KCDSA

KCDSA ( Korean Certificate-based Digital Signature Algorithm ) är en digital signaturalgoritm skapad av ett team som leds av Korea Internet & Security Agency ( KISA). Det är en ElGamal- variant som liknar Digital Signature Algorithm och GOST R 34.10-94. Standardalgoritmen är implementerad över $GF(p)$ , men en elliptisk kurvvariant ( EC-KCDSA specificeras också.

KCDSA kräver en kollisionsbeständig kryptografisk hashfunktion som kan producera en utdata i variabel storlek (från 128 till 256 bitar, i 32-bitars steg). HAS-160 , en annan koreansk standard, är det föreslagna valet.

Domänparametrar

• $p$ : ett stort primtal så att $|p|=512+256i$ för $i=0,1,\dots ,6$ .
• $q$ : en primfaktor av $p-1$ så att $|q|=128+32j$ för $j=0,1,\dots ,4$ .
• $g$ : ett baselement av ordningen $q$ i $\operatorname {GF} (p)$ .

Den reviderade versionen av tilläggsspecifikationen kräver antingen att $(p-1)/q2$ är primtal eller att alla dess primtalsfaktorer är större än $q$ .

Användarparametrar

• $x$ : undertecknarens privata signaturnyckel så att $0<x<q$ .
• $y$ : undertecknarens offentliga verifieringsnyckel beräknad av $y=g^{\bar {x}}{\pmod {p}},$ där ${\bar {x}}=x^{-1}{\pmod {q}}$ .
• $z$ : ett hash-värde av Cert Data , dvs. $z=h({\text{Cert Data}})$ .

Specifikationen från 1998 är oklart om det exakta formatet för "Cert Data". I den reviderade specifikationen definieras z som de nedre B-bitarna i den publika nyckeln y, där B är blockstorleken för hashfunktionen i bitar (typiskt 512 eller 1024). Effekten är att det första ingångsblocket motsvarar y mod 2^B.

• $z$ : de nedre B-bitarna av y.

Hash-funktion

• $h$ : en kollisionsbeständig hashfunktion med |q|-bitars sammandrag.

Signering

För att signera ett meddelande $m$ :

• Signeraren väljer slumpmässigt ett heltal $0<k<q$ och beräknar $w=g^{k}\mod {p}$
• Beräknar sedan den första delen: $r=h(w)$
• Beräknar sedan den andra delen: $s=x(kr\oplus h(z\parallel m)){\pmod {q}}$
• Om $s=0$ måste processen upprepas från början.
• Signaturen är $(r,s)$

Specifikationen är vag när det gäller hur heltalet $w$ ska omtolkas som en bytesträng som matas in till hashfunktionen. I exemplet i avsnitt C.1 överensstämmer tolkningen med $r=h(I2OSP(w,|q|/8))$ med definitionen av I2OSP från PKCS#1/RFC3447.

Verifierar

För att verifiera en signatur $(r,s)$ på ett meddelande $m$ :

• Verifieraren kontrollerar att $0\leq r<2^{|q|}$ och $0<s<q$ och avvisar signaturen som ogiltig om inte.
• Verifierare beräknar $e=r\oplus h(z\parallel m)$
• Verifieraren kontrollerar om $r=h(y^{s}\cdot g^{e}\mod {p})$ . Om så är fallet är signaturen giltig; annars är det inte giltigt.

externa länkar

• KCDSA specifikation och analys