Digitale Signaturen - Tibor Jager

UUF-NMA-Sicherheit. Man kann durch eine einfache Reduktion zeigen, dass „Lehrbuch“-RSA SignaturenUUF-NMA-sicher sind unter der Annahme dass das RSA-Problem „schwer“ ist. Dies istjedoch ein sehr schwaches Sicherheitsziel, und für praktische Anwendungen in der Regel nichtausreichend.Übungsaufgabe 57. Zeigen Sie, dass das „Lehrbuch“-RSA Signaturverfahren UUF-NMA-sicher ist,unter der Annahme dass das RSA-Problem „schwer“ ist.4.2 RSA Full-Domain Hash und das Random Oracle ModellIn diesem Kapitel beschreiben wir das RSA-basierte Full-Domain Hash Signaturverfahren (RSA-FDH),ein sehr wichtigstiges Verfahren. Es ist eine Erweiterung des „Lehrbuch“-RSA Verfahrens, bei der aufdie zu signierende Nachricht zunächst eine Hashfunktion angewendet wird, und dann der Hash derNachricht signiert wird. Wenn man eine geeignete (jedoch sehr starke) Anforderung an die Sicherheitder Hashfunktion stellt, dann kann man zeigen dass dies die Schwachpunkte des „Lehrbuch“-RSA Verfahrensbeseitigt.Gen(1 k ). Der Schlüsselerzeugungsalgorithmus erzeugt einen RSA-Modulus N = P Q, wobei P undQ zwei zufällig gewählte Primzahlen sind. Weiterhin wird eine Zahl e ∈ N mit e ≠ 1 undggT(e, φ(N)) = 1 gewählt, und der Wert d := e −1 mod φ(N) berechnet. Zum Schluss wird eineHashfunktionH : {0, 1} ∗ → Z Nausgewählt. Der öffentliche Schlüssel ist pk := (N, e, H), der geheime Schlüssel ist sk := d.Sign(sk, m). Um eine Nachricht m ∈ {0, 1} ∗ zu signieren wird σ ∈ Z N berechnet alsσ := H(m) d mod N.Vfy(pk, m, σ). Der Verifikationsalgorithmus gibt 1 aus, wenngilt, und ansonsten 0.H(m) ≡ σ e mod NCorrectness.Die Correctness des Verfahrens ergibt sich wieder durch Einsetzen:da d · e ≡ 1 mod φ(N) ist.σ e ≡ (H(m) d ) e ≡ H(m) de mod φ(N) ≡ H(m) mod N,Soundness. Um die EUF-CMA-Sicherheit des RSA-FDH Verfahrens beweisen zu können, müssenwir neben der RSA-Annahme noch eine geeignete Annahme über die Sicherheit der Hashfunktion Htreffen. Offensichtlich müssen wir zumindest mal annehmen, dass H kollisionsresistent ist, ansonstenkönnte ein Angreifer zunächst eine Kollision m, m ∗ mit H(m) = H(m ∗ ) für H finden und diese dannbenutzen um das EUF-CMA-Experiment zu gewinnen.Weiterhin darf H natürlich nicht die Identitätsabbildung sein (welche ja offensichtlich kollisionsresistentist), denn ansonsten wäre das resultierende Full-Domain-Hash Verfahren ja identisch zum51