Digitale Signaturen - Tibor Jager

Algorithmus B kann also das RSA-Problem lösen mit einer Erfolgswahrscheinlichkeit von mindestensɛ B ≥ Pr[E 1 ]/q h . (4.3)Durch Einsetzen der Ungleichungen 4.2 und 4.3 in Ungleichung 4.1 erhalten wirɛ B · q H ≥ Pr[E 1 ] ≥ ɛ A − Pr[E 0 ] ≥ ɛ A − 1/N ⇐⇒ ɛ B ≥ ɛ A − 1/Nq H.Bemerkung 65. Im Beweis von Theorem 64 haben wir die Eigenschaft des Random Oracles, dass Hashwertegleichverteilt zufällig sind, ausgenutzt. Wir haben das Random Oracle so „programmiert“, dasswir mit guter Wahrscheinlichkeit 1/q H sowohl alle Signaturanfragen des Angreifers beantworten können(„Simulation“), als auch eine Lösung des RSA-Problems aus der gefälschten Signatur extrahierenkönnen („Extraktion“). Diese Beweistechnik nennt man auch „Programmierung des Random Oracles“.Sie wird häufig in Sicherheitsbeweisen im Random Oracle Modell angewandt.Bemerkung 66. Wir mussten im Beweis die Annahme treffen, dass die Hashfunktion H ein RandomOracle ist. Dies ist eine sehr starke Annahme. Eine naheliegende Frage ist nun: Ist das Random OracleModell unbedingt notwendig, um die Sicherheit von RSA-FDH zu zeigen? Oder kann man einen Sicherheitsbeweisfür RSA-FDH im Standardmodell finden? Es gibt einige Ergebnisse, die besagen dass diesunter bestimmten Bedingungen nicht möglich ist [DOP05, DHT12]. Es ist jedoch nicht ausgeschlossendass es einen Beweis gibt, der diese Unmöglichkeitsergebnisse geschickt umgeht. Dies ist ein wichtigesoffenes Problem.Bemerkung 67. Im Beweis wurde die Erfolgswahrscheinlichkeit des RSA-Angreifers B von unten beschränktdurchɛ B ≥ ɛ A − 1/Nq H.Man sieht, dass die Erfolgswahrscheinlichkeit von B kleiner wird, wenn q H größer wird. Also: Je mehrHash-Anfragen der Signatur-Angreifer A stellt, umso kleiner wird die Erfolgswahrscheinlichkeit von B.Dabei kann q H sehr groß werden, da Hashfunktionen üblicherweise sehr effizient ausgewertet werdenkönnen.Auf der Eurocrypt 2012 haben Kakvi und Kiltz [KK12] einen verbesserten Sicherheitsbeweis vorgestellt,der unabhängig von q H ist. Dazu muss in [KK12] jedoch eine stärkere Komplexitätsannahmegetroffen werden, die so genannte Phi-Hiding Annahme.Der Beweis in [KK12] ist sehr ähnlich zu dem hier vorgestellten Beweis. Daher empfiehlt es sich,dieses Papier einmal zu lesen.4.3 Gennaro-Halevi-Rabin SignaturenDas im vorigen Kapitel vorgestellte RSA-FDH Signaturverfahren ist sehr effizient, und damit in derPraxis gut einsetzbar. Leider ist es jedoch nur im Random Oracle Modell beweisbar EUF-CMA-sicher.Ein praktisches Signaturverfahren, das auf der RSA-Annahme basiert, und einen Sicherheitsbeweis imStandardmodell hat, ist ein wichtiges offenes Problem. 22 Es ist bislang nur ein recht ineffizientes RSA-basiertes Verfahren bekannt, welches beweisbar EUF-CMA-sicher ist. Dieseswerden wir in Kapitel 4.4 vorstellen.56