沈 璇， 赵光耀， 李 超， 李瑞林

1.国防科技大学理学院，长沙410073 2.国防科技大学计算机学院，长沙410073 3.国防科技大学电子科学与工程学院，长沙410073

哈希函数在数据完整性检测、数字签名、消息认证等信息安全领域具有十分广泛的应用.MD5算法[1]是世界上应用范围最广泛的哈希函数之一.MD5是基于迭代结构和压缩函数设计的，其中迭代结构为Merkle-Damgard结构，压缩函数为f(hi−1,Mi)=Em(hi−1)+hi−1，这里hi−1为128 bit的链变量，mi为512 bit的消息块.如果将每一轮参与的消息块看成轮密钥，就可以将Em看成一个分组密码.这种模式被称为MD5的加密模式，其分组长度为128 bit，密钥空间大小为512 bit.

文献[2]首先提出了故障攻击的概念，并针对基于CRT实现的RSA签名算法进行故障攻击.随后，文献[3]进一步扩展了该攻击思想，提出了分组密码的差分故障分析方法，并对DES算法的安全性进行分析.近年来，这种攻击方法已用于包括分组密码和流密码在内的诸多算法，如 SMS4[4]，AES[5]，SHACAL-2[6]，LEX[7]，Trivium[8]等，并取得了一系列重要的研究成果.

MD5算法和SHA-1算法是目前应用范围最广泛的两种哈希函数，它们具有相似的结构.文献[9-10]分别给出了SHA-1加密模式——SHACAL-1和其压缩函数的差分故障分析结果.文献[11]首次给出了MD5压缩函数的差分故障分析，所得结果表明，从倒数第2轮第3个位置C62开始导入故障，平均需要144个故障能将512 bit的种子密钥候选值降到216个.本文通过研究MD5加密模式中轮函数的差分特性，给出了一个逐比特求解差分方程的快速算法，可以实现从倒数第3轮对MD5加密模式进行故障分析.研究结果……