密碼學(xué)第八講：數(shù)字簽名

1、1數(shù)字簽名數(shù)字簽名現(xiàn)代密碼學(xué)現(xiàn)代密碼學(xué)第八講第八講2數(shù)字簽名的基本概念數(shù)字簽名的基本概念手寫簽名與數(shù)字簽名的區(qū)別手寫簽名與數(shù)字簽名的區(qū)別 手寫簽名是一種傳統(tǒng)的確認(rèn)方式，如寫信、簽訂手寫簽名是一種傳統(tǒng)的確認(rèn)方式，如寫信、簽訂協(xié)議、支付確認(rèn)、批復(fù)文件等協(xié)議、支付確認(rèn)、批復(fù)文件等. n手寫簽名是所簽文件的物理組成部分；數(shù)字簽名必須與所簽文件捆綁在一起。n手寫簽名通過與標(biāo)準(zhǔn)簽名比較或檢查筆跡來驗證，偽造簽名比較容易；數(shù)字簽名是通過公開的驗證算法來驗證。好的數(shù)字簽名算法應(yīng)該偽造簽名十分困難。n手寫簽名不易復(fù)制；數(shù)字簽名是一個二進(jìn)制信息，十分容易復(fù)制，所以必須防止數(shù)字簽名重復(fù)使用。3數(shù)字簽名技術(shù)則可有效解

2、決這一問題, 類似于手書簽名，數(shù)字簽名應(yīng)具有以下性質(zhì)： 能夠驗證簽名產(chǎn)生者的身份，以及產(chǎn)生簽名的日期和時間. 能保證被簽消息的內(nèi)容的完整性. 數(shù)字簽名可由第三方公開驗證，從而能夠解決通信雙方的上述爭議.數(shù)字簽名在網(wǎng)絡(luò)安全中提供數(shù)據(jù)完整性、數(shù)據(jù)源認(rèn)證性、數(shù)據(jù)不可否認(rèn)性等性質(zhì)數(shù)字簽名的基本概念數(shù)字簽名的基本概念4數(shù)字簽名的基本概念數(shù)字簽名的基本概念數(shù)字簽名算法滿足的條件：n簽名是可以被確認(rèn)-接受者能夠核實發(fā)送者對消息的簽名.n簽名是不可偽造- 除了發(fā)送者，任何人（包括接受者）不能偽造消息的簽名.n簽名是不可重用- 同一消息不同時刻其簽名是有區(qū)別的.n簽名是不可抵賴- 發(fā)送者事后不能抵賴對消息的簽名

3、，出現(xiàn)爭議時，第三方可解決爭端.5數(shù)字簽名的攻擊：數(shù)字簽名的攻擊：n惟密鑰攻擊：攻擊者只有用戶公開的密鑰.n已知消息攻擊：攻擊者擁有一些消息的合法簽名，但是消息不由他選擇.n 選擇消息攻擊：攻擊者可以自由選擇消息并獲取消息的簽名.攻擊結(jié)果：n完全破譯：攻擊者恢復(fù)出用戶的密鑰.n一致偽造：攻擊者對于任意消息可以偽造其簽名.n選擇性偽造：攻擊者可以對一個自己選取的消息偽造簽名.n存在性偽造：攻擊者可以生成一些消息的簽名，但在偽造前對該消息一無所知. 數(shù)字簽名的基本原理解密算法13.7ContinuedFigure 13.1 Digital signature process13.813.2.1 N

4、eed for KeysFigure 13.2 Adding key to the digital signature processA digital signature needs a public-key system.The signer signs with her private key; the verifier verifies with the signers public key.Note13.913.2.1 ContinuedA cryptosystem uses the private and public keys of the receiver: a digital

5、 signature usesthe private and public keys of the sender.Note13.1013.2.2 Signing the DigestFigure 13.3 Signing the digest13.1113.3.4 ConfidentialityA digital signature does not provide privacy.If there is a need for privacy, another layer of encryption/decryption must be applied.Figure 13.5 Adding c

6、onfidentiality to a digital signature schemeNote13.1213.3.3 NonrepudiationFigure 13.4 Using a trusted center for nonrepudiationNonrepudiation can be provided using a trusted party.Note13.13Signing and Verifying13.5.1 ContinuedFigure 13.7 RSA digital signature scheme13.14RSA Signature on the Message

7、Digest13.5.1 ContinuedFigure 13.8 The RSA signature on the message digest15PKCS v2.2 簽名過程 Does hash-then-sign make RSA signature secure against chosen-message attacks?Question:Answer: random oracle Yes, is a i.e., is aalliffull- random orda,cle mapping 0omainhh*,1 ( is the full domain of RSA)nnZZ160

8、 In practice, is full-domain. For instance, the range of SHA-1 is 0,1, while 0,1,.,21 , wiProblem with full-th 1024. domain hash:Desired: a secnoure signature scheme tnnhZnthat does not require a full-domain hash.*pad Hash function :0,10,1 (not full domain). | |. (E.g., SHA-1, 160; RSA, 1024.) Idea:

9、 Probabilistic signature schemelNhZlnNlnmmr*hashexpand1si1gn1 0,1 () 0,1 ( ) 0,1 RSA ( ) ( ) 0nllnkrwh mrywG wy 1 where 0,1 :0,10,1 (pseudorandom generator)NklnlZrG *11221 a message 0,1 : 1. choose a random 0,1 ; compute (); 2. compute ; ( )( )/ / 3. The signatuSigning re is RSA ( ).kmrwh mrGGGwyyw

10、rGG w PSS is secure against chosen-message attacks in the random oracle model (i.e., if and are random oracles). PSS is adopted in PKCS #1 v.2.1. Hash functions such as SHA-1Remarks are used fhG12or and . For instance, let 1024, and 160 let = SHA-1 (,)( )( )(0) (1) (2), .hGnlkhG GwG wh wh wh w21數(shù)字簽名

11、標(biāo)準(zhǔn)DSS數(shù)字簽名標(biāo)準(zhǔn)（Digital Signature Standard，簡稱DSS）規(guī)定了用于產(chǎn)生與證實一個數(shù)字簽名的一整套算法包括數(shù)字簽名和消息鑒別兩部分功能l不能提供保密功能DSS的數(shù)字簽名算法DSA -1發(fā)送方確定全局公開密鑰KUG：p, q, gl素數(shù)p，素數(shù)q是p-1的因子lg=h(p-1)/q mod q, h是整數(shù)發(fā)送方確定公鑰和私鑰l私鑰：隨機數(shù)x，滿足1 x pl公鑰：y = gx mod p發(fā)送方簽名: (r, s)lr = (gk mod p) mod qls = (k-1(H(M)+xr)mod qDSS的數(shù)字簽名算法DSA -2發(fā)送簽名(r, s)和消息M接收方

12、收到簽名(r, s)和消息Ml不能保證傳輸過程中沒有被改動接收方驗證lw = (s) -1 mod qlu1=H(M )w mod qlu2=( r ) w mod qlv=(gu1yu2)mod p mod qlv = r ?25RSA簽名與簽名與DSA簽名的異同簽名的異同26RSA簽名與簽名與DSA簽名的異同簽名的異同nRSA算法既能用于加密和簽名，又能用于密鑰交換; DSS使用的算法只能提供數(shù)字簽名功能.nRSA算法是確定算法，相同消息，其簽名相同; DSA是非確定算法，它有隨機輸入，相同消息簽名不同.nRSA的安全性基于分解因子；DSA的安全性基于離散對數(shù)27282930群(組)簽名群

13、簽名就是一個群體中一個成員可以以匿名的方式代表整個群體對消息進(jìn)行簽名，一旦發(fā)生爭論，從消息的群簽名中權(quán)威者（組長）可以辨別簽名者。在實際中有廣泛的應(yīng)用。特點l匿名性l可跟蹤性盲簽名盲數(shù)字簽名是一種特殊的數(shù)字簽名，當(dāng)用戶A發(fā)送消息m給簽名者B時，一方面要求B對消息簽名，另一方面又不讓B知道消息的內(nèi)容，也就是簽名者B所簽的消息是經(jīng)過盲化處理的。盲簽名除具有一般數(shù)字簽名的特點外，還有下面兩個特征：l簽名者無法知道所簽消息的具體內(nèi)容，雖然他為這個消息簽了名。（匿名性）l即使后來簽名者見到這個簽名時，也不能將之與盲消息對應(yīng)起來。（不可跟蹤性）雙重數(shù)字簽名所謂雙重數(shù)字簽名就是在有的場合，發(fā)送者需要寄出兩個相關(guān)信息給接收者，對這兩組相關(guān)信息，接收者只能解讀其中一組，另一組只