security - 为 elgamal 寻找生成器

Question

如何为 elgamal 签名方案找到生成器？大多数程序使用的值是好的生成器吗？还是有一种方法可以找到素数的生成器？如果是这样，如何？是否可以说质数至少有 1 个生成元？

Answer 1

使用 DSA 而不是 ElGamal 签名方案。

实现 ElGamal 可能会犯太多错误。其中一个错误是 GregS 提出的:使用 IKE 参数。这些参数是为 ElGamal 加密生成的，而不是为签名方案生成的。这两个方案有不同的要求。特别是使用 g=2 作为生成器对于加密来说是一个不错的选择，但对于签名方案来说是一个非常糟糕的选择。 (有关详细信息，请参见第 11 章中的“应用密码学手册”http://www.cacr.math.uwaterloo.ca/hac/注释 11.67)。正确的做法是随机选择生成器。但是再次重申，如果您只使用 DSA，那么您可以通过遵循标准来避免这些陷阱。

再补充一点:OpenPGP https://www.rfc-editor.org/rfc/rfc4880曾经允许 ElGamal 签名，但不久前已弃用它们。这种弃用是非常合理的，因为 DSA 只有优点:它更高效、更安全和标准化。当然，您可以查看旧的 PGP 实现，但如果不先阅读文献，它不会告诉您这些实现是否为您提供了合理的选择。