区块链与密码学全民课堂第6-1讲：什么是数字签名？

导语：本课堂用通俗易懂的系列内容为大家呈现区块链与密码学领域相关知识。这里有知识也有故事，从感兴趣到有乐趣，全民课堂等你来学。这个系列中的课程内容首先从比特币着手进行入门介绍，再延伸至区块链的相关技术原理与发展趋势，然后深入浅出地依次介绍在区块链中应用的各类密码学技术。欢迎大家订阅本公众号，持续进行学习。

【本课堂内容全部选编自PlatON首席密码学家、武汉大学国家网络安全学院教授、博士生导师何德彪教授的《区块链与密码学》授课讲义、教材及互联网，版权归属其原作者所有，如有侵权请立即与我们联系，我们将及时处理。】

6.1 数字签名的定义

图学院进入了第六单元的学习，在这一单元内，我们将深挖数字签名这一领域，讲述数字签名的技术与应用场景。

传统的确认方式是手写签名，如书信、签约、支付、批复等。在网络时代，人们通过网络支付费用、买卖股票，为了保证网上商务活动的安全，需要一个很重要的安全机制——数字签名。

数字签名在信息安全，包括鉴别、数据完整性、抗抵赖性等方面，特别是在大型网络安全通信中的密钥分配、鉴别及电子商务系统中，具有重要作用。

– 数字签名的定义与性质 –

传统签名及其应用：手写签名与印章，对其所签署的文件进行确认，如果日后签署文件的双方针对文件的内容发生争执，根据签署文件时留下的签名，第三方可以对签名进行检查以便对争执进行调解。

数字签名是一种作用类似于传统的手书签名或印章的电子标记，它可以达到与手写签名类似的作用，即使用数字签名。

定义

在ISO7498-2标准中，数字签名的定义为“附加在数据单元上的一些数据，或是对数据单元所做的密码变换，这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性，并保护数据，防止被人伪造”。

– 数字签名的性质 –

数字签名的主要作用：将消息和拥有消息的实体可信地联系起来. 需要具备如下性质：

签名是不可伪造的：除了合法的签名者之外，任何其他人伪造其签名是困难的。

签名是不可抵赖的：签名者事后不能否认自己的签名。

签名是可信的：任何人都可以验证签名的有效性。

签名是不可复制的：对一个消息的签名不能通过复制变为另一个消息的签名。如果对一个消息的签名是从别处复制得到的，则任何人都可以发现消息与签名之间的不一致性，从而可以拒绝签名的消息。

签名的消息是不可篡改的：经签名的消息不能被篡改. 一旦签名的消息被篡改，则任何人都可以发现消息与签名之间的不一致性。

– 数字签名与传统签名的比较 –

数字签名 VS 传统签名

—1—

数字签名：签名与消息是分开的，需要一种方法将签名与消息绑定在一起。

手写签名：签名认为是被签名消息的一部分。

—2—

数字签名：在签名验证的方法上，数字签名利用一种公开的方法对签名进行验证，任何人都可以对签名进行验证。

手写签名：验证是由经验丰富的消息接收者通过同以前的签名相比较而进行的。

—3—

数字签名：在数字世界中很容易被复制(拷贝)，复制后是一模一样的。

手写签名：在物理世界中不易被复制，复制后的签名的容易与原文件区别。

– 数字签名方案的组成-

一个数字签名方案一般包括四个过程：

系统初始化过程：产生数字签名方案中的所有系统参数。

密钥对生成过程：产生用户的私钥(签名密钥)和公钥(验证密钥)。

签名过程：用户利用给定的签名算法对消息签名，签名过程可以公开也可以不公开，但一定包含仅签名者才拥有的私钥。

验证过程：验证者利用公开的系统参数、验证方法和签名者的公钥对给定消息的签名进行验证。

– 数字签名的设计要求 –

一个数字签名方案需要满足以下要求：

• 签名必须依赖于被签名消息的比特模式 (签名与消息应该是一个不可分割的整体)。

• 签名必须使用某些对发送者是唯一的信息，以防止伪造和抵赖。

• 数字签名的产生、识别和验证应该相对容易。

• 伪造一个数字签名在计算上是不可行的；(无论是通过对已有的数字签名来构造新报文，还是对给定的报文伪造一个数字签名)。

– 数字签名的攻击类型 –

敌手（攻击者）的目标是伪造签名，即冒充某个实体产生数字签名，并被验证者接受。下面提供一套判定准则，用于区分签名方案是在何种意义上被攻克的。

完全攻克。敌手或者能计算签名者的私钥，或者找到一个有效的签名算法在功能上与真正的签名算法等价。

选择性伪造。敌手能够对一个特殊的消息或者预先选定的一类消息构造出正确的签名。签名的构造不直接涉及合法签名者。

存在性伪造。敌手能够伪造至少一个消息的签名。敌手对被伪造签名所对应的消息只有很小的或者根本没有控制能力，而且合法用户可能被卷入该欺骗过程。

对数字签名算法的攻击有两种类型：

唯密钥攻击。此类攻击中，敌手仅知道签名者的公钥。

消息攻击。敌手能够查看与已知消息或者选定消息相应的签名。消息攻击可再细分为三个子类：

已知消息攻击。敌手拥有多个消息的签名，这些消息是已知的但不由敌手选取。

选择消息攻击。在试图攻克签名方案之前，敌手从一个可选的消息列表中获得有效签名。这种攻击是非自适应的，意思是在获知任何签名之前消息已经被选定。对签名方案的选择消息攻击类似于对公钥加密方案的选择密文攻击。

自适应选择消息攻击。敌手可以将签名者作为一个谕示使用；敌手可以要求获得某些签名，它们所对应的消息依赖于签名者的公钥，他也可以要求获得某些签名，它们所对应的消息依赖于以前得到的签名或消息。

今天的课程就到这里啦，大家有没有了解数字签名了呢？从下一堂课开始，我们将依次介绍经典的数字签名算法，让大家全面了解数字签名，敬请期待！

同学们可以关注PlatON World，持续学习哦。我们下节课见啦。