Слепая подпись - Википедия - Blind signature

В криптография а слепая подпись, как введено Дэвид Чаум,^[1] это форма цифровой подписи в котором замаскировано содержание сообщения (ослепленный ) до подписания. Полученная слепая подпись может быть публично проверена по сравнению с исходным неслепым сообщением, как обычная цифровая подпись. Слепые подписи обычно используются в протоколах, связанных с конфиденциальностью, где подписывающее лицо и автор сообщения являются разными сторонами. Примеры включают криптографические системы выборов и цифровые деньги схемы.

Часто используемая аналогия с криптографической слепой подписью - это физический акт, когда избиратель помещает заполненный анонимный бюллетень в специальный копировальная бумага линованный конверт, на внешней стороне которого заранее напечатаны учетные данные избирателя. Должностное лицо проверяет учетные данные и подписывает конверт, тем самым перенося свою подпись на бюллетень внутри через копировальную бумагу. После подписания пакет возвращается избирателю, который переносит теперь подписанный бюллетень в новый немаркированный обычный конверт. Таким образом, подписывающий не просматривает содержимое сообщения, но третья сторона может позже проверить подпись и узнать, что подпись действительна в рамках ограничений базовой схемы подписи.

Пример слепой подписи в работах

Слепые подписи также могут использоваться для предоставления несвязанность, что предотвращает возможность подписывающей стороны связать скрытое сообщение, которое она подписывает, с более поздней неслепой версией, которую она может запросить для проверки. В этом случае ответ подписывающей стороны сначала "не ослепленный" перед проверкой таким образом, чтобы подпись оставалась действительной для неслепого сообщения. Это может быть полезно в схемах, где анонимность необходимо.

Схемы слепой подписи могут быть реализованы с использованием ряда распространенных открытый ключ схемы подписания, например ЮАР и DSA. Чтобы выполнить такую подпись, сообщение сначала "ослепляют", обычно путем объединения его каким-либо образом со случайным "фактором ослепления". Скрытое сообщение передается подписывающей стороне, которая затем подписывает его, используя стандартный алгоритм подписи. Результирующее сообщение вместе с маскирующим фактором может быть позже проверено с использованием открытого ключа подписывающей стороны. В некоторых схемах слепой подписи, таких как RSA, можно даже удалить маскирующий фактор из подписи до ее проверки. В этих схемах окончательный результат (сообщение / подпись) схемы слепой подписи идентичен таковому для обычного протокола подписи.

Использует

Схемы слепой подписи находят широкое применение в приложениях, где важна конфиденциальность отправителя. Это включает различные "цифровые деньги "схемы и протоколы голосования.

Например, целостность некоторой системы электронного голосования может потребовать, чтобы каждый бюллетень был сертифицирован избирательным органом, прежде чем он может быть принят для подсчета; это позволяет властям проверять учетные данные избирателя, чтобы убедиться, что ему разрешено голосовать, и что он не подает более одного бюллетеня. В то же время важно, чтобы этот орган не изучал выбор избирателей. Несвязанная слепая подпись обеспечивает эту гарантию, поскольку орган не будет видеть содержимое бюллетеней, которые он подписывает, и не сможет связать закрытые бюллетени, которые он подписывает, с незакрытыми бюллетенями, которые он получает для подсчета.

Схемы слепой подписи

Схемы слепой подписи существуют для многих протоколов подписи с открытым ключом. Ниже приведены некоторые примеры. В каждом примере подписываемое сообщение содержится в значении м. м считается правомерным вводом в функцию подписи. В качестве аналогии рассмотрим, что у Алисы есть письмо, которое должно быть подписано авторитетным лицом (скажем, Бобом), но Алиса не хочет раскрывать содержание письма Бобу. Она может поместить письмо в конверт с копировальная бумага и отправьте его Бобу. Боб подпишет внешнюю сторону углеродного конверта, не открывая его, а затем отправит обратно Алисе. Затем Алиса может открыть его и найти письмо, подписанное Бобом, но Боб не видел его содержимого.

Более формально схема слепой подписи - это криптографический протокол в котором участвуют две стороны: пользователь Алиса, которая хочет получить подписи в своих сообщениях, и подписывающий Боб, который владеет своим секретным ключом подписи. В конце протокола Алиса получает подпись Боба на м и Боб ничего не узнает о сообщении. Эту интуицию незнания чего-либо сложно описать математическими терминами. Обычный подход состоит в том, чтобы показать, что для каждого (состязательного) подписывающего существует симулятор, который может выводить ту же информацию, что и подписывающий. Это похоже на определение нулевого знания в доказательство с нулевым разглашением системы.

Слепые подписи RSA

^[2]^:235

Одна из простейших схем слепой подписи основана на подписи RSA. Традиционная подпись RSA вычисляется путем создания сообщения м к секретному показателю d по модулю общественного модуля N. В слепой версии используется случайное значение р, так что р является относительно простой к N (т.е. gcd(р, N) = 1). р доводится до публичного экспонента е по модулю N, а полученное значение ${ displaystyle r ^ {e} { bmod {N}}}$ используется как ослепляющий фактор. Автор сообщения вычисляет произведение сообщения и маскирующего фактора, то есть:

{ Displaystyle м ' экв г-н ^ {е} ( mathrm {mod} N)}

и отправляет полученное значение ${ displaystyle m '}$ подписывающему органу. Потому что р - случайное значение, а отображение ${ displaystyle r mapsto r ^ {e} { bmod {N}}}$ перестановка, следует, что ${ displaystyle r ^ {e} { bmod {N}}}$ тоже случайный. Отсюда следует, что ${ displaystyle m '}$ не допускает утечки информации о м. Затем подписывающий орган вычисляет слепую подпись. s ' в качестве:

{ Displaystyle s ' Equiv (m') ^ {d} ( mathrm {mod} N).}

s ' отправляется обратно автору сообщения, который затем может удалить фактор ослепления, чтобы выявить s, действующая подпись RSA м:

{ Displaystyle s Equiv s ' CDOT г ^ {- 1} ( mathrm {mod} N)}

Это работает, потому что ключи RSA удовлетворяют уравнению ${ displaystyle r ^ {ed} Equiv r { pmod {N}}}$ и поэтому

{ Displaystyle s Equiv s ' cdot r ^ {- 1} Equiv (m') ^ {d} r ^ {- 1} Equiv m ^ {d} r ^ {ed} r ^ {- 1} Equiv m ^ {d} rr ^ {- 1} Equiv m ^ {d} { pmod {N}},}

следовательно s действительно подпись м.

На практике обычно требуется свойство, заключающееся в том, что при подписании одного скрытого сообщения создается не более одного действительного подписанного сообщения. Это означает, например, один голос на каждый подписанный бюллетень на выборах. Это свойство не выполняется для простой схемы, описанной выше: исходное сообщение и неслепая подпись действительны, но то же самое относится к скрытому сообщению и слепой подписи и, возможно, другим комбинациям, заданным умным злоумышленником. Решением этой проблемы является слепая подпись криптографического хеша сообщения, а не самого сообщения.^[3]

Опасности слепой подписи RSA

ЮАР подвергается атаке с ослеплением RSA, с помощью которой можно обманом расшифровать сообщение путем слепой подписи другого сообщения. Поскольку процесс подписи эквивалентен расшифровке секретным ключом подписывающей стороны, злоумышленник может предоставить скрытую версию сообщения. ${ displaystyle m}$ зашифровано открытым ключом подписывающей стороны, ${ displaystyle m '}$ чтобы они подписали. Зашифрованное сообщение, как правило, представляет собой некоторую секретную информацию, которую злоумышленник заметил в зашифрованном виде с открытым ключом подписавшего, и злоумышленник хочет узнать больше. Когда злоумышленник снимает слепоту подписанной версии, у них будет открытый текст:

{ displaystyle { begin {align} m '' & = m'r ^ {e} { pmod {n}} & = (m ^ {e} { pmod {n}} cdot r ^ { e}) { pmod {n}} & = (mr) ^ {e} { pmod {n}} конец {выровнено}}}

куда ${ displaystyle m '}$ - это зашифрованная версия сообщения. Когда сообщение подписано, открытый текст ${ displaystyle m}$ легко извлекается:

{ displaystyle { begin {align} s '& = m' '^ {d} { pmod {n}} & = ((mr) ^ {e} { pmod {n}}) ^ {d } { pmod {n}} & = (mr) ^ {ed} { pmod {n}} & = m cdot r { pmod {n}} { mbox {, поскольку}} изд Equiv 1 { pmod { phi (n)}} конец {выровнен}}}

Обратите внимание, что ${ Displaystyle фи (п)}$ относится к Функция Эйлера. Сообщение теперь легко получить.

{ displaystyle { begin {align} m = s ' cdot r ^ {- 1} { pmod {n}} end {align}}}

Эта атака работает, потому что в этой схеме слепой подписи подписывающий подписывает сообщение напрямую. Напротив, в схеме неслепой подписи подписывающая сторона обычно использует схему заполнения (например, вместо этого подписывая результат криптографическая хеш-функция применяется к сообщению, а не подписывает само сообщение), однако, поскольку подписывающая сторона не знает фактического сообщения, любая схема заполнения будет давать неверное значение, если оно не закрыто. Из-за этого мультипликативного свойства RSA нельзя использовать один и тот же ключ как для шифрования, так и для подписи.

Смотрите также

внешняя ссылка

Заявка EP 1571777, «Электронный процесс голосования с использованием честных слепых подписей», опубликован 07.09.2005, передан France Telecom
Безопасность слепых подписей при прерывании
Реализация слепой подписи в Java

[1] Чаум, Дэвид (1983). «Слепые подписи для неотслеживаемых платежей» (PDF). Достижения в криптологических процедурах криптографии. 82 (3): 199–203.

[GoldwasserBellare-2] Гольдвассер, С. и Белларе, М. «Конспект лекций по криптографии». Летний курс по криптографии, Массачусетский технологический институт, 1996–2001 гг.

[3] Проблемы инверсии One-More-RSA и безопасность схемы слепой подписи Чаума

[1]

[2]

[3]