13.1 数字签名概述

思维导图：

 

13.1 数字签名概述

在数字时代，确保信息的完整性和验证身份变得尤为重要。数字签名正是为满足这一需求而生的技术。它不仅保证了信息在传输过程中未被篡改，还能确认信息来源的真实性。本文将概述数字签名的原理、应用和重要性。

数字签名的原理

数字签名是基于公钥加密技术的。它使用一对密钥：公钥和私钥。私钥保密，而公钥则可以公开。数字签名的过程分为两个主要部分：签名和验证。

签名过程

1. 消息摘要：首先，发送方将原始信息通过哈希算法（如SHA-256）转化为一个固定长度的摘要。这个摘要代表了原始信息的“指纹”。
2. 加密摘要：发送方使用自己的私钥对消息摘要进行加密，加密后的摘要即为数字签名。
3. 发送信息：发送方将原始信息和数字签名一起发送给接收方。

验证过程

1. 解密签名：接收方使用发送方的公钥对数字签名进行解密，得到消息摘要。
2. 计算摘要：接收方同样对收到的原始信息使用相同的哈希算法计算出摘要。
3. 比较摘要：接收方比较解密得到的摘要和自己计算出的摘要。如果两者一致，说明信息未被篡改且确实来自声称的发送方。

数字签名的应用

数字签名在很多领域都有应用，比如：

1. 电子邮件：确保邮件内容的完整性和验证发件人身份。
2. 软件分发：验证软件包是否未被篡改，确保下载的是官方发布的版本。
3. 电子商务：在交易过程中保护交易双方的信息安全，防止交易数据被篡改。
4. 合同和文件：在电子文档上签名，具有法律效力，保证文档的真实性和完整性。

数字签名的重要性

1. 完整性保证：数字签名确保了信息在传输过程中未被篡改，接收方可以确信收到的信息就是发送方发送的原始信息。
2. 认证身份：数字签名通过私钥加密，确保了信息确实来自于声称的发送方，从而验证了身份。
3. 不可否认性：发送方一旦对信息签名，就无法否认其发送该信息的行为，因为只有发送方才拥有对应的私钥。

结语

数字签名技术是确保数字世界中信息安全和身份验证的重要工具。随着数字化转型的不断深入，数字签名的作用愈发显著，从个人的电子邮件到企业的合同签署，再到国家级的信息安全，数字签名都扮演着不可或缺的角色。了解和掌握数字签名的原理和应用，对于每个数字时代的参与者来说，都是一项必要的技能。

 

 

第13章 数字签名：前言笔记

学习目标

本章节旨在深入理解数字签名的核心原理与应用，为此，我们设定了以下学习目标：

1. 概述数字签名过程：理解数字签名的基本概念和工作流程。
2. 理解Elgamal数字签名方案：深入探讨Elgamal签名方案的原理和特点。
3. 理解Schnorr数字签名方案：分析Schnorr签名方案，理解其工作原理及优势。
4. 理解NIST数字签名方案：学习NIST推荐的数字签名标准及其应用。
5. 比较各种数字签名方案：比较Elgamal、Schnorr和NIST签名方案的异同和适用场景。
6. 理解椭圆曲线数字签名方案：掌握基于椭圆曲线密码学的数字签名算法。
7. 理解RSA-PSS数字签名方案：研究RSA-PSS方案并理解其安全性和实际应用。

数字签名的重要性

数字签名是公钥密码学发展中的关键概念之一，它为数字通信提供了无法通过其他方法实现的安全性保障。数字签名确保了消息的发送源和数据完整性得到验证，这在现代通信中是至关重要的。

数字签名的基本模型

数字签名的过程可以通过图13.1的一般模型进行理解：

1. 生成Hash值：发送方（如Bob）使用安全的Hash函数（例如SHA-512）来产生消息的Hash值。
2. 签名算法：将该Hash值与发送方的私钥一同作为输入，经过数字签名算法处理后，生成一段短的数字签名。
3. 发送消息和签名：将数字签名附加在消息之后一起发送给接收方（如Alice）。
4. 验证过程：接收方收到消息后，计算该消息的Hash值，并使用发送方的公钥和收到的签名进行验证。如果验证成功，可以确认消息确实是由发送方发出的，且消息内容未被篡改。

章节内容概览

• Elgamal和Schnorr签名方案：这两个方案是数字签名技术的基石，理解它们有助于深入掌握数字签名的原理。
• 数字签名算法(DSA)：介绍基于Elgamal和Schnorr原理的数字签名标准算法。
• 椭圆曲线数字签名算法(ECDSA)和RSA概率签名方案(RSA-PSS)：这两种算法被广泛应用于各种安全领域，了解它们的工作原理和应用场景对于理解现代数字签名至关重要。

结语

通过本章的学习，你将深入理解数字签名的原理和实践，掌握各种主流的数字签名方案，比较它们的优劣，并理解它们在现实世界的应用。这些知识和技能对于任何希望在数字时代保护信息安全的人来说，都是极其宝贵的。

 

 

13.1 数字签名概述

13.1.1 特征

数字签名作为一种确保消息完整性和来源认证的技术，在保护通信双方免受第三方攻击的同时，也解决了通信双方自身可能发起的攻击问题。以下是数字签名的几个关键特征和相关的场景说明：

场景分析

1. Mary伪造消息：Mary可以伪造一条消息并声称该消息来自John。她可以生成一条消息，并使用与John共享的密钥产生认证码，再将此认证码附加到消息后。
2. John否认发送消息：John可以否认他发送过某条消息。因为Mary能够伪造消息，所以无法确定消息确实是由John发送。

数字签名需求

在这两种情况下，法律关注的是消息的真实性和不可否认性。例如，在电子资金转账中，接收方可能声称收到了更高额的转账；或者在股票交易中，当交易亏损发生时，发送方可能否认曾下达交易指令。在这些不完全信任的场景中，需要更强大的方法来解决问题，这就是数字签名的用武之地。

数字签名的特征

数字签名必须满足以下特征，以确保信息的安全性和可靠性：

1. 验证签名者、日期和时间：能够明确确认签名者的身份及签名的具体时间，确保签名的真实性和时效性。
2. 认证消息内容：确保所签名的消息内容自签名后未被篡改，保证消息的完整性。
3. 第三方仲裁能力：当发生争议时，应允许一个可信的第三方验证签名的有效性，以解决双方的争端。

数字签名的过程简述

如图13.1所示，数字签名的过程可以分为两个主要部分：

1. 签名生成：

   • Bob使用一个密码学哈希函数对消息M进行处理，得到一个摘要。
   • 然后，Bob用他的私钥对这个摘要进行加密，产生数字签名。
   • 将这个数字签名附加在消息M后，一起发送给Alice。

2. 签名验证：

   • Alice接收到消息M和签名后，使用同样的哈希函数计算消息M的摘要。
   • 接着，她用Bob的公钥对收到的签名进行解密，得到一个摘要。
   • 比较这两个摘要，如果一致，则验证了消息的完整性和来源。

结论

数字签名是公钥密码学中极为重要的一个概念，它为消息的认证和不可否认性提供了强有力的保障。理解数字签名的特征和过程，对于构建安全的通信系统和进行有效的数据保护至关重要。通过本节的学习，我们应能够对数字签名的工作原理有一个清晰的认识，并理解其在现代通信中的重要作用。

 

13.1.2 攻击和伪造

数字签名虽然提供了强大的安全保障，但并不是绝对安全的。理解可能针对数字签名方案的攻击类型和伪造方法，对于设计和使用更加安全的系统至关重要。以下是根据文献[GOLD88]提出的对数字签名可能的攻击类型和伪造方法的总结。

攻击类型

1. 唯密钥攻击：攻击者（C）仅知道受害者（A）的公钥。这是最基础的攻击方式，攻击者尝试仅凭公钥来破解私钥或伪造签名。

2. 已知消息攻击：攻击者（C）掌握一些消息以及这些消息对应的合法签名。攻击者尝试通过这些信息来找出签名的规律，进而伪造新的签名。

3. 一般选择消息攻击：攻击者（C）在不知道受害者（A）的公钥的情况下选择一些消息，并获取这些消息的合法签名。这种攻击是一般性的，因为它与受害者的公钥无关，同样的攻击方法可以用于其他用户。

4. 定向选择消息攻击：与一般选择消息攻击类似，不同之处在于攻击者选择消息的时间是在掌握受害者的公钥之后、签名生成之前。

5. 适应性选择消息攻击：允许攻击者将受害者作为一个“oracle”进行轮询。意味着受害者可以被要求对特定的消息签名，而这些消息与攻击者之前已经获得的<消息-签名>对相关。

伪造方法

1. 完全破译：攻击者（C）成功判断出受害者（A）的私钥。这种情况下，攻击者可以完全控制签名过程，伪造任何消息的签名。

2. 通用伪造：攻击者（C）掌握一个有效的签名算法，使得对于任意消息都能构造出合法签名。这种攻击不需要知道私钥，但能等价地伪造签名。

3. 选择伪造：针对特定消息，攻击者（C）能够伪造出合法签名。这种方法通常依赖于攻击者对特定消息的预先选择。

4. 存在性伪造：攻击者（C）至少可以伪造出一个消息的合法签名，但无法控制该消息的具体内容。这是对受害者（A）危害最低的一种伪造。

结语

了解这些攻击和伪造类型对于设计和使用数字签名系统至关重要。它们揭示了系统潜在的脆弱性和攻击者可能利用的方式。为了构建更安全的系统，开发者和用户都需要充分了解这些安全风险，并采取相应的预防措施来抵御这些攻击。

13.1.3 数字签名需求

数字签名的基本需求

在考虑基本特征和可能的攻击之后，数字签名系统应满足以下条件以确保其有效性和安全性：

1. 消息相关性：签名必须是与消息相关的二进制位串，确保每个签名都是唯一对应特定消息的。
2. 独有性：签名必须使用发送方的某些独有信息生成，防止伪造和否认。通常这意味着使用私钥来创建签名。
3. 易于生成：产生数字签名的过程应该相对容易，以便有效地创建签名。
4. 易于验证：识别和验证签名的过程应该简洁明了，以便接收方和可能的第三方轻松验证签名。
5. 计算不可行的伪造：无论是从给定的数字签名伪造消息，还是从给定的消息伪造数字签名，都在计算上应该是不可行的。
6. 可存储性：保存数字签名的副本应该是可行的，以便未来验证和存档。

安全Hash函数的角色

安全Hash函数在基于图13.1所示的方案中被使用，提供了满足上述条件的基础。但具体的方案细节需要仔细设计以确保安全性和可靠性。

13.1.4 直接数字签名

直接数字签名是只涉及通信双方（发送方和接收方）的数字签名方案。在此情景中，接收方已知发送方的公钥。为了获得保密性，可以对整个消息和签名使用共享的密钥（对称密码）进行加密。注意，签名应该先于加密执行，这样在发生争议时，第三方可以查看消息及其签名。若先对消息加密再签名，第三方必须知道解密密钥才能读取原始消息。然而，这样接收方可以存储明文形式的消息及其签名，以备未来解决争议时使用。

直接签名的弱点和对策

直接签名方法的有效性依赖于发送方私钥的安全性。如果发送方想否认以前发送过的消息，他可能声称其私钥已丢失或被盗用。这种威胁可以通过在私钥的安全性方面进行管理和控制来防止，例如要求每条要签名的消息都包含时间戳，并且在密钥被泄密后应立即向管理中心报告。此外，可以使用数字证书的证书管理中心（CA）来克服这些问题，这些话题将在后续章节讨论。

结语

理解数字签名的需求是设计和使用安全系统的关键。通过满足上述条件，数字签名系统可以提供强大的安全保障，防止伪造和否认，同时保持操作的可行性和效率。同时，直接数字签名的分析揭示了保持私钥安全的重要性及潜在的风险，强调了在实际应用中需要额外的安全措施和策略。