Информационная безопасность. Макаренко С.И. - 137 стр.

хэш-значение m', применяя криптографическое преобразование подписи S с
использованием открытого ключа Е:
                                m'=SE mod N.
     Кроме того, он находит результат хэширования принятого сообщения
М с помощью такой же хэш-функции h(∙):
                                  m = h(M).
     Если соблюдается равенство вычисленных значений, т.е.
                              SE mod N = h(M),
то получатель признает пару (М, S) подлинной. Доказано, что только
обладатель секретного ключа D может сформировать цифровую подпись S по
документу М, а определить секретное число D по открытому числу Е не
легче, чем разложить модуль N на множители.
      Кроме того, можно строго математически доказать, что результат
проверки цифровой подписи S будет положительным только в том случае,
если при вычислении S был использован секретный ключ D,
соответствующий открытому ключу Е. Поэтому открытый ключ Е иногда
называют «идентификатором» подписавшего.

     Недостатки алгоритма цифровой подписи RSA.
      - При вычислении модуля N, ключей Е и D для системы цифровой
         подписи RSA необходимо проверять большое количество
         дополнительных условий, что сделать практически трудно.
         Невыполнение любого из этих условий делает возможным
         фальсификацию цифровой подписи со стороны того, кто
         обнаружит такое невыполнение. При подписании важных
         документов нельзя допускать такую возможность даже
         теоретически.
      - Для обеспечения криптостойкости цифровой подписи RSA по
         отношению к попыткам фальсификации на уровне, например,
         национального стандарта США на шифрование информации
         (алгоритм DES), т.е. 10 , необходимо использовать при
         вычислениях N, D и Е целые числа не менее 2512 (или около 10154)
         каждое, что требует больших вычислительных затрат,
         превышающих на 20...30% вычислительные затраты других
         алгоритмов цифровой подписи при сохранении того же уровня
         криптостойкости.
      - Цифровая     подпись   RSA     уязвима   к    так    называемой
         мультипликативной атаке. Иначе говоря, алгоритм цифровой
         подписи RSA позволяет злоумышленнику без знания секретного
         ключа D сформировать подписи под теми документами, у которых
         результат хэширования можно вычислить как произведение
         результатов хэширования уже подписанных документов.

                                  137