Sửa đổi an toàn của DSA?

mti

13:21, 28/09/2023

Trong DSA, chúng tôi tính toán chữ ký $(r,s)$ trên $m$ bằng cách lấy mẫu $k\in\{1,...,q-1\}$ và sau đó tính toán

$r := g^k \bmod p$

$s := k^{-1}*(m+x*r) \bmod q$

Trong quá trình xác minh, chúng tôi tính toán $v:=g^{m*s^{-1}}*y^{r*s^{-1}}\bmod p$ và sau đó kiểm tra $r=v \bmod q$.

Câu hỏi: Có ổn không nếu rời đi $k^{-1}$ ra khỏi tính toán của $s$ (I E., $s := m+x*r$) và sau đó thay vào đó hãy kiểm tra $g = v$?

0 + 0

logarit rời rạc

Lý thuyết số

Điểm:3

Crypto

poncho

14:06, 28/09/2023

Câu hỏi: Có ổn không nếu rời đi $k^{-1}$ ra khỏi tính toán của $s$ (I E., $s := m+x*r$) và sau đó thay vào đó hãy kiểm tra $g = v$?

Nói cách khác, séc sau đó sẽ được $g = g^{ms^{-1}}y^{rs^{-1}}$

Bây giờ, điều đó sẽ không an toàn; giả sử chúng ta có một chữ ký hợp lệ cho $m$, nghĩa là chúng ta có các giá trị $(m, r, s)$ như vậy mà $g = g^{ms^{-1}}y^{rs^{-1}}$

Sau đó, đối với một tin nhắn tùy ý $m'$, chúng ta có thể tính toán $s' = m'm^{-1}s$ và $r' = rs's^{-1}$; Chúng ta có $g^{m's'^{-1}}y^{r's'^{-1}} = g^{ms^{-1}} y^{rs^{-1}}$, đó là $g$ (vì chữ ký gốc là hợp lệ); đó là, $(m', r', s')$ là một sự giả mạo.

0 + 0

Daniel S

16:00, 28/09/2023

Tệ hơn nữa, chúng ta có thể khôi phục khóa riêng $x$ vì $x=(s-m)/r\pmod q$ và $s$, $m$ và $r$ đều là các giá trị công khai.

Hồi đáp

Phan Văn Trường

Câu hỏi này là trong các ngôn ngữ khác: