51、数字签名方案全解析

数字签名方案全解析

1. 数字签名方案概述

数字签名方案在密码学领域扮演着至关重要的角色。它能够确保在一次性完成某些操作后，可以可靠地发送无限数量的消息。此外，签名方案本身还用于确保其他公钥的可靠分发，是构建“公钥基础设施”以解决密钥分发问题的核心工具。

2. 签名方案的安全性

对于签名者 S 生成的固定公钥 pk，伪造是指消息 m 及其有效的签名 σ，其中 m 之前未被 S 签名过。签名方案的安全性意味着，即使攻击者获得了许多其选择的其他消息的签名，也无法输出伪造签名。

下面通过一个签名实验 Sig - forgeA,Π(n) 来形式化定义安全性：
1. 运行 Gen(1n) 以获得密钥 (pk, sk)。
2. 给攻击者 A 提供公钥 pk，并让其访问签名预言机 Signsk(·)。攻击者随后输出 (m, σ)，设 Q 为 A 向预言机提出的所有查询的集合。
3. 当且仅当 (1) Vrfypk(m, σ) = 1 且 (2) m ∉ Q 时，A 成功，此时实验的输出定义为 1。

安全性的正式定义如下：
如果对于所有概率多项式时间的攻击者 A，存在一个可忽略函数 negl，使得 Pr[Sig - forgeA,Π(n) = 1] ≤ negl(n)，则签名方案 Π = (Gen, Sign, Vrfy) 在自适应选择消息攻击下是存在不可伪造的，即安全的。强安全性可以类似地根据相关定义来定义。

3. 哈希 - 签名范式

“原生”签名方案的效率比消息认证码低几个数量级。不过，通过哈希 - 签名方法，可以以私钥操作的渐近成本获得数字签名的功能，至少对于足够