Вопрос 4 Определение односторонней функции с ловушкой.

Определение. Односторонняя функция f:ХУ называется односторонней функцией с ловушкой (one-way trapdoor function), еслиf^--1(у) можно вычислить за полиномиальное время, имея некоторую дополнительную информацию, т, е. существует функция g(у,t), вычислимая за полиномиальное время и такая, что g(y, t)= f^--1(у) для некоторой ловушки (trapdoor) t.

Пример односторонней функции с ловушкой дает функция Рабина. При этом ловушкой служит разложение модуля на множители.

Односторонние перестановки с ловушкой

Определение. Семейство функций {f_k:D_k{0,1}^* }_k_K называется семейством (сильных) односторонних перестановок с ловушкой (one-way trapdoor permutations), если существуют четыре вероятностных полиномиальных алгоритма (I,S,F,F^-1) таких, что выполнены следующие условия.

• Алгоритм выбора пары ключей I для аргумента 1ⁿ задает случайную величину со значениями в ,гдер — многочлен. Результат работы алгоритма обозначим I(lⁿ) = (e,d). Обозначим через I₁ алгоритм, который для аргумента 1ⁿ вычисляет е, а через I₂ — алгоритм, который для аргумента 1ⁿ вычисляет d.

• Алгоритмы (I₁,S,F) задают семейство (сильных) односторонних перестановок.

• Алгоритм F^-1 — детерминированный полиномиальный алгоритм обращения с использованием ловушки такой, что для любой пары (e,d) из области значений I, для любого х  D_k

.

Для функции RSA ловушкой, соответствующей ключу (pq,e), является разложение модуля на множители (p,q) или пара (pq,d) такая, что ed  1(mod (pq)). Для функции Рабина ловушкой является разложение модуля на множители. [1]

Вопрос 5

Схема цифровой подписи

Определение. Схема цифровой подписи представляет собой конструкцию вида (K,{M_k},{A_k},S_k, V_k), где

• К — пространство ключей, элементы К имеют вид k=(e,d), e называется открытым ключом или открытой компонентой ключа (public key), d называется закрытым ключом или закрытой компонентой ключа (secret key);

• {M_k}_k_K — пространства сообщений; [A_k}_k_K — пространства подписей;

• функция построения подписи S_k:M_k A_k эффективно строится по закрытому ключу d;

• функция проверки подписи V_k :M_k A_k {0,1} такая, что V_k(m,s)=1 в том и только том случае, если s=S_k(m), эффективно строится по открытому ключу е;

• не существует эффективного способа найти без знания закрытого ключа значение s для заданного т так, чтобы V_k(m,s)=l.

Схемой цифровой подписи удобно пользоваться, если для любых ключей k₁,k₂ K выполняется M_k1 =M_k2 и A_k1 =A_k2 .

Последнее требование к цифровой подписи может быть усилено, а именно: требуется невозможность найти хотя бы одну пару (m,s) такую, что V _k (т, s) =1 («экзистенциальная подделка» ).

Цифровая подпись позволяет участнику А передать участнику В сообщение в виде (m,S_A(m)). Тогда получатель может быть уверен, что сообщение отправлено именно владельцем закрытого ключа, и даже доказать это в суде.

Если цифровая подпись используется совместно с шифрованием, следует передавать сообщение в виде E_B(m,S_A(m)), а не (E_B(m),S_A(E_B(m))). Иначе не удается хранить расшифрованные сообщения вместе с подписями. Кроме того, в этом случае от используемой криптосистемы требуется стойкость к атакам с известным сообщением. В противном случае, если по заданной шифрограмме с и заданному сообщению т можно подобрать ключ k такой, что Е_k(m)=с, злоумышленник С может перехватить подпись s = D_A(E_B(m)), для любого сообщения т' подобрать ключ k такой, что E_k(m ')=E_B(m), зарегистрировать этот ключ в качестве своего и утверждать, что А послал ему сообщение с

s=D_A(E_k (m')). Для построения цифровых подписей можно использовать криптосистему с открытым ключом, если функция шифрования E_k отображает пространство сообщений M_k на пространство шифрограмм C_k. В данном случае для m C_k положим

Тогда получатель В может взять произвольное значение с и утверждать, что А подписал Е_А(с). Обычно в качестве подписи используют S_k(m)=D_k(h(m)), где h— криптографически стойкая хэш-функция. При этом к функции h применяются обычные требования, что позволяет, во-первых, избавиться от только что описанной атаки со стороны В, а во-вторых, подписывать сообщения, более длинные, чем возможный аргумент функции D_k..

Если длина результата хэш-функции меньше длины аргумента функции D_k, стандарт PKCS#1 рекомендует помещать h (т) в младшие байты аргумента, а в старшие — значение 0001FF...FF00₁₆. Альтернативно можно вычислять

Определение. Схема цифровой подписи (K,S,V) называется стойкой, если для любого вероятностного алгоритма F, использующего оракул для построения правильных подписей и выдающего в качестве результата пару (m,s) такую, что m не было аргументом оракула, для любого многочлена q, для достаточно больших n

,

где (e,d)=K(1ⁿ) и (m,s)=F^B —случайные величины, В — любой алгоритм, дающий по сообщению т правильную подпись, V(e, m, B(m))= l. [1]