WikiDer > Схема подписи Эль-Гамаля

Алгоритм верен в том смысле, что подпись, созданная с помощью алгоритма подписи, всегда будет принята проверяющим.

Расчет ${ displaystyle s}$ при генерации подписи подразумевает

${ Displaystyle Н (м) , эквив , xr + sk { pmod {p-1}}.}$

поскольку ${ displaystyle g}$ относительно проста с ${ displaystyle p}$,

${ displaystyle { begin {align} g ^ {H (m)} & Equiv g ^ {xr + sk} { pmod {p}} & Equiv (g ^ {x}) ^ {r} (g ^ {k}) ^ {s} { pmod {p}} & Equiv (y) ^ {r} (r) ^ {s} { pmod {p}}. end { выровнен}}}$

Безопасность

Третья сторона может подделать подписи, найдя секретный ключ подписывающей стороны. Икс или найдя коллизии в хэш-функции ${ Displaystyle Н (м) эквив Н (М) { pmod {р-1}}}$. Обе проблемы считаются сложными. Однако по состоянию на 2011 г. резкого снижения до предположение о вычислительной сложности известен.

Подписывающая сторона должна быть осторожна при выборе другого k равномерно случайным образом для каждой подписи и чтобы убедиться, что k, или даже частичную информацию о k, не просочился. В противном случае злоумышленник может узнать секретный ключ. Икс с пониженной сложностью, возможно, достаточной для практической атаки. В частности, если два сообщения отправляются с одинаковым значением k и тот же ключ, тогда злоумышленник может вычислить Икс прямо.^[1]

Экзистенциальная подделка

Оригинальная бумага^[1] не включал хеш-функция как системный параметр. Сообщение м использовался непосредственно в алгоритме вместо H (м). Это позволяет атаковать под названием экзистенциальная подделка, как описано в разделе IV документа. Пойнтшеваль и Стерн обобщили этот случай и описали два уровня подделок:^[3]

1. Однопараметрическая подделка. Выберите ${ displaystyle e}$ такой, что ${ Displaystyle 1 <е <р-1}$. Набор ${ displaystyle r: = g ^ {e} y { bmod {p}}}$ и ${ displaystyle s: = - r { bmod {(p-1)}}}$. Тогда кортеж ${ displaystyle (r, s)}$ действительная подпись для сообщения ${ displaystyle m = es { bmod {(p-1)}}}$.
2. Двухпараметрическая подделка. Выбрать ${ Displaystyle 1 <е, v <р-1}$, и ${ Displaystyle gcd (v, p-1) = 1}$. Набор ${ displaystyle r: = g ^ {e} y ^ {v} { bmod {p}}}$ и ${ displaystyle s: = - rv ^ {- 1} { bmod {(p-1)}}}$. Тогда кортеж ${ displaystyle (r, s)}$ действительная подпись для сообщения ${ displaystyle m = es { bmod {(p-1)}}}$. Однопараметрическая подделка является частным случаем двухпараметрической подделки, когда ${ displaystyle v = 1}$.

Смотрите также

• Модульная арифметика
• Алгоритм цифровой подписи
• Эллиптическая кривая DSA
• Шифрование Эль-Гамаля
• Подпись Шнорра
• Алгоритм подписи Пойнтчеваля – Стерна

использованная литература