RSA Full Domain Hash (RSA-FDH) Signaturen

RSA Full Domain Hash (RSA-FDH) Signaturen

SignaturRSA-FDH

SeiH:{0,1}^∗ →Z^∗_Nein Random-Oracle.

1 Gen:(N,e,d)←GenRSA(1ⁿ)mitpk = (N,e)undsk = (N,d).

2 Sign:Für eine Nachrichtm∈ {0,1}^∗berechne σ ←H(m)^d modN.

3 Vrfy:Für(m, σ)überprüfe

σ^e=^? H(m)modN.

Anmerkung:

RSA-FDH entspricht Hashed-RSA mit einem Random Oracle als Hashfunktion.

CMA-Sicherheit von RSA-FDH

SatzCMA-Sicherheit von RSA-FDH

Unter der RSA-Annahme und für ein Random-OracleHist RSA-FDH ein CMA-sicheres Signaturverfahren.

Beweisskizze:

SeiΠ =RSA-FDH und=Ws[Forge_A,Π(n) =1].

OBdA gelten folgende Annahmen für die Orakelanfragen vonA:

1 Afragt verschiedenex1, . . . ,xqanH(·).

2 BevorAAnfragemanSignsk(·)stellt, fragt erH(m)an.

3 Für eine Fälschung(m, σ)hatAzuvor AnfrageH(m)gestellt.

Konstruieren RSA-InvertiererA⁰ mittelsA.

Krypto II - Vorlesung 12 - 27.06.2012 () Full Domain Hash, Hash-and-Sign Paradigma 139 / 169

Beweis der CMA-Sicherheit von RSA-FDH

Algorithmus RSA-Invertierer A⁰ EINGABE:N,e,y =x^emodN

1 Wählej ∈_R {1, . . . ,q}.

2 (m, σ)← A^Signsk(·)(N,e).

I Beantworte Orakelanfragenmi anH(·)konsistent mit H(m_i) =

(σ_i^emodNfür ein selbst gewähltesσ∈_RZ^∗_N füri 6=j

y sonst .

I Beantworte Orakelanfragenmi anSignsk(·)mit Signsk(H(mi)) =

(σ_i füri 6=j Abbruch sonst .

3 Fallsm=m_j undσ^e=y modN, setzex ←σ.

AUSGABE:x

Unter der RSA-Annahme giltnegl(n)≥Ws[A⁰(N,e,x^e) =x]

=Ws[m=m_j]·Ws[ForgeA,Π(n) =1] = ⁽ⁿ⁾_q .

Damit ist(n)≤q·negl(n)vernachlässigbar für polynomiellesq.

Hash-and-Sign Paradigma

Ziel:Signaturen für Nachrichten beliebiger Länge Starten mit SignaturverfahrenΠfürm∈ {0,1}ⁿ. Verwenden HashfunktionH :{0,1}^∗→ {0,1}ⁿ. Unterschreiben Hashwerte statt der Nachrichten.

DefinitionHash-and-Sign Paradigma

SeiΠ = (Gen,Sign,Vrfy)undΠ_H = (Gen_H,H)eine Hashfunktion.

1 Gen’:(pk,sk)←Gen(1ⁿ),s←Gen_H(1ⁿ).

Ausgabepk⁰ = (pk,s)undsk⁰ = (sk,s).

2 Sign’:Für eine Nachrichtm∈ {0,1}^∗ berechne σ ←Sign_sk(Hs(m)).

3 Vrfy’:Für eine Nachrichtm∈ {0,1}^∗mit Signaturσ prüfe Vrfy_pk(H_s(m), σ)=^? 1.

Intuition:Fälschung impliziert Fälschung inΠoder Kollision inH.

Krypto II - Vorlesung 12 - 27.06.2012 () Full Domain Hash, Hash-and-Sign Paradigma 141 / 169

Sicherheit von Hash-and-Sign

SatzSicherheit des Hash-and-Sign Paradigmas SeiΠCMA-sicher undΠH kollisionsresistent. Dann ist das Hash-and-Sign SignaturverfahrenΠ⁰ CMA-sicher.

Beweis:

SeiAein Angreifer für Hash-and-SignΠ⁰ mit Ausgabe(m, σ).

SeiQ={m₁, . . . ,m_q}die Menge der vonAan das Signierorakel Sign_sk(·)gestellten Anfragen. Es giltm∈/ Q.

Seicoll das Ereignis, dassm_i ∈QmitH_s(m_i) =H_s(m).

Dann giltWs[Forge_A,Π⁰(n) =1]

= Ws[ForgeA,Π⁰(n) =1∧coll] +Ws[ForgeA,Π⁰(n) =1∧coll]

≤ Ws[coll] +Ws[ForgeA,Π⁰(n) =1∧coll]

Wir zeigen nun, dass beide Summanden vernachlässigbar sind.

Algorithmus für Kollisionen

Beweis:Ws[coll]≤negl(n)

Konstruieren mittelsAeinen AlgorithmusCfür Kollisionen.

Algorithmus C EINGABE:s

1 Berechne(pk,sk)←Gen(1ⁿ). Setzepk⁰ ←(pk,s).

2 (m, σ)← A(pk⁰). Auf Orakelanfragem_i ∈ {0,1}^∗, antworte mit σi ←Sign_sk(H_s(m_i)).

AUSGABE:

((m,m_i) fallsHs(m) =Hs(m_i)für einm_i

keine Kollision sonst .

Es giltWs[coll] =Ws[HashColl_C,ΠH(n) =1].

Aus der Kollisionsresistenz vonHfolgt

Ws[HashColl_C,ΠH(n) =1]≤negl(n).

Krypto II - Vorlesung 12 - 27.06.2012 () Full Domain Hash, Hash-and-Sign Paradigma 143 / 169

Algorithmus C für Kollisionen

(1ⁿ, s)

Ausgabe

C

(pk, sk)←Gen(1ⁿ) pk⁰ = (pk, s)

(1ⁿ, pk⁰)

σi=Sign_sk(Hs(mi)) σi

Ausgabe:

•(m, mi)falls f¨ur eini Hs(m) =Hs(mi)

•keine Kollisionsonst

A

m_i ∈ {0,1}^∗ Q={m1, . . . , m_q} mi

Berechne: (m, σ) m∈ {0,1}^∗\Q (m, σ)

Fälschen von Signaturen in Π

Beweis:Ws[ForgeA,Π⁰(n) =1∧coll]≤negl(n) Konstruieren mittelsAeinen AngreiferA⁰ fürΠ.

Algorithmus A⁰

EINGABE:pk, Zugriff auf SignierorakelSign_sk(·)

1 Berechnes←Gen_H(1ⁿ). Setzepk⁰= (pk,s).

2 (m, σ)← A(pk⁰). Beantworte Orakelanfragem_i ∈ {0,1}^∗mit Aus- gabeσ_i ←Sign_sk(H_s(m_i))des Signierorakels.

3 Setzem⁰ ←H_s(m).

AUSGABE:(m⁰, σ)

Falls(m, σ)gültig ist fürΠ⁰, so ist(m⁰, σ) = (H_s(m), σ)gültig fürΠ.

Ereigniscollbedeutet, dassm⁰ 6=Hs(m_i)für alle AnfragenHs(m_i).

Damit giltWs[ForgeA,Π⁰(n)∧coll] =Ws[ForgeA⁰,Π(n) =1].

Aus der CMA-Sicherheit vonΠfolgt

Ws[Forge_A⁰_,Π(n) =1]≤negl(n).

Krypto II - Vorlesung 12 - 27.06.2012 () Full Domain Hash, Hash-and-Sign Paradigma 145 / 169

Algorithmus A für Fälschungen

(1ⁿ, pk)

H(mi) σi

(m⁰, σ)

A s←GenH(1ⁿ) pk⁰= (pk, s)

(1ⁿ, pk⁰)

σi

Ausgabe:

Setzem⁰ =Hs(m)

A⁰

m_i ∈ {0,1}^∗ Q={m1, . . . , m_q} mi

Berechne: (m, σ) m∈ {0,1}^∗\Q (m, σ)