Digitale Signaturen - Tibor Jager

sieht. Daher konnten wir den Wert s ∈ Z N , der im pk steht, so aufsetzen, dass wir „genau dierichtigen“ h(m i )-ten Wurzeln aus s berechnen konnten:s := y ∏ i h(m i) mod NDieser Schritt ist im Beweis des GHR-Verfahrens könnte genauso funktionieren, wenn wir stattder Strong-RSA die RSA-Annahme treffen. Hier scheint also nicht das Problem zu liegen.Extraktion. Wenn uns der Angreifer eine Fälschung (m ∗ , σ ∗ ) mits ≡ (σ ∗ ) h(m∗) mod Nliefert, dann konnten wir (falls A keine Kollision für h gefunden hat) mit Hilfe von Shamir’s Trickeine neue h(m ∗ )-te Wurzel von y berechnen, und so das Strong-RSA-Problem lösen.Leider hatten wir (d.h. der Simulator im Beweis) keinen Einfluß auf den Wert h(m ∗ ), denn m ∗wird im EUF-naCMA-Experiment vom Angreifer gewählt. Um das Strong-RSA-Problem zu lösenist jedoch ausreichend irgendeine nichttriviale Wurzel von y zu berechnen – wir müssen nichtsüber h(m ∗ ) wissen, ausser dass h(m ∗ ) ≠ h(m i ) für alle i ∈ {1, . . . , q} gelten muss. Beim RSA-Problem ist das anders, denn wir müssen eine ganz bestimmte e-te Wurzel ziehen. Nämlich fürgenau den Wert e, den uns die gegebene Instanz (N, e, y) des RSA-Problems vorgibt.Hier liegt also das Problem. Der Angreifer im EUF-naCMA-Experiment gewinnt, wenn er einegültige Fälschung (m ∗ , σ ∗ ) für eine beliebige neue Nachricht m ∗ ausgibt. Daher ist es schwierigfür uns, den Angreifer dazu zu bewegen, dass er uns „genau die richtige“ e-te Wurzel berechnet.Selektive Sicherheit. Können wir einen Sicherheitsbeweis für GHR-Signaturen unter der (klassischen)RSA-Annahme angeben, wenn wir den Angreifer im Experiment dazu zwingen eine Fälschungfür eine bestimmte Nachricht m ∗ auszugeben?Wir schwächen das EUF-naCMA-Experiment etwas ab, und betrachten im Folgenden das selectiveunforgeability under non-adaptive chosen-message attack (SUF-naCMA) Sicherheitsexperiment,welches mit einem Angreifer A, Challenger C und Signaturverfahren (Gen, Sign, Vfy) wie folgt abläuft(siehe auch Abbildung 4.2):1. Der Angreifer legt sich zu Beginn auf die Nachricht m ∗ fest, für die er eine Signatur fälschenwird.2. Dann gibt der Angreifer gibt q Nachrichten (m 1 , . . . , m q ) aus, sodass m i ≠ m ∗ für alle i ∈{1, . . . , q}. Dies sind die Nachrichten, für die A eine Signatur erfragt.$3. Der Challenger C generiert ein Schlüsselpaar (pk, sk) ← Gen(1 k ), und berechnet für jedesi ∈ {1, . . . , q} eine Signatur σ i := Sign(sk, m i ). Der Angreifer erhält pk und die Signaturen(σ 1 , . . . , σ q ).4. Am Ende gibt A eine Signatur σ ∗ aus. Er „gewinnt“ das Spiel, wennVfy(pk, m ∗ , σ ∗ ) = 1.A gewinnt also, wenn σ ∗ eine gültige Signatur für m ∗ ist.61