RSA数字签名算法 题目描述 RSA数字签名是基于RSA非对称加密体系的一种数字签名方案。它允许消息发送者使用自己的私钥对消息生成签名，接收者可以使用发送者的公钥验证签名的真实性。请你详细讲解RSA数字签名的基本原理、签名生成过程和签名验证过程。 解题过程 前置知识：RSA密钥对 首先，签名者需要拥有一对RSA密钥： 私钥 (d, n) ：由签名者秘密保存，用于 生成签名 。 公钥 (e, n) ：对外公开，任何人都可以获得，用于 验证签名 。 其中 n 是两个大素数 p 和 q 的乘积（ n = p * q ）。公钥指数 e 和私钥指数 d 满足关系： e * d ≡ 1 mod φ(n) ，这里 φ(n) 是欧拉函数， φ(n) = (p-1)*(q-1) 。 核心思想 RSA数字签名的核心思想是利用了RSA算法的“单向门”特性。用私钥进行的运算，只有对应的公钥才能进行反向验证。具体来说： 生成签名 ：对消息的摘要（哈希值）进行私钥加密（即 签名 = 哈希值^d mod n ）。因为只有签名者拥有私钥 d ，所以别人无法伪造出有效的签名。 验证签名 ：对收到的签名进行公钥解密（即 解密值 = 签名^e mod n ），然后将解密结果与消息的实际摘要进行比对。如果两者一致，则证明签名有效。 签名生成步骤（签名者执行） 假设签名者Alice想要对一条消息 M 进行签名。 步骤1：计算消息摘要 首先，Alice使用一个双方事先约定好的密码学哈希函数（如SHA-256）计算消息 M 的哈希值 H(M) 。这一步将任意长度的消息映射为一个固定长度的、唯一的摘要。 摘要 h = Hash(M) 注意：先哈希再签名的好处是，无论原消息多长，签名运算都只针对固定长度的摘要，效率高，且符合签名标准。 步骤2：对摘要进行填充 为了增强安全性，防止某些攻击（如盲签名攻击），在实际应用中（如PKCS#1 v1.5标准），不会直接对裸哈希值进行签名。而是会将哈希值与其他信息（如哈希算法标识符）按照特定格式进行编码和填充，形成一个与RSA模数 n 长度相近的整数。我们把这个填充后的结果记为 Padded(h) 。 步骤3：私钥加密（签名运算） Alice使用自己的私钥 (d, n) 对填充后的摘要 Padded(h) 进行“解密”运算（在签名场景下，此运算被称为签名生成）。 签名 S = (Padded(h))^d mod n 这个计算出来的 S 就是Alice对消息 M 的数字签名。Alice将消息 M 和签名 S 一起发送给接收者Bob。 签名验证步骤（验证者Bob执行） Bob收到了消息 M‘ 和签名 S’ （ M‘ 和 S’ 可能在传输过程中被篡改，所以用撇号区分）。 步骤1：公钥解密（验证运算） Bob使用Alice公开的公钥 (e, n) 对签名 S‘ 进行“加密”运算。 解密值 X = (S')^e mod n 根据RSA的基本原理，如果签名 S’ 确实是由Alice的私钥对正确的 Padded(h) 生成的，那么 X 就应该等于 Padded(h) 。 步骤2：解析填充数据 Bob将解密得到的整数 X 按照约定的填充规则（如PKCS#1 v1.5）进行解析，从中提取出哈希值 h’ 。 步骤3：计算接收消息的摘要 Bob使用与Alice相同的哈希函数，独立计算收到的消息 M‘ 的哈希值。 实际摘要 h_real = Hash(M') 步骤4：比对并验证 Bob将解析出的哈希值 h‘ 与自己计算出的 h_real 进行比较。 如果 h' == h_real ： 这证明了两个关键点： 完整性 ：消息 M‘ 在传输过程中没有被篡改（因为哈希值匹配）。 身份认证和不可否认性 ：签名 S’ 必定是由持有Alice私钥的人生成的，因为只有用Alice的公钥才能成功验证它。Alice不能否认她签过名。 因此，验证 成功 。 如果 h' != h_real ： 说明要么消息被篡改了，要么签名是伪造的，或者两者皆是。 因此，验证 失败 。 通过以上步骤，RSA数字签名成功地实现了对数据完整性、消息来源认证和签名的不可否认性的保障。