Kriptografide **Eliptik Eğri Dijital İmza Algoritması** (**ECDSA**), eliptik eğri şifrelemesi kullanan birçok çeşit Dijital İmza Algoritması (DSA) sunar.

DSA ile anahtar ve imza boyut karşılaştırması
---------------------------------------------

Genel olarak eliptik eğri kriptografisinde olduğu gibi, açık anahtarın bit boyutu ECDSA için yeterli olduğu düşünülen güvenlik seviyesinin bitlerin yaklaşık iki katı kadardır. Örneğin, 80 bitlik bir güvenlik düzeyinde bir ECDSA' nın (yani saldırganın gizli anahtarı bulmak için maksimum {\displaystyle 2^{80}}operasyon deneme yapması gerektiği anlamına gelir) genel anahtarının boyutu 160 bit olurken, bir DSA genel anahtarının boyutu en az 1024 bit'tir. Öte yandan, güvenlik seviyesinin {\displaystyle {t}} uzunluğunda olduğu hem DSA hem de ECDSA için imza boyutu yaklaşık {\displaystyle 4t}olur, başka bir deyişle 80 bit güvenlik düzeyi için yaklaşık 320 bitlik imza gerekir.

İmza oluşturma algoritması
--------------------------

Diyelim ki Alice, Bob'a imzalı bir mesaj göndermek istiyor. İlk olarak, eğri parametreleri olan {\displaystyle {\displaystyle ({\textrm {CURVE}},G,n)}}üzerinde anlaşmalıdırlar. Cisme ve eğri eşitliğine ek olarak, eğri üzerinde asal mertebenin temel noktası olan G ve G' nin çarpımsal mertebesi olan n' ye ihtiyaç vardır.

| Parametre |  |
| --- | --- |
| EĞRİ | eliptik eğri alanı ve kullanılan denklem |
| *G,* | eliptik eğri taban noktası, ör: {\displaystyle y^{2}=x^{3}+7}, n. mertebeden çok büyük bir asal ile eliptik eğri üreticisi. |
| *n* | G' nin tam sayı mertebesi, yani {\displaystyle nxG=O}, burada {\displaystyle O}tanımlayıcı elemandır. |
| dA | Rastgele seçilmiş gizli anahtar |
| Qa | Eliptik eğriden hesaplanmış açık anahtar |
| m | mesaj |

{\displaystyle n} asal bir sayı olmak zorundadır. Aslında, {\displaystyle \mathbb {Z} /n\mathbb {Z} }halkasının sıfırdan farklı her elemanının tersine olduğunu varsayarız, yani {\displaystyle \mathbb {Z} /n\mathbb {Z} } cisim olmak zorundadır. Buda bize {\displaystyle n}' nin asal olması gerektiğini gösterir. (bkn. Bézout Teoremi)

Alice, {\displaystyle [1,n-1]} aralığından rastgele seçilmiş özel anahtar olan {\displaystyle d\_{A}} 'yı ve eğrinin public keyi olan {\displaystyle Q\_{A}=d\_{A}\times G} içeren bir anahtar çifti oluşturur. {\displaystyle \times }, eliptik eğri skaler nokta çarpımını temsil eder.

Alice, {\displaystyle m}mesajını imzalayabilmesi için aşağıdaki adımları takip etmelidir:

1. {\displaystyle e=HASH(m)}'yi hesaplar. (Burada HASH Kriptografik özet fonksiyonu temsil eder.)
2. {\displaystyle z}, {\displaystyle e} 'in en solundaki bitleri olan {\displaystyle L\_{n}} olsun; burada {\displaystyle L\_{n}} n. mertebeden bir grubun mertebesi olsun.
3. {\displaystyle [1,n-1]} arasından kriptografik olarak güvenli rastgele bir tam sayı {\displaystyle k} seçer.
4. Eğri noktaları olan {\displaystyle (x\_{1},y\_{1})=k\times G} hesaplar.
5. {\displaystyle r=x\_{1}{\bmod {n}}} hesaplanır. Eğer {\displaystyle r=0} ise 3. adıma geri dönülür.
6. {\displaystyle s=k^{-1}(z+rd\_{A}){\bmod {n}}} hesaplanır. Eğer {\displaystyle s=0} ise 3.adıma geri dönülür.
7. İmza çifte {\displaystyle (r,s)} olur. Ayrıca {\displaystyle (r,-s{\bmod {n}})} de uygun bir imza çiftidir.

Standartların belirttiği gibi, {\displaystyle k}' nın sadece gizli olması yeterli değildir, aynı zamanda farklı imzalar için farklı {\displaystyle k} seçilmesi de önemlidir, aksi takdirde 6. adımdaki denklemde {\displaystyle d\_{A}} özel anahtarını çözülebilir: Bilinmeyen aynı {\displaystyle k} değeri ve bilinen iki farklı {\displaystyle m} ve {\displaystyle m'} kullanılarak üretilen farklı iki imza olan {\displaystyle (r,s)} ve {\displaystyle (r,s')} için saldırgan {\displaystyle z} ve {\displaystyle z'} hesaplayabilir ve saldırgan {\displaystyle s-s'=k^{-1}(z-z')} formülünden {\displaystyle k={\frac {z-z'}{s-s'}}} hesaplayabilir. Şimdi ise saldırgan {\displaystyle s=k^{-1}(z+rd\_{A})} formülü üzerinde düzenleme yaparak özel anahtar olan {\displaystyle d\_{A}={\frac {sk-z}{r}}}' yı elde edebilir. Bu uygulama hatası, örneğin PlayStation 3 oyun konsolu için kullanılan imzalama anahtarını çıkarmak için kullanıldı. ECDSA imzasının özel anahtarları sızdırabilmesinin bir başka yolu, {\displaystyle k} hatalı bir rastgele sayı üreteci tarafından üretilir. Rastgele sayı üretmedeki bu tür bir başarısızlık, Android Bitcoin Cüzdan kullanıcılarının Ağustos 2013' te fonlarını kaybetmelerine neden oldu. {\displaystyle k} 'nın her mesaj için benzersiz olmasını sağlamak için, bir kişi rastgele sayı üretimini tamamen atlayabilir ve {\displaystyle k} 'yı hem mesajdan hem de özel anahtardan türeterek deterministik imzalar oluşturabilir.

İmza doğrulama algoritması
--------------------------

Bob'un Alice'in imzasını doğrulaması için açık anahtar eğri noktası olan {\displaystyle Q\_{A}} bir kopyasına sahip olması gerekir. Bob, {\displaystyle Q\_{A}} 'nun geçerli bir eğri noktası olduğunu şu şekilde doğrulayabilir:

1. {\displaystyle Q\_{A}} nın {\displaystyle O} kimlik elemanına eşit olmadığını kontrol eder.
2. {\displaystyle Q\_{A}} nın eğri üzerinde olduğunu kontrol eder.
3. {\displaystyle n\times Q\_{A}=O} olduğunu kontrol eder.

Ardından Bob şu adımları izler:

1. {\displaystyle r} ve {\displaystyle s} 'nin {\displaystyle [1,n-1]} aralığında tam sayılar olduğunu doğrular. Değilse, imza geçersizdir.
2. {\displaystyle e=HASH(m)} 'yi hesaplar. Burada HASH imza üretirken kullanılan ile aynı kriptografik özet fonksiyonu temsil eder.
3. {\displaystyle z}, {\displaystyle e}'in en solundaki bitleri olan {\displaystyle L\_{n}} olsun
4. {\displaystyle w=s^{-1}{\bmod {n}}} hesaplar.
5. {\displaystyle u\_{1}=zw{\bmod {n}}} ve {\displaystyle u\_{2}=rw{\bmod {n}}}' yi hesaplar.
6. {\displaystyle {\displaystyle (x\_{1},y\_{1})=u\_{1}\times G+u\_{2}\times Q\_{A}}}eğri noktalarını hesaplar. Eğer {\displaystyle {\displaystyle (x\_{1},y\_{1})=O}} ise imza geçersizdir.
7. Eğer {\displaystyle r\equiv x\_{1}{\pmod {n}}} ise imza geçerli, değilse geçersizdir.

Shamir' in numarasını kullanarak, iki skaler çarpımın toplamını yani {\displaystyle u\_{1}\times G+u\_{2}\times Q\_{A}}, bağımsız olarak yapılan iki skaler çarpımından daha hızlı hesaplanabileceğini unutmayın.

Algoritmanın doğruluğu
----------------------

Doğrulamanın neden doğru şekilde çalıştığı çok belli değildir. Nedenini görmek için, doğrulamanın 6. adımında hesaplanan eğri noktasını {\displaystyle C} olarak belirtelim:

{\displaystyle C=u\_{1}\times G+u\_{2}\times Q\_{A}}

Açık anahtarın {\displaystyle Q\_{A}=d\_{A}\times G} tanımından,

{\displaystyle C=u\_{1}\times G+u\_{2}d\_{A}\times G}

elde edilir. Eliptik eğride skaler çarpımın toplama üzerine dağılma özelliğinden,

{\displaystyle C=(u\_{1}+u\_{2}d\_{A})\times G}

{\displaystyle u\_{1}}ve {\displaystyle u\_{2}}' nin doğrulamanın 5.adımındaki tanımını açarsak,

{\displaystyle C=(zs^{-1}+rd\_{A}s^{-1})\times G}

buradan {\displaystyle s^{-1}} parantezine alındığında,

{\displaystyle C=(z+rd\_{A})s^{-1}\times G}

s' nin imzanın 6. adımdaki tanımını açarsak,

{\displaystyle C=(z+rd\_{A})(z+rd\_{A})^{-1}(k^{-1})^{-1}\times G}

Bir elemanın tersinin tersi kendisini verir ve bir elemanın tersi ile kendisinin çarpımı birim elemanı vereceğinden,

{\displaystyle C=k\times G}

{\displaystyle r}' nin tanımından bu, doğrulama adımı 7'dir.

Güvenlik
--------

Aralık 2010'da, kendini "fail0verflow" diye adlandıran bir grup, Sony tarafından üretilen PlayStation 3 oyun konsolunun yazılımını imzalamak için kullanılan ECDSA özel anahtarının kırıldığını duyurdu ancak bu saldırı yalnızca Sony algoritmayı düzgün şekilde uygulamadığı için gerçekleşti çünkü {\displaystyle k} rastgele değil sabit seçilmişti. Yukarıdaki İmza oluşturma algoritması bölümünde belirtildiği gibi, bu, {\displaystyle d\_{A}} 'yı çözülebilir hale ve tüm algoritmayı işe yaramaz hale getirir.

29 Mart 2011 tarihinde, iki araştırmacı, bir zamanlama saldırısı yaparak binary alan üzerinden ECDSA ile kimlik doğrulaması yapan OpenSSL kullanarak sunucunun TLS özel anahtarını almanın mümkün olduğunu gösteren bir IACR makalesi yayınladı. Güvenlik açığı, OpenSSL 1.0.0e' de düzeltildi.

Ağustos 2013’te, Java SecureRandom sınıfının bazı uygulamalarındaki hataların bazen {\displaystyle k} değerinde çakışma(collision) ürettiği ortaya çıktı. Bu, bilgisayar korsanlarının, kendilerine ait anahtarların sahiplerinin sahip olduğu bitcoin işlemleri üzerinde aynı kontrolü sağlayan özel anahtarı kırma izin verdi; aynı şekilde, Java kullanan ve ECDSA' nın kimliğini doğrulamak için kullanan ve bazı Android uygulama uygulamalarında PS3 imzalama anahtarını ortaya çıkarmak için kullanıldı.

Bu sorun, RFC 6979 tarafından tanımlandığı gibi deterministik {\displaystyle k} üretimi ile önlenebilir.

Endişeler
---------

ECDSA ile ilgili iki tür endişe vardır:

1. *Politik kaygılar: NIST'in ürettiği eğrilerin güvenilirliği, NSA' nın yazılımlarına, donanım bileşenlerine ve yayınlanmış standartlarına bilinçli bir şekilde arka kapı koymasının ardından, tanınmış kriptograflar**, NIST eğrilerinin nasıl tasarlandığına dair şüphelerini dile getirdiler.*
2. *Teknik kaygılar*: Standartın doğru uygulama zorluğu, yavaşlığı ve Dual EC DRBG rastgele sayı üretecinin yetersiz savunma uygulamalarında güvenliği azaltan kusurların tasarlanması.

Bu sorunların her ikisi de libssh curved25519 giriş bölümünde özetlenmiştir.

Uygulamalar
-----------

Aşağıda, ECDSA'ya destek sağlayan şifreleme kütüphanelerinin bir listesi bulunmaktadır:

* Botan
* Bouncy Castle
* cryptlib
* Crypto++
* libgcrypt
* OpenSSL
* wolfCrypt

Kaynakça
--------

1. ↑  "Arşivlenmiş kopya" (PDF). 29 Ekim 2019 tarihinde kaynağından (PDF) arşivlendi. Erişim tarihi: 7 Nisan 2019.
2. ↑  "Arşivlenmiş kopya". 7 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
3. ↑  rfc:6979
4. ↑  "Arşivlenmiş kopya". 7 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
5. ↑  "Arşivlenmiş kopya". 7 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
6. ↑  "Arşivlenmiş kopya". 8 Aralık 2018 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
7. ↑  "Arşivlenmiş kopya". 26 Şubat 2013 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
8. ↑  "Arşivlenmiş kopya". 15 Aralık 2017 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
9. ↑  "Arşivlenmiş kopya" (PDF). 28 Mayıs 2019 tarihinde kaynağından (PDF) arşivlendi. Erişim tarihi: 7 Nisan 2019.
10. ↑  "Arşivlenmiş kopya". 7 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
11. ↑  "Arşivlenmiş kopya". 7 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
12. ↑  "Arşivlenmiş kopya". 23 Nisan 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
13. ↑  "Arşivlenmiş kopya". 23 Mart 2014 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
14. ↑  "Arşivlenmiş kopya". 19 Ağustos 2016 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.
15. ↑  "Arşivlenmiş kopya". 23 Mart 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 7 Nisan 2019.

| * g
* t
* d
Açık anahtarlı şifreleme |
| --- |
| Algoritmalar | 

|  |  |
| --- | --- |
| Sabit çarpanlara ayırma | 
* Benaloh
* Blum–Goldwasser
* Cayley–Purser
* Damgård–Jurik
* GMR
* Goldwasser–Micali
* Naccache–Stern
* Paillier
* Rabin
* RSA
* Okamoto–Uchiyama
* Schmidt–Samoa

 |
| Ayrık logaritma | 
* BLS
* Cramer–Shoup
* DH
* DSA
* ECDH
* ECDSA
* EdDSA
* EKE
* ElGamal
	+ imza çizelgesi
* MQV
* Schnorr
* SPEKE
* SRP
* STS

 |
| Diğerleri | 
* AE
* CEILIDH
* EPOC
* HFE
* IES
* Lamport
* McEliece
* Merkle–Hellman
* Merkle İmzası
* Naccache–Stern
* Naccache–Stern knapsack kriptosistemi
* NTRUEncrypt
* NTRUSign
* Üç geçişli protokol
* XTR

 |

 |
| Kuram | 
* Ayrık logaritma
* Eliptik eğrisel şifreleme
* Değişken olmayan şifreleme
* RSA problemi
* Trapdoor fonksiyonu

 |
| Standartlaştırma | 
* CRYPTREC
* IEEE P1363
* NESSIE
* NSA Suite B

 |
| Konular | 
* Elektronik imza
* OAEP
* Fingerprint
* PKI
* Güven ağları
* Anahtar boyutu
* Kuantum sonrası şifreleme

 |