37、强RSA签名安全性证明的局限性探讨

强RSA签名安全性证明的局限性探讨

1. 引言

在密码学领域，数字签名方案的安全性至关重要。以往，Gennaro、Halevi和Rabin，以及Cramer和Shoup各自独立提出了基于强RSA（SRSA）假设的数字签名方案。这些基于SRSA的签名方案被认为是无需随机预言机的安全且高效的签名方案之一。此后，Fischlin、Camenisch和Lysyanskaya、Zhu、Hofheinz和Kiltz等人又对这些方案进行了改进。同时，Joye研究了一些类似CS签名的潜在安全漏洞。

在安全证明方面，一个重要的因素是归约的紧密性，即归约的损失因子要足够小。Naccache、Pointcheval和Stern，Chevallier - Mames和Joye，以及Schäge分别引入了可通过紧密归约证明安全的SRSA签名方案，Schäge还为Cramer - Shoup、Fischlin、Camenisch - Lysyanskaya和Zhu提出的SRSA签名方案给出了紧密的安全证明。

另一个重要问题是在较弱的密码学假设下证明签名的安全性。本文探讨的核心问题是：基于SRSA的签名方案在RSA假设下是否安全，而非更强的SRSA假设。破解RSA的难点在于，对于给定的RSA实例((N, e, y))，(z^e \equiv y (\bmod N))中的指数(e)是固定的；而在SRSA中，攻击者可以方便地选择指数(e)，使得对于给定的SRSA实例((N, y))，(z^e \equiv y (\bmod N))成立。到目前为止，这个问题尚未得到正式解决。

本文给出了一个否定的间接证据。我们发现，通过一些合理限制的归约，无法从RSA假设证明几种基于SRSA的签名方案在选择消息