第7章纠错码与通信系统的保密.pptVIP

若攻击者已知QA以及至少知道任一个E ′j，则可用以下方法伪造签名。设攻击者需对消息M1伪造签名，则仅需计算： ? C1＝E′j＋M1QA （7―57） ? 显然C1能通过验签运算。这种伪造签名方法对AW方案是有效的。 ? ?可用以下方法找到QA。令Cj和C′j分别是消息Mj和M′j的签名，Ej是这两个签名过程中所用的相同的错误图样，则对于Xinmei方案有： ? Cj＋C′j＝（Mj＋M′j）Q （7―58） ? 对修正Xinmei方案有：? Cj＋C′j ＝（h（M，Eｊ）＋h（M′，Eｊ））Q （7―59） 如果能得到k对消息的签名：Cj，C′j(ｊ＝1，2，…，k)且每对所用的Eｊ相同，则可得： ?C1＋C′1＝（M1＋ M′1）QAC2＋C′2 ? ＝（M2＋ M′2）QA … Ck＋C′k＝（Mk＋ M′k）QA 由此可得： ? C＝MQA （7―60） 式中： 若M矩阵为满秩，则可以找到QA＝M－１C，其工作因子仅为Ο(k３)。因此只要找到k对线性无关的消息，且每对消息使用相同的Eｊ，就可找到QA。 由此可知，这种攻击方法成功的关键是找到使用相同Eｊ的签名Cｊ和C′j。假定用户A在签名过程中，Eｊ是在所有可能的错误图样数目 （7―61） 中等概地选取，则由生日攻击可知，预期所需的签名数目约为 ，就能以大于1／2的概率得到一对有相同Eｊ的签名。因此这种攻击方法成功的概率约为 (7―62) 7.4.5 签名、加密和纠错相结合的公钥体制 1.体制的构造 用户A和B各从GF(2)上选择不同的 （n，k，d≥2t＋1)既约Goppa码 ΓA和 ΓB。并分别公布以下公钥： ? H′A＝ＨAPA H′B＝ＨＢPＢ ? 式中:HA和HB分别是ΓA和ΓＢ的监督矩阵，PA和 PＢ是n×n阶的GF(2)上不同的满秩随机矩阵。 用户A和B保留各自的私钥:HA，PA和HＢ，PＢ。设A选取的消息集合SM是GF(2)上(n-k)维线性空间中的一个子集，且对任一个消息MA∈SM，通过等式(译码) ? MA＝E′AHTA （7―63） 总能很快找到一个E′A，且其汉明重量W(E′A)≤t，SM中的元素数目为N。 用户A和B正式通信前，A先要把SM中的N个消息矢量依次按图7―1，或通过安全信道送给B，B按图7―2接收，则可恢复出这Ｎ个矢量。A和B都秘密存储SM，并约定A和B的消息空间是SM。 图7―1 签名、加密和纠错编码的实现 图7―2 纠错译码、解密和验签的实现 2.签名、加密和纠错编码的实现 1)签名 用户A将消息MA∈SM送入ΓA码的译码器，由SM的性质可知，MA经过译码后必然惟一地得到E′A，且W(E′A)≤t，即 ? MA＝E′AHTA ? (7―64) 对E′A右乘(PTA)－１＝PA，便得到了对MA的签名EA： ? EA＝E′APA (7―65) 2) 加密 A利用H′B的转置矩阵(H′B)T，对EA右乘运算，得到(n-k)维矢量： ?SA＝EA(H′B)T (7―66) 3) 纠错编码 A把H′B看作是ΓA码的对偶