Московский государственный университет имени М.В.Ломоносова
Опубликован: 28.11.2014 | Доступ: свободный | Студентов: 1149 / 79 | Длительность: 23:26:00
ISBN: 978-5-9556-0163-2
Лекция 4:

Алгоритмы асимметричного шифрования

Отечественный стандарт цифровой подписи ГОСТ 3410

В отечественном стандарте ГОСТ 3410, принятом в 1994 году, исполь-зуется алгоритм, аналогичный алгоритму, реализованному в стандарте DSS. Оба алгоритма относятся к семейству алгоритмов ElGamal.

В стандарте ГОСТ 3410 используется хэш-функция ГОСТ 3411, которая создает хэш-код длиной 256 бит. Это во многом обуславливает требования к выбираемым простым числам p и q:

  • р должно быть простым числом в диапазоне 2509 < p < 2512 либо 21020 < p < 21024
  • q должно быть простым числом в диапазоне 2254 < q < 2256
  • q также должно быть делителем (р-1).

Аналогично выбирается и параметр g. При этом требуется, чтобы gq(mod p ) = 1.

В соответствии с теоремой Ферма это эквивалентно условию в DSS, что g = h(p-1)/q(mod p).

Закрытым ключом является произвольное число х

0 < x < q

Открытым ключом является число y

y = g^x(mod\; p)

Для создания подписи выбирается случайное число k

0 < k < q

Подпись состоит из двух чисел (r, s), вычисляемых по следующим формулам:

r = (g^k \;mod\; p) mod\; q\\
s = (kH(M) + xr) mod\; q

Еще раз обратим внимание на отличия DSS и ГОСТ 3410.

Используются разные хэш-функции: в ГОСТ 3410 применяется отечественный стандарт на хэш-функции ГОСТ 3411, в DSS используется SHA-1, которые имеют разную длину хэш-кода. Отсюда и разные требования на длину простого числа q: в ГОСТ 3410 длина q должна быть от 254 бит до 256 бит, а в DSS длина q должна быть от 159 бит до 160 бит.

По-разному вычисляется компонента s подписи. В ГОСТ 3410 компонента s вычисляется по формуле

s = (k \cdot H(M) + x \cdot r) (mod\; q)

В DSS компонента s вычисляется по формуле

s = (k^{-1} \cdot (H(M) + x\cdot r)) (mod \;q)

Последнее отличие приводит к соответствующим отличиям в формулах для проверки подписи.

Получатель вычисляет

w = H(M)^{-1} (mod\; q)\\
u1 = w \cdot s (mod\; q)\\
u2 = (q-r) \cdot w (mod \;q)\\
v = ((g^{u1}\cdot y^{u2}) mod\; p) (mod\; q)

Подпись корректна, если v = r.

Структура обоих алгоритмов довольно интересна. Заметим, что значение r совсем не зависит от сообщения. Вместо этого r есть функция от k и трех общих компонент открытого ключа. Мультипликативная инверсия k(mod p)(в случае DSS) или само значение k (в случае ГОСТ 4310) подается в функцию, которая, кроме того, в качестве входа имеет хэш-код сообщения и закрытый ключ пользователя. Эта функция такова, что получатель может вычислить r, используя входное сообщение, подпись, открытый ключ пользователя и общий открытый ключ.

В силу сложности вычисления дискретных логарифмов нарушитель не может восстановить k из r или х из s.

Другое важное замечание заключается в том, что экспоненциальные вычисления при создании подписи необходимы только для gk(mod p). Так как это значение от подписываемого сообщения не зависит, оно может быть вычислено заранее. Пользователь может заранее просчитать некоторое количество значений r и использовать их по мере необходимости для подписи документов. Еще одна задача состоит в определении мультипликативной инверсии k-1 (в случае DSS). Эти значения также могут быть вычислены заранее.

Подписи, созданные с использованием стандартов ГОСТ 3410 или DSS, называются рандомизированными, так как для одного и того же сообщения с использованием одного и того же закрытого ключа каждый раз будут создаваться разные значения подписи (r,s), поскольку каждый раз будет использоваться новое значение k. Подписи, созданные с применением алгоритма RSA, называются детерминированными, так как для одного и того же сообщения с использованием одного и того же закрытого ключа каждый раз будет создаваться одна и та же подпись.

Никита Игнатенков
Никита Игнатенков
Россия
Алексей Алферов
Алексей Алферов
Россия, Барнаул, Алтайский государственный университет