Digitale Signaturen - Tibor Jager

muss jedes Präfix der Nachricht m einzeln signiert werden. Daher wächst die Größe der Signaturen umden Faktor n.Im Falle von GHR-Signaturen ist es jedoch glücklicherweise (und interessanterweise) möglich, diesenFaktor n zu vermeiden. Dies erklären wir im nächsten Kapitel.4.4.3 Clevere „Kompression“ von GHR-SignaturenWenn man die Transformation aus dem vorigen Kapitel naiv auf GHR-Signaturen anwendet, dann werdendie Signaturen recht groß. Sei pk = (N, s, h) ein GHR-public key. Eine Signatur über eine n-BitNachricht m ∈ {0, 1} n besteht aus n Werten:σ ′ = (s 1/h(m |1) , . . . , s 1/h(m |n) ) ∈ Z n N.Im Falle von GHR-Signaturen geht es jedoch wesentlich effizienter. Wir berechnen einfach die Signaturalsσ = s ∏ nj=1 1/h(m |j) .Die n Werte der Signatur σ ′ können also in einen Wert σ „komprimiert“ werden.Das Hohenberger-Waters Verfahren. Wenn wir diese verbesserte Transformation auf GHR-Signaturenanwenden, dann erhalten wir das Signaturverfahren von Hohenberger und Waters [HW09b].Gen(1 k ). Der Schlüsselerzeugungsalgorithmus erzeugt einen RSA-Modulus N = P Q, wobei P und Qzwei zufällig gewählte Primzahlen sind. Außerdem wird s $ ← Z N gewählt, sowie κ $ ← {0, 1} kund α $ ← {0, 1} l , um die Funktion h wie zuvor zu beschreiben.Die Schlüssel sind pk := (N, s, (PRF, κ, α)) und sk := φ(N) = (P − 1)(Q − 1).Sign(sk, m). Um eine Nachricht m ∈ {0, 1} n zu signieren, wirdd :=1∏ ni=1 h(m mod φ(N)|i)berechnet. Die Signatur istσ := s d mod N.Vfy(pk, m, σ). Der Verifikationsalgorithmus gibt 1 aus, wenngilt. Ansonsten wird 0 ausgegeben.σ ∏ ni=1 h(m |i) ≡ s mod N.Man kann zeigen, dass dieses Verfahren EUF-naCMA-sicher ist. In Kombination mit einer RSA-basiertenEinmalsignatur oder Chamäleon-Hashfunktion ergibt sich so das erste RSA-basierte Signaturverfahren,dessen EUF-CMA-Sicherheit lediglich auf der Schwierigkeit des RSA-Problems beruht.66