1703864646
区块链技术驱动金融：数字货币与智能合约技术 [:1703863909]
1703864647
区块链技术驱动金融：数字货币与智能合约技术 1.3 数字签名
1703864648
1703864649
在本节，我们将讨论数字签名（digital signatures）。数字签名是密码学中的第二个重要部分，该理论和哈希函数一起，为我们后面讨论加密货币奠定基础。数字签名被认为是对纸上手写签名的数字模拟。我们对数字签名有两个特性要求，使其与我们对手写签名的预期一致。第一，只有你可以制作你自己的签名，但任何看到它的人都可以验证其有效性；第二，我们希望签名只与某一特定文件发生联系，因此该签名不能用于表明你同意或支持另一份不同的文件。对于手写签名来说，第二条就如同确保别人不能将你的签名从一份文件上剪下来，贴到另一份文件的末尾那样。
1703864650
1703864651
那我们如何通过密码学来构建这些性质呢？首先，让我们把之前的直观讨论说得更具体一些，以便今后可以更好地论证数字签名方案，并讨论其安全特性。
1703864652
1703864653
数字签名方案
1703864654
1703864655
数字签名方案由以下三个算法构成：
1703864656
1703864657
● (sk, pk) :=generateKeys(keysize) generateKeys方法把keysize作为输入，来产生一对公钥和私钥。私钥sk被安全保存，并用来签名一段消息；公钥pk是人人都可以找到的，拿到它，就可以用来验证你的签名。
1703864658
1703864659
● sig:=sign(sk, message) 签名过程是把一段消息和私钥作为一个输入，对于消息输出是签名。
1703864660
1703864661
● isValid:=verify(pk, message, sig) 验证过程是通过把一段消息和签名消息与公钥作为输入，如果返回的结果是真，证明签名属实；如果返回的结果为假，证明签名消息为假。
1703864662
1703864663
我们要求以下两个性质有效：
1703864664
1703864665
● 有效签名可以通过验证，即：
1703864666
1703864667
verify(pk, message, sign(sk, message))==true
1703864668
1703864669
● 签名不可伪造。
1703864670
1703864671
我们注意到generateKeys和sign都可以采用随机算法。的确，generateKeys最好是随机的，因为它需要为不同的人生成不同的密钥，而verify则需要是确定的。
1703864672
1703864673
现在，让我们更详细地检验我们要求数字签名方案具备的两个特性。第一个特性很直接，那就是有效的签名必须通过验证。如果我用我的密钥sk签署了一条消息，之后有人试图通过使用我的公钥pk验证关于同一条消息的签名，该签名必须证实为正确。这个特性是对签名有效的最基本要求。
1703864674
1703864675
不可伪造性。第二个要求计算上不可能伪造签名。也就是说，知道你公钥并看到你在某些信息上签名的对手，不能伪造他还未见过的你在其他信息上的签名。这一不可伪造特性类似于我们与对手之间在进行一场游戏，游戏的使用在密码安全证明中很常见。
1703864676
1703864677
在不可伪造性游戏中，对手会声称他可以伪造签名，而挑战者会测试他所说的话（见图1.9）。我们做的第一件事是使用generateKeys方法生成一个密钥，以及相应的公共验证公钥，我们将密钥交给挑战者，然后将公钥交给挑战者以及对手。因此，对手只知道公共信息，而他的任务是试图伪造一条信息。挑战者知道密钥，因此他可以签名。
1703864678
1703864679
1703864680
1703864681
1703864682
图1.9 不可伪造性游戏
1703864683
1703864684
注：不可伪造性游戏是对手（黑客）和挑战者一起玩这样一个游戏：如果黑客可以在一个之前没有见过的消息上进行签名，那么黑客就赢得这个游戏；反之，如果黑客做不到，挑战者就赢得游戏，从而可以证明这个数字签名方案是不可伪造的。
1703864685
1703864686
直观来看，这个游戏的设定与真实世界条件一致，现实中的攻击者很可能可以从潜在受害者的很多不同文件中看到有效签名，攻击者甚至还可能操控受害者签署一份看起来无害但对黑客有利的文件。
1703864687
1703864688
为了将这一点建模到我们的游戏中，我们将允许黑客选择一些文件的签名，不限时长，只要猜测的数量合情。合情猜测数量的意思是，我们允许攻击者尝试猜测的次数高达百万，但数量高达280就不行了。从渐进性角度来说，我们允许攻击者多次尝试，尝试次数可以是一个密钥大小的多项式函数，但次数不能更多（例如攻击者不能以指数方式猜测）。
1703864689
1703864690
一旦攻击者满意他所看到的签名数量，那他就可以挑选某条信息M，尝试在上面伪造签名。对M的唯一限制就是，它必须为攻击者之前未在之上看过签名的信息（因为很明显，攻击者可以发出他收到过的签名）。挑战者运行验证算法，以此确定攻击者生成的关于M信息签名在经过公共验证密钥验证后，是否属实。如果验证成功，攻击者赢得游戏。
1703864691
1703864692
不论对手使用什么算法，我们说签名方案不可伪造，当且仅当他成功伪造信息的机会非常小——小到我们可以假设在实践中从不会发生。
1703864693
1703864694
实践中的考量
1703864695