CN103580869A - 一种crt-rsa签名方法及装置 - Google Patents

Abstract

本发明公开了一种CRT-RSA签名方法，该方法包括：生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长；使用CRT-RSA算法计算所述r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，qInv=q^-1mod p，R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q；使用所述r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′；使用CRT-RSA算法计算所述D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q；使用所述R对所述S′进行去随机化处理，得到签名结果S。该方法相对于现有的CRT-RSA签名算法，在提升了安全性的同时，不改变CRT-RSA签名算法的整体结构，实现简单，不受硬件平台限制。

Description

一种CRT-RSA签名方法及装置

技术领域

本发明涉及信息安全领域，特别涉及一种CRT-RSA签名方法及装置。

背景技术

RSA算法是信息安全领域的一种广泛应用的非对称密码算法，尤其被用于数字签名中。而引入了中国剩余定理（Chinese Remainder Theorem，简称CRT）的RSA算法（以下简称CRT-RSA），由于相对于传统的RSA算法，具有约4至8倍的性能优势，因此应用更加广泛。

CRT-RSA签名算法经常受到边信道攻击(side channel attack简称SCA)，又称侧信道攻击，这种攻击是攻击者利用加密电子设备在运行过程中的时间消耗、功率消耗或电磁辐射之类的侧信道信息泄露，通过分析这些泄露的信息，获取私钥或私钥的部分信息，进而对加密电子设备进行攻击的方法，给密码设备带来了严重的威胁。常见的SCA攻击有功耗分析攻击（Power Analysis）、电磁分析攻击（Electromagnetic Analysis）、时间攻击（Timing Attack）等。

现有技术中，针对能够防御SCA的CRT-RSA签名方法，或者过于复杂繁琐，或者需要改变RSA签名算法的应用接口，造成系统内接口不兼容，影响产品的适用性。

发明内容

本发明实施例提供了一种CRT-RSA签名方法及对应的装置，以解决现有技术中CRT-RSA签名方法复杂繁琐，接口不兼容的问题。

为了解决上述技术问题，本发明实施例公开了如下技术方案：

一方面，本申请提供了一种CRT-RSA签名方法，其特征在于，包括：

生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长；

使用CRT-RSA算法计算所述r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，qInv=q^-1mod p，

R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q；

使用所述r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′；

使用CRT-RSA算法计算所述D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q；

使用所述R对所述S′进行去随机化处理，得到签名结果S。

结合第一方面，在第一方面的第一种可能的实现方式中，使用所述r对待签名数据D进行随机化处理包括：

计算D′=D*r mod N，其中N=p*q；用D′替代D作为新的待签名数据。

结合第一方面，或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，使用R对所述S′进行去随机化处理，得到签名结果S，具体包括：

计算S=S′*R mod N，S即为最终的签名结果。

结合第一方面，在第一方面的第三种可能的实现方式中，所述方法还包括：

使用CRT-RSA算法计算所述r的逆元次幂R之后，对R进行存储。

结合第一方面，在第一方面的第四种可能的实现方式中，所述方法还包括：

使用所述r对所述待签名数据D进行随机化处理之后，销毁所述r。

结合第一方面，在第一方面的第五种可能的实现方式中，所述方法还包括：

使用R对所述S进行去随机化处理后，销毁所述R。

另一方面，本发明提供了一种CRT-RSA签名装置，所述装置包括：

随机数生成单元，用于生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长；

第一计算单元，用于使用CRT-RSA算法计算所述随机数生成单元生成的随机数r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，

qInv=q^-1mod p，R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q；

随机化处理单元，用于使用所述随机数生成单元生成的随机数r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′；

签名计算单元，用于使用CRT-RSA算法计算所述D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q；

去随机化单元，用于使用所述第一计算单元计算的R对所述S′进行去随机化处理，得到签名结果S。

结合另一方面，在另一方面的第一种可能的实现方式中，所述随机化处理单元具体包括：

第一计算子单元，用于计算D′，其中D′=D*r mod N；

替代子单元，用于使用D′替代D作为新的待签名数据。

结合另一方面，或另一方面的第一种可能的实现方式，在另一方面的第二种可能的实现方式中，所述去随机化单元具体用于计算S=S′*R mod N，S即为最终的签名结果。

结合另一方面，在另一方面的第三种可能的实现方式，所述装置还包括：

存储单元，用于当所述第一计算单元完成对所述r的逆元次幂R的计算之后，对所述R进行存储。

结合另一方面，在另一方面的第四种可能的实现方式，所述装置还包括：

第一销毁单元，用于当所述随机化处理单元对D进行随机化处理之后，销毁所述r。

结合另一方面，在另一方面的第四种可能的实现方式，所述装置还包括：第二销毁单元，用于当所述去随机化单元对对所述S′进行去随机化处理后，销毁所述R。

由上述实施例可以看出，本申请在使用CRT-RSA进行签名运算时，生成随机数，并计算随机数的逆元次幂，使用所述随机数的逆元次幂对待签名的数据进行随机化处理，再使用现有的CRT-RSA算法计算随机化处理后的签名数据，最后对签名数据进行去随机化，得到最终的签名结果。由于输入为随机数，随机数的逆元次幂的整体计算过程中，中间数据与外部输入无关且均不可被攻击者预知，并且由于对外部输入的待签名数据已进行随机化处理，因此进行签名计算的过程中，所有的中间数据都将被随机化并被不可预知。因此在计算过程中攻击者无法实施SCA攻击。

此外，本实施例提供的CRT-RSA签名方法的运算接口与现有的CRT-RSA签名运算接口一致，而且不需要导入公钥指数参与运算，外部使用无需任何改动，实现简单，不改变CRT-RSA签名算法的整体结构，不受硬件平台限制。r的逆元次幂R的计算由于采用了CRT-RSA的方法，使得计算速度约为直接使用RSA进行计算速度的4倍，对r的长度进行了限定，在使用CRT-RSA进行R的计算时，避免了需要先对p和q分别进行模约减的处理，也能提高模幂单元的处理速度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请一种CRT-RSA签名方法提供的一个实施例的流程示意图；

图2为本申请一种CRT-RSA签名方法提供的另一个实施例的流程示意图；

图3为本申请一种CRT-RSA签名装置提供的一个实施例的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

参见图1，为本申请一种CRT-RSA签名方法提供的一个实施例的流程示意图，所述方法包括如下步骤：

S101：生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长。

S102：使用CRT-RSA算法计算所述r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，qInv=q^-1mod p，R的计算方法为：

R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q。

r的逆元次幂R也可以用不采用CRT的RSA算法来计算，对应的RSA私钥为（d,N）二元组，d为私钥指数，N为私钥模数，N=p*q，R=r^-dmod N，计算的结果与本申请使用CRT-RSA算法的结果一样。

S103：使用所述r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′。

S104：使用CRT-RSA算法计算所述D′的签名值S′，相应的CRT-RSA私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q。

S105：使用所述R对所述S′进行去随机化处理，得到签名结果S。

本实施例中，使用CRT-RSA进行签名运算时，生成随机数，并计算随机数的逆元次幂，使用所述随机数的逆元次幂对待签名的数据进行随机化处理，再使用现有的CRT-RSA算法计算随机化处理后的签名数据，最后对签名数据进行去随机化，得到最终的签名结果。由于输入为随机数，随机数的逆元次幂的整体计算过程中，中间数据与外部输入无关且均不可被攻击者预知，并且由于对外部输入的待签名数据已进行随机化处理，因此进行签名计算的过程中，所有的中间数据都将被随机化并被不可预知。因此在计算过程中攻击者无法实施SCA攻击。

此外，本实施例提供的CRT-RSA签名方法的运算接口与现有的CRT-RSA签名运算接口一致，而且不需要导入公钥指数参与运算，外部使用无需任何改动，实现简单，不改变CRT-RSA签名算法的整体结构，不受硬件平台限制。r的逆元次幂R的计算由于采用了CRT-RSA的方法，使得计算速度约为直接使用RSA进行计算速度的4倍，对r的长度进行了限定，在使用CRT-RSA进行R的计算时，避免了需要先对p和q分别进行模约减的处理，也能提高模幂单元的处理速度。

参见图2，为本申请一种CRT-RSA签名方法提供的另一个实施例的流程示意图，所述方法包括如下步骤：

S201：生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长。

S202：使用CRT-RSA算法计算所述r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，qInv=q^-1mod p，

R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q。

r的逆元次幂R也可以用不采用CRT的RSA算法来计算，对应的RSA私钥为（d,N）二元组，d为私钥指数，N为私钥模数，N=p*q，R=r^-dmod N，计算的结果与本申请使用CRT-RSA算法的结果一样。

S203：对R进行存储。

S204：计算D′=D*r mod N，其中D为外部输入的待签名数据。

S205：用D′取代D作为新的待签名数据。

S206：销毁所述r。

S207：使用CRT-RSA算法计算所述D′的签名值S′。

相应的CRT-RSA私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q。

S208：计算最终的签名结果S=S′*R mod N。

S209：销毁所述R，输出签名结果S。

本实施例中，使用CRT-RSA进行签名运算时，生成随机数，并计算随机数的逆元次幂，使用所述随机数的逆元次幂对待签名的数据进行随机化处理，再使用现有的CRT-RSA算法计算随机化处理后的签名数据，最后对签名数据进行去随机化，得到最终的签名结果。由于输入为随机数，随机数的逆元次幂的整体计算过程中，中间数据与外部输入无关且均不可被攻击者预知，并且由于对外部输入的待签名数据已进行随机化处理，因此进行签名计算的过程中，所有的中间数据都将被随机化并被不可预知。因此在计算过程中攻击者无法实施SCA攻击。及时销毁随机因子，防止此类敏感信息的泄漏，也可提升整体签名方法的安全性。

此外，本实施例提供的CRT-RSA签名方法的运算接口与现有的CRT-RSA签名运算接口一致，而且不需要导入公钥指数参与运算，外部使用无需任何改动，实现简单，不改变CRT-RSA签名算法的整体结构，不受硬件平台限制。r的逆元次幂R的计算由于采用了CRT-RSA的方法，使得计算速度约为直接使用RSA进行计算速度的4倍，对r的长度进行了限定，在使用CRT-RSA进行R的计算时，避免了需要先对p和q分别进行模约减的处理，也能提高模幂单元的处理速度，本方法相对于现有的CRT-RSA算法的代码量仅增加10%左右，但性能提高了一倍。

与CRT-RSA签名方法相对应，本申请还提供了CRT-RSA签名装置的实施例。

参见图3，为本申请CRT-RSA签名装置提供的一个实施例的结构示意图，所述装置包括：随机数生成单元301，第一计算单元302，随机化处理单元303，签名计算单元304，去随机化单元305。

其中，随机数生成单元301，用于生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长。

第一计算单元302，用于使用CRT-RSA算法计算所述随机数生成单元301生成的随机数r的逆元次幂R,其中对应的CRT-RSA的私钥五元组数据为：

(p,q,p-1-dp,q-1-dq,qInv)，qInv＝q^-1mod p，R的计算公式为：

R＝[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q。

上述r的逆元次幂R也可以用不采用CRT的RSA算法来计算，对应的RSA私钥为（d,N）二元组，d为私钥指数，N为私钥模数，N＝p*q，R＝r^-dmod N，计算的结果与本申请使用CRT-RSA算法的结果一样。

随机化处理单元303，用于使用所述随机数生成单元301生成的随机数r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′。

签名计算单元304，用于使用CRT-RSA算法计算所述随机化处理单元303输出的D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），S′的计算公式为：

S′＝[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q。

去随机化单元305，用于使用所述第一计算单元302计算的R对所述签名计算单元304输出的S′进行去随机化处理，得到最终的签名结果S。

可选的，本实施例的随机化处理单元303可以具体包括第一计算子单元，替代子单元。

其中，第一计算子单元，用于计算D′，其中D′＝D*r mod N；

替代子单元，用于使用D′替代D作为新的待签名数据。

本实施例中的去随机化单元303具体用于计算S＝S′*R mod N，S即为最终的签名结果。

优选的，本实施例装置还可以包括（图中未示出）：

存储单元，用于当所述第一计算单元302完成所述r的逆元次幂R的计算之后，对所述R进行存储。

第一销毁单元，用于当所述随机化处理单元303对所述待签名数据D进行随机化处理之后，销毁所述r。

第二销毁单元，用于当所述去随机化单元对所述S′进行去随机化处理后，销毁所述R。

本实施例装置提供的CRT-RSA签名装置在对待签名数据进行签名运算前进行随机化处理，再使用现有的CRT-RSA算法计算随机化处理后的签名数据，最后对签名数据进行去随机化，得到最终的签名结果。由于输入为随机数，随机数的逆元次幂的整体计算过程中，中间数据与外部输入无关且均不可被攻击者预知，并且由于对外部输入的待签名数据已进行随机化处理，因此进行签名计算的过程中，所有的中间数据都将被随机化并被不可预知。因此在计算过程中攻击者无法实施SCA攻击。及时销毁随机因子，防止此类敏感信息的泄漏，也可提升整体签名方法的安全性。

此外，本实施例提供的CRT-RSA签名装置的运算接口与现有的CRT-RSA签名运算接口一致，而且不需要导入公钥指数参与运算，外部使用无需任何改动，实现简单，不改变CRT-RSA签名算法的整体结构，不受硬件平台限制。r的逆元次幂R的计算由于采用了CRT-RSA的方法，使得计算速度约为直接使用RSA进行计算速度的4倍，对r的长度进行了限定，在使用CRT-RSA进行R的计算时，避免了需要先对p和q分别进行模约减的处理，也能提高模幂单元的处理速度。本方法相对于现有的CRT-RSA算法的代码量仅增加10%左右，但性能提高了一倍。

本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件的方式来实现，通用硬件包括通用集成电路、通用CPU、通用存储器、通用元器件等，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (12)

1.一种CRT-RSA签名方法，其特征在于，包括：

生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长；

使用CRT-RSA算法计算所述r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，qInv=q^-1mod p，

R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q；

使用所述r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′；

使用CRT-RSA算法计算所述D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q；

使用所述R对所述S′进行去随机化处理，得到签名结果S。

2.根据权利要求1所述的方法，其特征在于，使用所述r对待签名数据D进行随机化处理包括：

计算D′=D*r mod N，其中N=p*q；

用D′替代D作为新的待签名数据。

3.根据权利要求1或2所述的方法，其特征在于，使用R对所述S′进行去随机化处理，得到签名结果S，具体包括：

计算S=S′*R mod N，S即为最终的签名结果。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

使用CRT-RSA算法计算所述r的逆元次幂R之后，对R进行存储。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

使用所述r对所述待签名数据D进行随机化处理之后，销毁所述r。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

使用所述R对所述S进行去随机化处理后，销毁所述R。

7.一种CRT-RSA签名装置，其特征在于，所述装置包括：

随机数生成单元，用于生成随机数r，所述r的比特位长小于或等于RSA的两个素数p和q的比特位长；

第一计算单元，用于使用CRT-RSA算法计算所述随机数生成单元生成的随机数r的逆元次幂R，其中对应的CRT-RSA的私钥五元组数据为(p,q,p-1-dp,q-1-dq,qInv)，

qInv=q^-1mod p，R=[(r^p-1-dpmod p-r^q-1-dqmod q)*qInv mod p]*q+r^q-1-dqmod q；

随机化处理单元，用于使用所述随机数生成单元生成的随机数r对待签名数据D进行随机化处理，得到随机化处理后的待签名数据D′；

签名计算单元，用于使用CRT-RSA算法计算所述D′的签名值S′，相应的私钥五元组数据为（p,q,dp,dq,qInv），

S′=[((D′mod p)^dpmod p-(D′mod q)^dqmod q)*qInv mod p]*q+(D′mod q)^dqmod q；

去随机化单元，用于使用所述第一计算单元计算的R对所述S′进行去随机化处理，得到签名结果S。

8.根据权利要求7所述的装置，其特征在于，所述随机化处理单元具体包括：

第一计算子单元，用于计算D′，其中D′=D*r mod N；

替代子单元，用于使用D′替代D作为新的待签名数据。

9.根据权利要求7或8所述的装置，其特征在于，所述去随机化单元具体用于计算S=S′*R mod N，S即为最终的签名结果。

10.根据权利要求7所述的装置，其特征在于，所述装置还包括：

存储单元，用于当所述第一计算单元完成对所述r的逆元次幂R的计算之后，对所述R进行存储。

11.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一销毁单元，用于当所述随机化处理单元对D进行随机化处理之后，销毁所述r。

12.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第二销毁单元，用于当所述去随机化单元对对所述S′进行去随机化处理后，销毁所述R。

Images