形式陈述

数字签名方案由 $(\operatorname{Gen},\operatorname{Sign},\operatorname{Verify})$$(\mathrm{Gen},\mathrm{Sign},\mathrm{Verify})$ 组成：密钥生成输出 $(vk,sk)$$(vk,sk)$，签名者计算 $\sigma\leftarrow\operatorname{Sign}_{sk}(m)$$\sigma \leftarrow {\mathrm{Sign}}_{sk}(m)$，任何人用验证密钥判断 $\operatorname{Verify}_{vk}(m,\sigma)\in\{0,1\}$${\mathrm{Verify}}_{vk}(m,\sigma )\in \{0,1\}$。正确性要求合法签名被接受。标准 EUF-CMA 安全要求：即使攻击者可自适应请求所选消息的签名，也不能为一条从未查询过的消息产生可验证签名，成功概率可忽略。

直觉

私钥给消息附上只有持钥者能生成、而所有人都能检查的密码学证据；目标是防伪造和篡改，不是隐藏消息。

例子与边界

直接对长消息签名常先使用抗碰撞哈希，但“随便哈希后签”必须与具体安全变换和域分离匹配。签名通常是概率化或带确定性 nonce；nonce 重用可能泄露私钥。普通 EUF-CMA 不必阻止为同一已签消息产生另一份不同签名，强不可伪造才加入这一要求。验证成功不自动证明现实身份，验证密钥的绑定仍需基础设施。

推论与应用

数字签名用于软件发布、证书、交易授权、审计日志和共识消息认证。它与加密正交：签名提供来源完整性，保密性需另行使用加密。

参考资料

• Dan Boneh and Victor Shoup, A Graduate Course in Applied Cryptography, version 0.6, 2023，Chs. 13–14, digital signatures and chosen-message attacks。
• Jonathan Katz and Yehuda Lindell, Introduction to Modern Cryptography, 3rd ed., CRC Press, 2020，Chs. 12–13, signatures and unforgeability。