杨波, 《现代密码学(第2版)》07

杨波, 《现代密码学(第2版)》07

第7章 数字签字和密码协议 数字签字的基本概念 数字签字标准 其他签字方案 认证协议 身份证明技术 其他密码协议

杨波, 《现代密码学(第2版)》07

数字签字由公钥密码发展而来，它在网络安全，包 括身份认证、数据完整性、不可否认性以及匿名性 等方面有着重要应用。 本章首先介绍数字签字的基本概念和一些常用的数 字签字算法，然后介绍身份认证协议、身份证明技 术以及其他一些常用的密码协议。

杨波, 《现代密码学(第2版)》07

7.1 数字签字的基本概念7.1.1 数字签字应满足的要求 消息认证的作用是保护通信双方以防第三方 的攻击，然而却不能保护通信双方中的一方防止另 一方的欺骗或伪造。通信双方之间也可能有多种形 式的欺骗，例如通信双方A和B(设A为发方，B为 收方)使用图6.1所示的消息认证码的基本方式通 信，则可能发生以下欺骗：

杨波, 《现代密码学(第2版)》07

① B伪造一个消息并使用与A共享的密钥产生该消 息的认证码，然后声称该消息来自于A。 ② 由于B有可能伪造A发来的消息，所以A就可以对 自己发过的消息予以否认。这两种欺骗在实际的应用中都有可能发生：例如在 电子资金传输中，收方增加收到的资金数，并声称 这一数目来自发方。又如用户通过电子邮件向其证 券经纪人发送对某笔业务的指令，以后这笔业务赔 钱了，用户就可否认曾发送过相应的指令。

杨波, 《现代密码学(第2版)》07

因此，在收发双方未建立起完全的信任关系且存在 利害冲突的情况下，单纯的消息认证就显得不够。 数字签字技术则可有效解决这一问题。 类似于手书签字，数字签字应具有以下性质： ① 能够验证签字产生者的身份，以及产生签字的 日期和时间。 ② 能用于证实被签消息的内容。 ③ 数字签字可由第三方验证，从而能够解决通信 双方的争议。

杨波, 《现代密码学(第2版)》07

由此可见，数字签字具有认证功能。为实现上 述3条性质，数字签字应满足以下要求： ① 签字的产生必须使用发方独有的一些信息以防 伪造和否认。 ② 签字的产生应较为容易。 ③ 签字的识别和验证应较为容易。 ④ 对已知的数字签字构造一新的消息或对已知的 消息构造一假冒的数字签字在计算上都是不可行的。

杨波, 《现代密码学(第2版)》07

7.1.2 数字签字的产生方式数字签字的产生可用加密算法或特定的签字算法。

1. 由加密算法产生数字签字利用加密算法产生数字签字是指将消息或消息 的摘要加密后的密文作为对该消息的数字签字。 其用法根据是单钥加密还是公钥加密而有所不同。

杨波, 《现代密码学(第2版)》07

(1) 单钥加密 如图7.1(a)所示，发送方A根据单钥加密算法以与接 收方B共享的密钥K对消息M加密后的密文作为对 M的数字签字发往B。该系统能向B保证所收到的 消息的确来自A,因为只有A知道密钥K。再者B恢 复出M后，

可相信M未被篡改，因为敌手不知道K 就不知如何通过修改密文而修改明文。具体来说， 就是B执行解密运算Y=DK(X),如果X是合法消息 M加密后的密文，则B得到的Y就是明文消息M, 否则Y将是无意义的比特序列。

杨波, 《现代密码学(第2版)》07

图7.1 消息加密产生数字签字的基本方式

杨波, 《现代密码学(第2版)》07

(2) 公钥加密 如图7.1(b)所示，发送方A使用自己的秘密钥SKA对 消息M加密后的密文作为对M的数字签字，B使用A 的公开钥PKA对消息解密，由于只有A才拥有加密 密钥SKA,因此可使B相信自己收到的消息的确来自 A。然而由于任何人都可使用A的公开钥解密密文， 所以这种方案不提供保密性。为提供保密性，A可 用B的公开钥再一次加密，如图7.1(c)所示。

杨波, 《现代密码学(第2版)》07

下面以RSA签字体制为例说明数字签字的产生过程。 ① 体制参数。 选两个保密的大素数p和q,计算n=p×q, φ(n)=(p-1)(q-1);选一整数e,满足1<e<φ(n),且 gcd(φ(n), e)=1;计算d,满足d·e≡1 mod φ(n);以{e, n}为公开钥, {d, n}为秘密钥。 ② 签字过程。 设消息为M,对其签字为 S≡Md mod n

杨波, 《现代密码学(第2版)》07

③ 验证过程。e 接收方在收到消息M和签字S后，验证 M S mod n 是否成立，若成立，则发送方的签字有效。 ?

实际应用时，数字签字是对消息摘要加密产生，而 不是直接对消息加密产生，如图6.3(a)~图6.3(d)所 示。

杨波, 《现代密码学(第2版)》07

由加密算法产生数字签字又分为外部保密方式 和内部保密方式，外部保密方式是指数字签字是直 接对需要签字的消息生成而不是对已加密的消息生 成，否则称为内部保密方式。

外部保密方式便于解决争议，因为第3方在处 理争议时，需得到明文消息及其签字。但如果采用 内部保密方式，第3方必须得到消息的解密密钥后 才能得到明文消息。如果采用外部保密方式，接收 方就可将明文消息及其数字签字存储下来以备以后 万一出现争议时使用。

杨波, 《现代密码学(第2版)》07

2. 由签字算法产生数字签字 签字算法的输入是明文消息M和密钥x,输出 是对M的数字签字，表示为S=Sigx(M)。相应于签 字算法，有一验证算法，表示为Verx(S, M),其取 值为

True S Sig x M Verx S , M False S Sig x M 算法的安全性在于从M和S难以推出密钥x或伪造一 个消息M′使M′和S可被验证为真。

杨波, 《现代密码学(第2版)》07

7.1.3 数字签字的执行方式数字签字的执行方式有两类： 直接方式和具有仲 裁的方式。 1. 直接方式 指数字签字的执行过程只有通信双方参与，并假定 双方有共享的秘密钥或接收一方知道发方的公开钥。

杨波, 《现代密码学(第2版)》07

直接方式的数字签字有一公共弱点，即方案的有效 性取决于发方秘密钥的安全性。 如果发方想对已发出的消息予以否认，就可声 称自己的秘密钥已丢失或被窃，因此自己的签字是 他人伪造的。可采取某些

行政手段，虽然不能完全 避免但可在某种程度上减弱这种威胁。例如，要求 每一被签字的消息都包含有一个时戳(日期和时间) 并要求密钥丢失后立即向管理机构报告。 这种方式的数字签字还存在发方的秘密钥真的 被偷的危险，例如敌手在时刻T偷得发方的秘密钥， 然后可伪造一消息，用偷得的秘密钥为其签字并加 上T以前的时刻作为时戳。