Algorithmische Kryptographie Kapitel 7 Public-Key-Systeme: ElGamal

Algorithmische Kryptographie Kapitel 7

Public-Key-Systeme: ElGamal

Walter Unger

Lehrstuhl f¨ur Informatik 1

30. Januar 2009

Einleitung

Das System Aufbau

Ver- und Entschl¨usseln Uberblick¨

Sicherheitsaspekte

Unterschriften mit ElGamal Sicherheitsaspekte

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:1) Walter Unger Z

Erinnerung

I

G ist zyklische Gruppe

: G =

m

IN}.

I

Der Generator einer zyklischen Gruppe wird primitive Wurzel genannt.

I

Falls p Primzahl, dann ist Z Z

zyklisch mit

1) Generatoren.

I

Z Z

ist zyklisch, gdw. n

2, 4, p

2

p

I

x

Z Z

ist Generator gdw. x

ur alle Primzahlen q,die p

1 teilen.

I

Da ord(x) das p

1 teilt gilt: x

= 1 mod p

1 oder

ord(x) = p

1.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:1) Walter Unger Z

Erinnerung

I

G ist zyklische Gruppe

: G =

m

IN}.

I

Der Generator einer zyklischen Gruppe wird primitive Wurzel genannt.

I

Falls p Primzahl, dann ist Z Z

zyklisch mit

1) Generatoren.

I

Z Z

ist zyklisch, gdw. n

2, 4, p

2

p

I

x

Z Z

ist Generator gdw. x

ur alle Primzahlen q,die p

1 teilen.

I

Da ord(x) das p

1 teilt gilt: x

= 1 mod p

1 oder

ord(x) = p

1.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

B:

m

,

y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

B:

m

,

y, n

W¨ ahle x, y

n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m

,

y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z

c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m

d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y

c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:2) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:

x, y

n

m, y, n

W¨ ahle x, y n = x

y

y

n

W¨ ahle z c = n

z + m d = z

y c

d

m = c

x

d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:3) Walter Unger Z

ElGamal

I

Schweres Problem: diskreter Logarithmus.

I

D.h. es wird als schwer angenommen f¨ ur gegebene Zahlen a, b, p, eine Zahl x zu bestimmen mit

a

= b mod p

.

I

a

b wird zu a

(mod p)

I

a + b wird zu a

b (mod p)

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:3) Walter Unger Z

ElGamal

I

Schweres Problem: diskreter Logarithmus.

I

D.h. es wird als schwer angenommen f¨ ur gegebene Zahlen

zu bestimmen mit

a^x

=

mod

.

I

a

b wird zu a

(mod p)

I

a + b wird zu a

b (mod p)

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:3) Walter Unger Z

ElGamal

I

Schweres Problem: diskreter Logarithmus.

I

D.h. es wird als schwer angenommen f¨ ur gegebene Zahlen a, b, p, eine Zahl x zu bestimmen mit

a

= b mod p

.

I a·b

wird zu

(mod

I

a + b wird zu a

b (mod p)

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:3) Walter Unger Z

ElGamal

I

Schweres Problem: diskreter Logarithmus.

I

D.h. es wird als schwer angenommen f¨ ur gegebene Zahlen a, b, p, eine Zahl x zu bestimmen mit

a

= b mod p

.

I

a

b wird zu a

(mod p)

I a

+

wird zu

(mod

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teiler q⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teiler q⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teiler q⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teiler q⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teilerq⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:4) Walter Unger Z

Aufbau von ElGamal

I Bestimme eine große Primzahlp, so dassp−1 einen großen Primfaktor hat.

I Zum Bestimmen solcher Primzahlen pw¨ahlt man zuerst eine große Primzahlq und testet dann als Kandidaten f¨urp Zahlen der Form 2kq+ 1.

I Bestimme weiter einen Generatorg ∈ZZ^∗_p.

I Um zu testen, obg ein Generator ist, m¨ussen die Werte vonk faktorisierbar sein, d.h. qwird groß gew¨ahlt undk relativ klein.

I F¨ur einen Generatorg muss f¨ur alle Teilerq⁰ vonp−1 gelten g^(p−1)/q0 6≡1 (modp).

I Damit kann man einfach testen, obg ein Generator ist.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:5) Walter Unger Z

Aufbau von ElGamal

I

W¨ ahle zuf¨ allig

2}.

I

Bestimme y := g

mod p.

I

Der geheime Schl¨ ussel ist dann (p, g

x).

I

Der ¨ offentliche Schl¨ ussel ist dann (p, g

y).

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:5) Walter Unger Z

Aufbau von ElGamal

I

W¨ ahle zuf¨ allig x

p

2}.

I

Bestimme

:=

mod

I

Der geheime Schl¨ ussel ist dann (p, g

x).

I

Der ¨ offentliche Schl¨ ussel ist dann (p, g

y).

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:5) Walter Unger Z

Aufbau von ElGamal

I

W¨ ahle zuf¨ allig x

p

2}.

I

Bestimme y := g

mod p.

I

Der geheime Schl¨ ussel ist dann (p,

I

Der ¨ offentliche Schl¨ ussel ist dann (p, g

y).

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Aufbau (7:5) Walter Unger Z

Aufbau von ElGamal

I

W¨ ahle zuf¨ allig x

p

2}.

I

Bestimme y := g

mod p.

I

Der geheime Schl¨ ussel ist dann (p, g, x).

I

Der ¨ offentliche Schl¨ ussel ist dann (p,

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:6) Walter Unger Z

Verschl¨ usselung:

x∈ {2, . . . ,p−2}

y=g^xmodp

I Bei der Verschl¨usselung wird eine Hintert¨ur nicht durch das System vorgegeben.

I Stattdessen wird vom Verschl¨usseler eine zus¨atzliche Information angegeben, mit deren Hilfe der Emf¨anger entschl¨usseln kann.

I Die Verschl¨usselungsfunktion ist dannE_p,g,y^ElGamal : ZZ^∗_p→ZZ^∗_p×ZZ^∗_p.

I W¨ahlek zuf¨allig mit ggT(k,p−1) = 1.

a≡g^k modp b≡my^k ≡mg^xkmodp

I E_p,g,y^ElGamal(m)7→(a,b).

I Damit hat der Kryptotext die doppelte Gr¨oße im Vergleich zum Plaintext.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Ver- und Entschl¨usseln (7:7) Walter Unger Z

Entschl¨ usselung:

a≡g^kmodp b≡my^k≡mg^xkmodp

I Zur Entschl¨usselung bedient man sich der Eigenschaft m=b/a^x modp.

I Die Entschl¨usselungsfunktion ist dannD_p,g,x^ElGamal : ZZ^∗_p×ZZ^∗_p→ZZ^∗_p.

I Wenn (a,b) = (g^k,my^k) = (g^k,mg^xk) emfangen worden ist, dann bestimme:

I h:=a^x modp. Beachte dabei:a^x ≡g^kx (modp).

I m:=b·h⁻¹modp. Beachte hierbei:

b/a^x ≡y^km/a^x ≡g^kxm/a^x ≡m·g^kx/g^kx≡m (modp).

I Damit gilt:D_p,g,x^ElGamal(a,b)7→b/a^x modp.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:

x,y,g

B:m

,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2} y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:

x,y,g

B:m

,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor

W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2} y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:

x,y,g

B:m

,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2} y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:

x,y,g

B:m

,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m

,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1

a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp

a,b m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

Uberblick¨ (7:8) Walter Unger Z

Uberblick ¨

A:x,y,g B:m,y,g

W¨ahlepPrimzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg ∈ZZ^∗p

W¨ahlex∈ {2, . . . ,p−2}

y:=g^x modp

y,g -

W¨ahlek mit ggT(k,p−1) = 1 a≡g^kmodp

b≡my^k≡mg^xk modp a,b

m=b/a^xmodp

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:9) Walter Unger Z

Sicherheitsaspekte:

I Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

I Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

I Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen: g^xk oderg^−xk odermwie oben gegeben. Dieses zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

I Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus l¨osen kann, dann kann man auch das Diffie-Hellman-Problem l¨osen. Die R¨uckrichtung ist offen.

I Frage: was w¨are wenng kein Generator w¨are?

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:9) Walter Unger Z

Sicherheitsaspekte:

I Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

I Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

I Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen: g^xk oderg^−xk odermwie oben gegeben. Dieses zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

I Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus l¨osen kann, dann kann man auch das Diffie-Hellman-Problem l¨osen. Die R¨uckrichtung ist offen.

I Frage: was w¨are wenng kein Generator w¨are?

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:9) Walter Unger Z

Sicherheitsaspekte:

I Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

I Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

I Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen: g^xk oderg^−xk odermwie oben gegeben.

Dieses zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

I Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus l¨osen kann, dann kann man auch das Diffie-Hellman-Problem l¨osen. Die R¨uckrichtung ist offen.

I Frage: was w¨are wenng kein Generator w¨are?

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:9) Walter Unger Z

Sicherheitsaspekte:

I Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

I Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

I Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen: g^xk oderg^−xk odermwie oben gegeben.

Dieses zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

I Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus l¨osen kann, dann kann man auch das Diffie-Hellman-Problem l¨osen. Die R¨uckrichtung ist offen.

I Frage: was w¨are wenng kein Generator w¨are?

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:9) Walter Unger Z

Sicherheitsaspekte:

I Sowohl bzgl. der Sicherheit als auch bzgl. der Geschwindigkeit ist das ELGamal System voll mit RSA vergleichbar.

I Bei der Sicherheit von ElGamal geht man davon aus, dass das folgende Problem schwer ist:

I Fallsg^x undg^k gegeben sind, so ist es schwer einen der folgenden Werte zu bestimmen: g^xk oderg^−xk odermwie oben gegeben.

Dieses zugrundeliegende Problem ist als Diffie-Hellman-Problem bekannt.

I Es ist bekannt, dass, falls man das Problem des diskreten Logarithmus l¨osen kann, dann kann man auch das Diffie-Hellman-Problem l¨osen. Die R¨uckrichtung ist offen.

I Frage: was w¨are wenng kein Generator w¨are?

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w

,y,n

B:w

,x,y,n

Erzeugtx,y undn=y·x

y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w

,y,n

B:w,x,y,n

Erzeugtx,y undn=y·x

y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w

,y,n

B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z

c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z}

Testetw =^? y·d+c Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:10) Walter Unger Z

Erinnerung (keiner kann dividieren)

A:w,y,n B:w,x,y,n

Erzeugtx,y undn=y·x y,n

Erzeugtz

Bestimmtd=x·z c,d,z

^{Bestimmtc=w−n·z} Testetw =^? y·d+c

Testetn·z=^? y·d

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1. 2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1. 3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht

zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1. 2. Bestimme r :=g^k modp unds:=k⁻¹(m−rx) modp−1. 3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1. 3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimme r :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimme v:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob gilt v=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp. 3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimme v:=g^mmodpundw :=y^rr^s modp.

3. Teste, ob giltv=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:11) Walter Unger Z

Unterschrift

I

Der Systemaufbau erfolgt genau wie schon oben angegeben.

I

Um eine Nachricht m zu unterschreiben, f¨ uhre man die folgenden Schritte durch:

1. W¨ahlek zuf¨allig mit 16k 6p−2 mit ggT(k,p−1) = 1.

2. Bestimmer :=g^k modp unds:=k⁻¹(m−rx) modp−1.

3. Die Unterschrift ist dann (m,r,s).

I

Um die Unterschrift zu testen, werden die folgenden Schritte gemacht:

1. Teste, ob gilt 16r 6p−1.

2. Bestimmev:=g^mmodpundw :=y^rr^s modp.

3. Teste, ob gilt v=^? w.

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:12) Walter Unger Z

Unterschrift

r:=g^kmodp s:=k⁻¹(m−rx) modp−1 (m,r,s) v:=g^mmodp w:=y^rr^smodp

A:m,y,g B:m,x,y,g

W¨ahlep Primzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg∈ZZ^∗_p W¨ahlex ∈ {2, . . . ,p−2}

y,g

^y:=g

x modp

W¨ahlek mit ggT(k,p−1) = 1 r≡g^kmodp

r,s,m

^s:=k

−1(m−rx) modp−1 Teste, ob gilt 16r6p−1

Bestimmev :=g^mmodp Bestimmew :=y^rr^smodp Teste, ob giltv=^? w

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:12) Walter Unger Z

Unterschrift

r:=g^kmodp s:=k⁻¹(m−rx) modp−1 (m,r,s) v:=g^mmodp w:=y^rr^smodp

A:m,y,g B:m,x,y,g

W¨ahlep Primzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg∈ZZ^∗_p W¨ahlex ∈ {2, . . . ,p−2}

y,g

^y:=g

x modp

W¨ahlek mit ggT(k,p−1) = 1

r≡g^kmodp r,s,m

^s:=k

−1(m−rx) modp−1 Teste, ob gilt 16r6p−1

Bestimmev :=g^mmodp Bestimmew :=y^rr^smodp Teste, ob giltv=^? w

Einleitung Das System Sicherheitsaspekte Unterschriften mit ElGamal

(7:12) Walter Unger Z

Unterschrift

r:=g^kmodp s:=k⁻¹(m−rx) modp−1 (m,r,s) v:=g^mmodp w:=y^rr^smodp

A:m,y,g B:m,x,y,g

W¨ahlep Primzahl mitp−1 hat großen Primfaktor W¨ahle Generatorg∈ZZ^∗_p W¨ahlex ∈ {2, . . . ,p−2}

y,g

^y:=g

x modp

W¨ahlek mit ggT(k,p−1) = 1 r≡g^kmodp

r,s,m

^s:=k

−1(m−rx) modp−1 Teste, ob gilt 16r6p−1

Bestimmev :=g^mmodp Bestimmew :=y^rr^smodp Teste, ob giltv=^? w