Digitale Signaturen - Tibor Jager

Basierend auf dieser Chamäleon-Hashfunktion lässt sich eine (randomisierte) Hashfunktion h, die aufPrimzahlen abbildet, konstruieren. Um den Hashwert h(m) einer Nachricht m zu berechnen, geht manwie folgt vor:1. Wähle so lange zufällige Werte (m ′ , r ′ $) ← {0, 1} n × Z N ′, bis p = ch(m ′ , r ′ ) ∈ [0, N ′ − 1]eine Primzahl ist (dies geht relativ schnell, nach dem Primzahlsatz sind ungefähr log N ′ Versuchenötig).2. Berechne durch r = TrapColl(τ, m ′ , r ′ , m) eine Randomness r, sodass ch(m, r) = p.Die Randomness r wird dann zusammen mit der Signatur an den Empfänger gesandt. Die Kollisionsresistenzdieser Funktion h folgt aus der Kollisionsresistenz der Chamäleon-Hashfunktion.Eine weiterer Vorteil ist auch, dass man nun die Chamäleon-Eigenschaft von h auch gleich mitbenutzenkann, um EUF-CMA-Sicherheit des resultierenden Signaturverfahrens zu beweisen. Eine zweiteChamäleon-Hashfunktion zur Anwendung der Transformation aus Kapitel 2.4 ist somit nicht nötig.4.4 Hohenberger-Waters SignaturenEin beweisbar EUF-CMA-sicheres Signaturverfahren das auf der Schwierigkeit des RSA-Problems basiertwar sehr lange ein offenes Problem. Im Jahr 2009 haben Hohenberger und Waters [HW09b] daserste solche Verfahren vorgestellt.Die Konstruktion von Hohenberger und Waters kann man auch als eine clevere Erweiterung desGHR-Verfahrens (Kapitel 4.3) ansehen. Diese basiert auf drei Beobachtungen, die wir in den folgendenKapiteln beschreiben:• Man kann zeigen dass GHR-Signaturen sicher sind unter der (klassischen) RSA-Annahme, wennman ein schwächeres Sicherheitsziel betrachtet, nämlich „selektive Sicherheit“ (SUF-naCMA).• Es gibt eine generische Transformation, mit der man aus einem SUF-naCMA-sicheren Verfahrenein EUF-naCMA-sicheres Verfahren konstruieren kann.• Diese Transformation lässt sich besonders effizient auf das GHR-Verfahren anwenden.4.4.1 Selektive Sicherheit von GHR-SignaturenEin natürlicher Ansatz, um ein RSA-basiertes Signaturverfahren zu konstruieren, ist sich zuerst malein bekanntes Strong-RSA-basiertes Verfahren, wie das GHR-Verfahren, anzusehen. Warum reicht dieRSA-Annahme im Beweis nicht aus?Wie immer, wenn wir die Sicherheit eines Signaturverfahrens beweisen wollen, mussten wir imSicherheitsbeweis der GHR-Signaturen auf zwei Dinge achten:Simulation. Wir (bzw. der Algorithmus B, den wir im Beweis von Theorem 70 konstruiert haben)müssen in der Lage sein, im Beweis einen gültigen pk und gültige Signaturen für die Nachrichten„simulieren“.Hier konnten wir ausnutzen, dass der Angreifer im EUF-naCMA-Experiment die Nachrichten,für die er Signaturen sehen möchte, zu Beginn des Experiments ausgeben muss – bevor er den pk60