这种基于配对的签名方案有效吗？

Question

假设g是一个具有子群生成元G_1和G_2的对友好椭圆曲线.还假设M是我想要签名的消息。

设置

1. 计算A = a \cdot G_1和P = p \cdot G_2，其中a和p是一些秘密值。
2. 然后将公钥定义为元组(A, P)。

签名

1. 哈希消息M到一个数字使用哈希函数：m=Hash(M)。
2. 计算C = \frac{p}{a \cdot m} \cdot G_2。
3. 然后将签名定义为C。

Verification

1. 计算m = Hash(M)。
2. 验证e(A, C)^m = e(G_1, P)。

这个计划有漏洞吗？

Answer 1

在已知消息攻击(UF-KMA)下，您提议的签名方案属于通用伪造。

敌手\mathcal{A}接收公钥(A,P)、单个消息签名对(M,C)和质询消息M^*。它输出C' := \frac{H(M)}{H(M^*)} \cdot C.

上面描述的对手是成功的概率1。要了解这一点，请考虑从定义上看，C是

C = \frac{p}{a\cdot H(M)} \cdot G_2.

我们现在有

\begin{align} C' &= \frac{H(M)}{H(M^*)} \cdot C\\ &= \frac{H(M)}{H(M^*)}\cdot\frac{p}{a\cdot H(M)} \cdot G_2\\ &=\frac{p\cdot H(M)}{a\cdot H(M) H(M^*)} \cdot G_2\\ &=\frac{p}{a\cdot H(M^*)} \cdot G_2, \end{align}

这正是M^*的签名，因此将被验证方程所接受。