Digital signatur

Et signaturskema består af tre algoritmer: KeyGen giver (sk, pk), Sign(sk, m) giver σ, og Verify(pk, m, σ) svarer accept eller afvis. Sikkerhedsmålet er existential unforgeability under chosen-message attack (EUF-CMA): selv efter at have fået signaturer på beskeder efter eget valg kan en angriber ikke lave en gyldig signatur på en ny besked. I praksis hashes beskeden først (hash-then-sign), så skemaet er aldrig stærkere end hashfunktionens kollisionsresistens; Flame-malwaren (2012) brugte en MD5-kollision med valgt præfiks til at forfalske et kodesigneringscertifikat fra Microsoft.

Den udbredte beskrivelse af en signatur som "at kryptere hashen med den private nøgle" er kun løst sand for lærebogs-RSA og forkert for alt andet. Rigtige RSA-signaturer kræver padding: PKCS#1 v1.5 eller det bevisbart sikre RSA-PSS (RFC 8017), og slap parsing af v1.5-padding muliggjorde Bleichenbachers forfalskningsangreb med lav eksponent i 2006. ECDSA og EdDSA er slet ikke kryptering. FIPS 186-5 (februar 2023) godkender RSA, ECDSA og EdDSA (Ed25519, Ed448) og trækker DSA tilbage til generering af nye signaturer. ECDSA kræver en frisk, hemmelig, ensartet tilfældig nonce for hver signatur; genbruges den, som Sony gjorde ved signering af PS3-firmware i 2010, afslører simpel algebra den private nøgle, og selv få skæve bits muliggør gitterangreb. Deterministiske nonces efter RFC 6979 og EdDSA's hashafledte nonces fjerner afhængigheden af tilfældighedsgeneratoren.

Shors algoritme bryder RSA- og elliptisk-kurve-signaturer på en stor kvantecomputer, så NIST udgav i august 2024 FIPS 204 (ML-DSA, gitterbaseret) og FIPS 205 (SLH-DSA, tilstandsløs hashbaseret); de tilstandsfulde hashbaserede skemaer LMS og XMSS (NIST SP 800-208) bruges allerede til firmwaresignering. Post-kvante-signaturer er meget større (en ML-DSA-65-signatur fylder ca. 3,3 KB mod 64 byte for Ed25519), hvilket påvirker certifikatkæder og TLS-håndtryk.

Driftsmæssigt beviser en signatur kun, at nogen med adgang til den private nøgle har signeret de pågældende bytes, så garantierne hviler på beskyttelsen af nøglen (HSM'er, smartcards) og på, at den offentlige nøgle er knyttet til en identitet via et certifikat. Langtidsgyldighed kræver et betroet tidsstempel (RFC 3161), der beviser, at signaturen fandtes, før certifikatet udløb eller blev tilbagekaldt. Kodesignering (Authenticode, Apples notarisering, Sigstore til open source-artefakter) og dokumentsignering (PAdES, XAdES) bygger på dette. Juridisk skelner eIDAS-forordningen (forordning (EU) nr. 910/2014) mellem elektroniske, avancerede (art. 26) og kvalificerede elektroniske signaturer, og art. 25, stk. 2, giver en kvalificeret elektronisk signatur samme retsvirkning som en håndskrevet underskrift. En digital signatur adskiller sig fra en MAC som HMAC, der bruger en fælles symmetrisk nøgle og derfor giver integritet og autentificering mellem parterne, men ingen uafviselighed over for tredjemand.