Tính bảo mật của chữ ký Schnorr có phụ thuộc vào hàm băm được sử dụng không?

Nó đóng góp cho an ninh. Đặc biệt, hàm băm $H$ phải là âkháng hình ảnh tiền tố ngẫu nhiênâ để an toàn trước các giả mạo Chỉ dành cho khóa và âkháng hình ảnh tiền tố thứ hai ngẫu nhiênâ để an toàn trước các giả mạo Tin nhắn đã biết.

Bằng cách tiền tố ngẫu nhiên kháng tiền tốâ, chúng tôi muốn nói rằng giá trị đầu ra đã cho $e$ và ngẫu nhiên $r$, thật khó để tìm thấy một $m$ như vậy mà $H(r||m)=e$ (và trong trường hợp hình ảnh trước thứ hai, ngay cả khi được cung cấp ví dụ $m$, thật khó để tìm một ví dụ thứ hai).

Nếu nó dễ dàng, thì chúng ta có thể chọn một cách tùy ý. $e$ và $s$ và (theo quy trình xác thực Schnorr) tính toán $r=g^sy^e$ và sau đó giải quyết vấn đề tiền ảnh của chúng tôi cho $e$ và $r$ để nhận được một tin nhắn $m$ mà $(s,e)$ là một chữ ký hợp lệ. Lưu ý rằng chúng tôi không nhất thiết phải kiểm soát $m$ và do đó, cuộc tấn công này là Cuộc tấn công duy nhất chính để tạo ra Giả mạo tồn tại và kế hoạch này sẽ không an toàn với EUF-KOA.

Tương tự, trong trường hợp giả định thứ hai, chúng ta có thể lấy một chữ ký hiện có cho một thông điệp $m$ và tạo một tin nhắn thứ hai $mâ$ với $H(r||m)=H(r||mâ)$. Chữ ký $(s,e)$ vì $m$ cũng sẽ hoạt động như một chữ ký cho $mâ$ và chương trình sẽ không an toàn với EUF-KMA.