Digitale Signaturen - Tibor Jager

Kapitel 4RSA-basierte SignaturverfahrenBislang haben wir in dieser Vorlesung Einmalsignaturverfahren und q-mal Signaturverfahren basierendauf Merkle-Bäumen kennen gelernt, wobei q polynomiell beschränkt war. In diesem Kapitel beginnenwir mit der Betrachtung von Signaturverfahren, die eine exponentielle Anzahl von Nachrichten signierenkönnen. Eine wichtige Klasse solcher Verfahren basiert auf Varianten der RSA-Annahme.Wir betrachten in diesem Kapitel zunächst das „Lehrbuch“-RSA Signaturverfahren, welches einigeNachteile (wie zum Beispiel Homomorphie, die im Kontext von Signaturverfahren nicht unbedingt vorteilhaftsein muss) mit sich bringt. Danach beschreiben und analysieren wir die folgenden RSA-basiertenSignaturverfahren:• Das RSA Full-Domain Hash Verfahren [BR96]. Die Sicherheitsanalyse dieses Verfahrens erfolgtin einem idealisierten Modell, dem so genannten Random Oracle Modell.• Das Signaturverfahren von Gennaro, Halevi und Rabin [GHR99]. Dieses ist das erste „Hashand-Sign“Signaturvefahren mit einem EUF-CMA-Sicherheitsbeweis, es basiert jedoch auf einerstärkeren Komplexitätsannahme, der so genannten Strong-RSA-Annahme.• Das RSA-basierte Signaturverfahren von Hohenberger und Waters [HW09b]. Dieses Verfahrenist das Erste, welches beweisbar EUF-CMA-sicher ist unter der RSA-Annahme. Es ist jedochleider relativ ineffizient. Die Konstruktion eines effizienten RSA-basierten Signaturverfahrens mitBeweis im Standardmodell (also ohne Random Oracles und ähnliche Idealisierungen) ist ein wichtigesoffenes Problem.• Zum Schluss beschreiben wir das Signaturverfahen von Fischlin [Fis03] und seine Sicherheitsanalyse.Dieses Verfahren basiert wieder auf der strong-RSA Annahme, und ist das effizientestebekannte Signaturverfahren das unter einer RSA-artigen Komplexitätsannahme beweisbar EUF-CMA-sicher ist.4.1 „Lehrbuch“-RSA SignaturenSei N ∈ N eine natürliche Zahl. Wir verwenden die in Kapitel 2.3.2 eingeführte Notation und Definitionenvon Z N , Z ∗ Nund φ(N) sowie die Formulierung des RSA-Problems aus Definition 29.Das „Lehrbuch“-Signaturverfahren funktioniert so:49