KCDSA

KCDSA ( Algoritmo de firma digital basado en certificados coreanos ) es un algoritmo de firma digital creado por un equipo liderado por la Agencia de Seguridad e Internet de Corea (KISA). Es una variante de ElGamal , similar al Algoritmo de firma digital y GOST R 34.10-94. El algoritmo estándar se implementa en${\displaystyle GF(p)}$, pero también se especifica una variante de curva elíptica ( EC-KCDSA ).

KCDSA requiere una función hash criptográfica resistente a colisiones que pueda producir una salida de tamaño variable (de 128 a 256 bits, en incrementos de 32 bits). Se sugiere utilizar HAS-160 , otro estándar coreano.

• ${\displaystyle p}$: un número primo grande tal que${\displaystyle |p|=512+256i}$para${\displaystyle i=0,1,\dots ,6}$.
• ${\displaystyle q}$: un factor primo de${\displaystyle p-1}$de tal manera que${\displaystyle |q|=128+32j}$para${\displaystyle j=0,1,\dots ,4}$.
• ${\displaystyle g}$: un elemento básico del orden${\displaystyle q}$en${\displaystyle \operatorname {GF} (p)}$.

La versión revisada de la especificación requiere adicionalmente que${\displaystyle (p-1)/(2q)}$ser primo o que todos sus factores primos sean mayores que${\displaystyle q}$.

• ${\displaystyle x}$: clave de firma privada del firmante tal que${\displaystyle 0<x<q}$.
• ${\displaystyle y}$: clave de verificación pública del firmante calculada por${\displaystyle y=g^{\bar {x}}{\pmod {p}},}$dónde${\displaystyle {\bar {x}}=x^{-1}{\pmod {q}}}$.
• ${\displaystyle z}$: un valor hash de datos de certificado , es decir,${\displaystyle z=h({\text{Datos del certificado}})}$.

La especificación de 1998 no aclara el formato exacto de los "Datos del Certificado". En la especificación revisada, z se define como los B bits inferiores de la clave pública y, donde B es el tamaño del bloque de la función hash en bits (normalmente 512 o 1024). Esto significa que el primer bloque de entrada corresponde a y mod 2^B.

• ${\displaystyle z}$: los B bits inferiores de y.

• ${\displaystyle h}$: una función hash resistente a colisiones con resúmenes de |q| bits.

Para firmar un mensaje${\displaystyle m}$:

• El firmante elige un número entero al azar.${\displaystyle 0<k<q}$y calcula${\displaystyle w=g^{k}\mod {p}}$
• Luego calcula la primera parte:${\displaystyle r=h(w)}$
• Luego calcula la segunda parte:${\displaystyle s=x(kr\oplus h(z\parallel m)){\pmod {q}}}$
• Si${\displaystyle s=0}$, el proceso debe repetirse desde el principio.
• La firma es${\displaystyle (r,s)}$

La especificación es vaga sobre cómo el entero${\displaystyle w}$ser reinterpretado como una cadena de bytes de entrada para la función hash. En el ejemplo de la sección C.1 la interpretación es consistente con${\displaystyle r=h(I2OSP(w,|q|/8))}$utilizando la definición de I2OSP de PKCS#1/RFC3447.

Para verificar una firma${\displaystyle (r,s)}$en un mensaje${\displaystyle m}$:

• El verificador comprueba que${\displaystyle 0\leq r<2^{|q|}}$y${\displaystyle 0<s<q}$y rechaza la firma como inválida si no lo es.
• El verificador calcula${\displaystyle e=r\oplus h(z\parallel m)}$
• El verificador comprueba si${\displaystyle r=h(y^{s}\cdot g^{e}\mod {p})}$Si es así, la firma es válida; de lo contrario, no lo es.

EC-KCDSA es esencialmente el mismo algoritmo, pero utilizando criptografía de curva elíptica en lugar de criptografía de logaritmo discreto.

Los parámetros del dominio son:

• Una curva elíptica${\displaystyle E}$sobre un cuerpo finito .
• Un punto${\displaystyle G}$en${\displaystyle E}$generando un subgrupo cíclico de orden primo${\displaystyle q}$. (${\displaystyle q}$a menudo se denota${\displaystyle n}$en otros tratamientos de criptografía de curva elíptica.)

Los parámetros de usuario y los algoritmos son esencialmente los mismos que para el KCDSA logarítmico discreto, excepto que la exponenciación modular se reemplaza por la multiplicación de puntos. Las diferencias específicas son:

• La clave pública es${\displaystyle Y={\bar {x}}G}$
• En la generación de firmas,${\displaystyle r=h(W_{x}||W_{y})}$dónde${\displaystyle W=kG}$
• En la verificación de firmas, el verificador comprueba si${\displaystyle r=h(sY+eG)}$

• Especificación y análisis de KCDSA