Digitale Signaturen - Tibor Jager

Gen(1 k ). Der Schlüsselerzeugungsalgorithmus erzeugt einen RSA-Modulus N = P Q, wobei P und Qzwei zufällig gewählte Primzahlen sind. Dann wird eine Zahl e ∈ N mit e ≠ 1 und ggT(e, φ(N)) =1 gewählt, und der Wert d := e −1 mod φ(N) berechnet.Der öffentliche Schlüssel ist pk := (N, e), der geheime Schlüssel ist sk := d.Sign(sk, m). Um eine Nachricht m ∈ Z N zu signieren wird σ ∈ Z N berechnet alsσ ≡ m d mod N.Vfy(pk, m, σ). Der Verifikationsalgorithmus gibt 1 aus, wenngilt, und ansonsten 0.m ≡ σ e mod NCorrectness.dahergilt.Die Correctness des Verfahrens ergibt sich daraus, dass d ≡ e −1 mod φ(N) ist undσ e ≡ (m d ) e ≡ m de mod φ(N) ≡ m 1 mod φ(N) ≡ m mod NSicherheit von „Lehrbuch“-RSA Signaturen. Das „Lehrbuch“-RSA Signaturverfahren ist sehr einfach,und eignet sich daher gut um das Prinzip digitaler Signaturen in Lehrbüchern zu erklären. Es istfür viele praktische Anwendungen jedoch zu schwach.EUF-Sicherheit. Es ist recht leicht zu sehen, dass das „Lehrbuch“-RSA Signaturverfahren nicht EUF-NMA-sicher ist, und somit auch nicht EUF-CMA-sicher.Ein Angreifer kann einfach eine beliebige Signatur σ ∗ ∈ Z N wählen, und sich die passende Nachrichtm ∗ dazu berechnen als m ∗ ≡ (σ ∗ ) e mod N. Offensichtlich ist (m ∗ , σ ∗ ) eine gültige existentielleFälschung. Der Angreifer muss dafür noch nicht einmal eine chosen-message Anfrage anden Challenger stellen.UUF-CMA-Sicherheit. „Lehrbuch“-RSA Signaturen sind auch nicht UUF-CMA-sicher.Ein Angreifer erhält als Eingabe vom Challenger eine Nachricht m ∗ . Sein Ziel ist die Berechnungeiner Signatur σ ∗ mit (σ ∗ ) e ≡ m ∗ mod N. Er geht dazu so vor:1. Der Angreifer wählt einen zufälligen Wert x $ ← Z ∗ N \ {1} und berechnet y ≡ xe mod N.2. Dann berechnet der Angreifer m 1 := m ∗ · y mod N, und fragt den Challenger nach einerSignatur für m 1 . Weil x ≠ 1 mod N gewählt wurde, ist auch y ≠ 1 mod N. Daher istm 1 ≠ m ∗ . Als Antwort erhält der Angreifer daher einen Wert σ 1 mit σ e 1 ≡ m 1 mod N.3. Zum Schluss berechnet der Angreifer σ ∗ ≡ σ 1 · x −1 mod N, und gibt σ ∗ aus. Dies istmöglich, weil x ∈ Z ∗ N invertierbar ist. Ausserdem ist dies eine gültige Signatur für m∗ ,denn(σ ∗ ) e ≡ (σ 1 · x −1 ) e ≡ σ e 1 · (x e ) −1 ≡ m 1 · y −1 ≡ m ∗ · y · y −1 ≡ m ∗ mod N.Die Tatsache, dass „Lehrbuch“-RSA Signaturenmultiplikativ homomorph sind, erlaubt alsodiesen UUF-CMA-Angriff.50