第19讲--数字签名2(密码学).ppt

第七章

数字签名

ElGamal签名体制离散对数签名体制的特例体制参数p：一个大素数；g：是Zp中乘群Zp*的一个生成元或本原元；M：消息空间，为Zp*；S：签字空间，为Zp*×Zp－1；x：用户秘密钥x?Zp*；y：用户公钥，y?gxmodpp，g，y为公钥，x为秘密钥。

ElGamal签名体制签名过程：给定消息M，进行下述工作。(a)选择秘密随机数k?Zp*；(b)计算r=gkmodps=(M－xr)k--1mod(p－1)(r,s)作为签字.

Elgamal签名体制验证过程：收信人收到M，(r,s)，按下式验证Verk(M,r,s)=真?yrrs?gMmodp因为yrrs?grxgsk?g(rx+sk)modp，(rx+sk)?Mmod(p－1)故有yrrs?gMmodp

Schnorr签名体制体制参数p,q：大素数，q|p-1。q是大于等于160bits的整数，p是大于等于512bits的整数，保证Zp中求解离散对数困难；g：Zp*中元素，且为Zq*中本原元；x：用户密钥1xq；y：用户公钥y?gxmodp。消息空间M=Zp*，签字空间S=Zp*×Zq；密钥空间K={(p,q,g,x,y):y?gxmodp}

Schnorr签名体制签字过程：令待签消息为M，对给定的M做下述运算：(a)发送者任选一秘密随机数k?Zq(b)计算r?gkmodps?k＋xemodp式中e=H(r||M)(c)签字S=Sigk(M)=(e,s)

Schnorr签名体制验证过程：收信人收到消息M及签字S=(e,s)后(a)计算r’?gsyemodp而后计算H(r’||M)。(b)验证Ver(M,r,s)?H(r’||M)=e因为，若(e，s)是M的合法签字，则有gsye?gk-xegxe?gk?rmodp。

Schnorr签名体制Schnorr签字与ElGamal签字的不同点：?在ElGamal体制中，g为Z*p的本原元素；而在Schnorr体制中，g为Zp*中子集Zq*的本原元素，它不是Zp*的本原元素。显然ElGamal的安全性要高于Schnorr。?Schnorr的签字较短，由|q|及|H(M)|决定。?在Schnorr签字中，r=gkmodp可以预先计算，k与M无关，因而签字只需一次modq乘法及减法。所需计算量少，速度快。

数字签名标准DigitalSignatureStandard(DSS)

概况由美国国家标准技术研究所1991年公布1993年公布修改版签名长度320bit只能用于数字签名，不能用于加密

DSS的基本方式M||HESKAMHDPKA比较M||HSKAMsHPKG比较VerPKGK随机数rPKASigRSA签名DSS签名全局公开钥

数字签名算法DSA在Elgamal和Schnorr两个方案基础上设计的算法描述:(a)全局公钥(p,q,g)p：是2L-1p2L中的大素数，512?L?1024，按64bits递增；q：(p－1)的素因子，且2159q2160，即字长160bits；g：=h(p-1)/qmodp，且1h(p－1)，使h(p-1)/qmodp1。(b)用户秘密钥x：x为在0xq内的随机数。(c)用户公钥y：=gxmodp。(d)用户每个消息用的秘密随机数k：在0kq内的随机数

数字签名算法DSA(e)签名过程：对消息M?M=Zp*，其签字为S=Sigk(M,k)=(r,s)，S?S=Zq×Zq,r?(gkmodp)modqs?[k-1(h(M)＋xr)]modq(f)验证过程：计算w=s-1modq;u1=[H(M)w]modq;u2=rwmodq;v=[(gu1yu2)modp]modq。Ver(M,r,s)=真?v=r

离散对数的一般签名体制体制参数p：大素数q：(p－1)的大素因子g：g∈Zp*,满足gq=1mo