盲RSA签名中填充方案的可用性？
在维基百科关于盲签名的文章中，在描述RSA致盲攻击的盲目签名的危险一节中，可以看到以下内容
此攻击之所以有效，是因为在这个盲签名方案中，签名者直接签名消息。相反，在非盲签名方案中，签名者通常使用填充方案(例如，对应用于消息的加密散列函数的结果签名，而不是对消息本身进行签名)，然而，由于签名者不知道实际消息，任何填充方案在非盲时将产生不正确的值。
有人能解释一下我强调的部分的含义吗？
回答 1
Cryptography用户
发布于 2018-09-15 11:05:45
DrLecter的回答看起来不正确。Afaik几乎所有RSA填充方案都已被废弃。我相信光明磊落的RSA今天会使用PSS填充，但正如我在https://crypto.stackexchange.com/a/60728/764中解释的那样，任何直接从签名者那里获取随机性的填充都会违反盲目性。
事实上，盲RSA需要一个全域哈希(FDH)来填充，而PSS等并不提供。如果您甚至截断填充到地板(Log)，就像我认为的PSS那样，那么每个签名都会泄漏1/6或12位的匿名信息。如果像一些老的那样保留许多确定的位，那么您的盲签名方案就会变得毫无价值。
您可以轻松地实现FDH :首先，从消息哈希创建流密码S。第二，运行一个循环，从S拉动上限(Log)位数r并重复，直到r< N，换句话说，我们的流密码的块计数器不断增加。你的循环很快就结束了，因为N应该大约位于两次幂之间的一半，但是很明显，你可能会探索一些技巧，比如在1.3 *2^地板(Log N)下面避开N，或者只在N的256位上循环。
如果您想要恢复PSS的某些阴影，可以将签名者的随机性结合起来，因为我们在验证签名时会验证填充。
如果你相信RSA-KTI，那么就没有伪造攻击。不过，我还是会将签名者的公钥N合并到消息哈希中，因为这样做不需要花费任何费用，并且可以防止对RSA-KTI的多个RSA密钥的分期攻击。
https://crypto.stackexchange.com/questions/12707
复制相似问题
腾讯云开发者
