Digital Signature Algorithm - Versionsgeschichte

Joschi71: /* Verdeckte Kanäle */ Stil

2025-03-12T17:09:39Z

Verdeckte Kanäle: Stil

← Nächstältere Version		Version vom 12. März 2025, 19:09 Uhr
Zeile 45:		Zeile 45:

	=== Verdeckte Kanäle ===		=== Verdeckte Kanäle ===
	[[Gustavus Simmons]] entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein [[gemeinsames Geheimnis]], ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein ~~boshafter~~ DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.<ref name="Simmons93">G.J. Simmons: ''The Subliminal Channels in the U.S. Digital Signature Algorithm (DSA).'' In: ''Proceedings of the Third Symposium on: State and Progress of Research in Cryptography.'' Fondazione Ugo Bordoni, Rom 1993, S. 35–54.</ref>		[[Gustavus Simmons]] entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein [[gemeinsames Geheimnis]], ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein böswilliger DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.<ref name="Simmons93">G.J. Simmons: ''The Subliminal Channels in the U.S. Digital Signature Algorithm (DSA).'' In: ''Proceedings of the Third Symposium on: State and Progress of Research in Cryptography.'' Fondazione Ugo Bordoni, Rom 1993, S. 35–54.</ref>

	== Einzelnachweise ==		== Einzelnachweise ==

Joschi71: denglisch korrigiert

2025-03-12T17:08:05Z

denglisch korrigiert

← Nächstältere Version		Version vom 12. März 2025, 19:08 Uhr
Zeile 1:		Zeile 1:
	Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in ~~deren~~ ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig.		Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in dessen ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig.

	Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere [[Verschlüsselung]] unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.		Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere [[Verschlüsselung]] unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.
Zeile 40:		Zeile 40:

	=== Anforderungen an Zufallswerte ===		=== Anforderungen an Zufallswerte ===

	Wie bei allen Signaturverfahren, die auf dem diskreten [[Logarithmus#Diskrete Logarithmen\|Logarithmus]] basieren, insbesondere bei Verfahren, die auf [[Elliptische Kurve\|elliptischen Kurven]] beruhen, hängt die Sicherheit ganz wesentlich von den Eigenschaften der berechneten Zufallswerte ab.		Wie bei allen Signaturverfahren, die auf dem diskreten [[Logarithmus#Diskrete Logarithmen\|Logarithmus]] basieren, insbesondere bei Verfahren, die auf [[Elliptische Kurve\|elliptischen Kurven]] beruhen, hängt die Sicherheit ganz wesentlich von den Eigenschaften der berechneten Zufallswerte ab.

Bithisarea: /* growthexperiments-addlink-summary-summary:3|0|0 */

2025-01-16T09:03:09Z

Linkvorschlag-Funktion: 3 Links hinzugefügt.

← Nächstältere Version		Version vom 16. Januar 2025, 11:03 Uhr
Zeile 1:		Zeile 1:
	Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig.		Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig.

	Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.		Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere [[Verschlüsselung]] unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.

	[[Claus-Peter Schnorr]] warf im Rahmen der Standardisierung IEEE P1363 der NIST vor, mit dem von ihr entwickelten Signatur-Verfahren {{lang\|en\|Digital Signature Algorithm}} sein Patent zu verletzen. Dieses galt bis zum Jahre 2008. Vor der Entwicklung des DSA waren Verhandlungen mit Schnorr gescheitert, sein Signatur-Schema zu nutzen. Die Firma [[RSA Security\|RSA]], die eine exklusive Lizenz an Schnorrs Signaturverfahren hält, hätte mit Patentstreitigkeiten ein Diskreter-Logarithmus-Verfahren statt ihres RSA-Systems als Standard erschweren können, scheute aber vermutlich eine offene Konfrontation mit der US-Regierung.		[[Claus-Peter Schnorr]] warf im Rahmen der Standardisierung IEEE P1363 der NIST vor, mit dem von ihr entwickelten Signatur-Verfahren {{lang\|en\|Digital Signature Algorithm}} sein Patent zu verletzen. Dieses galt bis zum Jahre 2008. Vor der Entwicklung des DSA waren Verhandlungen mit Schnorr gescheitert, sein Signatur-Schema zu nutzen. Die Firma [[RSA Security\|RSA]], die eine exklusive Lizenz an Schnorrs Signaturverfahren hält, hätte mit Patentstreitigkeiten ein Diskreter-Logarithmus-Verfahren statt ihres RSA-Systems als Standard erschweren können, scheute aber vermutlich eine offene Konfrontation mit der US-Regierung.
Zeile 11:		Zeile 11:
	# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.		# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.
	# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.		# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.
	# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> teilerfremd zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler von <math>q</math> sein.)		# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> [[Teilerfremdheit\|teilerfremd]] zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler von <math>q</math> sein.)

	Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.		Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.
Zeile 46:		Zeile 46:

	=== Verdeckte Kanäle ===		=== Verdeckte Kanäle ===
	[[Gustavus Simmons]] entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein gemeinsames Geheimnis, ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein boshafter DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.<ref name="Simmons93">G.J. Simmons: ''The Subliminal Channels in the U.S. Digital Signature Algorithm (DSA).'' In: ''Proceedings of the Third Symposium on: State and Progress of Research in Cryptography.'' Fondazione Ugo Bordoni, Rom 1993, S. 35–54.</ref>		[[Gustavus Simmons]] entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein [[gemeinsames Geheimnis]], ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein boshafter DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.<ref name="Simmons93">G.J. Simmons: ''The Subliminal Channels in the U.S. Digital Signature Algorithm (DSA).'' In: ''Proceedings of the Third Symposium on: State and Progress of Research in Cryptography.'' Fondazione Ugo Bordoni, Rom 1993, S. 35–54.</ref>

	== Einzelnachweise ==		== Einzelnachweise ==

Boobarkee: kongruente Formulierung wie zu Beginn des Satzes erleichtert das Lesen

2024-07-18T16:31:08Z

kongruente Formulierung wie zu Beginn des Satzes erleichtert das Lesen

← Nächstältere Version		Version vom 18. Juli 2024, 18:31 Uhr
Zeile 41:		Zeile 41:
	=== Anforderungen an Zufallswerte ===		=== Anforderungen an Zufallswerte ===

	Wie bei allen Signaturverfahren, die auf dem diskreten [[Logarithmus#Diskrete Logarithmen\|Logarithmus]] basieren, insbesondere ~~für~~ Verfahren, die auf [[Elliptische Kurve\|elliptischen Kurven]] beruhen, hängt die Sicherheit ganz wesentlich von den Eigenschaften der berechneten Zufallswerte ab.		Wie bei allen Signaturverfahren, die auf dem diskreten [[Logarithmus#Diskrete Logarithmen\|Logarithmus]] basieren, insbesondere bei Verfahren, die auf [[Elliptische Kurve\|elliptischen Kurven]] beruhen, hängt die Sicherheit ganz wesentlich von den Eigenschaften der berechneten Zufallswerte ab.

	Für jede Signatur muss ein Zufallswert <math>k</math> generiert werden. Dieser muss ausreichend [[Entropie (Kryptologie)\|Entropie]] besitzen, geheim gehalten werden und darf nur einmal verwendet werden. Diese Anforderungen sind kritisch: Wird der Wert <math>k</math> bekannt, so kann aus der Signatur der geheime Signaturschlüssel berechnet werden: <math>x = (k \cdot s - H(m)) \cdot r^{-1} \mod q</math>. Das ist ebenfalls möglich, wenn der gleiche Wert zweimal verwendet wird. Aus zwei mit dem gleichen <math>k</math> signierten Nachrichten <math>m_1, m_2</math> mit Signaturen <math>(r, s_1), (r, s_2)</math> kann <math>k = (H(m_1) - H(m_2)) / (s_1 - s_2)</math> berechnet werden. Damit wird dann wie eben <math>x</math> berechnet. Falls <math>k</math> nur geringe Entropie hat, kann ein Angreifer für jedes mögliche <math>k</math> einen geheimen Schlüssel berechnen und dann mit Hilfe des öffentlichen Verifikationsschlüssels testen, welcher davon der richtige ist.		Für jede Signatur muss ein Zufallswert <math>k</math> generiert werden. Dieser muss ausreichend [[Entropie (Kryptologie)\|Entropie]] besitzen, geheim gehalten werden und darf nur einmal verwendet werden. Diese Anforderungen sind kritisch: Wird der Wert <math>k</math> bekannt, so kann aus der Signatur der geheime Signaturschlüssel berechnet werden: <math>x = (k \cdot s - H(m)) \cdot r^{-1} \mod q</math>. Das ist ebenfalls möglich, wenn der gleiche Wert zweimal verwendet wird. Aus zwei mit dem gleichen <math>k</math> signierten Nachrichten <math>m_1, m_2</math> mit Signaturen <math>(r, s_1), (r, s_2)</math> kann <math>k = (H(m_1) - H(m_2)) / (s_1 - s_2)</math> berechnet werden. Damit wird dann wie eben <math>x</math> berechnet. Falls <math>k</math> nur geringe Entropie hat, kann ein Angreifer für jedes mögliche <math>k</math> einen geheimen Schlüssel berechnen und dann mit Hilfe des öffentlichen Verifikationsschlüssels testen, welcher davon der richtige ist.

Matthäus Wander: Änderung 232316780 von Franz Scheerer aus Wiesbaden rückgängig gemacht; gelöschten Inhalt wiederhergestellt

2023-09-13T15:53:11Z

Änderung 232316780 von Franz Scheerer aus Wiesbaden rückgängig gemacht; gelöschten Inhalt wiederhergestellt

← Nächstältere Version		Version vom 13. September 2023, 17:53 Uhr
Zeile 45:		Zeile 45:
	Für jede Signatur muss ein Zufallswert <math>k</math> generiert werden. Dieser muss ausreichend [[Entropie (Kryptologie)\|Entropie]] besitzen, geheim gehalten werden und darf nur einmal verwendet werden. Diese Anforderungen sind kritisch: Wird der Wert <math>k</math> bekannt, so kann aus der Signatur der geheime Signaturschlüssel berechnet werden: <math>x = (k \cdot s - H(m)) \cdot r^{-1} \mod q</math>. Das ist ebenfalls möglich, wenn der gleiche Wert zweimal verwendet wird. Aus zwei mit dem gleichen <math>k</math> signierten Nachrichten <math>m_1, m_2</math> mit Signaturen <math>(r, s_1), (r, s_2)</math> kann <math>k = (H(m_1) - H(m_2)) / (s_1 - s_2)</math> berechnet werden. Damit wird dann wie eben <math>x</math> berechnet. Falls <math>k</math> nur geringe Entropie hat, kann ein Angreifer für jedes mögliche <math>k</math> einen geheimen Schlüssel berechnen und dann mit Hilfe des öffentlichen Verifikationsschlüssels testen, welcher davon der richtige ist.		Für jede Signatur muss ein Zufallswert <math>k</math> generiert werden. Dieser muss ausreichend [[Entropie (Kryptologie)\|Entropie]] besitzen, geheim gehalten werden und darf nur einmal verwendet werden. Diese Anforderungen sind kritisch: Wird der Wert <math>k</math> bekannt, so kann aus der Signatur der geheime Signaturschlüssel berechnet werden: <math>x = (k \cdot s - H(m)) \cdot r^{-1} \mod q</math>. Das ist ebenfalls möglich, wenn der gleiche Wert zweimal verwendet wird. Aus zwei mit dem gleichen <math>k</math> signierten Nachrichten <math>m_1, m_2</math> mit Signaturen <math>(r, s_1), (r, s_2)</math> kann <math>k = (H(m_1) - H(m_2)) / (s_1 - s_2)</math> berechnet werden. Damit wird dann wie eben <math>x</math> berechnet. Falls <math>k</math> nur geringe Entropie hat, kann ein Angreifer für jedes mögliche <math>k</math> einen geheimen Schlüssel berechnen und dann mit Hilfe des öffentlichen Verifikationsschlüssels testen, welcher davon der richtige ist.

	=== ~~Einzelnachweise~~ ===		=== Verdeckte Kanäle ===
			[[Gustavus Simmons]] entdeckte mehrere verdeckte Kanäle in DSA. Damit kann ein Implementierer eine Nachricht in eine Unterschrift einschleusen, die nur jemand lesen kann, der den Schlüssel des verdeckten Kanals kennt. Kennt der Empfänger der Nachricht den geheimen Signaturschlüssel, ist der Kanal breitbandig. Teilen sich Sender und Empfänger ein gemeinsames Geheimnis, ohne dass der Empfänger den geheimen Signaturschlüssel kennt, ist der Kanal schmalbandig. Laut Simmons sei es ein „bemerkenswerter Zufall“, dass die offensichtlichen Nachteile beim El-Gamal-Verfahren in DSS alle überwunden werden können und dass DSS die „günstigsten Voraussetzungen für verdeckte Kommunikation bietet, die bis heute entdeckt wurden“. Weder das NIST noch die NSA äußerten sich zu dem Vorwurf. Da ein boshafter DSS-Entwickler über den verdeckten Kanal mit jeder Signatur Teile des geheimen Schlüssels versenden kann, darf man nur DSS-Implementierungen trauen, deren Entwicklern man völlig vertraut.<ref name="Simmons93">G.J. Simmons: ''The Subliminal Channels in the U.S. Digital Signature Algorithm (DSA).'' In: ''Proceedings of the Third Symposium on: State and Progress of Research in Cryptography.'' Fondazione Ugo Bordoni, Rom 1993, S. 35–54.</ref>

			== Einzelnachweise ==
	<references />		<references />

Matthäus Wander: Privatmeinung entfernt

2023-09-13T15:52:40Z

Privatmeinung entfernt

← Nächstältere Version		Version vom 13. September 2023, 17:52 Uhr
Zeile 1:		Zeile 1:
	Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig~~. DSA kann durch die [[Schnorr-Signatur]] ersetzt werden. Die Schnorr-Signatur erfordert nur einen 128-Bit-Hashwert wie zum Beispiel [[MD5]] oder 128 Bits von [[SHA-3]]~~.		Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig.

	Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das ~~'''~~Exportverbot starker Verschlüsselungsalgorithmen~~'''~~, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.		Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das Exportverbot starker Verschlüsselungsalgorithmen, dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.

	[[Claus-Peter ~~Schnorr\|Der Erfinder Professor~~ Schnorr]] warf im Rahmen der Standardisierung IEEE P1363 der NIST vor, mit dem von ihr entwickelten Signatur-Verfahren {{lang\|en\|Digital Signature Algorithm}} sein Patent zu verletzen. Dieses galt bis zum Jahre 2008. Vor der Entwicklung des DSA waren Verhandlungen mit Schnorr gescheitert, sein Signatur-Schema zu nutzen. Die Firma [[RSA Security\|RSA]], die eine exklusive Lizenz an Schnorrs Signaturverfahren hält, hätte mit Patentstreitigkeiten ein Diskreter-Logarithmus-Verfahren statt ihres RSA-Systems als Standard erschweren können, scheute aber vermutlich eine offene Konfrontation mit der US-Regierung.		[[Claus-Peter Schnorr]] warf im Rahmen der Standardisierung IEEE P1363 der NIST vor, mit dem von ihr entwickelten Signatur-Verfahren {{lang\|en\|Digital Signature Algorithm}} sein Patent zu verletzen. Dieses galt bis zum Jahre 2008. Vor der Entwicklung des DSA waren Verhandlungen mit Schnorr gescheitert, sein Signatur-Schema zu nutzen. Die Firma [[RSA Security\|RSA]], die eine exklusive Lizenz an Schnorrs Signaturverfahren hält, hätte mit Patentstreitigkeiten ein Diskreter-Logarithmus-Verfahren statt ihres RSA-Systems als Standard erschweren können, scheute aber vermutlich eine offene Konfrontation mit der US-Regierung.

	== Funktionsweise ==		== Funktionsweise ==

Windharp: Änderung 235775833 von 94.114.243.248 rückgängig gemacht; Das ist doch die Definition von Teiler?

2023-08-16T08:29:26Z

Änderung 235775833 von 94.114.243.248 rückgängig gemacht; Das ist doch die Definition von Teiler?

← Nächstältere Version		Version vom 16. August 2023, 10:29 Uhr
Zeile 11:		Zeile 11:
	# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.		# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.
	# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.		# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.
	# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> teilerfremd zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler ~~kleiner q und größer als eins~~ von <math>q</math> sein.)		# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> teilerfremd zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler von <math>q</math> sein.)

	Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.		Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.

2.204.118.182: /* Einzelnachweise */ Changed dead link to original doc to alive one

2023-08-16T07:55:27Z

Einzelnachweise: Changed dead link to original doc to alive one

← Nächstältere Version		Version vom 16. August 2023, 09:55 Uhr
Zeile 1:		Zeile 1:
	Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>~~{{Webarchiv \|url=http~~:/~~/www~~.~~itl~~.~~nist.gov/fipspubs/fip186.htm~~ \|~~text=~~FIPS-186 ~~\|archiv-bot=2019-04-06 18:16:37 InternetArchiveBot \|webciteID=66kuhq8Pb}}, die erste Version des Standards.~~</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig. DSA kann durch die [[Schnorr-Signatur]] ersetzt werden. Die Schnorr-Signatur erfordert nur einen 128-Bit-Hashwert wie zum Beispiel [[MD5]] oder 128 Bits von [[SHA-3]].		Der {{lang\|en\|'''Digital Signature Algorithm'''}} ('''DSA'''; {{deS\|„Digitaler Signaturalgorithmus“}}) ist ein Standard der [[Bundesregierung (Vereinigte Staaten)\|US-Regierung]] für [[Digitale Signatur]]en. Er wurde vom [[National Institute of Standards and Technology]] (NIST) im August 1991 für die Verwendung in deren ''{{lang\|en\|Digital Signature Standard}} (DSS)'' empfohlen. Der DSS enthielt neben dem DSA (ursprünglich der einzige im DSS definierte [[Algorithmus]]) als weitere Algorithmen die [[RSA-Kryptosystem\|RSA-Signatur]] und [[Elliptic Curve DSA\|ECDSA]]. Der DSS wurde zuerst in [[Federal Information Processing Standard\|FIPS]]-PUB 186<ref>[[doi:10.6028/NIST.FIPS.186\|FIPS-186]]</ref> veröffentlicht und zuletzt wurde FIPS-PUB 186-4<ref name="FIPS186-4">[http://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.186-4.pdf FIPS-186-4] (PDF; 776 kB), die vierte Revision.</ref> durch PUB 186-5<ref name="FIPS186-5">[https://csrc.nist.gov/publications/detail/fips/186/5/final FIPS-186-5] die aktuelle Revision.</ref> überarbeitet und ersetzt. Mit der Version 186-5 ist DSA ohne [[Elliptische Kurve\|elliptische Kurven]] nicht mehr zulässig. DSA kann durch die [[Schnorr-Signatur]] ersetzt werden. Die Schnorr-Signatur erfordert nur einen 128-Bit-Hashwert wie zum Beispiel [[MD5]] oder 128 Bits von [[SHA-3]].

	Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das '''Exportverbot starker Verschlüsselungsalgorithmen''', dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.		Entworfen wurde er von der [[National Security Agency\|NSA]] im Rahmen des Versuchs der US-Regierung, hochsichere Verschlüsselung unter Kontrolle zu bringen. Bestandteil dieser Strategie war auch das '''Exportverbot starker Verschlüsselungsalgorithmen''', dessen Missachtung strafrechtlich verfolgt wurde. Der DSA basiert auf dem [[Diskreter Logarithmus\|diskreten Logarithmus]] in endlichen Körpern. Er orientiert sich am [[Elgamal-Signaturverfahren]] und ist verwandt mit der [[Schnorr-Signatur]]. Die Übertragung des DSA auf elliptische Kurven wird als '''ECDSA''' ({{lang\|en\|[[Elliptic Curve Cryptography\|Elliptic Curve]] Digital Signature Algorithm}}) bezeichnet und ist in ANSI X9.62 standardisiert.

94.114.243.248: /* Parameter erzeugen klein q und größer eins um genau zu sein*/

2023-07-24T17:36:50Z

Parameter erzeugen klein q und größer eins um genau zu sein

← Nächstältere Version		Version vom 24. Juli 2023, 19:36 Uhr
Zeile 11:		Zeile 11:
	# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.		# Wähle eine Primzahl <math>q\,</math> der Länge <math>N\,</math> bit.
	# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.		# Wähle eine Primzahl <math>p\,</math> der Länge <math>L\,</math> bit, so dass <math>p-1</math> ein Vielfaches von <math>q\,</math> ist.
	# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> teilerfremd zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler von <math>q</math> sein.)		# Wähle ein <math>g</math>, das die [[Ordnung eines Gruppenelementes\|Ordnung]] <math>q</math> in der [[Einheitengruppe]] <math>(\Z/p\Z)^{\times}</math> hat. Ein einfacher Weg, dies sicherzustellen ist, zuerst ein Gruppenelement <math>h\,</math> mit <math>1<h<p-1\,</math> und <math>h^{\frac{p-1}{q}}\mod p\neq 1</math> zu finden und dann <math>g=h^{\frac{p-1}{q}}\mod p</math> zu setzen. Die gewünschte Eigenschaft folgt dann aus dem [[Satz von Lagrange]] (Weil <math>h</math> teilerfremd zur Primzahl <math>p</math> ist, muss nach dem [[Kleiner fermatscher Satz\|Kleinen Satz von Fermat]] <math>g^q=h^{p-1}=1 \mod p</math> sein – die Ordnung von <math>g</math> kann also höchstens <math>q</math> sein. Da <math>q</math> prim ist, kann die Ordnung von <math>g</math> kein Teiler kleiner q und größer als eins von <math>q</math> sein.)

	Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.		Die Parameter <math>(p, q, g)</math> sind öffentlich und können von mehreren Benutzern verwendet werden.

Franz Scheerer aus Wiesbaden: /* Funktionsweise */ Der neueste Standard FIPS PUB 186-5 lässt DSA ohne elliptische Kurven nicht mehr zu.

2023-04-04T17:38:56Z

Funktionsweise: Der neueste Standard FIPS PUB 186-5 lässt DSA ohne elliptische Kurven nicht mehr zu.

← Nächstältere Version		Version vom 4. April 2023, 19:38 Uhr
Zeile 6:		Zeile 6:

	== Funktionsweise ==		== Funktionsweise ==
	Für DSA wird ein Hashverfahren <math>H</math> und eine mathematische [[Gruppe (Mathematik)\|Gruppe]] benötigt. Als Hashverfahren war ursprünglich nur [[Secure Hash Algorithm\|SHA-1]] zugelassen, in neueren Versionen des Standards wurde auch [[SHA-2]] zugelassen. Die Wahl der Gruppe hängt von zwei Parametern <math>L</math> und <math>N</math> ab, die die Sicherheit des Verfahrens bestimmen. Im ursprünglichen Standard wird <math>512\leq L\leq 1024</math> und <math>N = 160</math> gefordert, wobei <math>L</math> ein Vielfaches von 64 sein muss. Der ~~aktuelle~~ Standard lässt folgende Kombinationen von <math>L</math> und <math>N</math> zu: (1024, 160), (2048, 224), (2048, 256), (3072, 256). <math>N</math> darf höchstens so groß sein wie die Ausgabelänge des Hashalgorithmus.		Für DSA wird ein Hashverfahren <math>H</math> und eine mathematische [[Gruppe (Mathematik)\|Gruppe]] benötigt. Als Hashverfahren war ursprünglich nur [[Secure Hash Algorithm\|SHA-1]] zugelassen, in neueren Versionen des Standards wurde auch [[SHA-2]] zugelassen. Die Wahl der Gruppe hängt von zwei Parametern <math>L</math> und <math>N</math> ab, die die Sicherheit des Verfahrens bestimmen. Im ursprünglichen Standard wird <math>512\leq L\leq 1024</math> und <math>N = 160</math> gefordert, wobei <math>L</math> ein Vielfaches von 64 sein muss. Der noch gültige Standard lässt folgende Kombinationen von <math>L</math> und <math>N</math> zu: (1024, 160), (2048, 224), (2048, 256), (3072, 256). <math>N</math> darf höchstens so groß sein wie die Ausgabelänge des Hashalgorithmus.

	=== Parameter erzeugen ===		=== Parameter erzeugen ===