3. 哈希函数与消息认证：哈希算法（SHA-256、SM3）、消息认证码（HMAC）、数字签名原理

哈希函数、消息认证码（MAC）与数字签名是保障数据完整性、真实性与不可否认性的三大核心密码原语。面试中，面试官通常从算法特性、安全假设、构造差异以及实际应用场景四个维度进行考察。本章系统梳理 SHA-256 与 SM3 的算法结构、HMAC 的密钥化构造原理，以及数字签名中签名与验证的完整流程。

3.1 哈希函数：SHA-256 与 SM3

哈希函数将任意长度的输入映射为固定长度的摘要值，具备抗原像性、抗第二原像性与抗碰撞性。SHA-256 与 SM3 是目前最广泛使用的两类哈希算法，前者为国际标准，后者为中国国家密码标准（GM/T 0004-2012）。

3.1.1 算法核心参数对比

3.1.2 SHA-256 迭代结构

SHA-256 采用 Merkle-Damgård 结构，消息经填充（补 1 加 0 至 448 mod 512，附加 64 位长度）后按 512 位分组依次进入压缩函数。每轮压缩使用 64 个轮常数 K 和消息扩展生成的 W 值更新 8 个工作变量。

3.1.3 SM3 算法特点

• 消息扩展： 将 16 个字扩展为 132 个字（W₀~W₆₇ + W'₀~W'₆₃），引入非线性置换 P₁，扩散性更强。
• 压缩函数： 使用 64 轮双字迭代，每轮同时更新 A~H 共 8 个 32 位寄存器，布尔函数 FF 与 GG 在不同轮段采用不同逻辑。
• 性能： 软件实现上 SM3 略慢于 SHA-256（约慢 10%~15%），但硬件实现效率接近。

3.2 消息认证码（HMAC）

哈希函数本身不包含密钥，无法直接提供身份验证。消息认证码（MAC）通过引入共享密钥，确保只有持有密钥的通信双方能够生成和验证认证标签。HMAC 是使用最广泛的密钥化哈希构造方案。

3.2.1 HMAC 构造公式

HMAC(K, M) = H( (K' ⊕ opad) || H( (K' ⊕ ipad) || M ) )

其中：
  K'  = 如果 K 长度 > B，则 K' = H(K)；否则 K' = K 右补 0 至 B 字节
  B   = 哈希函数分组长度（SHA-256/SM3 均为 64 字节）
  ipad = 0x36 重复 B 次
  opad = 0x5C 重复 B 次
  H   = 底层哈希函数
  M   = 消息

3.2.2 HMAC 安全优势

3.3 数字签名原理

数字签名是公钥密码学中实现不可否认性的核心机制。签名者使用私钥对消息摘要签名，验证者使用对应公钥验证签名有效性。与 HMAC 不同，数字签名不需要共享密钥，适用于开放网络环境。

3.3.1 数字签名通用流程

1. 密钥生成： 签名者生成公私钥对 (sk, pk)。
2. 签名： 对消息 M 计算哈希摘要 h = H(M)，使用私钥 sk 对 h 签名得到 σ。
3. 验证： 验证者计算 h' = H(M)，使用公钥 pk 验证 σ 是否与 h' 匹配。

3.3.2 主流数字签名算法对比

3.3.3 数字签名与 HMAC 的关键区别

3.4 哈希、MAC 与数字签名的组合关系

在实际安全通信协议（如 TLS 1.3、SSH、IPsec）中，这三类原语通常协同工作：

• 哈希函数 提供消息摘要，压缩签名或 MAC 的输入长度。
• HMAC 用于对称场景下的会话消息认证，如 TLS 记录层的消息认证。
• 数字签名 用于握手阶段的身份认证与密钥交换的签名验证。

3.5 面试高频问题与避坑指南