目前签名体系五花八门，但是RSA签名是比较经典且应用最广泛的数字签名之一。它是什么呢，RSA是1977年由[罗纳德·李维斯特](https://baike.baidu.com/item/%E7%BD%97%E7%BA%B3%E5%BE%B7%C2%B7%E6%9D%8E%E7%BB%B4%E6%96%AF%E7%89%B9/700199?fromModule=lemma_inlink)（Ron Rivest）、[阿迪·萨莫尔](https://baike.baidu.com/item/%E9%98%BF%E8%BF%AA%C2%B7%E8%90%A8%E8%8E%AB%E5%B0%94/0?fromModule=lemma_inlink)（Adi Shamir）和[伦纳德·阿德曼](https://baike.baidu.com/item/%E4%BC%A6%E7%BA%B3%E5%BE%B7%C2%B7%E9%98%BF%E5%BE%B7%E6%9B%BC/12575612?fromModule=lemma_inlink)（Leonard Adleman）一起提出的。当时他们三人都在[麻省理工学院](https://baike.baidu.com/item/%E9%BA%BB%E7%9C%81%E7%90%86%E5%B7%A5%E5%AD%A6%E9%99%A2/117999?fromModule=lemma_inlink)工作。RSA就是他们三人姓氏开头字母拼在一起组成的（我百度的）。在深入研究盲签名（Blind RSA）和带有公共元数据的 RSA（Public Metadata RSA）之前，看下经典且有趣的基础知识——**经典的 RSA 数字签名**。

想象一下现实生活中的手写签名：它具有独特性，只有你能写出来，但任何人都能通过比对来验证（通过对应手段，且具有不可抵赖性 ）。然而，手写签名有一个致命弱点——它是物理的，与文件内容没有数学上的**绑定关系**（你可以把同一个签名剪切粘贴到另一张纸上）。

在数字世界里，我们需要一种更强大的机制：**数字签名**。它不仅要证明“是谁写的”，还要证明“内容没被改过”。就像给每一份文件加盖了一个独一无二的、由数学公式生成的“防伪印章”，一旦文件内容变动哪怕一个比特，这个印章就会立即失效。

今天，我们就从数学原理出发（其实也没有很数学），以此为阶梯，**逐步剖析 RSA 签名的构造、它的“教科书”形态为何不安全，以及如何将其转化为工业级的安全方案。**
（涉及到其他知识术语可以百度或者评论，有错误的地方可以私聊我。欢迎讨论）
**Content:**
1. 核心概念：陷门单向置换
密钥生成 (Key Generation)
2. 教科书式的 RSA 签名 (The "Textbook" RSA)
2.1构造方案
2.2 正确性证明
3. 为什么“教科书”版本是不安全的？
攻击一：无消息伪造 (No-Message Attack)
攻击二：乘法同态性 (Forging on Arbitrary Messages)
4. 迈向安全：哈希-签名范式 (Hash-and-Sign Paradigm)
改进后的方案 (RSA-FDH)
为什么加上 Hash 就安全了？
总结与预告
## 1. 核心概念：陷门单向置换

要理解 RSA 签名，首先要理解它的数学灵魂：**陷门单向置换（Trapdoor Permutation）**。

在密码学中，我们定义一个函数族 $\Pi = (\text{Gen}, f, f^{-1})$。
* **单向性（One-wayness）：** 给定 $x$，计算 $y = f(x)$ 很容易；但给定 $y$，想要反推出 $x$ 在计算上是不可行的。
* **陷门（Trapdoor）：** 如果你拥有把特殊的钥匙（陷门信息 $sk$），那么给定 $y$，计算 $x = f^{-1}(y)$ 就会变得易如反掌。

**RSA 正是这样一个完美的候选者。**

### 密钥生成 (Key Generation)
根据 RSA 假设，我们可以构建如下系统：
1. 选择两个大素数 $p$ 和 $q$，计算模数 $N = pq$。
2. 计算欧拉函数 $\phi(N) = (p-1)(q-1)$。
3. 选择一个整数 $e$，满足 $\gcd(e, \phi(N)) = 1$。
4. 计算 $d$，使得 $ed \equiv 1 \pmod{\phi(N)}$。

此时：
* **公钥 (Public Key, $pk$)**：$(N, e)$。**这定义了置换函数 $f(x) = x^e \bmod N$**。
* **私钥 (Private Key, $sk$)**：$(N, d)$。**这定义了逆置换函数 $f^{-1}(y) = y^d \bmod N$**。

---

## 2. 教科书式的 RSA 签名 (The "Textbook" RSA)

既然 RSA 拥有“只有私钥持有者才能逆向计算”的特性，我们很自然地会想到利用这一特性来进行签名。在早期的密码学文献中，这通常被称为“朴素 RSA 签名”（The "Textbook" RSA or The Plain RSA）。

### 2.1构造方案 

假设消息空间为 $\mathbb{Z}_N^*$。

1. **签名 (Sign)**：
 签名者拥有私钥 $(N, d)$。对于消息 $m$，签名者计算签名 $\sigma$：
 $$ \sigma \leftarrow m^d \bmod N $$
 *直观理解：签名过程实际上就是利用私钥对消息进行“解密”操作（或者更准确地说是求 $e$ 次根）。*

2. **验证 (Verify)**：
 验证者拥有公钥 $(N, e)$。收到消息对 $(m, \sigma)$ 后，验证者检查以下等式是否成立：
 $$ m \stackrel{?}{\equiv} \sigma^e \bmod N $$
 如果等式成立，输出 1 (Valid)；否则输出 0 (Invalid)。

###2.2 正确性证明
根据欧拉定理，因为 $ed \equiv 1 \pmod{\phi(N)}$，所以对于任意 $m \in \mathbb{Z}_N^*$：
$$ (\sigma)^e \equiv (m^d)^e \equiv m^{ed} \equiv m^1 \equiv m \pmod N $$
验证通过。

---

## 3. 为什么“教科书”版本是不安全的？

虽然上述过程在数学上是完美的，但在密码学安全模型下，它是**完全不安全**的。但是在密码研究者眼里，必须来解决它，达到能应用的目的，我们需要引入安全定义：**针对适应性选择消息攻击的存在性不可伪造性 (EU-CMA)**(这是另一个知识了，可以不用管)。

简单来说，哪怕攻击者可以请求签名者签任意多条消息，他也不能伪造出一条从未询问过的新消息的有效签名。

一般教科书上的原版本 RSA 签名主要面临两类毁灭性攻击：

### 攻击一：无消息伪造 (No-Message Attack)
攻击者甚至不需要请求任何签名，就能凭空造出一对有效的 $(m, \sigma)$。
1. 攻击者随机选择一个 $\sigma \in \mathbb{Z}_N^*$。
2. 攻击者计算 $m = \sigma^e \bmod N$。
3. 显然，$(m, \sigma)$ 是一个合法的签名对，因为 $\sigma^e \equiv m \pmod N$。
*后果：攻击者可以伪造随机垃圾消息的签名。虽然消息内容不可控，但这违反了数字签名的基本安全定义。*

### 攻击二：乘法同态性 (Forging on Arbitrary Messages)
这是 RSA 最著名的特性，也是它作为签名的最大弱点（但在后续的盲签名中，这反而成了特性）。
RSA 签名具有**同态性 (Homomorphic Property)**：
$$ \text{Sign}(m_1) \cdot \text{Sign}(m_2) = m_1^d \cdot m_2^d = (m_1 m_2)^d = \text{Sign}(m_1 m_2) $$

**攻击场景：**
假设攻击者想要伪造目标消息 $m$ 的签名，但他无法直接获得。
1. 攻击者寻找两个消息 $m_1, m_2$，使得 $m = m_1 \cdot m_2 \pmod N$。
2. 攻击者请求签名者对 $m_1$ 和 $m_2$ 进行签名，得到 $\sigma_1$ 和 $\sigma_2$。
3. 攻击者计算 $\sigma = \sigma_1 \cdot \sigma_2 \bmod N$。
4. $\sigma$ 就是消息 $m$ 的合法签名。

**结论：** 教科书 RSA 签名不仅是**确定性**的（详细见文章最后的解释），而且是**可延展的 (Malleable)**，因此无法直接用于安全传输。

---

## 4. 迈向安全：哈希-签名范式 (Hash-and-Sign Paradigm)

为了解决上述问题，现代密码学引入了**哈希函数 (Cryptographic Hash Function)**(又牵扯另一个密码学知识了，简单来说将任意长度的01字符串映射到固定长度)。

我们需要一个将任意长度消息映射到 $\mathbb{Z}_N^*$ 的哈希函数 $H: \{0,1\}^* \rightarrow \mathbb{Z}_N^*$。这个过程被称为 **RSA-FDH (Full Domain Hash)**。

### 改进后的方案 (RSA-FDH)

1. **签名**：计算 $y = H(m)$，然后计算签名 $\sigma \leftarrow y^d \bmod N$。即：
 $$ \sigma \leftarrow H(m)^d \bmod N $$
2. **验证**：计算 $y = H(m)$，检查 $y \stackrel{?}{\equiv} \sigma^e \bmod N$。

### 为什么加上 Hash 就安全了？

1. **破坏代数结构**：哈希函数的非线性破坏了 RSA 的乘法同态性。$H(m_1 \cdot m_2) \neq H(m_1) \cdot H(m_2)$，这直接防御了同态攻击。
2. **防止无消息伪造**：如果攻击者像之前那样先选 $\sigma$，再算出 $y = \sigma^e$，他现在面临的问题是：必须找到一个消息 $m$，使得 $H(m) = y$。这实际上要求攻击者能够对哈希函数进行**原像攻击 (Preimage Attack)**。对于安全的密码学哈希函数，这是不可行的。

在**随机预言机模型 (Random Oracle Model)** 下，如果 RSA 问题是困难的，那么 RSA-FDH 方案就是安全的（EU-CMA 安全）。

---

## 总结与预告

我们从最纯粹的数学定义出发，介绍了 RSA 签名的“教科书”版本：$\sigma = m^d$。我们客观地指出了它的致命缺陷——由于其同态特性，它容易受到伪造攻击且具备下面这两个不好的性质（尽管从中文名字上看起来是优点）。
### 1. 确定性 (Deterministic)

- **核心含义**：**相同的消息，永远生成一模一样的签名。**
- **教科书 RSA 的问题**：每次对消息 $m$ 签名，结果 $\sigma$ 都不变。
- **致命弱点（容易被猜透）**：攻击者可以通过“认脸”来分析规律。比如，他一旦知道 `0xABC...` 代表“转账100元”，以后只要在网络上看到 `0xABC...`，哪怕他破解不了密码，也知道你又转了100元。
- **现代解法**：签名之前加**随机数**（如 PSS 填充）。让同一条消息每次签出来的长相都完全不同（变成概率性签名），彻底掐断规律。

### 2. 可延展性 (Malleable)

- **核心含义**：**黑客可以在不知道私钥的情况下，把“合法旧签名”揉捏拼接成“合法新签名”。**
- **教科书 RSA 的问题（乘法同态）**：它具有数学上的联动性。黑客截获了消息 $A$ 的签名和消息 $B$ 的签名，只要把俩签名**相乘**，就能直接凑出消息 $(A \times B)$ 的有效签名。
- **致命弱点（伪造攻击）**：黑客能利用你发过的旧签名，像拼积木一样，凭空“伪造”出你从未发过的新消息的签名。
- **现代解法**：先对消息做**哈希运算（Hash）**，再签名。因为哈希完全破坏了乘法规律，黑客再把签名相乘，只会得到一堆无效的乱码。

正是这种**同态性**（$m_1^d \cdot m_2^d = (m_1m_2)^d$），虽然在普通数字签名中被视为漏洞并被哈希函数“封印”，但在**盲签名 (Blind Signature)** 中，它却是实现隐私保护的核心魔法。

在后面文章中，我们将利用这个特性，讲解 Chaum 的盲签名方案，看如何让签名者在“看不见信封内容”的情况下，对信封里的文件进行签名。敬请期待！

---
*参考资料：Jonathan Katz and Yehuda Lindell, "Introduction to Modern Cryptography", Chapter 13 (Digital Signature Schemes).*

目前签名体系五花八门，但是RSA签名是比较经典且应用最广泛的数字签名之一。它是什么呢，RSA是1977年由罗纳德·李维斯特（Ron Rivest）、阿迪·萨莫尔（Adi Shamir）和伦纳德·阿德曼（Leonard Adleman）一起提出的。当时他们三人都在麻省理工学院工作。RSA就是他们三人姓氏开头字母拼在一起组成的（我百度的）。在深入研究盲签名（Blind RSA）和带有公共元数据的 RSA（Public Metadata RSA）之前，看下经典且有趣的基础知识——经典的 RSA 数字签名。

RSA数字签名（从“教科书”到现实应用安全）

想象一下现实生活中的手写签名：它具有独特性，只有你能写出来，但任何人都能通过比对来验证。然而，手写签名有一个致命弱点——它是物理的，（你可以把同一个签名剪切粘贴到另一张纸上）。

在数字世界里，我们需要一种更强大的机制：数字签名。它不仅要证明“是谁写的”，还要证明“内容没被改过”。就像给每一份文件加盖了一个独一无二的、由数学公式生成的“防伪印章”，一旦文件内容变动哪怕一个比特，这个印章就会立即失效

保密

安全

算法

网络与通信

RSA签名是1977年由Rivest、Shamir和Adleman提出的经典数字签名算法，基于陷门单向置换原理。本文详细解析RSA签名的数学基础、密钥生成过程及"教科书式"实现方案，同时指出其存在的安全漏洞如同态攻击和无消息伪造。通过引入哈希-签名范式(RSA-FDH)改进方案，有效解决了原始RSA签名的安全性问题，为数字签名提供了更可靠的实现方式。

哈希函数

数字签名

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

RSA签名是1977年由Rivest、Shamir和Adleman提出的经典数字签名算法，基于陷门单向置换原理。本文详细解析RSA签名的数学基础、密钥生成过程及"教科书式"实现方案，同时指出其存在的安全漏洞如同态攻击和无消息伪造。通过引入哈希-签名范式(RSA-FDH)改进方案，有效解决了原始RSA签名的安全性问题，为...

RSA数字签名（从“教科书”到现实应用安全）-腾讯云开发者社区-腾讯云

RSA数字签名（从“教科书”到现实应用安全）

RSA数字签名（从“教科书”到现实应用安全）

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐