数字签名与认证协议.pptVIP

该方案是特别为签名的目的而设计的。1985年提出，很大程度上为Diffe-Hellman密钥交换算法的推广和变形。这个方案的改进已被美国NIST（国家标准和技术研究所）采纳作为数字签名标准。方案：P为素数，FP中的离散对数问题是难处理的。取本原元??Fp*,消息集合M=Fp*，签名集合A=Fp*?Zp-1,定义K={（p,?,a,?)|?=?a(modp)},值p,?和?是公开的，a是必威体育官网网址的。对K=(p,?,a,?)和一个（秘密）随机数k?Zp-1*,对消息x123第十章数字签名与认证协议1EIGamal签名方案?M进行签名：SigK(x,k)=(?,?),其中，?=?k(modp),?=(x-??)k-1(modp-1)对x,??Fp*和??Zp-1,验证签名定义为Ver(x,?,?)=真（true)???????x(modp)对EIGamal签名方案安全性的讨论：若Oscar在不知道a的情况下企图伪造一个给定消息x的签名：Sigoscar(x,k)=(?,?)(1)Oscar先选定一个?，然后企图找?，这样，他就必须解一个关于未知数?的方程：??????x(modp)这个方程是一个已知无可行解法的难处理问题！(2)Oscar先选定一个?，使其满足：??????x(modp)，于是，????-??x(modp)，这样，他就必须计算离散对数log?(?-??x)=?,这自然是难处理的问题！(3)若两者?,?都被Oscar首先选定,然后企图解出一个随机消息x,使得??????x(modp)，于是Oscar利用这种方式也不能伪造随机消息的签名。(4)Oscar同时选择?,?和x来伪造签名问题:假设i和j是整数,0=I=p-2,0=j=p-2,且(j,p-1)=1,先完成下列计算:???i?j(modp)??-?j-1(modp-1)x=-?ij-1(modp-1)(其中j-1是用模p-1来计算的)21可以证实(?,?)是一个消息x的有效签名:选择i=99和j=179，那么j-1(modp-1)=151，计算出下列的x,?,?:例子:假设p=467,?=2和?=132,它们为Bob公开的签名方案中的参数。Oscar利用这些参数伪造对一随机信息x的签名：3那么（117，41）是消息331的一个有效签名。验证：因此，这个伪造的签名有效！其他类型的伪造签名：Oscar依据Bob已签名的消息来做伪签名。假设(?,?)是一个消息x的有效签名，那么Oscar可以用此来伪签其它消息：设h,i,j为整数,0=h,i,j=p-2且,计算（其中是模p-1算出）然后可验证出因此，为假消息的一个有效签名讨论两个问题：用EIGamal方案计算一个签名时，使用的随机数k为什么不能泄露？若Bob用相同的值来签名不同的两份消息，Oscar能否攻破这个体制？公布于1994年5月19日的联邦记录上，并于1994年12月1日采纳为标准DSS。DSS为EIGamal签名方案的改进。取x?P,对K=(p,q,?,a,?)和一个（秘密）随机数k(1=k=q-1),定义其中，?=?k(modp)（modq),?=(x+??)k-1(modq)DSS：p为512bit的素数，q为160比特的素数，且q|p-1,??Fp*,且?为模p的q次单位根。消息集合P=Fp*，签名集合A=Fq?Fq,定义K={（p,?,a,?)|?=?a(modp)},值p,q,?和?是公开的，a是必威体育官网网址的。SigK(x,k)=(?,?),对x?Fp*和?,??Fq来说,按下述计算来验证签名的真伪：1234562数字签名标准注：1*.DSS的使用涉及到Smart卡的使用,要求短的签名。DSS以一个巧妙的方法修改了EIGamal方案，使得签名160bits消息产生一个320bit的签名，但是计算使用了512比特的模p.012*.要求在整个签名算法中，如果计算了一个值,程序自动拒绝，并且产生一个新的随机值计算新的签名，事实上，的发生概率大约为2-160.023*.DSS是一个产