Digitale Signaturen - Tibor Jager

2. Dann wird pk (1) mit dem langlebigen sk signiert:σ ′ := Sign ′ (sk, pk (1) ).Die Signatur σ für Nachricht m ist σ := (pk (1) , σ (1) , σ ′ ).Vfy(pk, m, σ). Der Verifikationsalgorithmus prüft ob beide in σ = (pk (1) , σ (1) , σ ′ ) enthaltenen Signaturengültig sind. Die Signatur wird akzeptiert, also es wird 1 ausgegeben, wennAnsonsten wird 0 ausgegeben.Vfy (1) (pk (1) , m, σ (1) ) = 1 und Vfy ′ (pk, pk (1) , σ ′ ) = 1.Die Idee der Transformation ist also zuerst jede Nachricht mit einem frisch generierten Schlüssel vonΣ 1 zu signieren. Der frisch generierte Schlüssel wird dann mit Hilfe des langlebigen Schlüssels sk„zertifiziert“.Theorem 32. Für jeden Angreifer A, der die EUF-CMA-Sicherheit von Σ in Zeit t A mit Erfolgswahrscheinlichkeitɛ A bricht, und dabei höchstens q Signaturanfragen stellt, existiert ein Angreifer B der inZeit t B ≈ t A läuft und• entweder die EUF-1-naCMA-Sicherheit von Σ (1) bricht, mit einer Erfolgswahrscheinlichkeit vonmindestensɛ (1) ≥ ɛ A2q ,• oder die EUF-naCMA-Sicherheit von Σ ′ bricht, mit einer Erfolgswahrscheinlichkeit von mindestensɛ ′ ≥ ɛ A2 .Falls wir annehmen dass sowohl Σ ′ als auch Σ (1) sicher sind, also ɛ ′ und ɛ (1) vernachlässigbar kleinsind für alle Polynomialzeit-Angreifer B, so muss auch ɛ A vernachlässigbar klein sein.Beweis. Jeder EUF-CMA-Angreifer A stellt eine Reihe von adaptiven Signatur-Anfragen m 1 , . . . , m q ,q ≥ 0, auf welche er als Antwort Signaturen σ 1 , . . . , σ q erhält, wobei jede Signatur σ i aus drei Komponentenσ i = (pk (1)i, σ (1)∗i, σ i ′ ) besteht. Wir betrachten zwei verschiedene Ereignisse:• Ereignis E 0 tritt ein, falls der Angreifer eine gültige Fälschung (m ∗ , σ ∗ ) = (m ∗ , (pk (1)∗ , σ (1)∗ , σ ′∗ ))ausgibt, sodasspk (1)∗ = pk (1)i.für mindestens ein i ∈ {1, . . . , q}.Ereignis E 0 tritt also ein, wenn der Angreifer einen temporären public key pk (1)iaus einer derSignaturen σ i ∈ {σ 1 , . . . , σ q } wieder benutzt.• Ereignis E 1 tritt ein, falls der Angreifer eine gültige Fälschung (m ∗ , σ ∗ ) = (m ∗ , (pk (1)∗ , σ (1)∗ , σ ′∗ ))ausgibt, sodasspk (1)∗ ≠ pk (1)i.für alle i ∈ {1, . . . , q}.Ereignis E 1 tritt also ein, wenn der Angreifer eine Signatur fälscht, die einen neuen temporärenpublic key pk (1)∗ enthält.28