什么决定了不同加密算法中的BIGNUM大小？

Question

我玩OpenSSL。我看到不同的openssl类型使用BIGNUM类型。

例如：

1. 每日生活津贴签名

typedef struct DSA_SIG_st {
    BIGNUM *r;
    BIGNUM *s;
} DSA_SIG;

typedef struct ECDSA_SIG_st {
    BIGNUM *r;
    BIGNUM *s;
} ECDSA_SIG;

struct ec_key_st {
    int version;
    EC_GROUP *group;
    EC_POINT *pub_key;
    BIGNUM *priv_key;
    unsigned int enc_flag;
    point_conversion_form_t conv_form;
    int references;
    int flags;
    EC_EXTRA_DATA *method_data;
} /* EC_KEY */ ;

struct rsa_st {
    /*
     * The first parameter is used to pickup errors where this is passed
     * instead of aEVP_PKEY, it is set to 0
     */
    int pad;
    long version;
    const RSA_METHOD *meth;
    /* functional reference if 'meth' is ENGINE-provided */
    ENGINE *engine;
    BIGNUM *n;
    BIGNUM *e;
    BIGNUM *d;
    BIGNUM *p;
    BIGNUM *q;
    BIGNUM *dmp1;
    BIGNUM *dmq1;
    BIGNUM *iqmp;
    /* be careful using this if the RSA structure is shared */
    CRYPTO_EX_DATA ex_data;
    int references;
    int flags;
    /* Used to cache montgomery values */
    BN_MONT_CTX *_method_mod_n;
    BN_MONT_CTX *_method_mod_p;
    BN_MONT_CTX *_method_mod_q;
    /*
     * all BIGNUM values are actually in the following data, if it is not
     * NULL
     */
    char *bignum_data;
    BN_BLINDING *blinding;
    BN_BLINDING *mt_blinding;
};

OpenSSL中的< code>BIGNUM是:

struct bignum_st {
    BN_ULONG *d;                /* Pointer to an array of 'BN_BITS2' bit
                                 * chunks. */
    int top;                    /* Index of last used d +1. */
    /* The next are internal book keeping for bn_expand. */
    int dmax;                   /* Size of the d array. */
    int neg;                    /* one if the number is negative */
    int flags;
};

我不明白如何为特定的算法选择bignum，bignum数组的大小呢？

Answer 1

首先，您不分配实际的bn-

对于使用数字（而不仅仅是位模式）的密码算法，您使用的数字取决于算法。对于RSA，请参阅维基百科文章，如果指向RSA实验室的PKCS1链接不再有效（后EMC和Dell），请使用稳定的IETF重复RFC 2313、2437、4347、8047。ANSI/X9和ISO中还有其他RSA标准，但它们使用较少，并且没有显着差异。对于DSA，请参阅维基百科和（免费）FIPS。对于ECDSA，您可以看到SECG的付费X9.62或免费SEC1，但实际上这只是DSA对（大）类Weierstrass形式椭圆曲线的直接适应。对于DSA和ECDSA，签名中出现的值都是计算的，而不是选择的，尽管它们受到每次操作nonce k的影响，该nonce k可以并且通常是随机选择的，均匀地在[1， n-1]中，其中n是子群顺序（大小）。注意，对于最常用于ECDSA的“素数”曲线，如P-256和P-384，曲线的设计使子群顺序等于曲线顺序，而曲线顺序又接近但不等于底层素数场的模数。然而，这是这些特定曲线的属性，而不是ECDSA或ECC的一般属性。

实际上，所有算法的密钥都应该通过直接调用适当的密钥生成函数或使用< code>EVP_PKEY_* API来生成(在OpenSSL中),或者从通过正确实现的过程生成它们的一些其他软件或系统导入。类似地，签名应该通过直接或经由< code>EVP调用签名函数来创建，或者从正确创建它们的其他设备接收。所有的OpenSSL代码都是免费的(包括语音和啤酒)，所以你可以看看它，看看它做了什么；有些人(包括我)发现，在一个有良好的源代码级调试器的系统中编译这样的代码，并逐步查看它做了什么，至少有时是有帮助的。

标准警告：如果你只是想玩加密，或者像OpenSSL这样的特定实现，那就把你自己搞定。如果您打算编写旨在提供安全性的软件，请不要通过猜测或反复试验来完成；要么使用（现有）由知道自己在做什么的人编写的软件，要么雇佣或咨询这些人。编写“安全”软件看起来很容易，并且通过了测试，但实际上是不安全的，而那些（与你不同的）真正了解主题并知道如何发现这些缺陷的人将是你或你用户的敌人。