Цифровая подпись

Схема цифровой подписи Эль-Гамаля

Криптосистема Эль-Гамаля была обсуждена в "B. Стандарты и организации по стандартизации" . Схема цифровой подписи Эль-Гамаля использует те же самые ключи, но алгоритм различен. рис. 3.9 дает общую идею схемы цифровой подписи Эль-Гамаля.

увеличить изображение
Рис. 3.9. Общая идея схемы цифровой подписи Эль-Гамаля

В процессе подписания две функции создают две подписи. На стороне подтверждения обрабатывают выходы двух функций и сравнивают между собой для проверки. Обратите внимание, что одна и та же функция применяется и для подписания, и для проверки, но использует различные входы. Рисунок показывает входы каждой функции. Сообщение - часть входа, для обеспечения функционирования при подписании; оно же - часть входа к функции 1 при подтверждении. Обратите внимание, что вычисления в функциях 1 и 3 проводятся по модулю p, а функции 2 - по модулю p - 1.

Генерация ключей

Процедура генерации ключей здесь точно такая же, как та, которая используется в криптографической системе. Выберем достаточно большое простое число p, чтобы в поле Z _p* проблема дискретного логарифма была достаточно трудной. Пусть e₁ - простой элемент в Z _p*. Алиса выбирает свой секретный ключ d, чтобы он был меньше, чем p - 1. Она вычисляет e₂ = e₁^d. Открытый ключ Алисы - кортеж (e₁, e₂, p) ; секретный ключ Алисы - d.

Подтверждение и проверка

Рисунок 3.10 показывает схему цифровой подписи Эль-Гамаля.

увеличить изображение
Рис. 3.10. Схема цифровой подписи Эль-Гамаля

Подписывающаяся Алиса может подписать дайджест сообщения, направленный к любому объекту, включая Боба.

1. Алиса выбирает секретное случайное число r. Обратите внимание, что хотя открытые и секретные ключи могут использоваться неоднократно, Алиса каждый раз нуждается в новом r, когда она подписывает новое сообщение.
2. Алиса вычисляет первую подпись S₁ = e^r mod p.
3. Алиса вычисляет вторую подпись S₂ = (М - d x S₁) x r^-1 mod (p - 1),где r - мультипликативная инверсия r по модулю p - 1.
4. Алиса передает М, S₁ и S₂ Бобу.

Проверка. Объект, например Боб, получает М, S₁ и S₂ и может проверить их следующим образом.

1. Боб проверяет, что 0 < S₁ < p.
2. Боб проверяет, что 0 < S₂ < p - 1.
3. Боб вычисляет V₁ = e₁^M mod p.
4. Боб вычисляет V₂ = e₂^S1 x e₂^S2 mod p.
5. Если V₁ является конгруэнтным V₂, сообщение принято; иначе оно будет отклонено. Мы можем доказать правильность этого критерия проверки, используя e₂ = e₁^d и S₁ = e₁^r:

   

   Мы имеем

   Поскольку e₁ - первообразный корень, может быть доказано, что вышеупомянутое сравнение справедливо тогда и только тогда, когда , и результат сравнения есть тот же самый S₂, с которого мы начали процесс подписания.

Пример 3.2

Ниже приводится тривиальный пример. Алиса выбрала p = 3119, e₁ = 2, d = 127 и вычислила e₂ = 2¹²⁷ mod 3119 = 1702. Она выбрала r равным 307. Она объявила e₁, e₂ и p ; она сохранила в тайне d. Далее показано, как Алиса может подписать сообщение.

M = 320
S1 = e1r = 2307 = mod3119
S2 = (M - d x S1) x r-1 = (320 - 127 x 2083) x 307-1 = 2105 mod 3118

Алиса передает М, S₁ и S₂ Бобу. Боб использует открытый ключ, чтобы вычислить, что сообщение подписано Алисой, потому что никто, кроме Алисы, не имеет секретного ключа d.

V1 = e1M = 2320 = 3006 mod 3119
V2 = dS1 x S2S1 =  17022083 x 20832105 = 3006 mod 3119

Поскольку V₁ и V₂ являются конгруэнтными, Боб принимает сообщение, и он предполагает, что сообщение было подписано Алисой, потому что никто, кроме нее, не имеет секретного ключа Алисы d.

Пример 3.3

Теперь вообразите, что Алиса хочет передать другое сообщение, М = 3000, Тэду. Она выбирает новое r = 107. Алиса передает М., S₁ и S₂ Тэду. Тэд использует общедоступные ключи, чтобы вычислить V₁ и V₂.

M = 3000
S1 = e1r = 2107 = 2732mod3119
S2 = (M - d x S1) x r-1 = (3000 - 127 x 2083) x 107-1 = 2526 mod 3118
V1 = e1M = 23000 = 704 mod 3119
V2 = dS1 x S1S2 =  17022732 x 20832526 = 704 mod 3119

Поскольку V₁ и V₂ являются конгруэнтными, Тэд принимает сообщение; он предполагает, что сообщение подписано Алисой, потому что никто, кроме нее, не имеет секретного ключа Алисы d. Обратите внимание, что сообщение может получить любой человек. Цель состоит не в том, чтобы скрыть сообщение, но в том, чтобы доказать, что его передает Алиса.

Подделка цифровой подписи в схеме Эль-Гамаля

Схема цифровой подписи Эль-Гамаля уязвима к экзистенциальной подделке, но селективную подделку на этой схеме сделать очень трудно.

Подделка только ключа. В этом типе подделки Ева имеет доступ только к открытому ключу. Возможны два варианта:

1. Ева имеет заранее заданное сообщение М. Она должна подделать подпись Алисы на этом сообщении. Ева должна найти две правильных подписи S₁ и S₂ для этого сообщения. Это - селективная подделка.
   • Ева может выбрать S₂ и вычислить S₁. Она должна иметь . Другими словами, или . Это означает вычисление дискретного логарифма, что является очень трудным.
   • Ева может выбрать S₂ и вычислить S₁. Это намного труднее, чем выполнить часть a
2. Ева может методом случайного подбора найти три значения, М, S₁ и S₂, такие, что подпись первого используется для второго. Если Ева может найти два новых параметра x и y, такие, что М = xS₂ mod (p - 1) и S₁ = -y S₂ mod (p - 1), то она может подделать сообщение, но серьезной выгоды не получит, поскольку это - экзистенциальная подделка.

Подделка при известном сообщении. Если Ева перехватила сообщение М и его две подписи S₁ и S₂, она может найти другое сообщение М', с той же самой парой подписей S₁ и S₂. Однако обратите внимание, что это - экзистенциальная подделка, которая не помогает Еве.