签名不可伪造性

签名不可伪造性的标准强度是 EUF-CMA：即使攻击者自适应取得许多自己选择消息的合法签名，也不能把这种能力推广到新的声明，为一个未查询过的新消息产生有效签名。它把真实系统中的签名服务、证书颁发和交易授权纳入攻击接口，而非只防止“从零开始”伪造。强不可伪造还禁止为已签消息生成一个新的不同有效签名，适用于签名可塑性会造成问题的协议。

仅对无消息攻击安全不足以覆盖现实签名 oracle。签名提供真实性和完整性，不隐藏消息。若验证编码存在多种等价表示，普通 EUF 与强 EUF 的差异会显现。hash-then-sign 还需哈希与签名组合满足适当假设。

攻击者查询 $m_1,\dots ,m_q$ 的签名后输出 $(m^{\ast },{\sigma }^{\ast })$；EUF-CMA 获胜需 $m^{\ast }$ 未在查询集合且验证通过。若方案允许从 $(m,\sigma )$ 公开变换出同一消息的另一签名，它可能仍 EUF-CMA 安全，却不满足强不可伪造。

只验证“无法恢复私钥”远弱于不可伪造：攻击者可能不知密钥却能组合签名。消息编码、域分离和公钥验证也必须纳入游戏，否则跨协议签名或歧义序列化可能形成有效伪造。

不可伪造性是 数字签名公理库数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。 的核心安全目标，以 计算安全公理库计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。 和选择消息 oracle 定义，用于软件更新、证书、交易、审计日志和协议身份认证。密码哈希公理库密码哈希函数Cryptographic hash function把任意长输入压缩到固定长度并要求原像、第二原像或碰撞难求的函数族。 的碰撞会破坏 hash-then-sign 绑定；证书、代码签名和共识投票常还要求强不可伪造或唯一签名等附加性质。