요약

  • RFC 9882는 CMS SignedData를 위한 순수(pure) ML-DSA-44, ML-DSA-65, ML-DSA-87을 명시하되, HashML-DSA는 명시하지 않습니다.
  • 두 SignerInfo 경로는 서로 다른 바이트에 서명합니다. signedAttrs가 없으면 eContent 값 옥텟에, signedAttrs가 있으면 전체 DER SignedAttrs에 서명합니다.

전체 OID는2.16.840.1.101.3.4.3.17,2.16.840.1.101.3.4.3.18,2.16.840.1.101.3.4.3.19이며, ML-DSA AlgorithmIdentifier 매개변수는 반드시 생략해야 합니다. ML-DSA 컨텍스트 문자열은 비어 있습니다.

signedAttrs가 있는 경우, 다이제스트는 제2원상(second-preimage) 공격과 충돌 공격 양쪽에 대해 해당 매개변수 집합의 람다(lambda) 비트를 제공하고 최소 2*lambda 출력 비트를 생성해야 합니다. 다이제스트와 ML-DSA 강도 중 낮은 쪽이 서명 강도를 제한합니다. Table 1은 완전합니다. ML-DSA-44—SHA-256, SHA-384, SHA-512, SHA3-256, SHA3-384, SHA3-512, SHAKE128, SHAKE256; ML-DSA-65—SHA-384, SHA-512, SHA3-384, SHA3-512, SHAKE256; ML-DSA-87—SHA-512, SHA3-512, SHAKE256. SHA-512 지원은 필수이며 SHAKE256 지원은 권고 사항입니다. 두 식별자 모두 매개변수를 생략합니다.

두 경로 바이트 픽스처.경로 A는signedAttrs가 없을 때 존재합니다. 이 경로는 eContentOCTET STRING의 값 옥텟만 서명하며, 태그와 길이 옥텟은 제외됩니다. 상호운용성을 위해 서명자는digestAlgorithm에 SHA-512를 인코딩하지만, 이 필드는 경로 A에서 암호학적 의미가 없으며 검증자는 그 내용을 무시합니다. 경로 A에는content-type도,message-digest도 없고, 서명된 속성의 message-digest 또는 콘텐츠 해시 재계산 요구사항도 없습니다. 경로 B는signedAttrs가 있을 때 존재합니다. 이 경로는 최종 암시적[0]은 절대 포함하지 않고, 태그와 길이, 명시적SET OF태그를 포함한 SignedAttrs의 전체 DER 인코딩에 서명합니다. 경로 B에는 최소한content-type과message-digest가 포함되며, 콘텐츠 해시를 재계산하여message-digest와 비교하도록 수신자에게 요구하는 것은 오직 경로 B뿐입니다.

알고리즘 대체에 대응하기 위해CMSAlgorithmProtection을 signedAttrs에 포함하는 것이 권고(SHOULD)됩니다. 이는 규범적 권고이며 배포 주장이 아닙니다. 대용량 콘텐츠는 HSM 서명 경계 밖에 남을 수 있습니다. 순수 모드 메시지 대표값mu의 외부 계산은 허용되며, RFC 9881 부록 D와 FIPS 204 6.2절에 상세히 설명되어 있습니다. HSM 인터페이스 제어와 배치 제안은 Theo March의 분석입니다. Hedged 서명과 결정론적 서명은 동일한 검증자를 사용하며, 부채널 또는 오류(fault) 공격이 우려되는 환경에서는 결정론적 서명을 사용하지 말아야 합니다(SHOULD NOT).

운영 관점에서의 해석

규범적 경계는 RFC 9882, RFC 5652, RFC 6211, RFC 9881, FIPS 204입니다. Theo March의 분석은 경로, 바이트 해시와 길이, OID, 생략된 매개변수, 래퍼 태그, 속성 존재 여부, 다이제스트 식별자, 콘텐츠 해시 비교, HSM 결과, 검증 결과를 기록할 것을 제안합니다. 단계적 활성화, 섀도 검증, 롤백 테스트, 소유권 통제는 권고 사항이며, RFC 의무 사항이나 채택 증거가 아닙니다. RFC 9881은 PKIX 인증서와 키 컨테이너 인코딩을 다루며, 이 CMS SignerInfo 바이트 도메인 규칙과는 무관합니다. RFC 9879는 이 브리핑의 범위 밖입니다.

출처