стандарт Российской Федерации. Информационная технология. Криптографическая защита информации. Функция хэширования (принят и введен в действие Пост"
  n1["ГОСТ Р 34.11-2012"]:::doc
  click n1 "https://bukva.ai/docs/gost-r-34-11-2012" "ГОСТ Р 34.11-2012. Национальный стандарт Российской Федерации. Информационная технология. Криптографическая защита информации. Функция хэширования (утв. и введен в действие Приказо"
  n0 --> n1
classDef rst fill:#FFEBEB,stroke:#8B0000,color:#000;
classDef doc fill:#EBFFEB,stroke:#006400,color:#000;
classDef notEnt fill:#FFFFEB,stroke:#FF8C00,color:#000;

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Information technology. Cryptographic data security. Hash-function

Предисловие

Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных стандартов Российской Федерации — ГОСТ Р 1.0-2004 «Стандартизация в Российской Федерации. Основные положения».

Сведения о стандарте

1. Разработан Центром защиты информации и специальной связи ФСБ России с участием Открытого акционерного общества «Информационные технологии и коммуникационные системы» (ОАО «ИнфоТеКС»).

2. Внесен Техническим комитетом по стандартизации ТК 26 «Криптографическая защита информации».

3. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 7 августа 2012 г. № 216-ст.

4. Взамен ГОСТ Р 34.11-94.

Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок — в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет.

Введение

Настоящий стандарт содержит описание алгоритма и процедуры вычисления хэш-функции для любой последовательности двоичных символов, которые применяются в криптографических методах защиты информации, в том числе в процессах формирования и проверки электронной цифровой подписи.

Стандарт разработан взамен ГОСТ Р 34.11-94. Необходимость разработки настоящего стандарта вызвана потребностью в создании хэш-функции, соответствующей современным требованиям к криптографической стойкости и требованиям стандарта ГОСТ Р 34.10-2012 к электронной цифровой подписи.

Настоящий стандарт терминологически и концептуально увязан с международными стандартами ИСО 2382-2 [1], ИСО/МЭК 9796 [2 - 3], серии ИСО/МЭК 14888 [4 - 7] и серии ИСО/МЭК 10118 [8 - 11].

Примечание. Основная часть стандарта дополнена одним приложением:

Приложение А (справочное). Контрольные примеры.

1. ОБЛАСТЬ ПРИМЕНЕНИЯ

Настоящий стандарт определяет алгоритм и процедуру вычисления хэш-функции для любой последовательности двоичных символов, которые применяются в криптографических методах обработки и защиты информации, в том числе для реализации процедур обеспечения целостности, аутентичности, электронной цифровой подписи (ЭЦП) при передаче, обработке и хранении информации в автоматизированных системах.

Определенная в настоящем стандарте функция хэширования используется при реализации систем электронной цифровой подписи на базе асимметричного криптографического алгоритма по ГОСТ Р 34.10-2012.

Стандарт рекомендуется использовать при создании, эксплуатации и модернизации систем обработки информации различного назначения.

2. НОРМАТИВНЫЕ ССЫЛКИ

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ Р 34.10-2012 Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи

Примечание. При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства Российской Федерации по техническому регулированию и метрологии в сети Интернет или по ежегодно издаваемому информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по соответствующим ежемесячно издаваемым информационным указателям, опубликованным в текущем году. Если ссылочный стандарт заменен (изменен), то при пользовании настоящим стандартом следует руководствоваться заменяющим (измененным) стандартом. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3. ТЕРМИНЫ, ОПРЕДЕЛЕНИЯ И ОБОЗНАЧЕНИЯ

В настоящем стандарте применены следующие термины с соответствующими определениями.

3.1 Термины и определения

3.1.1.

3.1.2.

3.1.3.

3.1.4.

Примечание. В настоящем стандарте понятия «строка бит длиной L» и «двоичный вектор-строка размерности L» считаются тождественными.

3.1.5.

Примечание. В настоящем стандарте в целях сохранения терминологической преемственности по отношению к действующим отечественным нормативным документам и опубликованным научно-техническим изданиям установлено, что термины «хэш-функция», «криптографическая хэш-функция», «функция хэширования» и «криптографическая функция хэширования» являются синонимами.

Примечание. В настоящем стандарте в целях сохранения терминологической преемственности по отношению к действующим отечественным нормативным документам и опубликованным научно-техническим изданиям установлено, что термины «электронная подпись», «цифровая подпись» и «электронная цифровая подпись» являются синонимами.

3.2 Обозначения

В настоящем стандарте используются следующие обозначения:

V^{*}	множество всех двоичных векторов-строк конечной размерности (далее — векторы), включая пустую строку;
|A|	размерность (число компонент) вектора A \in V^{*} (если A — пустая строка, то |A| = 0);
V_{n}	множество всех n-мерных двоичных векторов, где n — целое неотрицательное число; нумерация подвекторов и компонент вектора осуществляется справа налево, начиная с нуля;
	операция покомпонентного сложения по модулю 2 двух двоичных векторов одинаковой размерности;
A||B	конкатенация векторов A, B \in V^{*} , т.е. вектор из V_{\|A\| + \|B\|} в котором левый подвектор из V_{\|A\|} совпадает с вектором A, а правый подвектор из V_{\|B\|} совпадает с вектором B;
A^{n}	конкатенация n экземпляров вектора A;
\mathbb{Z}_{2^{n}}	кольцо вычетов по модулю 2^{n} ;
	операция сложения в кольце \mathbb{Z}_{2^{n}} ;
Vec_{n}:\mathbb{Z}_{2^{n}} \rightarrow V_{n}	биективное отображение, сопоставляющее элементу кольца \mathbb{Z}_{2^{n}} его двоичное представление, т.е. для любого элемента z кольца \mathbb{Z}_{2^{n}} , представленного вычетом z_{0} + 2z_{1} + ... + 2^{n - 1}z_{n - 1} , где {}_{z_{i} \in}{_{0,1}} , j = 0, ..., n — 1, выполнено равенство Vec_{n}(z) = z_{n - 1}\|\|...\|\|z_{1}\|\|z_{0} ;
Int_{n}:V_{n} \rightarrow \mathbb{Z}_{2^{n}}	отображение, обратное отображению Vec_{n} , т.е. Int_{n} = Vec_{n}^{- 1} ;
MSB_{n}:V^{*} \rightarrow V_{n}	отображение, ставящее в соответствие вектору z_{k - 1}\|\|...\|\|z_{1}\|\|z_{0} , k >= n, вектор z_{k - 1}\|\|...\|\|z_{k - n + 1}\|\|z_{k - n} ;
a: = b	операция присваивания переменной a значения b;
\Phi\Psi	произведение отображений, при котором отображение \Psi действует первым;
M	двоичный вектор, подлежащий хэшированию, M \in V^{*} , \|M\|<2^{512} ;
H:V^{*} \rightarrow V_{n}	функция хэширования, отображающая вектор (сообщение) M в вектор (хэш-код) H(M);
IV	инициализационный вектор функции хэширования, IV \in V_{512} .

4. ОБЩИЕ ПОЛОЖЕНИЯ

5. ЗНАЧЕНИЯ ПАРАМЕТРОВ

5.1 Инициализационные векторы

5.2 Нелинейное биективное преобразование множества двоичных векторов

где \pi':\mathbb{Z}_{2^{8}} \rightarrow \mathbb{Z}_{2^{8}} .

5.3 Перестановка байт

Значения перестановки \tau , заданной на множестве {0, ..., 63}, записаны ниже в виде массива \tau = (\tau(0),\tau(1),...,\tau(63)) :

5.4 Линейное преобразование множества двоичных векторов

Линейное преобразование l множества двоичных векторов V_{64} задается умножением справа на матрицу A над полем GF(2), строки которой записаны ниже последовательно в шестнадцатеричном виде. Строка матрицы с номером j, j = 0, ..., 63, записанная в виде a_{j,15}...a_{j,0} , где a_{j,i} \in \mathbb{Z}_{16} , i = 0, ..., 15, есть Vec_{4}(a_{j,15})||...||Vec_{4}(a_{j,0}) .

Здесь в одной строке записаны четыре строки матрицы A, при этом в строке с номером i, i = 0, ..., 15, записаны строки матрицы A с номерами 4i + j, j = 0, ..., 3, в следующем порядке (слева направо):

Результат умножения вектора b = b_{63}...b_{0} \in V_{64} на матрицу A есть вектор c \in V_{64} :

c = b_{63}(Vec_{4}(a_{0,15})||...||Vec_{4}(a_{0,0}))...b_{0}(Vec_{4}(a_{63,15})||...||Vec_{4}(a_{63,0})),(2)

для всех i = 0, ..., 63.

5.5 Итерационные константы

Итерационные константы записаны в шестнадцатеричном виде. Значение константы, записанное в виде a_{127}...a_{0} , где a_{i} \in \mathbb{Z}_{16} , i = 0, ..., 127, есть Vec_{4}(a_{127})||...||Vec_{4}(a_{0}) :

6. ПРЕОБРАЗОВАНИЯ

При вычислении хэш-кода H(M) сообщения M \in V^{*} используются следующие преобразования:

где a = a_{63}||...||a_{0} \in V_{512} , a_{i} \in V_{8} , i = 0, ..., 63;

P:V_{512} \rightarrow V_{512} , P(a) = P(a_{63}||...||a_{0}) = a_{\tau(63)}||...||a_{\tau(0)},(5)

L:V_{512} \rightarrow V_{512} , L(a) = L(a_{7}||...||a_{0}) = l(a_{7})||...||l(a_{0}),(6)

где a = a_{7}||...||a_{0} \in V_{512} , a_{i} \in V_{64} , i = 0, ..., 7.

7. ФУНКЦИЯ СЖАТИЯ

Значение хэш-кода сообщения M \in V^{*} вычисляется с использованием итерационной процедуры. На каждой итерации вычисления хэш-кода используется функция сжатия:

значение которой вычисляется по формуле

g_{N}(h,m) = E(LSP(hN),m)hm,(8)

где $E(K,m) = X[K_{13}]LPSX[K_{12}]...LPSX[K_{2}]LPSXK_{1}$ .

K_{1} = K;(9)

Для краткости вместо g_{0^{512}} будем использовать обозначение g_{0} .

8. ПРОЦЕДУРА ВЫЧИСЛЕНИЯ ХЭШ-ФУНКЦИИ

Исходными данными для процедуры вычисления хэш-кода H(M) является подлежащее хэшированию сообщение M \in V^{*} и IV \in V_{512} - \text{инициализаторный вектор} .

8.1 Этап 1

1.1. h := IV,

1.3. \sum : = 0^{512} \in V_{512} ;

1.4 Перейти к этапу 2.

8.2 Этап 2

2.1 Проверить условие |M| < 512.

При положительном исходе перейти к этапу 3.

В противном случае выполнить последовательность вычислений по 2.2 - 2.7.

2.2 Вычислить подвектор m \in V_{512} сообщения M: M = M'||m. Далее выполнить последовательность вычислений:

2.3. h: = g_{N}(h,m) .

2.5. \sum : = Vec_{512}(Int_{512}(\sum)(Int_{512}(m)) .

2.6 M := M'.

2.7 Перейти к шагу 2.1.

8.3 Этап 3

3.2. h:g_{N}(h,m) .

3.3. N: = Vec_{512}(Int_{512}(N)(|M|) .

3.4. \sum : = Vec_{512}(Int_{512}(\sum)(Int_{512}(m)) .

3.5. h:g_{0}(h,N) .

3.7 Конец работы алгоритма

Значение величины h, полученное на шаге 3.6, является значением функции хэширования H(M).

Приложение А (справочное)

Данное Приложение носит справочный характер и не является частью настоящего стандарта.

Векторы из V^{*} записываются в шестнадцатеричном виде. Вектор A \in V_{4n} , записанный в виде a_{n - 1}...a_{0} , где a_{i} \in \mathbb{Z}_{16} , i = 0, ..., n — 1, есть Vec_{4}(a_{n - 1})||...||Vec_{4}(a_{0}) .

А.1. Пример 1

А.1.1. Для функции хэширования с длиной хэш-кода 512 бит

h: = IV = 0^{512};

N: = 0^{512};

\sum : = 0^{512}.

Длина сообщения |M_{1}| = 504<512 , поэтому происходит заполнение неполного блока:

73635343332313039383736353433323130393837363534333

2313039383736353433323130.

Вычисляется значение K: = LPS(hN) = LPS(0^{512}) .

после преобразования P:

Затем выполняется преобразование E (K, m):

Итерация 2

Итерация 4

Итерация 6

Итерация 8

Итерация 10

Итерация 12

Итерация 13

d905fee4736b3bdae2.

Изменяются значения переменных № и \sum :

000000000000000001f8,

Результат выполнения преобразования g_{0}(h,N) :

662d34501a8901a5de7771d7c.

a7b76f830ad00fa1fbae42b1285c0352f227524bc9ab16254288dd6863

А.1.2. Для функции хэширования с длиной хэш-кода 256 бит

после преобразования P:

Итерация 12

Результат выполнения преобразования g_{N}(h,m) :

25794178570341096fdc7.

Изменяются значения переменных № и \sum :

Результат выполнения преобразования g_{0}(h,N) :

h = 70f22bada4cfe18a6a56ec4b3f328cd40db8e1bf8a9d5f711d5 efab11191279d715aab7648d07eddbf87dc79c80516e6ffcbcf5678 b0ac29ea00fa85c8173cc6.

Результат выполнения преобразования g_{0}(h, \sum) :

h = 00557be5e584fd52a449b16b0251d05d27f94ab76cbaa6da890b59 d8ef1e159d2088e482e2acf564e0e9795a51e4dd261f3f667985a2 fcc40ac8631faca1709a.

Пусть необходимо вычислить хэш-код сообщения

h: = IV = 0^{512};

N: = 0^{512};

\sum : = 0^{512}.

Длина сообщения |M_{2}| = 576>512 , поэтому сначала преобразуется часть сообщения

fff0eeec20f120faf2fee5e2202ce8f6f3ede220e8e6eee1e8f0f2d

После преобразования S:

после преобразования L:

Результат выполнения преобразования g_{N}(h,m) :

e2cea852e816cdac407c7af.

Изменяются значения переменных № и \sum :

00000000000000000200,

Длина оставшейся части сообщения меньше 512, поэтому происходит заполнение неполного блока.

1fbe2e5f0eee3c820.

Результат выполнения преобразования g_{N}(h,m) :

07818095f1df70661e8b84d0706811cf92dffb8f96e61493 dc382795c6ed7a17b64685902cbdc878e.

Изменяются значения переменных № и \sum :

0000000000000240,

Результат выполнения преобразования g_{0}(h,N) :

f2b5df14bf83997a0b1ad8d.

Результат выполнения преобразования g_{0}(h, \sum) :

f2f194996fcabf2622e6881e.

Хэш-кодом сообщения M_{2} является значение:

А.2.2. Для функции хэширования с длиной хэш-кода 256 бит

Присваиваются значения:

\sum : = 0^{512}.

Длина сообщения |M_{2}| = 576>512 , поэтому сначала преобразуется часть сообщения

d1202ce8f0f2e5e220e5d1.

Вычисляется значение K: = LPS(hN) = LPS((00000001)^{64}) .

После преобразования S:

Затем выполняется преобразование E (K, m):

Итерация 1

Итерация 2

Итерация 3

Итерация 4

Итерация 5

Итерация 6

Итерация 7

Итерация 8

Итерация 9

Итерация 10

Итерация 11

Итерация 12

Итерация 13

Результат выполнения преобразования g_{N}(h,m) :

fefaf176b69c15ad8f2b6878.

Изменяются значения переменных № и \sum :

0000000000000000000200,

Длина оставшейся части сообщения меньше 512, поэтому происходит заполнение неполного блока:

0001fbe2e5f0eee3c820.

Результат выполнения преобразования g_{N}(h,m) :

fcc53c41b4ebf4991a617227.

Изменяются значения переменных № и \sum :

00000000000000000240,

Результат выполнения преобразования g_{0}(h,N) :

ffcd5cf99bd61566b4818.

Результат выполнения преобразования g_{0}(h, \sum) :

9578471fb2598cb35c230.

Хэш-кодом сообщения M_{2} является значение:

H(M_{2}) = 508f7e553c06501d749a66fc28c6cac0b005746d97537fa85d9e40904efed29d.

<*> Оригиналы международных стандартов ИСО/МЭК находятся во ФГУП «Стандартинформ» Федерального агентства по техническому регулированию и метрологии.

1. ИСО 2382-2:1976 Системы обработки информации. (ISO 2382-2:1976) Словарь. Часть 2. Арифметические и логические операции (Data processing

• Vocabulary — Part 2: Arithmetic and logic operations)

2. ИСО/МЭК 9796-2:2010 Информационные технологии. Методы

   (ISO/IEC 9796-2:2010)         обеспечения    безопасности.   Схемы
   цифровой   подписи,   обеспечивающие
   восстановление  сообщений.  Часть 2.
   Механизмы  на основе   целочисленной

факторизации (Information technology

• Security techniques — Digital

   signatures with  appendix  - Part 2:
   Integer     factorization      based

mechanisms)

3. ИСО/МЭК 9796-3:2006 Информационные технологии. Методы

   (ISO/IEC 9796-3:2006)         обеспечения   безопасности.    Схемы
   цифровой   подписи,   обеспечивающие
   восстановление сообщений.  Часть  3.
   Механизмы   на   основе  дискретного
   логарифма (Information  technology -
   Security   techniques    -   Digital
   signature  schemes  giving   message
   recovery    -   Part   3:   Discrete

logarithm based mechanisms)

4. ИСО/МЭК 14888-1:2008 Информационные технологии. Методы

   (ISO/IEC 14888-1:2008)        защиты.        Цифровые      подписи
   с   приложением.   Часть  1.   Общие
   положения (Information  technology -
   Security   techniques    -   Digital
   signatures  with  appendix - Part 1:

General)

5. ИСО/МЭК 14888-2:2008 Информационные технологии. Методы

   (ISO/IEC 14888-2:2008)        защиты.       Цифровые       подписи
   с приложением. Часть  2.  Механизмы,
   основанные        на      разложении

на множители (Information technology

• Security techniques — Digital

   signatures  with  appendix - Part 2:
   Integer      factorization     based

mechanisms)

6. ИСО/МЭК 14888-3:2006 Информационные технологии. Методы

   (ISO/IEC 14888-3:2006)        защиты.       Цифровые       подписи
   с  приложением.  Часть 3.  Механизмы
   на  основе   дискретного   логарифма
   (Information technology  -  Security

techniques — Digital signatures with appendix — Part 3: Discrete logarithm based mechanisms)

7. ИСО/МЭК 14888-3:2006/Изм. Информационные технологии. Методы

   1:2010 (ISO/IEC 14888-3:2006/ защиты.      Цифровые        подписи
   Amd 1:2010)                   с  приложением.  Часть 3.  Механизмы
   на   основе  дискретного  логарифма.
   Изменение   1.   Алгоритм    русской
   цифровой    подписи    эллиптической
   кривой,  алгоритм  цифровой  подписи
   Шнорра,  алгоритм  цифровой  подписи
   Шнорра   для   эллиптической  кривой
   и полный алгоритм  цифровой  подписи
   Шнорра   для  эллиптической   кривой
   (Information  technology -  Security

techniques — Digital signatures with

   appendix    -   Part   3:   Discrete
   logarithm      based     mechanisms.
   Amendment 1. Elliptic Curve  Russian

Digital Signature Algorithm, Schnorr

   Digital     Signature     Algorithm,
   Elliptic   Curve   Schnorr   Digital
   Signature  Algorithm,  and  Elliptic

Curve Full Schnorr Digital Signature Algorithm)

8. ИСО/МЭК 10118-1:2000 Информационные технологии. Методы

   (ISO/IEC 10118-1:2000)        защиты    информации.   Хэш-функции.
   Часть     1.     Общие     положения
   (Information technology  -  Security
   techniques - Hash-functions  -  Part

1: General)

9. ИСО/МЭК 10118-2:2010 Информационные технологии. Методы

   (ISO/IEC 10118-2:2010)        защиты   информации.    Хэш-функции.
   Часть        2.          Хэш-функции
   с      использованием      алгоритма
   шифрования     n-битными     блоками
   (Information  technology -  Security

techniques — Hash-functions- Part 2: Hash-functions using an n-bit block cipher)

10. ИСО/МЭК 10118-3:2004 Информационные технологии. Методы

   (ISO/IEC 10118-3:2004)        защиты    информации.   Хэш-функции.
   Часть   3.  Выделенные   хэш-функции
   (Information  technology  - Security
   techniques -  Hash-functions -  Part

3: Dedicated hash-functions)

11. ИСО/МЭК 10118-4:1998 Информационные технологии. Методы

   (ISO/IEC 10118-4:1998)        защиты   информации.    Хэш-функции.
   Часть 4.  Хэш-функции  с применением
   арифметики   в  остаточных   классах
   (Information technology  -  Security
   techniques -  Hash-functions  - Part
   4:   Hash-functions  using   modular

arithmetic)

------------------------------------------------------------------