电子商务安全 第6章 数字签名

3.数字签名的分类
一个签名体制一般含两个组成部分．即签名算 法和验证算法。对M的签名可简记 Sig(M ) s (有时为了说明密钥k在签名中的作用，也可以 将签名写成 Sigk (M ) 如(M)或 Sig(M , k ) ，而 对s的证实简记为Ver(s0)={真，伪}={0，1}。签 名算法或签名密钥是秘密的，只有签名人掌握。 证实算法应当公开，以便于他人进行验证。 一个签名体制可由量(M,S,K,V)表示，其中M是 明文空间．S是签名的集合，K是密钥空间，V 证实函数的值域，由真、伪组成。

数字签名的分类
对于每一 k K
k
，有一签名算法，易 于计算 s Sig (M ) S 。利用公开的证实 算法：
Verk (s, m) {真，伪 }

可以验证签名的真伪。
它们对每一m属于M，有签名Sigk(m)
属于S为（M -S的映射）。易于证实 S是否为M的签名。
3.数字签名的分类

4.使用数字签名
随着计算机网络的发展，过去依赖于手书 签名的各种业务都可用这种电子化的数字 签名代替 它是实现电子贸易，电子支票、电子货币、 电子出版及知识产权保护等系统安全的重 要保证 数字签名已经并将继续对人们如何共享和 处理网络上信息以及事务处理产生巨大的 影响。

4.使用数字签名
1.数字签名的要求 2.数字签名与手书签名的区别 3.数字签名的分类 4.使用数字签名

1.数字签名的要求

政治、军事、外交等领域的文件、命令和 条约，商业中的契约，以及个人之间的书 信等，传统上都采用手书签名或印章，以 便在法律上能认证、核准和生效。随着计 算机通信网的发展，人们希望通过电子设 备实现快速、远距离的交易，数字（或电 子）签名法便应运而生，并开始用于商业 通信系统，如电子邮递、电子转账和办公 自动化等系统中。

2.数字签名与手书签名的区别
数字签名与手书签名的区别在于，手书签名是 模拟的，且因人而异。数字签名是0和1的数字 串，因消息而异。 数字签名与消息认证的区别在于，消息认证使 收方能验证消息发送者及所发消息内容是否被 纂改过。 当收发者之间没有利害冲突时，这对于防止第 三者的破坏来说是足够了。 但当收者和发者之间有利害冲突时，单纯用消 息认证技术就无法解决他们之间的纠纷，此时 须借助满足前述要求的数字签名技术。

6.4盲签名及其应用
6.6.1盲消息签名 6.6.2盲参数签名 6.6.3弱盲签名 6.4.4强盲签名

6.4盲签名及其应用
为了说明盲签名的基本概念，本节假设 Alice为消息拥有者，而Bob为签名人。 在盲签名协议中，Alice的目的是让Bob对 某文件进行签名，但又不想让Bob知道文 件的具体内容，而Bob并不关心文件中说 些什么。 他只是保证他在某一时期以公正人的资格 证实了这个文件。
6.3ElGamal签名
2．签名过程 给定消息M，发送端用户进行下述工作 (1)选择秘密随机数 k属于Z； k r g mod p (2)计算压缩值H(M)，并计算

s ( H (M ) xr)k 1 mod(p 1)

(3)将 Sig( M , k ) =（M，r，s）作为签名， 将（M，r，s）

6.2RSA签名





第一步Bob选择大的质数p和q，并使他们相乘， 从而得到n； 第二步Bob选择一个公共质数e，它与(p-1)(q-1) 是互质数； 第三步Bob计算私有质数d=e-1 mod [（p-1） （q-1）]； 第四步Bob与Carol共享公钥，数字n和e； 第五步Bob使用C=Me mod n把M加密成C，并 把C发送给Bob； 第六步Bob使用M=Cd mod n把C解密成M
3.数字签名的分类

数字签名有两种：

一种是对整个消息的签名，一种是对压缩消息的签 名，它们都是附加在被签名消息之后或某一特定位 置上的一段签名图样。

若按明、密文的对应关系划分，每一种又可分 为两个子类：

பைடு நூலகம்

一类是确定性数字签名。其明文与密文一一对应， 它对一特定消息的签名不变化(使用签名者的密钥签 名)，如RSA、ElGamal等签名； 另一类是随机化的或概率式数字签名。它对同一消 息的签名是随机变化的，取决于签名算法中的随机 参数和取值。
Verk (s, m) =真， Sigk ( s, m)
当满足验证方程 伪， Sigk (s, m) 当不满足验证方程 体制的安全性在于，从m和其签名s难于 推出k，或伪造一个m’，使 Sigm (m' ) 属于 S满足验证方程。
3.数字签名的分类
消息签名与消息加密有所不同，消息加密和解 密可能是一次性的，它要求在解密之前是安全 的。 而一个签名的消息可能作为一个法律上的文件 (如合同等)，很可能在对消息签署多年之后才验 证其签名，且可能需要多次验征此签名。 因此，签名的安全性和防伪造的要求会更高， 且要求证实速度比签名速度要快些。特别是联 机在线时进行实时验证。
1.数字签名的要求

类似于手书签名，数字鉴名也应满足以 下要求：
(1)收方能够确认或证实发方的签名，但不能 伪造。 (2)发方发出签名的消息送收方后，就不能再 否认他所签发的消息： (3)收方对已收到的签名消息不能否认，即有 收到认证。 (4)第三者可以确认收发双方之间的消息传送， 但不能伪造这一过程。

6.2RSA签名



Bob选择了一个公共指数d=3(-1)mod 40。这个模数 反函数实际上是非常困难的，但是对于所用的这些 小数字，可以看到27*3mod40=81mod40=1。所以 d=27。 现在Bob的公钥就是数对(3,55)，其私钥就是数对 （27,55）。Bob把自己的公钥发送给Carol。 Carol的消息M=25。它把该消息加密成密文C=25的 3次幂mod55=15625mod55=5。Carol把结果发送 给Bob。 Bob使用M=5的27次幂 mod55=7450580596923828125mod55=25对密文 进行解密，这就是Carol的原始消息。
6.3ElGamal签名
该体制由T．ElGamal在1985年给出。其 修正形式已被美国NIST作为数字签名标 准（DSS），它是Rabin体制的一种变型。 此体制专门为签名用而设计，方案的安全 性基于求离散对数的困难性。 可以看出，它是一种非确定性的双钥体制， 即对同一明文消息，由于随机参数选择的 不同而有不同的签名。
为电子形式为文档附上电子时间标签。 使用电子汇款系统的人可以利用电子鉴名 大范围的商业应用要求变更手书签名方式 时，可以使用数字签名，EDI 数字签名的使用已延伸到保护数据库的应 用中

6.2RSA签名




安全参数：令n=qp，p和q是大素数，选e并计 算出d，使 ed 1mod(p 1)(q 1) ，公开n和e，将p、 q和d保密。则所有的RSA参数 为 K (n, p, q, e, d ) 。 数字签名：对消息M属于Z，定义 S Sig(M ) M d modn 为对M的签名。 签名验证：对给定的M，S可按下式验证： 设 M ' S e modn ，如果M’=M，则签名为真， 否则，不接受签名。

6.6.1盲消息签名
在盲消息签名方案中，签名者仅对盲消息 m’签名，并不知道真实消息m的具体内容。 这类签名的特征是：sig(m)=sig(m’)或 sig(m)含sig(m’)中的部分数据。因此，只 要签名者保留关于盲消息m’的签名，便可 确认自己关于m的签名。 可以看出，在上述盲消息签名方案中Alice 将Bob关于m’的签名数据作为其对m的签名， 即sig(m)=sig(m’)。所以，只要Bob保留 Sig(m’)．便可将Sig(m)与Sig(m’)相联系。
6.2RSA签名
这里有一个RSA加密的示例，同样为了简 洁起见，在这个例子中使用的数字都很小。 Bob选择了质数p=5和q=11，然后把这两 个数字相乘，从而得到模数n=55。 Bob计算出f(n)=(p-1)*(q-1)=4*10=40 Bob选择一个数字e，e与40是互质数。40 的质因数是2、2、2、5和1，所以Bob选 择的私有指数e=3。

6.2RSA签名
所选择的指数e必须与（p-1）和(q-1)互质（也 就是说，e与（p-1）和(q-1)这个数必须不具有 相同的因数。 质数d必须满足等式d*emod[(p-1)(q-1)]=1。 然后，如果Carol的明文是M，那么，他就能够 通过计算C=Me mod n把它加密成密文C。 Bob通过计算M=Cd mod n就可以恢复明文。
6.3ElGamal签名
3．验证过程 收信人收到（M，r，s），先计算H （M），并按下式验证签名 y r r s g H ( M ) mod p 这是因为 y r r s g rx g sk g ( rs sk ) mod p ，由上式 有 (rx sk ) H (M ) mod(p 1) r s H (M ) y r g mod p 故有 在此方案中，对同一消息M，由于随机数 K不同而有不同的签名（M，r，s）。

2.数字签名与手书签名的区别




为了实现签名目的，发方须向收方提供足够的 非保密信息，以便使其能验证消息的签名。 但又不能泄露用于产生签名的机密信息，以防 止他人伪造签名。 因此，签名者和证实者可公用的信息不能太多。 任何一种产生签名的算法或函数都应当提供这 两种信息，而且从公开的信息很难推测出用于 产生签名的机密信息。 再有，任何一种数字签名的实现都有赖精心设 计的通信协议。

6.4盲签名及其应用