关于一个基于两个数学难题的签名方案的注记.pdfVIP

关于一个基于两个数学难题的签名方案的注记D 橱君辉 ●P}●r}t￥f：Ilf，f} (中科院软件所，北京100080) 张玉峰戴宗铎 (中国科技大学研究生院信息安全目家重点实验室，北京100039) I_腰本文分析7文献[4]中提出的基于大数分解和离散对数难题的签名方案， 指出其中提出的方案在离散对数可解时即是不安垒的。 关■调签名方案 天数分解 离散对数 1．引 言 熟知的一些公钥密码系统的安全性都是基于某个经典的数学难题，例如RsA的安全 统、椭圈曲线密码系统等都是基于离散对数问题(DLP)。基于两个难题的公钥密码系统是 指系统的安全性得到两个难题的支持，即使其中一个问题得到解决，只要另外一个问题仍 然是难以解决的，系统的安全性仍能得到保证。 如何设计这种基于两个难题的公钥密码系统的问题一直受到关注。早在1988年，文 里Ⅳ是两个大素数p与g之积．并证明了这一系统得到FP和DLP两个难题的支持。近 来一些作者对此又做了新的尝试。例如，文献[2，3和4]的作者分别提出了经过改造的 ElG∞：lal类型的数字签名方案，并认为方案的安全性得到两个数学难题(FP，DLP)的支 持，文献[5，6]已分别证明文献[2]与文献[3]中的方案是不安全的}事实上只要得到用户 的～个或两个签名，任何人都可以伪造此用户的签名(代换攻击)。 本文对文献[4]中提出的方案进行了分析，指出其中提出的方案并不像其作者认为的 那样能同时得到DLP和“模一合数的平方根同题”这样两个问题的支持f事塞上，只要方案 中的DLP解决了，任何人都可以伪造甩户的签名。 对文献[4]中签名方案的分析 先介绍文献[4]的签名方案。 该系统有公开参数(P，g，Ⅳ)，其中尸一l+2Aq。，P，声。，虮都是大索数(_P公开蕴含着 1)本谭茸得到国家自{}!}科学基金的赞助。 乘积户z吼是公开的)，譬是GF(P)中阶为户。口1的元素，日为一HaBh函数。 P)，：一 用户的私钼为随机选定的z(oz户-仉)，公钥是(y，z)，这里y一旷。(mod r。(mocIP)。 用卢对消息m(o≤mP)的簦名为(r，j)，其中 』r一， (modP) ls=(m1工+扎z一‘)f一1(mod户1口1) 其中f(o￡尸一1)随机选取，m。为m在二进制表示下的前几位(长度于户，们相同)，n— H(m)+，(modP)。 接收者利用下式验证签名r．s的合法性： ∥∥g“lI一，’(modP)其中n—日(m)+r 方案设计者认为这一方案能同时得到DIJ与FP两个难题的支持，下面的命题表明 即使分解户，g。是困难的，但只要方案中的DLP问题可解。任何人都可以对任何消息伪造 用户的签名。 命■l假设文献[4]中方案中的DLP可解，即可以从用户公开的，一，(modP)求 出一，则任何人可以对任何消息伪造用户的签名．具体地说，任取r(or卸们)，并令 H—日(m)+r：三：。并夕 l} ㈤(1) 5一r-1 (n+mlz2) (modA91)J 那么(r，s)必能通过签名验证而成为用户对消息m的合法签名． 证明：设I=口～。那么 Ⅱ一j犯一1一白+坍l，)z一1=’H一1+m1。 于是 一／一。三：篡兰