Войти
Алиса подписывает сообщение - «Привет, Боб!» - добавляя к исходному сообщению версию, зашифрованную ее закрытым ключом. Боб получает и сообщение, и подпись. Он использует открытый ключ Алисы для проверки подлинности сообщения, то есть того, что сообщение, расшифрованное с помощью открытого ключа, точно соответствует исходному сообщению. A цифровая подпись - математическая схема для проверки подлинности цифровых сообщений или документы. Действительная цифровая подпись, удовлетворяющая предварительным условиям, дает получателю очень веские основания полагать, что сообщение было создано известным отправителем (аутентификация ), а сообщение не было изменяется при передаче (целостность ).
Цифровые подписи являются стандартным элементом большинства пакетов криптографического протокола и обычно используются для распространения программного обеспечения, финансовых транзакций, программного обеспечения для управления контрактами, а также в других случаях, когда важно обнаружить подделку или подделку.
Цифровые подписи часто используются для реализации электронных подписей, которые включают любые электронные данные, содержащие намерение подписи, но не все электронные подписи используют цифровые подписи. В некоторых странах, включая Канада, Южная Африка, США, Алжир, Турция, Индия, Бразилия, Индонезия, Мексика, Саудовская Аравия, Уругвай, Швейцария rland, Чили и страны Европейского Союза электронные подписи имеют юридическое значение.
Цифровые подписи используют асимметричную криптографию. Во многих случаях они обеспечивают уровень проверки и безопасности сообщений, отправляемых по незащищенному каналу: правильно реализованная цифровая подпись дает получателю основания полагать, что сообщение было отправлено заявленным отправителем. Цифровые подписи во многих отношениях эквивалентны традиционным собственноручным подписям, но правильно реализованные цифровые подписи труднее подделать, чем рукописные подписи. Схемы цифровой подписи в используемом здесь смысле основаны на криптографии и должны быть реализованы должным образом, чтобы быть эффективными. Цифровые подписи также могут обеспечивать неотказуемость, что означает, что подписывающая сторона не может успешно заявить, что она не подписывала сообщение, а также заявлять, что их закрытый ключ остается секретным. Кроме того, некоторые схемы предотвращения отказа от авторства предлагают временную метку для цифровой подписи, так что даже если частный ключ открыт, подпись действительна. Сообщения с цифровой подписью могут представлять собой все, что можно представить в виде цепочки битов : примеры включают электронную почту, контракты или сообщение, отправленное через какой-либо другой криптографический протокол.
Схема цифровой подписи обычно состоит из трех алгоритмов;
Требуются два основных свойства. Во-первых, подлинность подписи, созданной на основе фиксированного сообщения и фиксированного закрытого ключа, может быть проверена с помощью соответствующего открытого ключа. Во-вторых, должно быть невозможно с вычислительной точки зрения создать действительную подпись для стороны, не зная ее закрытый ключ. Цифровая подпись - это механизм аутентификации, который позволяет создателю сообщения прикрепить код, который действует как подпись. Алгоритм цифровой подписи (DSA), разработанный Национальным институтом стандартов и технологий, является одним из многих примеров алгоритма подписи.
В последующем обсуждении 1 относится к унарному числу.
Формально, схема цифровой подписи представляет собой тройку алгоритмов вероятностного полиномиального времени (G, S, V), удовлетворяющие:
Для корректности S и V должны удовлетворять
Схема цифровой подписи является безопасной, если для каждого неоднородного вероятностного полиномиального времени противник, A
где A обозначает, что A имеет доступ к oracle, S (sk, ·), Q обозначает набор запросов к S, выполненных A, которые знают s открытый ключ pk и параметр безопасности n, а x ∉ Q означает, что злоумышленник не может напрямую запрашивать строку x на S.
В 1976 г. Уитфилд Диффи и Мартин Хеллман впервые описали понятие схемы цифровой подписи, хотя они только предполагали, что такие схемы существуют на основе функций, которые представляют собой односторонние перестановки лазейки. Вскоре после этого Рональд Ривест, Ади Шамир и Лен Адлеман изобрели алгоритм RSA, который можно было использовать для создания примитивных цифровых подписей. (хотя только в качестве доказательства концепции - "простые" подписи RSA небезопасны). Первым широко продаваемым программным пакетом, предлагающим цифровую подпись, был Lotus Notes 1.0, выпущенный в 1989 году, в котором использовался алгоритм RSA.
Вскоре после RSA были разработаны другие схемы цифровой подписи, самая ранняя из которых подписи Лампорта, подписи Меркла (также известные как «деревья Меркла» или просто «хэш-деревья») и подписи Рабина.
В 1988 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест стали первыми, кто строго определил требования безопасности схем цифровой подписи. Они описали иерархию моделей атак для схем подписи, а также представили схему подписи GMR, первую, которая, как можно было доказать, предотвращает даже экзистенциальную подделку выбранной атаки сообщения, которая в настоящее время является принятым определением безопасности для схемы подписи. Первая такая схема, которая построена не на функциях лазейки, а на семействе функций с гораздо более слабым требуемым свойством односторонней перестановки, была представлена Мони Наор и Методом Моти Юнга.
Одна (из многих) схем цифровой подписи основана на RSA. Чтобы создать ключи подписи, сгенерируйте пару ключей RSA, содержащую модуль N, который является произведением двух случайных секретных различных больших простых чисел, а также целых чисел e и d, так что ed ≡ 1 (mod φ (N)), где φ - фи-функция Эйлера. Открытый ключ подписывающей стороны состоит из N и e, а секретный ключ подписывающей стороны содержит d.
Чтобы подписать сообщение m, подписывающая сторона вычисляет подпись σ, такую что σ ≡ m (mod N). Для проверки приемник проверяет, что σ m (mod N).
Несколько ранних схем подписи были похожего типа: они предполагали использование перестановки лазейки, такой как функция RSA, или, в случае схемы подписи Рабина, вычисление квадрата по модулю составной, N. Семейство перестановок с лазейками - это семейство перестановок, заданных параметром, которые легко вычислить в прямом направлении, но трудно вычислить в обратном направлении, не зная закрытый ключ. («люк»). Перестановки лазейки могут использоваться для схем цифровой подписи, где для подписи требуется вычисление обратного направления с секретным ключом, а вычисление прямого направления используется для проверки подписей.
При прямом использовании этот тип схемы подписи уязвим для атак с использованием экзистенциальной подделки только ключа. Чтобы создать подделку, злоумышленник выбирает случайную подпись σ и использует процедуру проверки для определения сообщения m, соответствующего этой подписи. На практике, однако, этот тип подписи не используется напрямую, а скорее подписываемое сообщение сначала хешируется для создания короткого дайджеста, который затем дополняется до большей ширины. сравнимо с N, а затем подписано функцией обратного люка. Эта атака подделки, таким образом, производит только дополненный выход хеш-функции, который соответствует σ, но не сообщение, которое приводит к этому значению, которое не приводит к атаке. В случайной модели оракула хэш-затем-знак (идеализированная версия этой практики, где хеш-код и заполнение вместе имеют около N возможных выходов), эта форма подписи экзистенциально неподдающаяся подделке даже при Атака с выбранным открытым текстом.
Есть несколько причин подписывать такой хэш (или дайджест сообщения) вместо всего документа.
В своей основной статье Голдвассер, Микали и Ривест излагают иерархия моделей атак против цифровых подписей:
Они также описывают иерархию результатов атаки :
Следовательно, наиболее сильным понятием безопасности является защита от экзистенциальной подделки при атаке с адаптивным выбором сообщения.
По мере того, как организации отходят от бумажных документов с чернильными подписями или штампами подлинности, цифровые подписи могут обеспечить дополнительные гарантии доказательства происхождения, идентичности и статуса электронного документа , а также признание информированного согласия и одобрения подписавшего. Правительственная типография США (GPO) публикует электронные версии бюджета, государственных и частных законов и законопроектов Конгресса с цифровой подписью. Университеты, включая Penn State, University of Chicago и Stanford, публикуют электронные стенограммы студентов с цифровыми подписями.
Ниже приведены некоторые распространенные причины применения цифровой подписи к коммуникациям:
Хотя сообщения часто могут включать информацию об объекте, отправляющем сообщение, эта информация может не быть точный. Цифровые подписи могут использоваться для проверки подлинности исходных сообщений. Когда право собственности на секретный ключ цифровой подписи привязано к конкретному пользователю, действительная подпись показывает, что сообщение было отправлено этим пользователем. Важность высокой уверенности в подлинности отправителя особенно очевидна в финансовом контексте. Например, предположим, что филиал банка отправляет в центральный офис инструкции, требующие изменения баланса счета. Если центральный офис не убежден, что такое сообщение действительно отправлено из авторизованного источника, выполнение такого запроса может быть серьезной ошибкой.
Во многих сценариях отправитель и получатель сообщения могут нуждаться в уверенности в том, что сообщение не было изменено во время передачи. Хотя шифрование скрывает содержимое сообщения, есть возможность изменить зашифрованное сообщение, не понимая его. (Некоторые алгоритмы шифрования, известные как непостоянные, предотвращают это, а другие - нет.) Однако, если сообщение имеет цифровую подпись, любое изменение в сообщении после подписи делает подпись недействительной. Кроме того, не существует эффективного способа изменить сообщение и его подпись для создания нового сообщения с действительной подписью, потому что это все еще считается вычислительно невыполнимым большинством криптографических хеш-функций (см. устойчивость к коллизиям ).
Отсутствие отказа от авторства или, в частности, отказ от отправления авторства, является важным аспектом цифровых подписей. Благодаря этому свойству объект, который подписал некоторую информацию, не может впоследствии отрицать ее подписание. Точно так же доступ только к публичному ключу не позволяет мошеннической стороне подделать действительную подпись.
Обратите внимание, что эти свойства аутентификации, неотказуемости и т. Д. Основаны на том, что секретный ключ не был отозван до его использования. Публичный отзыв пары ключей является обязательной возможностью, иначе утечка секретных ключей продолжит указывать на заявленного владельца пары ключей. Для проверки статуса отзыва требуется «онлайн» проверка; например, проверка списка отозванных сертификатов или через онлайн-протокол состояния сертификатов. Примерно это аналогично тому, как продавец получает кредитные карты, сначала проверяя онлайн у эмитента кредитной карты, чтобы определить, была ли заявлена утерянная или украденная карта. Конечно, в случае украденных пар ключей кража часто обнаруживается только после использования секретного ключа, например, для подписания поддельного сертификата в целях шпионажа.
Все криптосистемы с открытым / закрытым ключом полностью зависят от сохранения секретного ключа в секрете. Закрытый ключ может храниться на компьютере пользователя и защищаться локальным паролем, но это имеет два недостатка:
Более безопасной альтернативой является хранение закрытого ключа на смарт-карте. Многие смарт-карты защищены от несанкционированного доступа (хотя некоторые конструкции были взломаны, в частности, Росс Андерсон и его ученики). В типичной реализации цифровой подписи хэш, вычисленный на основе документа, отправляется на смарт-карту, ЦП которой подписывает хэш, используя сохраненный закрытый ключ пользователя, а затем возвращает подписанный хеш. Как правило, пользователь должен активировать свою смарт-карту, введя личный идентификационный номер или PIN-код (таким образом обеспечивая двухфакторную аутентификацию ). Можно сделать так, чтобы закрытый ключ никогда не покидал смарт-карту, хотя это не всегда реализуется. Если смарт-карта украдена, похитителю все равно понадобится PIN-код для создания цифровой подписи. Это снижает безопасность схемы до уровня безопасности системы PIN, хотя для этого по-прежнему требуется, чтобы злоумышленник владел картой. Смягчающим фактором является то, что закрытые ключи, если они сгенерированы и хранятся на смарт-картах, обычно считаются сложными для копирования и, как предполагается, существуют только в одной копии. Таким образом, утеря смарт-карты может быть обнаружена владельцем, и соответствующий сертификат может быть немедленно отозван. Закрытые ключи, защищенные только программным обеспечением, легче скопировать, а такие взломы гораздо сложнее обнаружить.
Для ввода PIN-кода для активации смарт-карты обычно требуется цифровая клавиатура. Некоторые устройства чтения карт имеют собственную цифровую клавиатуру. Это безопаснее, чем использование устройства чтения карт, встроенного в ПК, и последующего ввода ПИН-кода с клавиатуры этого компьютера. Считыватели с цифровой клавиатурой предназначены для предотвращения угрозы подслушивания, когда на компьютере может быть запущено регистратор нажатий клавиш, что потенциально может нарушить PIN-код. Специализированные считыватели карт также менее уязвимы для взлома их программного или аппаратного обеспечения и часто имеют сертификат EAL3.
Дизайн смарт-карт является активной областью, и существуют схемы смарт-карт, которые предназначены для устранения этих конкретных проблем, хотя пока с небольшими доказательствами безопасности.
Одно из основных различий между цифровой подписью и письменной подписью заключается в том, что пользователь не «видит» то, что подписывает. Пользовательское приложение представляет хэш-код, который должен быть подписан алгоритмом цифровой подписи с использованием закрытого ключа. Злоумышленник, получивший контроль над ПК пользователя, может заменить пользовательское приложение чужим заменителем, фактически заменив собственные коммуникации пользователя коммуникациями злоумышленника. Это может позволить вредоносному приложению обмануть пользователя и заставить его подписать любой документ, отображая исходный текст пользователя на экране, но представляя собственные документы злоумышленника приложению для подписи.
Для защиты от этого сценария между приложением пользователя (текстовым процессором, почтовым клиентом и т. Д.) И приложением подписи может быть установлена система аутентификации. Общая идея состоит в том, чтобы предоставить как пользовательскому приложению, так и подписывающему приложению некоторые средства для проверки целостности друг друга. Например, приложение для подписи может требовать, чтобы все запросы исходили от двоичных файлов с цифровой подписью.
Одно из основных различий между службой цифровой подписи на основе облачной и локальной службой - это риск. Многие не склонные к риску компании, включая правительства, финансовые и медицинские учреждения, а также платежные системы, требуют более безопасных стандартов, таких как сертификация FIPS 140-2 уровня 3 и FIPS 201, чтобы гарантировать, что подпись проверено и безопасно.
С технической точки зрения цифровая подпись применяется к строке битов, тогда как люди и приложения «полагают», что они подписывают семантическую интерпретацию этих битов. Для семантической интерпретации битовая строка должна быть преобразована в форму, значимую для людей и приложений, и это делается с помощью комбинации аппаратных и программных процессов в компьютерной системе. Проблема в том, что семантическая интерпретация битов может меняться в зависимости от процессов, используемых для преобразования битов в семантическое содержимое. Относительно легко изменить интерпретацию цифрового документа, внося изменения в компьютерную систему, в которой документ обрабатывается. С семантической точки зрения это создает неопределенность относительно того, что именно было подписано. WYSIWYS (что вы видите - это то, что вы подписываете) означает, что семантическая интерпретация подписанного сообщения не может быть изменена. В частности, это также означает, что сообщение не может содержать скрытую информацию, о которой подписавший не знает, и которая может быть раскрыта после применения подписи. WYSIWYS - это требование для действительности цифровых подписей, но это требование трудно гарантировать из-за возрастающей сложности современных компьютерных систем. Термин WYSIWYS был придуман Питером Ландроком и Торбеном Педерсеном для описания некоторых принципов предоставления безопасных и юридически обязательных цифровых подписей для общеевропейских проектов.
Чернильная подпись может быть воспроизведена из одного документа в другой путем копирования изображения вручную или в цифровом виде, но иметь надежные копии подписи, которые не выдерживают некоторой проверки, является важным ручным или техническим навыком, а изготовить копии подписи, не подвергающиеся профессиональной проверке, очень сложно.
Цифровые подписи криптографически связывают электронный идентификатор с электронным документом, и цифровая подпись не может быть скопирована в другой документ. В бумажных контрактах иногда есть блок подписи чернилами на последней странице, и предыдущие страницы могут быть заменены после применения подписи. Цифровые подписи могут быть применены ко всему документу, так что цифровая подпись на последней странице будет указывать на подделку, если какие-либо данные на любой из страниц были изменены, но этого также можно достичь, подписав чернилами и пронумеровав все страницы документа. контракт.
Все схемы цифровой подписи имеют следующие основные предпосылки независимо от теории криптографии или юридических положений:
Только при соблюдении всех этих условий цифровая подпись фактически будет свидетельством того, кто отправил сообщение, и, следовательно, их согласия с его содержанием.. Законодательный акт не может изменить эту реальность существующих инженерных возможностей, хотя некоторые из них не отразили эту реальность.
Законодательные органы, подвергаясь преследованиям со стороны предприятий, которые рассчитывают получить прибыль от эксплуатации PKI, или со стороны технологического авангарда, выступающего за новые решения старых проблем, приняли законы и / или постановления во многих юрисдикциях, разрешающие, одобряющие, поощряющие, или разрешение цифровых подписей и обеспечение (или ограничение) их юридической силы. Первый, по-видимому, был в Юте в Соединенных Штатах, за ним следуют штаты Массачусетс и Калифорния. Другие страны также приняли законодательные акты или издали нормативные акты в этой области, и ООН уже некоторое время ведет активный проект модельного закона. Эти законодательные акты (или предлагаемые законодательные акты) варьируются от места к месту, обычно воплощают ожидания, расходящиеся (оптимистично или пессимистически) с состоянием лежащей в основе криптографической инженерии, и в конечном итоге приводят к путанице потенциальных пользователей и спецификаторов, почти все из которых не разбираются в криптографии. Принятие технических стандартов для цифровых подписей отстало от большей части законодательства, задерживая более или менее единую инженерную позицию по взаимодействию, алгоритму выбору, длине ключа, и так далее о том, что инженеры пытаются предоставить.
В некоторых отраслях установлены общие стандарты взаимодействия для использования цифровых подписей между участниками отрасли и с регулирующими органами. К ним относятся Automotive Network Exchange для автомобильной промышленности и SAFE-BioPharma Association для отрасли здравоохранения.
В некоторых странах цифровая подпись имеет статус, напоминающий статус традиционной подписи пером и бумагой, как в директиве ЕС о цифровой подписи 1999 г. и последующем законодательстве ЕС 2014 г.. Как правило, эти положения означают, что все, что имеет цифровую подпись, юридически связывает подписавшего документ с условиями в нем. По этой причине часто считается, что для шифрования и подписи лучше использовать отдельные пары ключей. Используя пару ключей шифрования, человек может участвовать в зашифрованном разговоре (например, относительно транзакции с недвижимостью), но шифрование не позволяет юридически подписать каждое сообщение, которое он или она отправляет. Только когда обе стороны приходят к соглашению, они подписывают контракт своими ключами подписи, и только тогда они юридически связаны условиями конкретного документа. После подписания документ можно отправить по зашифрованной ссылке. Если ключ подписи утерян или скомпрометирован, его можно отозвать, чтобы избежать любых будущих транзакций. Если ключ шифрования утерян, следует использовать резервную копию или депонирование ключа, чтобы продолжить просмотр зашифрованного содержимого. Запрещается выполнять резервное копирование или депонирование ключей подписи, если место назначения резервной копии не будет надежно зашифровано.
