密码学基础--RSA签名,你该选什么填充模式?
目录
1. OAEP
1.1 加密过程
1.2 解密过程
2 PSS
2.1 签名流程
2.2 验签流程
3.小结
1. OAEP
填充模式OAEP(Optimal Asymmetric Encryption Padding),仅用于加解密。
1.1 加密过程
使用该填充模式进行加密总共分为三大步骤:(1)数据长度检查检查Lable长度是否超过所选Hash函数所能计算的长度,本程序中默认label长度为0;检查待加密消息m字节长度是否超过 k(模数长度)-2*hLen(所选哈希函数摘要长度)-2;例如使用MGF(mask generation function)选择SHA512时,使用1024bit长度的密钥就不能进行加密。(2)基于EME-OAEP进行数据编码和填充具体流程如下:
图 1 OAEP填充流程
DB:data block;PS:Padding string;EM:encoded message
- 如果检查到输入的label为空,那么对应Hash值如下:
MD 5 = d41d8cd9 8f00b204 e9800998 ecf8427e
SHA-1 = da39a3ee 5e6b4b0d 3255bfef 95601890 afd80709
SHA-256= e3b0c442 98fc1c14 9afbf4c8 996fb924
27ae41e4 649b934c a495991b 7852b855
SHA-384= 38b060a7 51ac9638 4cd9327e b1b1e36a
21fdb711 14be0743 4c0cc7bf 63f6e1da
274edebf e76f65fb d51ad2f1 4898b95b
SHA-512= cf83e135 7eefb8bd f1542850 d66d8007
d620e405 0b5715dc 83f4a921 d36ce9ce
47d0d13c 5d85f2b0 ff8318d2 877eec2f
63b931bd 47417a81 a538327a f927da3e
- 生成PS字节串,长度为k-mLen-2*hLen -2,填充为00;
- 拼接DB = lHash || PS || 0x01 ||M;
- 生成与Hash函数摘要相同的随机数Seed,通过MGF进行摘要计算后和DB进行异或,作为MaskedDB;
- MaskedDB经过MGF再次进行摘要计算后与Seed进行异或,得到MaskedSeed;
- 拼接EM = 00||MaskedSeed||MaskedDB,得到最终的编码消息
(3)使用公钥进行RSAEP加密,得到密文C = m^e mod n ,(n,e)为公钥参数
1.2 解密过程
解密过程同样也分为三个大步骤:(1)长度检查:
- 如果密文长度不能模数长度,返回错误,不进行下一步;
- 如果模数长度小于2* hLen +2,则返回错误。
(2)RSA解密,公式 m = C^d mod n,d为私钥幂数、n为模数;
(3)最后解码解密出来的明文M,如下图所示:
图 2 OAEP解码过程
- 根据所选Hash函数对Label生成lHash值,根据加密时EM的数据结构将M拆成 Y || maskedSeed || maskedDB;Y为单字节,maskedDB长度为模数k - hLen - 1,maskedSeed 为Hash长度。使用mgf对maskedDB做运算,得到seedMask;
- SeedMask xor MaskedSeed得到Seed;
- Seed通过mgf得到dbMask;
- MaskedDB xor dbMask得到最终的明文,然后根据字节长度截取出M,最后得到效果如下:
图 3 OAEP填充模式加解密效果
2.PSS
填充模式PSS(Probabilistic Signature Scheme),仅用于签名验签。如选用PSS进行签名、验签,程序中盐值长度配置为DIGEST_LENGTH;mgf支持MD5、SHA224\256\384\512,与签名使用的Hash函数一致。
2.1 签名流程
其签名流程如下:(1)根据PSS需求将原始数据M进行编码,得到与模数相当长度的数据块EM,编码规则如下图所示:
图 4 PSS填充过程
特别注意,Pad1 = 0x0000 0000,
Pad2 = 0x00.... || 01,需要填充至模数长度k-len(maskedSeed)-1。
(2)然后使用私钥对EM进行加密,得到最终签名s = m^d mod n;
2.2 验签流程
验签过程就是对签名进行解密,然后比对EM的过程,具体不再赘述, 如下图所示:
图 5 PSS验签过程
最终效果如下图所示:
3.小结
一般来讲,RSA多用在数字签名上,加解密上首先是能加解密的数据长度受限于模数长度,其次就是性能问题。那么在数字签名领域,多推荐用PSS填充方式,契合版本RFC 3447:PKCS#1 v2.1,至于以前老版本PKCS#1 v1.5的填充Muscle v01也是可以兼容的。PSS看起来是要比PKCS#1 v1.5签名填充更为复杂,有兴趣可以回顾:为什么RSA公钥加密结果不是固定值?_rsa加密每次结果一样吗-CSDN博客
图6 PKCS#1V15签名填充
但从安全性角度来看,由于其可变长度的盐值Salt的不确定性,伪造签名更加困难,同时在2001有专家专门针对PSS发表安全证明论文;
值得一提的是,如果盐值为0,那么签名值就变成唯一确定的。
-
汽车测试网V课堂
-
微信公众号
-
汽车测试网手机站
编辑推荐
最新资讯
-
直播|革新汽车仿真:探索 VI-grade 2025.1
2024-11-05 16:03
-
用于高压电池测试的加速度计
2024-11-05 14:44
-
卡特彼勒新一代240吨电动矿卡投入使用
2024-11-05 14:43
-
[法规] 欧盟发布重型车辆事件数据记录仪(E
2024-11-05 14:43
-
城无界野无疆 柴油混动火星9越野版曝时尚越
2024-11-05 12:02