当前位置：文档之家 › 精品课件-现代密码学(杨晓元)第6章

精品课件-现代密码学(杨晓元)第6章

  • 格式：ppt
  • 大小：1.18 MB
  • 文档页数：130

下载文档原格式

  / 130

合集下载

第6章 现代密码学课件

第6章 现代密码学课件
本章节主要介绍了现代密码学中的消息认证和杂凑算法。首先阐述了消息认证的重要性，它是用来抗击主动攻击，验证接收消息的真实性、完整性和顺序性的过程。接着详细讲解了消息认证码MAC的定义及使用方式，MAC是一种由密钥控制的公开函数作用后产生的认证符，通过比较发送方和接收方计算的MAC值来验证消息的真实性。此外，还探讨了产生MAC的函数应满足的要求，包括函数，通过举例说明了如何抵抗敌手的攻击，保护通信的安全。虽然本章节未直接提供课后习题及解答，但通过对消息认证和杂凑算法的深入讲解，为读者理解和解答相关习题提供了重要的理论基础。

现代密码学与应用

现代密码学与应用
20082008-9-21 18
差分密码分析(Differential cryptanalysis)
差分密码分析是一种攻击迭代分组密码的 选择明文统计分析破译法。 它不是直接分析密文或密钥的统计相关性， 而是分析明文差分和密文差分之间的统计 相关性。
20082008-9-21
19
差分密码分析(Differential cryptanalysis)
20082008-9-21
29
中途相遇攻击
对于给定明文x，以两重DES加密将有264个 可能的密文。 可能的密钥数为2112个。所以，在给定明文 下，将有2112/264 =248个密钥能产生给定的密 文。 这一攻击法所需的存储量为256×8 Byte，最 大试验的加密次数2×256 =257。这说明破译 双重DES的难度为 57量级 难度为2 难度为 量级。
DES的解密过程与加密过程完全相同。唯一的不同是，子密钥的使 的解密过程与加密过程 唯一的不同是， 用顺序完全相反。 用顺序完全相反。
– 加密： k1,k2,k3, … , k16 加密： – 解密：k16, … , k3, k2, k1 解密：
算法主要包括： 算法主要包括：
– 16个子密钥产生器 个子密钥产生器 – 初始置换 初始置换IP – 16轮迭代的乘积变换（E,B,P) 轮迭代的乘积变换（ 轮迭代的乘积变换 – 逆初始置换 -1 逆初始置换IP
差分密码分析(Differential cryptanalysis)
以这一方法攻击DES，尚需要用2 47 个选择明文和 247次加密运算。 为什么DES在强有力的差值密码分析攻击下仍能 站住脚?
– 根据Coppersmith[1992内部报告]透露，IBM的DES研究 组早在 早在1974年就已知道这类攻击方法，因此，在设计 年 S盒、P-置换和迭代轮数上都做了充分考虑，从而使 DES能经受住这一有效破译法的攻击。

现代密码学

现代密码学

现代密码学
4
第4周第1次课
现代密码学
5
第4周第1次课
现代密码学
6
第4周第1次课
现代密码学
7
第4周第1次课
现代密码学
8
第4周第1次课
现代密码学
9
第4周第1次课
现代密码学
10
第4周第1次课
现代密码学
11
第4周第1次课
现代密码学
12
Hale Waihona Puke 4.2 数据加密标准DES
第4周第1次课
现代密码学
13
第4周第1次课
40
Thanks For Your Attentions
第4周第1次课
现代密码学
41
现代密码学
34
第4周第1次课
现代密码学
35
第4周第1次课
现代密码学
36
第4周第1次课
现代密码学
37
第4周第1次课
现代密码学
38
Homework
Page 66: 4.1， 4.2，4.3（1） Page 67: 4.4（1）
第4周第1次课
现代密码学
39
Q&A?
第4周第1次课
现代密码学
现代密码学--第6讲
主讲教师：张 龙
第4周第1次课
现代密码学
1
第4章 分组密码
第4周第1次课
现代密码学
2
4.1 分组密码的基本原理 4.2 数据加密标准DES 4.3 多重DES 4.4 DES的工作模式 4.5 高级加密标准AES
第4周第1次课
现代密码学
3
4.1 分组密码的基本原理

现代密码学PPT课件

现代密码学PPT课件
因此要了解信息安全，首先应该知道信息安全面临 哪些威胁。
信息安全所面临的威胁来自很多方面，并且随着时 间的变化而变化。这些威胁可以宏观地分为人为威 胁和自然威胁。
自然威胁可能来自于各种自然灾害、恶劣的场地环 境、电磁辐射和电磁干扰、网络设备自然老化等。 这些事件有时会直接威胁信息的安全，影响信息的 存储媒质。
3. 完整性业务
和保密业务一样，完整性业务也能应用于消息流、 单个消息或一个消息的某一选定域。用于消息流的 完整性业务目的在于保证所接收的消息未经复制、 插入、篡改、重排或重放，即保证接收的消息和所 发出的消息完全一样；这种服务还能对已毁坏的数 据进行恢复，所以这种业务主要是针对对消息流的 篡改和业务拒绝的。应用于单个消息或一个消息某 一选定域的完整性业务仅用来防止对消息的篡改。
2. 认证业务
用于保证通信的真实性。在单向通信的情况下，认 证业务的功能是使接收者相信消息确实是由它自己 所声称的那个信源发出的。在双向通信的情况下， 例如计算机终端和主机的连接，在连接开始时，认 证服务则使通信双方都相信对方是真实的（即的确 是它所声称的实体）；其次，认证业务还保证通信 双方的通信连接不能被第三方介入，以假冒其中的 一方而进行非授权的传输或接收。
恶意软件指病毒、蠕虫等恶意程序，可分为两类， 如图1.2所示，一类需要主程序，另一类不需要。前 者是某个程序中的一段，不能独立于实际的应用程 序或系统程序；后者是能被操作系统调度和运行的 独立程序。来自图1.2 恶意程序分类
对恶意软件也可根据其能否自我复制来进行分类。 不能自我复制的一般是程序段，这种程序段在主程 序被调用执行时就可激活。能够自我复制的或者是 程序段（病毒）或者是独立的程序（蠕虫、细菌 等），当这种程序段或独立的程序被执行时，可能 复制一个或多个自己的副本，以后这些副本可在这 一系统或其他系统中被激活。以上仅是大致分类， 因为逻辑炸弹或特洛伊木马可能是病毒或蠕虫的一 部分。

现代密码学：第6讲古典密码算法

现代密码学：第6讲古典密码算法

现代密码学第六讲古典密码算法第六讲古典密码算法置换密码单表代替密码算法多表代替密码算法置换（Permutation）密码•对明文字符或字符组进行位置移动的密码•明文的字母保持相同，但顺序被打乱了。

置换密码•对明文字符或字符组进行位置移动的密码•明文的字母顺序被打乱了，但明文字母本身不变天书（Scytale）•500 B.C.，斯巴达人在军事上用于加解密•发送者把一条羊皮纸螺旋形地缠在一个圆柱形木棒上，核心思想是置换木棒的直径需要保密第六讲古典密码算法置换密码单表代替密码算法多表代替密码算法代替密码•代替(Substitution)密码构造一个或多个密文字母表，然后用密文字母表中的字母或者字母组来代替明文字母或字母组，各字母或字母组的相对位置不变，但其本身的值改变了。

•代替密码分为单表代替密码和多表代替密码字母与数字的转换代替密码算法针对英文字母进行处理。

首先将26个字母与十进制数字中的0~25一一对应，如下表所示。

而这里的数的加法和乘法都定义为模26的加法和乘法。

字母a b c d e f g h i j k l m数字0123456789101112字母n o p q r s t u v w x y z数字13141516171819202122232425单表代替密码单表代替密码可分为•加法密码•乘法密码•仿射密码单表代替密码——加法密码明文：密文：密钥：解密：Caesar密码就是一种加法密码（k=3）明文字母ABCDEFGHIJKLMNOPQRSTUVWXYZ 密文字母DEFGHIJKLMNOPQRSTUVWXYZ ABC•设明文为：LOVE•则密文为：ORYH明文：密文：密钥：解密：条件：关键在于计算：方法：扩展的欧几里得算法若，则存在整数使得这里就是，注意要将变为正数1k•加密函数：•密钥：•解密函数：•条件：仿射密码是乘法密码和加法密码的结合。

(mod 26)y ax b =+1()(mod 26)x a y b -=-(,26)1a =第六讲古典密码算法置换密码单表代替密码算法多表代替密码算法多表代换密码多表代换密码首先将明文分为由个字母构成的分组，对每个分组的加密为：其中是密钥，是的可逆矩阵，满足（是行列式），，，。

现代密码学和应用-PPT文档资料

现代密码学和应用-PPT文档资料

2008-9-21
15
(1) 电码本ECB模式
• 直接利用加/解密算法分别对分组数据组加/解密
• 每个分组之间彼此独立。 • 相同明文(在相同密钥下)得出相同密文。
– 这会暴露明文数据的格式和统计特征。
– 明文数据都有固定的格式，需要以协议的形式定义，重要的数据 常常在同一位置上出现，使密码分析者可以对其进行统计分析、 重传和代换攻击。
• CFB与CBC的区别
– 是反馈的密文分组长度k为1或8 – 不是直接与明文相加，而是反馈至密钥产生器； – 若使用非对称的分组算法，则不能用CFB模式
• 用于要求无延迟的加密和传播的应用中。
2008-9-21
24
2008-9-21
25
特性
• 在相同的密钥和IV下，相同的明文分组会得到相 同的密文分组 (与CBC模式一样) • 各密文组yi不仅与当前明文组xi有关，而且通过反 馈作用还与以前的 6 4 / j 个明文组xi-64/j, xi-64/j+1,…, xi-1有关 • 单个密文分组yi中的一个比特错误会影响分组yi和 后续的 6 4 / j 个密文分组的解密。 • 若单个密文分组 yi 出现错误，则能自同步；只要 后续的 6 4 / j 没有错误，则可自动恢复同步
Ci=EK(Pi)；Pi=DK(Ci)
• 单个密文分组中的一个或多个比特错误只会影响 该分组的解密结果。
2008-9-21 16
2008-9-21
17
ECB模式的安全缺陷
k kxDESy源自yDES-1x
• 不能隐藏数据模式 • 易遭受插入、删除等主动攻击
2008-9-21 18
(2) 密码分组链接CBC模式
• 每个明文组xi加密之前，先与反馈至输入端 的前一组密文yi-1按位模2求和后，再送至加 密算法加密

精品课件-现代密码学(杨晓元)第1章

图灵机分为确定型和非确定型两种，确定型是指图灵机的每 一步的操作结果是唯一确定的；非确定型则指图灵机的每一步的 操作结果及下一步操作都有多种选择，不是唯一确定的。
【例1-4】 确定型单带图灵机(DTM)。 它由有限状态控制器、读写头和一条磁带组成，这条磁带由 标记为…，－3，－2，－1，0，1，2，3，…的带方 格的双向无穷序列组成，如图1-3所示。
现实中的大多数问题，特别是优化问题，都能与判定问题建 立紧密联系。如巡回售货员问题，本来是一个优化问题，但它也 可以描述为判定问题的形式：给定城市集合C={C1,C2,…,Cn}，C 中每两个城市之间的距离为d(Ci,Cj)，界限B∈Z+，问是否存在一 条路线经过C中所有城市，且全长不超过B，即是否存在城市的一 种排列〈Cπ(1),Cπ(2),…,Cπ(n)〉， 使得
时间复杂性函数与问题的编码方案和决定着算法执行时间的 计算模型有关。不同的算法具有不同的时间复杂性，根据时间复 杂性可以将算法分为多项式时间算法(polynomial time algorithm) 和指数时间算法(exponential time algorithm)。
第1章 计算复杂性理论
我们用符号“O”来表示函数的数量级。对于函数f(x)，如
第1章 计算复杂性理论
解决某个问题的算法必须在某种计算模型下实现，一种最 基本的计算模型是图灵机(Turing Machine)。图灵机是Alan Turing在1936年提出的一种假想的计算模型，它是一个具有无 限读写能力的有限状态机，并且可以做无限步并行操作，是离 散自动机的最一般形式。在理论上，图灵机被公认为现代计算 机的原型，这台机器只保留一些最简单的指令，一个复杂的工 作可以分解为这几个最简单的指令来实现。图灵机可以读入一 系列的0和1，这些数字代表了解决某一问题所需要的步骤，按 这个步骤做下去，就可以解决某一特定的问题。图1-2给出了图 灵机的一般结构，其中的辅助存储器是一个具有无限容量的随 机存储器。

现代密码学第六章




如果p-1不含大素因子，很多情况下也是容易计算的，这时x=x mod p-1, 如果都是小因子，则可分别求出模小因子，再用CRT定理。
3/
（RSA）
第六章 公钥密码和离散对数
ElGamal密码体制与DH密钥交换
6.2 两个基本公钥密码体制
6.2.1 ElGamal密码体制
1. 密钥产生


(a,bGF(p),4a3+27b2(mod p)≠0)

因为＝(a/3)3+(b/2)2=(4a3+27b2)/108是方程x3+ax+b＝0的判别式，当 4a3+27b2 ＝0时方程有重根，设为x0，则点Q0＝(x0,0)是方程(4-2)的重根 即x3+ax+b＝(x-x0)3或者＝(x-x0)2(x-x1)，重根将使得一阶导数3x2＋a在该 Q0点为0 令F(x,y)=y2－x3－ax－b，则F/x|Q0=F/y|Q0=0 所以dy/dx=－(F/x)/(F/y)＝(3x2＋a)/2y在Q0点无定义，即曲线 y2≡x3+ax+b在Q0点的切线无定义，因此点Q0的倍点运算无定义


算法的安全性基于求离散对数的困难性
假设p是大素数，g是p的本原根，p和g作为公开元素，协议如下： ① 用户Alice选择随机数x，计算a=gx mod p，保密x，发送a给Bob ② 用户Bob选择随机数y，计算b=gy mod p，保密y，发送b给Alice ③ Bob和Alice各自计算 k=bx mod p和k=ay mod p, 从而得到共享密钥k 这是因为k=bx mod p=(gy)xmod p=(gx)ymod p=ay mod p

现代密码学基础ppt课件


加密示例-按字符易位加密
7 4 5 1 2 8 3 6
原文
加密算法：密文的组合 规则，按密钥的字母顺 序
M E
P a e l n m
G
e s i
A
a f l
B
s e l
U
e r i
C
t o o
K
r n n
Please transfer one million dollars to Swiss Bank account six two two … …
2 经典加密技术
替代 置换 转换
2 加密方式概述
基本概念 不可破的密码体制：如果密文中没有足够的信息来唯一 地确定（推导）出对应的明文，则称这一密码体制是 无条件安全的或称为理论上不可破的。 密钥体制的安全性：指一个密码体制的密码不能被可以 使用的计算机资源破译。 关于古典加密法：1949年，C.E.Shannon论证了一般经典 加密法得到的密文几乎都是可破的，从而引起密码学 研究的危机。 DES（Data Encryption Standard）和公开密钥体制（Public Key Crypt-system）：60年代以后出现，成为近代密码 学发展史上的两个重要的里程碑。
我国古代的密码学
从古到今，加密技术在各种战争和商战中应用频繁。 中国古代有一种叫“符”的东西，是把一块竹劈成两 片，双方各执一片，在需要时拼合对证，这也是“符 合”这个词的由来。细细品味，发现“符”与现代的 “公共密钥”加解密技术竟有异曲同工之妙。 该技术使用成对的“公共密钥”和“私有密钥”， 双方各执一个，互不相知，但却可以进行非常有效的 加密认证。
例：如果明文m为“important”，则密文C则为 “RNKLIGZMZ”。

现代密码学精讲PPT共171页

51、 天 下 之 事 常成 于困约 ，而败 于奢靡 。——陆 游 52、 生 命 不 等 于是呼 吸，生 命是活 动。——卢 梭
53、 伟 大 的 事 业，需 要决心 ，能力 ，组织 和责任 感。 ——易 卜 生 54、 唯 书 籍 不 朽。——乔 特
55、 为 中 华 之 崛起而 读书。 ——周 恩来
谢谢！
现代密码学精讲
•
6、黄金时代是在我们的前面，而不在 我们的 后面。
•
7、心急吃不了热汤圆。
•
8、你可以很有个性，但某些时候请收 敛。
•
9、只为成功找方Байду номын сангаас，不为失败找借口 (蹩脚 的工人 总是说 工具不 好)。
•
10、只要下定决心克服恐惧，便几乎 能克服 任何恐 惧。因 为，请 记住， 除了在 脑海中 ，恐惧 无处藏 身。-- 戴尔． 卡耐基 。
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
所确定的平面曲线称为椭圆曲线，满足方程的点称为曲线上的点。 若系数a，b，c，d，e来自有限域Fp，则曲线上的点数目也是有 限的，这些点再加上一个人为定义的无穷远点O，构成集合E(Fp)， E(Fp)的点数记作#E(Fp)。
第6章 公钥密码体制 Hasse证明了如下结论：
p 1 2 p # E(Fp ) p 1 2 p
第6章 公钥密码体制
与对称密码相比，公钥密码有以下特点： (１) 安全性取决于某些困难问题的难解性； (２) 无须事先传递密钥； (３) 计算量通常大于对称密码。 公钥密码中常用的难解问题有分解大整数、离散对数问题、 椭圆曲线上的离散对数问题 等，其安全性取决于构造算法所依赖的数学问题的计算复杂性， 所以公钥密码在理论上是 不安全的，但在实际应用中可以选择足够安全的参数来保证计算 上的安全性。
第6章 公钥密码体制
6.1.2 Diffie-Hellman密钥交换 Diffie和Hellman给出了一种通信双方无须事先传递密钥也
能利用对称密码体制进行保密通信的方法，这就是DiffieHellman密钥交换协议(简称D-H协议)，在该协议中，通信双方通 过协商可以建立一个秘密的密钥。D-H协议充分体现了公钥密码 的思想，其安全性基于离散对数问题。
第6章 公钥密码体制
6.2 椭圆曲线密码 6.2.1 椭圆曲线(Elliptic Curve)
椭圆曲线的图像轨迹并不是椭圆，而是一个平面上的三次曲 线，是人们在研究如何计算椭圆的弧长时发现的问题。
定义6-1 由三次威乐斯特拉斯方程(Weierstrass方程): y2+axy+by=x3+cx2+dx+e
第6章 公钥密码体制 1994年，Harn首次提出了一种广播多重数字签名方案，目前 又出现了基于离散对数的ElGamal有序多重数字签名方案与广播 多重数字签名方案，这些方案的安全性都是建立在有限域GF(p) 上离散对数问题的难解性之上的，而且多重数字签名本身就是一 种多层次、联合式的签名认证协议，因此已有方案存在着密钥量 大、运算复杂、软硬件实现时系统开销大等不足。为了保证签名 认证协议的安全性，同时降低实现多重数字签名的空间与时间复 杂度，提高系统执行效率，基于椭圆曲线公钥密码体制提出了一 类网络通信中的多重数字签名方案。这类方案将算法的安全性建 立在椭圆曲线离散对数问题(ECDLP)的难解性之上，在保证系统 数据信息安全性的基础上，充分发挥了椭圆曲线密码系统效率高、 安全强度大的特点。在同等安全强度下，方案可以用较小的开销 (所需计算量、存储量、带宽、软件和硬件实现的规模等)和时延 (加密和签名速度快)实现较高的安全性。
y)的逆为(x，－y)；
(4) 若x1≠x2，则(x1，y1)+(x2，y2)=(x3，y3)，其中，
x3
y3
2 x1 x2 (x1 x3 )
,
y1
y2 x2
y1 x1
第6章 公钥密码体制
(5) (倍点规则) (x1，y1)∈E(Fp)，y1≠0，有2(x1，
y1)=(x2，y2)，其中,
第6章 公钥密码体制 图6-2 广播多重数字签名方案
第6章 公钥密码体制
2. 基于ECC的多重数字签名方案 1) 有序多重数字签名方案 有序多重数字签名方案包括系统初始化、签名产生与签名验 证过程，方案的协议方为消息发送者、消息签名者与签名验证者。 初始化过程设A为消息发送者，B1，B2，…，Bn为消息签名者， C为签名验证者。
设RSA系统中每个用户有公开的加密密钥n、e和保密的解密 密钥d，这些密钥通过以下步骤确定：
(1) 用户选择两个大素数p、q，计算n=pq及φ(n)=(p－ 1)(q－1)；
第6章 公钥密码体制
(2) 选择随机数e，要求1<e<φ(n)，且gcd(e，φ(n)=1)； (3) 求出e模φ(n)的逆d，即ed≡1 mod φ(n)； (4) 将n、 e公开，d保密。 加密时，首先将明文表示为小于n的整数，设m为明文，要 将m加密并发送给用户Alice时，利用Alice的公开密钥nA、eA， 计算
c meA mod nA
求出的整数c即为密文。
第6章 公钥密码体制
Alice收到c后，利用自己的解密密钥dA，计算
m cdA mod nA
求出Gamal ElGamal是基于离散对数问题的最著名的公钥密码体制，
其系统参数如下： 选择大素数p和模p的原根g，随机选择整数x，计算
第6章 公钥密码体制 图6-1 有序多重数字签名方案
第6章 公钥密码体制
有序多重数字签名方案包含消息发送者(issuer)、消息签名 者(signers)、签名验证者(verifier) 三个协议方，消息发送者 规定消息签名顺序，然后将消息发给第一个签名者。除了第一个 签名者以外的每一位签名者收到签名消息后，首先验证上一签名 的有效性，如果有效则继续签名，然后将签名消息发送到下一个 签名者；如果签名无效则拒绝对消息进行签名，终止签名协议。 签名验证者最后收到签名消息，对消息进行有效性验证，如果签 名有效则通过认证，否则拒绝进一步的协议过程。
传给Alice；
(3) Alice计算yBxA g xA xB mod p ，Bob计算 和ykgAxDBx-AHg协，gxA议x求xBB的xxAmB安是mo全困do性d难p是p的基，作于D为，i这f双易f样i方知e一和的两个H通者e假l信是l设m密相a，n钥等假即的。设已，此知从问而题可g的x将A困xB难
第6章 公钥密码体制
设系统中公开的参数为大素数p和模p的原根g，用户Alice和 Bob为了协商一个公用的秘密密钥，需要进行如下步骤：
(1) Alice随机选择整数xA，计算 yA g xA mod p ，
将yA传给Bob；
(2) Bob随机选择整数xB，计算 yB g xB mod p ，将yB
在构造密码系统时，我们主要关心这样一种椭圆曲线，其
方程为
y2=x3+ax+b
x，y，a，b，∈Fp
第6章 公钥密码体制
定理6-1 椭圆曲线上的点集合E(Fp)对于如下定义的加法 规则构成一个Abel群：
(1) O+O=O；
(2) 对 (x，y)∈E(Fp)，(x，y)+O=(x，y)； (3) (x，y)∈E(Fp)，(x，y)+(x，－y)=O，即点(x，
x2
y2
2 ( x1
2 x1 x2 )
y1
,
3x12 2 y1
a
第6章 公钥密码体制
以上规则体现在曲线图形上，含义为 (1) O是加法单位元； (2) 一条与x轴垂直的线和曲线相交于两个x坐标相同的点， 即P1=(x，y)和P2=(x，－y)，同时它也与曲线相交于无穷远点， 因此P2=－P1； (3) 横坐标不同的两个点R和Q相加时，先在它们之间画一条 直线并求直线与曲线的第三个交点P，此时有R+Q=－P； (4) 对一个点Q加倍时，通过该点画一条切线并求切线与曲 线的另一个交点S，Q+Q=2Q=－S。
第6章 公钥密码体制
1. 多重数字签名方案及其分类 在网络通信中，有时要求多个用户对同一消息进行签名与认 证(如几位领导或当事人签署同一份文件)。能够实现这种多个协 议方对同一消息进行签名的数字签名协议就称为多重数字签名 (Digital Multisignature)。根据签名协议过程的不同，多重数 字签名又可以分为有序多重数字签名 (Sequential Multisignature)与广播多重数字签名(Broadcasting Multisignature)。 1) 有序多重数字签名 有序多重数字签名协议过程如图6-1所示。
第6章 公钥密码体制
2) 广播多重数字签名 广播多重数字签名协议过程如图6-2所示。 广播多重数字签名方案包含消息发送者、消息签名者、签名 收集者(signature collector)、 签名验证者四个协议方。消息 发送者将消息同时发送给每一位签名者进行签名；签名者将签名 消息发送到签名收集者；收集者对各个签名消息进行处理并将结 果发送给签名验证者；签名验证者完成对多重数字签名的有效性 验证工作。
第6章 公钥密码体制
Alice收到密文后，利用秘密密钥d，计算: d(x1，y1)=dkP=k(dP)=kQ=(x2，y2)
再计算 cx21 m ，得到明文m。
这里Q=dP是公开的，若破译者能够解决椭圆曲线上的离 散对数问题，就能从dP中恢复d，完成解密［21］。
第6章 公钥密码体制
6.2.3 基于椭圆曲线公钥密码体制的密码协议 计算机网络技术正以前所未有的速度渗入到我们工作生活的
y=gx mod p，将p、g、y公开，x保密。 加密时，假设明文被编码为整数m，加密者随机选择整数k，
满足gcd(k，p－1)=1，再计算 c1=gk mod p c2=myk mod p
则密文为c=(c1，c2)。 接收方收到密文组(c1，c2)后，进行如下的解密运算：
c2 (c1x )1 myk (gkx )1 mgkx (gkx )1 mmod p
方方面面。由于自身开放与共享的互联特性，网络在给我们提供 方便、快捷、高效的信息服务的同时，也带来了各种安全隐患。 数字签名是对电子文档做出承诺或保证电子文档合法性、抗抵赖 性的有效手段。在电子商务与电子政务中，有时需要多人进行联 合签名，若采用传统的签名方式就会产生巨大的签名验证计算量 及信息通信量，违背了网络业务廉价、高效的设计原则。此时， 多重数字签名方案就有着不可替代的重要作用。
等价于离散对数问题。
第6章 公钥密码体制
6.1.3 RSA 1977年，美国麻省理工学院的三位数学家Ron Rivest、Adi
Shamir和Len Adleman成功地设计了一个公钥密码算法，该算法 根据设计者的名字被命名为RSA，在其后的30年中，RSA成为世界 上应用最为广泛的公钥密码体制。