Быстрая цифровая подпись

Быстрая цифровая подпись – вариант цифровой подписи, использующий алгоритм с гораздо меньшим (в десятки раз) числом вычислений модульной арифметики по сравнению с традиционными схемами ЭЦП. Схема быстрой электронной подписи, как и обычная, включает в себя алгоритм генерации ключевых пар пользователя, функцию вычисления подписи и функцию проверки подписи.

Проблемы ЭЦППравить

С момента изобретения ЭЦП в 1976 году, она является самой многообещающей областью исследований в криптосистемах с открытым ключом. Одним из стандартных математических решений для построения криптографических алгоритмов является задача дискретного логарифмирования, на основе которой были разработаны многие алгоритмы получения ЭЦП. Главным недостатком традиционных алгоритмов ЭЦП, таких как схема Эль-Гамаля и RSA, является их вычислительная сложность. Вычисление экспонент в модульной арифметике требует наибольших вычислительных затрат в схемах криптосистем с открытым ключом. В настоящее время ведётся большое количество работ по улучшению производительности криптографических алгоритмов путём сокращения количества вычислений экспонент. Наиболее короткой известной схемой ЭЦП является BLS (Boneh – Lynn - Shacham), использующая эллиптические кривые, но она ограничена группами, в которых есть функция составления пары. Разработчики алгоритмов работают как над улучшением традиционных схем с дискретным логарифмированием, используя параллельные вычисления экспонент, так и изучают принципиально другие подходы, основанные, например, на теории графов вместо модульной арифметики.

Некоторые алгоритмы быстрой цифровой подписиПравить

Схема быстрой ЭЦП, основанная на алгоритме Диффи-ХеллманаПравить

Пусть $G$$\ G$  – абелева группа, $G_{g,q}$$\ G_{g,q}$  – её циклическая подгруппа с генератором $g$$\ g$  порядка $q$$\ q$ , где $q$$\ q$  – большое простое число. Пусть $l_q$$\ l_q$  и $l_p$$\ l_p$  - параметры безопасности, причём $l_q=|q|$$\ l_q = |q|$ . Пусть $H:\{0,1{\}}^{\ast <!--\; \ast \; -->}\to <!--\; \to \; -->G_{g,q}$$H: { \{0, 1\}^* } \rightarrow\ G_{g,q}$ , $L:\{0,1{\}}^{\ast <!--\; \ast \; -->}\to <!--\; \to \; -->Z_q^{\ast <!--\; \ast \; -->}$$L: { \{ 0, 1 \}^*}\rightarrow\ Z_q^*$  и $G:\{0,1{\}}^{\ast <!--\; \ast \; -->}\to <!--\; \to \; -->Z_q^{\ast <!--\; \ast \; -->}$$G: { \{0, 1 \}^*}\rightarrow\ Z_q^*$ - хеш-функции. Схема подписи представляет собой следующее:

Генерация ключа

Пользователь выбирает случайный секретный ключ $x\in <!--\; \in \; -->Z_q^{\ast <!--\; \ast \; -->}$$x \in\ Z_q^*$  и вычисляет открытый ключ $y=g^x$$y = g^x$ .

Создание подписи

Входными данными являются секретный ключ $x\in <!--\; \in \; -->Z_q^{\ast <!--\; \ast \; -->}$$x \in\ Z_q^*$  и сообщение $m\in <!--\; \in \; -->\{0,1{\}}^{\ast <!--\; \ast \; -->}$$m \in \{ 0, 1 \}^*$ .

Далее сторона, создающая подпись:

1. выбирает случайное число $k\in <!--\; \in \; -->{\mathbb{Z}}_q^{\ast <!--\; \ast \; -->}$$k \in \Z_q^*$  и случайный бит $b_m\in <!--\; \in \; -->\{0,1\}$$b_m \in \{ 0, 1 \}$ ;

2. вычисляет $h=H(m,b_m)$$\ h = H (m, b_m)$ ;

3. вычисляет $u=h^x$$\ u = h^x$ ;

4. вычисляет $v=(g^n\ast <!--\; \ast \; -->h{)}^k$$\ v = ( g^n*h)^k$ , где $n=L(m,g,h,y,u)$$\ n = L (m, g, h, y, u)$ ;

5. вычисляет $r=G(m,g,h,y,u,v)$$\ r = G (m, g, h, y, u, v)$ ;

6. вычисляет $s=k-<!--\; -\; -->xrmodq$$s = k - xr \ mod\ q$ .

Подписью сообщения $m$$\ m$  является $\mathrm{\sigma <!--\; \sigma \; -->}=(u,r,s,b_m)$$\sigma\ = (u,r,s,b_m)$ .

Проверка подписи

Чтобы проверить подпись $\mathrm{\sigma <!--\; \sigma \; -->}$$\ \sigma$  сообщения m, делается следующее:

1. $\mathrm{\sigma <!--\; \sigma \; -->}$$\ \sigma$  представляется как $(u,r,s,b_m)$$\ (u,r,s,b_m)$ ;

2. вычисляется $h=H(m,b_m)$$\ h = H (m,b_m)$  и $n=L(m,g,h,y,u)$$\ n = L(m,g,h,y,u)$ ;

3. вычисляется $v\mathrm{\prime <!--\; \prime \; -->}=(g^n\ast <!--\; \ast \; -->h{)}^s\ast <!--\; \ast \; -->(y^n\ast <!--\; \ast \; -->u{)}^r$$v \prime \ = (g^n*h)^s* (y^n*u)^r$ ;

4. проверяется, выполняется ли $r=G(m,g,h,y,u,v\mathrm{\prime <!--\; \prime \; -->})$$\ r = G(m,g,h,y,u,v\prime)$ .

Если равенство на шаге 4 выполняется, подпись проходит проверку.

Схема быстрой ЭЦП, основанная на алгоритме Фиата-ШамираПравить

ZN обозначает кольцо целых чисел по модулю $N$$\ N$ , $t$$\ t$  и $p$$\ p$  — параметры безопасности, обычно $t⩽<!--\; ⩽\; -->4$$\ t \leqslant\ 4$ , $p⩽<!--\; ⩽\; -->20$$\ p \leqslant\ 20$ 

Роль центра аутентификации ключей (ЦАК)

ЦАК выбирает:

• случайные простые числа $p$$\ p$  и $q$$\ q$  так, чтобы $p,q⩾<!--\; ⩾\; -->2^{256}$$\ p,q \geqslant\ 2^{256}$ ;

• однонаправленную хеш-функцию $h:Z_N\otimes <!--\; \otimes \; -->Z\to <!--\; \to \; -->{\{0,1\}}^{t}k$$\ h: Z_N\otimes Z \rightarrow\ {\{0,1\}}^tk$ ;

• свои собственные секретный и открытый ключи.

ЦАК публикует $N=p\ast <!--\; \ast \; -->q$$\ N=p*q$ , $h$$\ h$  и открытый ключ.

Секретный ключ ЦАК используется для подписи создаваемых им открытых ключей. Для создания таких подписей ЦАК может использовать любую безопасную схему ЭЦП.

Генерация пользовательских ключей.

Каждый пользователь выбирает секретный ключ $s=(s_1,\cdots <!--\; \cdots \; -->s_k)$$\ s = (s_1,\cdots\,s_k)$ , состоящий из случайных чисел $s_i$$\ s_i$ , $s_i$$\ s_i$  меняется от 1 до $N$$\ N$ , таких, что НОД$(si,N)=1$$\ (si,N)= 1$  для всех $s$$\ s$  от 1 до $k$$\ k$ . Создание подписи может быть ускорено, если выбирать в качестве $s_1,\cdots <!--\; \cdots \; -->s_k$$\ s_1,\cdots\,s_k$  небольшие целые числа. Безопасность такой схемы основана на предположении о том, что вычисление корней $2^t\mathrm{mod}N$$2^t \mod\ N$  является трудным. В настоящее время неизвестно о существовании алгоритмов, вычисляющих корни $2^t\mathrm{mod}N$$2^t \mod\ N$  при условии, что эти корни порядка $N^{2^{-<!--\; -\; -->t+1}}$$\ N^{2^{-t+1}}$ .

Регистрация пользователей.

ЦАК проверяет соответствие пользователя, создаёт строку $I$$\ I$ , содержащую имя, адрес и т. д. и создаёт подпись $S$$\ S$  для пары $(I,v)$$\ (I,v)$ , состоящую из $I$$\ I$  и открытого ключа пользователя $v$$\ v$ .

Создание подписи.

Входное сообщение $m$$\ m$ , секретный ключ $s=(s_1,\cdots <!--\; \cdots \; -->s_k)$$\ s = (s_1,\cdots\,s_k)$  и $N$$\ N$  — модуль, по которому проводят вычисления.

1. Выбирается случайное число $r$$\ r$  из диапазона $[1,N]$$\ [1,N]$ , вычисляется $x=r^{2^t}$$\ x = r^{2^t}$ .

2. Вычисляется $e=(e_{1}1,\cdots <!--\; \cdots \; -->e_{t}k)=h(x,m)$$\ e = (e_11,\cdots\, e_tk) = h(x,m)$ .

3. Вычисляется $y=r{\prod <!--\; \prod \; -->}_{j=1}^k{s}_j^{{\sum <!--\; \sum \; -->}_{i=1}^t{e}_{ij}\ast <!--\; \ast \; -->2^{i-<!--\; -\; -->1}}\mathrm{mod}N$$\ y = r \prod\nolimits_{j=1}^k s_j^{\sum\nolimits_{i=1}^t e_{ij}*2^{i-1}} \mod\ N$ .

Подписью на выходе является пара $(e,y)$$\ (e,y)$ .

Создание подписи требует не более $k\ast <!--\; \ast \; -->t+t-<!--\; -\; -->1$$\ {k*t+t-1}$  операций умножения по модулю, а в среднем для случайного $e$$\ e$  требуется только $t(k+2)/2+1$$\ t(k+2)/2+1$  операций умножения.

Проверка подписи.

Входные данные — подпись $(e,y)$$\ (e,y)$ , сообщение$m$$\ m$ , $v=(v_1,\cdots <!--\; \cdots \; -->v_k)$$\ v = (v_1,\cdots\,v_k)$ , $I,S,N$$\ I,S,N$ .

1. Проверяется подпись $S$$\ S$  для $(I,v)$$\ (I,v)$ .

2. Вычисляется $z=y^{2^t}{\prod <!--\; \prod \; -->}_{j=1}^k{v}_j^{{\sum <!--\; \sum \; -->}_{i=1}{e}_{ij}\ast <!--\; \ast \; -->2^{i-<!--\; -\; -->1}}\mathrm{mod}N$$\ z = y^{2^t}\prod\nolimits_{j=1}^k v_j^{\sum\nolimits_{i=1} e_{ij}*2^{i-1}} \mod\ N$ .

3. Проверяется, что $e=h(z,m)$$\ e =h (z,m)$ .

Для проверки подписи требуется в среднем для случайного $e$$\ e$  $t(k+2)/2+1$$\ t(k+2)/2+1$  операций умножения по модулю, максимум $k\ast <!--\; \ast \; -->t+t$$\ {k*t + t}$ .

Безопасность подписи.

Чтобы подделать подпись сообщения $m$$\ m$ , криптоаналитик должен решить уравнение $e=h(y^{2^t}{\prod <!--\; \prod \; -->}_{j=1}^k{v}_j^{{\sum <!--\; \sum \; -->}_{i=1}^t{e}_{i,j}\ast <!--\; \ast \; -->2^{i-<!--\; -\; -->1}},m)\mathrm{mod}N$$\ e =h (y^{2^t}\prod\nolimits_{j=1}^k v_j^{\sum\nolimits_{i=1}^t e_{i,j}*2^{i-1}},m) \mod\ N$  для $e$$\ e$  и $y$$\ y$ .

В настоящее время неизвестно алгоритмов для решения этого уравнения.

Применение быстрой ЭЦППравить

Быстрые алгоритмы цифровой подписи являются наиболее эффективными в тех случаях, когда преимущественно важна скорость получения ключа и небольшой размер подписи. Подобные требования имеют место в мобильных, сенсорных или персональных сетях (радиус которых ограничивается пределами одной комнаты) при передаче мультимедийного трафика. Использование цифровой подписи в мобильных телефонах стандарта GSM позволяет пользователям самостоятельно создавать PIN- код, а не получать его от оператора.

Реализация ускоренных алгоритмов создания ЭЦП для устройств с ограниченными ресурсами, таких как КПК, встроенные смарт-карты и мобильные телефоны, вычислительная мощность которых сильно уступает возможностям персональных компьютеров, позволит тратить меньше энергии на создание и хранение подписи и тем самым увеличит время работы устройства без подзарядки.

ЛитератураПравить

• Fast Digital Signature Schemes as Secure as Diffie-Hellman Assumptions, Changshe Ma, Jian Weng and Dong Zheng, January 22, 2007

• Fasr Signature Generation with a Fiat Shamir-Like Scheme, H.Ong,C.P.Schnorr

См. такжеПравить

• Алгоритм Диффи-Хеллмана

• Схема Шамира

• Быстрая криптосистема с открытым ключом

• Криптосистема с открытым ключом

• RSA

• Схема Эль-Гамаля

• Цифровая подпись

СсылкиПравить

• [1]
• [2]
• [3]

• U.S. Patent 5 263 085