Digital Signature Algorithm

1. Wähle eine Primzahl ${\displaystyle q\,}$ der Länge ${\displaystyle N\,}$ bit.
2. Wähle eine Primzahl ${\displaystyle p\,}$ der Länge ${\displaystyle L\,}$ bit, so dass ${\displaystyle p-1}$ ein Vielfaches von ${\displaystyle q\,}$ ist.
3. Wähle ein ${\displaystyle g}$, das die Ordnung ${\displaystyle q}$ in der Einheitengruppe ${\displaystyle (\mathbb {Z} /p\mathbb {Z} )^{\times }}$ hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement ${\displaystyle h\,}$ mit ${\displaystyle 1<h<p-1\,}$ und ${\displaystyle h^{\frac {p-1}{q}}\mod p\neq 1}$ zu finden und dann ${\displaystyle g=h^{\frac {p-1}{q}}\mod p}$ zu setzen. Die gewünschte Eigenschaft folgt dann aus dem Satz von Lagrange (Weil ${\displaystyle h}$ teilerfremd zur Primzahl ${\displaystyle p}$ ist, muss nach dem Kleinen Satz von Fermat ${\displaystyle g^{q}=h^{p-1}=1\mod p}$ sein – die Ordnung von ${\displaystyle g}$ kann also höchstens ${\displaystyle q}$ sein. Da ${\displaystyle q}$ prim ist, kann die Ordnung von ${\displaystyle g}$ kein Teiler von ${\displaystyle q}$ sein.)

Die Parameter ${\displaystyle (p,q,g)}$ sind öffentlich und können von mehreren Benutzern verwendet werden.

1. Wähle ein zufälliges ${\displaystyle x\,}$ für das gilt: ${\displaystyle 1<x<q\,}$
2. Berechne ${\displaystyle y=g^{x}\mod p}$

Der Verifikationsschlüssel ${\displaystyle y\,}$ wird veröffentlicht (öffentlicher Schlüssel), der Signaturschlüssel ${\displaystyle x\,}$ muss geheim bleiben, da es der geheime Schlüssel ist.

Um die Nachricht ${\displaystyle m\,}$ zu signieren, reicht es auch, ihren Hashwert ${\displaystyle H(m)}$ zu signieren.

1. Wähle für jede zu signierende Nachricht ein zufälliges ${\displaystyle k\,}$ mit ${\displaystyle 1<k<q\,}$
2. Berechne ${\displaystyle r=(g^{k}\mod p)\mod q}$; ist ${\displaystyle r=0}$ so muss ein neues ${\displaystyle k}$ gewählt werden.
3. Berechne ${\displaystyle s=k^{-1}\cdot (H(m)+r\cdot x)\mod q}$; ist ${\displaystyle s=0}$ so muss ebenfalls neu mit Schritt 1 begonnen werden

Die Signatur der Nachricht ist das Tupel ${\displaystyle (r,s)\,}$. Der Wert ${\displaystyle k}$ muss geheim gehalten werden, darf nicht leicht zu erraten sein und darf nicht wiederverwendet werden, da sonst der geheime Signaturschlüssel ${\displaystyle x}$ berechnet werden kann (s. Abschnitt Sicherheit).

Gegeben ist eine Signatur ${\displaystyle (r,s)}$ sowie die Nachricht ${\displaystyle m\,}$.

1. Überprüfe, ob ${\displaystyle 0<r<q}$ und ${\displaystyle 0<s<q}$. Ist das nicht der Fall, weise die Signatur als ungültig zurück.
2. Berechne ${\displaystyle w=s^{-1}\mod q}$
3. Berechne ${\displaystyle u_{1}=H(m)\cdot w\mod q}$
4. Berechne ${\displaystyle u_{2}=r\cdot w\mod q}$
5. Berechne ${\displaystyle v=(g^{u_{1}}\cdot y^{u_{2}}\mod p)\mod q}$
6. Wenn ${\displaystyle v=r\,}$, dann ist die Signatur gültig, sonst ungültig.

Wie bei allen Signaturverfahren, die auf dem diskreten Logarithmus basieren, insbesondere für Verfahren, die auf elliptischen Kurven beruhen, hängt die Sicherheit ganz wesentlich von den Eigenschaften der berechneten Zufallswerte ab.

Für jede Signatur muss ein Zufallswert ${\displaystyle k}$ generiert werden. Dieser muss ausreichend Entropie besitzen, geheim gehalten werden und darf nur einmal verwendet werden. Diese Anforderungen sind kritisch: Wird der Wert ${\displaystyle k}$ bekannt, so kann aus der Signatur der geheime Signaturschlüssel berechnet werden: ${\displaystyle x=(k\cdot s-H(m))\cdot r^{-1}\mod q}$. Das ist ebenfalls möglich, wenn der gleiche Wert zweimal verwendet wird. Aus zwei mit dem gleichen ${\displaystyle k}$ signierten Nachrichten ${\displaystyle m_{1},m_{2}}$ mit Signaturen ${\displaystyle (r,s_{1}),(r,s_{2})}$ kann ${\displaystyle k=(H(m_{1})-H(m_{2}))/(s_{1}-s_{2})}$ berechnet werden. Damit wird dann wie eben ${\displaystyle x}$ berechnet. Falls ${\displaystyle k}$ nur geringe Entropie hat, kann ein Angreifer für jedes mögliche ${\displaystyle k}$ einen geheimen Schlüssel berechnen und dann mit Hilfe des öffentlichen Verifikationsschlüssels testen, welcher davon der richtige ist.

Gustavus Simmons entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein gemeinsames Geheimnis, ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein boshafter DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.[4]