Как мы можем предотвратить атаки дублирования ключей на цифровые подписи

Ограничение цифровых подписей заключается в том, что для данной подписи Ï сообщения м соответствующий открытому ключу ПК, противник может создать пк', ск' который производит подпись Ï' за м, такой, что Ï' = Ï. Как мы можем создать функцию подписи и функцию проверки, устойчивые к этой атаке?

Атаки DSKS относятся к классу атак на схемы подписи, которые нарушают принцип «исключительного владения». Свойство, которое не гарантируется стандартной безопасностью EUF-CMA.

Одним из решений этого является БАФФ строительство. Это очень похоже на то, что рекомендует Boneh-Shoup. Короче говоря, учитывая пару ключей подписи $(ск,пк)$ подписывать $м$, сначала вычислить $ч = Н(м,пк)$, тогда $\sigma = Sig(sk,h)$. Подпись $(ч, \сигма)$. Проверка сравнивает хэши и проверяет подпись.

Конструкция BUFF предлагает больше возможностей, чем эксклюзивное владение; газета говорит о них.

Я думаю, что такая атака возможна только тогда, когда у вас есть «формула» для вычисления подписи из закрытого ключа и хэша сообщения, которую можно инвертировать — выберите подпись и сообщение и вычислите закрытый ключ. Этим свойством обладают различные варианты схем подписи Шнура и ЭльГамеля.

Самое простое решение, которое я могу придумать, — это использовать подпись на основе хеша, такую ​​как какой-либо вариант схемы подписи XMSS, LMS и SPHINCS.