DSA: различия между версиями

DSA (англ. Digital Signature Algorithm — алгоритм цифровой подписи) — криптографический алгоритм с использованием закрытого ключа (из пары ключей: <открытый; закрытый>) для создания электронной подписи, но не для шифрования (в отличие от RSA и схемы Эль-Гамаля). Подпись создается секретно (закрытым ключом), но может быть публично проверена (открытым ключом). Это означает, что только один субъект может создать подпись сообщения, но любой может проверить её корректность. Алгоритм основан на вычислительной сложности взятия логарифмов в конечных полях.

Алгоритм был предло��ен Национальным институтом стандартов и технологий (США) в августе 1991 и является запатентованным^[1] (автор патента — David W. Kravitz), НИСТ сделал этот патент доступным для использования без лицензионных отчислений. DSA является частью DSS (англ. Digital Signature Standard — стандарт цифровой подписи), впервые опубликованного 15 декабря 1998 (документ FIPS-186^[2] (англ. Federal Information Processing Standards — федеральные стандарты обработки информации)). Стандарт несколько раз обновлялся^[3][4], последняя версия FIPS-186-4^[5]. (июль 2013).

DSA включает в себя два алгоритма (S, V): для создания подписи сообщения (S) и для ее проверки (V).

Оба алгоритма вначале вычисляют хеш сообщения, используя криптографическую хеш-функцию. Алгоритм S использует хеш и секретный ключ для создания подписи, алгоритм V использует хеш сообщения, подпись и открытый ключ для проверки подписи.

Стоит подчеркнуть, что фактически подписывается не сообщение (произвольной длины), а его хеш (160 - 256 бит), поэтому неизбежны коллизии и одна подпись, вообще говоря, действительна для нескольких сообщений с одинаковым хешем. Поэтому выбор достаточно "хорошей" хеш-функции очень важен для всей системы в целом. В первой версии стандарта использовалась хеш-функция SHA-1^[6][2] (англ. Secure Hash Algorithm - безопасный алгоритм хеширования), в последней версии также можно использовать любой алгоритм семейства SHA-2^[6][5]. В августе 2015 был опубликован FIPS-202^[7], описывающий новую хеш-функцию SHA-3. Но на сегодняшний день она не включена в стандарт DSS^[5].

Для работы системы требуется база соответствия между реальными реквизитами автора (это может быть как частное лицо, так и организация) и открытыми ключами, а также всеми необходимыми параметрами схемы цифровой подписи (хеш-функция, простые числа). Например, подобной базой может служить центр сертификации.

Для построения системы цифровой подписи нужно выполнить следующие шаги:

1. Выбор криптографической хеш-функции H(x).
2. Выбор простого числа q, размерность которого N в битах совпадает с размерностью в битах значений хеш-функции H(x).
3. Выбор простого числа p, такого, что (p-1) делится на q. Битовая длина p обозначается L.
4. Выбор числа g (${\displaystyle g\neq 1}$) такого, что его мультипликативный порядок по модулю p равен q. Для его вычисления можно воспользоваться формулой ${\displaystyle g=h^{(p-1)/q}\mod p}$, где h — некоторое произвольное число, ${\displaystyle h\in (1;p-1)}$ такое, что ${\displaystyle g\neq 1}$. В большинстве случаев значение h = 2 удовлетворяет этому требованию.^[5]

Как упомянуто выше, первоочередным параметром схемы цифровой подписи является используемая криптографическая хеш-функция, необходимая для преобразования текста сообщения в число, для которого и вычисляется подпись. Важной характеристикой этой функции является битовая длина выходной последовательности, обозначаемая далее N. В первой версии стандарта DSS рекомендована функция SHA-1^[2] и, соответственно, битовая длина подписываемого числа 160 бит. Сейчас SHA-1 уже не является достаточно безопасной^[8][9]. В стандарте указаны следующие возможные пары значений чисел L и N:

1. L = 1024, N = 160
2. L = 2048, N = 224
3. L = 2048, N = 256
4. L = 3072, N = 256

В соответствии с этим стандартом рекомендованы хеш-функции семейства SHA-2. Правительственные организации США должны использовать один из первых трех вариантов, центры сертификации должны использовать пару, которая равна или превосходит пару, используемую подписчиками^[5]. Проектирующий систему может выбрать любую допустимую хеш-функцию. Поэтому далее не будет заостряться внимание на использовании конкретной хеш-функции.

Стойкость криптосистемы на основе DSA не превосходит стойкость используемой хеш-функции и стойкость пары (L,N), чья стойкость не больше стойкости каждого из чисел по отдельности. Также важно учитывать, как долго система должна оставаться безопасной. В данный момент для систем, которые должны быть стойкими до 2010 (2030) года, рекомендуется длина в 2048 (3072) бита.^[5][10]

1. Секретный ключ представляет собой число ${\displaystyle x\in (0,q)}$
2. Открытый ключ вычисляется по формуле ${\displaystyle y=g^{x}\mod p}$

Открытыми параметрами являются числа (p, q, g, y). Закрытый параметр только один — число x. При этом числа (p, q, g) могут быть общими для группы пользователей, а числа x и y являются соответственно закрытым и открытым ключами конкретного пользователя. При подписывании сообщения используются секретные числа x и k, причем число k должно выбираться случайным образом (на практике псевдослучайным) при вычислении подписи каждого следующего сообщения.

Поскольку (p, q, g) могут быть использованы для нескольких пользователей, на практике часто делят пользователей по некоторым критериям на группы с одинаковыми (p, q, g).

Подпись сообщения выполняется по следующему алгоритму^[5]:

1. Выбор случайного числа ${\displaystyle k\in (0,q)}$
2. Вычисление ${\displaystyle r=(g^{k}\mod p)\mod q}$
3. Выбор другого k, если ${\displaystyle r=0}$
4. Вычисление ${\displaystyle s=k^{-1}(H(m)+x\cdot r)\mod q}$
5. Выбор другого k, если ${\displaystyle s=0}$
6. Подписью является пара ${\displaystyle (r,s)}$ общей длины ${\displaystyle 2N}$

Вычислительно сложные операции это возведение в степень по модулю (вычисление ${\displaystyle g^{k}{\bmod {p}}}$), для которого существуют быстрые алгоритмы, вычисление хеша ${\displaystyle H(x)}$, где сложность зависит от выбранного алгоритма хеширования и размера входного сообщения, и нахождение обратного элемента ${\displaystyle k^{-1}{\bmod {q}}}$ используя, например, расширенный алгоритм Евклида или малую теорему Ферма в виде ${\displaystyle k^{-1}{\bmod {q}}=k^{q-2}{\bmod {q}}}$.

Проверка подписи выполняется по алгоритму^[5]:

1 Вычисление ${\displaystyle w=s^{-1}\mod q}$
2 Вычисление ${\displaystyle u_{1}=H(m)\cdot w\mod q}$
3 Вычисление ${\displaystyle u_{2}=r\cdot w\mod q}$
4 Вычисление ${\displaystyle v=(g^{u_{1}}\cdot y^{u_{2}}\mod p)\mod q}$
5 Подпись верна, если ${\displaystyle v=r}$

При проверке вычислительно сложные операции это два возведения в степень ${\displaystyle g^{u_{1}}y^{u_{2}}}$, вычисление хеша ${\displaystyle H(x)}$ и нахождение обратного элемента ${\displaystyle s^{-1}{\bmod {q}}}$.

Данная схема цифровой подписи корректна в той степени, что желающий проверить подлинность подписи всегда получит положительный результат в случае подлинности. Покажем это:

Во-первых, если ${\displaystyle g=h^{(p-1)/q}\mod p}$, то из этого по Малой теореме Ферма следует ${\displaystyle g^{q}=h^{p-1}=1\mod p}$. Поскольку g>1 и q простое число, то g должно иметь мультипликативный порядок q по модулю p.

Для подписи сообщения вычисляется

${\displaystyle s=k^{-1}(H(m)+x\cdot r)\mod {q}.}$

Из этого следует

${\displaystyle k=H(m)\cdot s^{-1}+x\cdot r\cdot s^{-1}=H(m)\cdot w+x\cdot r\cdot w\mod {q}.}$

Так как g имеет порядок q, получим

${\displaystyle g^{k}=g^{H(m)\cdot w\mod q}g^{x\cdot r\cdot w\mod q}=g^{H(m)\cdot w\mod q}y^{r\cdot w\mod q}=g^{u1}y^{u2}\mod {p}.}$

Наконец, корректность схемы DSA следует из

${\displaystyle r=(g^{k}\mod p)\mod q=(g^{u1}y^{u2}\mod p)\mod q=v.}$^[5]

Приведем пример работы алгоритма для небольших чисел. Пусть значение хеш - функции нашего сообщения ${\displaystyle H=9}$.

1. ${\displaystyle H=9_{10}=1001_{2}}$
2. длина хеша ${\displaystyle 4}$, значит можно выбрать ${\displaystyle q=11_{10}=1011_{2}}$
3. выберем ${\displaystyle p=23}$, так как ${\displaystyle 23-1=22=2*q}$
4. выберем ${\displaystyle g=2^{2}=4}$

1. в качестве секретного ключа выберем ${\displaystyle x=7}$
2. тогда открытый ключ ${\displaystyle y=g^{x}{\bmod {p}}=4^{7}{\bmod {2}}3=16384{\bmod {2}}3=(712\cdot 23+8){\bmod {2}}3=8}$

1. выберем ${\displaystyle k=3}$
2. тогда ${\displaystyle r=(g^{k}{\bmod {p}}){\bmod {q}}=(4^{3}{\bmod {2}}3){\bmod {1}}1=7}$
3. ${\displaystyle r\neq 0}$, идем дальше
4. ${\displaystyle s=k^{-1}(H(m)+x\cdot r){\bmod {q}}=4(9+7\cdot 7){\bmod {1}}1=1}$, где учтено, что ${\displaystyle 3^{-1}{\bmod {1}}1=4}$
5. ${\displaystyle s\neq 0}$, идем дальше
6. подписью является пара чисел ${\displaystyle (r,s)=(7,1)}$

1. ${\displaystyle w=s^{-1}{\bmod {q}}=1^{-1}{\bmod {1}}1=1}$
2. ${\displaystyle u_{1}=H(m)\cdot w{\bmod {q}}=9\cdot 1{\bmod {1}}1=9}$
3. ${\displaystyle u_{2}=r\cdot w{\bmod {q}}=7\cdot 1{\bmod {1}}1=7}$
4. ${\displaystyle v=(g^{u_{1}}\cdot y^{u_{2}}{\bmod {p}}){\bmod {q}}=(4^{9}\cdot 8^{7}{\bmod {2}}3){\bmod {1}}1=7}$
5. получили, что ${\displaystyle v=r}$, значит подпись верна.

Алгоритм DSA основывается на трудности вычисления дискретных логарифмов и является модификацией классической схемы Эль-Гамаля^[11], где добавлено хеширование сообщения, а также все логарифмы вычисляются по ${\displaystyle mod~q}$, что позволяет сделать подпись короче по сравнению с аналогами ^[12]. На основе схемы Эль-Гамаля построены и другие алгоритмы, например - российский ГОСТ 34.10-94, который сейчас считается устаревшим. На смену ему пришел стандарт ГОСТ Р 34.10-2012^[13], в котором используется группа точек эллиптической кривой.

Подобная модификация, т.е. переход от мультипликативной группы по модулю простого числа к группе точек эллиптической кривой существует и для DSA - ECDSA^[14] ( англ. Elliptic Curve Digital Signature Algorithm - алгоритм цифровой подписи на эллиптических кривых). Он применяется, например, в криптовалюте bitcoin для подтверждения транзакций. Этот перевод позволяет уменьшить размер ключей без ущерба для безопасности - в системе bitcoin размер закрытого ключа 256 бит, а соответствующего ему открытого - 512 бит.

Другой распространенный алгоритм с открытым ключом (используется и для шифрования, и для цифровой подписи), RSA (назван в честь авторов: Ривест,  Шамир, Адлеман), основан на сложности факторизации больших чисел.

Любую атаку на алгоритм можно описать так: злоумышленник получает все открытые параметры подписи и некий набор пар (сообщение, подпись) и пытается, используя этот набор, создать действительную подпись для нового сообщения, не представленного в наборе.

Эти атаки можно условно разделить на две группы - во-первых, злоумышленник может попытаться восстановить секретный ключ ${\displaystyle x}$, и тогда он сразу получает возможность подписать любое сообщение, во-вторых, он может попробовать создать действительную подпись для нового сообщения без прямого восстановления секретного ключа.

Равномерное распределение случайного параметра ${\displaystyle k}$ очень важно для безопасности системы. Если известны несколько последовательных бит параметра ${\displaystyle k}$ для ряда подписей, то секретный ключ возможно восстановить с высокой вероятностью.^[15]

Повторение параметра для двух сообщений ведет к простому взлому системы. Это может произойти при использовании плохого генератора псевдослучайных чисел. Данная уязвимость в системе PlayStation 3 позволяла подписывать от имени Sony любые программы. В некоторых реализациях системы bitcoin для Android злоумышленник мог получить доступ к кошельку.^[16][17] В обоих примерах использовалась система ECDSA^[14].

Если для двух сообщений ${\displaystyle m_{1},m_{2}}$ использовался один и тот же параметр ${\displaystyle k}$, тогда их подписи ${\displaystyle (r,s)}$ будут иметь одинаковые ${\displaystyle r}$, но разные ${\displaystyle s}$, назовем их ${\displaystyle s_{1},s_{2}}$.

Из выражения для ${\displaystyle s}$ можно выразить общий ${\displaystyle k}$:

${\displaystyle k=(H(m)+xr)s^{-1}\mod q}$.

И приравнять общий ${\displaystyle k}$ для разных сообщений:

${\displaystyle (H(m_{1})+xr)s_{1}^{-1}\mod q=(H(m_{2})+xr)s_{2}^{-1}\mod q}$

Отсюда легко выразить секретный ключ ${\displaystyle x}$:

${\displaystyle x={\frac {H(m_{1})s_{1}^{-1}-H(m_{2})s_{2}^{-1}}{r(s_{2}^{-1}-s_{1}^{-1})}}}$

На некоторые алгоритмы цифровой подписи возможна атака существующей подделки (Existential forgery). Она заключается в том, что для подписи (либо вообще случайной, либо созданной по некоторому правилу) возможно создать корректное сообщение (которое, правда, обычно не несет смысла), используя только открытые параметры.

Для схемы DSA подпись ${\displaystyle r=g^{e}y\mod p\mod q}$, ${\displaystyle s=r}$ при любом ${\displaystyle e}$ корректна для сообщения с хешем ${\displaystyle H(m)=es}$.

Это одна из причин хеширования входного сообщения. При корректном выборе хеш-функции алгоритм DSA защищен от этой атаки, потому что обращение криптографической хеш-функции (т.е. для заданного ${\displaystyle k}$ нахождение ${\displaystyle m}$ такого, что ${\displaystyle H(m)=k}$) является вычислительно сложной задачей.^[18]

условие корректности подписи можно переписать в ином виде:

${\displaystyle g^{ks}\mod p\mod q=g^{H(m)+xr}\mod p\mod q}$

это уравнение эквивалентно (т.к.  мультипликативный порядок g  по модулю p равен q)

${\displaystyle H(m)\mod q=ks-xr\mod q}$

значит можно считать, что злоумышленнику для восстановления ключа требуется решить систему уравнений вида

${\displaystyle H(m_{i})\mod q=k_{i}s_{i}-xr_{i}\mod q}$

но в этой системе неизвестен ${\displaystyle x}$ и все ${\displaystyle k_{i}}$, значит число неизвестных на единицу больше, чем уравнений и при любом ${\displaystyle x}$ найдутся ${\displaystyle k_{i}}$, удовлетворяющие системе. Так как q - большое простое число, то для восстановления ${\displaystyle x\mod q}$ потребуется экспоненциальное число пар (сообщение, подпись).^[1]

Можно попытаться подделать подпись, не зная секретный ключ, то есть попытаться решить уравнение

${\displaystyle r^{s}\mod p\mod q=g^{H(m)}y^{r}\mod p\mod q}$

относительно ${\displaystyle r}$ и ${\displaystyle s}$. При каждом фиксированном ${\displaystyle r}$ уравнение эквивалентно вычислению дискретного логарифма.^[1]

Условия лицензии позволяют реализовывать алгоритм программно и аппаратно. НИСТ создал DSAVS^[19] (англ. The Digital Signature Algorithm Validation System - система проверки алгоритма цифровой подписи). DSAVS состоит из нескольких модулей проверки на соответствие стандарту, которые тестируют каждый компонент системы независимо от других. Тестируемые компоненты реализации:

1. Генерация доменных параметров
2. Проверка доменных параметров
3. Генерация пары открытый-закрытый ключ
4. Создание подписи
5. Проверка подписи

Для проверки реализации разработчик должен подать заявку на тестирование его реализации в CMT laboratory (англ. Cryptographic Module Testing Laboratory  - лаборатория тестирования криптографических модулей).^[5]

При работе алгоритма DSA требуется два простых числа (${\displaystyle p}$ и ${\displaystyle q}$), следовательно необходим генератор простых или псевдопростых чисел.

Для генерации простых чисел используется алгоритм Шо-Тейлора^[20].

Псевдопростые числа генерируются с помощью хеш-функции и для проверки на простоту используется вероятностный тест Миллера — Рабина. К нему может добавляться одиночный тест простоты Люка.^[5]

Необходимое число итераций зависит от длины используемых чисел и от алгоритма проверки^[5]:

Для работы алгоритма требуется также генератор случайных или псевдослучайных чисел. Этот генератор нужен для создания частного пользовательского ключа x, а также для создания секретного случайного параметра ${\displaystyle k}$.

Cтандарт предлагает различные способы генерации псевдослучайных чисел используя блочные шифры или хеш-функции.^[5][21]

• FIPS. PUB 186-1 (англ.).
• FIPS. PUB 186-2 (англ.).
• FIPS. PUB 186-3 (англ.).
• FIPS. PUB 186-4 (англ.).
• FIPS. PUB 180-4 (англ.). Архивировано 26 ноября 2016 года.
• FIPS. PUB 202 (англ.).
• FIPS. PUB 202 (англ.).
• David W. Kravitz. Digital signature algorithm 5231668 A (англ.).
• NIST Special Publication 800-57 Part 1Revision 4. Recommendation for Key Management (англ.).
• ГОСТ Р 34.10-2012. Информационные технологии. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи (рус.).
• The Digital Signature Algorithm Validation System (англ.).

• Marc Stevens, Pierre Karpman, Thomas Peyrin. Freestart collision for full SHA-1 (англ.).
• NIST Special Publication 800-90A Recommendation for Random Number Generation Using Deterministic Random Bit Generators (англ.).
• J. Shawe-Taylor. Generating strong primes (англ.).
• Xiaoyun Wang, Yiqun Lisa, Hongbo Yu. Finding Collisions in the Full SHA-1 (англ.).
• Phong Q. Nguyen, Igor E. Shparlinski. The Insecurity of the Digital Signature Algorithm with Partially Known Nonces (англ.).
• David Pointcheval, Jacques Stern. Security Arguments for Digital Signatures and Blind Signatures (англ.).
• Markus Schmid. ECDSA - Application and Implementation Failures (англ.).
• Don Johnson, Alfred Menezes, Scott Vanstone. The Elliptic Curve Digital Signature Algorithm (ECDSA) (англ.).
• Elgamal T. A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms, A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms (англ.) // IEEE Transactions on Information Theory / F. Kschischang — IEEE, 1985. — P. 10—18. — ISSN 0018-9448; 1557-9654 — doi:10.1109/TIT.1985.1057074; doi:10.1007/3-540-39568-7_2
• Joppe W. Bos, J. Alex Halderman, Nadia Heninger, Jonathan Moore, Michael Naehrig, Eric Wustrow. Elliptic Curve Cryptography in Practice (англ.).