Digitale Signaturen - Tibor Jager

fahren [BF01] oder die ersten kurzen Signaturen über bilinearen Gruppen [BLS01, BLS04] (die wir ineinem späteren Kapitel betrachten werden) nur Beweise im Random Oracle Modell.Eine erste Konstruktion eines neuen Bausteins anzugeben, auch wenn der Sicherheitsbeweis zunächstnur im Random Oracle Modell ist, kann dabei helfen zu lernen wie man den gesuchten neuenBaustein prinzipiell konstruieren könnte. Eine zweiter Schritt ist dann die Suche nach einer ausgefeilterenKonstruktion, möglicherweise einer Variante der Ersten, die einen Sicherheitsbeweis im Standardmodellhat.Bemerkung 63. Es gibt auch kryptographische Bausteine, von denen man weiss dass sie nur im RandomOracle Modell beweisbar existieren. Ein Beispiel dafür sind Verschlüsselungsverfahren, die sicher gegenso genannte adaptive Korruption von Empfängern ist („non-commiting encryption“) [Nie02].4.2.2 Sicherheitsbeweis von RSA-FDH im Random Oracle ModellTheorem 64. Sei Σ = (Gen, Sign, Vfy) das RSA-FDH Signaturverfahren mit Hashfunktion H. Wenn Hals Random Oracle modelliert wird, dann existiert für jeden Angreifer A, der die EUF-CMA-Sicherheitvon Σ in Zeit t A mit Erfolgswahrscheinlichkeit ɛ A bricht, und dabei q H Anfragen an das Random Oraclestellt, ein Angreifer B der das RSA-Problem löst in Zeit t B ≈ t A mit Erfolgswahrscheinlichkeit mindestensɛ B ≥ ɛ A − 1/Nq H.Beweis. Die Grundlage des Sicherheitsbeweises ist die Beobachtung, dass der Angreifer das RandomOracle fragen muss, um einen Hashwert zu berechnen. Das Random Oracle wird vom Challenger implementiert.Die Beweisidee ist, eine gegebene RSA-Challenge auf geschickte Art und Weise so in dieAntworten des Random Oracles einzubetten, dass man den Signatur-Angreifer benutzen kann um dasRSA-Problem zu lösen.Ein erfolgreicher Angreifer erhält als Eingabe einen public key (N, e), darf Signatur-Anfragen stellen,und gibt am Ende (m ∗ , σ ∗ ) aus, sodass σ ∗ = H(m ∗ ) 1/e . Wir betrachten wieder zwei Ereignisse,die der Angreifer im Verlaufe des Experimentes hervorrufen kann:• Wir sagen dass Ereignis E 0 eintritt, falls der Angreifer A erfolgreich eine gültige Signatur (m ∗ , σ ∗ ) =(m ∗ , H(m ∗ ) 1/e ) ausgibt und A im Verlaufe des Experimentes niemals das Random Oracle nachdem Hashwert H(m ∗ ) gefragt hat.• Wir sagen dass Ereignis E 1 eintritt, falls der Angreifer A (m ∗ , σ ∗ ) = (m ∗ , H(m ∗ ) 1/e ) ausgibtund A im Verlaufe des Experimentes irgendwann einmal das Random Oracle nach dem HashwertH(m ∗ ) gefragt hat.Jeder erfolgreiche Angreifer ruft entweder Ereignis E 0 oder Ereignis E 1 hervor, also giltDiese Ungleichung lässt sich umformen zuɛ A ≤ Pr[E 0 ] + Pr[E 1 ].Pr[E 1 ] ≥ ɛ A − Pr[E 0 ]. (4.1)54