[oss-gost-crypto] EC-RDSA and a key substitution attack

[Vitaly Chikunov <vt@altlinux.org>]

Hi,

В превью к ISO/IEC 14888-3:2018 сказано 

  https://www.iso.org/obp/ui/#!iso:std:76382:en

  "NOTE 5 The mechanisms of EC-DSA, EC-GDSA. EC-RDSA and EC-FSDSA may be
  vulnerable to a key substitution attack[10]. The attack is realized if
  an adversary can find two distinct public keys and one signature such
  that the signature is valid for both public keys. There are several
  approaches of avoiding this attack and its possible impact on the
  security of a cryptographic system. For example, the public key
  corresponding to the private signing key can be added into the message
  to be signed."

Где EC-RDSA это ГОСТ Р 34.10-2001 (а значит и 34.10-2012).

На сколько эта атака актуальна для ГОСТа или это очередной наговор на
российскую криптографию в стиле Н. Куртуа?

Добавить signing key к message не сложно, но я исхожу из того, что этого
делать не надо, так как в ГОСТе такого нет. Но если бы был
рекомендованный метод формирования подписи с учетом этой атаки, то
другое дело.