Để sử dụng lƣợc đồ chữ ký số RSA-PSS an toàn cần phải tuân thủ các yêu cầu sau đây:
Cặp khoá RSA dùng để ký thì không đƣợc dùng cho mục đích khác (ví dụ mã thông điệp).
Hai số nguyên tố p và q, và số mũ bí mật d cần phải đƣợc giữ bí mật tránh việc bị truy cập bất hợp pháp, làm lộ hoặc sửa đổi. Modulo n và số mũ công khai e phải đƣợc công bố công khai.
Mỗi ngƣời sử dụng cần có modulo n riêng.
Độ dài của mođun n không đƣợc nhỏ hơn 1024 bit và phải đƣợc thay đổi theo thời gian nhƣ sau:
Thời gian sử dụng độ an toàn tối thiểu nlen tối thiểu
Tới năm 2010 80 1024
Tới năm 2020 112 2048
Sau 2020 128 3072
Trong đó, độ an toàn tối thiểu là một số nguyên biểu thị lƣợng tính toán cần thiết để phá hệ mã.
2 Yêu cầu đối với các khoá RSA
Số mũ công khai e cần phải đƣợc chọn với các ràng buộc sau: Số mũ công khai e cần đƣợc chọn trƣớc khi tạo số mũ bí mật d.
Số mũ công khai e cần phải là số nguyên dƣơng lẻ sao cho: 65, 537 e < 2nlen-2security_strength với nlen là độ dài của mođun n theo bit.
Chú ý rằng e có thể là giá trị bất kỳ mà thoả mãn ràng buộc 1(b); p và q sẽ đƣợc chọn (trong mục 2) sao cho e là nguyên tố cùng nhau với cả (p-1) và (q-1).
Hai số nguyên tố p và q đƣợc tạo ngẫu nhiên và giữ bí mật cần phải đƣợc chọn với các ràng buộc sau:
Mỗi một trong bốn số (p + 1), (p - 1) và (q + 1), (q - 1) cần phải có các nhân tử nguyên tố lớn hơn 2security_strength+20
Nhân tử nguyên tố bí mật p, q cần phải đƣợc chọn ngẫu nhiên từ các số nguyên tố thoả mãn ( 2)(2(nlen/2)1) 2nlen/2 1
p
q .
GCD(p-1, q-1) không đƣợc lớn
p - q cần phải lớn hơn 2(nlen/2)-(security_strength+20)
Số mũ bí mật d cần phải đƣợc lựa chọn sau khi tạo p và q với các ràng buộc: Số mũ d cần phải lớn hơn 2nlen/2
Chƣơng 5
CHỨNG MINH TÍNH AN TOÀN TỐI ƢU CHO LƢỢC ĐỒ KÝ DỰA VÀO PHƢƠNG PHÁP XÁC SUẤT
Trong chƣơng này chúng ta chứng minh tính an toàn cho PSS có sử dụng “muối” ngẫu nhiên có độ dài bit ngắn hơn nhiều để có đƣợc độ an toàn tƣơng ứng. Cụ thể chúng ta chỉ ra rằng log2qsig đáp ứng đƣợc, trong đó qsig là số lƣợng yêu cầu ký đƣợc thực hiện bởi kẻ tấn công. Hơn nữa chúng ta chỉ ra rằng kích thƣớc nhƣ vạy là tối ƣu: Nếu giá trị “muối” ngẫu nhiên có độ dài ít hơn log2qsig đƣợc sử dụng thì tính an toàn của PSS vẫn chứng minh đƣợc nhƣng không có những bằng chứng về tính an toàn "chặt". Kết quả này dựa vào các kỹ thuật mới chỉ ra rằng một số luợc đồ ký khác nhƣ là Full Domain Hash và Gennaro-Halevi-Rabin có những bằng chứng an toàn tối ƣu.[8]