Digitale Signaturen - Tibor Jager

Präfixe. Bevor wir die Konstruktion der Transformation angeben, müssen wir noch „Präfixe“ von Bit-Strings definieren und ein technisches Lemma angeben, das wir im Beweis benutzen werden.Definition 73. Sei m ∈ {0, 1} n ein Bit-String. Wir schreiben m |w , und sagen dass m |w das w-te Präfixvon m ist, wenn• |m |w | = w gilt, also die Länge von m |w genau w ist, und• m |w identisch ist zu den ersten w Bits von m.Beispiel 74. Sei n = 4 und m = 1011 ∈ {0, 1} 4 . Dann ist m |1 = 1, m |2 = 10, m |3 = 101 undm |4 = 1011.Im Beweis von Theorem 77 benutzen wir das folgende Lemma.Lemma 75. Sei m 1 , . . . , m q eine Liste von q beliebigen Nachrichten, wobei m ii ∈ {1, . . . , q}. Sei m ∗ ∈ {0, 1} n sodass m ∗ ≠ m i für alle i ∈ {1, . . . , q}.∈ {0, 1} n für alle1. Es existiert ein kürzestes Präfix m ∗ |w von m∗ , das kein Präfix von irgendeiner Nachricht m i ausder Liste m 1 , . . . , m q ist.2. Selbst wenn wir nur (m 1 , . . . , m q ) gegeben haben, aber nicht m ∗ , können wir dieses Präfix korrektbestimmen, mit einer Erfolgswahrscheinlichkeit von mindestens 1/(qn).Übungsaufgabe 76. Beweisen Sie Lemma 75.Die Transformation. Sei ˜Σ = (˜Gen, ˜Sign, Ṽfy) ein (SUF-naCMA-sicheres) Signaturverfahren. Wirkonstruieren daraus ein neues, (EUF-naCMA-sicheres) Signaturverfahren Σ = (Gen, Sign, Vfy).Gen(1 k ). Der Schlüsselerzeugungsalgorithmus erzeugt ein Schlüsselpaar durch (pk, sk) $ ← ˜Gen(1 k ).Sign(sk, m). Um eine Nachricht m ∈ {0, 1} n zu signieren, werden alle Präfixe von m mit ˜Sign signiert:˜σ (w) := ˜Sign(sk, m |w )∀w ∈ {1, . . . , n}.Die Signatur für m besteht aus σ := (˜σ (1) , . . . , ˜σ (n) ).Vfy(pk, m, σ). Der Verifikationsalgorithmus erhält σ := (˜σ (1) , . . . , ˜σ (n) ), und prüft ob der Wert ˜σ (w)eine gültige Signatur für m |w ist, für alle w ∈ {1, . . . , n}:Ṽfy(pk, m |w , ˜σ (w) ) ? = 1∀w ∈ {1, . . . , n}.Die Grundidee der Transformation ist also sehr einfach: Nicht nur die Nachricht m = m |n wird signiert,sondern auch alle Präfixe von m.Wir können zeigen, dass dieses Verfahren Σ tatsächlich EUF-naCMA-sicher ist, falls das zugrundeliegendeVerfahren Σ ′ SUF-naCMA-sicher ist. Dies wird wieder durch Widerspruch beweisen.Theorem 77. Für jeden Angreifer A, der die EUF-naCMA-Sicherheit von Σ bricht in Zeit t A mitErfolgswahrscheinlichkeit ɛ A , existiert ein Angreifer B, der die SUF-naCMA-Sicherheit von ˜Σ brichtin Zeit t B mit Erfolgswahrscheinlichkeitɛ B ≥ ɛ Aqn ,wobei n die Nachrichtenlänge und q die Anzahl der Chosen-Message Signatur-Anfragen von A ist.64