Algorithmische Kryptographie (WS2015/16) Kapitel 4 Weitere Systeme Walter Unger

(1)

Algorithmische Kryptographie (WS2015/16)

Kapitel 4 Weitere Systeme

Walter Unger

Lehrstuhl für Informatik 1

16:03 Uhr, den 12. Dezember 2015

(2)

4 Inhaltsverzeichnis Walter Unger 12.12.2015 16:03 WS2015/16 Z

Inhalt I

1 ElGamal Einleitung Aufbau

Verschlüsseln und Entschlüsseln Sicherheitsaspekte

Unterschriften mit ElGamal Sicherheitsaspekte

2 Elliptische Kurven

Mathematischer Hintergrund Aufbau des Systems Das Verfahren

3 Quantenkryptographie Grundlagen aus der Physik Idee der Datenübertragung Realisierung der Protokolle

(3)

4:1 Einleitung Walter Unger 12.12.2015 16:03 WS2015/16 Z

ElGamal (1985 Tahir al-Dschamal(*1955))

Schweres Problem: diskreter Logarithmus.

D.h. es wird als schwer angenommen, für gegebene Zahlena,b,p, eine Zahlx zu bestimmen mit (a^x modp) =b.

Bei der Verschlüsselung wird eine Hintertür nicht durch das System vorgegeben.

Stattdessen wird vom Verschlüsseler eine zusätzliche Information angegeben, mit deren Hilfe der Emfänger entschlüsseln kann. Erinnerung:

A:x,y,n B:m,y,n Wählex,y

n=x·y y,n

Wählez c=n·z+m d=z·y c,d

m=c−x·d

a·bwird zua^b (modp) a+bwird zua·b (modp)

PkS RSA ElGamal

Rabin KS DES IDEA AES

1985

1970 1980 1990 2000

(4)

4:2 Einleitung Walter Unger 12.12.2015 16:03 WS2015/16 Z

Erinnerung

G ist zyklische Gruppe∃g:G ={g^m|m∈N}.

Z^∗n ist zyklisch, gdw.n∈ {1,2,4,p^k,2·p^k}.

Der Generator einer zyklischen Gruppe wird primitive Wurzel genannt.

FallspPrimzahl, dann istZ^∗p zyklisch mitϕ(p−1)Generatoren.

x ∈Z^∗p ist Generator gdw.x^(p−1)/q6=1 für alle Primzahlenq, diep−1 teilen.

Da ord(x)dasp−1 teilt, gilt:

x^(p−1)/q=1 modp−1 oder ord(x) =p−1.

(5)

4:3 Aufbau Walter Unger 12.12.2015 16:03 WS2015/16 Z

Aufbau von ElGamal

xist Generator:x^(p−1)/q6=1

Bestimme große Primzahlp, so dassp−1 einen großen Primfaktor hat.

Zum Bestimmen solcher Primzahlenpwählt man zuerst eine große Primzahlqund testet dann als Kandidaten fürpZahlen der Form 2kq+1.

Bestimme weiter einen Generatorg∈Z^∗p.

Um zu testen, obg ein Generator ist, müssen die Werte vonk faktorisierbar sein, d.h.q wird groß gewählt undk relativ klein.

Für einen Generatorg muss für alle Teilerq⁰vonp−1 gelten g^(p−1)/q⁰ 6≡1 (modp).

Damit kann man einfach testen, obg ein Generator ist.

Aufbau von ElGamal

Wähle zufälligx ∈ {2, . . . ,p−2}.

Bestimmey:=g^x modp.

Der geheime Schlüssel ist dann(p,g,x).

Der öffentliche Schlüssel ist dann(p,g,y).

(6)

4:4 Verschlüsseln und Entschlüsseln Walter Unger 12.12.2015 16:03 WS2015/16 Z

Verschlüsselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

Bisher:

A:x,y,g B:m,y,g WählepPrimzahl mit

p−1 hat großen Primfaktor Wähle Generatorg∈Z^∗_p Wählex∈ {2, . . . ,p−2}

y:=g^xmodp y,g

Die Verschlüsselungsfunktion ist dannEp,g,y^ElGamal :Z^∗p→Z^∗p×Z^∗p. Wählek zufällig mit ggT(k,p−1) =1.

a=g^kmodp b=m·y^kmodp Ep,g,y^ElGamal(m)7→(a,b).

Damit hat der Kryptotext die doppelte Größe im Vergleich zum Plaintext.

(7)

4:5 Verschlüsseln und Entschlüsseln Walter Unger 12.12.2015 16:03 WS2015/16 Z

Entschlüsselung:

a=g^kmodp b≡my^k≡mg^xk (modp)

Zur Entschlüsselung bedient man sich der Eigenschaftm=b/a^xmodp.

Die Entschlüsselungsfunktion ist dannD_p,g,x^ElGamal :Z^∗p×Z^∗p→Z^∗p. Wenn(a,b) = (g^k,my^k) = (g^k,mg^xk)emfangen worden ist, dann bestimme:

h:=a^x modp. Beachte dabei:a^x≡g^kx (modp).

m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^xmodp.

A:x,y,g B:m,y,g WählepPrimzahl mit

p−1 hat großen Primfaktor Wähle Generatorg∈Z^∗_p Wählex∈ {2, . . . ,p−2}

Bestimmey=g^xmodp y,g

Wählekmit ggT(k,p−1) =1 Bestimmea=g^kmodp Bestimmeb=my^kmodp a,b

m=b/a^xmodp

(8)

4:6 Sicherheitsaspekte Walter Unger 12.12.2015 16:03 WS2015/16 Z

Sicherheitsaspekte:

Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen:g^xk oderg^−xk odermwie oben gegeben. Dieses

zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus lösen kann, dann kann man auch das Diffie-Hellman-Problem lösen. Die Rückrichtung ist offen.

Frage: Was wäre wenng kein Generator wäre?

(9)

4:7 Unterschriften mit ElGamal Walter Unger 12.12.2015 16:03 WS2015/16 Z

Unterschrift

x∈ {2, . . . ,p−2} y=g^xmodp

Erinnerung: keiner kann dividieren

A:w,y,n B:w,x,y,n

Erzeugtx,yundn=y·x y,n

Erzeugtzund bestimmtd=x·z Bestimmtc=w−n·z c,d,z

Testetw=^?y·d+c Testetn·z=^?y·d

Der Systemaufbau erfolgt genau wie schon oben angegeben.

Um eine Nachrichtmzu unterschreiben, führe man die folgenden Schritte durch:

1 Wählekzufällig mit 16k6p−2 mit ggT(k,p−1) =1.

2 Bestimmer:=g^kmodpunds:=k⁻¹(m−rx)modp−1.

3 Die Unterschrift ist dann(m,r,s).

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1 Teste, ob gilt 16r6p−1.

2 Bestimmev:=g^mmodpundw :=y^rr^smodp.

3 Teste, ob giltv =^? w.

(10)

4:8 Unterschriften mit ElGamal Walter Unger 12.12.2015 16:03 WS2015/16 Z

Unterschrift

r:=g^kmodp s:=k⁻¹(m−rx)modp−1 (m,r,s) g^mmodp=^?y^rr^smodp g^p−1≡1 (modp) A:m,y,g B:m,x,y,g

WählepPrimzahl mit p−1 hat großen Primfaktor Wähle Generatorg∈Z^∗_p Wähle:x∈ {2, . . . ,p−2}

Bestimme:y=g^xmodp y,g

Wähle:kmit ggT(k,p−1) =1 Bestimme:r=g^kmodpund s=k⁻¹(m−rx)modp−1 r,s,m

Teste, ob gilt: 16r6p−1 (g^mmodp)= (y^? ^rr^smodp)

Lemma

Bei korrekter Unterschrift gilt:g^mmodp=y^rr^smodp.

Beweis:y^rr^s≡(g^x)^r(g^k)^s≡g^rxg^kk⁻¹^(m−rx)≡g^m (modp)

(11)

Sicherheitsaspekte

r:=g^kmodp s:=k⁻¹(m−rx)modp−1 (g^mmodp)= (y^? ^rr^smodp)

Bei den Unterschriften nach ElGamal sind die folgenden Sicherheitsaspekte zu beachten:

Wenn jemand den diskreten Logarithmus effizient berechnen kann, dann kann er auch das Unterschriftensystem nach ElGamal brechen.

Zu gegebenenmundr eins zu bestimmen mitg^m=y^rr^s, ist äquivalent dazu, den diskreten Logarithmus zu berechnen.

Es ist offen, wie schwer das Fälschen einer Unterschrift ist, d.h. zu gegebemmdie Werter unds zu bestimmen mitg^m=y^rr^s.

(12)

Sicherheitsaspekte

Falls jemand das gewähltekzu einer Nachrichtmbestimmen kann, dann kann er auch den geheimen Schlüsselx bestimmen.

Dazu wirdrx≡(m−sk) (modp−1)bestimmt.

Da mit hoher Wahrscheinlichkeit ggT(r,p−1) =1 ist, kann nunx bestimmt werden.

Daher ist es wichtig, gute Zufallsgeneratoren zu verwenden.

Es ist immer eine neue Zahlkzu wählen.

Denn wenn eink für zwei verschiedene Nachrichtenm1undm2

gewählt wird, dann kann mank(und damitx) bestimmen.

Dazu beachtet mans1−s2≡(m1−m2)k⁻¹ (modp−1)und bestimmtk= (s1−s2)⁻¹(m1−m2)modp−1.

(13)

Sicherheitsaspekte

Wenn man keine Hashfunktionen verwendet, dann kann man ElGamal Unterschriften fälschen.

Dabei kann aber nicht die Nachrichtmfrei gewählt werden.

Dazu wählt man folgende Vorgehensweise:

1 Wähleb,cmit ggT(c,p−1) =1.

2 Setzer:=g^by^c modp.

3 Setzes:=−rc⁻¹modp−1.

4 Setzem:=−rbc⁻¹modp−1.

Die Unterschrift erfüllt danng^m≡y^rr^s (modp).

Denn:

y^rr^s ≡ y^g^b^y^c(g^by^c)^−rc⁻¹ (modp)

≡ y^g^b^y^cg^−rbc⁻¹y^−rcc⁻¹ (modp)

≡ y^g^b^y^cg^−rbc⁻¹y^−(g^b^y^c^)cc⁻¹ (modp)

≡ g^−rbc⁻¹ (modp)

≡ g^m (modp)

(14)

4:12 Mathematischer Hintergrund Walter Unger 12.12.2015 16:03 WS2015/16 Z

Beispiele und Notationen

f(x) =a·x+c y =a·x+c a·x−y+c=0 a·x−b·y+c=0 a·x−b·y+c=0 a·x²+b·y³+c=0

a1·x²a2·x∗3+b1·y³b2·y+c=0 Gleichungen überRoder

Q,Z,F, ...

Das sind elliptische Kurven.

Seif(x,y)ein Polynom über zwei Variablen.

c·x^m·yⁿ ein Term vonf(x,y) mitc6=0 konstant und dem Gradn+m.

Der größte Grad der Terme ist dann der Grad vonf(x,y).

(15)

Definition

Definition (Elliptisch Kurve)

Eine elliptische Kurve ist der GraphE (bzw.Ea,b) der Gleichung

y²=x³+a·x+b, mitx,y,a,b∈R (bzw.Q,Z,Nm). Weiterhin gehört zu E der Punkt∞.

Obige Form heißt die Weierstrass Form.

Der Punkt∞wird das neutrale Element.

x y

y²=x³−3x+2

(16)

Beobachtung

Seif(x,y)ein Polynom vom Gradd. Seig(x,y)eine Gerade.

Alsoa·x+b·y+c=0

Dann schneidet die Gerade den Graph vonf(x,y) =0 in höchstensd Punkten.

“Beweis:”

Lösea·x+b·y+c=0 nachx auf.

Setze das dann inf(x,y)ein.

Damit gibt es füry höchstend Nullstellen.

(17)

Aufbau einer Gruppe

Ziel: Gruppenoperationen auf Graphen vonf(x,y) =0.

Operation: zu zwei Punkten auff(x,y) =0 bestimme dritten Punkt auf f(x,y) =0.

Ansatz: Nutze Gerade zur Bestimmung des dritten Punktes.

Ansatz: Gerade durch zwei PunkteP,Q bestimmt dritten Punkt.

Ansatz: wählef(x,y)vom Grad 3, lege Gradeg(x,y)durchP,Q und bestimme dritten Schnittpunkt.

Gerade:g(x,y) =0 mita·x+b·y+c=0 undb6=0.

Lösung:f(x,(−a·x−c)/b) =0 ist kubische Gleichung inx.

Hat drei Lösungen, zwei sind bekannt.

Dritte Lösung ergibt den neuen PunktR (x-Koordinate) Über die Geradengleichung ergeben sich diey-Koordinate.

OperationP⊕Q=R.

Sonderfälle folgen noch.

(18)

Beispiel

Wähle elliptische Kurve der Form y²=x³+a·x+b=0.

Wähle PunktP.

Wähle PunktQ.

Lege Geradea⁰·x+b⁰·y+c⁰=0 durchP undQ.

Bestimme dritten SchnittpunktR. _x

y

y²=x³−3x+2

(19)

Definition der Gruppe

SeiP= (x,y)ein Punkt vony²=x³+a·x+b.

Dann ist−P= (x,−y)

FallP= (x,y)undQ= (x,−y) dann setzeP+Q=∞

Andernfalls istP+Q=−RmitR=P⊕Q. P+∞=∞+P=P.

∞+∞=∞+∞=∞.

P+P wird wie folgt definiert:

Bestimmt TangenteT im PunktPanE. Falls Tangente vertikal ist:P+P=∞

SeiRweiterer Schnittpunkt vonT, setze:P+P=−R

(20)

Aussagen

Theorem

Die oben definierte Operation aufy²=x³+a·x+b ist eine Gruppe.

Theorem

Die Gruppe aufy²=x³+a·x+b (modp)hatN=p+1+Pp−1

r=0(^x³^+a·x+b_p ) Elemente.

Theorem (Hasse)

Die Gruppe aufy²=x³+a·x+b (modp)hatN Elemente, mit p+1−2·√

p<N<p+1+2·√ p.

Bemerkung:

Der diskrete Logarithmus auf diesen Gruppen ist schwer.

(21)

4:19 Aufbau des Systems Walter Unger 12.12.2015 16:03 WS2015/16 Z

Idee

Gehe analog zu ElGamal vor.

Generatorg wird ein PunktP0 aufE.

Potenzierungg^x wird zur RechnungxP0oderxP.

Problem, wie werden die Nachrichten auf die Elemente der Gruppe abgebildet.

Dazu zwei Verfahren:

Ein probabilistisches Verfahren, welcheskBits “verschwendet”.

Ein deterministisches Verfahren, welches 1 Bit “verschwendet”.

Das deterministische Verfahren braucht spezielle Gruppen.

(22)

Probabilistisches Verfahren

SeiE,p,Nwie oben.

SeiM der Nachrichtenblock mit 0<M<p/2^k. Wähle als x-Koordinatex=2^k·M+i

für eini mit 06i<2^k

so das es einen Punkt der Form(x,y)∈E gibt.

Algorithmus:

Für allei mit 06i<2^k mache x=2^k·M+i

Falls(^x³^+a·x+b_p ) = +1 gebei aus.

Gebe Fehler aus.

Fehlerwahrscheinlichkeit ist: 1/2²^k.

(23)

Deterministisches Verfahren

Wählepmitp≡3 (mod 4).

Dann ist−1 ein quadratischer Nichtrest, d.h.(⁻¹_p ) =−1.

Setzeb=0.

Dann istE gegeben durchy²=x³+a·x (modp).

SeiM zu verschlüsseln mit 0<M<p/2.

Wir “verlieren” ein Bit.

Bestimmtt=M³+aM (modp).

t oder−t ist quadratischer Rest.

Falls(_p^t) =1, dann setzex =M.

Falls(^−t_p ) =1, dann setzex=p−M.

Damit gilt(^x³^+a·x_p ) =1 undy kann bestimmt werden.

Zur Entschlüsselung mache:M=min(x,p−x).

(24)

4:22 Das Verfahren Walter Unger 12.12.2015 16:03 WS2015/16 Z

Aufbau, Ver- und Entschlüsselung

Allgemein:

Bestimme Primzahlp.

Bestimme elliptische KurveE modulop BestimmeP0 aufE mit großer Ordnung.

NutzerA:

Bestimmt ZahlaA. BestimmtPA=aAP0. VeröffentlichtPA

Beachte:

P0=ˆ Generator aA=ˆ privater Schlüssel PA=ˆ öffentlicher Schlüssel

B sendet anA:

Bestimmt PunktPaus NachrichtM.

Bestimmt Zahlk mit 0<k<p.

Sendet an A:(kP0,kPA+P).

Entschlüsselung:

kPA+P−aa(kP0)

= (kaA)P0+P−(kaA)P0

=P.

Falls diskreter Logarithmus aufE lösbar:

bestimmekauskP0. bestimmekPA.

bestimme(kPA+P)−kPA.

(25)

4:23 Das Verfahren Walter Unger 12.12.2015 16:03 WS2015/16 Z

Zusammenfasung

Überblick

A:a_A,P_A,P0,E B:m,P_A,P0,E WählepPrimzahl

Wähle ell. KurveE (modp) WähleP0∈E Wählea_A∈ {2. . .p−1}

P_A:=a_AP₀ P0,E,P_A

erzeugeP∈Eausm Wählek∈ {1. . .p−1}

T1=kP0 T₂=kP_A+P T1,T2

T⁰=T2−a_AT1 T⁰=kP_A+P−(a_Ak)P0 T⁰= (a_Ak)P0+P−(a_Ak)P0 BestimmemausT⁰

Analoger Ansatz wie ElGamal.

Aber kompliziertere Gruppe als Basis.

Mindestens analoge Sicherheit

(26)

4:24 Grundlagen aus der Physik Walter Unger 12.12.2015 16:03 WS2015/16 Z

Kenntnisse aus der Physik:

Die kleinste Einheit des Lichts ist ein Photon.

Ein Photon kann gemessen werde, danach ist es aber nicht mehr als solches vorhanden.

Photon ist in einer Richtung ausgerichtet.

Genauer, die Lichtwelle ist in genau einer Richtung ausgerichtet.

Um die Ausrichtung eines Photons zu messen, testet man, ob das Photon einen Polarisationsfilter passiert.

Man kann nur jeweils auf eine Ausrichtung testen.

Photonen erzeugbar in jeder Ausrichtung (es gibt beliebig viele Ausrichtungen)

(27)

4:25 Grundlagen aus der Physik Walter Unger 12.12.2015 16:03 WS2015/16 Z

Kenntnisse aus der Physik:

Filter Licht

(28)

4:26 Idee der Datenübertragung Walter Unger 12.12.2015 16:03 WS2015/16 Z

Datenübertragung (Idee)

Darstellung 1:

Bit “1” entspricht: Senden eines Photons.

Bit “0” entspricht: Nicht-Senden eines Photons.

Darstellung 2:

Bit “1” entspricht: Senden eines Photons in einer Ausrichtung.

Bit “0” entspricht: Senden eines Photons in orthogonaler Ausrichtung.

In beiden Darstellungen ist ein Lauschen möglich.

Wir brauchen bessere Darstellung.

Ziel: Stelle fest, ob ein Lauscher auf der Leitung ist.

Daher wählen wir zwei verschiedene Darstellungen.

(29)

Zwei Darstellungen:

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

(30)

Zwei Darstellungen:

1^⊕in erster Darstellung.

0^⊕in erster Darstellung.

1^⊗in zweiter Darstellung.

0^⊗in zweiter Darstellung.

f^⊕Filter für erster Darstellung.

f^⊗Filter für zweiter Darstellung.

Problem: zur fehlerfreien Übertragung muss Darstellung bekannt sein.

Dann kann aber auch ein Lauscher ungestört lauschen.

Also betrachten wir den Fall, die Darstellung ist nicht bekannt.

1^⊕:

0^⊕:

1^⊗:

0^⊗:

f^⊕: f^⊗:

(31)

Zwei Darstellungen:

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

(32)

Übertragung ohne Lauscher:

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Sende: 1

Sende: 0

Bei der Hälfte der Übertragungen können Fehler auftreten.

Die Hälfte der Übertragungen ist korrekt.

(33)

Übertragung mit Lauscher:

Sende: 1 Sende: 1 Sende: 0 Sende: 0 Sende: 1 Sende: 1 Sende: 0 Sende: 0 Sende: 1 Sende: 1 Sende: 0 Sende: 0 Sende: 1 Sende: 1 Sende: 0 Sende: 0

Bei drei Viertel der Übertragungen können Fehler auftreten.

Nur ein Viertel der Übertragungen ist korrekt.

(34)

Datenübertragung

A:m_i∈ {0,1},16i6k B:k

füri∈ {1,2, ...,4k}wähle zufälligr_i∈ {⊕,⊗}

füri∈ {1,2, ...,4k}wähle zufälligs_i∈ {⊕,⊗}

undz_i∈ {0,1} (z₁^r¹,z^r₂², ...,z_4k^r^4k)

Empfängt:(z₁⁰,z₂⁰, ...,z_4k⁰ ) WähltI⊂ {1,2, ...,4k}

mit|I|=2k I,{z_i⁰|i∈I}

Öffentlich Testet:z_i=^?z_i⁰füri∈I

Abbruch, bei Fehler WähltJ⊂ {1,2, ...,4k} \I mit|J|=k SeiJ={a₁,a2, ...,a_k}

Setze:c_i=m_i⊕z_ai J,c₁,c₂, ...,c_k

Bestimmt:m⁰_i=c_i⊕z⁰_ai

(35)

4:33 Realisierung der Protokolle Walter Unger 12.12.2015 16:03 WS2015/16 Z

Probleme

Technische Probleme, die bei der Realisierung auftreten:

Bisher sehr langsam.

Technik ist teuer.

Es können Photonen verloren gehen.

Es kann manchmal mehr als ein Photon gesandt werden, d.h.

Doppelmessung kommen vor.

Es können Fehlmessungen auftreten.

Was passiert bei verschränkten Photonen?

Was passiert bei gespeicherten Photonen?

(36)

Fragen

Was ist die Idee des Verfahrens von ElGamal?

Wie sicher ist des Verfahrens nach ElGamal?

Wie macht man eine Unterschrift nach ElGamal?

Was ist der Unterschied zwischen der Verschlüsselung mit Elliptischen Kurven und ElGamal?

Wie ist die Idee bei der Verschlüsselung mit Elliptischen Kurven?

Was ist die Idee bei der Quantenkryptographie?

(37)

Legende

: Nicht relevant

: Grundlagen, die implizit genutzt werden : Idee des Beweises oder des Vorgehens : Struktur des Beweises oder des Vorgehens : Vollständiges Wissen