【密码学】第六章、数字签名

基本概念

• 数字签名
  • 用于对消息进行签名，以防消息的伪造或者篡改，也可用于鉴别通信双方的身份。
  • 可以做到身份认证、保持数据完整性、不可否认性。

特性

• 可信
  • 可验证签名的有效性。
• 不可伪造
  • 除合法签名者，其他人伪造签名是困难的。
• 不可复制
  • 一个消息的签名不能复制为另一个消息的签名。
• 不可改变
  • 签名后的消息不能被篡改。
• 不可抵赖
  • 签名者事后不能否认自己的签名。

RSA数字签名

体制参数（重要）

• 选取大素数p和q（100-200位十进制数字）；
• 计算n=pq，其欧拉函数为：
  $$\varphi (n)=(p-1)(q-1)$$
• 随机选取一整数e，保证：
  $$1\le e<\varphi (n)，gcd(\varphi (n),e)=1$$
• 计算e的逆元d：
  $$d=e^{-1}(\mathrm{m}\mathrm{o}\mathrm{d}\varphi )(n)$$
• 以n、e为公钥，d为私钥。

签名

• 设消息为m。
  $$m\in Z_n,s\equiv (\mathrm{m}\mathrm{o}\mathrm{d}n)$$

验证

• 接收方收到消息m和签名s。
  $$m==s^d(\mathrm{m}\mathrm{o}\mathrm{d}n)$$
• 成立则有效。

安全性

困难问题

• 大数分解

缺点

情景一

$$\begin{gathered} 对任意y\in Z_n \\ 可计算x\equiv y^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \end{gathered}$$

• 任何人可伪造对随机消息x的签名。

情景二

$$\begin{gathered} Hackergotsignedmessage{x}_1,x_2 \\ {y}_1\equiv x_1^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ {y}_2\equiv x_2^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ Thesignature{y}_1{y}_{2}ofmessage{x}_1{x}_{2}canbeforged \end{gathered}$$

情景三

• 签名速度慢。

解决方案

• 签名之前求消息的哈希值。

一般化描述

$$\begin{gathered} Message：m \\ Privatekey：x \\ Publickey：y \\ Signaturealgorithm：s\equiv Si{g}_x(m) \\ Verificationalgorithm：Ve{r}_y(s,m) \\ Ve{r}_y(s,m)=\{\begin{array}{r}Trues=Si{g}_x(m)\\ Falses\ne Si{g}_x(m)\end{array} \end{gathered}$$

• 安全性
  • 通过m和s难以：求x或者伪造m’使得m’和s验证为真。

DSS

密钥生成

$$\begin{gathered} Selectprimep：2^{L-1}<p<2^L \\ 512\le L\le 1024,64|L \\ Selectprimeq：q|p-1,2^{159}<q<2^{1}60 \\ Selectgeneratorg：g\equiv h^{(p-1)/q}(\mathrm{m}\mathrm{o}\mathrm{d}p) \\ 1<h<p-1,h^{(p-1)/q}(\mathrm{m}\mathrm{o}\mathrm{d}p)>1 \\ Randomlyselectx：0<x<q,y=g^x(\mathrm{m}\mathrm{o}\mathrm{d}p) \end{gathered}$$

• 公开参数：p、q和g。
• 公钥：y
• 私钥：x

签名

• 随机选取一个整数k，满足0<k<q。
• 计算：
  $$\begin{gathered} r=(g^k(\mathrm{m}\mathrm{o}\mathrm{d}p))(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ s=k^{-1}(h(m)+xr)(\mathrm{m}\mathrm{o}\mathrm{d}q) \end{gathered}$$
• 消息m的签名为(r,s)。

h为哈希函数，DSS中其为SHA-1。

验证

• 计算：
  $$\begin{gathered} w=s^{-1}(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ {u}_1=h(m)w(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ {u}_2=rw(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ v=(g^{u_1}{y}^{u_2}(\mathrm{m}\mathrm{o}\mathrm{d}p))(\mathrm{m}\mathrm{o}\mathrm{d}q) \end{gathered}$$
• 验证v=r，等式成立则为有效签名。

ElGamal签名体制

体制参数

• 大素数p
• 生成元g
• 密钥x
• 公钥y=g^x mod p

签名

$$\begin{gathered} k\in Z_{p-1}^{\ast } \\ Sig(m,k)=(r,s) \\ r=g^k(\mathrm{m}\mathrm{o}\mathrm{d}p) \\ s=k^{-1}(H(m)-xr)(\mathrm{m}\mathrm{o}\mathrm{d}p-1) \end{gathered}$$

验证

$$y^r{r}^s\equiv g^{H(m)}(\mathrm{m}\mathrm{o}\mathrm{d}p)$$

交互证明系统

• 概念
  • P知道某一秘密（如公钥密码体制的秘密钥或一平方剩余x的平方根），P希望使V相信自己的确掌握这一秘密。
• 方法
  • 每轮V都向P发出一询问，P向V做出一应答。
  • 所有轮执行完后，V根据P是否在每一轮对自己发出的询问都能正确应答，以决定是否接受P的证明。
• 要求
  • 完备性
    • 若P知道秘密，V则接受证明。
  • 可靠性
    • P以一定概率使V接受证明，则P知道相应的秘密。

Fiat-Shamir身份识别方案

• 证明者P
• 验证者V

协议

1. P   r a n d o m l y   s e l e c t   r ( 0 < r < n ) ， C a l c u l a t e   a ≡ r 2 ( m o d n ) ， s e n d   a   t o   V 2. V   r a n d o m l y   s e l e c t   e ∈ { 0 , 1 } ， s e n d   e   t o   P 3. P   c a l c u l a t e   b ≡ r y e ( m o d n ) ， s e n d   b   t o   V 4. I f   b 2 ≡ a x e ( m o d n ) ， t h e n   V   a c c e p t   v e r i f i c a t i o n 1.P\ randomly\ select\ r(0<r<n)，\\ Calculate\ a\equiv r^2\pmod{n}，send\ a\ to\ V\\ 2.V\ randomly\ select\ e\in\{0,1\}，send\ e\ to\ P\\ 3.P\ calculate\ b\equiv ry^e\pmod{n}，send\ b\ to\ V\\ 4.If\ b^2\equiv ax^e\pmod{n}，then\ V\ accept\ verification 1.P randomly select r(0<r<n)，Calculate a≡r2(modn)，send a to V2.V randomly select e∈{0,1}，send e to P3.P calculate b≡rye(modn)，send b to V4.If b2≡axe(modn)，then V accept verification

1. P申明自己知道a的平方根。
2. e是V的询问。
3. b是P对询问的应答。

性质

• 完备性
  • P、V遵守协议，若P知道y则应答正确，V接受证明。
• 可靠性
  • 假冒者最高能以1/2的概率欺骗。
  • 通过执行多次降低欺骗率。

Schnorr身份识别方案

体制参数

• p和q是大素数，且q|(p-1)。

q至少140位，p至少512位。

• g为q阶元。
  $$g^q\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}p)$$
• h是输出t位的单向函数。

t是安全参数。

• 公钥y和私钥x。
  $$y=g^{-x}(\mathrm{m}\mathrm{o}\mathrm{d}p)$$

p、q、h、y公开，x保密。

签名&验证

$$\begin{gathered} P\to V:r\equiv g^k(\mathrm{m}\mathrm{o}\mathrm{d}p),1\le k\le q-1 \\ V\to P:e=H(r,m) \\ P\to V:s=k+xe(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ V:r==g^s\times y^e(\mathrm{m}\mathrm{o}\mathrm{d}p) \end{gathered}$$
​