数字签名基本概念

1. R1:receiver确认、证实sender的签名，这个签名不能被伪造
2. S:sender发送出签名的教习给receiver，不能否认他签发的消息
3. R2:receiver堆收到的签名消息不能否认，收报认证
4. T:第三方可以确认手法收发双方之间的消息传输，但不可伪造

与消息认证的区别：

消息认证：只用于防范第三者破坏，未验证sender身份（RS双方没有利害冲突）

• receiver验证sender身份是否被篡改
• receiver验证消息是否被篡改

数字签名：（RS双方存在利害冲突）

• 数字签名确定消息来源的真实性
• 数字签名保证实体身份的真实性
• 不可否认

与公钥加密的区别

公钥

• A用B公开密钥加密data后，发送data（已加密）给B
• B用私钥堆密文解密得到明文

签名

• A用私钥加密消息m签名，将m与签名发送给B
• B 收到A签名，使用A公钥验证签名有效性
• 签名消息可能要多年以后验证
• 签名可能要多次严正
• 签名安全性、防伪造要求高
• 签名速度要比验证速度快

分类

消息是否被压缩分类：

1. 对整体消息签名
2. 对压缩的消息签名

按消息/签名对应关系划分

1. 确定性deterministic数字签名：消息与签名一一对应。对同意消息签名永不变化 —— RSA/Rabin算法
2. 随机化 randomized

构成

1. 签名算法 signature algorithm
2. 验证算法 verification algorithm

安全性约定： 签名算法、密钥是秘密的，只有签名人掌握；验证算法公开

签名

$$(M,S,K,V)$$

• M 明文空间
• S 签名集合
• K 密钥空间
• V 验证函数的值域， 真、伪组成

∀ k ∈ K , m ∈ M 签名算法 : s = S i g k ( m ) ∈ S 验证算法 : V e r l ( s , m ) ∈ { t r u e , f a l s e } \forall k\in K, m\in M\\签名算法:s = Sig_k(m)\in S \\ 验证算法: Ver_l(s,m)\in\{true, false\} ∀k∈K,m∈M签名算法:s=Sigk​(m)∈S验证算法:Verl​(s,m)∈{true,false}

安全性：m和s很难推出签名者私钥$k$,很难伪造信息$m^{\prime }$使得$Ve{r}_k(s,m^{\prime })=true$

签名体制

RSA数字签名

参数同之前讲过的RSA

$n=p\ast q$

选e计算出d让 $ed\equiv 1mod\varphi (n)$

n和e公开，p,q,d保密

RSA密码：$c=m^e$
$$\forall m\in Z_n,签名s=Si{g}_k(m)=m^{d}modn$$

验证真实性:签名者才知道私钥d，其他人难以伪造
$$m\equiv s^{e}modn$$

Rabin

$N=pq$。 p和q都是大质数
$m,s\in Q{R}_p\cap Q{R}_q$ QR是二次剩余集

pq密钥，N公钥

签名过程

• $$消息m,0<m<N,m\in Q{R}_p\cap Q{R}_q$$
• $$s=Si{g}_k(m)=\sqrt{m}mod(p\times q)$$

验证过程

$$m\equiv s^{2}modN$$

二次剩余集

n为正整数，整数a满足
$$gcd(a,n)=1$$
$$x^2=amodn有解$$
a为mod n的平方剩余

如选n=7
$$x^2=1mod7x=1/6$$
$$x^2=2mod7x=3/4$$
$$x^2=3mod7无解$$
$$x^2=4mod7x=2/5$$
$$x^2=5mod7无解$$
$$x^2=6mod7无解$$
1, 2, 4是 mod 7的二次剩余，且每个二次剩余有两个平方根

3， 5， 6是 mod 7的非二次剩余

ELGamal

参数

• p 大素数，在$Z_p$中求解离散对数十分困难
• g 群$Z_p^{\ast }$的一个生成元或本原元素
• M 消息空间 $Z_p^{\ast }$
• S 签名空间 $Z_{p-1}$
• x 用户密钥 $x\in Z_p^{\ast }$
• y 用户公钥 $y\equiv g^{x}modp$

p,g,y公钥，x密钥

签名过程

1. 选择随机数$k\in Z_p^{\ast }m\in M$
2. 得到$H(m)$
3. 得到$r=g^{k}modp$
4. 得到$s=[H(m)-xr]k^{-1}mod(p-1)$
5. 得到签名$Si{g}_k(m)=(r,s),m与(r,s)$发给对方

验证过程

1. 得到$m与(r,s)$
2. 计算$H(m)$
3. 验证
   $$Ve{r}_k(H(m),(r,s))==true\iff y^r{r}^s=g^{H(m)}modp$$
   $$(rx+sk)=H(m)mod(p-1)$$
   得到
   $$y^r{r}^s=g^{H(m)}modp$$

Example

1. p = 467, g = 2, x = 127
2. 得到$y=g^x=2^{127}=132mod467$
3. 得到m的哈希值$H(m)=100$,选随机数k = 213 (注意213和466互质，且$213^{-1}=431mod466$)
4. 有$r=2^{213}=29mod467$ $s=(100-127\times 29)\times 431=51mod466$
5. 验证：收信人计算出$H(m)=100$,$132^{29}29^{51}=189mod467$, $2^{100}=189mod467$

安全性

不知道<消息，签名>对的时候，伪造签名 近似 求离散对数

Attacker若掌握同一随机数k下两个消息$m_1,m_2$的合法签名$(r_1,s_1),(r_2,s_2)$会构造如下方程
$$\begin{gathered} m_1=r_{1}x+s_{1}k \\ {m}_2=r_{2}x+s_{2}k \end{gathered}$$
攻击者解此房产可求出x和k

确保安全性需要选签名的时候选择不同随机数k

Schnorr签名体制

参数

• q,p 大素数，q|p-1, 在$Z_p$中求解离散对数 十分困难
• g $Z_p$中乘群$Z_p^{\ast }$的一个元素，满足$g^q=1modp$
• M 消息空间， $Z_p^{\ast }$
• S 签名空间 $Z_p^{\ast }\times Z_{p-1}$
• x 用户密钥 $1<x<q$
• y 用户公钥$y\equiv g^{x}modp$

p,q,g,y公钥，x密钥

过程

1. user 使用随机数 $k\in Z_q,m\in M$
2. 计算$w=g^{k}modp$
3. 计算$r=H(w||m)$ ||表示拼接
4. 计算$s=k+xrmodp$
5. 签名 $Si{g}_k(m)=(r,s)$作为签名，将m和$(r,s)$送给对方

验证

1. 收到消息$m$和签名$(r,s)$
2. 计算$H(m)$
3. 计算$w^{\prime }=g^s{y}^{-r}modp$
4. 计算$H(w^{\prime }||m)$
5. 验证$H(w^{\prime }||m)=r,即Ver(y,(e,s),m)=true$

安全性

Schnorr与ElGamal区别

1. E体制中，g是$Z_p$本原元素；S体制中，g是$Z_p^{\ast }$中子集$Z_q^{\ast }$的本原元，它不是$Z_p^{\ast }的本原元$
2. S的签名比E短，由$|q|$和$|H(m)|$决定
3. $w=g^{k}modp$可以预先计算，签名要一次乘法、一次加法，签名速度快，适合智能卡应用
4. S签名短，安全性逊于E签名

DSS签名体制

DSA事故DSS签名标准中采用的数字签名算法

参数

• p 大素数，$2^L-1<p<2^L$, $512\le L\le 1024$
• q:(p-1)的素因子，且$2^{159}<q<2^{160}$ 字长160b
• g $g=h^{(p-1)/q}modp$
• x 用户私钥 $1<x<q$
• y 用户公钥 $y=g^{x}modp$
  p,q,g,y公钥，x是私钥

签名

1. user使用随机数
2. 计算$H(m)$
3. 计算$r=(g^{k}modp)modq$
4. 计算$s=[k^{-1}(H(m)+xr)]modq$
5. 签名$Si{g}_k(m)=(r,s)$ 将m和(r,s)送给对方

验证

1. 收到m与(r,s)
2. $H(m)$
3. $w=s^{-1}modq$
4. $u_1=[H(m)w]modq$
5. $u_2=rwmodq$
6. $v=[(g^{u1}{y}^{u2})modp]modq$
7. 验证$v=r$

ESIGN

1. n, $n=p^{2}q$大合数，公钥
2. p,q 两个大素数
3. M 消息空间
4. S 命名空间
5. k 安全参数

签名

1. 选择随机数 $ 0<r<pq $
2. 计算$H(M)$
3. 计算$w=大于等于[(H(M)-r^k)modn]/pq$的最小整数
4. 计算$s=r+[(w/k{r}^{k-1}modp)]\times pq$
5. $Si{g}^k(M,k)=s$作为签名，M和s送给对方

验证

1. 收到M和s
2. 计算$H(M)$
3. 计算$s^{rk}modp$
4. 计算 a，它是大于等于$2n/3$最小整数
5. 验证 $Ve{r}_k(H(M),s)=true\iff H(M)\le s^k\wedge s^{k}modn<H(M)+2^a$

算法可以用预计算提高签名速度
发送方预计算:$u=r^{k}modnv=1/(k{r}^{k-1})modp$

计算w:w = 大于等于$[H(M)-umodn]/pq$的最小整数

计算s $s=r+(wvmodp)\times pq$

通过预先计算，让速度提高十倍。K = 2，3会被破解，建议k = 8,16,32,64,128,256,1024

Okamoto

1. p,q: 大素数，p至少512bit
2. q： (p-1)的素因子，q长约140bit
3. g1,g2:全局公钥，与q同长
4. s1,s2：秘钥，与q同长
5. M: 消息空间 $M\in Z_P^{\ast }$
6. S: 签名空间 $Z_P^{\ast }\times Z_{P-1}$
7. v: 用户公钥 $v=g_1^{-s1}{g}_2^{-s2}modp$
8. p,q,g1,g2,v公钥， s1，s2密钥

如何签名？

1. 选随机数 r1,r2， 满足$0<r_1,r_2<q$
2. 算 $e=H(g_1^{r_1}{g}_2^{r_2}modp,M)$
3. 算 $y_1=(r_1+e{s}_1)modq$
4. 算 $y_2=(r_2+e{s}_2)modq$
5. $Si{g}_k(M,k)=S=(e,y_1,y_2)$做签名，M和S送给对方

$$\begin{gathered} g_1^{y_1}{g}_2^{y_2}{v}^{e}modp \\ =g_1^{r_{1}e{s}_1}{g}_2^{r_{2}r{s}_2}(g_1^{-s1}{g}_2^{-s_2}{)}^{e}modp \\ =g_1^{r_1}{g}_2^{r_2}modp \end{gathered}$$

所以
$$H(g_1^{y_1}{g}_2^{y_2}{v}^{e}modp,M)=H(g_1^{r_1}{g}_2^{r_2}modp,M)=e$$

OSS签名体制

1. n 大整数
2. k 随机数，满足(k, n) = 1
3. h 满足 $h=-k^{-2}modn$
4. M: 消息空间 $M\in Z_P^{\ast }$
5. S: 签名空间 $Z_P^{\ast }\times Z_P^{\ast }$
6. h,n是公钥，k是密钥

签名过程

1. 选随机数r满足(r, n) = 1
2. 计算$s_1=(M/r+r)/2modn$
3. 计算$s_2=k(M/r-r)/2modn$
4. $Si{g}_k(M,k)=S=(s_1,s_2)$

验证过程

1. 收到M和$(s_1,s_2)$
2. 计算$M^{{}^{\prime }}=s_1^2+h\times s+2^{2}modn$
3. 验证$Ve{r}_k(H(M),r,s)=true\iff M=M^{{}^{\prime }}$

缺陷：
对于二次，三次多项式构造的签名并不安全
四次多项式已被拱北
ESIGN在OSS上提出的新方案

离散对数

1. p: 大素数
2. q： (p-1)的素因子
3. g: $g\in Z_P^{\ast }\wedge g^q=1modp$
4. M: 消息空间 $M\in Z_P^{\ast }$
5. S: 签名空间
6. x: 用户密钥，$1<x<q$
7. y：用户公钥 $y=g^{x}modp$

p,q,g,y公钥，x密钥

签名过程

1. 选择随机数k， $0<k<q$
2. 计算H(m)
3. 计算 $r=g^{k}modp$
4. 签字 $ak=b+cxmodq$
5. $Si{g}_k(m)=(r,s)$作为签名，将m和(r,s)送给对方

验证

1. 收到m和(r,s)
2. $Ver(M,r,s)=true\iff r^a=g^b{y}^{c}modq$

以上签名可以看作其特例

a	b	c	对应体制
$\pm r$	$\pm s$	$\pm H(m)$	Yen； Laih
$\pm r$	$\pm H(m)$	$\pm s$	Agnew; Yen
$\pm s$	$\pm r$	$\pm H(m)$
$\pm s$	$\pm H(m)$	$\pm r$	ElGamal; DSA
$\pm H(m)$	$\pm s$	$\pm r$	Schonorr; Nyberg
$\pm H(m)$	$\pm r$	$\pm s$

11. 其他签名

1. 不可否认签名
2. 防失败签名 fail-stop signature
3. 盲签名 blind signature
4. 群签名 group signature (代表一个群体，匿名)
5. 代理签名 proxy
6. 指定证实人签名 designate confirmer signature
7. 一次性签名 one time

消息认证码MAC基本用途

1. 消息认证
2. 消息认证与保密：计算MAC后加密
3. 消息认证与保密：先加密后计算MAC

与杂凑算法/加密/签名结合方案

1. 保密性 + 消息认证
2. 仅消息认证
3. 即消息认证，也有数字签名
4. 提供保密性，消息认证，数字签名