타원곡선 디지털 서명 알고리즘

암호학에서 Elliptic Curve Digital Signature Algorithm(ECDA; 타원곡선 디지털 서명 알고리즘)은 타원곡선 암호화를 사용하는 Digital Signature Algorithm(DSA; 디지털 서명 알고리즘)의 배리언트를 제공합니다.

키와 시그니처 사이즈

일반적으로 타원곡선암호법과 마찬가지로 ECDSA에 필요하다고 생각되는 개인키의 비트사이즈는 보안수준의 약 2배(비트)^[1]입니다.예를 들어 보안 레벨이 80비트인 경우(즉 공격자가 개인 키를 찾기 위해 최대 약 $({$ })의 $2^{80}$ 조작이 필요함)에서는 ECDSA 개인 키의 크기는 160비트가 됩니다.한편 시그니처 사이즈는 DSA와 ECDSA 모두 동일합니다.약 $($ $t$ \ $displaystyle$ $4t)$ 비트는80비트의 보안 수준에 대해 비트 단위로 측정된 보안 수준입니다.

시그니처 생성 알고리즘

Alice가 Bob에게 서명된 메시지를 보내고 싶다고 가정합니다.처음에는 곡선 파라미터 $({\textrm {CURVE}},G,n)$ $){displaystyle({\textrm$ {CURVE $}, G, n$ 에 동의해야 합니다.곡선의 필드 및 방정식 외에 곡선의 기본점인 G $(\displaystyle$ G $G$ 가 $G$ 합니다. ${displaystyle$ n $}$ 는 $n$ G(\ $displaystyle$ G $)$ 의 곱셈입니다 $.$ $G$ 를 클릭합니다.

파라미터
곡선	사용되는 타원 곡선장과 방정식
G	타원 곡선 기준점, 큰 소수점 n의 부분군을 생성하는 곡선상의 점
n	$n\times G=O$ 의 정수 순서는 $n\times G=O$ n × G $=$ $n\times G=O$ (\ $displaystyle$ n $\times$ G $=O$ 을 의미합니다. $O$ 서 O $(\displaystyle$ O $)$ 는 $O$ 식별 요소입니다.
$\displaystyle d_{A}}$	개인 키(선택된 암호)
$Q_{A}$	공개키(타원곡선으로 표현)
m	보낼 메시지

$기준점$ G의 $순서$ n ${$ $displaystyle$ n $}$ 은 $n$ $G$ 소수여야 합니다. $\mathbb {Z} /n\mathbb {Z}$ 링 $\mathbb {Z} /n\mathbb {Z}$ Z / $\mathbb {Z} /n\mathbb {Z}$ 의 0이 아닌 요소(\ $displaystyle \mathbb {Z}$ / $n\mathbb {Z})$ 는 $\mathbb {Z} /n\mathbb {Z}$ 모두 반전 가능하므로 $\mathbb {Z} /n\mathbb {Z}$ Z / $\mathbb {Z} /n\mathbb {Z}$ $\mathbb {Z} /n\mathbb {Z}$ (\ $displaystyle \mathbb {Z}$ / $n\mathb {Z})$ 는 $\mathbb {Z} /n\mathbb {Z}$ 필드여야 합니다.이는 n $\displaystyle$ n이 $n$ 소수여야 함을 $n$ 합니다(cf).베주트의 신원).

Alice는 개인 키 $d_{A}$ $(\$ 로 구성된 키 쌍을 만듭니다. $A$ $[1,n-1]$ $[1,n-1]$ [ $[1,n-1]$ , $[1,n-1]$ - 1 $]({displaystyle [1, n-1$ 및 공개키 $Q_{A}=d_{A}\times G$ $Q_{A}=d_{A}\times G$ $=$ $Q_{A}=d_{A}\times G$ × $Q_{A}=d_{A}\times G$ ({ $displaystyle Q_{A$ }= $d_{})$ 에서 랜덤으로 선택됨 $A}\times$ G $Q_{A}=d_{A}\times G$ $×(\displaystyle\times)$ 를 $\times$ $\times$ 사용하여 타원곡선점 곱셈을 스칼라로 나타냅니다.

Alice가 $메시지$ m $display m$ 에 서명하려면 다음 절차를 따릅니다.

$e={\textrm {HASH}}(m)$ $e={\textrm {HASH}}(m)$ ( $e={\textrm {HASH}}(m)$ m ) { $displaystyle$ e = $substextrm$ {HASH $}}$ ( $m)$ } . (여기서 HASH는 SHA-2와 같은 암호화 해시 함수이며 출력은 정수로 변환됩니다.)
z $(\displaystyle$ $z$ $)$ 는 $z$ e $(\displaystyle$ e $e$ 의 $L_{n}$ 끝 $L_{n}$ 부분 $(\$ displaystyle L_{n})으로 합니다 $.$ 서 $L_{n}$ $Ln$ (\ $displaystyle L_{$ n})은 그룹 $순서$ n(\ $displaystyle$ n $n$ 의 비트 길이입니다(z $(\displaystyle$ z)는 $z$ n $(\displaystyle$ n $)$ 보다 $n$ 클 수 있지만 길 수는 없습니다).^[2]
$[1,n-1]$ $[1,n-1]$ , $[1,n-1]$ - $]$ { $displaystyle [ 1$ , $n-1$ $[1,n-1]$ 에서 암호화로 안전한 랜덤 $정수$ k { $displaystyle$ k} 를 $k$ 선택합니다.
곡선점 $(x_{1},y_{1})=k\times G$ $(x_{1},y_{1})=k\times G$ 1, $(x_{1},y_{1})=k\times G$ ) $=$ × $(x_{1}, y_{1$ })= $k\times$ G $(x_{1},y_{1})=k\times G$ 를 계산합니다.
r $r=x_{1}\,{\bmod {\,}}n$ $r=x_{1}\,{\bmod {\,}}n$ $r=x_{1}\,{\bmod {\,}}n$ $r=x_{1}\,{\bmod {\,}}n$ n {\ $display$ r $=x_{1},{\bmod {,}n$ 을 $r=x_{1}\,{\bmod {\,}}n$ 합니다. $r=0$ $r=0$ {\ $displaystyle$ r=0 $r=0$ 이면 스텝 3으로 돌아갑니다.
s $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ - $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ ( $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ + $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ d $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ ) $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ n $(\displaystyle$ s $=k^{-1}(z+rd_{)$ 을 $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ 합니다. $A},$ {\ $bmod {,}}n$ s $s=0$ {\ $displaystyle$ s $=0$ 이면 3단계로 돌아갑니다.
시그니처는 쌍 $(r,s)$ , $(r,s)$ $){$ $displaystyle (r$ $(r,-s\,{\bmod {\,}}n)$ , $(r,-s\,{\bmod {\,}}n)$ $(r,-s\,{\bmod {\,}}n)$ n $){$ $displaystyle ($ r $(r,-s\,{\bmod {\,}}n)$ , - $(r,-s\,{\bmod {\,}}n)$ , { \ $bmod$ { , , , , ) $n$ 도 $(r,-s\,{\bmod {\,}}n)$ 유효한 시그니처입니다).

표준주로서 k $(\displaystyle$ k $)$ 는 $k$ $k$ 이어야 할 뿐만 아니라 서명마다 $다른$ k(\ $displaystyle$ k $)$ 를 $k$ 선택하는 것도 중요합니다.그렇지 않으면 스텝 6의 방정식은 $(\$ 에 대해 풀 수 있습니다.A $d_{A}$ 개인 키: 2개의 시그니처 $(r,s)$ $r$ $(r,s)$ $)$ { $(r,s')$ $(r, s$ )} 및 $(r,s)$ $m$ $(r,s')$ ( $(r,s')$ s $(r,s')$ { $displaystyle(r$ , $s')}$ { $displaystyle$ m} 및 m { $displaystyle$ m $m'$ {{ $displaystyle$ k $})$ 를 $k$ 사용하여 $z$ 는 $z와 z$ 를 $z'$ 할 $z$ 수 $있습니다$ . ${\$ { $displaystyle$ z $z'$ } 、 $s-s'=k^{-1}(z-z')$ - $s-s'=k^{-1}(z-z')$ s $s-s'=k^{-1}(z-z')$ ′ $s-s'=k^{-1}(z-z')$ - $1$ ( $z$ - $s-s'=k^{-1}(z-z')$ ) ) $s-s'=k^{-1}(z-z')$ } } 、（ 이 항의 모든 $n$ 은 $모듈로$ 수행되므로 공격자는 k $=$ $k={\frac {z-z'}{s-s'}}$ - $k={\frac {z-z'}{s-s'}}$ ′ $k={\frac {z-z'}{s-s'}}$ - s - s $′$ stylen $n$ }의 { $display$ k - s - s - s }를 찾을 수 $k={\frac {z-z'}{s-s'}}$ $.$ $tyle s=k^{-1}(z+rd_{)$ $A$ 공격자는 이제 개인 키 $d_{A}={\frac {sk-z}{r}}$ $d_{A}={\frac {sk-z}{r}}$ $d_{A}={\frac {sk-z}{r}}$ $d_{A}={\frac {sk-z}{r}}$ - $d_{A}={\frac {sk-z}{r}}$ r {\ $displaystyle d_{$ 를 계산할 수 있습니다. $A}=sk-z}{r}}$ 입니다 $d_{A}={\frac {sk-z}{r}}$

이 구현 실패는 예를 들어 PlayStation 3 게임 ^[3]콘솔에 사용되는 서명 키를 추출하기 위해 사용되었습니다.

ECDSA 시그니처가 개인 키를 누출할 수 있는 또 다른 방법은결함이 있는 난수 생성기에 $의해$ k $\displaystyle$ k가 $k$ 생성된 $k$ 입니다.이 같은 난수 생성 실패는 2013년 ^[4]8월 안드로이드 Bitcoin Wallet 이용자들의 자금 손실을 초래했다.

k $(\displaystyle$ k $)$ 가 $k$ 각 메시지에 대해 $k$ 을 보증하기 위해 랜덤 번호 생성을 완전히 생략하고 메시지와 개인 ^[5]키 모두에서k(\ $display$ k $)$ 를 $k$ 도출하여 결정론적 서명을 생성할 수 있습니다.

시그니처 검증 알고리즘

Bob이 Alice의 서명을 인증하려면 공개키 $Q_{A}$ $(\$ Q_ ${A$ 의 복사가 필요합니다.Bob은 $(\$ Q_ ${A})$ 가 $Q_{A}$ 유효한 커브포인트임을 $Q_{A}$ 할 수 있습니다.

$(\$ 가 $Q_{A}$ ID $요소$ O와 동일하지 $Q_{A}$ , 그 좌표가 유효한지 확인합니다.
$(\$ 가 $Q_{A}$ 곡선상에 있는지 $Q_{A}$ 합니다.
n $n\times Q_{A}=O$ × $n\times Q_{A}=O$ A $=$ (\ $displaystyle$ n $\times$ Q_ ${A$ }= $O)$ 인지 확인합니다.

그 후 Bob은 다음 단계를 수행합니다.

$r$ 및 s가 [ $[1,n-1]$ , $[1,n-1]$ - $]({displaystyle [$ 1, n-1 $[1,n-1]$ 정수임을 $확인$ 합니다.그렇지 않으면 시그니처는 비활성화됩니다.
$e={\textrm {HASH}}(m)$ $e={\textrm {HASH}}(m)$ ( $e={\textrm {HASH}}(m)$ m ) { $displaystyle$ e $= spectextrm$ {HASH $}} (m$ 을 계산합니다.여기서 HASH는 시그니처 생성에서 사용되는 함수와 동일합니다.
z를 e의 $L_{n}$ $L_{n}$ 의 $(\$ L_ ${n$ }) 비트로 $합니다$ .
$u_{1}=zs^{-1}\,{\bmod {\,}}n$ 1 $u_{1}=zs^{-1}\,{\bmod {\,}}n$ $u_{1}=zs^{-1}\,{\bmod {\,}}n$ $u_{1}=zs^{-1}\,{\bmod {\,}}n$ - $u_{1}=zs^{-1}\,{\bmod {\,}}n$ $u_{1}=zs^{-1}\,{\bmod {\,}}n$ n {\ $displaystyle u_{1$ } = $zs^{-1},$ {\ $bmod {,}n}$ $u_{2}=rs^{-1}\,{\bmod {\,}}n$ $u_{2}=rs^{-1}\,{\bmod {\,}}n$ 2 $u_{2}=rs^{-1}\,{\bmod {\,}}n$ $u_{2}=rs^{-1}\,{\bmod {\,}}n$ s $u_{2}=rs^{-1}\,{\bmod {\,}}n$ - $u_{2}=rs^{-1}\,{\bmod {\,}}n$ $u_{2}=rs^{-1}\,{\bmod {\,}}n$ n {\ $displaystyle u_{2$ } = $rs^$ {- $1},$ {\ $bmod {,}n$ 을 $u_{1}=zs^{-1}\,{\bmod {\,}}n$ 합니다.
곡선점 $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ 1, $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ 1) $(x_{1},y_{1})=O$ $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ 1 × $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ + $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ 2 × $(x_{1},y_{1})=u_{1}\times G+u_{2}\times Q_{A}$ A $({$ }, $y_{1$ })= $u_{1}\times$ G+ $u_{2}\times$ Q_ ${A$ If $(x_{1},y_{1})=O$ ( $(x_{1},y_{1})=O$ 1, $(x_{1},y_{1})=O$ 1)= O $(x_{1},y_{1})=O$ { $style (x_{1}, y_{$ 1})= $O$ 그러면 서명이 잘못되었습니다 $.$
시그니처는 r $r\equiv x_{1}{\pmod {n}}$ x $r\equiv x_{1}{\pmod {n}}$ ( $r\equiv x_{1}{\pmod {n}}$ n $r\equiv x_{1}{\pmod {n}}$ ) { $displaystyle$ r \ $equiv x$ _ { $1$ } { \ $pmod$ { $n$ } $r\equiv x_{1}{\pmod {n}}$ $r\equiv x_{1}{\pmod {n}}$ 유효합니다.

효율적인 구현에서는 $s^{-1}\,{\bmod {\,}}n$ - 1 $s^{-1}\,{\bmod {\,}}n$ n $(\displaystyle$ s $^{-1},{\bmod {,}}n})$ 을 $s^{-1}\,{\bmod {\,}}n$ 한 번만 계산합니다.또한 Shamir의 트릭을 사용하면 ^[6]2개의 스칼라 $u_{1}\times G+u_{2}\times Q_{A}$ $u_{1}\times G+u_{2}\times Q_{A}$ 1 $u_{1}\times G+u_{2}\times Q_{A}$ × $u_{1}\times G+u_{2}\times Q_{A}$ + $u_{1}\times G+u_{2}\times Q_{A}$ 2 × $u_{1}\times G+u_{2}\times Q_{A}$ $u_{1}\times G+u_{2}\times Q_{A}$ { $displaystyle u$ _ { $1}$ \ $times$ G + $u$ _ { $2}$ \ $times$ Q $_$ { $u_{1}\times G+u_{2}\times Q_{A}$ A }의 $u_{1}\times G+u_{2}\times Q_{A}$ 합계가 독립적으로 이루어지는 2개의 스칼라 곱셈보다 빠르게 계산될 수 있습니다.

Correctness of the algorithm

It is not immediately obvious why verification even functions correctly. To see why, denote as $C$ the curve point computed in step 5 of verification,

C=u_{1}\times G+u_{2}\times Q_{A}

From the definition of the public key as $Q_{A}=d_{A}\times G$ ,

C=u_{1}\times G+u_{2}d_{A}\times G

Because elliptic curve scalar multiplication distributes over addition,

C=(u_{1}+u_{2}d_{A})\times G

Expanding the definition of $u_{1}$ and $u_{2}$ from verification step 4,

C=(zs^{-1}+rd_{A}s^{-1})\times G

Collecting the common term $s^{-1}$ ,

C=(z+rd_{A})s^{-1}\times G

Expanding the definition of $s$ from signature step 6,

C=(z+rd_{A})(z+rd_{A})^{-1}(k^{-1})^{-1}\times G

Since the inverse of an inverse is the original element, and the product of an element's inverse and the element is the identity, we are left with

C=k\times G

From the definition of $r$ , this is verification step 6.

This shows only that a correctly signed message will verify correctly; many other properties^[which?] are required for a secure signature algorithm.

Public key recovery

Given a message $m$ and Alice's signature $r,s$ on that message, Bob can (potentially) recover Alice's public key:^[7]

Verify that $r$ and $s$ are integers in $[1,n-1]$ . If not, the signature is invalid.
곡선 $R=(x_{1},y_{1})$ R $=$ ( $R=(x_{1},y_{1})$ , y $R=(x_{1},y_{1})$ ) ${{displaystyle$ R=( $x_{1}, y_{1}}$ )을 $R=(x_{1},y_{1})$ 계산합니다. $x_{1}$ 서 x $x_{1}$ 1 { $displaystyle$ $x_{1}$ 은 $x_{1}$ r {\ $displaystyle$ r $+$ $r+2n$ $r+n$ + $r+2n$ $r+n$ {\ $displaystyle$ r $+$ $2n$ $등$ ( $x_{1}$ 1 $x_{1}$ { $displaystyle$ r $+n$ }) 필드는 너무 크지 않습니다. $y_{1}$ {\ $displaystyle y_{1}}$ 는 $y_{1}$ 곡선 방정식을 만족시키는 값입니다 $.$ 이러한 조건을 만족시키는 여러 개의 곡선 지점이 있을 수 있으며, R 값이 $다를$ 때마다 다른 키가 복구됩니다.
$e={\textrm {HASH}}(m)$ $e={\textrm {HASH}}(m)$ ( $e={\textrm {HASH}}(m)$ m ) { $displaystyle$ e $= spectextrm$ {HASH $}} (m$ 을 계산합니다.여기서 HASH는 시그니처 생성에서 사용되는 함수와 동일합니다.
z를 e의 $L_{n}$ $L_{n}$ 의 $(\$ L_ ${n$ }) 비트로 $합니다$ .
$u_{1}=-zr^{-1}\,{\bmod {\,}}n$ 1 $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ - $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ - $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ n { \ $displaystyle u$ $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ _ { 1} = - $zr^$ { $1$ $}$ , { \ $bmod$ { , } n $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ $u_{2}=sr^{-1}\,{\bmod {\,}}n$ $u_{2}=sr^{-1}\,{\bmod {\,}}n$ 2 $=$ - $u_{2}=sr^{-1}\,{\bmod {\,}}n$ $u_{2}=sr^{-1}\,{\bmod {\,}}n$ n { $u_{2}=sr^{-1}\,{\bmod {\,}}n$ } , { \ $bmod$ { , $u_{2}=sr^{-1}\,{\bmod {\,}}n$ 을 $u_{1}=-zr^{-1}\,{\bmod {\,}}n$ 합니다.
$Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ A $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ ( $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ , $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ A ) $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ 1 × $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ + $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ 2 × $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ ( \ $displaystyle Q_{A$ } = ( $x_{A}$ , $y_{$ A} ) = $u_{1}$ \ $times$ G $+u_{2$ } \ $times$ R $Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R$ )을 계산합니다.
서명은 $(\$ 가 Alice 공용 키와 일치하는 $Q_{A}$ 유효합니다.
$가능$ 한 모든 R 포인트를 시도했지만 Alice의 공용 키와 일치하는 항목이 없으면 서명이 유효하지 않습니다.

무효 시그니처 또는 다른 메시지로부터의 시그니처는, 잘못된 공개 키를 회복하는 것에 주의해 주세요.복구 알고리즘은 서명자의 공용 키(또는 해당 해시)가 미리 알려진 경우에만 시그니처의 유효성을 확인하는 데 사용할 수 있습니다.

복구 알고리즘의 정확성

복구 단계 6에서 $({$ 의 $Q_{A}$ 정의부터 시작합니다.

Q_{A}=(x_{A},y_{A})=u_{1}\times G+u_{2}\times R

$R=(x_{1},y_{1})=k\times G$ R $R=(x_{1},y_{1})=k\times G$ ( $R=(x_{1},y_{1})=k\times G$ 1, y $R=(x_{1},y_{1})=k\times G$ ) $R=(x_{1},y_{1})=k\times G$ $R=(x_{1},y_{1})=k\times G$ × $({displaystyle$ R=( $x_{1},y_{1$ }) $= k\times$ G $}$ 에서 $R=(x_{1},y_{1})=k\times G$ 서명 단계 4에서

Q_{A}=u_{1}\times G+u_{2}k\times G

타원곡선 스칼라 곱셈은 덧셈에 따라 분산되기 때문에

Q_{A}=(u_{1}+u_{2}k)\times G

복구 단계 5에서 $($ 스타일 $u_{1})$ $u_{2}$ $($ 스타일 $u_{2})$ 의 $u_{2}$ $u_{1}$ 를 확장하면

\displaystyle Q_{A}=skr^{-1}+skr^{-1}\times G}

시그니처 스텝6부터의 $정의$ 를 확장합니다.

Q_{A}=sqr^{-1}+k^{-1}(z+rd_{)A)kr^{-1}\times G

원소의 역수와 원소의 곱이 동일성이기 때문에, 우리는 다음과 같이 남는다.

({displaystyle Q_{A}=sqszr^{-1}+(zr^{-1}+d_{A})\times G}

첫 번째 항과 두 번째 항은 서로를 상쇄한다.

Q_{A}=d_{A}\times G

$Q_{A}=d_{A}\times G$ A $Q_{A}=d_{A}\times G$ $Q_{A}=d_{A}\times G$ $Q_{A}=d_{A}\times G$ × $Q_{A}=d_{A}\times G$ { $displaystyle Q$ _ { A } $=$ _ { $A}\times$ G $Q_{A}=d_{A}\times G$ 이것은 Alice의 공개 키입니다.

이는 서명 $값$ r에서 곡선 $R=(x_{1},y_{1})$ R $=$ ( $R=(x_{1},y_{1})$ , $R=(x_{1},y_{1})$ $1$ )({ $displaystyle R=(x_{$ 1}, $y_{$ 1})}을 $R=(x_{1},y_{1})$ (를) 고유하게 계산하기 위해 추가 정보를 공유한 경우 올바른 서명된 메시지가 올바른 공용 키를 복구함을 나타냅니다.

보안.

2010년 12월, Fail0verflow라고 하는 그룹이, 소니가 PlayStation 3 게임 콘솔의 소프트웨어에 서명하기 위해서 사용한ECDSA 개인 키의 회복을 발표했습니다.그러나 이 공격은소니가 알고리즘을 제대로 구현하지 않았기 때문에 K(\ $displaystyle$ k $)$ 가 $k$ 랜덤이 아닌 정적이었기 때문에 $k$ 가 있었습니다.위의 '시그니처 생성 알고리즘' 섹션에서 설명한 $d_{A}$ 와 같이 $dA는 displaystyle$ displaystyle ${$ $A}}$ 해결 $d_{A}$ 가능, 전체 알고리즘이 ^[8]무용지물이 됩니다.

2011년 3월 29일, 2명의 연구자가 OpenSSL을 사용하여 서버의 TLS 개인 키를 취득할 수 있음을 나타내는 ICR 논문을^[9] 발표했습니다.이 문서는 타이밍 ^[10]공격을 통해 바이너리 필드를 통해 Elliptic Curves DSA를 사용하여 인증할 수 있습니다.이 취약성은 OpenSSL 1.0.^[11]0e에서 수정되었습니다.

2013년 8월에는 Java 클래스의 SecureRandom 일부 구현에서 k $\displaystyle$ k $k$ 에서 $k$ 충돌이 발생하는 버그가 발견되었습니다.이를 통해 해커들은 합법적인 키 소유자가 가지고 있던 것과 동일한 방식으로 개인 키를 복구할 수 있게 되었고, 이는 일부 안드로이드 앱 구현에서 PS3 서명 키를 공개하는 데 사용된 것과 동일한 악용으로,^[12] 해커들은 자바를 사용하고 거래 인증에 ECDSA에 의존합니다.

이 문제는예측 불가능한 k\ $displaystyle$ k $k$ (RFC 6979에 기재된 결정론적 절차 등)으로 방지할 수 있습니다.

걱정

ECDSA에 대한 우려는 다음과 같습니다.

정치적 관심사 후에 폭로는 NSA기꺼이 소프트웨어, 하드웨어 구성 요소와 발행된 표준에 backdoors를 삽입하게 만들어졌다NIST-produced 곡선의 신뢰도 조사를 받고 있던;잘 알려 진 cryptographers[13]및 자발적인 tainting 벌써 끝났다 어떻게 자는 NIST곡선 설계되었다에 대해 의문 expressed[14][15]다.t에서 증명했다그는 지나갔다.^[16]^[17](libssh curve25519의 개요도 참조).^[18]그럼에도 불구하고, 명명된 NIST 곡선이 드문 약점을 이용한다는 증거는 아직 없다.
기술적인 문제: 표준의 적절한 구현의 어려움, 그 속도 저하 및 불충분한 방어적 ^[19]구현의 보안을 저하시키는 설계상의 결함.

실장

ECDSA를 지원하는 암호화 라이브러리를 다음에 나타냅니다.

「」를 참조해 주세요.

레퍼런스

^ Johnson, Don; Menezes, Alfred (1999). "The Elliptic Curve Digital Signature Algorithm (ECDSA)". CiteSeerX. CiteSeerX 10.1.1.38.8014. Retrieved May 9, 2021.
^ NIST FIPS 186-4, 2013년 7월, 19페이지 및 26페이지
^ Console Hacking 2010 - PS3 Epic Fail Archived 2014년 12월 15일 Wayback Machine (123-128페이지)
^ "Android Security Vulnerability". Retrieved February 24, 2015.
^ "RFC 6979 - Deterministic Usage of the Digital Signature Algorithm (DSA) and Elliptic Curve Digital Signature Algorithm (ECDSA)". Retrieved February 24, 2015.
^ "The Double-Base Number System in Elliptic Curve Cryptography" (PDF). Retrieved April 22, 2014.
^ Daniel R. L. Brown SECG SEC 1: 타원곡선암호화(버전 2.0) https://www.secg.org/sec1-v2.pdf
^ Bendel, Mike (December 29, 2010). "Hackers Describe PS3 Security As Epic Fail, Gain Unrestricted Access". Exophase.com. Retrieved January 5, 2011.
^ "Cryptology ePrint Archive: Report 2011/232". Retrieved February 24, 2015.
^ "Vulnerability Note VU#536044 - OpenSSL leaks ECDSA private key through a remote timing attack". www.kb.cert.org.
^ "ChangeLog". OpenSSL Project. Retrieved April 22, 2014.
^ "Android bug batters Bitcoin wallets". The Register. August 12, 2013.
^ Schneier, Bruce (September 5, 2013). "The NSA Is Breaking Most Encryption on the Internet". Schneier on Security.
^ "SafeCurves: choosing safe curves for elliptic-curve cryptography". October 25, 2013.
^ Bernstein, Daniel J.; Lange, Tanja (May 31, 2013). "Security dangers of the NIST curves" (PDF).
^ Schneier, Bruce (November 15, 2007). "The Strange Story of Dual_EC_DRBG". Schneier on Security.
^ Greenemeier, Larry (September 18, 2013). "NSA Efforts to Evade Encryption Technology Damaged U.S. Cryptography Standard". Scientific American.
^ "curve25519-sha256@libssh.org.txt\doc - projects/libssh.git". libssh shared repository.
^ Bernstein, Daniel J. (March 23, 2014). "How to design an elliptic-curve signature system". The cr.yp.to blog.

추가 정보

공인 표준 위원회 X9, ASC X9는 공개 키 암호/ECDA의 새로운 표준을 발행합니다.2020년 10월 6일출처
인정표준위원회 X9, American National Standard X9.62-2005, 금융서비스업용 공개키 암호화, ECDSA(Elliptic Curve Digital Signature Algorithm), 2005년 11월 16일.
Certicom Research, 효율적인 암호화를 위한 표준, SEC 1: Elliptic Curve Cryptography, 버전 2.0, 2009년 5월 21일.
로페즈, J., 다합, R.Elliptic Curve Cryptography의 개요, 기술 보고서 IC-00-10, Campinas 주립 대학교, 2000.
Daniel J. Bernstein, Pippenger의 지수화 알고리즘, 2002.
Daniel R. L. Brown, 범용 그룹, 충돌 방지 및 ECDSA, 설계, 코드 및 암호, 35, 119–152, 2005. ePrint 버전
Ian F. Blake, Gadiel Serousi 및 Nigel Smart 편집자, Elliptic Curve Cryptography, London Mathematical Society 강의 노트 시리즈 317, Cambridge University Press, 2005.
Hankerson, D.; Vanstone, S.; Menezes, A. (2004). Guide to Elliptic Curve Cryptography. Springer Professional Computing. New York: Springer. doi:10.1007/b97644. ISBN 0-387-95273-X. S2CID 720546.

외부 링크

ECDSA에 관한 정보를 포함한 디지털 서명 규격
Elliptic Curve Digital Signature Algorithm(ECDA; 타원곡선 디지털시그니처 알고리즘)은 ECDSA에 대한 자세한 가이드를 제공합니다.웨이백 링크

[1] Johnson, Don; Menezes, Alfred (1999). "The Elliptic Curve Digital Signature Algorithm (ECDSA)". CiteSeerX. CiteSeerX 10.1.1.38.8014. Retrieved May 9, 2021.

[2] NIST FIPS 186-4, 2013년 7월, 19페이지 및 26페이지

[3] Console Hacking 2010 - PS3 Epic Fail Archived 2014년 12월 15일 Wayback Machine (123-128페이지)

[4] "Android Security Vulnerability". Retrieved February 24, 2015.

[5] "RFC 6979 - Deterministic Usage of the Digital Signature Algorithm (DSA) and Elliptic Curve Digital Signature Algorithm (ECDSA)". Retrieved February 24, 2015.

[6] "The Double-Base Number System in Elliptic Curve Cryptography" (PDF). Retrieved April 22, 2014.

[7] Daniel R. L. Brown SECG SEC 1: 타원곡선암호화(버전 2.0) https://www.secg.org/sec1-v2.pdf

[8] Bendel, Mike (December 29, 2010). "Hackers Describe PS3 Security As Epic Fail, Gain Unrestricted Access". Exophase.com. Retrieved January 5, 2011.

[9] "Cryptology ePrint Archive: Report 2011/232". Retrieved February 24, 2015.

[10] "Vulnerability Note VU#536044 - OpenSSL leaks ECDSA private key through a remote timing attack". www.kb.cert.org.

[11] "ChangeLog". OpenSSL Project. Retrieved April 22, 2014.

[12] "Android bug batters Bitcoin wallets". The Register. August 12, 2013.

[13] Schneier, Bruce (September 5, 2013). "The NSA Is Breaking Most Encryption on the Internet". Schneier on Security.

[14] "SafeCurves: choosing safe curves for elliptic-curve cryptography". October 25, 2013.

[15] Bernstein, Daniel J.; Lange, Tanja (May 31, 2013). "Security dangers of the NIST curves" (PDF).

[16] Schneier, Bruce (November 15, 2007). "The Strange Story of Dual_EC_DRBG". Schneier on Security.

[17] Greenemeier, Larry (September 18, 2013). "NSA Efforts to Evade Encryption Technology Damaged U.S. Cryptography Standard". Scientific American.

[18] "curve25519-sha256@libssh.org.txt\doc - projects/libssh.git". libssh shared repository.

[19] Bernstein, Daniel J. (March 23, 2014). "How to design an elliptic-curve signature system". The cr.yp.to blog.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[16]

[17]

[18]

[19]

Search

타원곡선 디지털 서명 알고리즘

네임스페이스

더

목차

키와 시그니처 사이즈

시그니처 생성 알고리즘

시그니처 검증 알고리즘

Correctness of the algorithm

Public key recovery

복구 알고리즘의 정확성

보안.

걱정

실장

「」를 참조해 주세요.

레퍼런스

추가 정보

외부 링크

Search

타원곡선 디지털 서명 알고리즘

키와 시그니처 사이즈

시그니처 생성 알고리즘

시그니처 검증 알고리즘

Correctness of the algorithm

Public key recovery

복구 알고리즘의 정확성

보안.

걱정

실장

「 」를 참조해 주세요.

레퍼런스

추가 정보

외부 링크

「」를 참조해 주세요.