ECDSA

Der Digital Signature Algorithm (DSA) ist ein Standard der US-Regierung für Digitale Signaturen. Er wurde vom National Institute of Standards and Technology (NIST) im August 1991 für die Verwendung in deren Digital Signature Standard (DSS) empfohlen. Der DSS enthält neben dem DSA (ursprünglich der einzige im DSS definierte Algorithmus) als weitere Algorithmen die RSA-Signatur und ECDSA (siehe unten). Der DSS ist in FIPS-PUB 186-2 veröffentlicht. Der DSA ist ein Signatur-Verfahren, im Gegensatz zu RSA gibt es kein verwandtes Verschlüsselungsverfahren.

Entworfen wurde er von der NSA im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem diskreten Logarithmus in endlichen Körpern. Er orientiert sich am ElGamal-Verschlüsselungsalgorithmus und ist verwandt mit der Schnorr-Signatur. Die Übertragung des DSA auf elliptische Kurven wird als ECDSA (Elliptic Curve Digital Signature Algorithm) bezeichnet und ist in ANSI X9.62 standardisiert.

Schnorr warf im Rahmen der Standardisierung IEEE P1363 der NIST vor, mit dem von ihr entwickelten Signatur-Verfahren Digital Signature Algorithm sein Patent zu verletzen. Vor der Entwicklung des DSA sind Verhandlungen mit Schnorr gescheitert, sein Signatur-Schema zu nutzen. Die Firma RSA, die eine exklusive Lizenz an Schnorrs Signatur-Verfahren hält, hätte mit den Patentstreitigkeiten ein Diskreter-Logarithmus-Verfahren statt ihres RSA-Systems als Standard erschwert, scheute aber vermutlich eine offene Konfrontation mit der US-Regierung.

Funktionsweise

Schlüssel erzeugen

• Wähle eine Primzahl $p\,$ der Länge $L\,$ bit, mit $512\leq L\leq 1024$, wobei $L\,$ ein Vielfaches von 64 ist.
• Wähle eine weitere Primzahl $q\,$ der Länge 160 bit, die ein Teiler von p − 1 ist.
• Wähle $h\,$ für das gilt: $1<h<p-1\,$ und $h^{\frac{p-1}{q}}\mod p\neq 1$
• Berechne $g=h^{\frac{p-1}{q}}\mod p$
• Wähle ein zufälliges $x\,$ für das gilt: $1<x<q\,$
• Berechne $y=g^{x}\mod p$

$p,q,g,y\,$ werden veröffentlicht (öffentlicher Schlüssel), $x\,$ bleibt geheim und wird somit zum geheimen Schlüssel.

Signieren

Signiert wird die Nachricht $m\,$; $\operatorname{SHA-1}(m)$ bezeichnet den SHA-1 Hashwert der Nachricht $m\,$.

• Wähle für jede zu signierende Nachricht ein zufälliges $s\,$ mit $1<s<q\,$
• Berechne $s_{1}=(g^{s}\mod p)\mod q$
• Berechne $s_{2}=s^{-1}\cdot (\operatorname{SHA-1}(m)+s_{1}\cdot x)\mod q$

Die Signatur der Nachricht ist nun $(s_{1},s_{2})\,$. s darf nicht übermittelt werden, da sonst der geheime Schlüssel x aus der Signatur berechnet werden kann. Details siehe [1]

Überprüfung

Gegeben ist die Signatur bestehend aus $s_{1}\,$ und $s_{2}\,$ sowie die Nachricht $m\,$. Der Wert $s\,$ wird nicht übermittelt.

• Überprüfe, ob 0 < s₁ < q und 0 < s₂ < q. Ist das nicht der Fall, weise die Signatur als ungültig zurück.
• Berechne $w=s_{2}^{-1}\mod q$
• Berechne $u_{1}=\operatorname{SHA-1}(m)\cdot w\mod q$
• Berechne $u_{2}=s_{1}\cdot w\mod q$
• Berechne $v=(g^{u_1}\cdot y^{u_2}\mod p)\mod q$
• Wenn $v=s_{1}\,$, dann ist die Signatur gültig.