三章認证技术.pptVIP

注意事项： 1）B事先不知道A的明文M，那么B怎样判断恢复出的明文M正确与否呢？ 2）这样阻止B或A用A以前发给B的签名报文，或用A发给其他人的签名报文来伪造、冒充当前A发给B的签名报文呢？ 签名本身不能解决这个问题。但只要合理设计明文格式便可解决这些问题。所以，明文格式应是签名协议的内容之一，一种可行的明文格式如下： 明文 = 发方标识收方表识报文序号时间 报文正文纠错码 形式上，可将A发给B的第i份报文表示为：M = (A,B,i,T,D,C)， 将附加报头信息记为：M1 = (A,B,i)。A发给B的最终报文为{M1,M}，其中M1为明文形式，M为密文形式，这就可避免上述第二中情况。 El Gamal 签名： El Gamal 方法是一种比较经典的数字签名方法。其合理性依赖于计算有限域上离散对数的困难性。 1）准备：选择一素数p，m是明文，m∈GF(p)，0≤m≤p-1,选择GF(p)上的本原元g。系统的p,g是公开的。用户A任选一数rA∈GF(p)，计算kA ≡ grA mod p 。 kA作为公钥公开。rA是A的私钥，由A必威体育官网网址。设为了对信息m进行签名，发送方A选一s∈GF(p)，要求gcd(s,p-1) = 1。 2）签名：计算 W = gs mod p，由m = rW+sV mod (p-1)解出V，A将(W，V) 作为m的数字签名，即将 (m，W，V) 发送给收方B。 3）验证：收方B收到明文和签名后，便验证： gm ≡ kAW * WV mod (p-1) 若该等式成立，便接收(m，W，V)，若不成立，说明签字无效，拒收(m，W，V)。这是因为： gm ≡ grW+sV ≡ kAW * WV mod p 示例： 1）准备：已知p=11，GF(11)的本原元有2,6,7,8。取 g = 7 ，rA = 3，则公钥kA ≡ grA mod p ≡73 mod 11 ≡ 2。故公钥集： (kA，g，p) = (2,7,11) 若m=6，选s = 7，满足 gcd(s, p-1) = gcd(7, 10) = 1。 2）签名： W ≡ gs mod p ≡77 mod 11 ≡ 6 由 m ≡ rAW+sV mod (p-1)，即 6 ≡ 3*6+7*V mod 10 解得： 7V≡-12 ≡ 8，V≡7-1*8 mod 10，而7-1 ≡3，故V ≡4。 密文集(m，W，V) = (6，6，4) 3）验证：确认下式是否成立： gm = kAWWV mod p 左边 = gm = 76 mod 11 = 4， 右边 = kWWV mod p = 2664 mod 11 = 4 签名有效，接收原文6。 数字签名标准(Digital Signature Standard-DSS) 在许多情况下，一个报文可能只需要加密解密一次。所以，当报文需要加密时，可以使用任何已知是安全的密码体制就够了。而签名则不同，签名的报文能使合法文件有效，所以在报文签名后人们非常希望很多年以后仍然可以用来验证这个签名。所以，重要的是采取更多的预防措施来考虑签名方案的安全性，而不是密码体制的安全性。 美国数字签名标准DDS公布与1994年。是一种基于非对称密码体制的签名方法。它包含发送者的签名和接收者的验证两部分。该方案有利于签名者的计算，因此适用于向智能卡那样的应用系统，即签名者（智能卡）的计算能力较低且计算时间要短，而签名的验证者（银行的中央计算机）计算能力较强。 3.3 特殊签名 下面介绍几种特殊的签名技术 盲签名（Blind Signature） 一般数字签名中，总是先知道文件内容后才签名。但有时我们需要对某个文件签名，但又不能知道文件内容，这就是盲签名。 盲签名的目的是保护签名者的匿名性。例如，对于电子货币，银行需要对其签名，以保证货币的合法性。同时用户有不希望银行知道这张货币在谁的手上，从而追踪出他怎样花钱。 盲签名的基本原理是对签名者B隐藏被签内容，同时给签名持有者A施加一定的制约，使其很难作弊。方法为： （1）A将欲签名的明文乘上一个随机数，称为盲因子（Blinding Factor ），形成密文，从而不让B知道明文内容。 （2）为了防止A欺诈，B要求A提供n个相同内容但分别乘以不同盲因子的密文。 （3）B随机抽取其中的n-1个密文，要求A提供相应的盲因子，以检查内容的合法性。 （4）若检查无误，B对剩余的那个进行签名，并返回给A。 （5）A在消去盲因子之后，便获得了B签名的明文。 经过上述步骤，B不知道所签内容，A作弊成功的可能性只有1/n。这种方式称之为分割-选择（cut-and-choose）机制。 群签名