Подпись низкоэнтропийных данных: можно ли их подделать?

Я работаю над приложением, в котором у меня есть физическая идентификационная этикетка продукта, содержащая блок публичный, низкоэнтропийные данные (~ 50 байт), такие как серийный номер и другая информация, все легко доступны прямо на этикетке. Я хотел бы использовать алгоритм подписи на основе хеша, чтобы обеспечить проверку подлинности продукта.

1. Это разумная идея? Вызывают ли проблемы данные с низкой энтропией?
2. Сколько таких этикеток нужно получить, чтобы получить секретный ключ?

РЕДАКТИРОВАТЬ: Может быть, лучше спросить, можно ли подделать эту подпись, не имея секретного ключа?

3. Есть ли способ сделать это безопасно, используя всего 256 бит выходных данных?

1. Это разумная идея?

Звучит хорошо, пока:

• Вы используете надежный ключ RSA (например, не менее 2048 бит)

• Вы используете хороший метод заполнения подписи RSA

• Вы каким-то образом не позволяете злоумышленнику изменить открытый ключ RSA, который вы используете для проверки с помощью

Вызывают ли проблемы данные с низкой энтропией?

Нет, низкоэнтропийные данные не представляют проблемы.

2. Сколько таких этикеток нужно получить, чтобы получить секретный ключ?

Неизвестно, как восстановить закрытый ключ RSA, даже если вы дадите злоумышленнику Oracle для подписи произвольного количества произвольных сообщений (что является гораздо более сильным сценарием атаки, чем то, что у вас есть).

Как сказано в другой ответ: да, это разумная идея, RSA позволяет безопасную подпись общедоступных данных с низкой энтропией, которая может быть открыто проверена на соответствие указанным данным, но не может быть сгенерирована без закрытого ключа.Примеры действительных подписей и открытого ключа не раскрывают закрытый ключ или способы создания других подписей. Несколько стандартизированных схем подписи делают это регулярно (но, конечно, ничто не препятствует копированию общедоступных данных и их подписи).

Теперь вопрос добавляет:

Есть ли способ сделать это безопасно, используя всего 256 бит выходных данных?

Не с РСА. 256-битная подпись RSA была бы небезопасной, потому что они (с точностью до нескольких бит) такие же широкие, как общедоступный модуль, а 256-битная слишком мала (384-битная уже была слишком маленькой в ​​1990-х годах, и был достигнут значительный прогресс). с тех пор см. это).

256-битная технология близка к грани, а скорее, с другой стороны того, что хорошо проверенные схемы подписи могут дать с высокой степенью безопасности. Я недавно спросил об этом, делая инвентаризацию того, что я знаю среди стандартизированный схем, причем не ниже 384 бит при 128-битном уровне безопасности, обычно рекомендуемом для обеспечения высокой безопасности в следующие десятилетия.

С другой стороны, если кто-то доволен 90-битной безопасностью (которая по-прежнему оценивает прогнозируемую стоимость атаки с использованием сегодняшних средств в миллиарды евро) и не нуждается в чем-то стандартизированном, можно использовать короткая подпись Шнорра (который номинально должен быть 270-битным) и несколько приемов, позволяющих обменять более длительное время генерации и/или проверки подписи на несколько меньших битов подписи. Могу уточнить, если нужно.

Другой вариант был бы подпись BLS например на кривой BN254 или BN256, что соответствует цели по размеру и будет, по крайней мере, сопоставимо безопасным в соответствии с эти Комментарии, но это вне моей зоны комфорта.