Probabilistic Signature Scheme
Probabilistic Signature Scheme (PSS) oder probabilistisches Signaturverfahren ist ein von Mihir Bellare und Phillip Rogaway entwickeltes kryptographisches Paddingverfahren.<ref name="BR96" /> Im Zufallsorakelmodell kann mit dem PSS aus einer Falltürpermutation ein beweisbar sicheres Signaturverfahren konstruiert werden.
Verfahren
PSS wurde entwickelt, weil es für die damals existierenden Signaturverfahren keine Sicherheitsbeweise gab, die die Sicherheit des Signaturverfahrens in eine enge Beziehung zur Schwierigkeit des dem Verfahren zugrundeliegenden Problems setzten. Ein solcher Beweis konnte für PSS mit Hilfe von Zufallsorakeln, die ideale kryptologische Hashfunktionen modellieren, angegeben werden.
Signieren
Das Verfahren benutzt eine Hashfunktion <math>H</math> und wird durch drei Werte parametrisiert:
- <math>k</math>, die Bitlänge der Menge auf der die Permutation operiert
- <math>k_0</math>, die Länge der Zufallszahl
- <math>k_1</math>, die Ausgabelänge der Hashfunktion <math>H</math>
Zum Signieren wird die Nachricht <math>M</math> zusammen mit einer Zufallszahl <math>r</math> zu einem Wert <math>w = H(M|r)</math> gehasht. Da <math>r</math> zur Verifikation benötigt wird, wird sie mit <math>g_1(w)</math> maskiert. Eine weitere Funktion liefert <math>g_2(w)</math>, die <math>k-k_0-k_1-1</math> fehlenden Bits. Aus dem Bitstring <math>y = 0|w|r</math> <math>\oplus</math> <math>g_1(w)|g_2(w)</math> ist nun mittels der geheimen Umkehrung der Einwegpermutation die Signatur <math>s = P^{-1}(y)</math> berechnet.
Verifizieren
Um eine Signatur <math>s</math> einer Nachricht <math>M</math> zu verifizieren, wird zuerst <math>y = P(s)</math> berechnet und in <math>b|w|r'|s'</math> geparst. Dann wird die Zufallszahl <math>r = r' \oplus g_1(w)</math> wiedergewonnen und überprüft, dass <math>w = H(M|r)</math>, <math>s' = g_2(w)</math> und <math>b = 0</math> ist. Falls diese Bedingungen erfüllt sind, ist die Signatur gültig, andernfalls nicht.
Varianten RSA-PSS
1996 beschrieben Bellare und Rogaway in ihrem Papier die Kombination von PSS mit RSA als Falltürpermutation. Im Zufallsorakelmodell ist RSA-PSS existentially unforgeable under chosen-message attacks (EUF-CMA) unter der RSA-Annahme.<ref name="BR96" />
RSA-PSS ist in einer Variante im PKCS#1 ab Version 2.1 standardisiert. Insbesondere wird in diesem Standard die Nachricht zuerst gehasht; dies soll den Einsatz von Smartcards mit geringer Bandbreite als Signaturkarten ermöglichen.<ref name="PKCS21" />
RSA-PSS ist Teil des großen Herstellerstandard Public-Key Cryptography Standards (PKCS), welcher schrittweise in Request for Comments (RFC) überführt wurde. Die Weiterentwicklung von RSAPSS erfolgt nur noch über RFC-Veröffentlichungen.
Normen und Standards
Einzelnachweise
<references> <ref name="BR96"> {{#invoke:Vorlage:Literatur|f}} </ref> <ref name="PKCS21"> {{#invoke:Vorlage:Literatur|f}} </ref> </references>