具有消息恢复签名方案的伪造攻击.pdfVIP

2OOO年 5月 通 信 学 报 ． 21No．5 第 21卷 第5期 JOURNAL0F0删 AD8叽 胍 OFCOMMUNICATIONS May2oo0 r一一 一 ’1 L璺一 j ⑦ 具有消息恢复签名方案 的伪造攻击 ‘ 1．．清…华大学… 计算机…科学与与技术系 北京 100084；2．北京邮电大学 信信息息安全中心-北京 1~S76) 摘 要 ：本文对具有消息恢复的数字签名方案的安全性进行 了分析 ．对 Nyherg和 RI1印pd提出的签 名方案(NR签名方案)和 ^虹y 最近提出的签名方案 (F1)和 (F2)分别设计 了一种新的伪造攻击 (ForgeryAa )方法。 美t词：童旦兰；苎§：笙垄；道皇望垡；毽 中圈分类号 ：TN918．2 文献标识码 ：A 文章螭号：1000—436X(2000)O~一OO64—04 A new forgery attack onmessagerecovery signatures LIZi．chen~,Ii丑10峙 YANG Yi-xian2 ， (I．Ⅱl 1 10fO I‘tScienceendTe出l】o10盯-1 出HU珊岫 B嘶 100054，ch叫．； 2． Ⅱn ∞s l畸 c自岫 ．BeiIIgu 岫 PostsmdT~ -ions， 吨 1~F／6，China) Abstract：Inthispaper，wewill 岫 thesecmityofIligi m№ withmesst~ recoveryandproposean- othernew amckmethods0nthe姆 啦口a№ wl-dchselⅡm erecalledNR 啦口ah1_ de- 日iedbyN Rueppdand(F1)(F2)desigra~lby盹刊i． x帮_or由：q|pI呼EpIIy；digi 啦IHhⅡe；叫蚺^窖e帕埘啊y；碧呵 attack 引言 RSA数字签名方案具有消息恢复 的特性[．但最初的E1Gamal数字签名方案没有这一特 性[。1994年，Nybe堆和 Rueppel对原始的El 签名方案进行了改进并提出6种具有消息恢 复的签名方案[-。这些方案对短消息具有较小签名等多种优点。在 [3]，[4]中，Nyberg和 Rueppel对上述方案也提出了两种伪造攻击方法 ，这两种攻击方法对NR签名方案 的安全构成 一 定的威胁 。最近 Mjyaji对 NR方案进行归纳提 出三类伪 造攻击方法：恢复方程攻击 方法 (Recovery-equation-attack)，签名方程 攻击方 法 (Signature-equation-attack)和 同态攻击 方法 (Homomorphism-