我正在分析 CVSS 得分为 7.5 的 CVE-2016-1000341 的影响，并描述“DSA 签名生成易受时间攻击。在可以密切观察签名生成时间的情况下，1.55 或更早版本中缺乏致盲可能允许攻击者获取有关签名 k 值以及最终私有值的信息。”。BouncyCastle 在这里承认这一点：https ://www.bouncycastle.org/releasenotes.html 。
我对这行感到困惑：“DSA 签名生成容易受到定时攻击”。虽然我了解什么是定时攻击，但我对“DSA 签名生成”条款感到困惑。这个词的确切含义是什么？以下哪两项或其他哪项是正确的？
- 如果应用程序使用公钥/私钥通过 BouncyCastle 库对数据进行数字签名和验证，它是否会因为此漏洞而易受攻击？或者
- “DSA 签名生成”是否意味着生成用于数字签名验证的私钥和公钥？
这里的任何指导将不胜感激！
亲切的问候，沙希