签名不可伪造性

签名不可伪造性的标准强度是 EUF-CMA：即使攻击者自适应取得许多自己选择消息的合法签名，也不能把这种能力推广到新的声明，为一个未查询过的新消息产生有效签名。它把真实系统中的签名服务、证书颁发和交易授权纳入攻击接口，而非只防止“从零开始”伪造。强不可伪造还禁止为已签消息生成一个新的不同有效签名，适用于签名可塑性会造成问题的协议。

仅对无消息攻击安全不足以覆盖现实签名 oracle。签名提供真实性和完整性，不隐藏消息。若验证编码存在多种等价表示，普通 EUF 与强 EUF 的差异会显现。hash-then-sign 还需哈希与签名组合满足适当假设。

攻击者查询 $m_1,\dots ,m_q$ 的签名后输出 $(m^{\ast },{\sigma }^{\ast })$；EUF-CMA 获胜需 $m^{\ast }$ 未在查询集合且验证通过。若方案允许从 $(m,\sigma )$ 公开变换出同一消息的另一签名，它可能仍 EUF-CMA 安全，却不满足强不可伪造。

只验证“无法恢复私钥”远弱于不可伪造：攻击者可能不知密钥却能组合签名。消息编码、域分离和公钥验证也必须纳入游戏，否则跨协议签名或歧义序列化可能形成有效伪造。

查询预算也是实验的一部分。Lamport一次性构造理路Lamport一次性签名Lamport one-time signature · Lamport OTS为每个消息位预留两份单向原像，只公开被该位选中的一份；用一查询归约证明新消息不可伪造，并实际展示复用密钥的拼接攻击。证明至多一次查询下的新消息安全，并展示同钥签0000和1111后直接拼出0101；攻击完全不需要恢复未公开原像。树签名理路Merkle树签名与一次性索引Merkle signature scheme · Stateful Merkle signatures把独立一次性公钥装入认证树，以根作为长期验证锚点，并将不可回滚的索引消耗纳入安全模型和可复算故障轨迹。把每片叶的查询限制纳入状态合同，没有将一次性定理默默扩成可无限复用的结论。

不可伪造性是 数字签名理路数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。 的核心安全目标，以 计算安全理路计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。 和选择消息 oracle 定义，用于软件更新、证书、交易、审计日志和协议身份认证。密码哈希理路密码哈希函数Cryptographic hash function把任意长输入压缩到固定长度并要求原像、第二原像或碰撞难求的函数族。 的碰撞会破坏 hash-then-sign 绑定；若具体协议必须排除已签消息上的新签名，或要求每条消息的有效签名表示唯一，就需在规范中分别加入强不可伪造或唯一签名等对应性质。