📖 前言：数字签名（又称公钥数字签名）是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。它是一种类似写在纸上的普通的物理签名，但是在使用了公钥加密领域的技术来实现的，用于鉴别数字信息的方法。一套数字签名通常定义两种互补的运算，一个用于签名，另一个用于验证。数字签名是非对称密钥加密技术与数字摘要技术的应用。

---

🕒 0. 思维导图

🕒 1. 消息认证 VS 数字签名

【情况一】

• Alice 和Bob 使用对称加密来保护通信数据，第三方无法获取、伪造该信息，密钥K只有通信双方才已知

【问题】

• 假设双方在进行资金转账，Alice使用密钥K 给Bob 发送转账金额10元。
• Bob 现在伪造转账金额为100元，并使用他们共享的密钥K来加密消息，他声称这就是Alice发给他的转账金额

【情况二】

• 既然Bob 可以使用共享密钥K 伪造信息，Alice 也可以否认她曾经发出过某条信息
• 如Alice 给Bob 发送集资申请，Bob投入了大量资金。但后来生意失败，Alice声称集资申请的消息并不是由她本人发出的，而是Bob伪造的
• 消息认证只能防止第三方攻击，却无法防止通信双方之间的攻击。若通信双方不能完全信任，就需要数字签名
• 对 签名者身份、签名日期、签名时间、签名的消息内容 进行验证，且支持第三方仲裁来解决争执

🕒 2. 数字签名的过程

🕒 3. 对数字签名的攻击

🕘 3.1 唯密钥攻击

• Bob 对 消息M 生成数字签名S，并将S 附在M后一起发送
• 攻击者Darth 将其截获，但他仅知道Bob 的公钥PU-B
• 若要攻击成功，意味着获取了完整的签名方案

练习题：
若针对数字签名的唯密钥攻击成功，以下操作步骤顺序正确的是：
① 得到消息M的Hash值
② 猜出哪些部分是数字签名S
③ 对数字签名S使用公钥PU解密
答案：231

• Darth 猜出签名S的长度n，对这n位使用公钥PU-B 解密，得到消息M的Hash值
• 根据消息M与其Hash值，判断出使用的Hash算法
• 比较明文Hash 与 使用私钥PR-B 加密后的密文S，逐一推断出加密算法以及Bob的私钥

多选题：
针对数字签名的唯密钥攻击，说法正确的是：
A. 唯密钥指的是只知道发送方的私钥
B. 唯密钥指的是只知道发送方的公钥
C. 唯密钥攻击若要成功，一般都要做到完全破译
D. 唯密钥攻击若成功，对发送方的影响是最大的
答：选BCD

🕘 3.2 已知消息攻击

• Darth已知Bob 的公钥PU-B，一些消息M 与对应的数字签名S
• 获取到Bob的签名方案或部分

🕘 3.3 一般选择消息攻击

• Darth 选择一些消息M，使得Bob 为它们分别生成对应的数字签名S
• 无需知道Bob的公钥

🕘 3.4 定向选择消息攻击

• Darth 已知Bob的公钥
• 然后他选择一些消息M，使得Bob 为它们分别生成对应的数字签名S

🕒 4. 攻击的后果

🕘 4.1 完全破译

• Darth 通过上述某种攻击方法，成功获取到：
• Hash算法、加密算法、Bob的私钥PR-B

🕘 4.2 通用伪造

• Darth 通过上述某种攻击方法，掌握了一个有效的签名算法
• 使得对于任意消息都能等价地构造出合法签名

🕘 4.3 选择性伪造

• Darth 掌握了某种签名算法
• 对于所选择的特定消息能够构造出合法签名

🕘 4.4 存在性伪造

• Darth 通过上述某种攻击方法，至少可以成功伪造出一个消息的合法签名
• 但他不能控制是哪一个消息，这种伪造对于Bob的伤害最低

练习题：
关于数字签名的攻击后果，按照其影响程度从高到低排序正确的是：
① 存在性伪造
② 通用伪造
③ 完全破译
④ 选择性伪造
答：3241

🕒 5. 数字签名的需求

• 签名 必须是与消息M 相关的二进制位串
• 签名必须使用发送方独有的信息，以防伪造和否认
• 产生数字签名比较容易，识别和验证签名比较容易
• 伪造签名在计算上不可行，无论是从给定的数字签名伪造信息，还是从给定的消息伪造签名
• 保存数字签名的副本是可行的

🕒 6. EIGamal 数字签名

• Alice和Bob要进行数字签名的生成与验证，首先他们共享一个素数$\mathbf{q}$ 以及整数$a$
• $a<\mathbf{q}$，$a$是素数$\mathbf{q}$的原根，满足
  $a\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}，a^2\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}，a^3\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}，...a^{\mathbf{q}-1}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}$它们的值各不相同
• $a<\mathbf{q}$，$a$是素数$\mathbf{q}$的原根，还满足
• $a^{\mathbf{m}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}=1$ 当且仅当$\mathbf{m}=0\mathbf{m}\mathbf{o}\mathbf{d}(\mathbf{q}-1)$
• $a^{\mathbf{i}}=a^{\mathbf{j}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}$ 当且仅当$\mathbf{i}=\mathbf{j}\mathbf{m}\mathbf{o}\mathbf{d}(\mathbf{q}-1)$
• Alice 选择了素数$\mathbf{q}=19$，它的原根$a=10$
• Alice 选择随机整数$1<{\mathbf{X}}_{\mathbf{A}}<\mathbf{q}-1，{\mathbf{X}}_{\mathbf{A}}$是私有的，只有Alice自己知道，即Alice的私钥
• Alice 选择${\mathbf{X}}_{\mathbf{A}}=16$
• Alice 计算${\mathbf{Y}}_{\mathbf{A}}=a^{{\mathbf{X}}_{\mathbf{A}}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}=10^{16}\mathbf{m}\mathbf{o}\mathbf{d}19=4$，计算得到的${\mathbf{Y}}_{\mathbf{A}}$是公开可访问的
• Alice 的公钥为{𝟏𝟗,𝟏𝟎,𝟒}，将其发送给Bob
• Alice 要发送的消息为M，为了对消息进行签名，首先计算Hash值：$\mathbf{h}=\mathbf{H}(\mathbf{M}),0\le \mathbf{m}\le \mathbf{q}-1$
• 现在计算出Hash值$\mathbf{h}=14$
• Alice 选择随机整数K，使得$1\le \mathbf{K}\le \mathbf{q}-1$
  $\mathbf{g}\mathbf{c}\mathbf{d}(\mathbf{K},\mathbf{q}-1)=1$
• Alice 选择$\mathbf{K}=5$
• 计算${\mathbf{S}}_1=a^{\mathbf{K}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}=10^5\mathbf{m}\mathbf{o}\mathbf{d}19=3$
• 计算${\mathbf{K}}^{-1}\mathbf{m}\mathbf{o}\mathbf{d}(\mathbf{q}-1)$
  $=5^{-1}\mathbf{m}\mathbf{o}\mathbf{d}(19-1)$
  $=5^{-1}\mathbf{m}\mathbf{o}\mathbf{d}18=11$
• 计算${\mathbf{S}}_2={\mathbf{K}}^{-1}(\mathbf{h}-{\mathbf{X}}_{\mathbf{A}}{\mathbf{S}}_1)\mathbf{m}\mathbf{o}\mathbf{d}(\mathbf{q}-1)$
  $=11(14-16\times 3)\mathbf{m}\mathbf{o}\mathbf{d}18$
  $=(-374)\mathbf{m}\mathbf{o}\mathbf{d}18=4$
• Alice 将$\mathbf{h}、{\mathbf{S}}_1、{\mathbf{S}}_2$发送给Bob
• Bob计算${\mathbf{V}}_1=a^{\mathbf{h}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}=16$
  ${\mathbf{V}}_2=({\mathbf{Y}}_{\mathbf{A}}{)}^{{\mathbf{S}}_1}({\mathbf{S}}_1{)}^{{\mathbf{S}}_2}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{q}$
  $=4^3{3}^4\mathbf{m}\mathbf{o}\mathbf{d}19=16$
• 若计算出的${\mathbf{V}}_1、{\mathbf{V}}_2$相同，数字签名就是合法的

练习题：
已知Alice要为一个Hash值为2的消息制作数字签名，使用ElGamal数字签名方案，她选取q=11,a=2,私钥为4，K=3。
请给出S1、S2；
答：$m=2，q=11，a=2，X_A=4，K=3$
$S1=a^{K}modq=2^{3}mod11=8$
$q-1=11-1=10$
$\begin{array}{cccccc}q-1& K& q^{\prime }& d^{\prime }& x& y\\ 10& 3& 3& 1& 1& -3\\ 3& 1& 3& 1& 0& 1\\ 1& 0& & 1& 1& 0\end{array}$
$K^{-1}=-3mod10=7$
$S2=K^{-1}(m-X_{A}S1)mod(q-1)$
$=7\times （2-4\times 8）mod10=0$

🕒 7. 数字签名标准

🕘 7.1 数字签名标准 DSS

• 数字签名标准DSS 由美国标准与技术研究所NIST于1991年提出，最新版本于2013年发布
• 包含：①数字签名算法DSA、②基于RSA的数字签名、③椭圆曲线数字签名

🕤 7.1.1 基于RSA的数字签名

【发送方】

• 消息M 输入到Hash函数中，输出定长的Hash值
• 用发送方的私钥PRa为该Hash值加密，形成数字签名
• 将数字签名附在消息M后一起发送

【接收方】

• 将数字签名取下，使用发送方的公钥解密，得到Hash
• 对消息M 计算Hash值，并与得到的进行比较，相同则说明签名有效

🕤 7.1.2 数字签名算法 DSA

【发送方】

• 为本次签名产生一个随机数k
• 将随机数k、Hash值、全局公钥PU-g、发送方的私钥PR-a 一起输入到签名函数中
  【接收方】
• 对消息M 计算Hash值
• 将Hash值、签名s、签名r、全局公钥PU-g、发送方的公钥PU-a 一起输入到验证函数中，若输出r正确

【全局公钥PU-g 】

• 选择一个N位的素数q
• 选择一个长度在512-1024之间且满足q能整除（p-1）的素数p
  选择$g={\mathbf{h}}^{(\mathbf{p}-1)/\mathbf{q}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{p}$

【用户私钥】

• 用户私钥x是随机或伪随机整数 $0<\mathbf{x}<\mathbf{q}$

【密码值】

• 用户私钥k是随机或伪随机整数 $0<\mathbf{k}<\mathbf{q}$

【用户公钥】

• 用户公钥y是全局公钥g、p,私钥x的函数$\mathbf{y}={\mathbf{g}}^{\mathbf{x}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{p}$

【签名】

• 要进行签名，用户需计算两个量r和s
• $r$和$s$是全局公钥PU-g,用户私钥$x$，密码值$k$，消息的hash值的函数
  
  【验证】
• 令$M’r’s’$为接收方收到的$M,r,s$，接收方计算值$v$
• $v$是全局公钥PU-g，发送方公钥$\mathbf{y}={\mathbf{g}}^{\mathbf{x}}\mathbf{m}\mathbf{o}\mathbf{d}\mathbf{p}$，接收信息的hash码的函数

🕘 7.2 数字签名的应用

• IPsec是一种安全的网络协议套件，可对数据包进行身份验证和加密，常用于VPN的搭建。
• IPsec使用RSA签名完成对用户的身份验证

🔎 什么是IPSec？

---

OK，以上就是本期知识点“数字签名”的知识啦~~ ，感谢友友们的阅读。后续还会继续更新，欢迎持续关注哟📌~
💫如果有错误❌，欢迎批评指正呀👀~让我们一起相互进步🚀
🎉如果觉得收获满满，可以点点赞👍支持一下哟~