数字签名 - Ciallo Wiki

1 基本概念

1.1 定义与作用

数字签名是一种利用密码学手段对电子数据进行认证的机制。它通常由发送方使用私钥对消息或其摘要进行处理，接收方则使用对应公钥进行验证，以确认数据确实来自声称的发送者，并且在传输过程中未被修改。

从功能上看，数字签名主要承担三类作用：确认来源、校验内容以及支持责任追溯。与传统手写签名相比，它更适合在网络环境中使用，能够以自动化方式参与文档流转、通信鉴别和程序分发等流程。

1.2 数字签名与电子签名的区别

电子签名是一个更宽泛的概念，泛指用于表示签署意图的电子化标记或操作，例如勾选确认框、输入姓名、手写签名图片等。数字签名则是电子签名中的一种技术实现，具有明确的密码学验证机制。

二者的区别主要体现在技术基础与安全强度上。电子签名强调“形式上的签署行为”，而数字签名强调“可验证的密码学证明”。因此，数字签名通常具备更强的防篡改能力与可验证性，也更适合高安全要求的场景。

1.3 数字签名的安全目标

数字签名的设计目标并不只是“证明是谁签的”，还包括保证信息在签署后保持稳定、减少伪造可能，并在必要时为事后审计提供依据。

1.3.1 完整性

完整性指签名所对应的数据在签署后未被修改。哪怕原文只改变一个字符，验证结果也会失效。因此，数字签名常用于防止传输过程中的内容篡改。

1.3.2 身份认证

身份认证是指确认签名者与公钥所对应的身份关系。只要公钥来源可信，验证者就可以据此判断签名确实由持有相应私钥的一方生成。

1.3.3 不可否认性

不可否认性意味着签名者在事后难以合理否认自己曾生成该签名。它依赖私钥的保密性、证书体系的可信绑定，以及完整的日志或证据链支持。

2 工作原理

2.1 公钥密码学基础

数字签名建立在公钥密码学之上。该体系包含一对相关联的密钥：私钥用于生成签名，公钥用于验证签名。两者之间存在数学关联，但由公钥推导私钥在计算上不可行。

这种结构的优势在于：签名者无需向接收方预先共享秘密，也能在开放网络中完成可信认证。它与对称加密不同，后者通常使用同一把密钥完成加密和解密。

2.2 消息摘要与哈希函数

实际应用中，数字签名一般不是直接对整份消息签名，而是先通过哈希函数计算出消息摘要，再对摘要进行签名。这样做可以显著提高效率，也便于处理任意长度的数据。

哈希函数需要满足若干安全属性，例如输入稍有变化就会产生明显不同的输出，且难以从摘要反推出原文。若哈希算法不够安全，签名系统也会受到影响。

2.3 签名生成过程

签名生成通常包括以下步骤：先对原始消息计算摘要，再使用签名算法与私钥对摘要进行数学运算，最终得到签名值。签名值会与原文一同发送，或者附加在文档、证书、软件包之中。

在一些方案里，签名前还会加入随机数或确定性处理，以增强安全性，避免相同消息在不同时间产生可预测的签名模式。

2.4 签名验证过程

验证过程的核心是比对签名与消息是否匹配，以及签名是否能被与私钥相对应的公钥正确解析。验证通过时，接收方可认为消息来源可信且内容未变。

2.4.1 验证输入与输出

验证通常需要三类输入：原始消息、签名值和公钥。输出结果一般只有两种：通过或失败。某些系统还会返回错误码，用于区分证书无效、格式错误或算法不匹配等情况。

2.4.2 验证失败的常见原因

验证失败可能由多种因素引起，例如消息被修改、签名损坏、公钥不正确、证书过期、哈希算法不兼容，或者签名算法参数设置错误。网络传输中的截断和编码差异也可能导致校验不通过。

3 核心算法

3.1 RSA 签名

RSA 签名是较早被广泛采用的签名方案之一，基于大整数分解困难问题。它既可用于加密，也可用于签名，在早期互联网安全体系中具有重要地位。

RSA 签名的优点是实现成熟、生态完善、兼容性较强；不足则包括密钥长度较大、运算相对繁重。随着更高效的椭圆曲线方案普及，RSA 在部分场景中的使用比例有所下降。

3.2 DSA 签名

DSA 是基于离散对数问题的标准化签名算法，曾被广泛用于政府和安全协议体系。它通常依赖随机数生成，若随机数质量不足，私钥可能面临严重风险。

DSA 的结构较为经典，但在现代应用中逐渐被更高效的椭圆曲线版本替代。不过，在一些既有系统和标准环境中，它仍然具有一定使用基础。

3.3 ECDSA 签名

ECDSA 是建立在椭圆曲线密码学之上的签名算法，具有密钥更短、性能较好等特点。相较 RSA，它在相同安全强度下通常需要更小的密钥规模，因此适合资源受限环境。

ECDSA 被广泛用于移动设备、传输协议和区块链系统中。不过，它对随机数依赖较强，若随机值泄露或重复，私钥可能被推算出来。

3.4 EdDSA 签名

EdDSA 是一类基于椭圆曲线的现代数字签名方案，强调确定性设计、实现简洁和较好的安全边界。它在减少实现复杂度和降低出错概率方面表现突出。

3.4.1 Ed25519

Ed25519 是 EdDSA 中最常见的实现之一，使用特定曲线和固定参数，兼顾速度、紧凑性与安全性。它在开源软件、通信工具和系统组件中应用广泛。

3.4.2 Ed448

Ed448 属于更高安全级别的变体，采用更大的曲线参数，适用于对长期安全性要求更高的环境。相比 Ed25519，它通常计算开销更高，但安全裕量也更大。

3.5 其他签名算法

除上述主流方案外，还存在多种专用或新兴签名算法，例如基于格、基于哈希或面向特定协议设计的方案。它们常用于研究、特定行业系统或后量子密码过渡研究中。

4 密钥与证书体系

4.1 私钥与公钥

私钥是签名系统中最敏感的部分，必须严格保密。持有私钥的一方才能生成有效签名，因此私钥一旦泄露，攻击者就可能冒充合法主体。

公钥则用于向外公开，供他人验证签名。公钥本身不需要保密，但必须确保其与对应身份的绑定关系真实可靠，否则验证结果即使“正确”，也可能失去意义。

4.2 密钥生成与保存

密钥生成应依赖高质量随机源，并遵循算法要求的参数规范。若随机性不足，密钥可能具有可预测性，从而削弱整个系统的安全性。

在保存方面，私钥通常会放入加密文件、硬件安全模块、智能卡或可信执行环境中。许多系统还会要求使用口令、分割存储或访问控制机制，以减少被窃取的风险。

4.3 数字证书

数字证书是一种用于证明公钥归属关系的电子凭证，通常由可信机构签发。证书中会包含主体身份、公钥、有效期、签发者和若干扩展字段。

它的作用类似于“公钥身份证”。验证者通过证书可以获得公钥，并进一步确认该公钥是否属于某一机构、个人或服务。

4.4 公钥基础设施

公钥基础设施是一整套用于管理密钥、证书和信任关系的制度与技术框架。它不仅涉及算法本身，还包括证书签发、撤销、分发和验证等配套环节。

4.4.1 证书颁发机构

证书颁发机构负责审核申请者身份并签发证书。它的可信度在整个体系中非常关键，因为用户往往并不直接认识证书持有者，而是依赖颁发机构进行背书。

4.4.2 证书吊销机制

当证书失效、私钥泄露或主体信息变化时，证书需要被及时吊销。常见机制包括证书吊销列表和在线状态查询等，用于帮助验证者识别已不应继续信任的证书。

4.4.3 证书链验证

证书链验证是指从终端证书逐级追溯到受信任根证书的过程。只有链条上每一层证书都有效且签名正确，最终的公钥验证结果才具有可信基础。

5 技术特性

5.1 安全性分析

数字签名的安全性不仅取决于算法强弱，还取决于密钥管理、实现质量和整个信任链条的完整性。单独看某个算法安全，并不代表部署后一定安全。

5.1.1 抗伪造能力

抗伪造能力是指攻击者在不知道私钥的情况下难以生成可通过验证的签名。现代数字签名方案通常以此作为核心安全目标之一。

5.1.2 抗篡改能力

签名与原文绑定后，任何内容改动都会导致验证失败。这种特性使其特别适合对合同、配置文件、升级包等需要防止修改的对象进行保护。

5.1.3 抗重放能力

数字签名本身并不总能自动防止重放攻击，但结合时间戳、序列号、会话上下文或一次性随机值后，可显著降低旧签名被重复利用的风险。

5.2 性能与效率

不同签名算法在速度、密钥长度和资源消耗上差异明显。一般来说，椭圆曲线方案在相同安全强度下更紧凑，适合移动端和高并发服务；RSA 则因兼容性好而仍被大量系统使用。

效率还受实现方式影响，例如硬件加速、批量验证、缓存证书链等，都可能改善整体吞吐量。

5.3 兼容性与可移植性

数字签名的可用性往往取决于跨平台支持程度。若算法和编码标准被广泛实现，就更容易在不同操作系统、浏览器、设备和编程语言之间互通。

在实际部署中，兼容性问题常出现在证书格式、签名封装、哈希算法版本和曲线参数选择上。规范统一通常有助于降低集成成本。

6 应用场景

6.1 电子文档签署

在电子文档签署中，数字签名用于确认文档内容与签署人的身份。它常见于合同、审批单、报告、证明材料等场景，便于实现远程签署和留痕管理。

许多系统还会结合时间戳、签署证书和审计日志，以增强签署记录的可追溯性。

6.2 软件发布与代码签名

软件发布时使用代码签名，可以帮助用户确认安装包或更新程序确实来自正规发布者，并且未在分发过程中被篡改。操作系统和应用商店通常会利用这类机制提高下载安全性。

代码签名也有助于减少恶意软件伪装成合法程序的机会，因此在软件供应链安全中占有重要位置。

6.3 安全通信协议

在安全通信协议中，数字签名常用于身份认证、握手协商和证书验证。它能帮助通信双方确认彼此身份，并保护会话建立过程不被中间人伪造。

例如，许多加密传输协议都会依赖签名来证明服务器证书的真实性，避免用户连接到伪装服务。

6.4 金融与电子商务

在金融和电子商务系统中，数字签名常用于交易确认、订单授权、电子票据和身份核验。其优势在于可以建立清晰的责任边界，并为后续争议处理提供技术依据。

随着业务线上化程度提高，签名技术也逐步从后台风控环节扩展到面向用户的操作确认流程。

6.5 区块链与分布式系统

区块链系统依赖数字签名来证明交易发起者的控制权，并确保交易记录不可被随意更改。签名与地址、账户或密钥对直接关联，是多数分布式账本设计的基础组件。

在其他分布式系统中，签名也用于节点认证、消息广播校验和配置同步，以减少未经授权的数据注入。

7 常见问题与攻击方式

7.1 私钥泄露

私钥泄露是数字签名系统中最严重的风险之一。一旦私钥落入攻击者手中，攻击者就能生成看似合法的签名，系统的身份可信度会立即下降。

因此，私钥通常需要采取多层保护，包括访问控制、硬件隔离、备份加密与定期轮换。

7.2 哈希碰撞风险

如果哈希函数出现碰撞，即两个不同消息产生相同摘要，就可能给签名安全带来隐患。攻击者若能构造碰撞文档，可能利用合法签名在另一份内容上制造误导。

因此，选择安全强度足够的哈希算法，是签名系统设计中的重要前提。

7.3 重放攻击

重放攻击是指攻击者截获一份有效签名后，在其他时间或其他上下文中再次提交。若系统只验证签名本身，而不检查时效性或上下文绑定，就可能接受旧请求。

常见防御方法包括加入随机挑战、时间戳、会话编号和业务唯一标识。

7.4 签名替换与篡改

签名替换通常发生在文档、消息或协议封装不严密时。攻击者可能尝试将某份有效签名移动到另一份数据上，或替换其中的参数字段，造成验证语义混乱。

为避免此类问题，签名应覆盖完整的业务上下文，不能只对局部字段签名。

7.5 实现缺陷与侧信道攻击

即使算法本身安全，错误实现仍可能导致漏洞。例如随机数生成不当、参数校验缺失、编码处理错误，都会影响整体安全。

侧信道攻击则是通过时间差、功耗、电磁泄漏等外部特征推测密钥信息。这类问题在硬件设备和嵌入式系统中尤其需要注意。

8 标准与规范

8.1 国际标准

数字签名相关技术已被多项国际标准覆盖，内容涉及算法定义、证书格式、编码规则和应用接口。标准化的好处在于便于不同厂商和系统之间互操作。

常见标准通常围绕算法、密钥长度、安全强度与证书结构展开，以保证在实际部署中具有一致性。

8.2 行业规范

不同行业会根据自身业务特点制定更细化的规范。例如金融、医疗、软件发布和文档存证等领域，往往会对签名算法、证书管理和审计记录提出额外要求。

这些规范的目标，是在通用密码学基础上满足合规、流程和系统集成需要。

8.3 法律效力相关要求

数字签名若要具备法律层面的可接受性，通常需要满足身份可确认、过程可追踪、数据不可篡改和证据可保存等要求。具体规则会因司法辖区和业务类型而有所不同。

在实际应用中，法律效力往往与认证机构资质、签署流程设计以及证据留存机制紧密相关。

9 发展历程

9.1 早期密码学中的签名思想

在现代数字签名出现之前，密码学领域已存在对“验证来源”和“防止伪造”的长期研究。早期方法多依赖人工流程或特定协议完成认证，但自动化程度有限。

这些思想为后来基于数学难题的签名方案奠定了概念基础。

9.2 公钥密码体系的出现

公钥密码体系的提出，使“签名”和“验证”得以使用一对密钥分离实现。这一突破改变了传统密码学依赖共享秘密的局面，也为开放网络中的身份认证提供了现实路径。

自此以后，数字签名从理论构想逐渐成为可大规模部署的技术。

9.3 现代数字签名算法的发展

随着计算能力提升与安全需求变化，数字签名算法经历了从 RSA、DSA 到椭圆曲线方案的演进。后续的发展重点逐渐转向更短密钥、更高效率与更易实现的安全设计。

与此同时，证书体系、协议标准和软件生态也不断完善，使签名技术更加普及。

9.4 轻量化与后量子方向

近年来，数字签名研究开始关注轻量化设备和未来计算环境。前者面向物联网、嵌入式终端等资源受限平台，强调低功耗与小尺寸实现；后者则探索能抵抗更强计算模型的新型算法。