DSA 및 ECDSA 서명 방식

DSA와 ECDSA는 이산 로그 문제의 어려움을 이용하는 대체 서명 방식입니다. ECDSA는 더 작은 키와 더 빠른 연산을 제공하므로 최신 시스템에서 널리 사용됩니다.

DSA(NIST, 1994)는 Z*p 안에서 소수 차수 q를 갖는 순환군을 사용합니다. 키 생성에서는 개인 키 x와 공개 키 y = g^x mod p를 만듭니다. 표준 매개변수는 2048비트 p와 256비트 q입니다.

1. 무작위 논스 k 생성 (1 < k < q) 2. r = (g^k mod p) mod q 3. s = k^(-1) × (Hash(M) + x×r) mod q 4. 서명: (r, s)

1. u1 = Hash(M) × s^(-1) mod q 2. u2 = r × s^(-1) mod q 3. v = (g^u1 × y^u2 mod p) mod q 4. v == r이면 유효합니다.

같은 k를 두 번 사용하면 두 서명이 같은 r을 공유합니다. 두 개의 (r,s1) 및 (r,s2) 쌍으로부터 개인 키 x를 직접 계산할 수 있습니다. PS3에서는 매번 k=1을 사용했기 때문에 이 문제가 보안을 무너뜨렸습니다.

ECDSA는 Z*p 대신 타원 곡선 군에서 DSA를 구현한 방식입니다. 타원 곡선은 훨씬 작은 매개변수로 동등한 보안 수준을 제공합니다. 보안 수준에서 ECDSA-256은 DSA-3072와 거의 같습니다.

from cryptography.hazmat.primitives.asymmetric import ec from cryptography.hazmat.primitives import hashes private_key = ec.generate_private_key(ec.SECP256R1()) sig = private_key.sign(message, ec.ECDSA(hashes.SHA256())) public_key = private_key.public_key() public_key.verify(sig, message, ec.ECDSA(hashes.SHA256()))

RFC 6979는 개인 키와 메시지 해시에서 k를 결정적으로 도출합니다. 따라서 난수 생성기에 대한 의존성이 없어지고 논스 재사용이 불가능해집니다. 모든 최신 구현은 RFC 6979를 사용합니다.

Ed25519(Edwards 곡선 DSA)는 Curve25519의 뒤틀린 Edwards 형식을 사용합니다. 설계상 결정적이며 일정한 시간에 실행됩니다. ECDSA보다 빠릅니다. 새로운 프로토콜(SSH 키, TLS 1.3, Signal)에 권장됩니다.

RSA-2048 서명은 256바이트입니다. ECDSA-256 서명은 약 71바이트입니다. Ed25519 서명은 64바이트이고 Ed25519 공개 키는 32바이트입니다. 이러한 크기 차이는 제약이 있는 장치에서 중요합니다.

NIST P-256(secp256r1)은 TLS와 FIPS 준수에 사용됩니다. secp256k1은 Bitcoin과 Ethereum에서 사용됩니다. Curve25519/Ed25519는 Signal, WireGuard, 최신 SSH에서 사용됩니다. Brainpool은 일부 유럽 표준에서 사용됩니다.

DSA 또는 ECDSA의 논스 k를 재사용하면 어떤 치명적인 취약점이 발생합니까?

DSA, ECDSA, Ed25519를 이해하셨습니다. 다음에는 디지털 서명이 실제 애플리케이션, 즉 코드 서명과 이메일을 보호하는 방법을 공부하겠습니다.