现代密码学 ◆②如果敌手知道消息m1和m2的签名分别是 s1和S2,则敌手可以伪造m1m2的签名SS2 这是因为在RSA签名方案中,存在以下性质: m ,m,)=m, m, moan 电毛科棘,拳电子科技大学 现代密码学 现代密码学 电子科技大学 ◆② 如果敌手知道消息 和 的签名分别是 和 ，则敌手可以伪造 的签名 ， 这是因为在RSA签名方案中，存在以下性质： m1 m2 1 s 2 s m m1 2 1 2 s s 1 2 1 2 ( ) mod d d d m m m m n =