Digitale Signaturen - Tibor Jager

• entweder die Kollisionsresistenz von h bricht mit Erfolgswahrscheinlichkeitɛ coll ≥ ɛ A /2,• oder das Strong-RSA-Problem löst mit Erfolgswahrscheinlichkeitɛ sRSA ≥ ɛ A /2.Beweis. Sei m 1 , . . . , m q die Liste der Nachrichten, für die A im EUF-naCMA-Experiment Signaturenangefragt hat. Wir betrachten wieder zwei Ereignisse.• Ereignis E 0 tritt ein, wenn A eine gültige Fälschung (m ∗ , σ ∗ ) ausgibt, und es existiert ein Index imit h(m ∗ ) = h(m i ).• Ereignis E 1 tritt ein, wenn A eine gültige Fälschung (m ∗ , σ ∗ ) ausgibt, und es gilt h(m ∗ ) ≠ h(m i )für alle i ∈ {1, . . . , q}.Jeder erfolgreiche Angreifer ruft entweder Ereignis E 0 oder Ereignis E 1 hervor, also gilt wiederɛ A ≤ Pr[E 0 ] + Pr[E 1 ],und somit muss auch entweder Pr[E 0 ] ≥ ɛ A /2 oder Pr[E 1 ] ≥ ɛ A /2 oder beides gelten.Ereignis E 0 . Falls Ereignis E 0 eintritt, können wir die Kollisionsresistenz der Funktion h brechen.Dieser Teil des Beweises ist recht simpel, und sehr ähnlich zu zuvor bereits vorgestellten Beweisen,welche mit der Kollisionsresistenz einer Funktion argumentieren. Daher lassen wir ihn aus.Ereignis E 1 . Falls Ereignis E 1 eintritt, so kann B das Strong-RSA-Problem wie folgt lösen. B erhältals Eingabe eine Instanz (N, y) des Strong-RSA-Problems, und muss (x, e) ausgeben sodass e > 1 undx e ≡ y mod N.Zu Beginn des Experiments erhält B vom Angreifer A eine Liste von Nachrichten m 1 , . . . , m q .Dann berechnet B den Wert s ∈ Z N als∏s := yi∈{1,...,q} h(mi) mod N.Der öffentliche Schlüssel ist pk = (N, s), und hat die korrekte Verteilung.Die j-te Signatur für Nachricht m j bestimmt B durch Berechnung von∏σ j := yi∈{1,...,q}\{j} h(mi) mod N.Der Wert σ j ist eine gültige Signatur für Nachricht m j , denn die Verifikationsgleichung ist erfüllt:σ h(m j)j≡(y∏i∈{1,...,q}\{j} ) h(m h(m j ) ∏i) ≡ yi∈{1,...,q} h(mi) ≡ s mod N.Mit Wahrscheinlichkeit Pr[E 1 ] gibt A eine Fälschung (m ∗ , σ ∗ ) aus, sodass gilt• h(m ∗ ) ≠ h(m i ) für alle i ∈ {1, . . . , q}, und• (σ ∗ ) h(m∗) ≡ s mod N.58