Digitale Signaturen - Tibor Jager

Kapitel 2EinmalsignaturenEinmalsignaturverfahren, oder kurz „Einmalsignaturen“, sind eine grundlegende und recht einfacheKlasse von Signaturverfahren. Sie müssen nur relativ schwache Sicherheitseigenschaften erfüllen, dennes reicht aus wenn sie bei einmaliger Verwendung sicher sind. Einmalige Verwendung bedeutet, dass fürjeden public key nur eine einzige Signatur ausgestellt wird.Auf den ersten Blick erscheint das Konzept von Einmalsignaturen nicht besonders sinnvoll. Wofürsoll es gut sein ein Signaturverfahren zu haben, mit dem man nur eine einzige Signatur ausstellen kann?Interessanterweise sind Einmalsignaturen ein sehr starkes Werkzeug. Insbesondere können wir sieverwenden, um aus ihnen auf generische Art und Weise Mehrfach-Signaturverfahren zu konstruieren,mit denen wir dann eine praktisch unbeschränkte Anzahl von Signaturen ausstellen können. Die resultierendenSignaturen können starke Sicherheitseigenschaften haben, wie zum Beispiel EUF-CMA-Sicherheit.Einmalsignaturen können von sehr schwachen Komplexitätsannahmen konstruiert werden, wie zumBeispiel der Schwierigkeit des diskreten Logarithmusproblems oder, noch allgemeiner, der Existenzvon Einwegfunktionen. Zusammen mit der zuvor genannten generischen Konstruktion von Mehrfach-Signaturen aus Einmalsignaturen ist dies interessant, da es dabei hilft die minimal nötigen Komplexitätsannahmenfür die Konstruktion digitaler Signaturen zu erforschen. Darüber hinaus sind Einmalsignaturenein wichtiger Baustein für viele kryptographische Konstruktionen.In diesem Kapitel passen wir zunächst die bekannten Sicherheitsdefinitionen EUF-CMA und EUFnaCMAauf Einmalsignaturen an. Danach betrachten wir eine allgemeine Konstruktion von Einmalsignaturenaus Einwegfunktionen und zwei spezielle Konstruktionen basierend auf konkreten Komplexitätsannahmen.Zum Schluss stellen wir einige Anwendungen von Einmalsignaturen vor. Dazu gehörteine generische Konstruktion an, die es erlaubt aus einem beliebigen EUF-naCMA-sicheren Signaturverfahrenein EUF-CMA-sicheres Signaturverfahren zu bauen. Diese Transformation ist sehr hilfreich,und wird in der Literatur immer wieder benutzt. Danach beschreiben wir Baum-basierte Signaturen(„Merkle Trees“).2.1 SicherheitsdefinitionFalls wir einem Angreifer erlauben wollen (non-adaptive) chosen-message Signaturanfragen zu stellen,wie wir es im CMA und naCMA Angreifermodell tun, so müssen bei der Betrachtung von Einmalsignaturverfahrenbeachten, dass solche Verfahren nur dann Sicherheit gewährleisten müssen, wenn nur eineeinzige Signatur ausgestellt wird.16