Digitale Signaturen - Tibor Jager

6.2.1 Das SignaturverfahrenSei im Folgenden H : ⋃ 64i=1 {0, 1}2i −1 → {0, 1} 160 die SHA-1 Hashfunktion. Das DSA-Verfahrenfunktioniert wie folgt.Gen(). Der Schlüsselerzeugungsalgorithmus bestimmt eine 1024-Bit Primzahl P , sodass es eine 160-Bit Primzahl p gibt die P − 1 teilt. Dann wird ein Generator g ∈ Z ∗ Pgewählt, sodassg P −1p≢ 1 mod Pgilt. 3 Dann wird x $ ← Z p gewählt und y := g x mod P berechnet. Das erzeugte Schlüsselpaar ist(pk, sk) mitpk = (P, p, g, y) und sk = x.Sign(sk, m). Um eine Nachricht m ∈ {0, 1} 264 −1 zu signieren, wird ein Zufallswert r $ ← Z p gewähltundt := (g r mod P ) mod p und s := (H(m) + xt) · r −1 mod pberechnet. Die Signatur ist σ := (t, s) ∈ Z p .Vfy(pk, m, σ). Der Verifikationsalgorithmus berechnet w := s −1 mod p und gibt 1 aus, wenn die Gleichung((t =? g H(m)·w · y t·w) )mod P mod pgilt, und ansonsten 0.Übungsaufgabe 105. Zeigen Sie die Correctness des DSA-Verfahrens.Es gibt einige Arbeiten, welche die beweisbare Sicherheit des DSA-Verfahrens analysieren [BPVY00,Bro02], jedoch betrachten diese entweder sehr eingeschränkte Angreifermodelle wie das generischeGruppen Modell [Sho97] oder modifizierte Varianten des DSA-Verfahrens. Ein Sicherheitsbeweis imStandardmodell oder dem Random Oracle Modell ist nicht bekannt – jedoch auch keine Angriffe.6.2.2 Der Angriff von Klíma und RosaIn diesem Kapitel beschreiben wir den Angriff von Klíma und Rosa [KR02] auf die DSA-Implementierungin OpenPGP. Es handelt sich dabei um einen Angriff auf die Implementierung des DSA-Verfahrens, nichtum einen kryptographische Angriff auf das Signaturverfahren.Bemerkung 106. Der in diesem Kapitel beschriebene Angriff ist nicht zu verwechseln mit dem Angriffvon Klíma, Pokorný und Rosa auf OpenSSL [KPR03]. In [KPR03] zeigen die Autoren eine Verfeinerungdes Bleichenbacher-Angriffs [Ble98] auf PKCS#1 v1.5 Verschlüsselung.Speicherung von DSA-Schlüsseln auf der Festplatte bei OpenPGP. Ein Schlüsselpaar wird in Open-PGP wird in einer Datei sekring.skr gespeichert. Diese Datei enthält den öffentlichen Schlüssel pksowie den geheimen Schlüssel sk. Der geheime Schlüssel wird verschlüsselt gespeichert und ist nur überdie Eingabe einer Passphrase zugänglich. Der öffentliche Schlüssel wird jedoch im Klartext gespeichert.Darüber hinaus enthält die Datei sekring.skr einige Metadaten, wie zum Beispiel Versionsnummernund (nicht-kryptographische) Prüfsummen.3 Anders ausgedrückt: g ist ein Generator der Untergruppe von Z ∗ P mit Ordnung p.85