今天这篇文章主要讲什么是数字签名以及它的关键定义，以及密码学中常见容易混淆的知识。

## 1. 引言与数字签名的基本概念 

数字签名在密码学中相当于手写签名的数字化，但它提供了强得多的安全保证。一个典型的应用场景是软件公司发布补丁：公司用私钥对补丁生成签名并发布，所有客户通过公司公开的公钥验证签名的合法性，从而确保补丁未被恶意篡改或伪造。

数字签名属于**公钥密码学**范畴，相比于对称密钥环境下的“消息认证码（MAC）”，它具有几个不可替代的独特属性：

- **公开可验证性 (Public Verifiability)**：任何获得公钥的人都可以独立验证签名的合法性。

- **可传递性 (Transferability)**：验证者在确认签名后，可以将“消息+签名”展示给第三方，第三方同样可以使用公钥验证其合法性。这使得数字签名非常适合用于数字证书和公钥基础设施（PKI）。

- **不可抵赖性 (Non-repudiation)**：在 MAC 中，发送方和接收方共享同一个密钥，因此接收方也能伪造出合法的标签，这使得发送方可以事后抵赖。但在数字签名中，私钥仅由签名者唯一持有，一旦签名产生并公开，签名者在事后（例如面对法官时）无法否认自己曾经签署过该消息。
## 2. 计算安全性 

在评估数字签名的安全性时，我们无法追求所谓的“绝对安全（完美安全）”。原因有两点：

1. 对于一个拥有无限计算时间的攻击者来说，他总是可以穷举所有可能的签名字符串，并用公开的验证算法进行测试，直到找到合法的签名。

2. 哪怕是能力极弱的攻击者，单纯通过随机猜测一个签名字符串，也有非零的概率碰巧蒙对。

为了让安全方案在现实中可行，现代密码学引入了**计算安全性 (Computational Security)** 的概念：

- **安全参数 (Security Parameter) $k$**：它定义了整个密码系统的安全级别（比如密钥长度），不仅影响诚实方的运行效率，也是衡量攻击者成功率的标尺。

- **概率多项式时间 (PPT, Probabilistic Polynomial Time)**：我们在定义中限制攻击者必须是“有效”的，即其计算能力受制于关于 $k$ 的多项式时间。

- **可忽略函数 (Negligible Function)**：如果攻击者成功的概率随着 $k$ 的增大而迅速下降，并且下降速度比任何多项式的倒数还要快（即对于任意常数 $c$，当 $k$ 足够大时，成功概率小于 $1/kc$），我们就称这个概率是“可忽略的”。一个满足计算安全的方案，只需保证任何 PPT 攻击者成功伪造签名的概率是可忽略的即可。
 
**核心符号约定 **

为了后续能精确描述安全实验，定义了以下常用符号：

- $A(x; r)$：在给定输入 $x$ 和随机带（即预设的随机数序列）$r$ 时的确定性输出，这里 $A$ 本身是一个概率算法，但我们显式地把一串足够长的、预先掷好的随机硬币 $r$ 作为第二部分输入喂给它。**一旦随机硬币 $r$ 被固定，概率算法 $A$ 就坍缩成了一个确定性算法**。所以这里使用的是确定性赋值符号 $:=$。

- $y \leftarrow S$：表示从有限集合 $S$ 中均匀、独立地随机抽取一个元素并赋值给 $y$。

- $y \leftarrow A(x)$：算法 $A$ 内部自带了“掷骰子”的机制。这意味着，哪怕你两次喂给它完全相同的输入 $x$，它两次输出的 $y$ 也极有可能完全不同。**我们首先均匀随机地抽取一串合适长度的硬币** $r \leftarrow \{0, 1\}^*$，然后执行 $y := A(x; r)$。**左箭头 $\leftarrow$ 在这里不仅表示赋值，更表明了背后隐藏着一次随机硬币的抽取过程。**典型的例子就是密钥生成算法 $\text{Gen}$ 或者加盐的签名算法$\text{Sign}$。

- $\text{Pr}[\text{expt}: E]$：表示在严格按顺序执行完冒号左侧的概率实验 expt 之后，冒号右侧的目标事件 $E$ 发生的概率。

## 3. 签名方案的形式化定义
 
从纯功能的角度来看，一个数字签名方案由三个概率多项式时间算法组成 $\Pi = (\text{Gen, Sign, Vrfy})$ ：

- **Gen($1k$)**：密钥生成算法。输入一进制表示的安全参数 $1k$，输出一对公私钥 $(pk, sk)$。

- **Sign$_{sk}(m)$**：签名算法（可能是随机化的）。输入私钥 $sk$ 和消息 $m$，输出签名 $\sigma$。

- **Vrfy$_{pk}(m, \sigma)$**：验证算法（必须是确定性的）。输入公钥 $pk$、消息 $m$ 和签名 $\sigma$，输出 $1$ 表示“接受”（合法签名），输出 $0$ 表示“拒绝”（非法签名） 。

该方案必须满足最基本的**正确性 (Correctness)**：对于任何合法生成的密钥对，用私钥对某消息生成的签名，用对应的公钥一定能验证通过（即 $\text{Vrfy}_{pk}(m, \text{Sign}_{sk}(m)) = 1$）。

## 4. 为什么要定义安全的数字签名 (Motivating the Definitions of Security) 

这节是通向 严格数学定义的桥梁。要定义“什么是安全的数字签名”，我们需要在两个维度上回答问题：“什么是伪造？”以及“攻击者处于什么样的攻击环境中？” 

**维度一：伪造的判定标准 (Notion of Forgery)** 需要注意的是，如果攻击者只是截获了合法签名者生成的签名，然后原封不动地“重放（Replay）”，这在密码学定义中**不**算作签名方案的伪造（这是上层网络协议需要用时间戳或随机数来解决的问题）。

- **存在性伪造 (Existential Forgery)**：攻击者成功输出了一对有效的 $(m, \sigma)$，只要消息 $m$ 以前从未被合法签名者签名过，就算伪造成功。我们不关心这个消息 $m$ 读起来是否有意义，哪怕它只是一堆乱码。

- **强存在性伪造 (Strong Existential Forgery)**：这是一种极其严苛的判定标准。只要攻击者给出的 $(m, \sigma)$ 是一个全新的“配对”，就算是伪造。这意味着，即使合法签名者曾经对消息 $m$ 签署过签名 $\sigma'$，只要攻击者能为**同一个消息 $m$** 伪造出一个**不同**的合法签名 $\sigma$（$\sigma \neq \sigma'$），攻击者就赢了。

**维度二：攻击者的能力模型 (Attack Models)**

在试图伪造签名之前，我们允许攻击者获得多大的“优势”？按攻击者的能力从弱到强分为：

1. **随机消息攻击 (Random-Message Attack, RMA)**：攻击者完全无法控制要签名的消息，只能被动获取合法签名者对随机生成消息的签名。

2. **已知消息攻击 (Known-Message Attack, KMA)**：攻击者可以控制哪些消息被签名，但他**必须在看到公钥之前**就确定这些消息。这模拟了一种预设好的“最坏消息分布”环境。
3. **适应性选择消息攻击 (Adaptive Chosen-Message Attack, CMA)**：这是当前公认的**最强**攻击模型。攻击者在拿到公钥后，可以充当一个“黑盒”动态调用者，它能根据公钥的内容，甚至根据之前拿到的签名结果，自适应地（Adaptive）挑选它想让合法签名者签名的任何消息。

**总结**：可能会有人质疑，在现实中没人会像 CMA 模型中那样随意帮黑客签任何文件。但在密码学中，追求**“在最强攻击模型下（CMA）防止最严格的伪造（强存在性伪造）”**有着巨大的好处——一旦一个方案被证明在这个顶级定义下是安全的，工程师就可以不假思索地把它丢到任何现实应用中使用，而不用担心应用的具体语义和业务逻辑会引发安全漏洞。

今天这篇文章主要讲什么是数字签名以及它的关键定义，以及密码学中常见容易混淆的知识。

什么是数字签名，以及它的形式化定义

数字签名在密码学中相当于手写签名的数字化，但它提供了强得多的安全保证。一个典型的应用场景是软件公司发布补丁：公司用私钥对补丁生成签名并发布，所有客户通过公司公开的公钥验证签名的合法性，从而确保补丁未被恶意篡改或伪造。

数字签名属于公钥密码学范畴

保密

安全

算法

网络与通信

数字签名是密码学中的关键安全技术，相当于数字化手写签名，但提供更强的安全性。它利用公钥密码学实现公开验证、不可抵赖等特性，广泛应用于软件验证、数字证书等领域。文章深入解析数字签名的定义、计算安全性、形式化模型及安全标准，帮助区分常见密码学概念，并探讨如何抵御最强攻击模型下的伪造行为。

数字签名

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

什么是数字签名，以及它的形式化定义-腾讯云开发者社区-腾讯云

什么是数字签名，以及它的形式化定义

什么是数字签名，以及它的形式化定义

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐