ลายเซ็นของข้อมูลเอนโทรปีต่ำ: สามารถปลอมแปลงได้หรือไม่?

ฉันกำลังทำงานกับแอปพลิเคชันที่ฉันมีฉลากระบุผลิตภัณฑ์ที่จับต้องได้ซึ่งมีบล็อกของ สาธารณะ, ข้อมูลเอนโทรปีต่ำ (ประมาณ 50 ไบต์) เช่น หมายเลขซีเรียลและข้อมูลอื่นๆ ทั้งหมดพร้อมใช้งานบนฉลาก ฉันต้องการใช้อัลกอริทึมลายเซ็นที่ใช้แฮชเพื่อตรวจสอบความถูกต้องว่าผลิตภัณฑ์นั้นถูกต้อง

1. นี่เป็นความคิดที่สมเหตุสมผลหรือไม่? ข้อมูลเอนโทรปีต่ำทำให้เกิดปัญหาหรือไม่?
2. ต้องมีฉลากผลิตภัณฑ์เหล่านี้จำนวนเท่าใดจึงจะได้รับรหัสลับ

แก้ไข: อาจเป็นคำถามที่ดีกว่า ลายเซ็นนี้สามารถปลอมได้โดยไม่ต้องมีรหัสลับหรือไม่

3. มีวิธีการทำเช่นนี้อย่างปลอดภัยด้วยข้อมูลเอาต์พุตเพียง 256 บิตหรือไม่

1. นี่เป็นความคิดที่สมเหตุสมผลหรือไม่?

ฟังดูดีตราบเท่าที่:

• คุณใช้คีย์ RSA ที่แข็งแกร่ง (เช่น อย่างน้อย 2048 บิต)

• คุณใช้วิธีการขยายลายเซ็น RSA ที่ดี

• คุณป้องกันไม่ให้ผู้โจมตีแก้ไขรหัสสาธารณะ RSA ที่คุณใช้ในการยืนยันด้วย

ข้อมูลเอนโทรปีต่ำทำให้เกิดปัญหาหรือไม่?

ไม่ ข้อมูลเอนโทรปีต่ำไม่มีปัญหา

2. ต้องมีฉลากผลิตภัณฑ์เหล่านี้จำนวนเท่าใดจึงจะได้รับรหัสลับ

ไม่มีวิธีที่ทราบในการกู้คืนคีย์ส่วนตัว RSA แม้ว่าคุณจะให้ Oracle แก่ผู้โจมตีเพื่อลงชื่อจำนวนข้อความโดยพลการตามอำเภอใจ (ซึ่งเป็นสถานการณ์การโจมตีที่รุนแรงกว่าสิ่งที่คุณมี)

ตามที่กล่าวไว้ใน คำตอบอื่น ๆ: ใช่ นี่เป็นแนวคิดที่สมเหตุสมผล RSA อนุญาตลายเซ็นที่ปลอดภัยของข้อมูลสาธารณะที่มีเอนโทรปีต่ำ ซึ่งสามารถตรวจสอบได้อย่างเปิดเผยว่าตรงกับข้อมูลดังกล่าว แต่ไม่สามารถสร้างได้หากไม่มีรหัสส่วนตัวตัวอย่างของลายเซ็นที่ถูกต้องและรหัสสาธารณะจะไม่เปิดเผยรหัสส่วนตัว หรือวิธีสร้างลายเซ็นอื่นๆ รูปแบบลายเซ็นที่เป็นมาตรฐานหลายๆ แบบทำสิ่งนี้เป็นประจำ (แต่แน่นอนว่าไม่มีสิ่งใดที่จะป้องกันการคัดลอกข้อมูลสาธารณะและลายเซ็นของข้อมูลนั้น)

ตอนนี้คำถามเพิ่ม:

มีวิธีการทำเช่นนี้อย่างปลอดภัยด้วยข้อมูลเอาต์พุตเพียง 256 บิตหรือไม่

ไม่ใช่กับ RSA ลายเซ็น RSA 256 บิตจะไม่ปลอดภัย เนื่องจากสิ่งเหล่านี้ (ภายในไม่กี่บิต) กว้างพอๆ กับโมดูลัสสาธารณะ และ 256 บิตก็เล็กเกินไป (384 บิตก็เล็กเกินไปในปี 1990 และมีความคืบหน้าอย่างมาก ตั้งแต่นั้นมา ดู นี้).

256 บิตนั้นใกล้จะถึงแล้ว และค่อนข้างจะผิดทางสำหรับรูปแบบลายเซ็นที่ผ่านการตรวจสอบอย่างดีซึ่งสามารถให้ความปลอดภัยสูงได้ ฉันเพิ่ง ถามเกี่ยวกับเรื่องนี้จัดทำรายการสิ่งที่ฉันรู้ในหมู่ ที่ได้มาตรฐาน แบบแผนโดยไม่มีอะไรต่ำกว่า 384 บิตที่ระดับความปลอดภัย 128 บิตที่แนะนำโดยทั่วไปสำหรับการรักษาความปลอดภัยระดับสูงในทศวรรษหน้า

ในทางกลับกัน ถ้าใครพอใจกับการรักษาความปลอดภัยแบบ 90 บิต (ซึ่งยังคงทำให้ต้นทุนการโจมตีที่คาดการณ์ไว้โดยใช้วิธีการในปัจจุบันเป็นพันล้านยูโร) และไม่ต้องการสิ่งที่เป็นมาตรฐาน ก็สามารถใช้ ลายเซ็น Schnorr สั้น ๆ (ซึ่งในชื่อจะเป็น 270 บิต) และเทคนิคเล็กๆ น้อยๆ ในการแลกเปลี่ยนการสร้างลายเซ็นที่นานขึ้นและ/หรือเวลาในการตรวจสอบกับลายเซ็นที่น้อยลง ฉันสามารถให้รายละเอียดได้ว่าหากจำเป็น

อีกทางเลือกหนึ่งจะเป็น ลายเซ็น BLS เช่น. บนเส้นโค้ง BN254 หรือ BN256 ซึ่งพอดีกับเป้าหมายด้านขนาด และอย่างน้อยต้องมีความปลอดภัยเทียบเท่ากับ เหล่านี้ ความคิดเห็นแต่นั่นก็อยู่นอกเขตความสะดวกสบายของฉัน