基于ElGamal算法的加密与签名机制

基于ElGamal算法的加密与签名机制

1. 背景知识

ElGamal算法是基于DH密钥交换的非对称加密算法¹，是基于离散对数困难问题。
离散对数困难表述为，已知群$G$的阶为$p$($p$为素数)，及其生成元$g$，当给出$y=g^{x}modp$和$g$要求出$x$是困难的，当$p$很大时在计算上是不可能的。ElGamal作为非对称密码机制的一种，可以实现加密与签名。

2. ElGamal加解密

ElGamal作为加密算法时主要有3个功能，分别为KeyGen,Enc,Dec,即密钥生成，加密，解密。

KeyGen:

1. 选定应该大素数$p$,和$Z_p^{\ast }$的生成元$g$。
2. 随机选择一个整数$x\in Z_p^{\ast }$,计算$y=g^{x}modp$。
3. 将$(y,g,p)$作为公钥，$x$作为私钥。

Enc:

1. 设明文消息为m，随机选择$r\in Z_p^{\ast }$。
2. 计算$c_1=g^{r}modp,c_2=y^{r}mmodp$
3. 密文为$c=(c_1,c_2)$。

Dec:

1. 解密为$m=\frac{c_2}{c_1^x}modp$。

   因为$m=c_2\ast (c_1^x{)}^{-1}=y^{r}m\ast (g^{rx}{)}^{-1}=y^r\ast y^{-r}\ast mmodp$。

代码实现：

import random

import gmpy2


def keyGen():
    p = gmpy2.next_prime(2 ** 1024)
    g = random.randint(1, p)
    x = random.randint(1, p)
    y = gmpy2.powmod(g, x, p)
    return (y, g, p), x


# pk = (y,g,p)
def Enc(m, pk: tuple):
    # 选择随机数
    r = random.randint(1, pk[2])
    # 计算c1
    c1 = gmpy2.powmod(pk[1], r, pk[2])
    # 计算c2
    c2 = gmpy2.powmod(pk[0], r, pk[2]) * m % pk[2]
    return (c1, c2)


# c = (c1,c2)， pk = （y,g,p）
def Dec(c: tuple, sk, pk):
    # 计算c1的x次方。
    y = gmpy2.powmod(c[0], sk, pk[2])
    # 计算c1的x次方的逆元。
    y_invert = gmpy2.invert(y, pk[2])
    m = c[1] * y_invert % pk[2]
    return m


pk, sk = keyGen()
m = 504
c = Enc(m, pk)
m1 = Dec(c, sk, pk)
print(c)
print(m1)

3. ElGamal签名

数字签名在网络安全中有着重要应用，包括有身份认证、不可否认性、数据完整性等。

数字签名实现有多种方式，ElGamal签名体制是基于离散对数签名体制的一种。主要包含3个部分，分别为：keyGen，Sign，Verify，即签名参数生成，签名和验证。

keyGen：

1. 选定应该大素数$p$,和$Z_p^{\ast }$的生成元$g$。
2. 随机选择一个整数$x\in Z_p^{\ast }$,计算$y=g^{x}modp$。
3. 将$(y,g,p)$作为公钥，$x$作为私钥。

Sign：

1. 计算消息m的哈希值$H:M\to Z_p^{\ast }$, hm = H(m)。
2. 选择随机数k：$k\in Z_p^{\ast }$,计算$r=g^{k}modp$。
3. 计算$s\equiv (hm-xr)k^{-1}modp-1$。
4. 将$(r,s)$作为签名。

Verify：

1. 通过等式验证签名， $y^r{r}^s\equiv g^{hm}modp$。

   因为$y^r{r}^s\equiv g^{rx}{g}^{ks}\equiv g^{rx+hm-rx}modp$。

代码实现：

import random

import gmpy2

from hashlib import sha256

def keyGen():
    p = gmpy2.next_prime(2 ** 1024)
    g = random.randint(1, p)
    x = random.randint(1, p)
    y = gmpy2.powmod(g, x, p)
    return (y, g, p), x
    

# 签名 传入hash（m),pk = (y,g,p)
def sign(hm, sk, pk: tuple):
    # 将消息转为字符串，也可修改为传入bytes数组
    q = pk[2] - 1  # q = p -1
    # k必需与q互素
    k = random.randint(3, q)
    g, s, t = gmpy2.gcdext(k, q)
    while g != 1:
        k = random.randint(3, q)
        g, s, t = gmpy2.gcdext(k, q)
    k_inv = gmpy2.invert(k, q)
    r = gmpy2.powmod(pk[1], k, pk[2])
    s = (hm - sk * r) * k_inv % q
    return (r, s)


# 验证, sigma = (r,s), pk = (y,g,p)
def verify(hm, sigma: tuple, pk: tuple):
    # y^r * r^s % p
    left = gmpy2.powmod(pk[0], sigma[0], pk[2]) * gmpy2.powmod(sigma[0], sigma[1], pk[2]) % pk[2]
    # g^hm % p
    right = gmpy2.powmod(pk[1], hm, pk[2])
    if left == right:
        return True
    else:
        return False
    
pk, sk = keyGen()
m = "hello world"
# 使用hash256，输出结果为2^256范围内，p为2^1024故满足条件
hm = sha256(m.encode("utf-8")).hexdigest()
# 转为整数
hm = int(hm, base=16)

sigma = sign(hm, sk, pk)
assert verify(hm, sigma, pk), "签名验证失败"
print("验证成功")

参考文献

[1] ElGamal T. A public key cryptosystem and a signature scheme based on discrete logarithms[J]. IEEE transactions on information theory, 1985, 31(4): 469-472.