1703864690
一旦攻击者满意他所看到的签名数量,那他就可以挑选某条信息M,尝试在上面伪造签名。对M的唯一限制就是,它必须为攻击者之前未在之上看过签名的信息(因为很明显,攻击者可以发出他收到过的签名)。挑战者运行验证算法,以此确定攻击者生成的关于M信息签名在经过公共验证密钥验证后,是否属实。如果验证成功,攻击者赢得游戏。
1703864691
1703864692
不论对手使用什么算法,我们说签名方案不可伪造,当且仅当他成功伪造信息的机会非常小——小到我们可以假设在实践中从不会发生。
1703864693
1703864694
实践中的考量
1703864695
1703864696
要将算法概念转化为现实中可执行的数字签名机制,我们还需要考虑许多实际问题。例如,很多签名算法是随机的(特别是比特币使用的算法),因此我们需要随机性的良好来源。我们不能低估这一点的重要性,因为不良随机性会使你认为安全的算法变得不安全。
1703864697
1703864698
另一个实际问题是关于信息大小。在实践中,你能够签署的信息大小是有限制的,因为真实的方案将在位数长度有所限制的字符串中运行。有一个简单的方法可以解决这个限制:对信息的哈希值进行签署,而非对信息本身进行签署。如果我们使用输出值为256位的加密的哈希函数,那么我们可以有效地签署任何长度的信息,只要我们的签名方案能够签署256位的信息。如上所述,我们可以将信息的哈希值作为信息摘要,哈希函数具有碰撞阻力,因此这种方式是安全的。
1703864699
1703864700
我们后面会用到的另一个技巧是,可以对于哈希指针进行签署。如果你签署了哈希指针,那么该签名覆盖(或者说保护)整个结构——这不仅仅是哈希指针本身,还包括哈希指针指向的整个区块链。比如,如果签署了区块链末尾的哈希指针,其结果就是你有效地数字签署了整条区块链。
1703864701
1703864702
椭圆曲线数字签名算法
1703864703
1703864704
现在让我们来看一下具体的细节。比特币使用的数字签名方案叫作椭圆曲线数字签名算法(ECDSA)。ECDSA为美国政府的标准,是早前DSA[1]算法利用了椭圆曲线的升级版。这些算法经过了数年的细致密码分析,且被普遍认为是安全的。
1703864705
1703864706
更具体地说,比特币使用ECDSA算法,而不是标准椭圆曲线“secp256k1”[预计提供128位安全保障,即打破这个算法的难度与执行2128对称性密钥运算(如破解哈希函数)一样困难]。虽然这个曲线是公开标准,但除比特币以外鲜有使用,其他使用ECDSA的应用(如安全网络浏览时的TLS[2]密钥交换)通常都使用更常见的“secp256k1”曲线。这就是比特币的一个古怪之处,因为在比特币系统早期实施中被中本聪选定(参见原版前言),现在已很难改变。
1703864707
1703864708
我们不会详细地讨论ECDSA的原理,因为这涉及一些过于复杂的数学知识,且对于本书的其他内容没有太多帮助。如果你对ECDSA感兴趣,请参见本章末尾延伸阅读部分。虽然我们这么说,但对于了解各种参数也许会很有必要:
1703864709
1703864710
个人密钥:256位
1703864711
1703864712
公钥(未压缩):512位
1703864713
1703864714
公钥(压缩):257位
1703864715
1703864716
待签名信息:256位
1703864717
1703864718
签名:512位
1703864719
1703864720
注意,严格来讲,虽然ECDSA只能签署256位的信息,但这存在问题,因为信息在签署之前总是已经经过哈希压缩,因此,任何大小的信息都能被有效签署。
1703864721
1703864722
使用ECDSA时,确保随机性良好来源至关重要,因为不良来源将可能导致密钥信息的泄露。这一点不难理解,如果你使用了不良随机来生成密钥,那么该密钥就可能不安全。但是ECDSA的古怪就在于,即使你仅仅只是在生成签名时使用了不良随机,而你使用的密钥完美无缺,你的个人密钥还是有可能泄露(熟悉DSA的人都知道这是DSA的古怪之处,但并不针对椭圆曲线)。接着游戏就结束了,如果你的个人密钥泄露,对手就可以伪造你的签名。因此,我们在实践中要特别注意使用良好随机来源,使用不良随机来源是安全系统的一个常见缺陷。
1703864723
1703864724
数字签名作为密码学基础,我们对其讨论就此结束。在下一节,我们将讨论对打造加密货币会带来帮助的一些数字签名应用。
1703864725
1703864726
1703864727
加密货币及加密术
1703864728
1703864729
如果你一直在期待比特币使用的加密算法,我们可能会让你失望了,比特币并没有使用任何加密术,因为并没有加密的需要。加密术只是因为现代密码学而变得可能成为众多技术中的一个,很多技术(如承诺方案)在某种程度上隐藏信息,但是与加密术有所不同。
1703864730
1703864731
[1]DSA (Digital Signature Algorithm),电子签名算法。——译者注
1703864732
1703864733
[2]TLS(Transport Layer Security),传输层安全协议,用于在两个通信应用程序之间提供保密性和数据完整性。——译者注
1703864734
1703864735
1703864736
1703864737
1703864739
区块链技术驱动金融:数字货币与智能合约技术 1.4 公钥即身份
[
上一页 ]
[ :1.70386469e+09 ]
[
下一页 ]