第6数字签名-.pptVIP

第6章 数字签名 报文鉴别的局限性 用于保护通信双方免受第三方攻击 无法防止通信双方的相互攻击 信宿方伪造报文 信源方否认已发送的报文 引入数字签名，是笔迹签名的模拟  数字签名的设计要求 签名必须是依赖于被签名信息的一个位串模板 签名必须使用某些对发送者是唯一的信息，以防止双方的伪造与否认 必须相对容易生成该数字签名 必须相对容易识别和验证该数字签名 伪造该数字签名在计算复杂性意义上具有不可行性，既包括对一个已有的数字签名构造新的消息，也包括对一个给定消息伪造一个数字签名 在存储器中保存一个数字签名副本是现实可行的 数字签名分类 签名方式 直接数字签名direct digital signature 仲裁数字签名arbitrated digital signature 安全性 无条件安全的数字签名 计算上安全的数字签名 可签名次数 一次性的数字签名 多次性的数字签名 直接数字签名 直接数字签名 直接数字签名仅涉及通信方，它假定收方知道发方的公开密钥。数字签名通过使用发方的私有密钥对整个消息进行加密，或使用发方的私有密钥对消息的散列码进行加密来产生。 至今所有的直接数字签名体制都有一个共同的弱点： 方案的有效性依赖于发方私有密钥的安全性。 如果发方随后想否认发送过某个签名消息，发方可以声称签名的私钥丢失或被盗用，并伪造了他的签名。 直接数字签名 直接数字签名 直接数字签名的缺点 验证模式依赖于发送方的保密密钥 – 发送方要抵赖发送某一消息时，可能会声称其私有密钥丢失或被窃，从而他人伪造了他的签名 – 通常需要采用与私有密钥安全性相关的行政管理控制手段来制止或至少是削弱这种情况，但威胁在某种程度上依然存在 – 改进的方式例如可以要求被签名的信息包含一个时间戳（日期与时间），并要求将已暴露的密钥报告给一个授权中心 X的某些私有密钥确实在时间T被窃取，敌方可以伪造X的签名及早于或等于时间T的时间戳 仲裁数字签名 仲裁数字签名 引入仲裁者 – 所有从发送方X到接收方Y的签名消息首先送到仲裁者A – A将消息及其签名进行一系列测试，以检查其来源和内容 – A将消息加上日期并与已被仲裁者验证通过的指示一起发给Y 仲裁者在这一类签名模式中扮演敏感和关键的角色 – 所有的参与者必须极大地相信这一仲裁机制工作正常 仲裁数字签名－单密钥加密方式1 仲裁数字签名－单密钥加密方式1 仲裁数字签名－单密钥加密方式2 仲裁数字签名－双密钥加密方式 仲裁数字签名－双密钥加密方式 数字签名标准DSS 美国国家标准与技术局（NIST）在1991年提出了一个联邦数字签名标准，NIST称之为数字签名标准（DSS）。DSS提供了一种核查电子传输数据及发送者身份的一种方式。 DSS利用了安全散列算法（SHA) 两种数字签名方案的比较 数字签名算法 普通数字签名算法 – EIGamal – RSA – DSS/DSA 不可否认的数字签名算法 群签名算法 盲签名算法 * * 数字签名其实是伴随着数字化编码的消息一起发送并与发送的信息有一定逻辑关联的数据项。 数字签名类似于MAC，但不同于MAC，数字签名可以支持不可否认服务。 数字签名 传统签名的基本特点 签名是可信的：能与被签的文件在物理上不可分割 签名是不可抵赖的：签名者不能否认自己的签名 签名不能被伪造：除了合法者外，其他任何人不能伪造其签名 签名是不可复制的：对一个消息的签名不能通过复制的方式变为另外一个消息的签名 签名是不可改变的：经签名的消息不能被篡改 容易被验证 数字签名是传统签名的数字化 能与所签文件“绑定” 签名者不能否认自己的签名 容易被自动验证 签名不能被伪造 直接数字签名 Sa（M） Eb(Sa(M)) M，Sa(H(M)) Eb(M，Sa(H(M))) M M S H（M） Ek（H） M Dk（H） H H H 比较 Alice (A) Bob (B) 直接签名 Alice (A) Bob (B) 加密＋签名 Alice (A) Bob (B) Hash＋签名 Alice (A) Bob (B) 加密＋签名＋Hash Hash＋签名 通过对整个报文加密达到鉴别功能； 通过使用私钥达到签名功能 问题：通过什么方法做到鉴别和签名？ 问题：通过什么方法做到鉴别和签名？ 通过使用散列函数达到鉴别功能； 通过使用私钥达到签名功能 仲裁数字签名 Alice (A) Bob (B) Trent (T) M,Eat(IDa,H（M)) Ebt(IDa, M ,Eat(Ida,H(M)), T)) Alice (A) Bob (B) Trent (T) Eab(M),Eat(I