问PKCS#1: EMSA编码方法中“Padding1”的用途
EN

Cryptography用户

提问于 2020-10-15 09:51:52

回答 1查看 560关注 0票数 2

RSASSA-PSS签名方案的核心部分是PKCS#1的EMSA-PSS编码操作，描述了标准的第9.1节。

这种编码方法使用了一个填充(名为Padding1)，它只是8个零字节(0x00)。这个填充的连接、消息的散列和随机选择的salt再一次进行散列，形成最后签名的一部分--参见第39页的ASCII图表。

这就引出了我的问题--这个填充的具体目的是什么？

我能想到的一个效果是，它确保--给定空盐和空消息--哈希函数的输入不会为空。然而，这似乎是可疑的，因为我所知道的所有散列函数都能很好地处理空输入，而散列--无论是空字节字符串还是包含8* 0x00的字节字符串--在这两种情况下都是确定性的。

第二个填充( Padding2 )的目的对我来说是很清楚的，因为它确保签名具有所需的(用户定义的)长度，同时进行结构化，这样就可以检索salt，而不需要事先知道它的长度。

回答已采纳

发布于 2020-10-15 10:57:02

我猜想这个salt本质上是未来扩展的版本号，它的任务是确保使用不同salt的每个版本的签名都不是所描述的版本的有效签名。

我可以想象其他两个角色：

这使得RSASSA签名更不可能匹配以散列开头的预先存在的某些东西的RSA-PSS签名(但也有0xBC用于EM的右填充来扮演该角色)。回想一下，RSASSA是由米希尔·贝拉雷( Mihir Bellare )和菲利普·罗格威( Phillip Rogaway)的数字签名的确切安全性--如何与RSA和Rabin签名在EuroCrypt 1996年议事录中推出的；正如在关于PKCS#1v2.2第9.1条的注释关于PKCS#1v2.2第9.1条的注释中解释的那样，将RSASSA简化为练习RSASSA是一个细微的变化。
这使得产生M'的哈希函数/随机oracle独立于生成\text{mHash}的函数和MFG1内部使用的随机oracle，这在安全参数中可以说是一个沉默的假设。

票数 3

页面原文内容由Cryptography提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://crypto.stackexchange.com/questions/85573

复制

相似问题

问PKCS#1: EMSA编码方法中“Padding1”的用途EN