数字签名原理与实现

可视化演示

数字签名利用非对称密码实现身份认证与不可否认性，签名者用私钥签名验证者用公钥验证。本文详解RSA签名方案、DS... 切换模式查看不同维度。

签名概述：一枚印章的江湖规矩

每一位书法大师都有一枚独有的天工印。字画完成后，大师蘸上印泥重重一盖，等于向天下宣告此作出自吾手。收藏家拿出大师公开出版的《印谱》，照章比对，纹路吻合便收，有出入便弃。这套仪式的核心非同寻常：印章藏在私处（私钥），印谱公开流传（公钥），人人都可验证，却只有大师能盖。于是“谁写的、改没改、赖不赖得掉”三个问题一并解决。

数字签名就是这套仪式在比特世界的复刻。与加密不同，签名的目的不是让内容变成天书，而是让任何人都能验证“这是谁写的、有没有被改过”。一个完整的方案有三件事物：密钥生成、签名、验证。打个比方，密钥生成是铸造天工印和刊印印谱，签名是蘸墨盖章，验证是比照印谱确认真伪。它还给不了机密性——就像印章不负责替字画保密一样。

形式化地看，数字签名是三个算法的组合，分别完成“造印”“盖印”“验印”：

这套体系最动人的地方在于：天工印的纹理难仿，盖下的印迹难赖。数字签名的三大核心性质——身份认证、数据完整、不可否认——正是印章江湖的规矩在密码学世界的翻版。后面我们将逐一拆解，看这些“印迹”究竟如何从数学中诞生。

非对称密码基础：印谱公开，天工印唯一

大师的印为什么仿不了？因为印料是块天外陨石，纹路千回百转；而印谱却人人可得。这种“印章藏私、印谱公开”的设计，正是非对称密码的灵魂。它把密钥拆成两半：公钥可以贴满大街，私钥只能烂在怀里。用公钥加密，只有私钥能解；用私钥签名，只有公钥能验。方向和用途截然相反。

最常见的非对称体系是RSA。它建立在一个朴素的算术事实上：把两个大素数乘起来容易，把乘积再拆回原素因却极其困难。这把“难拆的乘法锁”就是单向陷门函数——正向一秒钟，反向一万年。实际使用时，密钥生成的工序像铸印一样讲究：先选两个大素数p和q，相乘得模数n；再算欧拉函数φ(n)；随后挑一个公开指数e，解出它的逆元d。

用公式描述这把“锁”的铸造过程：

p和q就像铸造天工印的原始矿石，铸成之后必须焚毁矿脉，否则别人顺着矿脉反推出n的分解，就能仿出另一枚私印。n是印章上人尽皆知的轮廓，e是验章的标尺，d是只有大师知道的暗槽——有了暗槽才能压出印，没有暗槽，抢走n和e也白搭。正是这种“公开一切却不泄露私钥”的不对称，撑起了整个数字签名的舞台。

RSA签名方案：先写提要，再盖大印

字画太长，印章盖不下整幅作品怎么办？大师的做法很聪明：先将画的内容“浓缩”成一页提要，再在提要上盖章。验证的人拿到画，也先浓缩成提要，再比印章和提要是否默契——提要变了，章就对不上。这一招既省了印泥，又让任何一处的细微篡改都无处遁形。RSA签名正是这个套路。

经典步骤是：先对消息m做哈希，得到固定长度的摘要h；再用私钥d对h做模幂运算，得到签名s。验证方用公钥e从s中恢复出h′，并重新计算消息的哈希，两者一致则通过。签名只对摘要运算，不碰原文，所以速度飞快；安全性则由哈希的单向性兜底——想伪造签名，必须同时攻破哈希和模幂两关。

值得一提的是，直接在消息上做模幂的“教科书RSA”并不安全，必须引入哈希和PSS填充，才能阻断乘法同态伪造。完整流程如下：

这就像大师把画浓缩成一行行诗写在扇面背后，再盖上私印。藏家拿到扇面，先默写一遍诗，再用印谱照印泥——诗对得上、印也对得上，那便是真迹。若有人偷改诗中一字，印迹立刻与提要失配。RSA签名在HTTPS证书、软件更新、电子合同里无处不在，全都依赖这套“先凝练、后盖章”的默契。

DSA签名算法：随机领舞者的舞步

RSA有个隐患：它的数学结构太直白——签名的乘积可以凑出新的签名，就像两个印章叠盖能拼出第三枚印章，这叫同态性。为了绕开这种“印泥叠加”的攻击，NIST设计了DSA。它不直接对内容做模幂，而是让每一次签名都邀请一位“随机领舞者”k上场。k每次都在变，于是同样的内容，两次签出的印迹也完全不同。

DSA基于离散对数难题：已知生成元g、模数p，给你y等于g的x次方，想反推私钥x极其困难。签名时，签名者先让随机数k跳出一段舞步r，再把摘要、私钥x和r揉成第二段舞步s。验证方从公钥y出发，重新编排这两段舞步，比对是否还原出r。由于k只出现一次，攻击者无法从两个签名中拼凑出私钥信息。

签名两步走的数学表达如下：

验证时用公钥y和参数重建舞步v，并与r比对：

随机领舞者k若被重用，等于两场舞用了同一个“意外动作”，旁观者立刻能算出大师的私密舞步——私钥当场裸奔。所以DSA的铁律是：k必须一次性、机密、随机，如同舞者每次都要换一顶崭新的假面。正因如此，DSA在政府与金融系统中被长期使用，它的随机数生成器甚至单独做成硬件，以免领舞者“偷懒”。

ECDSA椭圆曲线签名：微型印章的舞台

DSA的印章太大了，参数动辄2048位，塞不进手机和智能卡。于是密码学家把舞台搬到了一条椭圆曲线上：y²等于x³加ax加b。曲线上的点像珠子一样串成一条链，可以做加法、做标量乘法，却极难做“除法”——知道Q和G，反求k倍关系中的k，就是椭圆曲线离散对数难题。同样的安全强度，密钥只要256位，大印缩成了微型印章。

椭圆曲线上的“乘法”约定为标量乘法：Q等于d乘以G，其中G是公开基点，d是私钥，Q是公钥。ECDSA的签名套路与DSA神似，只是把“g的k次方取模”换成了“k乘以基点G”。比特币、以太坊、TLS证书，到处都能见到这个微型印章的身影——一笔交易几百字节，却守护着数十亿美元的资产。

签名与验签的完整流程浓缩为两个公式：

微型印章的好处立竿见影：256位密钥即可抵挡暴力穷举，签名速度极快，特别适合资源受限的物联网设备和链上高频交易。然而它同样继承了DSA的铁律——两笔交易若共用了随机数k，私钥就会当场暴露。历史上曾有人因随机数生成器故障，把同一个k用在两笔比特币交易上，结果钱包被盗一空。舞步再精巧，假面也绝不能换第二次。

安全边界与盲签名：蒙眼的印章

大师的印再神奇，也怕三件事：印被偷、印泥被掺假、大师被逼着在空白纸上盖章。数字签名同理：私钥泄露等于印被偷，哈希碰撞等于印泥被掉包，随机数出问题等于盖章的力道被人摸透。防护之道无外乎三条：私钥锁进硬件安全模块，签名前必先哈希，每次签名更换随机数。做到这三点，签名者才真正“赖不掉”——因为任何人都能用公开公钥验证，证据确凿。

但现实中还有一类难题：如何让大师“蒙着眼睛”在一份看不见内容的文件上盖章，同时保证文件没有被偷换？电子投票、匿名支付都有此需求——选民不想让计票机构知道投了谁，但机构必须确认“这是合格选民”。RSA盲签名给出了精巧的三步曲：用户先把消息乘上一个随机盲因子，变成一封“信封”；大师隔着信封签上名；用户再剥掉信封，得到一份普通而有效的签名。

三步曲的数学表达如下：

这套流程就像投票站的保密信封：信封上盖着选务人员的官印，开箱后谁也看不出这张票原来被谁监过章。盲签名让“权威背书”与“隐私保护”同时成立，是电子现金、匿名投票、防追踪凭证的基石。它看似违背了“签名者应对内容负责”的直觉，实则通过随机盲因子，把“看过内容才签”和“签了却不知道内容”之间画出一道精妙的数学界线。

PKI公钥基础设施：谁为印谱背书

骗子可以伪造一本“大师印谱”，号称是大师亲笔刊印。收藏家如何知道手中的《印谱》没有被掉包？这就需要一位公认的“皇家印鉴院”——CA（证书颁发机构）。它先用自己最权威的印章，为你的印谱背书，签发一张数字证书，把“谁是大师、大师的公钥长什么样”白纸黑字固定下来。信任不再是一对一的赌注，而是一条从权威根部延伸下来的链条。

PKI就是这样一套信任生态：CA负责核验身份并签发证书；证书把“姓名+公钥+有效期”打包，再用CA私钥签名；用户在验证他人公钥前，只需信任CA的公钥，这个信任锚一确立，整个链条就能逐级验证。证书本身就是一个被CA签过名的数据包，验证时从终端证书回溯到根CA，每一级都用上一级的公钥解锁下一级的签名，全链通畅才敢认“这块公钥属于那个人”。

证书的结构可以写成：

打开浏览器访问HTTPS网站时，浏览器就是在做这件事：沿着证书链把服务器的公钥一路验到系统内置的根CA。没有PKI，公钥就如无主野印，谁都能刻一本假印谱；有了CA的背书，印谱上多了一道皇家印鉴，收藏家只需认准皇家印鉴院的纹路。从大师的印章、公开的印谱，到权威的背书，一套可信的“签字盖章”江湖就此闭环，这也是现代互联网信任体系的最后一块基石。

AI 应用场景

Python 演示

from cryptography.hazmat.primitives import hashesfrom cryptography.hazmat.primitives.asymmetric import rsa, paddingfrom cryptography.exceptions import InvalidSignature def demo_rsa_sign():    # 1. 生成密钥对：私钥签名，公钥验证    private_key = rsa.generate_private_key(public_exponent=65537, key_size=2048)    public_key = private_key.public_key()     message = b"Important: transfer 1,000,000 to Bob."    # 2. 签名：SHA-256先浓缩摘要，再用PSS填充后私钥运算    signature = private_key.sign(        message,        padding.PSS(            mgf=padding.MGF1(hashes.SHA256()),            salt_length=padding.PSS.MAX_LENGTH        ),        hashes.SHA256(),    )    print("Signature length:", len(signature), "bytes")     # 3. 验证：公钥验签，成功说明真实且完整    try:        public_key.verify(            signature,            message,            padding.PSS(                mgf=padding.MGF1(hashes.SHA256()),                salt_length=padding.PSS.MAX_LENGTH            ),            hashes.SHA256(),        )        print("Verify OK: signature is authentic!")    except InvalidSignature:        print("Verify FAILED: signature invalid!")     # 4. 篡改演示：改动一个字符，签名立刻失效    tampered = b"Important: transfer 1 dollar to Bob."    try:        public_key.verify(            signature,            tampered,            padding.PSS(                mgf=padding.MGF1(hashes.SHA256()),                salt_length=padding.PSS.MAX_LENGTH            ),            hashes.SHA256(),        )        print("Tampered still valid? Wrong!")    except InvalidSignature:        print("Tamper detected: signature verification failed!") if __name__ == "__main__":    demo_rsa_sign()

1. private_key = rsa.generate_private_key(...)生成2048位RSA密钥对，类似铸造天工印。
2. public_key = private_key.public_key()从私钥导出公钥，相当于刊印《印谱》。
3. signature = private_key.sign(...)核心签名调用：先哈希浓缩，再用私钥运算。
4. padding.PSS(...)使用PSS填充，防止教科书RSA的乘法同态伪造。
5. public_key.verify(...)核心验签调用：用公钥恢复摘要并比对。
6. except InvalidSignature密码库抛此异常即代表签名无效或内容被篡改。
7. tampered = b"..."构造篡改消息，验证签名对“一人一字之差”的零容忍。

常见误区

面试题