Grundbegriffe der Kryptographie 001

Grundbegriffe der Kryptographie Vorlesungsskript von Eike Best April 2004 - Mai 2005 Oldenburg, Mai 2005 E. Best D...

Author: Douglas R. Stinson

145 downloads 1171 Views 763KB Size Report

This content was uploaded by our users and we assume good faith they have the permission to share this book. If you own the copyright to this book and it is wrongfully on our website, we offer a simple DMCA procedure to remove your content from our site. Start by pressing the button below!
Report copyright / DMCA form

DOWNLOAD PDF

Grundbegriffe der Kryptographie

Vorlesungsskript

von Eike Best April 2004 - Mai 2005

Oldenburg, Mai 2005

E. Best

Das Skript wird ständig gepflegt. Wenn Ihnen beim Lesen Fehler auffallen, schicken Sie bitte eine Mail an [email protected]. oder geben Sie sie schriftlich im Sekretariat der Theoretischen Informatik bekannt. ¨ Stand der Anderungen (Version): 19. September 2005.

Haupts¨ achlich verwendete Literatur:

Douglas R. Stinson: Cryptography. Theory and Practice. Second Edition, Chapman&Hall/CRC, ISBN 158488-206-9, 2002. Johannes Buchmann: Einf¨ uhrung in die Kryptographie. Zweite, erweiterte Auflage, Springer-Verlag, ISBN 3-540-41283-2, 2001.

2

Inhaltsverzeichnis 1 Klassische Kryptosysteme 1.1 Einf¨ uhrung . . . . . . . . . . . . . . . . . . . . . . . 1.2 Verschiebungschiffre . . . . . . . . . . . . . . . . . . 1.3 Substitutionschiffre . . . . . . . . . . . . . . . . . . . 1.4 Affin-lineare Chiffre . . . . . . . . . . . . . . . . . . 1.5 Algorithmen zur Lösung modularer Gleichungen . . 1.5.1 Ein wenig Gruppentheorie . . . . . . . . . . . 1.5.2 Berechnung des größten gemeinsamen Teilers 1.5.3 Lösung linearer modularer Gleichungen . . . 1.6 Permutationschiffre, Blockchiffren, ECB-Modus . . . 1.7 Hill-Chiffre . . . . . . . . . . . . . . . . . . . . . . . 1.8 Vigenère-Chiffre . . . . . . . . . . . . . . . . . . . . 1.9 Autokey-Chiffre, CBC-Modus . . . . . . . . . . . . . 1.10 Stromchiffre . . . . . . . . . . . . . . . . . . . . . . . 2 Klassische Kryptanalyse 2.1 Typen von Attacken . . . . . . . . . . 2.2 Kryptanalyse der affin-linearen Chiffre 2.3 Kryptanalyse der Substitutionschiffre . 2.4 Kryptanalyse der Vigenère-Chiffre . . 2.5 Kryptanalyse der Hill-Chiffre . . . . . 2.6 Kryptanalyse einer Stromchiffre . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

. . . . . . . . . . . . .

1 1 4 6 7 9 9 11 14 16 17 19 19 21

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

. . . . . .

23 23 25 25 27 30 31

3 DES und lineare Kryptanalyse 3.1 SPN: ein Substitutions-/Permutationsnetzwerk 3.2 Ein Beispiel . . . . . . . . . . . . . . . . . . . . 3.3 Lineare Kryptanalyse . . . . . . . . . . . . . . . 3.3.1 Ein wenig Wahrscheinlichkeitstheorie . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

33 33 35 38 38

. . . . . .

. . . . . .

. . . . . .

. . . . . .

i

ii

Vorlesungsskript von E. Best / Stand: 19. September 2005

3.4

3.3.2 Lineare Approximation von S-Boxen . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3.3.3 Ein linearer Angriff auf SPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 DES: Digital Encryption Standard . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46

4 AES: Advanced Encryption Standard 4.1 Auswahlverfahren . . . . . . . . . . . . 4.2 Ein wenig Körpertheorie . . . . . . . . 4.3 AES im Detail . . . . . . . . . . . . . 4.4 Algebraische Definition der AES-S-Box

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

5 Das Public-Key-Kryptosystem RSA 5.1 Mehr Zahlentheorie . . . . . . . . . . . . . . . . . . 5.1.1 Der Chinesische Restsatz . . . . . . . . . . 5.1.2 Modulare Exponentiation . . . . . . . . . . 5.1.3 Hinreichende Bedingungen f¨ ur Zerlegbarkeit 5.1.4 Quadratische Reste . . . . . . . . . . . . . . 5.2 RSA im Detail . . . . . . . . . . . . . . . . . . . . 5.3 Auswahl eines Exponenten . . . . . . . . . . . . . . 5.4 Primzahlerzeugung . . . . . . . . . . . . . . . . . . 5.5 Faktorisierung und andere Attacken auf RSA . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

. . . .

. . . . . . . . .

6 Auf diskreten Logarithmen beruhende Kryptosysteme 6.1 Zwei Nachträge . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6.1.1 Das Geburtstagsparadox . . . . . . . . . . . . . . . . . . . . . . . . . 6.1.2 Erzeugende Elemente . . . . . . . . . . . . . . . . . . . . . . . . . . 6.2 Diffie-Hellman-Schl¨ usselaustausch . . . . . . . . . . . . . . . . . . . . . . . . 6.3 Das ElGamal-Kryptosystem . . . . . . . . . . . . . . . . . . . . . . . . . . . 6.4 Effizienz des ElGamal-Verfahrens . . . . . . . . . . . . . . . . . . . . . . . . 6.5 Algorithmen zur Berechnung diskreter Logarithmen . . . . . . . . . . . . . 6.5.1 Der Babystep-Giantstep-Algorithmus von Shanks . . . . . . . . . . . 6.5.2 Der Pollard-Rho-Algorithmus zur Berechnung diskreter Logarithmen 6.5.3 Der Pohlig-Hellman-Algorithmus . . . . . . . . . . . . . . . . . . . . 6.5.4 Die Index-Calculus-Methode . . . . . . . . . . . . . . . . . . . . . . 7 Hashfunktionen und Signaturschemata 7.1 Kryptographische Hashfunktionen . . . 7.2 Digitale Signaturen . . . . . . . . . . . . 7.2.1 RSA-Signaturen . . . . . . . . . 7.2.2 Andere Public-Key-Signaturen .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

. . . . . . . . .

. . . . . . . . . . .

. . . .

. . . .

51 51 51 58 62

. . . . . . . . .

. . . . . . . . .

65 66 66 68 69 71 71 74 74 79

. . . . . . . . . . .

87 . 87 . 87 . 89 . 92 . 93 . 94 . 95 . 96 . 98 . 100 . 102

. . . .

107 . 107 . 110 . 110 . 113

. . . .

Kapitel 1

Klassische Kryptosysteme 1.1

Einfu ¨ hrung

Hauptaufgabe der Kryptographie ist es, die Kommunikation zwischen zwei Parteien – oft Alice und Bob genannt – so zu ermöglichen, dass der Inhalt dieser Kommunikation von anderen nicht verstanden wird oder werden kann. Besonders soll Oscar, ein Opponent, der z.B. gerade die Telefonleitung, die Alice und Bob verbindet, abhört, nicht herausfinden können, was die beiden miteinander sprechen (oder sich schreiben). Sozusagen die gegenteilige Aufgabe hat Kryptanalyse: hier geht es darum, durch clevere Ideen die kryptographischen Methode(n) herauszufinden, die von Alice und Bob f¨ ur ihre geheime Kommunikation benutzt werden, und insbesondere den Schl¨ ussel zu ‘knacken’, den Bob benutzt, um Alices Nachrichten zu verstehen (denn hat Oscar diesen Schl¨ ussel, kann er nat¨ urlich auch die Nachrichten verstehen). Die Gesamtheit der kryptographischen und kryptanalytischen Methoden nennt man Kryptologie. Nehmen wir an, dass Alice Bob eine Nachricht in Klartext, z.B. ichliebedich, zukommen lassen möchte. Damit kein anderer dies versteht, verschl¨ usselt Alice diese Nachricht vor dem Abschicken. Ein Schl¨ ussel könnte zum Beispiel sein: verschiebe die Buchstaben um eine Stelle im Alphabet nach hinten. Dann lautet diese Nachricht: JDIMJFCFEJDI. Wir verwenden der Klarheit halber Kleinbuchstaben f¨ ur Klartext und Großbuchstaben f¨ ur verschl¨ usselten Text, der auch Chiffretext heißt. Normalerweise verwenden wir als Alphabet nur die 26-buchstabige Menge A = {a, b, . . . , z}, so dass die Zuordnung von Klar- zu Chiffretext keine Zweideutigkeiten nach sich zieht, wenigstens keine typografischen. Definition 1.1.1 Kryptosystem Ein Kryptosystem ist ein 5-Tupel (P, C, K, E, D), dessen einzelne Elemente Folgendes bedeuten: • P ist eine endliche Menge von Klartexten (‘plaintexts’), wie zum Beispiel A oben. 1

2

Vorlesungsskript von E. Best / Stand: 19. September 2005 • C ist eine endliche Menge von Chiffretexten (‘ciphertexts’), wie zum Beispiel (die großbuchstabige Version von) A. • K (Schl¨ usselraum, ‘keyspace’) ist eine endliche Menge von Schl¨ usseln. • E (‘encryption’) sind die Verschl¨ usselungsfunktionen (je eine, eK , pro Schl¨ ussel K ∈ K). • D (‘decryption’) sind die Entschl¨ usselungsfunktionen (je eine, dK , pro Schl¨ ussel K ∈ K).

Die beiden Funktionen eK und dK m¨ ussen durch effiziente Algorithmen berechenbar sein und es muss gelten: dK (eK (x)) = x, f¨ ur jeden Klartext x und Schl¨ ussel K. (Aus letzterem folgt insbesondere, dass eK f¨ ur jeden 1.1.1 Schl¨ ussel K injektiv ist.) Im Beispiel sind: P C K E, D

= {a, b, . . . , z} = {A, B, . . . , Z} = {K | 0≤K≤25} : siehe unten.

Hier sind gleich 26 mögliche Verschl¨ usselungsmethoden zusammengefasst: Schieben der Buchstaben um K Positionen im Alphabet. Die oben angewandte gehört zu K = 1. Julius Caesar hingegen soll regelmäßig – privat wie geschäftlich – K = 3 angewendet haben1 . Gilt auch die letzte Bedingung? Ver- und Entschl¨ usselung E bzw. D sind offensichtlich leicht algorithmisch ausdr¨ uckbar, f¨ ur K = 1 z.B. mit Hilfe folgender Tabelle: a B

b C

c D

d E

e F

f G

g H

h I

i J

j K

k L

l M

m N

n O

o P

p Q

q R

r S

s T

t U

u V

v W

w X

x Y

y Z

z A.

(Verschl¨ usseln e1 von oben nach unten, Entschl¨ usseln d1 von unten nach oben), und es gilt offenbar stets d1 (e1 (x)) = x. Nat¨ urlich ist e1 auch injektiv. Allgemein gilt: wäre eK nicht injektiv, gäbe es zwei Klartexte mit der gleichen Verschl¨ usselung, d.h., die Entschl¨ usselung wäre dann uneindeutig. Bei einem Kryptosystem handelt es sich also um eine Zusammenfassung gleichartiger Verschl¨ usselungsmethoden. F¨ ur die eben angegebenen Schiebe-Chiffren eignen sich verdrehbare Scheiben besonders gut, auf denen man das K einstellen kann2 . Zu Julius Caesars Zeiten war eine Verschl¨ usselung dieser einfachen Art wahrscheinlich ziemlich sicher, weil die meisten Leute sowieso nicht lesen konnten. Heute ist dieses Kryptosystem aber nicht besonders gut, denn ein Opponent, der weiß, dass eine Schiebemethode angewendet worden ist, kann den Schl¨ ussel sehr leicht durch Ausprobieren herausfinden (und braucht dazu nur Papier und Bleistift). Bessere Kryptosysteme haben insbesondere einen viel größeren Schl¨ usselraum – allerdings macht dessen Größe allein noch nicht die Qualität aus, wie wir sehen werden. Das gerade geschilderte Kryptosystem heißt symmetrisch, weil der Schl¨ ussel K gleichermaßen von Alice und von Bob geheim gehalten werden muss, weil er sonst von Opponenten benutzt werden kann – siehe Abbildung 1.1. Ein solcher Schl¨ ussel heißt auch Geheimschl¨ ussel (secret key). Vor knapp 20 Jahren entdeckte man, dass es aus Anwendungssicht sehr sinnvoll sein kann, Verschl¨ usselung und Entschl¨ usselung stärker zu trennen – siehe Abbildung 1.2. Angenommen, dass es zum Verschl¨ usseln und 1 www.murky.org/cryptography/classical/caesar.shtml. 2 www.mystery-twister.com/know

history.php.

Kryptographie - Sommersemester 2004

3

zum Entschl¨ usseln zwei verschiedene Schl¨ ussel gibt, und angenommen auch, dass letzterer sich nur schwer aus ersterem berechnen lässt. Dann kann Bob so vorgehen, wenn er möchte, dass ihm eine beliebige Person (nicht nur Alice) eine verschl¨ usselte Nachricht senden kann: er gibt den Verschl¨ usselungsschl¨ ussel öffentlich bekannt (public key), behält aber den Entschl¨ usselungsschl¨ ussel bei sich (private key). Somit kann nur Bob Nachrichten entschl¨ usseln, die mit dem public key verschl¨ usselt worden sind, während zur Verschl¨ usselung jede/r befugt ist. Es entfällt unter anderem auch die Notwendigkeit, dass sich Alice und Bob, bevor u ¨berhaupt eigentliche Kommunikation stattfinden kann, auf einen gemeinsamen Schl¨ ussel einigen. Kryptosysteme, die public key / private key auf diese Weise benutzen, heißen aus naheliegenden Gr¨ unden asymmetrisch.

Unsichere Verbindung Alice

x

Verschl¨ usselung eK

y

Ã

Oscar ... Ã

y

Entschl¨ usselung dK

x

Bob

Sichere Verbindung K Schl¨ usselquelle (secret key) Abbildung 1.1: Secret-key-Kryptographie

Unsichere Verbindung Alice

x

Verschl¨ usselung ePublicKey

PublicKey Schl¨ usselquelle 1

y

Ã

Oscar ... Ã

y

Entschl¨ usselung dPrivateKey

PrivateKey Schl¨ usselquelle 2

Abbildung 1.2: Public-key-Kryptographie

x

Bob

4

1.2


Verschiebungschiffre

Definition 1.2.1 Kongruenz modulo m Seien a und b zwei ganze Zahlen und sei m eine positive ganze Zahl. Dann schreibt man a ≡ b (mod m) (ausgesprochen: a ist kongruent b modulo m), wenn m | (b−a), d.h. wenn m die Differenz b−a teilt. 1.2.1 Zerlegt man a und b modulo m, z.B. durch Division durch m mit Hilfe des Euklidischen Algorithmus, erhält man a = q1 m + r1 und b = q2 m + r2 mit 0 ≤ r1 < m und 0 ≤ r2 < m. Es gilt a ≡ b (mod m) genau dann, wenn r1 = r2 . Der Wert r1 wird mit a mod m bezeichnet, und gleichermaßen der Wert r2 mit b mod m. Die Werte q1 und q2 werden a div m bzw. b div m genannt. Beispiel 1: 101 mod 7 = 3, weil 101 = 14·7 + 3. Beispiel 2: (−101) mod 7 = 4, weil −101 = (−15)·7 + 4. Achtung: Dies kann durchaus von den Operationen abweichen, die in manchen Computersprachen implementiert sind. Dort könnte (−101) mod 7 auch als −3 definiert sein. ¨ ¨ Die Kongruenz modulo m ist eine Aquivalenzrelation in der Menge der ganzen Zahlen. Die Aquivalenz¨ klassen dieser Relation heißen Restklassen modulo m. Die Aquivalenzklasse von a modulo m wird mit [a]m bezeichnet, und wenn m bekannt ist, einfachheitshalber nur mit [a]. Die Menge der Restklassen modulo m heiße Zm . Beispiel: Z6

=

{ [0], [1], . . . , [5] }

. . . , −12, −6, 0, 6, 12, . . . ∈ [0]; . . . , −11, −5, 1, 7, 13, . . . ∈ [1]; . . . , −10, −4, 2, 8, 14, . . . ∈ [2]; usw.

Der Einfachheit halber kann Zm mit den möglichen Resten 0, 1, . . . , m−1 (sozusagen mit den ‘kanonischen’ Resten) identifiziert werden. Auf Zm können Addition und Multiplikation definiert werden: [a]m + [b]m [a]m · [b]m

Def

=

Def

=

[a + b]m [a · b]m

Diese Definitionen sind repräsentantenunabhängig, die beiden Operationen sind also wohldefiniert. Eine Struktur (G, ◦) heißt Gruppe, wenn die (binäre) Operation ◦ abgeschlossen ist (d.h., wenn f¨ ur das Resultat c = a ◦ b mit a, b ∈ G wieder c ∈ G gilt), wenn die Operation assoziativ ist (d.h., stets a ◦ (b ◦ c) = (a ◦ b) ◦ c gilt, ein Einselement – auch Einheit genannt – bez¨ uglich der Operation ◦ existiert (d.h., ein Element e ∈ G mit e ◦ a = a ◦ e = a f¨ ur alle a ∈ G), und Inverse existieren (d.h., zu jedem Element a ∈ G ein Element b a ∈ G mit a ◦ b a = b a ◦ a = e). Eine Gruppe heißt Abelsch, wenn sie zusätzlich kommutativ ist (d.h., stets a ◦ b = b ◦ a gilt). Eine Struktur (R, +, ·) heißt Ring, wenn (R, +) eine Abelsche Gruppe ist, die Multiplikation · abgeschlossen und assoziativ ist, und wenn das folgende Distributivgesetz gilt: stets a·(b+c) = (a·b)+(a·c) und (b+c)·a = (b·a)+(c·a). Eine Ring heißt kommutativ, wenn die Multiplikation · kommutativ ist, und er heißt Ring mit Einheit, wenn es ein Einselement bzgl. · gibt.


5

Satz 1.2.2 (Zm , +, ·) ist ein kommutativer Ring mit Einheit. Beweis: (Skizze.) Die Einheit bzgl. der Addition ist die [0]. Das zu einem Element [r] ∈ Z m inverse Element bzgl. der Addition ist [m−r]. Die Einheit bzgl. der Multiplikation ist die [1]. Die behaupteten algebraischen Eigenschaften sind unschwer nachzuweisen. 1.2.2 Die Existenz eines Inversen bez¨ uglich der Multiplikation ist im Allgemeinen nicht gegeben. Beispielsweise kann f¨ ur a = 3 die Multiplikation q · a niemals in die Restklasse 1 von 6 fallen. Gilt jedoch 3 ggT(r, m) = 1, dann existiert das multiplikative Inverse von a modulo m. Beispielsweise ist das multiplikative Inverse von 5 in Z6 wieder 5, denn es gilt 5·5 = 25 und 25 mod 6 = 1. Man nennt zwei Zahlen a, m mit ggT(a, m) = 1 zueinander relativ prim, oder teilerfremd. Sei Z∗m die Menge der Restklassen modulo m, die (d.h. deren kanonische Repräsentanten) relativ prim zu m sind. Z∗m ist wohldefiniert: denn aus ggT(a, m) = 1 folgt ∀k : ggT(a+km, m) = 1. Beispiel:

Z∗15

=

{[1]15 , [2]15 , [4]15 , [7]15 , [8]15 , [11]15 , [13]15 , [14]15 }

=

{1, 2, 4, 7, 8, 11, 13, 14}

(Kurzschreibweise)

Achtung: Die 0 ist nicht in Z∗m , weil jede Zahl 6= 0 die 0 teilt. Satz 1.2.3 (Z∗m , ·) ist eine endliche Abelsche Gruppe. Beweis: Zum Beweis m¨ ussen die Gruppenaxiome und Kommutativität nachgewiesen werden. Zur Existenz ∗ eines Inversen: das zu a ∈ Z∗m inverse Element ist, wie wir später zeigen werden (Korollar 1.5.5), b a = a|Zm |−1 . 1.2.3

Falls m = p prim ist, gilt |Z∗m | = p−1, sonst gilt |Z∗m | < p−1.

Beispiele: Z∗6 hat zwei Elemente, 1 und 5. Die Gruppentafeln von (Z∗6 , ·) und (Z∗15 , ·) sind in Abbildung 1.3 dargestellt.

(Z∗6 , ·) 1 5

1 1 5

5 5 1

(Z∗15 , ·) 1 2 4 7 8 11 13 14

1 1 2 4 7 8 11 13 14

2 4 2 4 4 8 8 1 14 13 1 2 7 14 11 7 13 11

7 8 7 8 14 1 13 2 4 11 11 4 2 13 1 14 8 7

11 11 7 14 2 13 1 8 4

13 13 11 7 1 14 8 4 2

14 14 13 11 8 7 4 2 1

Abbildung 1.3: Gruppentafeln von (Z∗6 , ·) und (Z∗15 , ·) 3 Wir

benutzen die Schreibweise ggT(a1 , . . . , ar ) f¨ ur den gr¨ oßten gemeinsamen Teiler von a1 , . . . , ar .

6


Weil (Zm , +) additive Inverse hat, kann auch die Differenz definiert werden: a−b

Def

(a − b) mod m.

=

Die Verschiebungschiffre (‘shift cipher’) wird g¨ unstig definiert, indem die Buchstaben {a, . . . , z} mit den Restklassen {0, . . . , 25} von Z26 identifiziert werden: a 0

b 1

c 2

d 3

e 4

f 5

g 6

h 7

i 8

j 9

k 10

l 11

m 12

n 13

o 14

p 15

q 16

r 17

s 18

t 19

u 20

v 21

w 22

x 23

y 24

z 25

Kryptosystem 1.2.4 Verschiebungschiffre Es seien P = C = K = Z26 , und f¨ ur K ∈ K seien eK und dK folgendermaßen definiert: eK (x) dK (y)

= (x + K) mod 26 = (y − K) mod 26,

f¨ ur alle x, y ∈ Z26 .

1.2.4

Wie schon erwähnt, ist die Verschiebungschiffre nicht sicher, denn man kann durch systematisches, vollständiges Ausprobieren (exhaustive search, brute force) herausfinden, welcher Schl¨ ussel (unter den nur 26 otig. Trotzdem gibt es auch f¨ ur vorhandenen) verwendet wurde. Dazu sind im Mittel 26 2 = 13 Versuche n¨ den shift cipher praktische Verwendung, zum Beispiel ROT13 als ‘Spoiler-Warnung’ in Usenet-Artikeln 4 . Warum gerade ROT13? Das Verschieben um 13 Positionen ist selbst-invers, d.h., Ver- und Entschl¨ usseln kann mit Hilfe der gleichen Funktion geschehen. Beispiel: ROT13(ROT13(thebutlerdidit)) = ROT13(GUROHGYREQVQVG) = thebutlerdidit . Diese Anwendung hat nat¨ urlich beim Gebrauch von Sonderzeichen (Umlauten usw.) ihre engen Grenzen.

1.3

Substitutionschiffre

Eine offenbar schon ca. 500 Jahre vor Caesar bekannte Kryptomethode ist der Atbash j¨ udischen Ursprungs5 . Hier wird a auf Z abgebildet, b auf Y, c auf X, usw., die Buchstaben des Alphabets werden also einfach ‘umgedreht’. Der Atbash ist offenbar nicht als Verschiebungschiffre beschreibbar. Er gehört jedoch zur größeren Klasse der Substitutionschiffren, die wir in diesem Abschnitt definieren. Bekanntlich ist eine Funktion π : X → X, mit einer endlichen Menge X, schon dann bijektiv, wenn sie injektiv oder surjektiv ist. In diesem Fall heißt π eine Permutation von X, und es existiert die Umkehrfunktion π −1 mit der Eigenschaft ∀x ∈ X : π −1 (π(x)) = x = π(π −1 (x)). Nat¨ urlich ist auch π −1 wieder eine Permutation von X. 4 rot13.de. 5 www.templarhistory.com/atbash.html


7

Kryptosystem 1.3.1 Substitutionschiffre Es seien P = C = Z26 , und K sei die Menge aller Permutationen der 26 Zeichen A = {a, . . . , z}. F¨ ur eine Permutation K = π seien eK und dK folgendermaßen definiert: eK (x) dK (y)

= π(x) = π −1 (y),


1.3.1

Der Atbash ist eine Substitutionschiffre, ebenso wie auch alle Verschiebungschiffren spezielle Substitutionschiffren sind. Da es 26! Permutationen der Menge A gibt, ist der Keyspace in der Substitutionschiffre sehr groß, nämlich größer als 4·1026 . Brute-Force-Methoden sind ausgeschlossen, um solche Verschl¨ usselungen zu ‘knacken’; es gibt aber andere, bessere Methoden der Kryptanalyse.

1.4

Affin-lineare Chiffre

Bei der affin-linearen (oder der K¨ urze halber nur ‘affinen’) Chiffre handelt es sich um einen weiteren Spezialfall der Substitutionschiffre, der allerdings die Verschiebungschiffre umfasst und verallgemeinert. Wir lassen in der affinen Chiffre Verschl¨ usselungen der Form e(x) = (ax + b) mod 26 zu, wobei a und b zwei Restklassen in {0, . . . , 25} sind. (Mit dem Spezialfall a = 1 ergibt sich die Verschiebungschiffre.) Nicht alle Verschl¨ usselungen dieser Art sind tatsächlich Substitutionen. Zum Beispiel ist mit a = 4 und b = 7 die Verschl¨ usselung e(x) = (4x + 7) mod 26 nicht eindeutig, weil x und x + 13 auf den gleichen Chiffretext abgebildet werden (f¨ ur alle x ∈ Z26 ). Um (ax + b) mod 26 entschl¨ usseln zu können, fragen wir nach der Injektivität dieser Funktion, d.h., danach, wann die Kongruenz (ax + b) ≡ y (mod 26), oder, dazu äquivalent:

ax ≡ (y−b) (mod 26),

eine eindeutige Lösung (bzgl. x, f¨ ur beliebige y in {0, . . . , 25}) hat. Da mit y auch y−b u ¨ber Z26 variiert, gilt dies genau dann, wenn ax ≡ y (mod 26)

(1.1)

eine eindeutige Lösung in x hat. Satz 1.4.1 Gleichung (1.1) hat genau dann eine eindeutige L¨ osung in x (f¨ ur alle y ∈ Z26 ), wenn gilt: ggT(a, 26) = 1.

8


Beweis: Zum Beweis der einen Richtung, (⇒), nehmen wir an, dass d = ggT(a, 26) > 1 ist. Dann hat die Gleichung ax ≡ 0 (mod 26) (also Gleichung (1.1), speziell mit y = 0) mindestens zwei verschiedene Lösungen, nämlich x = 0 und x = d1 26. Zum Beweis von (⇐) nehmen wir ggT(a, 26) = 1 an. Betrachten wir x1 und x2 mit ax1 ≡ ax2 (mod 26). Dann gilt a(x1 −x2 ) ≡ 0 (mod 26), also 26 | a(x1 −x2 ). Weil ggT(a, 26) = 1 ist, folgt daraus 26 | (x1 −x2 ), d.h.: x1 ≡ x2 (mod 26). (Wir haben hier eine Eigenschaft der Teilung ganzer Zahlen benutzt: wenn ggT(a, b) = 1 und a | bc, dann a | c.) Je zwei Lösungen x1 , x2 von Gleichung (1.1) liegen also in der gleichen Restklasse 1.4.1 bzgl. 26, sind also gleich (als Elemente von Z26 ). Eine allgemeinere Version dieses Satzes lernen wir später kennen (Korollar 1.5.13). Wir berechnen die Größe des Keyspace einer affinen Chiffre. Definition 1.4.2 Eulersche Φ-Funktion F¨ ur m ∈ N\{0} sei Φ(m) = |Z∗m | die Anzahl der Zahlen in Zm , die teilerfremd zu m sind.

1.4.2

Beispielsweise gilt Φ(6) = 2, Φ(15) = 8 und Φ(26) = 12 (denn die Zahlen zwischen 0 und 25, die teilerfremd zu 26 sind, sind 1, 3, 5, 7, 9, 11, 15, 17, 19, 21, 23, 25). Die möglichen Werte von a sind in diesem Fall also die zuletzt genannten 12 Zahlen, während f¨ ur b jedes der 26 Elemente von Z26 Verwendung finden kann. Es gibt also 12·26 = 312 verschiedene Schl¨ ussel. Im allgemeinen Fall sind es bei |P| = m genau m·Φ(m) verschiedene Schl¨ ussel. Wir wenden uns nun der Entschl¨ usselung von affin-linearen Chiffren zu. Nehmen wir an, dass ggT(a, 26) = 1 und b ∈ Z26 gelten. Um einen Chiffretext y entschl¨ usseln, muss die Kongruenz y ≡ (ax + b) (mod 26)

(1.2)

bei bekanntem y in x (Klartext) gelöst werden. Zwar wissen wir bereits, dass es eine eindeutige Lösung gibt, jedoch haben wir noch keinen effizienten Algorithmus daf¨ ur. Einen solchen geben wir im nachfolgenden Abschnitt 1.5 an. Wir haben schon gesehen (Satz 1.4.1 mit dem Spezialfall y = 1), dass jedes Element a ∈ Z ∗26 ein multipli∗ katives Inverses hat, das u ist. ¨blicherweise als a−1 geschrieben wird und das ebenfalls ein Element von Z26 −1 −1 ∗ Auch gilt (a ) = a f¨ ur alle solche a. Nebenbei: ist m = p eine Primzahl, gilt Zp = Zp \{0}, und jedes Element von Zp \{0} hat ein multiplikatives Inverses. Dann gilt auch Φ(p) = p−1. Die folgende Tabelle zeigt die multiplikativen Inversen der Gruppe (Z∗26 , ·): a=(a−1 )−1 a−1

1 1

3 9

5 21

7 15

11 17 25 19 23 25

Unsere zu lösende Kongruenz y ≡ (ax + b) (mod 26) is äquivalent mit ax ≡ (y − b) (mod 26) . Da a ein multiplikatives Inverses hat, kann diese zur Multiplikation beider Seiten dieser Kongruenz verwendet werden: a−1 (ax) ≡ a−1 (y − b) (mod 26) ( ≡ (a−1 a)x (mod 26)) .


9

Also löst x = a−1 (y − b) mod 26 die Gleichung (1.2). ¨ Aus diesen Uberlegungen folgt endlich eine genaue Definition der affin-linearen Chiffre: Kryptosystem 1.4.3 Affin-lineare Chiffre Es seien P = C = Z26 , und K sei die Menge aller Paare {(a, b) | a, b ∈ Z26 und ggT(a, 26) = 1}. F¨ ur K = (a, b) ∈ K seien eK und dK folgendermaßen definiert: eK (x) dK (y)

= (ax + b) mod 26 = a−1 (y − b) mod 26,


1.4.3

Beispiel: Wir betrachten K = (7, 3). Der Tabelle der Inversen modulo 26 entnehmen wir: 7−1 = 15. Die Ver- und Entschl¨ usselungsfunktionen sind: eK (x) dK (y)

= 7x + 3 = 15(y − 3)

= 15y − 19,

wobei diese Operationen (ebenso wie die nachfolgenden) modulo 26 zu verstehen sind. Die beiden Operationen sind in der Tat Inverse voneinander, denn es gilt: dK (eK (x))

= dK (7x + 3) = 15(7x + 3) − 19 = x + 45 − 19 = x.

Wir verschl¨ usseln zur Illustration den Text ‘axt’. Diese Buchstaben entsprechen folgenden Restklassen von 26: a = b 0, x = b 23 und t = b 19. Wir verschl¨ usseln: (7·0 + 3) mod 26 (7·23 + 3) mod 26 (7·19 + 3) mod 26

= 3 mod 26 = 164 mod 26 = 136 mod 26

= 3 = 8 = 6.

Das Chiffrewort heißt also 3 8 6 = b DIG.

1.5 1.5.1

Algorithmen zur L¨ osung modularer Gleichungen Ein wenig Gruppentheorie

Eine Untergruppe ist eine Teilmenge einer Gruppe, die auch eine Gruppe ist. In Abbildung 1.3 (rechts) ist z.B. {1, 2, 4, 8} eine Untergruppe. Satz 1.5.1 Lagrange Sei (G0 , ◦) Untergruppe einer endlichen Gruppe (G, ◦). Dann gilt: |G 0 | | |G| (d.h., |G0 | teilt |G|).

10


Beweis: Sei H eine Untergruppe von G. Wir definieren a, b ∈ G als äquivalent (bzgl. H), wenn a ◦ b−1 ∈ H. ¨ ¨ (Dass dies eine Aquivalenzrelation ist, ist leicht zu beweisen.) Insbesondere ist H die Aquivalenzklasse von e, der Einheit. Seien a, b ∈ G beliebig gewählt. Die Abbildung h ◦ a 7→ h ◦ b zwischen den beiden ¨ Aquivalenzklassen {h ◦ a | h ∈ H} und {h ◦ b | h ∈ H} kann unschwer als Bijektion erkannt werden. Also ¨ haben alle Aquivalenzklassen gleiche Mächtigkeit, und |H| teilt |G|, weil G die disjunkte Vereinigung dieser ¨ 1.5.1 Aquivalenzklassen ist. Korollar 1.5.2 Falls (G0 , ◦) eine echte Untergruppe einer endlichen Gruppe (G, ◦) ist, gilt: |G 0 | ≤ 21 |G|.

1.5.2

Sei a ein Element einer Gruppe. Dann ist hai = {ak | k ≥ 1} eine Untergruppe, genannt die von a generierte Untergruppe. In Abbildung 1.3 (rechts) gilt z.B. h1i

=

h7i

=

h2i h4i

= =

{1},

{1, 2, 4, 8}, {1, 4},

{1, 4, 7, 13}.

Die Ordnung eines Elements a, bezeichnet mit ord (a), ist die kleinste positive Zahl t mit a t = 1, wobei 1 die Einheit der Gruppe bezeichnet. Oben gilt: ord (1) = 1, ord (2) = 4, ord (4) = 2 und ord (7) = 4. Satz 1.5.3 ord (a) = |hai|. Beweis: Sei t = ord (a). Wir zeigen zuerst ord (a) ≥ |hai|. Wegen at = 1 und at+k = at ◦ ak = ak f¨ ur k ≥ 1 gilt: wenn i > t, dann ai = aj , f¨ ur ein j ≤ t. Wir zeigen dann ord (a) ≤ |hai|. Annahme: ai = aj f¨ ur 1 ≤ i < j ≤ t. Dann ai+k = aj+k f¨ ur alle k ≥ 0, i+(t−j) j+(t−j) insbesondere f¨ ur k = (t−j). Also a =a = 1, im Widerspruch dazu, dass t die kleinste Zahl mit 1.5.3 at = 1 ist. Korollar 1.5.4 Die Folge a, a2 , a3 , . . . ist periodisch mit Periode t = ord (a), d.h.: ai = aj genau dann, wenn i ≡ j (mod t). 1.5.4 Korollar 1.5.5 Sei (G, ◦) eine endliche Gruppe. Dann gilt a|G| = 1, f¨ ur alle a ∈ G. Beweis: Langranges Satz und Satz 1.5.3 liefern ord (a) | |G|, also gilt a|G| = ak·ord(a) = 1. 1.5.5 Hieraus kann man die Sätze von Euler und (den ‘kleinen’) von Fermat ableiten. Betrachte dazu speziell die Gruppe (Z∗m , ·). Das Folgende ist ein Korollar von Korollar 1.5.5.


11

Korollar 1.5.6 Euler aΦ(m) ≡ 1 (mod m), f¨ ur alle a ∈ Z∗m .

1.5.6

Und das Folgende folgt aus Korollar 1.5.6 und der Gleichung Φ(p) = p−1 f¨ ur Primzahlen p. Korollar 1.5.7 Fermat ap−1 ≡ 1 (mod p), f¨ ur alle a ∈ {1, . . . , p−1} (falls p prim).

1.5.7

Daraus folgt auch, dass ap ≡ a (mod p) f¨ ur alle a ∈ {0, . . . , p−1}, falls p prim ist.

1.5.2

Berechnung des gr¨ oßten gemeinsamen Teilers

Satz 1.5.8 Linearkombination des ggT Der gr¨ oßte gemeinsame Teiler dPvon r nat¨ urlichen Zahlen a1 , . . . , ar (r > 0) l¨ asst sich ganzzahlig linear ur gewisse (nicht notwendigerweise eindeutige) ganzzahlige aus a1 , . . . , ar kombinieren: d = 1≤i≤r (xi ai ) f¨ x1 , . . . , x r . Dabei wird wieder die Konvention benutzt, dass jede nat¨ urliche Zahl ungleich 0 die 0 teilt. Der größte gemeinsame Teiler von a ∈ N und b ∈ N ist also max(a, b), falls a oder b gleich 0 sind.

Zum Beweis des Satzes erweitern wir Addition, Subtraktion und Multiplikation auf Teilmengen von Z. Seien U, V ⊆ Z. Dann U + V = {u+v | u∈U, v∈V }, U − V = {u−v | u∈U, v∈V } und U V = {uv | u∈U, v∈V }.

Eine nicht leere Teilmenge A ⊆ Z heißt Ideal (von Z), wenn gilt: A−A ⊆ A und ZA ⊆ A. Falls d ∈ N, ist Z{d} ein Ideal, genannt das von d erzeugte Hauptideal.

Beispiele: Z{0} Z{1} Z{2} etc.

= = =

{0} (Das Nullideal) Z alle geraden Zahlen

Satz 1.5.9 Hauptidealsatz Jedes Ideal A von Z ist ein Hauptideal, n¨ amlich A = Z{d} mit d = min{|a| | a∈A}. Beweis: Die Behauptung stimmt ohne weiteres f¨ ur A = {0} mit d = 0. Sei also im Folgenden A 6= {0}.

Wegen A 6= ∅ und A 6= {0} gibt es eine Zahl a ∈ A mit a 6= 0. Wegen A−A ⊆ A ist auch a−a = 0 ∈ A, und nochmals wegen A−A ⊆ A ist auch 0−a = −a ∈ A. Es gibt also eine Zahl größer gleich 1 in A. Definiere d = min{a ∈ A | a ≥ 1}. Wir behaupten A = Z{d} mit dieser Zahl d.

Z{d} ⊆ A gilt wegen ZA ⊆ A.

12


Beweis von A ⊆ Z{d}: a∈A

⇒

(Zerlegung von a, Teiler d, Rest r) a = qd + r mit 0 ≤ r < d ⇒ (A−A ⊆ A und ZA ⊆ A) r = a − qd ∈ A ⇒ (d ≥ 1 minimal in {a ∈ A | a ≥ 1}; und r < d) r=0 ⇒ (qd ∈ Z{d}) a ∈ Z{d}.

Seien jetzt r > 0 und a1 , . . . , ar ∈ N. Betrachte die Menge A = Z{a1 }+ . . . +Z{ar }. Es ist klar, dass A ein Ideal P ist. Definiere d = min{|a| | a∈A}. Aus dem vorangegangenen folgt A = Z{d}. Wegen d ∈ A folgt d = 1≤i≤r (xi ai ), also die zu beweisende Zerlegung von d. Es bleibt nur noch zu zeigen, daß d der ggT der Zahlen a1 , . . . , ar ist. Da ai ∈ A (1 ≤ i ≤ r), gilt auch ai ∈ Z{d}, also teilt d die Zahl ai . Falls t alle ai teilt, teilt t auch alle Zahlen in A, und daher auch d. Also ist d tatsächlich der ggT von a1 , . . . , ar , und der Beweis ist beendet. 1.5.9 Dieser Satz liefert insbesondere auch einen Beweis f¨ ur Satz 1.5.8. Der Algorithmus in Abbildung 1.4 berechnet den ggT von nat¨ urlichen Zahlen a und b, während der in Abbildung 1.5 gezeigte Algorithmus auch noch eine Darstellung von ggT (a, b) zur¨ uckgibt: ggT (a, b) = xa+yb. Die Existenz einer solchen Darstellung wie auch der Algorithmus folgen aus den vorangegangenen beiden Sätzen u ¨ber den ggT und ihrem Beweis. Zum Nachweis der Korrektheit des zweiten Algorithmus, extended euclid , beachte man, dass b ab c = a div b gilt und dass zwischen den beiden Zuweisungen (d, x, y) := . . . und (x, y) := . . . in der zweiten Alternative der if -Anweisung die Rechnung d

( d ist - induktiv - die Darstellung der beiden Argumente von extended euclid ) b · x + (a mod b) · y = ( Definition von a div b = b ab c und a mod b ) b · x + (a − b ab c · b) · y = ( Arithmetik ) a · y + b · (x − b ab c · y)

=

aufgestellt werden kann. ↑

↓ ↓

proc euclid (a, b) : N; % a, b ∈ N begin if b = 0 → return a b 6= 0 → return euclid (b, a mod b) fi end; Abbildung 1.4: Berechnung von ggT(a, b).


↑

13

↓ ↓

proc extended euclid (a, b) : Z3 ; % a, b ∈ N; Ausgabe : d, x, y begin if b = 0 → return (a, 1, 0) b 6= 0 → (d, x, y) := extended euclid (b, a mod b); (x, y) := (y, x−b ab c∗y); return (d, x, y) fi % d = ax+by und d = ggT (a, b) end; Abbildung 1.5: Berechnung und Darstellung von ggT(a, b). a

b

99 78 21 15 6 3

78 21 15 6 3 0

b ab c d 1 3 1 2 2 −

3 3 3 3 3 3

x

y

−11 3 −2 1 0 1

14 −11 3 −2 1 0

ee(99, 78) ee(78, 21) ee(21, 15) ee(15, 6) ee(6, 3) ee(3, 0)

3 = 99·(−11)+78·14 3 = 78·3+21·(−11) 3 = 21·(−2)+15·3 3 = 15·1+6·(−2) 3 = 6·0+3·1 3 = 3·1+0·0

Abbildung 1.6: Eine Anwendung von Algorithmus 1.5

√

(ee = extended euclid)

Eine Anwendung von Algorithmus 1.5 ist in Abbildung 1.6 gezeigt. Um die Laufzeit des Algorithmus euclid abzuschätzen, verwenden wir die Fibonacci-Zahlen, die vermittels der Rekursion F0 = 0, F1 = 1, Fk+2 = Fk+1 + Fk (k ∈ N) definiert sind. ´ Satz 1.5.10 Satz von Lame Sei k ∈ N, k ≥ 1. Seien a, b ∈ N mit a > b ≥ 0 und b < Fk+1 . Dann f¨ uhrt ein Aufruf von euclid(a, b) zu weniger als k rekursiven Aufrufen. Aus diesem Satz lässt sich eine Worst-Case-Analyse des Algorithmus euclid herleiten. Zunächst beobachten wir, dass euclid(F3 , F2 ), d.h. euclid(2, 1), genau einen rekursiven Aufruf macht. Außerdem gilt offenbar Fk+1 mod Fk = Fk−1 f¨ ur k ≥ 2. Deswegen gilt ggT(Fk+1 , Fk )

= ggT(Fk , (Fk+1 mod Fk )) = ggT(Fk , Fk−1 ).

Also f¨ uhrt ein Aufruf von euclid(Fk+1 , Fk ) zu genau k−1 rekursiven Aufrufen. Die durch den Satz von Lamé gegebene obere Schranke wird hierdurch also erreicht (worst case).

14


Beweis: Wir beweisen durch Induktion u ¨ber k, dass unter der Voraussetzung a > b ≥ 0 gilt: wenn euclid(a, b) zu k ≥ 1 rekursiven Aufrufen f¨ uhrt, dann gilt a ≥ Fk+2 und b ≥ Fk+1 . (Daraus folgt sofort der zu beweisende Satz.) Induktionsbeginn k = 1: Dann gilt b ≥ 1 = F2 , weil k = 1 rekursiver Aufruf stattfindet. Also gilt a ≥ 2 = F3 . Wegen b > (a mod b) ist das erste Argument in jedem rekursiven Aufruf strikt größer als das zweite, die Bedingung a > b ≥ 0 ist also invariant u ¨ber alle rekursiven Aufrufe. Induktionsschritt k − 1 ; k: Wegen k ≥ 1 gilt, wie oben, b ≥ 1. Also ruft euclid(a, b) rekursiv euclid(b, a mod b) auf, was zu genau k−1 rekursiven Aufrufen f¨ uhrt. Die Induktionsvoraussetzung ergibt b ≥ Fk+1 und (a mod b) ≥ Fk . Wir haben: b + (a mod b)

= b + (a − (a div b) · b) ≤ a,

weil a > b > 0 auch a div b ≥ 1 nach sich zieht. Also: a

≥ b + (a mod b) ≥ Fk+1 + Fk = Fk+2 .

Insgesamt gilt a ≥ Fk+2 und b ≥ Fk+1 , was zu zeigen war.

1.5.3

1.5.10

L¨ osung linearer modularer Gleichungen

Wir betrachten schließlich das Problem, algorithmisch eine Lösung x f¨ ur ax ≡ b (mod m)

(1.3)

zu finden, wobei m ∈ N\{0} und a, b ∈ N sind. Beispiele: 6x ≡ 1 (mod 8) und 6x ≡ 2 (mod 8). Die erste Gleichung hat keine Lösung, die zweite hat Lösungen (zum Beispiel x=3 oder x=7). Sei hai die von a generierte Untergruppe von (Zm , +). Beobachtung: (1.3) hat Lösung ⇔ b ∈ hai. (Denn in unserem Fall gilt hai = {ak | k ≥ 1} = {ax mod m | x ≥ 1}.) Aus Satz 1.5.1 folgt: |hai| teilt m. Es gibt eine Charakterisierung von hai: Satz 1.5.11 Sei d = ggT(a, m). Dann gilt hai = hdi = {0, d, 2d, . . . , ( m d −1)·d}, und mithin auch |hai| =

m d.

Beweis: Zunächst zeigen wir d ∈ hai. Der Algorithmus extended euclid (a, m) liefert ganze Zahlen x 0 , y 0 mit ax0 + my 0 = d. Also ist ax0 ≡ d (mod m), und damit d ∈ hai. Dann gilt aber auch hdi ⊆ hai, weil das Vielfache eines Vielfachen von a ein Vielfaches von a ist. Um hai ⊆ hdi zu zeigen, sei q ∈ hai. Dann q = ax mod m f¨ ur eine ganze Zahl x, also q = ax + my f¨ ur eine ganze Zahl y. Da d sowohl a als auch m teilt, teilt d auch q, d.h. q ∈ hdi. m Da es genau m 1.5.11 d Vielfache von d zwischen 0 und m − 1 gibt, gilt dann auch |hai| = |hdi| = d .


15

Satz 1.5.12 Sei d = ggT (a, m). Sei d = ax0 +my 0 (z.B. als Ausgabe von extended euclid ). Falls d | b, dann ist x0 = osung von (1.3). x0 ( db ) mod m eine L¨ Beweis: ax0

≡ ax0 ( db ) (mod m) ≡ d( db ) (mod m) ≡ b (mod m)

(Def. x0 ) (da ax0 ≡ d (mod m) wegen d = ax0 +my 0 ) 1.5.12

Korollar 1.5.13 (1.3) hat eine L¨ osung ⇔ ggT(a, m) teilt b. (Wegen Satz 1.5.11 und obiger Beobachtung.) Entweder (1.3) hat keine L¨ osung, oder d verschiedene (wobei d = ggT (a, m)).

1.5.13

Satz 1.5.14 Sei (1.3) l¨ osbar, d.h., d | b, wobei d = ggT(a, m), und sei x0 eine L¨ osung. Dann hat (1.3) genau d verschiedene L¨ osungen: xi = x0 +i·( m ) f¨ u r i = 0, 1, . . . , d−1 (modulo m). d m Beweis: Da m ur i = 0, 1, . . . , d−1, sind die Werte x0 , . . . , xd−1 alle verschieden. d > 0 und 0 ≤ i·( d ) ≤ m f¨ Aufgrung der Periodizität der Folge ai mod m (Korollar 1.5.4) und weil x0 eine Lösung ist, ist jedes xi eine Lösung. Nach Korollar 1.5.13 gibt es genau d Lösungen, so dass die x0 , . . . , xd−1 alle Lösungen sein 1.5.14 m¨ ussen.

Betrachte beispielsweise 6x ≡ b (mod 8) mit b = 1, 2. Es ist ggT(6, 8) = 2. Da 2 - b mit b=1, hat 6x ≡ 1 (mod 8) keine Lösung.

Da 2 | b mit b=2, hat 6x ≡ 2 (mod 8) genau zwei verschiedene Lösungen, nämlich x = 3 und x = 7. Genauer: mit einer Darstellung des ggT von 6 und 8, die so lautet: 2 = 6 · ( −1 ) + 8 · (|{z} 1 ), |{z} y0

x0

berechnet sich das x0 aus Satz 1.5.12 als x0 = (−1)(1) mod 8 = (−1) mod 8 = 7. Das x1 aus Satz 1.5.14 berechnet sich als x1 = x0 + 28 = 11, also 3 (modulo 8). Zur Berechnung aller xi ergibt sich der Algorithmus 1.7. Weiteres Beispiel: |{z} 14 x ≡ |{z} 30 (mod |{z} 100 ). a

0

b

m

0

Dann wird (d, x , y ) zu (2, −7, 1) (Probe: 2 = 14·(−7)+100·(1)). 2 | 30 ⇒ es gibt Lösungen.

Erste: x0 = (−7)·(15) mod 100 = 95. for-Schleife: mit i=0 und i=1 (wegen d=2) sind x0 = 95 und x1 = 45 Lösungen.

16


↓ ↓ ↓

proc L¨ ose mod eq(a, b, m); begin (d, x0 , y 0 ) := extended euclid (a, m); if d - b → keine Lösungen“ ” d | b → x0 := x0 ( db ) mod m; for i := 0 to d−1 do x0 +i∗( m osung“ endfor d ) mod m ist L¨ ” fi end; Abbildung 1.7: Lösung von ax ≡ b (mod m). Korollar 1.5.15 Sei m > 1. Falls ggT(a, m) = 1, dann hat ax ≡ b (mod m) genau eine L¨ osung modulo m. Speziell wenn b = 1, ist diese L¨ osung das multiplikative modulare Inverse von a (mod m). Dieses ist das x0 1.5.15 aus extended euclid . Der Algorithmus zur Berechnung eines multiplikativen modularen Inversen kann insbesondere zur Dechiffrierung einer affinen Chiffre (Kryptosystem 1.4.3) verwendet werden.

1.6

Permutationschiffre, Blockchiffren, ECB-Modus

Die bisher betrachteten Chiffren sind monoalphabetisch, d.h., jeder Buchstabe wird immer gleich chiffriert (z.B. wird bei ROT13 der Buchstabe a immer nur als N chiffriert). Diese Eigenschaft macht solche Chiffren Attacken (d.h. Entdeckungsversuchen durch Oscar) gegen¨ uber verwundbar. Um dies zu verhindern, kann man versuchen, den Klartext beizubehalten, die einzelnen Zeichen (z.B. die Buchstaben) aber in eine andere Reihenfolge zu bringen. In der Permutationschiffre geschieht dies blockweise, mit einer Blocklänge m. Wenn m > 1, dann ist die genannte Eigenschaft nicht zwingend vorhanden, d.h., ein Buchstabe kann, je nach Stelle des Vorkommens, durch verschiedene Chiffretexte codiert werden. Falls der Klartext eine Länge hat, die nicht durch m teilbar ist, kann er durch Anhängen von (pseudo-) zufällig gewählten Buchstaben auf eine solche Länge gebracht werden. Chiffren wie die Permutationschiffre, durch die jeweils Blöcke (gleicher Länge) des Klartextes gemäß einer Vorschrift in Blöcke des Chiffretextes chiffriert werden, heißen generell Blockchiffren. Kryptosystem 1.6.1 Permutationschiffre Sei m ∈ N\{0}. Es seien P = C = Z26 , und K sei die Menge aller Permutationen von {1, . . . , m}. F¨ ur eine Permutation K = π seien eK und dK folgendermaßen definiert: eπ (x1 , . . . , xm ) dπ (y1 , . . . , ym )

= =

(xπ(1) , . . . , xπ(m) ) mod 26 (yπ−1 (1) , . . . , yπ−1 (m) ) mod 26. 1.6.1


17

Beispiel: Wir betrachten m = 6 und die folgende Permutation π (und ihr Inverses π −1 ): ½ ¾ ½ ¾ 1 2 3 4 5 6 1 2 3 4 5 6 x x π: und π −1 : π(x) 3 5 1 6 4 2 π −1 (x) 3 6 1 5 2 4 Um den Klartext ‘blaukrautbleibtblaukraut’ zu chiffrieren, teilen wir ihn in Blöcke der Länge m = 6 ein und permutieren jeden Block einzeln im Sinne von π: b A

l K

a B

u R

k U

r L

a T

u L

t A

b E

l B

e U

i T

b L

t I

b A

l B

a u B R

k U

r U

a T

u A

t K

Man muss hier etwas aufpassen: die Abbildung von x=2 auf π(x)=5 besagt zum Beispiel, dass die alte Position 5 auf die neue Position 2 gebracht wird (und nicht umgekehrt). Die Dechiffrierung geht umgekehrt, d.h., unter Benutzung von π −1 statt π. Oben wurde das b des Klartextes durch A, E, L, und schließlich wieder durch A chiffriert. Die Permutationschiffre ist somit nicht mono-, sondern polyalphabetisch. Dies (u.a.) unterscheidet sie von der Substitutionschiffre. Bemerkung: Im Beispiel oben wurde der Chiffretext sozusagen blockweise kontextfrei produziert, das heißt, jeder i te Chiffreblock hängt nur vom entsprechenden (i ten) Klartextblock und vom Schl¨ ussel π ab. Diese sehr naheliegende Art der Chiffrierung in einer Blockchiffre heißt Electronic Codebook Mode (ECB-Modus). Hierdurch werden gleiche Klartextblöcke auch immer in gleiche Chiffreblöcke codiert (also quasi ein Monoalphabetismus auf Blockebene), und es besteht immer noch eine gute Chance, dass sich Regelmäßigkeiten des Klartextes im Chiffretext wiederfinden lassen und dadurch eine Angriffsfläche gegeben ist. Andere Modi sind auch mit der Permutationschiffre möglich und werden später beschrieben.

1.7

Hill-Chiffre

Die Hill-Chiffre (1929) ist ebenfalls polyalphabetisch und verallgemeinert die Permutationschiffre. Wir legen eine positive Zahl m fest und wollen Blöcke der Länge m des Klartextes auf einmal in Blöcke der Länge m des Chiffretextes umwandeln. Die m Zeichen des Chiffretextes sind definiert als Linearkombinationen der m Zeichen des Klartextes (modulo 26). Damit nicht notwendigerweise ein Buchstabe immer auf das gleiche Zeichen abgebildet wird, schließen wir m = 1 aus. Sei zum Beispiel m = 2. Man könnte beispielsweise festlegen, dass y1 y2

= =

(11x1 + 3x2 ) mod 26 (8x1 + 7x2 ) mod 26

gelten soll, wobei (x1 , x2 ) zwei nebeneinander liegende Klartextzeichen, (y1 , y2 ) die entsprechenden Chiffrezeichen sind. In Matrixform kann man diese Transformation auch folgendermaßen schreiben: µ ¶ 11 8 (y1 , y2 ) = (x1 , x2 ) · 3 7 Beispiel: Wir wollen den Klartext ‘meer’ auf diese Weise verschl¨ usseln. Dazu bilden wir zunächst Blöcke der Länge 2, also ‘me’ und ‘er’. Dann berechnen wir: µ ¶ 11 8 (12, 4) · = (132 + 12, 96 + 28) = (144, 124) = (14, 20) 3 7

18


und (4, 17) ·

µ

11 3

¶

8 7

= (44 + 51, 32 + 119) = (95, 151) = (17, 21).

Der Chiffretext ist also OURV. Das e wurde einmal auf U und einmal auf R abgebildet. Um einen solchen Chiffretext zu dechiffrieren, benötigt man das Inverse der (m, m)-Chiffrierungsmatrix (modulo 26). Wenn ein solches Inverses existiert, ist es wieder eine (m, m)-Matrix. In der linearen Algebra u ¨ber den reellen Zahlen existiert das Inverse einer quadratischen Matrix genau dann, wenn deren Determinante nicht 0 ist. In der linearen Algebra modulo einer nat¨ urlichen Zahl m ∈ N\{0} gibt es eine analoge Bedingung f¨ ur die Invertierbarkeit: eine quadratische Matrix K hat ein Inverses modulo m genau dann, wenn die Determinante det(K) von K und m teilerfremd sind. (Insbesondere darf die Determinante nicht 0 sein, genau wie im reellen Fall.) Im obigen Beispiel gilt det

µ

11 3

8 7

¶

= 11·7 − 8·3 = 53 ≡ 1 (mod 26),

und deswegen ggT(det(K), 26) = 1. Die Matrix ist also invertierbar. In der Tat findet man: µ

11 3

8 7

¶ µ 7 · 23

18 11

¶

=

µ

1 0

0 1

¶

und damit

µ

11 3

8 7

¶−1

=

µ

7 23

18 11

¶

,

nat¨ urlich modulo 26. Hier ist die genaue Definition des Hillschen Kryptosystems: Kryptosystem 1.7.1 Hill-Chiffre Sei m ∈ N\{0, 1}. Es seien P = C = (Z26 )m . Sei K die Menge der invertierbaren (m, m)-Matrizen u ¨ber Z26 . F¨ ur K ∈ K seien eK und dK folgendermaßen definiert: eK (x1 , . . . , xm ) dK (y1 , . . . , ym )

= =

x·K y · K −1 , 1.7.1

alles modulo 26.

Die Permutationschiffre ist ein Spezialfall des Hill-Chiffre, indem eine Permutation π von {1, . . . , m} durch eine (m, m)-Permutationsmatrix Kπ beschrieben wird. Dabei ist Kπ (i, j) als 1 definiert, wenn i = π(j), und als 0 sonst. Solche Matrizen sind stets invertierbar. Zum obigen Beispiel gehört die Permutationsmatrix 

   Kπ =    

0 0 1 0 0 0

0 0 0 0 1 0

1 0 0 0 0 0

0 0 0 0 0 1

0 0 0 1 0 0

0 1 0 0 0 0

       

Die Permutationschiffre ist a¨quivalent zur Hill-Chiffre mit dieser Matrix.


1.8

19

Vigen` ere-Chiffre

Auch in der Vigenère-Chiffre (16. Jahrhundert) kann ein Buchstabe, je nach Stelle des Vorkommens, durch verschiedene Chiffretexte codiert werden. Die Idee ist, im Wesentlichen die Verschiebungschiffre zu verwenden, die Zahl der Positionen, um die verschoben wird, jedoch durch die Benutzung eines Schl¨ usselworts variabel zu gestalten. Ist z.B. ein Schl¨ usselwort ABC gegeben, identifizieren wir A wie u blich mit 0, B ¨ mit 1 und C mit 2 und verschl¨ usseln die ersten 3 Buchstaben des Klartextes erst durch Verschieben um 0 Positionen, dann um eine Position und dann um 2 Positionen. Das wird zyklisch so fortgesetzt, indem mit Hilfe des Schl¨ usselwortes ABC durch Iteration ein Schl¨ usselstring gebildet wird. Am Schluss wird der Klartext entweder aufgef¨ ullt, bis er eine durch 3 teilbare Länge hat, oder das Schl¨ usselwort wird nur teilweise verwendet. Beispiel: Klartext Schl¨ usselstring Chiffretext

m A M

i B J

t C V

t A T

e B F

r C T

n A N

a B B

c C E

h A H

t B U

a C C

m A M

s B T

e C G

e A E

Hier werden beispielsweise die drei t s auf drei verschiedene Chiffren abgebildet (V, T und U). `re-Chiffre Kryptosystem 1.8.1 Vigene Sei m ∈ N\{0}. Es seien P = C = K = (Z26 )m . F¨ ur K = (k1 , . . . , km ) ∈ K seien eK und dK folgendermaßen definiert: eK (x1 , . . . , xm ) dK (y1 , . . . , ym )

= =

(x1 + k1 , . . . , xm + km ) mod 26 (y1 − k1 , . . . , ym − km ) mod 26. 1.8.1

Mit m = 1 ist das gerade die Verschiebungschiffre. Oben ist eine Anwendung mit m = 3 gezeigt. Selbst f¨ ur kleine m (z.B. m = 6) ist der Keyspace recht groß, so dass sich vollständige Suche kaum lohnt; es gibt jedoch andere Methoden zur Kryptanalyse.

1.9

Autokey-Chiffre, CBC-Modus

Eine wesentlich weniger leicht angreifbare Abwandlung von Kryptosystem 1.8.1 – ebenfalls auf Vigenère zur¨ uckgehend – beruht auf der Idee, den Klartext (die 1. Zeile im Vigenère-Verfahren) nachträglich (zeitversetzt) als Schl¨ usselwort zu verwenden. Dazu trägt man in der 2. Zeile das gewählte Schl¨ usselwort nur einmal ein und danach den Klartext (minus m Buchstaben am Ende). Die Verschl¨ usselung geschieht nach der gleichen Methode wie bei der Vigenère-Chiffre. Beispiel mit m = 3 und Schl¨ usselwort ABC : Klartext Schl¨ usselstring Chiffretext

m A M

i B J

t C V

t e r M I T F M K

n T G

a c E R E T

h N U

t a A C T C

m H T

s T L

e A E

e M Q

20


Dieses Kryptosystem heißt autokey encryption, weil der Klartext quasi sein eigener Schl¨ ussel ist. Mit einem nur dreistelligen initialen Schl¨ usselwort ist diese Chiffre unsicher, da es nicht mehr als (26)3 Möglichkeiten gibt. Mit m ≥ 6 ergibt sich jedoch eine gute Chiffrierung.

Bemerkung: Bei der Autokey-Chiffre wird der Chiffretext in Abhängigkeit vom schon gesehenen Klartext produziert, genauer: jeder i te Chiffreblock, i ≥ 2, der Länge m hängt vom i−1 ten Klartextblock (und anfänglich, f¨ ur i = 1, vom Schl¨ usselwort der Länge m) ab. Allgemeiner kann man die Produktion des i ten Chiffreblocks nicht nur vom vorangegangenen Klartext, sondern dazu noch (oder alternativ) vom initialen Schl¨ usselwort und/oder vom bisher produzierten Chiffretext abhängig machen. Eine solche Methode ist der Cipherblock Chaining Mode (CBC-Modus), zum Beispiel in Kombination mit einer Permutationschiffre.

Um den CBC-Modus zu beschreiben, betrachten wir ein binäres Alphabet (zum Beispiel die Binärcodierung eines Textes). Der zu verschl¨ usselnde Klartext sei x = 101100010100101, der blockweise mit Blocklänge 4 chiffriert werden soll. Da der Klartext 15 Zeichen enthält, muss er, z.B. durch Anhängen einer 0, auf eine durch 4 teilbare Anzahl von Zeichen verlängert werden: x = 1011 | {z } 0100 | {z } 1010 | {z } | {z } 0001 x1

x2

x3

x4

Der Permutationsschl¨ ussel soll ¾ ½ 1 2 3 4 x π: π(x) 2 3 4 1

sein. Die Anwendung dieser Permutation auf einen Block der Länge 4 bezeichnen wir mit Â; zum Beispiel ist π Â (1011) = (0111). Als Initialisierungsvektor soll IV = (k1 , k2 , k3 , k4 ) = (1, 0, 1, 0) dienen, und ein neuer Chiffreblock yi+1 soll sowohl vom entsprechenden Klartextblock xi+1 als auch vom vorangegangenen Chiffreblock yi (und anfänglich von IV ) abhängen (indem xi+1 nach Maßgabe von yi ‘verschoben’ wird) und gemäß π verschl¨ usselt werden. ‘Schieben’ heißt in diesem speziellen Fall ‘Addieren modulo 2’; wir definieren dies als eine Operation ~ auf Bitstrings. Beispielsweise ist 1010 ~ 0111 = 1101. Die Generierung des Chiffretextes y 1 y2 . . . soll also durch y1 yi

= =

π Â (x1 ~ IV ) π Â (xi ~ yi−1 ), f¨ ur i ≥ 2

beschrieben werden. F¨ ur das Beispiel ergibt sich: IV y1 y2 y3 y4

= 1010 = π Â (x1 ~ IV ) = π Â (x2 ~ y1 ) = π Â (x3 ~ y2 ) = π Â (x4 ~ y3 )

= π Â (1011 ~ 1010) = π Â (0001 ~ 0010) = π Â (0100 ~ 0110) = π Â (1010 ~ 0100)

= π Â (0001) = π Â (0011) = π Â (0010) = π Â (1110)

insgesamt also der Chiffrestring y = 0010 0110 0100 1101.

= 0010 = 0110 = 0100 = 1101,


1.10

21

Stromchiffre

Die Stromchiffre ist eine Verallgemeinerung der Autokey-Chiffrierung, worin sich neue Schl¨ usselelemente aus alten Schl¨ usselelementen und/oder aus alten Klartextelementen ergeben. Es wird ein Schl¨ usselstrom z1 z2 . . . generiert und zur Verschl¨ usselung des Klartextes x1 x2 . . . benutzt: y1 y2 . . . = ez1 (x1 )ez2 (x2 ) . . . Eine solche Chiffre heißt synchron, wenn sich die neuen Schl¨ ussel zi+1 allein aus den alten Schl¨ usseln {z1 , . . . , zi } ergeben (und nicht aus dem Klartext). Ein gutes Beispiel f¨ ur eine nicht-synchrone Chiffre ist die Autokey-Chiffre von Vigenère, die mit einem konstanten Ursprungsschl¨ ussel beginnt, dann aber bereits gesehene Klartextzeichen als Schl¨ usselzeichen weiterverwendet. Als (weiteres) Beispiel verwenden wir einen einstelligen Initialschl¨ ussel J (d.h., dem Buchstaben mit Code 9 in Z26 ). Um rendezvous zu verschl¨ usseln, konvertieren wir diesen Klartext zunächst in Zahlen, erhalten daraus den Schl¨ usselstrom und addieren modulo 26, um den Chiffretext zu erhalten, den Alice sendet: Klartext: Klartextcode: Schl¨ usselstrom: Verschl¨ usseln: Chiffretext:

r 17 9 0 A

e n d 4 13 3 17 4 13 21 17 16 V R Q

e z 4 25 3 4 7 3 H D

v o 21 14 25 21 20 9 U J

u 20 14 8 I

s 18 20 12 M

Die dritte Zeile dieser Tabelle entspricht den z1 z2 . . . einer Stromchiffre. Wenn Bob den Chiffretext entziffert, verfährt er folgendermaßen: In Kenntnis des initialen Schl¨ ussels 9 dechiffriert er der Reihe nach: x1 x2 x2

= d9 (0) = d17 (21) = d4 (17)

= (0 − 9) mod 26 = (21 − 17) mod 26 = (17 − 4) mod 26 .. .

= 17 = r = 4 = e = 13 = n .. .

Wir betrachten zuletzt noch eine synchrone Stromchiffre. Dazu betrachten wir wieder ein binäres Alphabet. Dann sind Ver- und Entschl¨ usselung (‘Schieben’) gegeben durch: ez (x) = (x + z) mod 2 dz (y) = (y + z) mod 2

(= (y − z) mod 2)

was sich in Hardware sehr gut realisieren lässt. Dabei ist z der Schl¨ ussel, der von der gerade betrachteten Stelle des Klartextes und von den bis dahin bereits verwendeten Schl¨ usseln abhängt. Wichtig ist die Periode einer Stromchiffre, d.h. die kleinste Zahl d, f¨ ur die zi+d = zi (f¨ ur alle i ≥ 1) gilt. Die (einfache) VigenèreChiffre kann als eine (konstante) Stromchiffre mit Periode m aufgefasst werden. Die K¨ urze dieser Periode hilft bei der Kryptanalyse dieser Chiffre. Durch andere Festsetzungen kann man längere Perioden erreichen. Setzt man zum Beispiel (¨ uber einem binären Alphabet) m = 4 und zi+4 = (zi + zi+1 ) mod 2,

(1.4)

dann erhält man mit einem initialen Vektor ungleich (0, 0, 0, 0) die Periode 15. Im allgemeinen kann man so bei Blocklänge m eine Periode der Länge 2m − 1 erreichen, also eine exponentiell große Periode und damit eine sehr gute Verschl¨ usselung.

22


Die Stromchiffre (1.4) lässt sich leicht in Hardware als ein Schieberegister mit m = 4 Elementen realisieren; siehe Abbildung 1.8. Der Vektor (Ursprungsschl¨ ussel) (k1 , k2 , k3 , k4 ) initialisiert dieses Register. Zu jedem Takt werden – bei Verschl¨ usselung – die folgenden Operationen gleichzeitig parallel ausgef¨ uhrt: • k1 wird als nächstes Element des Schl¨ usselstroms abgerufen und zur Verschl¨ usselung verwendet; • k2 , k3 , k4 werden um eine Stelle nach links geschoben; • k4 wird aus der Summe (modulo 2) von k1 und k2 (alte Werte) berechnet. ~ k1

k2

k3

k4

Abbildung 1.8: Schieberegister zur Chiffre (1.4) (1.4) ist ein spezielles Beispiel f¨ ur durch lineare Rekurrenzen gebildete Stromchiffren. Mit Blocklänge m ist die allgemeine Form einer solchen Chiffre durch zi+m =

m−1 X j=0

cj zi+j mod 2,

f¨ ur alle i ≥ 1,

gegeben. Dabei sind die c0 , . . . , cm−1 Konstanten aus Z2 (im Beispiel oben: m = 4, c0 = 1, c1 = 1, c2 = 0, c3 = 0). O.B.d.A. ist c0 = 1, denn sonst ginge statt m auch m−1 als Blocklänge; dann heißt m der Grad der Rekurrenz. Der Schl¨ ussel K, der eine Entschl¨ usselung solchermaßen chiffrierter Texte ermöglicht, hat hier die Länge 2m, denn er besteht aus den m Anfangswerten k1 , . . . , km von z1 , . . . , zm und den Koeffizienten c0 , . . . , cm−1 . Es ist Ziel von Oscar, dem Opponenten, diesen Schl¨ ussel (unbefugterweise) herauszufinden ...

Kapitel 2

Klassische Kryptanalyse In diesem Kapitel kommt Oscar zu seinem ‘Recht’. Es könnte zum Beispiel der Fall vorkommen, dass er einen verschl¨ usselten Text auffängt und – vielleicht schon aus reiner Neugierde – versucht, diesen zu verstehen, oder sogar zu ‘knacken’, indem er herausfindet, welche Methode zum Verschl¨ usseln angewendet wurde (und welcher Schl¨ ussel). Wenn Oscar weiß, welches Kryptosystem verwendet wurde, ist es nat¨ urlich einfacher f¨ ur ihn, als wenn er dies nicht weiß. Trotzdem wird bei der Kryptanalyse u ¨blicherweise Kerkhoffs Prinzip: Der Opponent kennt das verwendete Kryptosystem. angenommen, denn auch so ist es normalerweise schon schwer, eine chiffrierte Nachricht zu verstehen, und außerdem sind wir ja normalerweise daran interessiert, Kryptosysteme sicher zu machen, selbst wenn der Opponent u ¨ber ihre Verwendung informiert ist.

2.1

Typen von Attacken

Man unterscheidet verschiedene Attacken bzw. Angriffe, die in der Praxis vorkommen können: • Ciphertext-only-Attacke: Der Opponent kennt einen oder mehrere Chiffretexte y, ohne zu wissen, zu welchen Klartexten diese gehören. Diese Attacke ist die ‘schwächste’, in dem Sinn, dass Oscar hier nur relativ wenige Informationen hat. • Known-plaintext-Attacke: Der Opponent hat einen oder mehrere Klartexte x und kennt die dazu gehörigen Chiffretexte y. Dies ist die zweitschwächste Form der Attacke. • Chosen-plaintext-Attacke: Der Opponent hat temporär Zugriff zur Verschl¨ usselungsmaschinerie und kann einen Klartext x wählen und den zugehörigen Chiffretext y generieren. • Chosen-ciphertext-Attacke: Der Opponent hat temporär Zugriff zur Entschl¨ usselungsmaschinerie und kann einen Chiffretext y wählen und den zugehörigen Klartext x generieren. Einen Chiffretext zu brechen, ist nicht einfach; jede Art von Information kann helfen, nicht nur die Kenntnis des verwendeten Kryptosystems. Beispielsweise ist von Interesse, in welchen Umständen und von wem zu 23

24


wem der Text gesendet worden ist, damit man eine Basis hat, zu raten, welche Textst¨ ucke eventuell darin vorkommen k¨ onnten. Wir nehmen auch an, dass Oscar bereits weiß (oder zumindest geraten hat), dass ein Text in englischer Sprache chiffriert worden ist. Man chiffriert normalerweise Leerzeichen und Satzzeichen nicht mit, da dies die Aufgabe eines Opponenten nicht erschwert, sondern erleichtert. Wir arbeiten also weiterhin mit dem Alphabet A = {a, b, . . . , z}. Viele Techniken der Kryptanalyse beruhen auf statistischen Daten u ¨ber die Häufigkeit von Buchstaben in einer Sprache. Das ist leicht bei Substitutionschiffren zu sehen, denn hier werden Buchstaben auf (andere) Buchstaben abgebildet, und man kann davon ausgehen, dass im Chiffretext relativ häufig vorkommende Buchstaben auch häufig vorkommenden Klartextbuchstaben entsprechen. Durch empirische Studien (Auswertung von Romanen, Magazinen, Zeitungen) hat man eine Schätzung u ¨ber die Häufigkeitsverteilung der 26 Buchstaben in der englischen Sprache erhalten, die in Abbildung 2.1 angegeben ist. Buchstabe a b c d e f g h i j k l m

Wahrscheinlichkeit .082 .015 .028 .043 .127 .022 .020 .061 .070 .002 .008 .040 .024

Buchstabe n o p q r s t u v w x y z

Wahrscheinlichkeit .067 .075 .019 .001 .060 .063 .091 .028 .010 .023 .001 .020 .001

Abbildung 2.1: Wahrscheinlichkeit des Auftretens der 26 Buchstaben im Englischen Danach kann man die 26 Buchstaben in f¨ unf Gruppen einteilen: 1. e, mit relativ hoher Wahrscheinlichkeit, ca. 0.120. 2. t, a, o, i, n, s, h, r, mit Wahrscheinlichkeiten zwischen 0.06 und 0.09. 3. d, l, mit Wahrscheinlichkeiten um 0.04. 4. c, u, m, w, f, g, y, p, b, mit Wahrscheinlichkeiten zwischen 0.015 und 0.028. 5. v, k, j, x, q, z, mit Wahrscheinlichkeiten kleiner als 0.01. Es ist auch wichtig, häufig nebeneinander stehende Kombinationen zu ber¨ ucksichtigen. Es gibt Digramme (Gruppen von 2 Buchstaben) und Trigramme (Gruppen von 3 Buchstaben). Die häufigsten davon sind (im Englischen) in absteigender Reihenfolge: • Digramme: th, he, in, er, an, re, ed, on, es, st, en, at, to, nt, ha, nd, ou, ea, ng, as, or, ti, is, et, it, ar, te, se, hi, of.


25

• Trigramme: the, ing, and, her, ere, ent, tha, nth, was, eth, for, dth.

2.2

Kryptanalyse der affin-linearen Chiffre

Wir betrachten ein Beispiel f¨ ur die statistische Analyse unter Zuhilfenahme der empirischen Daten. Oscar habe den folgenden Chiffretext vorliegen: FMXVEDKAPHFERBNDKRXRSREFMORUDSDKDVSHVUFEDKAPRKDLYEVLRHHRH Das sind zwar nur 57 Buchstaben, aber schon genug, um eine affine Chiffrierung zu brechen. Die Häufigkeitsverteilung dieses Chiffretextes ist: A 2

B 1

C 0

D 7

E 5

F 4

G 0

H 5

I 0

J 0

K 5

L 2

M 2

N 1

O 1

P 2

Q 0

R 8

S 3

T 0

U 2

V 4

W 0

X 2

Y 1

Z 0

Die hier häufigsten Buchstaben sind R(8), D(7), E, H, K(5) und F, S, V(4). Man könnte zunächst annehmen, dass R die Verschl¨ usselung von e und D die Verschl¨ usselung von t ist, weil e und t die beiden häufigsten Buchstaben im Englischen sind (Abbildung 2.1). Wenn wir dies annehmen, bekommen wir e K (4) = 17 und eK (19) = 3. Da (vermutlicherweise) die affine Chiffre benutzt wurde, in der die Verschl¨ usselung die Form eK (x) = ax + b hat, wobei a und b hier unbekannt sind, erhalten wir: 4a + b 19a + b

= 17 = 3,

also zwei Gleichungen mit zwei Unbekannten. Es ergibt sich a = 6, b = 19, was jedoch kein legaler Schl¨ ussel ist, da ggT(a, 26) > 1. Wir haben also falsch geraten. Als nächsten könnten wir raten, dass R die Verschl¨ usselung von e ist und E die Verschl¨ usselung von t. Wie oben bekommt man a = 13, was wieder illegal ist. Wir probieren jetzt den Fall, dass R e und H t verschl¨ usseln. Wir erhalten a = 8, was wieder falsch ist. Seien R die Verschl¨ usselung von e und K die Verschl¨ usselung von t. Dadurch erhält man a = 3, b = 5, was ein legaler Schl¨ ussel (K = (3, 5)) ist. Wir können jetzt die dazu gehörige Entschl¨ usselungsfunktion ausrechnen und ausprobieren, ob eine sinnvolle Gesamt-Entschl¨ usselung dazu passt. Wir erhalten dK (y) = 9y − 19, und der oben angegebene Chiffretext wird zu Algorithms are quite general definitions of arithmetic processes. Damit ist die Entschl¨ usselung gelungen. Im Grunde ist die statistische Analyse hier eine Art clevere Heuristik, um das sonst nötige systematische Ausprobieren zu verfeinern und nach Möglichkeit schnell zum Erfolg zu f¨ uhren.

2.3

Kryptanalyse der Substitutionschiffre

Ein komplizierterer Fall ist die Substitutionschiffre. Wir nehmen an, dass der folgende Chiffretext vorliegt: YIFQFMZRWQFYVECFMDZPCVMRZWNMDZVEJBTXCDDUMJ NDIFEFMDZCDMQZKCEYFCJMYRNCWJCSZREXCHZUNMXZ NZUCDRJXYYSMRTMEYIFZWDYVZVYFZUMRZCRWNZDZJJ XZWGCHSMRNMDHNCMFQCHZJMXJZWIEJYUCFWDJNZDIR

26


Die Häufigkeitsanalyse ergibt: A 0

B 1

C 15

D 13

E 7

F 11

G 1

H 4

I 5

J 11

K 1

L 0

M N 16 9

O 0

P 1

Q 4

R S 10 3

T 2

U 5

V 5

W 8

X 6

Y 10

Z 20

Daraus könnte man zuerst dK (Z) = e ablesen. Die anderen Chiffretextbuchstaben mit signifikanter (10 oder mehr) Häufigkeit sind C, D, F, J, M, R, Y. Man könnte also vermuten, dass diese Verschl¨ usselungen von t, a, o, i, n, s, h, r sind, man kann aber keine begr¨ undete Vermutung aufstellen, in welcher Reihenfolge. An dieser Stelle könnte eine Digramm-Analyse weiterhelfen, insbesondere Digramme der Form −Z oder Z−, da wir vermuten, dass Z e verschl¨ usselt. Es kommen vor: viermal: dreimal: zweimal:

DZ, ZW NZ, ZU RZ, HZ, XZ, FZ, ZR, ZV, ZC, ZD, ZJ.

Da ZW viermal, WZ aber keinmal vorkommt, und da W weniger oft als andere Buchstaben vorkommt, kann man dK (W) = d raten. Weil DZ viermal vorkommt und ZD zweimal vorkommt, kann man d K (D) ∈ {r, s, t} vermuten, aber es ist unklar, welche der drei Möglichkeiten zuerst in Betracht kommt. Wegen des Digramms RW zu Beginn des Chiffretextes (und auch später noch einmal), weil nd ein häufiges Digramm ist, und weil R ein häufiger Buchstabe im Chiffretext ist, könnte man dK (R) = n versuchen. An dieser Stelle hat man folgende (versuchsweise) Teil-Entschl¨ usselung: end e ned e YIFQFMZRWQFYVECFMDZPCVMRZWNMDZVEJBTXCDDUMJ e e n d en e e NDIFEFMDZCDMQZKCEYFCJMYRNCWJCSZREXCHZUNMXZ e n n ed e e ne nd e e NZUCDRJXYYSMRTMEYIFZWDYVZVYFZUMRZCRWNZDZJJ ed n e ed d e n XZWGCHSMRNMDHNCMFQCHZJMXJZWIEJYUCFWDJNZDIR Als nächstes könnte man dK (N) = h probieren, weil NZ ein häufiges Digramm ist, ZN aber nicht. Wenn das stimmen sollte, legt das Klartext-Teilst¨ uck ne ndhe die Wahl dK (C) = a nahe. Danach hätte man: end a e a nedh e a YIFQFMZRWQFYVECFMDZPCVMRZWNMDZVEJBTXCDDUMJ h ea e a a nhad a en a e h e NDIFEFMDZCDMQZKCEYFCJMYRNCWJCSZREXCHZUNMXZ he a n n ed e e neandhe e NZUCDRJXYYSMRTMEYIFZWDYVZVYFZUMRZCRWNZDZJJ ed a nh ha a e ed a d he n XZWGCHSMRNMDHNCMFQCHZJMXJZWIEJYUCFWDJNZDIR Wir betrachten jetzt M, den zweithäufigsten Chiffretextbuchstaben. Das Chiffretextst¨ uck RNM (das, wie wir vermuten, nach nh− aufgelöst wird), legt nahe, dass mit h ein Wort beginnt, dass also M einen Vokal


27

repräsentiert. Da a, e bereits ‘bekannt’ sind, versuchen wir dK (M) = i oder dK (M) = o. Weil ai ein viel häufigeres Digramm ist als ao, legt das Chiffretext-Digramm CM zuerst die Wahl d K (M) = i nahe. Danach hat man: iend a i e a inedhi e a i YIFQFMZRWQFYVECFMDZPCVMRZWNMDZVEJBTXCDDUMJ h i ea i e a a i nhad a en a e hi e NDIFEFMDZCDMQZKCEYFCJMYRNCWJCSZREXCHZUNMXZ he a n in i ed e e ineandhe e NZUCDRJXYYSMRTMEYIFZWDYVZVYFZUMRZCRWNZDZJJ ed a inhi hai a e i ed a d he n XZWGCHSMRNMDHNCMFQCHZJMXJZWIEJYUCFWDJNZDIR Als nächstes könnte man sich u ur die Verschl¨ usselung von o in Frage kommt. ¨berlegen, welcher Buchstabe f¨ Da o ein häufiger Buchstabe ist, fällt die Wahl auf einen der Buchstaben D, F, J, Y. Dabei erscheint Y als das Wahrscheinlichste, weil man sonst längere Vokalketten erhalten w¨ urde (z.B. aoi von CFM oder von CJM). Wir arbeiten also mit dK (Y) = o. Die verbleibenden häufigen Chiffretextbuchstaben sind D, J, F. Wir vermuten, dass sie r, s, t in irgendeiner Reihenfolge verschl¨ usseln. Das Trigramm NMD tritt zweimal auf, und wir vermuten, dass es mit d K (D) = s his bedeuten könnte. Der Abschnitt HNCFM könnte chair bedeuten, was dK (F) = r und dK (H) = c ergeben w¨ urde, und danach auch dK (J) = t (weil die anderen Möglichkeiten ausgeschlossen wurden). Jetzt haben wir: o r riend ro arise a inedhise t ass it YIFQFMZRWQFYVECFMDZPCVMRZWNMDZVEJBTXCDDUMJ hs r riseasi e a orationhadta en ace hi e NDIFEFMDZCDMQZKCEYFCJMYRNCWJCSZREXCHZUNMXZ he asnt oo in i o redso e ore ineandhesett NZUCDRJXYYSMRTMEYIFZWDYVZVYFZUMRZCRWNZDZJJ ed ac inhischair aceti ted to ardsthes n XZWGCHSMRNMDHNCMFQCHZJMXJZWIEJYUCFWDJNZDIR Das ist schon fast die Entschl¨ usselung (und der Schl¨ ussel). Der ganze Klartext lautet: Our friend from Paris examined his empty glass with surprise, as if evaporation had taken place while he wasn’t looking. I poured some more wine and he settled back in his chair, face tilted up towards the sun. Gl¨ uck gehabt!

2.4

Kryptanalyse der Vigen` ere-Chiffre

Zunächst muss die Länge m des Schl¨ usselworts herausgefunden werden. Dazu gibt es zwei systematische Methoden: den Test von Babbage/Kasiski und den Koinzidenztest. Beide werden an einem Beispiel beschrieben.

28


Der Test von Babbage/Kasiski beruht auf der Periodizität des Schl¨ usselstrings. Wenn zwei gleiche Abschnitte des Klartextes n Stellen voneinander entfernt sind, wobei m | n gilt, dann ergeben sie auch gleiche Abschnitte des Chiffretextes. Wenn wir umgekehrt zwei gleiche (und nicht gerade ganz kurze) Abschnitte des Chiffretextes betrachten, dann ist die Chance nicht klein, dass sie gleichen Abschnitten des Klartextes entsprechen. Wir suchen also den Chiffretext nach gleichen Abschnitten der Länge 3 (oder mehr) ab und notieren die Versätze, d.h., die Entfernungen dieser Kopien von Text im Chiffretext. Wenn es z.B. l solcher Entfernungen gibt, n1 , . . . , nl , dann sollte m alle diese nj teilen, d.h. auch den ggT(n1 , . . . , nl ). Beispiel: Der folgende Chiffretext stamme von einer Vigenère-Chiffrierung: CHREEVOAHMAERATBIAXXWTNXBEEOPHBSBQMQEQERBW RVXUOAKXAOSXXWEAHBWGJMMQMNKGRFVGXWTRZXWIAK LXFPSKAUTEMNDCMGTSXMXBTUIADNGMGPSRELXNJELX VRVPRTULHDNQWTWDTYGBPHXTFALJHASVBFXNGLLCHR ZBWELEKMSJIKNBHWRJGNMGJSGLXFEYPHAGNRBIEQJT AMRVLCRREMNDGLXRRIMGNSNRWCHRQHAEYEVTAQEBBI PEEWEVKAKOEWADREMXMTBHHCHRTKDNVRZCHRCLQOHP WQAIIWXNRMGWOIIFKEE Das Triplet CHR kommt f¨ unfmal im Chiffretext vor, an den Positionen 1, 166, 236, 276 und 286. Die Entfernungen vom ersten Vorkommen zu den anderen vier sind 165, 235, 275 und 285. Da der ggT dieser vier Zahlen 5 ist, legt der Babbage/Kasiski-Test eine Schl¨ usselwortlänge von m = 5 nahe. Der Koinzidenztest benutzt den Koinzidenzindex. Sei dazu x = x1 . . . xn ein Wort der Länge n mit Buchstaben xi . Der Koinzidenzindex Ic (x) ist definiert als die Wahrscheinlichkeit, dass zwei zufällig ausgewählte Buchstaben in x gleich¡ sind. Genauer: seien h0 , . . . , h25 die Häufigkeiten von A, . . . , Z in x. Man kann zwei ¢ ¡ ¢ ur 0 ≤ i ≤ 25 gibt es h2i Arten, die beiden Buchstaben als den Buchstaben aus x auf n2 Arten wählen. F¨ i ten zu wählen. Also: P25 ¡hi ¢ P25 i=0 2 i=0 hi (hi − 1) ¡ n¢ . = Ic (x) = n(n − 1) 2

Sei nun x ein englischer Text. Mit p0 , . . . , p25 seien die in Abbildung 2.1 angegebenen Wahrscheinlichkeiten der erwarteten Buchstabenhäufigkeiten bezeichnet. Man w¨ urde erwarten, dass Ic (x) ≈ (

25 X

p2i ) = 0.065,

(2.1)

i=0

denn die Wahrscheinlichkeit, dass zwei zufällig gewählte Buchstaben beide a (bzw. b, ...) sind, ist p20 (bzw. p21 , ...). Die ungefähre Gleichung (2.1) muss aber auch f¨ ur den Chiffretext gelten (wann immer er monoalP25 phabetisch ist!), denn dieser permutiert ja nur die Buchstaben, wobei die Summe i=0 p2i konstant bleibt. Wir untersuchen nun einen Text y = y1 y2 . . ., der Vigenère-chiffriert worden ist, wie den oben angegebenen. Wir ‘raten’ m und schreiben den Text in m Zeilen, indem wir die Buchstaben mit Entfernung k·m zusammenfassen: y (1) y (2) .. .

= =

y1 ym+1 y2m+1 . . . y2 ym+2 y2m+2 . . .

y (m)

=

ym y2m y3m . . .


29

Wenn das geratene das richtige m ist, sollten die m Koinzidenzindices Ic (y (j) ) (1 ≤ j ≤ m, also einer pro Zeile) alle ungefähr bei 0.065 liegen, denn es handelt sich dabei um auf gleiche Weise verschl¨ usselten englischen Originaltext (bzw. um einen Teil davon). Wenn das geratene m aber nicht das richtige ist, werden die y (j) viel mehr wie Zufallstext aussehen, und der wird wegen Ic (z) = 26(

1 1 2 ) = = 0.038, 26 26

wenn z ein Zufallswort ist

mit einiger Wahrscheinlichkeit einen Koinzidenzindex haben, der nahe bei 0.038 liegt. Wenn nun umgekehrt die in Frage kommenden m so lange durchsucht werden, bis die wie eben gebildeten Koinzidenzindices näher bei 0.065 als bei 0.038 liegen, kann man hoffen, dass das richtige m ‘erraten’ worden ist. Wir wenden die Methode am Beispiel an: m = 1 : 0.045 m = 2 : 0.046, 0.041 m = 3 : 0.043, 0.050, 0.047 m = 4 : 0.042, 0.039, 0.046, 0.040 m = 5 : 0.063, 0.068, 0.069, 0.061, 0.072. (TODO: Check diese Zahlen; ein Student meinte, sie seien – allerdings geringf¨ ugig – falsch.) Mit recht hoher Wahrscheinlichkeit ist somit die bereits vom Babbage/Kasiski-Test herr¨ uhrende Annahme m = 5 korrekt. n Jetzt muss noch der Schl¨ ussel K = (k1 , . . . , km ) bestimmt werden. Dazu sei n0 = m die Länge von y (j) . hi (j) Die mittlere Häufigkeitsverteilung der 26 Buchstaben in y ist n0 (0 ≤ i ≤ 25). Das Wort y (j) ist jedoch eine Verschl¨ usselung eines Klartextes mit Verschiebung kj . Also darf man hoffen, dass die verschobene Häufigkeitsverteilung h25+kj hk j ,..., 0 n n0 nahe bei der Verteilung p0 , . . . , p25 aus Abbildung 2.1 liegt (Indexrechnung nat¨ urlich modulo 26). Wir sind also interessiert an den Zahlen Mg =

25 X pi hi+g i=0

n0

f¨ ur alle Buchstaben 0 ≤ g ≤ 25, denn im Fall g = kj d¨ urfte man Mg ≈

25 X

p2i = 0.065

i=0

erwarten. Wenn g 6= kj , w¨ urde man erwarten, dass der Wert Mg erheblich kleiner als 0.065 ist. Hierdurch kann man erhoffen, den Wert kj f¨ ur alle 1 ≤ j ≤ m zu ‘errechnen’. Im Beispiel haben wir bereits (immer noch hypothetisch, aber mit guter Wahrscheinlichkeit) m = 5 festgelegt. Wir berechnen nun die Werte Mg f¨ ur 1 ≤ j ≤ 5 (siehe Abbildung 2.2). F¨ ur jedes j sehen wir uns einen Wert von Mg an, der möglichst nahe bei 0.065 liegt. Diese 5 Werte bestimmen, wie das Schl¨ usselwort geraten wird. Ein wahrscheinlicher Schl¨ ussel, der sich aus Abbildung 2.2 ergibt, ist JANET. Dies ist in der Tat korrekt, denn es dechiffriert den Ausgangstext zu

30

Vorlesungsskript von E. Best / Stand: 19. September 2005 The almond tree was in tentative blossom. The days were longer, often ending with magnificent evenings of corrugated pink skies. The hunting season was over, with hounds and guns put away for six months. The vineyards were busy again as the well-organized farmers treated their vines and the more lackadaisical neighbors hurried to do the pruning they should have done in November.

j 1

.035 .038 .069 .045 .048 .066 .045 .033 .034 .037

2 3 4 5

.031 .038 .044 .046 .029 .035 .032 .029 .031 .036

.036 .045 .032 .042 .042 .038 .033 .036 .035 .045

.037 .036 .035 .037 .043 .036 .038 .040 .044 .032

.035 .030 .044 .032 .044 .045 .060 .044 .047 .029

Werte der Mg (y (j) ) .039 .028 .028 .042 .043 .036 .034 .036 .033 .034 .037 .032 .034 .038 .035 .027 .035 .034 .034 .034 .034 .037 .050 .034 .037 .043 .038 .044 .072 .037

.048 .033 .029 .034 .032 .034 .050 .034 .042 .027

.061 .049 .031 .043 .049 .036 .033 .039 .037 .031

.039 .043 .042 .032 .035 .035 .033 .044 .033 .048

.032 .042 .045 .026 .031 .046 .043 .038 .032 .036

.040 .036 .040 .047 .035 .040 .040 .035 .036 .037

Abbildung 2.2: Berechnung der Mg im Beispiel

2.5

Kryptanalyse der Hill-Chiffre

Die Hill-Chiffre mittels einer Ciphertext-only-Attacke zu brechen, kann sehr schwierig sein. Eine KnownPlaintext-Attacke (bzw. eine Chosen-Plaintext-Attacke) f¨ uhrt dagegen zum Erfolg. Wir nehmen zunächst an, dass Oscar schon den Wert von m kennt. Oscar hat bzw. generiert wenigstens m verschiedene Klartext/Chiffretextpaare: x(j) y (j)

= =

(j)

(j)

(x1 , . . . , xm ) (j) (j) (y1 , . . . , ym ), (j)

(j)

mit 1 ≤ j ≤ m und y (j) = eK (x(j) ) f¨ ur alle j. Mit den zwei (m, m)-Matrizen X = (xi ) und Y = (yi ) hat man dann die Matrixgleichung Y = X·K, wobei K der (unbekannte) Schl¨ ussel ist. Falls X invertierbar ist, kann Oscar K = X −1 ·Y berechnen und die Chiffre knacken. Falls X nicht invertierbar ist, muss Oscar weitere x/y-Paare bekommen bzw. generieren. Beispiel: Angenommen, wir wissen, dass in einer Hill-Chiffre mit Blocklänge m = 2 der Klartext friday in den Chiffretext PQCFKU u ¨bergeht. Daraus folgt: eK (5, 17) = (15, 16) und eK (8, 3) = (2, 5) und eK (0, 24) = (10, 20). Aus den ersten beiden Klartext/Chiffretextpaaren leitet man die Matrixgleichung µ ¶ µ ¶ 15 16 5 17 = ·K 2 5 8 3


31

ab. Die Determinante der zweiten Matrix ist 19, letztere ist also wegen ggT(19, 26) = 1 invertierbar, und man rechnet aus: µ

5 8

17 3

¶−1

=

µ

9 2

1 15

¶

.

Es ergibt sich: K =

µ

9 2

1 15

¶ µ 15 · 2

16 5

¶

=

µ

7 8

19 3

¶

.

Die Probe mit dem dritten Klartext/Chiffretextpaar bestätigt dieses K als Schl¨ ussel. Wenn Oscar die Blocklänge m nicht kennt, kann er m = 2, 3, . . . versuchen, bis der Schl¨ ussel gefunden ist. Um ein einmal ausgerechnetes (und als tatsächliche Blocklänge vermutetes) m zu verifizieren, bietet es sich an, wenn möglich, weitere Klartext/Chiffretextpaare zu generieren und zur Bestätigung (oder Widerlegung) der Hypothese zu pr¨ ufen.

2.6

Kryptanalyse einer Stromchiffre

Wir betrachten die allgemeine Rekurrenzgleichung zi+m =

m−1 X

cj zi+j mod 2,

j=0

f¨ ur alle i ≥ 1,

(2.2)

wobei die m Anfangswerte (z1 , . . . , zm ) = (k1 , . . . , km ) sind und die Konstanten c0 , . . . , cm−1 ebenso wie die k1 , . . . , km herausgefunden werden m¨ ussen. Wenn Oscar einen Klartext-Bitstring x1 . . . xn und einen entsprechenden Chiffretext-Bitstring y1 . . . yn besitzt, kann er die Schl¨ ussel-Bits z1 . . . zn mittels zi = (xi + yi ) mod 2 errechnen. Wenn Oscar auch die Zahl m kennt, muss er nur noch die Konstanten c 0 , . . . , cm−1 herausfinden (angenommen nat¨ urlich, dass x1 das anfängliche Bit des Klartextes ist, und nicht der Anfang irgendeines Zwischenst¨ ucks). F¨ ur jedes i ≥ 1 ist aber die Gleichung (2.2) eine lineare Gleichung in m Unbekannten. Wir brauchen also nur n ≥ 2m, um aus dem bekannten Klartext/Chiffretextpaar m lineare Gleichungen in m Unbekannten extrahieren zu können. Wenn dieses Gleichungssystem eine Lösung (modulo 2) hat (und das ist beweisbar immer der Fall, wenn m der Grad der Rekurrenz (2.2) ist), kann es in den Unbekannten c0 , . . . , cm−1 gelöst werden. Damit ist die Chiffre gebrochen. Beispiel: Nehmen wir an, dass Oscar das Klartext/Chiffretextpaar in den beiden ersten Zeilen der folgenden Tabelle erhält oder abhört. Daraus kann er den Schl¨ usselstrom in der dritten Zeile berechnen: Klartext x: Chiffretext y: Schl¨ usselstrom z:

011001111111000 101101011110010 110100100001010

Nehmen wir weiter an, dass Oscar bekannt ist, dass ein Schieberegister der Länge 5 verwendet worden ist. Damit weiß Oscar, dass die ersten 10 Bits der o.a. Strings gen¨ ugen, um die c0 , . . . , c4 auszurechnen. Konkret

32


stellt Oscar die folgende Matrixgleichung auf:  1  1  (0, 1, 0, 0, 0) = (c0 , c1 , c2 , c3 , c4 ) ·   0  1 0

1 0 0 1 1 0 0 0 0 1

1 0 0 0 0 1 1 0 0 0

     

(der Vektor links ist z ab der sechsten Position, die Spalten der Matrix sind z ab den Positionen 1, 2, 3, 4, 5). Es gilt (modulo 2):      

1 1 0 1 0

1 0 0 1 1 0 0 0 0 1

1 0 0 0 0 1 1 0 0 0

−1     



  =   

0 1 0 0 1

1 0 0 0 0 0 1 0 0 1

0 1 1 0 0 1 1 1 1 0

     

Damit erhält man: 

  (c0 , c1 , c2 , c3 , c4 ) = (0, 1, 0, 0, 0) ·    also wurde die Rekurrenz zi+5 = (zi + zi+3 ) mod 2 zur Verschl¨ usselung benutzt.

0 1 0 0 1

1 0 0 0 0 0 1 0 0 1

0 1 1 0 0 1 1 1 1 0



   = (1, 0, 0, 1, 0),  

Kapitel 3

DES und lineare Kryptanalyse DES (Digital Encryption Standard) war seit ca. 1975 bis ca. 1998 der“ Standard der digitalen Verschl¨ usse” lung. Es handelt sich um eine spezielle Blockchiffre. Aufgrund verschiedener Vorbehalte (auf die wir noch näher eingehen) hat es in j¨ ungster Zeit eine Entwicklung zur Ersetzung von DES durch ein Nachfolge” modell“ gegeben. Diese neue Verschl¨ usselungsmethode heißt AES (Advanced Encryption Standard) und unterscheidet sich in einigen Details von DES, unter anderem in der (angenommenen bzw. erhofften) wesentlich verbesserten Angriffssicherheit. In diesem Kapitel werden DES und eine Angriffsmethode (die lineare Kryptanalyse) beschrieben, die insbesondere bei DES bereits einen gewissen Erfolg gehabt hat. AES wird in Kapitel 4 beschrieben.

3.1

SPN: ein Substitutions-/Permutationsnetzwerk

Ein Schwachpunkt aller Kryptosysteme ist die Möglichkeit, von Regelmäßigkeiten des Chiffretextes auf Regelmäßigkeiten des Klartextes r¨ uckschließen zu können. Im Extremfall (optimale Verschl¨ usselung) wäre der Chiffretext ein Zufallswort, aber dann wäre nat¨ urlich auch u ¨berhaupt keine Dechiffrierung möglich. Um die Spuren vom Chiffretext zum Klartext möglichst stark zu verwischen, kann man auf die Idee kommen, Verschl¨ usselungen zu iterieren: Man verschl¨ usselt zunächst einen Klartext x, erhält einen Chiffretext w (1) , verschl¨ usselt diesen weiter, erhält danach einen Chiffretext w (2) , usw., bis nach N Verschl¨ usselungen der erhaltene Chiffretext w (N ) schließlich der endg¨ ultige (zu kommunizierende) Chiffretext y ist. Nicht alle Kryptosysteme eignen sich (alleine) zu solchem Iterieren. Wenn zum Beispiel im ersten Schritt die Verschiebungschiffre angewendet wird und im zweiten Schritt nochmals, dann ist nichts gewonnen, denn zwei Verschiebungen können durch eine einzige ausgedr¨ uckt werden. Anders verhält es sich mit Permutationen und Substitutionen: zwei Permutations- bzw. Substitutionsschritte nacheinander lassen sich nicht unbedingt als ein einziger Schritt ausdr¨ ucken, insbesondere dann nicht, wenn verschiedene Teile eines Textes permutiert werden. Das Folgende ist eine abstrakte, etwas genauere Beschreibung einer iterierten Chiffre. Dabei sind x der 33

34


Klartext, y der Chiffretext: w(0) w(1) w(2) .. .

:= := :=

w(N −1) w(N ) y

:= g(w (N −2) , K (N −1) ) := g(w (N −1) , K (N ) ) := w(N ) .

x g(w (0) , K (1) ) g(w (1) , K (2) )

N ist die Anzahl der Iterationen (genannt Runden), K (1) , . . . , K (N ) sind die Rundenschl¨ ussel (subkeys), die sich nach gewissen Vorschriften aus einem globalen Schl¨ ussel K ergeben, und g ist die pro Runde angewendete Verschl¨ usselungsfunktion (die allgemeiner auch mit dem Rundenschl¨ ussel K (r) variieren könnte, d.h., in (r) Runde r hätte man g statt g, f¨ ur 1 ≤ r ≤ N ). (0) Der Anfangszustand w ist als der Klartext definiert; der Zustand geht danach der Reihe nach in w (1) , . . . , w(N ) u ussel) abhängt; und ¨ber, wobei der jeweils aktuelle Zustand vom vorherigen (und vom aktuellen Rundenschl¨ der Chiffretext ist schließlich als der letzte Zustand w (N ) definiert. Damit das Resultat dechiffriert werden kann, muss diese Iteration r¨ uckgängig gemacht werden können, die Funktion(en) g m¨ ussen also injektiv in ihrem ersten Argument sein. D.h., es muss eine Funktion g −1 mit g −1 (g(w, y), y) = w (f¨ ur alle w, y) existieren. Dechiffrierung geschieht dann folgendermaßen: w(N ) w(N −1) .. .

:= :=

w(1) w(0) x

:= g −1 (w(2) , K (2) ) := g −1 (w(1) , K (1) ) = w(0) .

y g −1 (w(N ) , K (N ) )

Jetzt soll eine einfache Chiffre beschrieben werden, die nach diesem Muster aufgebaut ist und schon relativ nahe bei AES liegt. Es seien l, m positive ganze Zahlen. Klartext und Chiffretext sind binäre Vektoren mit Blocklänge lm = l·m. Das SPN-Kryptosystem (Substitutions-/Permutationsnetzwerk) benutzt zwei Komponenten π S und πP : πS :

{0, 1}l → {0, 1}l

πP :

{1, . . . , lm} → {1, . . . , lm}.

Die Indices S und P stehen f¨ ur Substitution“ bzw. Permutation“ Die Permutation πS wird auch eine S” ” Box genannt (S-Boxen m¨ ussen aber nicht unbedingt Permutationen sein; wir werden später andere Beispiele kennen lernen). Sie wird zur Ersetzung von l konsekutiven Bits benutzt, während die Permutation πP zur Reihenfolgenänderung von lm Bits eingesetzt wird. Dabei wird ein Bitstring x = x1 . . . xlm der Länge lm als eine Folge x(1) , . . . , x(m) von m Bitstrings x(i) = x(i−1)l+1 . . . xil (1 ≤ i ≤ m) aufgefasst. Beispiel: mit l = m = 4 wird der String x = 0010 | {z } 1011 | {z } 0111 | {z } | {z } 0110 x(1)

x(2)

x(3)

x(4)

der Länge 16 als eine Folge von m = 4 Strings x(1) , . . . , x(4) der Länge jeweils l = 4 aufgefasst, hier auch angedeutet durch etwas Zwischenraum zwischen den vier Teilstrings.


35

Kryptosystem 3.1.1 SPN: Substitutions-/Permutationsnetzwerk Mit N ∈ N\{0} und l, m, πS , πP wie oben seien P = C = {0, 1}lm und K ⊆ ({0, 1}lm )N +1 , d.h., K ist eine Menge von Rundenschl¨ usseln K 1 , . . . , K N +1 (deren Generierung später algorithmisch spezifiziert wird). Ein Klartext x wird dabei mit Hilfe des folgenden Algorithmus verschl¨ usselt: ↓ ↑

proc SPN(x, y ); begin w 0 := x; for r := 1 to N − 1 do ur := wr−1 ~ K r ; r for i := 1 to m do v(i) := πS (ur(i) ) endfor; wr := (vπr P (1) , . . . , vπr P (lm) ) endfor; uN := wN −1 ~ K N ; N for i := 1 to m do v(i) := πS (uN (i) ) endfor; N N +1 y := v ~ K ; return(y) end 3.1.1 Dieser Algorithmus ist insofern Input/Output-symmetrisch, als in der letzten Runde π P nicht angewendet wird. Als Konsequenz daraus kann der Algorithmus so, wie er definiert ist, auch f¨ ur die Entschl¨ usselung angewendet werden, wenn die S-Boxen durch ihre Inverse ersetzt werden und die Schl¨ usselgenerierung entsprechend modifiziert wird. Die erste und die letzte Operation in diesem Algorithmus sind ~-Operationen mit Hilfe der Schl¨ ussel K 1 bzw. K N +1 . Dies nennt man whitening, und es soll einen Angreifer davon abhalten, Ver- bzw. Entschl¨ usselung auch nur zu beginnen, wenn der Schl¨ ussel unbekannt ist.

3.2

Ein Beispiel

Es seien l = m = N = 4. πS ist in der folgenden Tabelle definiert. Dabei (und auch später) codieren wir 4-Bit-Folgen z hexadezimal wie in den ersten beiden Zeilen: k πS (k)

0000

0001

0010

0011

0100

0101

0110

0111

1000

1001

1010

1011

1100

1101

1110

1111

0 E

1 4

2 D

3 1

4 2

5 F

6 B

7 8

8 3

9 A

A 6

B C

C 5

D 9

E 0

F 7

(3.1)

Die Permutation πP ist folgendermaßen definiert1 : z πP (z)

1 1

2 3 5 9

4 13

5 6 7 2 6 10

8 14

9 3

10 11 12 7 11 15

13 4

14 8

15 12

16 16

Abbildung 3.1 zeigt dieses SPN. Die 16 S-Boxen wurden Sir genannt (1 ≤ i, r ≤ 4), um später auf sie verweisen zu können. Alle beinhalten die Permutation πS , die oben definiert wurde. 1 Diese

spezielle Permutation heißt auch der perfect shuffle, weil sie der idealen Mischsituation“ eines Kartendecks entspricht. ”

36


Index

1

2

3

4

5

6

7

8

9

10 11 12

13 14 15 16

x K1 u1 S11

S21

S31

S41

S32

S42

S33

S43

S34

S44

v1 w1 K2 u2 S12

S22

v2 w2 K3 u

3 S13

S23

v3 w3 K4 u

4 S14

S24

v4 K5 y Abbildung 3.1: Ein Substitutions-/Permutationsnetzwerk


37

Um die Definition zu vervollständigen, muss noch beschrieben werden, wie die N + 1 Rundenschl¨ ussel K 1 , . . . , K N +1 – jeder davon ein 16-Bit-Wort – gewonnen werden. Eine (f¨ ur praktische Anwendungen allerdings etwas zu simple) Möglichkeit ist die Vorgabe eines längeren Bitstrings (z.B. 32 Bits, K = k1 . . . k32 ) als (Global-) Schl¨ ussel und die Definition der K i als Ausschnitte davon (z.B. K r als der 16-Bit-String, der von k4r−3 bis k4r+12 reicht). Mit Schl¨ ussel K wie in der folgenden Tabelle ergeben sich die f¨ unf Rundenschl¨ ussel wie folgt: K K1 K2 K3 K4 K5

= 0011 1010 1001 0100 1101 0110 0011 1111 = 0011 1010 1001 0100 = 1010 1001 0100 1101 = 1001 0100 1101 0110 = 0100 1101 0110 0011 = 1101 0110 0011 1111 .

Wir wenden das soeben definierte SPN an, um den Klartext x

= 0010 0110 1011 0111

zu verschl¨ usseln: x = w0 K1 1 0 u = w ~ K1 v 1 = π S Â u1 w 1 = πP Â v 1 K2 2 1 u = w ~ K2 v 2 = π S Â u2 w 2 = πP Â v 2 K3 3 2 u = w ~ K3 v 3 = π S Â u3 w 3 = πP Â v 3 K4 4 3 u = w ~ K4 v 4 = π S Â u4 K5 4 y = v ~ K5

= = = = = = = = = = = = = = = = = =

0010 0110 1011 0111 0011 1010 1001 0100 0001 1100 0010 0011 0100 0101 1101 0001 0010 1110 0000 0111 1010 1001 0100 1101 1000 0111 0100 1010 0011 1000 0010 0110 0100 0001 1011 1000 1001 0100 1101 0110 1101 0101 0110 1110 1001 1111 1011 0000 1110 0100 0110 1110 0100 1101 0110 0011 1010 1001 0000 1101 0110 1010 1110 1001 1101 0110 0011 1111 1011 1100 1101 0110.

Um eine S-Box als eine Tabelle in Hardware zu implementieren, benötigt man l2l Bits, weil 2l Werte (letzte Zeile der Tabelle von πS ) a` l Bits gespeichert werden m¨ ussen. 4-Bit-S-Boxen (wie hier) können sehr gut in Hardware implementiert werden. Andererseits ist dieses SPN zu klein“, um realistisch zu sein. Realistischere ” iterierte Blockchiffren wie AES sind insgesamt größer“, d.h., sie haben mehr Bits und mehr Runden. AES ” benutzt 8-Bit-S-Boxen, die ebenfalls noch gut in Hardware implementiert werden können. Schon 16-BitS-Boxen verlangen 16·216 = 220 Bits, also 217 Bytes, d.h., etwa 128 Kilobytes (in Hardware). Das eben beschriebene SPN ist unsicher, vor allen Dingen weil die Schl¨ usselgröße (32 Bits) eine Brute-Force-Attacke erlaubt. AES hat eine Schl¨ usselgröße von mindestens 128 Bits, eine Mindestrundenanzahl von 10 und, wie

38


gesagt, eine S-Box-Größe von 8 Bits. Viele weitere Variationen sind möglich. Beispielsweise könnte man statt einer einzigen auch verschiedene S-Boxen benutzen. Dies wird im DES realisiert: dort werden in jeder Runde acht unterschiedliche S-Boxen eingesetzt; siehe Abschnitt 3.4.

3.3

Lineare Kryptanalyse

3.3.1

Ein wenig Wahrscheinlichkeitstheorie

Definition 3.3.1 Zufallsvariable Eine diskrete Zufallsvariable X besteht aus einer endlichen Menge X und einer auf X definierten Wahrscheinlichkeitsverteilung. Die Wahrscheinlichkeit, dass X den Wert x ∈ X annimmt, wird mit P[X = x] bezeichnet. Wenn X ausP dem Kontext bekannt ist, wird P[X = x] manchmal als P[x] abgek¨ urzt. Es m¨ ussen 3.3.1 ∀x ∈ X : 0 ≤ P[x] und ( x∈X P[x]) = 1 gelten.

Beispielsweise kann der Wurf einer M¨ unze als eine Zufallsvariable definiert werden, die auf der Menge {Kopf, Zahl} definiert ist. Die zugehörige Wahrscheinlichkeitsverteilung ist P[Kopf] = P[Zahl] = 12 . Wenn X eine auf X definierte Zufallsvariable ist und E ⊆ X gilt, dann ist die Wahrscheinlichkeit, dass X einen Wert x in E annimmt, gleich: X P[x ∈ E] = P[x]. (3.2) x∈E

E wird auch Ereignis genannt. Beispiel: Der Zufallswurf zweier W¨ urfel kann durch eine Zufallsvariable Z beschrieben werden, die Werte 1 f¨ ur alle (i, j) ∈ Z. Wir in der Menge Z = {1, 2, 3, 4, 5, 6} × {1, 2, 3, 4, 5, 6} annimmt, wobei P[(i, j)] = 36 betrachten die Summe der geworfenen Augen. Jede mögliche Summe (von 2 bis 12) definiert ein Ereignis. Beispielweise definieren die möglichen Summen 2, 3, 4 folgende Ereignisse: Summe 2: Summe 3: Summe 4:

Ereignis {(1, 1)} Ereignis {(1, 2), (2, 1)} Ereignis {(1, 3), (2, 2), (3, 1)}.

Es gilt daher P[2] =

1 36 ,

P[3] =

2 36

=

1 18

und P[4] =

3 36

=

1 12 .

Definition 3.3.2 Verbund- und bedingte Wahrscheinlichkeit Seien X und Y Zufallsvariablen, die auf endlichen Mengen X bzw. Y definiert sind. Die Verbundwahrscheinlichkeit P[x, y] ist die Wahrscheinlichkeit daf¨ ur, dass X den Wert x und Y den Wert y annehmen. Die bedingte Wahrscheinlichkeit P[x|y] ist die Wahrscheinlichkeit, dass X den Wert x annimmt, sofern Y den Wert y annimmt. Die Zufallsvariablen X und Y heißen unabh¨ angig, wenn f¨ ur alle x ∈ X und y ∈ Y gilt: P[x, y] = P[x]·P[y]. 3.3.2 Verbund- und bedingte Wahrscheinlichkeiten erf¨ ullen die Formeln P[x, y] = P[x|y]·P[y] und P[y, x] = P[y|x]·P[x]. Wegen P[x, y] = P[y, x] ergibt sich daraus der folgende


39

Satz 3.3.3 Satz von Bayes Wenn P[y] > 0, dann gilt P[x|y] =

P[x]·P[y|x] . P[y]

Korollar 3.3.4 X und Y sind unabh¨ angige Zufallsvariablen genau dann, wenn P[x|y] = P[x] f¨ ur alle x ∈ X und y ∈ Y gilt. 3.3.4 Beispiel: Beim Wurf zweier W¨ urfel ist die Wahrscheinlichkeit, dass ein Pasch geworfen wird, 61 . Das sieht man einerseits, wenn man die beiden W¨ urfel als eine einzige Zufallsvariable mit 36 möglichen Werten 6 = 61 gilt, andererseits auch, wenn man die beiden W¨ urfel als zwei getrennte Zufallsvariablen ansieht, weil 36 ansieht, weil die Wahrscheinlichkeit, dass der erste davon irgendeine Zahl liefert, 1 ist, und die bedingte Wahrscheinlichkeit, dass der zweite die gleiche Zahl liefert, 16 ist. Weiteres Beispiel: Sei X eine Zufallsvariable u urfel, also mit Werten in ¨ber die Summe der beiden W¨ {2, 3, . . . , 12}. Sei Y eine Zufallsvariable mit Werten in der zweielementigen Menge {NichtPasch, Pasch}. Wie eben gesehen, sind die Wahrscheinlichkeiten P[Pasch] = 61 und daher P[NichtPasch] = 56 . Die bedingte 1 1 , P[Pasch, 4] = 36 und P[4] = 12 . Wahrscheinlichkeit P[Pasch|4] ist gleich 31 , weil P[Pasch|4] = P[Pasch,4] P[4] 1 Genauso sieht man: P[4|Pasch] = 6 , und der Satz von Bayes wird mit Hilfe von P[Pasch|4]·P[4] =

1 = P[Pasch]·P[4|Pasch] 36

bestätigt. Wir spezialisieren uns jetzt auf paarweise voneinander unabhängige binäre Zufallsvariablen X1 , X2 , . . ., d.h., die Wertemenge der Xi ist {0, 1}. Die Zahlen pi seien definiert durch: pi 1 − pi

= =

P[Xi = 0] P[Xi = 1], f¨ ur i = 1, 2, . . ..

Es gelte i 6= j. Die Unabhängigkeit von Xi und Xj impliziert: P[Xi P[Xi P[Xi P[Xi

= 0, Xj = 0, Xj = 1, Xj = 1, Xj

= 0] = 1] = 0] = 1]

= = = =

p i pj pi (1 − pj ) (1 − pi )pj (1 − pi )(1 − pj )

Wir betrachten die diskrete Zufallsvariable Xi ~ Xj . Diese hat folgende Wahrscheinlichkeitsverteilung: P[(Xi ~ Xj ) = 0] P[(Xi ~ Xj ) = 1]

= =

pi pj + (1 − pi )(1 − pj ) pi (1 − pj ) + (1 − pi )pj .

Der Bias (Verzerrung) von Xi ist definiert als 1 ²i = p i − . 2

40


Es gelten nat¨ urlich −

1 1 1 1 ≤ ²i ≤ , P[Xi = 0] = + ²i und P[Xi = 1] = − ²i , f¨ ur i = 1, 2, . . .. 2 2 2 2

Wir werden die ~-Operation iteriert anwenden. Dazu ist anzumerken, dass sich ein iteriertes ~ nach folgender Regel berechnet: falls in den Argumenten eine gerade Anzahl von 1 en vorkommt, ist der Wert 0, sonst 1. Zum Beispiel gilt (1 ~ 0 ~ 1) = (0 ~ 0 ~ 0 ~ 0) = 0 und (1 ~ 0 ~ 1 ~ 0 ~ 1) = (1 ~ 0 ~ 1 ~ 1) = 1. Sei f¨ ur i1 < i2 < . . . < ik der Bias der Zufallsvariablen Xi1 ~ Xi2 ~ . . . ~ Xik mit ²i1 ,i2 ,...,ik bezeichnet. Es gilt ²i1 ,i2 = 2²i1 ²i2 , denn beide Terme sind gleich 2pi1 pi2 − pi1 − pi2 + 21 , wie man leicht ausrechnen kann. Genauso gilt ²i1 ,i2 ,i3 = 4²i1 ²i2 ²i3 , usw., und allgemein: Lemma 3.3.5 Piling-up-Lemma Es sei ²i1 ,...,ik der Bias der Zufallsvariablen Xi1 ~ . . . ~ Xik . Dann gilt ²i1 ,...,ik = 2k−1 Πkj=1 ²ij . Beweis: (Skizze.) Sehr leicht durch Induktion u 3.3.5 ¨ber k. Als Folge hiervon ist der Bias ²i1 ,...,ik der Zufallsvariablen Xi1 ~ . . . ~ Xik schon dann 0, wenn ein einziges der ²ij Null ist. Lemma 3.3.5 gilt tatsächlich nur dann, wenn die Zufallsvariablen voneinander unabhängig sind. Um dies zu verdeutlichen, nehmen wir beispielsweise ²1 = ²2 = ²3 = 14 an. Dann gilt ²1,2 = ²1,3 = ²2,3 = 18 nach Lemma 3.3.5. Betrachten wir die Zufallsvariable X1 ~ X3 = (X1 ~ X2 ) ~ (X2 ~ X3 ). Wären (X1 ~ X2 ) und (X2 ~ X3 ) unabhängig voneinander (was sie aber nicht sind), ergäbe Lemma 3.3.5 den 1 Wert ²1,3 = 2( 18 )2 = 32 , im Widerspruch zu ²1,3 = 81 .

3.3.2

Lineare Approximation von S-Boxen

Wir betrachten eine S-Box πS : {0, 1}m → {0, 1}n . πS muss nicht unbedingt eine Permutation sein; auch kann m 6= n gelten. Ein Eingabetupel soll X = (x1 , . . . , xm ) geschrieben werden. X sei zufällig und gleichverteilt aus {0, 1}m , was bedeutet, dass jede Koordinate xi eine Zufallsvariable Xi u ¨ber {0, 1} mit Bias 0 ist, wobei je zwei dieser Variablen voneinander unabhängig sind. Ein Ausgabetupel werde als Y = (y1 , . . . , yn ) geschrieben. Wieder beschreibt jede Koordinate eine Zufallsvariable Yj u ¨ber {0, 1}, wobei die Frage nach dem Bias entsteht. Die Variablen Yj sind im Normalfall weder unabhängig voneinander noch unabhängig von den Xi . Zunächst gilt: ½ 0 falls (y1 , . . . , yn ) 6= πS (x1 , . . . , xm ) P[X1 = x1 , . . . , Xm = xm , Y1 = y1 , . . . , Yn = yn ] = 2−m falls (y1 , . . . , yn ) = πS (x1 , . . . , xm ). Die letzte Zeile gilt, weil die Wahrscheinlichkeit, dass die X1 , . . . , Xm die Werte x1 , . . . , xm annehmen, gleich 2−m ist. Wir berechnen nun den Bias einer Zufallsvariablen der folgenden Form: X i 1 ~ X i 2 ~ . . . ~ X i k ~ Y j1 ~ Y j2 ~ . . . ~ Y jl


X1 0 0 0 0 0 0 0 0 1 1 1 1 1 1 1 1

X2 0 0 0 0 1 1 1 1 0 0 0 0 1 1 1 1

X3 0 0 1 1 0 0 1 1 0 0 1 1 0 0 1 1

X4 0 1 0 1 0 1 0 1 0 1 0 1 0 1 0 1

Y1 1 0 1 0 0 1 1 1 0 1 0 1 0 1 0 0

Y2 1 1 1 0 0 1 0 0 0 0 1 1 1 0 0 1

Y3 1 0 0 0 1 1 1 0 1 1 1 0 0 0 0 1

41

Y4 0 0 1 1 0 1 1 0 1 0 0 0 1 1 0 1

X1 ~ X 4 ~ Y 2 1 0 1 1 0 0 0 1 1 0 0 1 0 0 1 1

X3 ~ X 4 ~ Y 1 ~ Y 4 1 1 1 1 0 1 1 1 1 0 1 1 1 1 1 1

Abbildung 3.2: Werte von Xi , Yj , sowie von X1 ~ X4 ~ Y2 und X3 ~ X4 ~ Y1 ~ Y4 im Beispiel. allgemein. Beispiel: Betrachten wir die S-Box πS aus Abschnitt 3.2 (m = n = 4). In Abbildung 3.2 sind die möglichen Werte der acht Zufallsvariablen X1 , . . . , X4 , Y1 , . . . , Y4 angegeben, zusammen mit den Werten der Variablen X1 ~ X4 ~ Y2 und X3 ~ X4 ~ Y1 ~ Y4 . Die Wahrscheinlichkeiten und die Verzerrungen ²1 , ²2 der beiden Variablen X1 ~X4 ~Y2 und X3 ~X4 ~Y1 ~Y4 sind: P[(X1 ~ X4 ~ Y2 ) = 0]

=

P[(X3 ~ X4 ~ Y1 ~ Y4 ) = 0]

=

8 16 2 16

und

²1

=

0

und

²2

=

− 83 .

Dazu sind einfach die Stellen, an denen die Variablen 0 werden, abzuzählen, und es ist durch 16 zu teilen. Im Prinzip kann auf diese Weise eine Tabelle aller 28 = 256 auf diese Weise gebildeter Zufallsvariablen zusammengestellt werden. Dazu wird jede Variable in der Form a1 X 1 ~ . . . ~ a 4 X 4 ~ b 1 Y1 ~ . . . ~ b 4 Y4

(3.3)

dargestellt, wobei die ai und bi Werte aus {0, 1} sind. Zum Beispiel ist a1 =1, a2 =0, a3 =0, a4 =1, b1 =0, b2 =1, b3 =0, b4 =0 f¨ ur die Variable X1 ~ X4 ~ Y2 . Die ai und die bi können als jeweils ein hexadezimales Zeichen a bzw. b dargestellt werden. (Oben ist dann 1001 = 9 f¨ ur a und 0100 = 4 f¨ ur b.) Diese beiden Zeichen heißen die Eingabesumme bzw. die Ausgabesumme. So hat man eine Bijektion zwischen Paaren von Hexadezimalzeichen und Zufallsvariablen der Form (3.3). Die lineare Approximation einer S-Box ist diejenige Tabelle, die f¨ ur Eingabesumme a (aufgetragen in Zeilen)

42


und Ausgabesumme b (aufgetragen in Spalten), zählt, wie oft die (a, b) entsprechende Zufallsvariable den Wert 0 annimmt. F¨ ur das Beispiel ist diese Tabelle in Abbildung 3.3 gezeigt. Es sei NL (a, b) der zu a und b gehörige Eintrag in dieser Tabelle. (Oben haben wir explizit NL (9, 4) = 8 und NL (3, 9) = 2 berechnet.) Der Bias einer zu (a, b) gehörigen Zufallsvariablen der Form (3.3) berechnet sich offenbar folgendermaßen ²(a, b) =

NL (a, b) − 8 . 16

Beispielsweise sind ²1 = ²(9, 4) =

a 0 1 2 3 4 5 6 7 8 9 A B C D E F

b: | 0 16 8 8 8 8 8 8 8 8 8 8 8 8 8 8 8

1 8 8 8 8 10 6 10 6 8 8 12 12 6 10 10 6

8−8 16

= 0 und ²2 = ²(3, 9) =

2 3 4 5 8 8 8 8 6 6 8 8 6 6 8 8 8 8 8 8 8 6 6 4 6 8 6 8 6 12 10 8 8 10 10 4 8 8 8 8 6 6 8 8 6 10 4 8 8 4 12 8 12 6 6 8 10 8 6 12 10 8 6 4 4 6 6 8

6 7 8 9 8 8 8 8 6 14 10 10 6 6 8 8 8 8 10 2 6 8 8 6 12 10 6 8 8 10 8 6 10 8 6 8 8 8 6 10 6 6 4 8 10 6 10 10 12 8 8 8 10 8 10 8 8 10 4 6 8 10 6 8 10 8 8 6

2−8 16

A 8 8 10 6 8 4 10 10 10 6 8 8 10 10 8 12

= − 83 . B 8 8 10 6 10 10 12 8 6 10 8 8 12 8 6 6

C 8 10 8 10 10 8 6 12 10 8 10 8 8 10 4 6

D E F 8 8 8 10 8 8 8 2 10 10 6 6 4 10 8 6 6 8 8 8 8 10 8 10 6 6 2 12 10 6 10 8 8 8 8 8 10 8 6 8 8 10 10 6 8 8 10 8

Abbildung 3.3: Die lineare Approximationstabelle von πS aus Abschnitt 3.2.

3.3.3

Ein linearer Angriff auf SPN

Wenn man einen 16 Bit langen Schl¨ ussel mit Hilfe von Brute Force herausfinden möchte, benötigt man 215 = 21 ·216 Versuche im Mittel. Kann das Problem auf das Finden (durch Brute Force) von zwei 8-BitSchl¨ usseln heruntergebrochen werden, benötigt man im Durchschnitt nur 28 = 2· 12 ·28 Versuche. (U.a.) diese Idee macht sich die lineare Kryptanalyse zunutze. Die Vorgehensweise wird am Beispiel des Abschnitts 3.2 illustriert. Wir wählen f¨ ur die Attacke einige Zufallsvariablen, die in bestimmter Weise mit den Zwischenzuständen ui und v i des Beispiel-SPNs zusammenhängen. Abbildung 3.4 zeigt die relevanten Bereiche von Abbildung 3.1 mit Hilfe von gerichteten Kanten. Relevant sind die S-Boxen S21 , S22 , S23 und S43 , und die beiden SBoxen S24 , S44 dienen zur Identifizierung von Schl¨ usselbits; wir wollen den letzten Rundenschl¨ ussel, K 5 , teilweise herausfinden. Die folgende Tabelle beschreibt die gewählten Zufallsvariablen, zusammen mit den


43

Verzerrungen einiger relevanter S-Boxen: S-Box

Zufallsvariable

Bias

S21

T1 = U51 ~ U71 ~ U81 ~ V61

1 4

S22 S23

T2 = U62 ~ V62 ~ V82

− 41

3 3 3 T4 = U14 ~ V14 ~ V16

− 41

− 41

T3 = U63 ~ V63 ~ V83

S43

Die Verzerrungen in der letzten Spalte wurden dabei so ausgerechnet, wie es in Abschnitt 3.3.2 beschrieben wurde. Diese Kombination von S-Boxen und Zufallsvariablen wurde so gewählt, dass 1. (absolut gesehen) möglichst hohe Verzerrungen erhalten werden, denn auf diese Weise gibt es eine Chance, dass der Bias auch bei Hintereinanderschalten“ noch sp¨ urbar von 0 abweicht; ” 2. das ~ aller Tj einen Ausdruck u usseltext und Teile von ¨brig lässt, der nur Variablen aus Klartext, Schl¨ u4 (d.h., der Eingabe f¨ ur die letzte Runde) enthält. Die Variablen T1 –T4 sind nicht unabhängig. Allerdings geht man bei der linearen Attacke ( in erster Nähe” rung“) davon aus, dass sie sich ungefähr unabhängig verhalten. Unter dieser vereinfachenden Annahme kann man den Bias der Zufallsvariablen T1 ~ T 2 ~ T 3 ~ T 4

1 3 nach dem Piling-Up-Lemma ausrechnen: 23 · 41 ·( −1 4 ) = − 32 . Man darf dann hoffen, dass der (immer nur 1 usselbits f¨ uhrt. ziemlich deutliche) Bias von − 32 zu einer Entdeckung von Schl¨ Wir rechnen zunächst den Term T1 ~ T2 ~ T3 ~ T4 aus. Mit Hilfe von Abbildung 3.4 sieht man:

T1

=

T2

=

T3

=

T4

=

U51 ~ U71 ~ U81 ~ V61 U62 ~ V62 ~ V82

U63 ~ V63 ~ V83

3 3 3 U14 ~ V14 ~ V16

=

= = =

X5 ~ K51 ~ X7 ~ K71 ~ X8 ~ K81 ~ V61 V61 ~ K62 ~ V62 ~ V82

V62 ~ K63 ~ V63 ~ V83

3 3 3 V82 ~ K14 ~ V14 ~ V16 .

Das ~ der vier rechten Seiten dieser Gleichungen ergibt: 3 3 3 X5 ~ X7 ~ X8 ~ V63 ~ V83 ~ V14 ~ V16 ~ K51 ~ K71 ~ K81 ~ K62 ~ K63 ~ K14

(3.4)

(dabei heben sich einige der V s gegenseitig weg). Nach (unpräziser, aber sinnvoller) Annahme hat diese 1 . Wir eliminieren weiter: die Vj3 können durch Ui4 und weitere Schl¨ Variable als einen Bias von − 32 usselbits 2 ausgedr¨ uckt werden : V63

V83

3 V14

3 V16

2 Es

= = = =

U64 ~ K64

4 4 U14 ~ K14

U84 ~ K84

4 4 U16 ~ K16 .

gilt ja allgemein: x = (y ~ z) genau dann, wenn y = (x ~ z).

44


Eingesetzt in (3.4), ergibt dies: 4 4 3 4 4 , ~ K16 ~ K64 ~ K84 ~ K14 ~ K51 ~ K71 ~ K81 ~ K62 ~ K63 ~ K14 ~ U16 X5 ~ X7 ~ X8 ~ U64 ~ U84 ~ U14

(3.5)

d.h., einen Ausdruck, der nur noch Klartextbits, Schl¨ usselbits und Bits von u4 enthält. Nehmen wir an, dass der Schl¨ ussel eine feste Größe ist; dann sind insbesondere die Schl¨ usselbits in (3.5) feste Größen, und der 4 Teilausdruck K51 ~ . . . ~ K16 hat entweder den Wert 0 oder den Wert 1. Also hat die Zufallsvariable 4 4 ~ U16 X5 ~ X7 ~ X8 ~ U64 ~ U84 ~ U14

(3.6)

1 einen (deutlichen, und deshalb zur Attacke benutzbaren) Bias von ± 32 , wobei das Vorzeichen von den Schl¨ usselbits abhängt (die ja nicht bekannt sind). Sei nun T eine Menge von Klartext/Chiffretext-Paaren, die alle mit dem gleichen Schl¨ ussel K verschl¨ usselt 5 5 worden sind, und sei T = |T|. Wir wollen mit Hilfe von T die acht Bits in K(2) und K(4) herausbekommen, nämlich diejenigen Bits des f¨ unften Rundenschl¨ ussels K 5 , die mit dem Output der beiden (relevanten) 4 4 S-Boxen S2 und S4 mittels ~ verkn¨ upft werden: 5 5 5 5 K55 , K65 , K75 , K85 , K13 , K14 , K15 und K16 .

Es gibt 28 = 256 mögliche Belegungen dieser 8 Variablen; jede davon ist zunächst ein Kandidat. F¨ ur jedes Paar (x, y) ∈ T und f¨ ur jeden der 256 Kandidaten berechnen wir die entsprechenden Werte von u4(2) und usselung von y u u4(4) durch Teilentschl¨ ¨ber v 4 nach u4 . Dann berechnen wir den tatsächlichen Wert x5 ~ x7 ~ x8 ~ u46 ~ u48 ~ u414 ~ u416

(3.7)

4 4 der Zufallsvariablen X5 ~ X7 ~ X8 ~ U64 ~ U84 ~ U14 ~ U16 aus (3.6). F¨ ur jeden Kandidaten wird dabei gezählt (¨ uber alle (x, y) in T), wie oft in (3.7) der Wert 0 angenommen wird. Passt der Kandidat nicht, dann sind die Werte x5 , x7 , x8 und die (aus y errechneten) Werte u46 , u48 , u414 , u416 unabhängig voneinander und man darf in (3.7) eine ungefähre Gleichverteilung von Nullen und Einsen erwarten. In diesem Fall sollte die Zählung also ungefähr 12 ·T ergeben. Handelt es sich bei dem Kandidaten aber um den tatsächlichen 1 (Teil-)Schl¨ ussel, kommt der Bias von ± 32 zum Tragen und man darf erwarten, dass die Zählung stattdessen 1 1 1 1 entweder 2 ·T + 32 ·T oder 2 ·T − 32 ·T ergibt. Der Algorithmus in Abbildung 3.5 implementiert diese Attacke, wobei die 256 Kandidaten als Paare von Hexadezimalzahlen unterschieden werden: (L1 , L2 ). Die Zählung geschieht in einem Feld Count. Eine lineare Attacke f¨ uhrt in der Regel zum Erfolg, wenn eine gen¨ ugend große Anzahl T von Klartext/Chiffretext-Paaren vorliegt. Erfahrungsgemäß sollte T dabei ungefähr gleich c·²−2 sein, wobei ² der (absolute) Bias und c eine kleine“ Konstante sind (beispielsweise c = 10). Hier im Beispiel wären ca. 8000 − 10000 Paare ” (x, y) in T vonnöten. Die große Schwachstelle der linearen Attacke ist die, dass man f¨ ur größere Beispiele sehr viele solcher Paare braucht, die alle mit dem gleichen Schl¨ ussel K verschl¨ usselt sein m¨ ussen.


Index

1

2

3

4

45

5

6

7

8

9

10 11 12

13 14 15 16

x K1 u1 S21

v1 w1 K2 u2 S22

v2 w2 K3 u

3 S23

S43

v3 w3 K4 u

4 S24

S44

v4 K5 y Abbildung 3.4: Lineare Attacke auf ein Substitutions-/Permutationsnetzwerk

46


↓

↓

↑

proc Lineare Attacke (T, πS , maxkey); begin for (L1, L2) := (0, 0) to (F, F ) do Count[L1, L2] := 0 endfor; foreach (x, y) ∈ T do for (L1, L2) := (0, 0) to (F, F ) do 4 4 v(2) := L1 ~ y(2) ; v(4) := L2 ~ y(4) ; 4 4 u4(2) := πS−1 Â v(2) ; u4(4) := πS−1 Â v(4) ; 4 4 4 z := x5 ~ x7 ~ x8 ~ u6 ~ u8 ~ u14 ~ u416 ; if z=0 → Count[L1, L2] := Count[L1, L2]+1 else → skip f i endfor endforeach; (max, maxkey) := (0, (0, 0)); for (L1, L2) := (0, 0) to (F, F ) do if |Count − 12 ·T | > max → (max, maxkey) := (|Count − 21 ·T |, (L1, L2)) else → skip fi endfor; return(maxkey)

end Abbildung 3.5: Algorithmus zur linearen Attacke des SPN-Kryptosystems

3.4

DES: Digital Encryption Standard

DES (veröffentlicht als Publikation der Federal Information Processing Standards, FIPS 3 ) ist eine iterierte Feistel-Chiffre. In einer Feistel-Chiffre ist jeder Zustand ui in zwei gleich große Hälften geteilt: ui = L i R i . Die Rundenfunktion g hat die Form (Li , Ri ) = g(Li−1 , Ri−1 , K i ), wobei mit einer Funktion f gilt: Li Ri

= =

Ri−1 Li−1 ~ f (Ri−1 , K i ).

Dieses Arrangement ist in Abbildung 3.6 gezeigt. Um diese Chiffre umkehrbar zu machen, muss f noch nicht einmal injektiv sein, denn es gilt: Li−1 Ri−1 3 Siehe

= Ri ~ f (Li , K i ) = Li .

http://www.itl.nist.gov/fipspubs/fip46-2.htm.


47

Dabei folgt die zweite Gleichung aus der ersten oben, und die erste Gleichung folgt aus der zweiten oben, wenn man zusätzlich noch bedenkt, dass die Funktion f beide Male die gleichen Argumente hat (siehe auch die vorherige Fußnote). 32 Bits Li−1

Ri−1

f

Ki

48 Bits

~

Li

Ri

Abbildung 3.6: Die Rundenfunktion in DES DES hat 16 Runden und Blocklänge 64. Ein Klartext der Bitlänge 64 wird mit Hilfe eines Schl¨ ussels K der Länge 64 verschl¨ usselt. Von den Schl¨ ussel-Bits sind allerdings nur 56 Bits frei wählbar; das jeweils achte Bit in einem Byte ist per definitionem so gesetzt, dass die Quersumme der Bits in einem Byte immer ungerade ist. Die Rundenschl¨ ussel (K 1 , . . . , K 16 ) haben je 48 Bits und ergeben sich nach einer bestimmten Vorschrift aus K, die hier aber nicht weiter erklärt werden soll4 . Sei x ein Klartext. Vor der ersten Runde wird eine feste initiale Permutation IP angewendet, um den Anfangszustand L0 R0 zu erhalten, d.h., L0 R0 = IP(x), und ganz am Ende (nach der 16. Runde) wird der Chiffretext y aus dem Endzustand L16 R16 durch Anwendung der inversen Permutation erzeugt, d.h., y = IP−1 (R16 L16 ) (mit umgedrehter Reihenfolge RL). Die Permutation IP ist kryptographisch irrelevant, da sie nicht vom Schl¨ ussel abhängt; deswegen wird sie hier nicht diskutiert. Die Funktion f , die in jeder DES-Runde einmal zum Einsatz kommt, ist in Abbildung 3.7 beschrieben. Sie hat zwei Argumente, die hier mit A und J bezeichnet sind. A ist ein 32-Bit-Wort (R i−1 ), während J ein 48-Bit-Wort (der jeweilige Rundenschl¨ ussel K i ) ist. Um f (A, J) zu berechnen, werden die folgenden Schritte ausgef¨ uhrt: (1) A wird gemäß einer festen Expansionsfunktion E von 32 auf 48 Bits zu E(A) erweitert. (2) Es wird E(A) ~ J gebildet und das Resultat als Verkettung b1 b2 . . . b8 von acht 6-Bit-Wörtern bi (1 ≤ i ≤ 8) geschrieben. (3) Die bi (jeweils 6 Bits) werden mit Hilfe von acht festen S-Boxen S1 , . . . , S8 in 4-Bit-Strings ci umgewandelt. 4 Siehe

z.B. http://www.tropsoft.com/strongenc/des.htm.

48


A

J

E

E(A)

~ b1

b2

b3

b4

b5

b6

b7

b8

S1

S2

S3

S4

S5

S6

S7

S8

c1 c2 c3 c4 c5 c6 c7 c8

P

f (A, J)

Abbildung 3.7: Die Funktion f in einer Runde der DES-Verschl¨ usselung (4) Der Bitstring c1 c2 . . . c8 (der jetzt die Länge 32 hat) wird gemäß der (festen) Permutation P umsortiert. Das Resultat wird als f (A, J) definiert; es hat 32 Bits. Die acht S-Boxen sind in Abbildung 3.8 angegeben. Jede davon wird als eine Tabelle mit 4 Zeilen und 16 Spalten aufgeschrieben. Eine S-Box wandelt 6 Bits bi = bi,1 bi,2 bi,3 bi,4 bi,5 bi,6 in 4 Bits ci durch folgende Vorschrift um: Die Bits bi,1 bi,6 (d.h., das erste und das letzte Bit) geben eine Zeile an, während die Bits bi,2 bi,3 bi,4 bi,5 (d.h., die vier mittleren Bits) eine Spalte angeben, und der Eintrag in der Tabelle an dieser Stelle, geschrieben als 4-Bit-String, ist ci . Beispiel: Sei b1 = b1,1 b1,2 b1,3 b1,4 b1,5 b1,6 = 101000. Dies bestimmt Zeile 10, also die dritte(!) Zeile, und Spalte 0100, also die f¨ unfte Spalte. In S-Box S1 ist der dort zu findende Eintrag 13, das Ergebnis ist also c1 = 1101. Diese S-Boxen sind keine Permutationen, aber (und das haben wir bereits gesehen) die Funktion f muss ja auch nicht unbedingt injektiv sein. In jeder Zeile einer S-Box kommt jede der Zahlen zwischen 0 und 15 (inklusive) genau einmal vor5 . Ansonsten erscheinen diese Boxen relativ willk¨ urlich. Die Design-Entscheidungen, nach denen diese acht S-Boxen Mitte der Siebziger Jahre bei IBM entworfen und festgelegt worden sind, entziehen sich nach wie vor (wahrscheinlich aus Geheimhaltungsgr¨ unden) präziser Kenntnis. Anscheinend kannten die Kryptologen dort bereits Varianten der linearen Attacke, lange, bevor diese ca. 1994 publiziert und angewendet wurde, und haben die S-Boxen danach ausgerichtet, solche Angriffe zu verunmöglichen. 5 Hoffentlich;

wenn ich mich nicht vertippt habe.


49

Es gibt Autoren, die vermuten (oder vermutet haben), dass in diese speziellen S-Boxen eine Hintert¨ ur“ ” eingebaut worden ist, die ein Abhören“ (zum Beispiel durch die National Security Agency) gestattet. Harte ” Fakten in diese Richtung gibt es jedoch auch jetzt, fast 30 Jahre nach dem Design von DES, nicht. Die Expansionsfunktion E und die Permutation P in Abbildung 3.7 werden durch die folgenden Tabellen spezifiziert. Diese sind so zu lesen: Sei z.B. d = d1 d2 . . . d32 ein Bitstring der Länge 32. Dann sind E(d) = d32 d1 d2 d3 d4 d5 d4 d5 d6 . . . d31 d32 d1 und P (d) = d16 d7 d20 d21 d29 . . . d11 d4 d25 .

E 32 4 8 12 16 20 24 28

1 5 9 13 17 21 25 29

2 6 10 14 18 22 26 30

3 7 11 15 19 23 27 31

4 8 12 16 20 24 28 32

5 9 13 17 21 25 29 1

16 29 1 5 2 32 19 22

P 7 20 21 12 28 17 15 23 26 18 31 10 8 24 14 27 3 9 13 30 6 11 4 25

Damit ist DES – bis auf die initiale Permutation IP und die Generierung von Rundenschl¨ usseln – vollständig beschrieben. Im Jahr 1994 hat eine lineare Attacke auf DES einen gewissen Erfolg gehabt: mit Hilfe von ca. 2 43 Klartext/Chiffretext-Paaren (d.h., |T| ≈ 243 ), deren Erzeugung 40 Tage dauerte, wurde innerhalb 10 weiterer Tage ein DES-Schl¨ ussel gefunden. Später (1997-98) hat die Electronic Frontier Foundation einen BruteForce-DES-Cracker gebaut6 , der die vergleichsweise geringe Summe von 250000 Dollar gekostet hat und 88 Milliarden Schl¨ ussel pro Sekunde testen konnte. Im Juli 1998 hat diese Spezialmaschine einen DES-Schl¨ ussel in nur 56 Stunden gefunden. Im Januar wurde unter Zuhilfenahme eines verteilten Systems 7 , an dem sich viele Arbeitsgruppen beteiligt haben, ein DES-Schl¨ ussel innerhalb von 22 Stunden und 15 Minuten gefunden (hier wurden mehr als 245 Milliarden Schl¨ ussel pro Sekunde untersucht). U.a. aus (oben genannten) Gr¨ unden fehlender Sicherheit hat sich DES als Industriestandard nicht umfassend etabliert. Trotzdem wird DES in einer leicht abgewandelten Form auch heute benutzt und gilt als relativ sicher. Man kann nämlich durch Iterieren den Schl¨ usselraum auf einfache Weise vergrößern. Eine hierf¨ ur weit verbreitete Methode ist Triple DES oder 3DES, wobei ein Klartext zunächst mit DES und einem Schl¨ ussel K1 verschl¨ usselt wird, das Ergebnis dann mit DES und einem anderen Schl¨ ussel K2 entschl¨ usselt, und das Ergebnis hiervon wieder mit DES und einem dritten Schl¨ ussel K3 verschl¨ usselt. So gewinnt man eine Verdreifachung des Schl¨ usselraums auf 192 Bits (wovon 3·56 = 168 Bits frei wählbar sind) und damit eine erhebliche bessere Sicherheit. Triple DES ist dreimal so langsam wie DES, aber das fällt der vielfach erhöhten Sicherheit gegen¨ uber wenig ins Gewicht.

6 Siehe

http://www.eff.org/Privacy/Crypto misc/DESCracker/.

7 http://www.distributed.net/.

50


14 0 4 15

4 15 1 12

13 7 14 8

1 4 8 2

2 14 13 4

15 2 6 9

11 13 2 1

15 3 0 13

1 13 14 8

8 4 7 10

14 7 11 1

6 15 10 3

11 2 4 15

3 8 13 4

10 13 13 1

0 7 6 10

9 0 4 13

14 9 9 0

6 3 8 6

3 4 15 9

15 6 3 8

7 13 10 3

13 8 6 15

14 11 9 0

3 5 0 6

0 6 12 10

6 15 11 1

9 0 7 13

2 14 4 11

12 11 2 8

4 2 1 12

1 12 11 7

7 4 10 1

10 11 7 13 13 7 14 2

12 10 9 4

1 15 14 3

10 4 15 2

15 2 5 12

9 7 2 9

2 12 8 5

6 9 12 15

4 13 1 6

11 0 4 11

2 11 11 13

14 7 13 8

15 4 12 1

0 9 3 4

8 1 7 10

13 1 7 2

2 15 11 1

8 13 4 14

4 8 1 7

6 10 9 4

15 3 12 10

11 7 14 8

S1 8 3 10 1 10 6 11 15 12 7 5 11 S2 4 9 7 14 12 0 1 5 8 2 11 6 S3 5 1 13 10 2 8 0 11 1 7 4 15 S4 10 1 2 3 4 7 13 15 1 8 9 4 S5 6 8 5 1 5 0 8 15 9 13 6 15 S6 8 0 13 5 6 1 3 7 0 10 11 14 S7 13 3 12 10 14 3 14 10 15 7 9 5 S8 1 10 9 4 12 5 2 0 6 13 15 12

6 12 9 3

12 11 7 14

5 9 3 10

9 5 10 0

0 3 5 6

7 8 0 13

2 1 12 7

13 10 6 12

12 6 9 0

0 9 3 5

5 11 2 14

10 5 15 9

12 5 2 14

7 11 14 12 12 5 3 11

4 11 10 5

2 15 14 2

8 1 7 12

8 2 3 5

5 12 14 11

11 1 5 12

12 10 2 7

4 14 8 2

15 9 4 14

3 15 12 0

15 10 5 9

13 3 6 10

0 9 3 4

14 8 0 5

9 6 14 3

3 13 4 1

4 14 10 7

14 0 1 6

7 11 13 0

5 3 11 8

11 8 6 13

9 5 6 0

7 12 8 15

5 2 0 14

10 15 5 2

6 8 9 3

1 6 2 12

3 6 10 9

14 11 13 0

5 0 15 3

0 14 3 5

12 9 5 6

7 2 8 11

Abbildung 3.8: Die S-Boxen von DES

Kapitel 4

AES: Advanced Encryption Standard 4.1

Auswahlverfahren

Nachdem Ende der neunziger Jahre abzusehen war, dass DES unsicher werden w¨ urde, wurde (vom National Institute of Standards and Technology, NIST) nach einem Nachfolger f¨ ur DES (genannt Advanced Encryption Standard, AES) gesucht. Der erste Call for algorithms“ wurde am 12. September 1997 veröffentlicht. AES ” sollte eine Blocklänge von 128 Bits haben und Schl¨ ussellängen von 128, 192 und 256 unterst¨ utzen. Außerdem sollte AES weltweit frei verf¨ ugbar sein. Nach mehreren Konferenzen und Auswahlrunden wurden im August 1999 f¨ ur die Endauswahl f¨ unf Kandidaten ausgewählt: MARS, RC6, Rijndael, Serpent und Twofish. Am 2. Oktober 2000 wurde schließlich Rijndael (entwickelt von J. Daemen und V. Rijmen aus Belgien) als AES ausgewählt. Auswahlkriterien waren vor allem: • Sicherheit. Algorithmen, die gegen Attacken anfällig waren, wurden nicht weiter betrachtet. Das bedeutet nat¨ urlich nicht, dass AES absolut sicher ist, sondern nur, dass AES bekannten Attacken gegen¨ uber sicher zu sein scheint. • Kosten. Dies bezog sich auf die algorithmische Effizienz und die Möglichkeit der effizienten Implementierung in Hardware (z.B. in SmartCards). • Algorithmische Spezifika. Hiermit sind Einfachheit und Flexibilität gemeint. Alle f¨ unf Kandidaten wurden als sicher angesehen. Rijndael wurde hauptsächlich deswegen ausgewählt, weil es den anderen Kandidaten in der Kombination von Sicherheitsaspekten mit Eigenschaften der Performanz, der Effizienz, der Implementierbarkeit und der Flexibilität als u ¨berlegen erachtet wurde. Rijndael benutzt Resultate aus der Theorie endlicher Körper, deren wichtigste im nächsten Kapitel erklärt sind.

4.2

Ein wenig K¨ orpertheorie

Eine Struktur (F, +, ·) heißt K¨ orper (engl.: field), wenn gilt: 51

52

Vorlesungsskript von E. Best / Stand: 19. September 2005 • (F, +) ist eine Abelsche Gruppe; das neutrale Element sei mit 0 bezeichnet. • (F \{0}, ·) ist eine Abelsche Gruppe; das neutrale Element sei mit 1 bezeichnet. • Es gelten die Distributivgesetze (wie bei Ringen, s. Abschnitt 1.2).

Offenbar sind Körper spezielle Ringe. Ein wesentlicher Unterschied ist, dass in der multiplikativen Gruppe gek¨ urzt“ werden darf und insbesondere dass aus a·b = 0 stets a = 0 ∨ b = 0 folgt. ” Wir interessieren uns speziell f¨ ur endliche Körper, d.h., f¨ ur den Fall, dass F eine endliche Menge ist. Beispiele kennen wir bereits: aus Satz 1.2.2 und Satz 1.2.3 folgt, dass Zp , die Menge der Restklassen von p, ein Körper ist, wenn p eine Primzahl ist. Selbstverständlich ist Zp endlich. Es gilt sogar, dass Zp nur dann ein Körper ist, wenn p eine Primzahl ist. Denn andernfalls gälte p = m·n mit 1 < m, n < p und deshalb auch m·1 = m·(1+n), jedoch auch 1 6= 1+n, in Zp , was bedeutet, dass (Zp \{0}, ·) keine Gruppe wäre. ¨ Sei F mit der Addition + und der Multiplikation · ein endlicher Körper. Wir wollen zunächst eine Ubersicht bekommen, was f¨ ur Mengen F daf¨ ur u ¨berhaupt in Frage kommen. Zunächst ist klar, dass F mindestens zwei Elemente haben muss, da die Null und die Eins verschieden sein m¨ ussen. Andererseits gen¨ ugen schon zwei Elemente, denn {0, 1} mit der Addition wie ~ und der Multiplikation wie logische Konjunktion ∧ ist {0, 1} bereits ein Körper. Betrachten wir das Einselement 1 und untersuchen, welche Körperelemente erreicht“ werden, wenn die ” Summen 1, 1 + 1, 1 + 1 + 1 usw. gebildet werden. Wir behaupten, dass mindestens eine (und dann auch unendlich viele) dieser Summen gleich 0 ist. Denn weil F endlich ist, kann es nicht unendlich viele Summen geben, die alle verschiedene Ergebnisse liefern. Es gibt also Zahlen m, n mit 1 + 1 + . . . + 1 = 1 + 1 + . . . + 1 und m < n. Dann gilt sicher auch 1 + 1 + . . . + 1 = 0, | | {z } {z } {z } | m-mal

n-mal

(n−m)-mal

weil man in der additiven Gruppe (F, +) ja wegk¨ urzen“ darf. ” Definition 4.2.1 Charakteristik eines endlichen K¨ orpers Sei F ein endlicher Körper. Die kleinste Zahl p mit 1 + 1 + . . . + 1 = 0 heißt die Charakteristik von F . {z } | p-mal

4.2.1

Die Charakteristik p von F muss eine Primzahl sein. Denn wäre p = m·n mit 1 < m, n < p, dann gälte 0

=

1 + ... + 1 | {z } p-mal

und damit auch

=

(1 + . . . + 1) + . . . + (1 + . . . + 1) | {z } | {z } m-mal m-mal {z } | n-mal

entweder (1 + . . . + 1) = 0 oder, mit a = (1 + . . . + 1) 6= 0, | {z } | {z } m-mal

m-mal

a + . . . + a = a(1 + . . . + 1) = 0. | {z } | {z } n-mal

n-mal

Beide Möglichkeiten stehen im Widerspruch dazu, dass p die kleinstmögliche Zahl mit der in Defintion 4.2.1 genannten Eigenschaft ist.


53

Satz 4.2.2 Die Kardinalit¨ at eines endlichen K¨ orpers ist eine Primzahlpotenz Sei F ein endlicher K¨ orper. Dann gibt es eine Primzahl p und eine ganze Zahl n gr¨ oßer oder gleich 1, so dass |F | = pn gilt. Beweis: Die Menge P = {1, 1+1, 1+1+1, . . .} ist mit der aus F geerbten Addition und Multiplikation offensichtlich wieder ein Körper. Er wird Primk¨ orper von F genannt (diese Bezeichnung ist eindeutig, da es sich um den eindeutig bestimmten kleinsten Unterkörper von F handelt). Es gilt nach Obigem: p = |P | ist prim. Der Körper F kann als ein Vektorraum u ¨ber P angesehen werden, indem die skalare Multiplikation einer m-fachen Summe 1+ . . . +1 mit a ∈ F als die m-fache Summe a+ . . . +a definiert wird. F¨ ur jeden endlichen Vektorraum gibt es eine Zahl n und eine Basis mit n Elementen; außerdem hat dann auch jede Basis genau n Elemente. Indem wir eine Basis willk¨ urlich wählen und die Elemente von F durch ihre n Koordinaten bez¨ uglich dieser Basis darstellen, können wir die Elemente von F als Vektoren der Dimension n mit Einträgen aus P auffassen (Basiswechsel bewirkt nur eine Permutation auf der Menge der Koordinatenvektoren und a¨ndert nichts an der Abzählung der Anzahl der Vektoren). Also hat F genau |P |n = pn Elemente, da es so viele Vektoren der Länge n mit Einträgen in P gibt, und da F mindestens 2 Elemente hat, gilt n ≥ 1. 4.2.2 Wir wenden uns der Frage zu, ob es zu jeder Kombination p, n aus Primzahl p und ganzer Zahl n ≥ 1 tatsächlich einen Körper gibt, der genau pn Elemente hat. Diese Frage wird durch den nächsten Satz beantwortet. Satz 4.2.3 Konstruktion von K¨ orpern der Kardinalit¨ at pn Sei p prim und sei n eine ganze Zahl ≥ 1. Dann gibt es einen K¨ orper mit pn Elementen. Beweis: Sei zunächst n = 1; wir suchen einen Körper mit p = p1 Elementen. Wie weiter oben bereits gesehen, ist Zp ein solcher, denn Z∗p ist eine Abelsche Gruppe, Zp ist ein Ring, Zp = Z∗p ∪ {0} und |Zp | = p. Wir nennen diesen Körper Fp . Sei im Weiteren n > 1 eine feste ganze Zahl. Wir geben jetzt eine Methode an, wie ein Körper Fpn der Größe pn konstruiert werden kann. Dabei setzen wir den Körper Fp als bekannt voraus und machen ihn uns zunutze. Eigentlich wissen wir bereits, wie die Elemente aus Fpn definiert werden können, nämlich als Vektoren der Dimension n mit Einträgen aus Fp (danach ist Fp der Primkörper dieses so konstruierten Körpers). Das klappt zwar wunderbar f¨ ur die Addition, die als Vektoraddition definiert werden kann, jedoch nicht f¨ ur die (Körper-)Multiplikation, die u ¨berhaupt nicht leicht als Manipulation auf Vektoren definiert werden kann (und nat¨ urlich auch nichts mit dem Kreuzprodukt von solchen Vektoren, und erst recht nichts mit einem Skalarprodukt, zu tun hat). Deshalb stellen wir eine eineindeutige Beziehung zwischen Vektoren der Dimension n u ¨ber Fp und Polynomen in einer Variablen des Grades < n u ¨ber Fp her, denn u ¨ber Polynomen ist die Multiplikation leichter definierbar. Zunächst ist der Begriff eines solchen Polynoms zu erklären. Ein Polynom u ¨ber einem Körper K ist ein algebraischer Ausdruck a = am−1 xm−1 + am−2 xm−2 + . . . + a1 x1 + a0 x0 wobei die Koeffizienten am−1 , . . . , a0 Elemente von K sind. Der Grad eines solchen Polynoms ist der größte Exponent eines nichtverschwindenden Terms, d.h., das größte j, so dass aj xj ein Summand mit aj 6= 0 ist. Wenn zusätzlich der Koeffizient aj = 1 ist, heißt das Polynom normiert.

54


Eigentlich ist solch ein Ausdruck a dazu gedacht, dass irgendwann einmal“ f¨ ur die Variable x ein Element ” aus K eingesetzt wird, woraufhin ein Wert ausgerechnet werden kann, der wiederum, sofern die Teilausdr¨ ucke aj xj als Multiplikation und das Zeichen + als Addition in K interpretiert werden, in K liegt. Da K ein Körper ist, d¨ urfen f¨ ur Polynome die Rechenregeln in nat¨ urlicher Weise aus K u ¨bernommen werden. Beispiel: Sei p = 2. Dann ist die Addition in K = F2 genau das exklusive oder, ~, und die Multiplikation ist · = ∧. Betrachten wir das Polynom 1x2 + 0x1 + 1x0 . Wenn hierin x = 1 gesetzt wird (und x0 , wie u ¨blich, f¨ ur alle x zu 1 gesetzt wird), erhalten wir 1·(1·1) ~ 0·1 ~ 1·1 = 1 ~ 0 ~ 1 = 0. Offensichtlich darf man den additiven Term mit Koeffizient 0 bereits auf der formalen Ebene weglassen, also das Polynom (1x2 + 0x1 + 1x0 ) als (1x2 + 1x0 ) – oder noch einfacher, als (x2 + 1) – schreiben. Wenn Polynome u ¨ber F2 addiert werden, darf man auch Terme wie (A + x2 + x2 + B) zu (A + B) vereinfachen, denn f¨ ur w ∈ F2 gilt stets (w ~ w) = 0. Ende des Beispiels. Wir betrachten jetzt K = Fp und statt m das spezielle, f¨ ur den Beweis von Satz 4.2.3 festgelegte n. Ein Polynom an−1 xn−1 + . . . + a1 x + a0 vom Grad < n ist also eindeutig durch seine genau n Koeffizienten an−1 , . . . , a0 bestimmt. Daraus ergibt sich sofort eine Bijektion zwischen Polynomen vom Grad < n und Vektoren der Dimension n mit Einträgen aus Fp , denn diese Einträge können gerade als die Koeffizienten eines zugehörigen Polynoms verstanden werden. (Wichtig ist es, sich auf eine Reihenfolge festzulegen; wir verwenden die Reihenfolge, von links nach rechts, absteigender Exponenten von x.) Beispiel: Sei wieder p = 2. Die aj sind also Werte in {0, 1}. Sei n = 8 (der in AES angenommene Normalfall). Ein Polynom a7 x7 + a6 x6 + . . . a1 x1 + a0 x0 vom Grad < 8 wird mit dem 8-Bit-Vektor (a7 , a6 , . . . , a1 , a0 ) identifiziert, wobei die beiden Teile des Vektors, a7 , . . . , a4 und a3 , . . . , a0 , auch hexadezimal geschrieben werden können. Beispielsweise identifizieren wir folgendermaßen: 8-Bit-Vektor 10000011 01010111 00000011 00000010 00000001 00000000

hexadezimal 83 57 03 02 01 00

Polynom Grad x7 + x + 1 7 x 6 + x4 + x2 + x + 1 6 x+1 1 x 1 1 0 0 0

Man sieht u urlicher Weise als Polynome des Grades 0 angesehen ¨brigens auch, dass die Elemente von Fp in nat¨ werden können; hier in diesem Beispiel gibt es wegen p = 2 davon genau zwei. Ende des Beispiels. Wir betrachten nun zuerst die Addition zweier Polynome. Diese ist sinnvollerweise definiert als die termweise Addition (verstanden modulo p) zusammengehöriger Koeffizienten. Diese Additionsdefinition ist sinnvoll, weil – wie hier aber nicht im Detail nachgewiesen wird – f¨ ur beliebige Werte x = w mit w ∈ Fp der Wert der Summe zweier Polynome an der Stelle w stets genau gleich der Summe der Werte der beiden Polynome an der Stelle w ist. Beispiele: Mit p = 2 und n = 8 betrachten wir (x2 +x) + (x+1) = x2 + (x+x) + 1 7 6 4 2 (x +x+1) + (x +x +x +x+1) = x7 + x6 + x4 + x2 + x + x + 1 + 1

= (x2 +1) = x 7 + x6 + x4 + x2 .

Die erste dieser beiden Gleichungen ist allgemeing¨ ultig zu verstehen, da es sich um eine algebraische Manipulation handelt, deren G¨ ultigkeit in jedem zugrunde liegenden Körper K verankert ist. Die zweite ist jedoch speziell nur dann g¨ ultig, wenn K = F2 ist, da sie das Gesetz ∀w∈F2 : (w ~ w) = 0 benutzt.


55

Die Addition lässt sich f¨ ur p = 2, n = 8 mit Hilfe der bereits definierten Bijektion zwischen Polynomen und 8-Bit-Vektoren auch in binäre bzw. hexadezimale Schreibweise u ¨bersetzen: 10000011 | {z } + x7 +x+1

01010111 | {z }

=

x6 +x4 +x2 +x+1

11010100 | {z }

bzw. 57 ~ 83 = D4.

x7 +x6 +x4 +x2

Sie entspricht genau der bitweisen ~-Bildung und kann in Hardware direkt und sehr effizient realisiert werden. Ende der Beispiele. Wir betrachten dann die Multiplikation zweier Polynome. Diese ist (wie u ¨blich) als komponentenweise Multiplikation zweier Klammerausdr¨ ucke definiert. Diese Definition der Multiplikation von Polynomen ist genau so sinnvoll wie die der Addition, denn der Wert eines Produkts zweier Polynome an der Stelle w ∈ F p ist stets das Produkt der Werte der beiden Polynome an der gleichen Stelle w. Beispiel: (x7 + 1) · (x7 + x + 1)

x14 + x8 + x7 + x7 + x + 1

=

=

x14 + x8 + x + 1.

Wieder gilt hier die erste Gleichung allgemein, die zweite nur unter der Annahme p = 2. Ende des Beispiels. Schließlich betrachten wir noch die Division zweier Polynome, wobei der Divisor nicht das Nullpolynom 0 sein soll. Der in der Grundschule gelehrte Divisionsalgorithmus kann fast wortgetreu auf Polynome u ¨bertragen werden, indem von den höchstrangigen Koeffizienten ausgegangen wird und schrittweise die Exponenten verringert werden. Man kann auch, wie bei ganzen Zahlen, die Operationen div und mod auf Polynomen definieren. Beispiel: (Hier wird p = 2 angenommen.) (x12 + x9 + x + 1) x12 +x8 +x7 +x5 +x4

:

(x8 + x4 + x3 + x + 1)

=

x4 + x + 1

(Rest x7 +x4 +x3 +x2 +x)

x9 +x8 +x7 +x5 +x4 +x+1 x9 +x5 +x4 +x2 +x x8 +x7 +x2 +1 x8 +x4 +x3 +x+1 x7 +x4 +x3 +x2 +x Es gilt also: und

(x12 +x9 +x+1) div (x8 +x4 +x3 +x+1) (x12 +x9 +x+1) mod (x8 +x4 +x3 +x+1)

= x4 +x+1 = x7 +x4 +x3 +x2 +x.

Ende des Beispiels. Klar ist, dass a mod b stets einen echt kleineren Grad als b hat, sofern der Grad von b nicht 0 ist. Eine Modifikation des Euklidischen Algorithmus, siehe Abbildung 4.1, liefert zu zwei Polynomen a und b, die nicht beide 0 sind, einen größten (im Sinne von: größtmöglicher Grad) gemeinsamen Teiler d = poly euclid(a, b). Wenn der Grad von d Null ist, heißen a und b auch teilerfremd. Wenn d ein Teiler von a ist, dann ist auch w·d f¨ ur jedes w ∈ K\{0} ein solcher Teiler, denn gilt a = c·d, dann gilt auch a = (w −1 ·c) · (w·d). Die Grade der Polynome in diesen Ausdr¨ ucken variieren nicht, da es

56


sich bei w und w −1 nur um konstante Faktoren handelt. Wenn d speziell die Ausgabe von Algorithmus poly euclid bei Eingabe a, b ist, hat man also eine gewisse Wahl, welches der Polynome {w·d | w ∈ K\{0}}, ¨ letztendlich als der ggT von a und b definiert werden soll. Ublicherweise wählt man w = d−1 j , wenn dj der höchstrangige Koeffizient von d ist, d.h., man wählt die normierte Version“ von d als den ggT von a und b. ” Programmtechnisch kann dies realisiert werden, indem vor das return a in der ersten Zeile des Programms ugt wird, der das Polynom a durch seinen höchsten Koeffizienten ungleich poly euclid ein letzter Schritt eingef¨ 0 dividiert. ¨ Ahnlich wie nach der Theorie, die wir in Abschnitt 1.5 kennen gelernt haben, gibt es zu zwei Polynomen a, b außerdem zwei Polynome u, v mit ggT(a, b) = a·u + b·v. Dazu kann der Algorithmus extended euclid aus Abschnitt 1.5.2 analog modifiziert werden. (Ohne Normierung geht es sehr einfach, mit Normierung muss man etwas mehr aufpassen.) Wir testen den Algorithmus poly euclid auf zwei Polynomen u ¨ber dem Körper Q der rationalen Zahlen. Die Aufgabe sei es, den größten gemeinsamen Teile der Polynome a = (x2 + 2) und b = x2 zu bestimmen: a (b) (x2 + 2) x2

b (Rest) x2 2

: :

= =

Quotient 1 1 2 2x

Rest 2 0

Normieren von 2 (Ergebnisfeld) durch Multiplizieren mit dem Inversen von 2 in Q ergibt 2· 12 = 1 als größten gemeinsamen Teiler. Die beiden Polynome sind teilerfremd. ↑

↓ ↓

proc poly euclid (a, b) : Polynom u ¨ber K; % a, b ∈ Polynome u ¨ber K begin if b = 0 → return a b 6= 0 → return poly euclid (b, a mod b) fi end; Abbildung 4.1: Berechnung des ggT(a, b) zweier Polynome a, b u ¨ber K. Wir kommen nun zur¨ uck zur urspr¨ unglichen Absicht, einen Körper der Größe pn zu konstruieren. Die Elemente dieses Körpers seien die Polynome vom Grad < n u ¨ber Fp . Die Null sei das Nullpolynom 0 = 0x0 0 und die Eins sei das Polynom 1 = 1x . Die Addition sei die Polynomaddition; diese f¨ uhrt nicht aus dem Bereich der Polynome vom Grad < n heraus, denn der Grad der Summe zweier Polynome vom Grad k bzw. l ist max(k, l). Anders verhält es sich mit der Polynommultiplikation, denn der Grad des Produkts zweier Polynome vom Grad k bzw. l ist k+l; und letzteres kann durchaus größer oder gleich n sein. Wir suchen deshalb nach einer Möglichkeit, das Produkt zweier Polynome so zu reduzieren, dass ein Grad < n dabei herauskommt. Innerhalb der ganzen Zahlen entspricht dies einer Reduktion modulo p, f¨ ur die Polynome u ¨ber Fp verwenden wir stattdessen irreduzible Polynome vom Grad n. Definition 4.2.4 Irreduzible Polynome Ein Polynom a u ¨ber K heißt irreduzibel u ¨ber K, wenn die einzigen Teiler von a die Polynome von der Form 4.2.4 w·1 oder w·a sind (mit w ∈ K).


57

Beispiel: Sei p = 2. Das Polynom f = (x4 + 1) ist nicht irreduzibel, denn es gilt: x4 + 1 = (x + 1)4 . Das Polynom M = (x8 +x4 +x3 +x+1) ist irreduzibel. (Ohne Beweis.) Insbesondere ist jedes Polynom a höchstens 7. Grades teilerfremd mit M und besitzt deswegen – mit den gleichen Argumenten wie in Abschnitt 1.2 – ein multiplikatives Inverses modulo M = (x8 +x4 +x3 +x+1), d.h. ein Polynom a−1 (ebenfalls höchstens 7. Grades) mit a · a−1 ≡ 1 (mod M ). Ende des Beispiels. Ein Polynom M vom Grad genau n heißt Reduktionspolynom bezogen auf n (der Name macht nur Sinn im Zusammenhang mit der Verwendung, die wir jetzt f¨ ur solche Polynome finden). Definiert man die Multiplikation a · b von Polynomen vom Grad < n als (a · b) mod M , dann fällt das Resultat nicht aus der betrachteten Menge der Polynome vom Grad < n heraus, und man erhält auf der Menge der Polynome vom Grad < n – wie leicht zu verifizieren ist – eine Ringstruktur. Wählt man aber M zusätzlich als irreduzibel, dann erhält man speziell einen Körper, denn M ist dann teilerfremd zu allen Polynomen vom Grad < n, und deswegen sind alle solchen Polynome invertibel modulo M . Damit ist der Satz 4.2.3 bewiesen, denn man kann zeigen, dass irreduzible Polynome vom Grad n stets 4.2.3 existieren (ohne weiteren Beweis). Zur Verdeutlichung f¨ uhren wir die Konstruktion f¨ ur den Fall p = 2 und n = 2 durch. Man erhält so einen Körper der Größe 22 = 4. Der zugrundeliegende Körper ist F2 = {0, 1}. Die Polynome vom Grad < 2 sind: 0, 1, x, x+1. Wir wählen das Polynom 2. Grades x2 + x + 1 als Reduktionspolynom. Es ist irreduzibel. Die folgenden Tafeln spiegeln die Addition und die Multiplikation in der Menge {0, 1, x, x+1} wider, so wie sie sich aus der Konstruktion im Beweis von Satz 4.2.3 ergeben: + 0 1 x x+1

0 0 1 x x+1

1 1 0 x+1 x

x x x+1 0 1

x+1 x+1 x 1 0

· 0 1 x x+1

0 1 0 0 0 1 0 x 0 x+1

x 0 x x+1 1

x+1 0 x+1 1 x

Beispielsweise ergibt sich der Eintrag x+1 auf der Diagonalen der rechten Tabelle als Rest der Division von x2 durch x2 +x+1. Weiterhin gilt, dass die gerade angegebenen Konstruktionen in gewisser Weise kanonisch sind, denn: Satz 4.2.5 Alle endlichen K¨ orper gleicher Kardinalit¨ at sind isomorph Seien F und F 0 endliche K¨ orper mit |F | = |F 0 |. Dann sind F und F 0 isomorph. Der Isomorphiebegriff ist hier nicht definiert, er gleicht aber ähnlichen Begriffe dieser Art und läuft darauf hinaus, dass man F und F 0 bis auf Umbenennung der Elemente identifizieren kann. Der Beweis von Satz 4.2.5 ist hier weggelassen. (TODO: ergänzen.) Definition 4.2.6 Galois-Feld Der (nach Satz 4.2.5 bis auf Isomorphie eindeutig bestimmte) Körper der Kardinalität pn wird Galois-Feld genannt und mit GF (pn ), oder auch mit Fpn , bezeichnet. 4.2.6

58


Der Fall p = 2 und n = 8 ist der f¨ ur AES verwendete Spezialfall. Das Polynom M = (x8 +x4 +x3 +x+1) 8. Grades wird in AES als Reduktionspolynom benutzt. Die Additions- und Multiplikationsgruppentafeln des entstehenden Körpers GF (28 ) haben 256·256 = 65536 Einträge, aber eine direkte Implementierung der Operationen durch solche Tabellen ist viel zu speicherintensiv. Die Addition entspricht ja sowieso der ~-Bildung von 8-Bit-Vektoren und ist deswegen speziell mit 8-Bit-Prozessoren direkt implementierbar. F¨ ur die Multiplikation kann man die Tatsache verwenden, dass die multiplikative Gruppe GF (p n )\{0} zyklisch ist: Satz 4.2.7 Zyklizit¨ at der multiplikativen Gruppe eines Galois-Feldes Sei (GF (pn )\{0}, ·) die multiplikative Gruppe des K¨ orpers GF (pn ). Es existiert ein erzeugendes Element n n a ∈ GF (p )\{0}, d.h., ein Element a mit GF (p )\{0} = hai. (Zur Notation hai siehe Abschnitt 1.5.1.)

(TODO: Beweis ergänzen.)

Hat man – in der oben angegebenen Konstruktion – ein erzeugendes Polynom a, kann man eine Tabelle der Potenzen von a erstellen, und weiterhin zu jedem Polynom b 6= 0 eine Tabelle, die den kleinsten Exponenten k mit b = ak angibt. Dann heißt k auch der Logarithmus von b (zur Basis a). Diese beiden Tabellen sind, verglichen mit einer Tabelle von 65536 Einträgen, sehr klein. In nur drei Schritten kann mit Hilfe dieser Tabellen multipliziert werden, indem, wie u ¨blich, auf Logarithmen addiert wird. Beispiel: Wir ergänzen das oben schon betrachtete Beispiel GF (22 ) = {0, 1, x, x+1}. Sowohl x als auch x+1 sind erzeugende Polynome. Wir wählen a = (x+1). Die folgende Tabelle listet alle Elemente b ∈ GF (22 ) in unterschiedlicher Weise: b als:

Polynom 0 1 x x+1

2-Bit-Vektor 00 01 10 11

Potenz von a − a0 a2 a1

Logarithmus von b − 0 2 1

Beispielsweise gilt a2 = x wegen a2 = (x+1)2 = x2 +1 ≡ x mod x2 +x+1.

4.3

AES im Detail

AES ist eine iterierte Blockchiffre. Die Grundlage von AES, Rijndael (eine Entwicklung von Joan Daemen und Vincent Rijmen aus Belgien), lässt als Blocklängen und als Schl¨ usselwortlängen 128, 192 und 256 zu. F¨ ur den Standard AES wurde jedoch nur die Blocklänge 128 evaluiert und aufgenommen. Die Anzahl der Runden, N , hängt von der Schl¨ usselwortlänge ab: Schl¨ usselwortlänge 128 192 256

N = Anzahl der Runden 10 12 14

AES funktioniert nach folgendem Algorithmus:


59

1. Sei ein Klartext x gegeben. Initialisiere den Zustand als x und f¨ uhre AddRoundKey aus, d.h., berechne das ~ (exklusives oder) vom Zustand mit dem Rundenschl¨ ussel. 2. F¨ ur jede der ersten N − 1 Runden: f¨ uhre mit Hilfe einer S-Box eine Substitutionsoperation SubBytes auf dem Zustand aus; f¨ uhre eine Permutation ShiftRows auf dem Zustand aus; f¨ uhre eine Operation MixColumns auf dem Zustand aus; und f¨ uhre AddRoundKey aus. 3. Runde N : f¨ uhre SubBytes aus; f¨ uhre ShiftRows aus; und f¨ uhre AddRoundKey aus. [In der letzten Runde gibt es also keine N te MixColumns-Operation mehr.] 4. Definiere den so erhaltenen Zustand als den Chiffretext. ¨ Die Ahnlichkeit mit SPN (Abschnitt 3.1) ist unverkennbar: Alle Runden haben round key mixing (durch AddRoundKey) und einen Substitutions-, gefolgt von einem Permutationsschritt. Außerdem gibt es white” ning“ in beiden Fällen. AES ist allerdings substantiell größer“ als SPN, und es gibt in jeder Runde eine ” weitere, bislang unerklärte Operation: MixColumns. Wir beschreiben im Folgenden nur diejenige Version von AES, die Blocklänge 128 = 16·8 hat. Die anderen Versionen sind ganz ähnlich, mit kleineren Abweichungen. Alle AES-Operationen sind Byte- und damit 8-Bit-Prozessor-orientiert, und auch alle Variablen bestehen aus einer geeigneten Anzahl von Bytes. (Deshalb auch die Wahl des Körpers GF (28 ).) Der Klartext x ist zum Beispiel eine Aneinanderreihung von 16 Bytes, bezeichnet mit x0 , . . . , x15 . Der Zustand ist definiert als ein 4 × 4-Feld von Bytes, wie folgt: s0,0 s1,0 s2,0 s3,0

s0,1 s1,1 s2,1 s3,1

s0,2 s1,2 s2,2 s3,2

s0,3 s1,3 s2,3 s3,3

Anfänglich besteht der Zustand aus den 16 Klartext-Bytes (in senkrechter Reihenfolge aufgeschrieben): s0,0 s1,0 s2,0 s3,0

s0,1 s1,1 s2,1 s3,1

s0,2 s1,2 s2,2 s3,2

s0,3 s1,3 s2,3 s3,3

:=

x0 x1 x2 x3

x4 x5 x6 x7

x8 x9 x10 x11

x12 x13 x14 x15

Die Operation SubBytes f¨ uhrt auf jedem der 16 Bytes des Zustands (unabhängig voneinander) eine Substitution mit Hilfe einer S-Box πS aus. Diese S-Box ist also eine Bijektion von {0, 1}8 nach {0, 1}8 (d.h., eine Permutation von {0, 1}8 ). Um πS darzustellen, verwenden wir wieder hexadezimale Notation f¨ ur Bytes; ein Byte besteht dann aus zwei aufeinanderfolgenden hexadezimalen Ziffern. π S ist in Abbildung 4.2 folgendermaßen angegeben: der Eintrag, der zu Zeile X und Spalte Y dieser Tabelle gehört, ist πS (XY ). Beispiel: πS (11101101) = πS (ED) = 55 = 01010101. Im Gegensatz zu den S-Boxen von DES, die wie zufällig gewählt“ aussehen, kann die (einzige) S-Box πS von ” AES auch algebraisch erklärt werden; siehe dazu Abschnitt 4.4 später in diesem Kapitel. Design-Kriterien oder -Heuristiken1 f¨ ur diese S-Box waren: (a) maximale Nichtlinearität (dies ist die einzige nichtlineare 1 Die hier und im Folgenden angegebenen Kriterien und Heuristiken k¨ onnen weder in wenigen S¨ atzen vollst¨ andig beschrieben noch in kurzer Zeit vollst¨ andig verstanden werden. Sie beruhen auf oft langj¨ ahrigen Forschungsanstrengungen.

60


Stelle in AES, sie wird aber an verschiedenen Punkten des Algorithmus verwendet), und (b) algebraische Komplexität. Letzteres bedeutet, dass es keinen einfachen (z.B. sehr kurzen) algebraischen Ausdruck geben soll, der den Effekt der S-Box beschreibt. Ersteres (maximale Nichtlinearität) bedeutet, dass diese S-Box so widerstandsfähig wie möglich gegen eine lineare Attacke sein soll, und auch gegen eine differentielle Attacke (die hier im Skriptum nicht beschrieben worden ist). Insbesondere sollen lineare Approximationstabellen wie etwa Abbildung 3.3 uniform sein.

0 1 2 3 4 5 6 7 8 9 A B C D E F

0 63 CA B7 04 09 53 D0 51 CD 60 E0 E7 BA 70 E1 8C

1 7C 82 FD C7 83 D1 EF A3 0C 81 32 C8 78 3E F8 A1

2 77 C9 93 23 2C 00 AA 40 13 4F 3A 37 25 B5 98 89

3 7B 7D 26 C3 1A ED FB 8F EC DC 0A 6D 2E 66 11 0D

4 F2 FA 36 18 1B 20 43 92 5F 22 49 8D 1C 48 69 BF

5 6B 59 3F 96 6E FC 4D 9D 97 2A 06 D5 A6 03 D9 E6

6 6F 47 F7 05 5A B1 33 38 44 90 24 4E B4 F6 8E 42

7 C5 F0 CC 9A A0 5B 85 F5 17 88 5C A9 C6 0E 94 68

8 30 AD 34 07 52 6A 45 BC C4 46 C2 6C E8 61 9B 41

9 01 D4 A5 12 3B CB F9 B6 A7 EE D3 56 DD 35 1E 99

A 67 A2 E5 80 D6 BE 02 DA 7E B8 AC F4 74 57 87 2D

B C 2B F E AF 9C F 1 71 E2 EB B3 29 39 4A 7F 50 21 10 3D 64 14 DE 62 91 EA 65 1F 4B B9 86 E9 CE 0F B0

D D7 A4 D8 27 E3 4C 3C FF 5D 5E 95 7A BD C1 55 54

E AB 72 31 B2 2F 58 9F F3 19 0B E4 AE 8B 1D 28 BB

F 76 C0 15 75 84 CF A8 D2 73 DB 79 08 8A 9E DF 16

Abbildung 4.2: Die S-Box von AES Die Operation ShiftRows bewirkt die folgende Zuweisung: s0,0 s1,0 s2,0 s3,0

s0,1 s1,1 s2,1 s3,1

s0,2 s1,2 s2,2 s3,2

s0,3 s1,3 s2,3 s3,3

:=

s0,0 s1,1 s2,2 s3,3

s0,1 s1,2 s2,3 s3,0

s0,2 s1,3 s2,0 s3,1

s0,3 s1,0 s2,1 s3,2

Mit anderen Worten: die i te Zeile (0 ≤ i < 4) wird um i Stellen zyklisch nach links verschoben. Ein Design-Kriterium war sehr gute Diffusion. Deswegen werden f¨ ur die Verschiebungen der Zeilen verschiedene Abstände (Offsets) benutzt. Im autoritativen Bericht u ¨ber AES2 ist genau erklärt, welche Typen von Attacken hiermit ausgeschlossen werden sollen. Die Operation MixColumns bezweckt eine gute Durchmischung“ der Bits einer Spalte. Design-Kriterium ” war ebenfalls eine optimale Diffusion, insofern, als möglichst jedes Byte mit jedem anderen Byte in Wechselwirkung tritt, ohne dass es auffällige Häufungen von Abhängigkeiten gibt. Daneben sollte diese Operation linear und effizient implementierbar sein. Jede Spalte des Zustands besteht aus 4 Bytes. Diese 4 Bytes werden als die Koeffizienten eines Polynoms mit Grad < 4, aber u ¨ber GF (28 ) (d.h.: mit Koeffizienten aus GF (28 )), 2 J.

Daemen, V. Rijmen: The Design of Rijndael, Springer-Verlag (2002).


61

aufgefasst und die Spalte wird ersetzt durch das Produkt dieses Polynoms mit einem festen, vorgegebenen Polynom c, ebenfalls u ¨ber GF (28 ), reduziert modulo x4 + 1. Das Polynom c ist c = 03·x3 + 01·x2 + 01·x + 02. Es ist teilerfremd mit x4 + 1. Beide Polynome, c und x4 + 1, wurden aufgrund leichter Implementierbarkeit ausgewählt, wobei die Koeffizienten von c auch einige gew¨ unschte Diffusionseigenschaften garantieren. Rechnet man s0 = c · s mod (x4 +1) aus, wobei s ein beliebiges Polynom u ¨ber GF (28 ) ist, bekommt man eine 0 0 Darstellung der vier neuen Koeffizienten dieses Produkts, s0 , . . . , s3 , als Produkt der alten Koeffizienten, s0 , . . . , s3 , mit einer aus den Koeffizienten von c gebildeten Matrix:     0   02 03 01 01 s0 s0  s01   01 02 03 01   s1      0 = (4.1)  s2   01 01 02 03  ·  s2  s3 03 01 01 02 s03 In MixColumns wird also jede Spalte des Zustands (ein 4-Byte-Vektor) durch eine neue Spalte gemäß der in (4.1) angegebenen Multiplikation im Körper GF (28 ) ersetzt. Die Konstruktion von Rundenschl¨ usseln ist wortorientiert, wobei ein Wort aus 4 Bytes (oder 32 Bits) besteht. Wir benötigen 11 Rundenschl¨ ussel, von denen jeder 4 Wörter (d.h., 16 Bytes oder 128 Bits) lang ist. Die Konkatenation der Rundenschl¨ ussel wird der erweiterte Schl¨ ussel genannt; er besteht aus 44 Wörtern. Er wird mit w[0]w[1] . . . w[43] bezeichnet, wobei jedes w[i] ein Wort ist. Also: w[0]w[1]w[2]w[3] ist der erste Rundenschl¨ ussel, w[4]w[5]w[6]w[7] der zweite, . . ., w[40]w[41]w[42]w[43] der elfte. Der erweiterte Schl¨ ussel wird durch den Algorithmus in Abbildung 4.3 konstruiert. Dessen Eingabe ist der 128-Bit-Schl¨ ussel K, der als Feld K = K[0] . . . K[15] aufgefasst wird (wobei jedes K[i] ein Byte ist), und die Ausgabe ist die Liste w von oben. KeyExpansion benutzt zwei externe Operationen RotWord und SubWord. RotWord bewirkt eine zyklische Drehung von vier Bytes B0 , B1 , B2 , B3 : RotWord(B0 , B1 , B2 , B3 ) = (B1 , B2 , B3 , B0 ). SubWord wendet die AES-S-Box auf jedes von vier Bytes B0 , B1 , B2 , B3 an: SubWord(B0 , B1 , B2 , B3 ) = (SubBytes(B0 ), SubBytes(B1 ), SubBytes(B2 ), SubBytes(B3 )). RCon ist ein Feld mit zehn konstanten Wörtern, die in Hexadezimalnotation zu Beginn des Algorithmus initialisiert werden. Auch diese Konstruktion (insbesondere die etwas willk¨ urlich anmutende Besetzung des Feldes RCon) hat einen algebraischen Hintergrund, auf den hier jedoch nicht weiter eingegangen wird. Design-Kriterien waren neben Effizienz: Brechung von Symmetrien (durch die Verwendung der Konstanten RCon), gute Diffusion und Nichtlinearität (durch Benutzung der AES-S-Box). Nach der 11. Runde wird der Chiffretext y wieder spaltenweise aus dem Zustand ausgelesen: y0 y1 y2 y3

y4 y5 y6 y7

y8 y9 y10 y11

y12 y13 y14 y15

:=

s0,0 s1,0 s2,0 s3,0

s0,1 s1,1 s2,1 s3,1

s0,2 s1,2 s2,2 s3,2

s0,3 s1,3 s2,3 s3,3

62


↓

↑

proc KeyExpansion(K , w); begin external RotWord, SubWord; RCon[1] := 01000000; RCon[2] := 02000000; RCon[3] := 04000000; RCon[4] := 08000000; RCon[5] := 10000000; RCon[6] := 20000000; RCon[7] := 40000000; RCon[8] := 80000000; RCon[9] := 1B000000; RCon[10] := 36000000; for i := 0 to 3 do w[i] := (K[4i], K[4i+1], K[4i+2], K[4i+3]) endfor; for i := 4 to 43 do temp := w[i−1]; if i≡0(mod 4) → temp := SubWord(RotWord(temp)) ~ RCon[ 4i ] w[i] := w[i−4] ~ temp endfor; return(w[0] . . . w[43])

else → skip f i;

end Abbildung 4.3: Der Schl¨ usselgenerierungsalgorithmus von AES Es stellt sich heraus, dass eine der großen Stärken des AES-Algorithmus in seiner effizienten Implementierbarkeit liegt. Nach Koeune, Hachez, Quisquater: Implementation of Four AES Candidates on Two Smart Cards, UCL Crypto Group, 2000 gab es die folgenden empirischen Ergebnisse: RC6 Rijndael Twofish

8051 (3, 57 MHz) 165 3005 525

ARM (28, 56 MHz) 151260 311492 56289

Dabei sind die Zahlen als Bytes pro Sekunde“ zu lesen. ”

4.4

Algebraische Definition der AES-S-Box

Man hat gezeigt, dass die Funktion Inv, die jedem Polynom a 6= 0 in GF (2 8 ) sein Inverses a−1 (modulo M ) zuordnet (und das Nullpolynom auf sich selbst abbildet), besonders gute Diffusionseigenschaften hat. Diese Funktion hat jedoch eine simple algebraische Darstellung, die bestimmte Arten von Attacken (Interpolationsattacken) erlaubt. Deshalb ist die AES-S-Box als eine Verkn¨ upfung von Inv mit einer invertierbaren affinen Transformation G aufgebaut: S = Inv ◦ G. Man kann G geeignet wählen, so dass G selbst zwar eine einfache algebraische Darstellung hat, S aber nur eine höchst komplexe. Zusätzlich wurde von G gefordert, dass es weder zu Fixpunkten noch zu Antifixpunkten von S f¨ uhrt: ∀a ∈ GF (28 ) : 00 6= (S(a) ~ a) 6= F F.


63

Es ist zwar keine Attacke bekannt, die die Existenz von Fixpunkten oder Antifixpunkten ausnutzt; diese Forderung wurde jedoch zur Sicherheit gegen potenzielle zuk¨ unftige Attacken erhoben. Die affine Transformation G wurde insgesamt folgendermaßen festgelegt:         b7 1 1 1 1 1 0 0 0 a7 0  b6   0 1 1 1 1 1 0 0   a6   1           b5   0 0 1 1 1 1 1 0   a5   1           b4   0 0 0 1 1 1 1 1   a4      =  ·  ~  0  (4.2)  b3   1 0 0 0 1 1 1 1   a3   0           b2   1 1 0 0 0 1 1 1   a2   0           b1   1 1 1 0 0 0 1 1   a1   1  b0 1 1 1 1 0 0 0 1 a0 1 wobei die ai die Koeffizienten des Eingabepolynoms und die bi die Koeffizienten des Ausgabepolynoms sind. Wenn man S nach dieser Maßgabe ausrechnet, ergibt sich die Tabelle in Abbildung 4.2. Beispiel: Der Eingabewert sei 04, binär 00000100. Das entsprechende Polynom ist x2 . Um die Funktion Inv anzuwenden, rechnen wir (x2 )−1 mod M aus und erhalten das Polynom x7 + x6 + x3 + x + 1. Daraus ergeben sich die Eingabewerte a7 . . . a0 = 11001011 f¨ ur die Transformation G in. Die Rechnung gemäß (4.2) ergibt b7 . . . b0 = 11110010, also F 2. Hieraus erklärt sich der Eintrag πS (04) = F 2 in Abbildung 4.2. Algebraische Darstellungen von S wurden in aktuellen Forschungsarbeiten untersucht. Eine davon ist die folgende (erhalten durch Lagrange-Interpolation3 ), wobei die Koeffizienten Elemente von GF (28 ) sind: S = 05·x254 + 09·x253 + F 9·x251 + 25·x247 + F 4·x239 + 01·x223 + B5·x191 + 8F ·x127 + 63. (Quelle: The Design of Rijndael.)

3 http://mathworld.wolfram.com/LagrangeInterpolatingPolynomial.html.

64


Kapitel 5

Das Public-Key-Kryptosystem RSA Bisher haben wir Secret-Key-Kryptosysteme betrachtet (Abbildung 1.1). Mit diesem Kapitel wenden wir uns ¨ der Public-Key-Kryptographie zu (Abbildung 1.2). In der Public-Key-Kryptographie wird zur Ubermittlung einer Nachricht nicht ein einziger Schl¨ ussel (secret key), der nur Sender und Empfänger bekannt ist, benutzt, ¨ sondern ein Paar von Schl¨ usseln (public key, private key). Während der public key der Offentlichkeit zur Verf¨ ugung steht und dem Sender einer Nachricht zum Verschl¨ usseln dient, wird zum Entschl¨ usseln der nur dem Empfänger bekannte private key benutzt. In einem Secret-Key-Kryptosystem ist der geheime Schl¨ ussel idealerweise ein Geheimnis zwischen genau N (N −1) Schl¨ ussel vorhanden sein. Außerdem m¨ ussen zwei Partnern. Bei N Teilnehmern m¨ ussen also bis zu 2 diese Schl¨ ussel auf sicherem Weg zwischen der beiden betroffenen Partnern ausgetauscht werden, bevor chiffrierte Kommunikation stattfinden kann. In einem Public-Key-Kryptosystem sind dagegen pro Partner nur zwei Schl¨ ussel nötig, der öffentliche und der private. Bei N Teilnehmern braucht man also nur 2N Schl¨ ussel, die zudem nicht vorab (mit allen Risiken der Entdeckung) ausgetauscht werden m¨ ussen. Ein gewichtiger Nachteil von Public-Key-Kryptosystemen ist ihre (im Vergleich mit Secret-Key-Kryptosystemen) erhebliche Ineffizienz. Auf der Webseite von PGP 1 ist die Rede von einem Effizienzgefälle von 1000%. Public-Key-Kryptosysteme sind also u ¨berall da interessant, wo zwischen den Teilnehmern nicht von vorneherein ein Vertrauensverhältnis oder eine Sicherheitsabsprache vorausgesetzt werden kann, es aber trotzdem (oder gerade deswegen) wichtig ist, dass ein Empfänger zum Beispiel verifizieren kann, dass eine erhaltene Nachricht tatsächlich vom angegebenen Sender stammt. Außerdem sind sie interessant, wenn es sich um (relativ) kleine Datenvolumina handelt. Typische Anwendungsbeispiele sind elektronische Verträge, Passwortsysteme, elektronische Aufträge, elektronischer Geldverkehr, sichere Identifizierung / Authentifizierung im Internet, und digitale Signaturen (Unterschriften). Die großen Dateien auf dem PC verschl¨ usselt man jedoch tunlichst mit einem effizienteren Verfahren, z.B. mit AES (Kapitel 4). In diesem Kapitel wird das wichtigste und am weitesten verbreitete Public-Key-Kryptosystem RSA (benannt nach seinen Entwicklern: Ron Rivest, Adi Shamir und Leonard Adleman) beschrieben. Gegen Ende des Kapitels wenden wir uns auch der Kryptanalyse und den Sicherheitsrisiken dieses Systems zu. Im nächsten 1 Siehe www.pgpi.com. PGP ist ein hybrides System, das sowohl Anteile von Secret-Key-Kryptographie enth¨ alt als auch Ideen aus der Public-Key-Kryptographie (speziell aus RSA) verwendet.

65

66


Kapitel betrachten wir ein weiteres Public-Key-Kryptosystem, das im Hinblick auf die Kryptanalyse gewisse Vorteile gegen¨ uber RSA bietet.

5.1

Mehr Zahlentheorie

5.1.1

Der Chinesische Restsatz

RSA benutzt Zahlen n = pq, die Produkt zweier Primzahlen p und q sind. Manchmal möchte man die Modulo-n-Rechnung auf zwei einfachere Modulo-Rechnungen bez¨ uglich kleinerer Zahlen, p und q, zur¨ uckf¨ uhren. Der Chinesische Restsatz stellt eine allgemeine Methode daf¨ ur bereit. Beispiel: (zugeschrieben Sun-Tsu, 100 a.D.) Wir suchen eine ganze Zahl, die Reste 2 bzw. 3 bzw. 2 lässt, wenn sie durch 3 bzw. 5 bzw. 7 geteilt wird. Satz 5.1.1 Chinesischer Restsatz Sei N = n1 · . . . · nk mit paarweise teilerfremden nat¨ urlichen Zahlen ni (i = 1, . . . , k). Die Relation ρ

⊆

ZN × (Zn1 × . . . ×Znk )

mit (a, (a1 , . . . , ak )) ∈ ρ gdw. ai = a mod ni f¨ ur alle i = 1, . . . , k ist ein Isomorphismus, d.h., eine strukturerhaltende Bijektion zwischen ZN und Zn1 × . . . ×Znk . Dabei heißt ρ strukturerhaltend (oder operationstreu), wenn alle Operationen (die 0, die 1, die Addition und die Multiplikation) mit ρ vertauschbar sind, genauer: wenn (0, (0, . . . , 0)) ∈ ρ, (1, (1, . . . , 1)) ∈ ρ, und wenn mit (a, (a1 , . . . , ak )) ∈ ρ und (b, (b1 , . . . , bk )) ∈ ρ auch (a+b mod n, (a1 +b1 mod n1 , . . . , ak +bk mod nk )) (ab mod n, (a1 b1 mod n1 , . . . , ak bk mod nk ))

und

∈ ∈

ρ ρ

gilt. Beweis: Wir betrachten die Zahlen Ni = N/ni f¨ ur i = 1, . . . , k. Aus der paarweisen Teilerfremdheit der ni und der Eindeutigkeit der Primzahlzerlegung einer Zahl folgt, dass ni ein Teiler von Nj ist, sofern i 6= j ur i = 1, . . . , k. Die ci gilt, und dass ggT(ni , Ni ) = 1 gilt. Wir definieren weiterhin: ci = Ni · (Ni−1 mod ni ) f¨ sind wegen ggT(ni , Ni ) = 1 wohldefiniert. Außerdem gilt cj ci

≡

≡

Nj (Ni ·Ni−1 )

≡

≡

0 (mod ni ) 1 (mod ni )

falls i 6= j

(weil ni ein Teiler von Nj ist)

D.h., es gilt (ci , (0, . . . , 0, 1, 0, . . . , 0)) ∈ ρ, wobei (0, . . . , 0, 1, 0, . . . , 0) ein Vektor mit k Einträgen ist, der u ¨berall 0 ist, außer an der i ten Stelle, wo eine 1 steht. Wir beweisen jetzt, dass ρ eine Bijektion ist. Zunächst ist ρ eine Funktion, weil die ai sich aus a nach der eindeutigen Vorschrift ai = a mod ni ergeben. Wir zeigen, dass ρ auch surjektiv ist. Sei nämlich ein Vektor (a1 , . . . , ak ) ∈ Zn1 × . . . ×Znk gegeben. Mit Hilfe der oben definierten ci setzen wir a = (a1 c1 + a2 c2 + . . . + ak ck ) mod N

Kryptographie - Sommersemester 2004 und berechnen: a mod ni

= = = =

67

( Definition von a ) ((a1 c1 + a2 c2 + . . . + ak ck ) mod N ) mod ni ( wegen ni | N ) (a1 c1 + a2 c2 + . . . + ak ck ) mod ni ( weil cj mod ni gleich 0 f¨ ur j6=i und gleich 1 f¨ ur j=i ist ) ai mod ni ( weil ai ∈ Zni gilt ) ai .

Also gilt ai = a mod ni f¨ ur alle i = 1, . . . , k, und daher (a, (a1 , . . . , ak )) ∈ ρ nach Definition von ρ. Die Mengen ZN und Zn1 × . . . ×Znk sind gleich groß, denn beide haben genau N Elemente. Jede surjektive Funktion von einer Menge in eine gleich große Menge muss auch injektiv sein. Also ist ρ surjektiv und injektiv und somit eine Bijektion. Die Operationstreue von ρ kann unschwer nachgewiesen werden. 5.1.1 Bemerkung: ZN ist isomorph zu Zn1 × . . . ×Znk , da beides zyklische Gruppen der Ordnung N sind, wobei 1 und (1, . . . , 1) Erzeugende der jeweiligen Gruppen sind. Die Zuordnung 1 7→ (1, . . . , 1) bestimmt daher bereits eindeutig einen Isomorphismus, und zwar, wie man dann sieht, ρ. Ende der Bemerkung. Beispiel (Fortsetzung): Wir suchen Zahlen x mit 3 ) ( x ≡ |{z} 2 mod |{z} a1

n1

und

5 ) ( x ≡ |{z} 3 mod |{z} a2

n2

und

7 ). ( x ≡ |{z} 2 mod |{z} n3

a3

105 3

(5.1)

105 5 −1

Wir bilden N = 3 · 5 · 7 = 105. Danach berechnen wir die Ni : N1 = = 35, N2 = und die ci : c1 = N1 · (N1−1 mod n1 ) = 35 · (35−1 mod 3) = 35 · 2 = 70, c2 = 21 · (21 c3 = 15 · (15−1 mod 7) = 15 · 1 = 15. Schließlich bilden wir

= 21, N1 = 105 7 = 15 mod 5) = 21 · 1 = 21,

a = (a1 c1 + a2 c2 + a3 c3 ) mod N = (2·70 + 3·21 + 2·15) mod 105 = 233 mod 105 = 23. Die Zahl x = 23 hat also die gesuchte Eigenschaft (5.1). Die Menge aller solcher Zahlen ist die von 23 erzeugte Restklasse von 105, also {23 + l·105 | l ∈ Z}. Ende des Beispiels. Dieses Beispiel zeigte bereits eine Hauptanwendung des Chinesischen Restsatzes, nämlich die Lösung vorge¨ gebener Systeme von modularen Aquivalenzen. Es gibt eine andere Anwendung, nämlich die Erleichterung von modularen Rechnungen. Ist N eine große Zahl und kennt man die Faktorenzerlegung von N , dann kann das Rechnen modulo N manchmal mit Vorteil auf das Rechnen modulo der Faktoren einer paarweise teilerfremden Faktorenzerlegung von N zur¨ uckgef¨ uhrt werden, zum Beispiel im Sinne des folgenden Korollars; man hat dann mehr Gleichungen, aber kleinere Moduln. Korollar 5.1.2 Rechnen modulo N und modulo ni Seien n1 , . . . , nk paarweise relativ prim und sei N = n1 · . . . ·nk . Dann sind f¨ ur alle Zahlen x und a die beiden folgenden Aussagen ¨ aquivalent: (i) x ≡ a (mod N ); (ii) x ≡ a (mod ni ) f¨ ur alle i = 1, . . . , k.

5.1.2

Aus dem Chinesischen Restsatz kann die Multiplikativität der Eulerschen Φ-Funktion hergeleitet werden:

68


Korollar 5.1.3 (Schwache) Multiplikativit¨ at von Φ Seien n1 , . . . , nk paarweise teilerfremde nat¨ urliche Zahlen. Dann gilt Φ(n1 · . . . · nk ) = Φ(n1 ) · . . . · Φ(nk ). Beweis: Sei N = n1 · . . . · nk . Aus der Teilerfremdheit der ni folgt: ggT(x, N ) = 1 genau dann, wenn f¨ ur alle i = 1, . . . , k gilt: ggT(x, ni ) = 1. Folglich ist die Restriktion ρ0

=

ρ ∩ (Z∗N × (Z∗n1 × . . . ×Z∗nk ))

ebenfalls eine Bijektion. Die Mengen Z∗N und Z∗n1 × . . . ×Z∗nk sind also gleich groß, d.h., es gilt Φ(N ) = Φ(n1 ) · . . . · Φ(nk ). 5.1.3

5.1.2

Modulare Exponentiation

In RSA wird Exponentiation sehr großer Zahlen mit sehr großen Exponenten benötigt. Wir geben in diesem Abschnitt einen Algorithmus zur Berechnung der Zuweisung d := ab mod n f¨ ur a, b ∈ N und n ∈ N\{0} an, der auch f¨ ur große a, b und n effizient d berechnet. Er beruht auf wiederholtem Quadrieren“, einer ” Methode, die auch f¨ ur das Multiplizieren verwendet werden kann und dann als wiederholtes Verdoppeln“ ” schon seit alters her bekannt ist2 . Der Algorithmus ist in Abbildung 5.1 gezeigt. Es wird vorausgesetzt, dass der Exponent b binär vorliegt. Die Eingaben des Algorithmus sind also a, n und die Binärdarstellung bk−1 . . . b0 von b (mit dem höchstwertigen Bit links). Die Ausgabe des Algorithmus ist d. Zum Verständnis des Algorithmus dient die Hilfsvariable c (die ansonsten auch weggelassen werden könnte). ↓ ↓ ↓

proc modexp(a, b, n); Ausgabe (globaler Parameter): d begin {c := 0} d := 1; i := k − 1; {inv 0 ≤ c ≤ b ∧ d = ac mod n} do i ≥ 0 → {c := 2∗c} d := (d∗d) mod n if bi = 0 → skip bi = 1 → {c := c+1} d := (d∗a) mod n f i; i := i−1 od; {c = b ∧ d = ac mod n} end; Abbildung 5.1: Algorithmus zur modularen Exponentiation. 2 Z.B.

unter dem Namen russische Bauernregel“, siehe auch http://mathforum.org/dr.math/faq/faq.peasant.html. ”


69

Beispiel: Wir berechnen 7560 mod 561, d.h., die Zuweisung d := modexp(7, 560, 561). Die Binärdarstellung von b mit dem höchstwertigen Bit links ist 1000110000 (zehnstellig; also ist k = 10). Die Tabelle in Abbildung 5.2 gibt Werte an, die im Verlauf des Algorithmus berechnet werden. Die Ausgabe ist d = 1, es gilt also 7560 ≡ 1 (mod 561). Ende des Beispiels. i bi c d

9 8 1 0 1 2 7 49

7 0 4 157

6 0 8 526

5 1 17 160

4 1 35 241

3 0 70 298

2 0 140 166

1 0 280 67

0 0 560 1

Abbildung 5.2: Beispiel zur modularen Exponentiation. Wenn die drei Eingaben a, b und n jeweils Zahlen mit ` Bits sind, dann benötigt ein Aufruf modexp(a, b, n) O(`) arithmetische Operationen und O(`3 ) Bitoperationen: O(`) wegen der äußeren Schleife und O(`2 ) wegen der modularen Multiplikationen innerhalb der Schleife (in Bits umgerechnet). Benutzung eines Taschenrechners: Auch auf einem 08/15-Taschenrechner kann die modulare Exponentiation relativ leicht ausgef¨ uhrt werden. Als Beispiel rechnen wir 323 mod 47 auf einem 8-stelligen Taschenrechner. Zuerst zerlegt man den Exponenten additiv in handhabbare Teile, beispielsweise 23 = 10 + 10 + 3. Also rechnen wir 3 23 = 310 · 310 · 33 : 310 : Taschenrechner: 59049.

Um 59049 modulo 47 zu nehmen, dividieren wir: 59049/47 : Taschenrechner: 1256.3617. Davon wird der ganze Anteil abgezogen: 1256.3617 − 1256 : Taschenrechner: 0.3617. Das wird mit 47 multipliziert: 0.3517 · 47 : Taschenrechner: 16.9999.

Der Wert von 310 mod 47 ist also 17. Jetzt rechnen wir

17 · 17 · 33 : Taschenrechner: 7803 .../47 : Taschenrechner: 166.02127 ... − 166 : Taschenrechner: 0.02127 ... · 47 : Taschenrechner: 0.99969. Das Endresultat (der Wert von 323 mod 47) ist somit 1.

5.1.3

Hinreichende Bedingungen fu ¨ r Zerlegbarkeit

In RSA werden schnelle Primzahltests benötigt. Solche Algorithmen beruhen oft auf hinreichenden Bedingungen f¨ ur die Zerlegbarkeit einer Zahl n. Zwei Bedingungen dieser Natur werden im Folgenden angegeben. ∗ Sei Z+ = Zn \{0}. Falls n prim ist, dann gilt Z+ n n = Zn .

70


Definition 5.1.4 Pseudoprimalit¨ at n−1 ≡ 1 (mod n). Eine nicht-prime Zahl n heißt pseudoprim zur Basis a (a ∈ Z+ n ), wenn gilt: a

5.1.4

Falls n prim ist, dann gilt an−1 ≡ 1 (mod n) f¨ ur alle a ∈ Z+ n nach Korollar 1.5.7 (dem kleinen Fermat). + ¨ Wenn man also, bei gegebenem n, ein a ∈ Zn finden kann, f¨ ur das diese Aquivalenz nicht gilt, dann ist n sicher keine Primzahl. Die Existenz einer solchen Zahl a ist also hinreichend f¨ ur die Zerlegbarkeit von n. Ein a mit dieser Eigenschaft heißt auch Zeuge (witness) gegen (die Primalität von) n. Zur Herleitung einer zweiten hinreichenden Bedingung f¨ ur die Zerlegbarkeit einer Zahl benötigen wir ein zahlentheoretisches Resultat, das hier ohne Beweis zitiert wird3 : Satz 5.1.5 n te Wurzeln Sei p prim und sei a ∈ Z relativ prim zu p (also a 6≡ 0 (mod p)). Dann hat die Kongruenz x n ≡ a (mod p) genau ggT(n, p − 1) L¨ osungen oder genau 0 L¨ osungen, je nachdem ob ab ≡ 1 (mod p) oder ab 6≡ 1 (mod p) ,

wobei b =

p−1 , ggT(n, p − 1)

gilt. Wir brauchen diesen Satz f¨ ur n = 2 und p 6= 2; in der folgenden Form geht er auf Euler zur¨ uck: Korollar 5.1.6 Quadratwurzeln / Eulersches Kriterium Sei p eine ungerade Primzahl und sei a 6≡ 0 (mod p). Dann hat x2 ≡ a (mod p) genau 2 L¨ osungen oder genau 0 L¨ osungen, je nachdem ob ab ≡ 1 (mod p) oder ab ≡ −1 (mod p) ,

wobei b =

p−1 , 2

gilt. Beweis: Mit b =

p−1 2

gilt ab ≡ ±1 (mod p), weil

(ab − 1) · (ab + 1) ≡ ap−1 − 1 ≡ 0 (mod p) nach Korollar 1.5.7. Es gilt also ab 6≡ 1 (mod p) genau dann, wenn ab ≡ −1 (mod p). Außerdem gilt ggT(2, p − 1) = 2, weil p ungerade ist. Die Behauptung folgt nun direkt aus Satz 5.1.5. 5.1.6

Wir brauchen hiervon den Spezialfall a = 1:

Korollar 5.1.7 Nichtexistenz nichttrivialer Einheitswurzeln Sei p eine ungerade Primzahl. Dann gibt es keine Zahl x 6≡ ±1 (mod p) mit x 2 ≡ 1 (mod p). 3 Theorem

2.28 in Niven/Zuckerman: An Introduction to the Theory of Numbers, 4. Auflage, Wiley.


71

Beweis: 1 und −1 sind bereits zwei Lösungen von x2 ≡ 1 (mod p), die nicht äquivalent sind, da p ungerade 5.1.7 ist. Weitere Lösungen kann es laut Korollar 5.1.6 nicht geben. Wiederum lässt die Existenz einer nichttrivialen Einheitswurzel, d.h. einer Zahl x mit den Eigenschaften x 6≡ ±1 (mod n) und x2 ≡ 1 (mod n), den Schluss zu, dass n nicht prim ist. Auch in diesem Fall wird x ein Zeuge gegen die Unzerlegbarkeit von n genannt. Beispielsweise gilt 6 2 ≡ 1 (mod 35), aber 6 6≡ ±1 (mod 35). Jetzt wissen wir, dass 35 zerlegbar ist; 6 hat dies bezeugt.

5.1.4

Quadratische Reste

Aus Korollar 5.1.6 ergibt sich zwar ein Algorithmus, der die Lösbarkeit einer quadratischen Gleichung pr¨ uft. Dieser ist jedoch nicht effizient. Zum Beispiel f¨ uhrt die Frage, ob die Kongruenz x2 ≡ 19 (mod 61) lösbar ist, auf eine sehr lange Rechnung. TODO: Ergänze diesen Abschnitt.

5.2

RSA im Detail

RSA benutzt eine (sehr große) nat¨ urliche Zahl n, die das Produkt zweier Primzahlen ist, und erlaubt die Chiffrierung von Zahlen zwischen 0 und n−1 (inklusive). Der Klartextraum (und auch der Chiffretextraum) ist also Zn . Kryptosystem 5.2.1 RSA-Kryptosystem Es sei n eine Zahl, die Produkt zweier ungerader Primzahlen p und q ist: n = p·q mit 2 6= p 6= q 6= 2. Seien P = C = Zn und sei K (der Schl¨ usselraum) die Menge der Tupel {(n, e, p, q, d) | e, d ∈ {2, . . . , Φ(n) − 1} ∧ e·d ≡ 1 (mod Φ(n))}. F¨ ur einen Schl¨ ussel K = (n, e, p, q, d) definieren wir Ver- und Entschl¨ usselung: eK (x) dK (y)

= xe mod n = y d mod n,

f¨ ur alle x, y ∈ Zn . Das Paar (n, e) ist der public key, das Tripel (p, q, d) der private key. Es muss gezeigt werden, dass dK tatsächlich das Inverse von eK ist: Satz 5.2.2 Korrektheit von RSA F¨ ur alle x ∈ Zn gilt dK (eK (x)) = x, d.h., dK (eK (x)) ≡ x (mod n).

5.2.1

72


Beweis: Da n = pq mit Primzahlen p, q, gilt Φ(n) = (p − 1)(q − 1). Da ed ≡ 1 (mod Φ(n)), kann ed als ed = 1 + k(p − 1)(q − 1) f¨ ur eine ganze Zahl k geschrieben werden. Sei x ∈ Zn beliebig. Falls p - x, dann gilt: (xe )d

= = = = ≡

xed x1+k(p−1)(q−1) x · xk(p−1)(q−1) x · (xp−1 )k(q−1) x (mod p) ( wegen des Satzes von Fermat, Korollar 1.5.7 )

Falls aber p | x, dann gilt ebenfalls (xe )d ≡ x (mod p), weil beide Seiten ≡ 0 (mod p) sind. Genauso zeigt man, dass (xe )d ≡ x (mod q) f¨ ur alle x ∈ Zn gilt. Nach Korollar 5.1.2 zum Chinesischen Restsatz gilt dann auch (xe )d ≡ x (mod n), was zu zeigen war.

5.2.2

Ein RSA-System wird durch die folgenden Schritte hergestellt: (1) Zwei (große) Primzahlen p und q werden generiert. (2) Es werden n := pq und Φ(n) := (p − 1)(q − 1) gesetzt. (3) Es wird ein Exponent e mit 2 ≤ e < Φ(n) und ggT(e, Φ(n)) = 1 gewählt. Letzteres garantiert die Invertierbarkeit von e modulo Φ(n). (4) Es wird d := e−1 mod Φ(n) gesetzt. (Danach gilt ed ≡ 1 (mod Φ(n)).) (5) Der öffentliche Schl¨ ussel ist (n, e), der private Schl¨ ussel ist (p, q, d). Beispiel: Bob möchte ein RSA-System aufsetzen, damit (ihm bekannte, oder auch ihm unbekannte) Partner ihm verschl¨ usselte Botschaften schicken können, die nur er entziffern kann. Er wählt p = 101 und q = 113 (Schritt 1). (Das sind allerdings ganz unrealistisch kleine Zahlen.) Dann ergeben sich n = 11413 und Φ(n) = 11200 (Schritt 2). Es gilt 11200 = 26 52 7. Deshalb kann ein Exponent e zwischen 2 und 11200 genau dann verwendet werden, wenn er nicht durch 2, 5 oder 7 teilbar ist. Bob wird in der Regel Φ(n) nicht faktorisieren, sondern f¨ ur Zahlen e, die als Exponenten in Frage kommen könnten, nachpr¨ ufen, ob ggT(e, 11200) = 1 gilt. Dies geschieht mit dem Algorithmus extended euclid aus Abschnitt 1.5.2 (mit der Berechnung von e −1 als Nebeneffekt). Annahme: Bob wählt e = 3533 (Schritt 3). Dann ergibt sich: e−1 mod 11200 = 6597. Bobs Entschl¨ usselungsschl¨ ussel ist also d = 6597 (Schritt 4). Nun veröffentlicht Bob n = 11413 und e = 3533 im Netz, behält aber die Zahl d f¨ ur sich, genauso wie p und q (Schritt 5). Zur Bekanntgabe o¨ffentlicher Schl¨ ussel gibt es spezielle Webseiten, aber Bob könnte auch (oder zusätzlich) seine eigene Webpräsenz wählen. Angenommen nun, dass Alice den Klartext 9726 verschl¨ usselt an Bob schicken möchte. Alice lädt e = 3533 und n = 11413 aus dem Netz, berechnet 97263533 mod 11413 = 5761,


73

und schickt den Chiffretext 5761 u ¨ber einen (unsicheren, öffentlichen) Kanal an Bob. Wenn Bob diesen Chiffretext bekommt, benutzt er seinen geheimen Entschl¨ usselungsexponenten d = 6597 und berechnet 57616597 mod 11413 = 9726. Er kann den Klartext also problemlos lesen. Wichtig ist, dass kein anderer ihn entziffern kann; auf diese Frage kommen wir noch zur¨ uck. Wie könnte Alice tatsächliche Texte – nicht nur Zahlen – in RSA verschl¨ usseln? Eine Methode ist die Folgende. Im Besitz der Zahl n = 11413 und von 26 Buchstaben bildet Alice zunächst eine Blocklänge k = blog26 (11413)c = 2 und rechnet Blöcke von Buchstaben der Länge k in Zahlen zur Basis 26 um, deren Ziffern Buchstaben entsprechen und deren Zahlenwert (wegen der Wahl von k) zwischen 0 – inklusive – und 11413 – exklusive – liegt. Fortsetzung des Beispiels: Alice ist treu; sie möchte – wie schon in Abschnitt 1.1 – den Klartext ic hl ie be di ch verschl¨ usseln. Sie bildet also sechs Blöcke der Länge k = 2 (oben schon durch Zwischenräume angedeutet) und interpretiert diese als Zahlen x1 , . . . , x6 zur Basis 26: ic ; (8, 2) hl ; (7, 11) ie ; (8, 4) be ; (1, 4) di ; (3, 8) ch ; (2, 7)

; x1 ; x2 ; x3 ; x4 ; x5 ; x6

= = = = = =

8·26 + 2 7·26 + 11 8·26 + 4 1·26 + 4 3·26 + 8 2·26 + 7

= 210 = 193 = 212 = 30 = 86 = 59.

Die entstehenden Zahlen werden nacheinander RSA-verschl¨ usselt: y1 y2 y3 y4 y5 y6

= 2103533 = 1933533 = 2123533 = 303533 = 863533 = 593533

mod 11413 mod 11413 mod 11413 mod 11413 mod 11413 mod 11413

= = = = = =

4697 2137 1525 11215 8077 10881

; ; ; ; ; ;

6·262 + 24·26 + 17 ; 3·262 + 4·26 + 5 ; 2·262 + 6·26 + 17 ; 16·262 + 15·26 + 9 ; 11·262 + 24·26 + 17 ; 16·262 + 2·26 + 13 ;

GYR DEF CGR QPJ LYR QCN .

Wenn die so berechneten Zahlen mit Ziffern zur Basis 26 geschrieben werden, gen¨ ugen drei solche Ziffern. Der entstehende Chiffretext ist: GYR DEF CGR QPJ LYR QCN. Ende des Beispiels. Im Allgemeinen kann auf diese Weise ein Klartext der Blocklänge k auf einen Chiffretext der Blocklänge k + 1 injektiv abgebildet werden. Man könnte ein RSA-System problemlos auch als Secret-Key-Kryptosystem betreiben. AES (Kapitel 4) ist jedoch, wie bereits erwähnt, sehr viel effizienter. Im Rest dieses Kapitels beschäftigen uns drei Fragen:

74

Vorlesungsskript von E. Best / Stand: 19. September 2005 • Welche Exponenten e sind geeignet? • Wie kann man geeignete Primzahlen p und q (und damit auch RSA-Moduln n = pq) generieren? • Welche Attacken gegen RSA bzw. welche Sicherheitsl¨ ucken von RSA gibt es?

5.3

Auswahl eines Exponenten

Der öffentliche Schl¨ ussel e soll eine effiziente Verschl¨ usselung gewährleisten (weswegen kleine e eine gute Wahl sind) und gleichzeitig die Sicherheit nicht gefährden (weswegen große e eine gute Wahl sind). Die Wahl e = 2 ist ausgeschlossen, weil (p − 1)(q − 1) eine gerade Zahl ist. Also wäre 3 das kleinstmögliche e. Verschl¨ usseln mit e = 3 läuft auf Quadrieren mit nachfolgendem Multiplizieren hinaus. Mit kleinen e ist aber die Low-Exponent-Attacke möglich, die auf folgendem Satz (hier formuliert f¨ ur e = 3) beruht: Satz 5.3.1 Low-Exponent-Attacke Seien n1 , n2 , n3 paarweise teilerfremd und sei m ∈ N mit 0 ≤ m < min(n1 , n2 , n3 ). Sei c ∈ N mit c ≡ m3 mod ni f¨ ur i = 1, 2, 3 und 0 ≤ c < n1 n2 n3 . Dann gilt c = m3 . Beweis: Die Zahl c0 = m3 erf¨ ullt die simultane Kongruenz c0 ≡ m3 mod n1 , c0 ≡ m3 mod n2 , c0 ≡ m3 mod n3 , 0 und es gilt 0 ≤ c < n1 n2 n3 wegen 0 ≤ m < min(n1 , n2 , n3 ). Da eine solche Lösung nach dem Chinesischen 5.3.1 Restsatz eindeutig ist, folgt c = c0 . Eine Low-Exponent-Attacke ist möglich, wenn der gleiche Exponent (z.B. 3) mit der gleichen Nachricht, aber verschiedenen (zueinander teilerfremden) Moduln n benutzt wird. Das könnte z.B. vorkommen, wenn eine Bank die gleiche Nachricht an verschiedene Kunden schickt, die verschiedene öffentliche Schl¨ ussel (die auch noch teilerfremd sind, was gut vorkommen könnte) haben. Oscar kennt die Schl¨ usseltexte ci = x3 mod ni (i = 1, 2, 3). Mit dem Chinesischen Restsatz berechnet er eine ganze Zahl c mit c ≡ c 1 mod n1 , c ≡ c2 mod n2 , c ≡ c3 mod n3 und 0 ≤ c < n1 n2 n3 . Nach Satz 5.3.1 gilt c = x3 . Also findet Oscar den Klartext x, indem er aus c die dritte Wurzel zieht. Gegen eine Low-Exponent-Attacke kann vorgesorgt werden, indem größere Exponenten verwendet werden, oder auch, indem verhindert wird, dass die gleiche Nachricht mehrfach geschickt wird (etwa durch Einf¨ ugen von ein paar zufällig gewählten Bits). Ein großer Exponent, der oft f¨ ur RSA-Systeme gewählt wird und trotz seiner Größe eine (relativ) effiziente Verschl¨ usselung zulässt, ist e = 216 + 1 (eine Primzahl).

5.4

Primzahlerzeugung

Die beiden Primzahlen p und q des RSA-Systems sollen sowohl groß sein, als auch relativ nahe (aber nicht zu nahe) beieinander liegen (und noch ein paar weitere Kriterien erf¨ ullen), damit nicht schon der allereinfachste Faktorierungsversuch der Zahl pq, die ja veröffentlicht werden soll, erfolgreich ist. Wir können den folgenden Algorithmus zur Erzeugung einer zufälligen Primzahl m einer vorgegebenen Bitlänge ` verwenden: (1) Erzeuge einen zufälligen Bitvektor m0 der Länge ` − 2. Zu diesem Zweck kann ein Zufalls- oder ein Pseudozufallsgenerator verwendet werden4 . 4 Siehe

http://random.mat.sbg.ac.at/.


75

(2) Setze das erste und das letzte Bit von m auf 1, den Rest dazwischen auf m 0 . ¨ ¨ (3) Uberpr¨ ufe, ob m eine Primzahl ist. Falls ja: fertig. Falls nein: Zur¨ uck zu Schritt (1). Die Uberpr¨ ufung der Primzahleigenschaft von m kann in zwei Schritten geschehen: (3a) Pr¨ ufe, ob eine der Primzahlen in einer Liste (typischerweise die Liste der Primzahlen kleiner als 106 ) m teilt. Falls nein, wende das Verfahren an, das im Rest dieses Abschnitts beschrieben wird, oder ein anderes mit dem gleichen Effekt. (Dieses Verfahren kann nat¨ urlich auch schon sofort eingesetzt werden, ohne die Primzahlliste zu bem¨ uhen.) Im Jahr 2002 ist es Manindra Agarwal, Neeraj Kayal und Nitin Saxena gelungen, nachzuweisen 5 , dass das komplexitätstheoretische Problem PRIMES:

Gegeben n ∈ N\{0, 1}. Ist n prim?

in P liegt, d.h., dass ein deterministischer Algorithmus zu seiner Lösung existiert, der polynomiell viel Zeit in der Größe der Eingabe benötigt. Dieser Algorithmus ist inzwischen bekannt als der AKS-Algorithmus. Die Größe der Eingabe ist dabei die Länge der Darstellung der Zahl n, nicht die Zahl selbst. Wenn wir nicht gerade das Bierdeckelsystem benutzen, ist die Länge der Darstellung von n logarithmisch in der Zahl n. Denn wenn man das Zehnersystem benutzt, braucht man genau dlog 10 (n + 1)e Ziffern zur Darstellung von n, und wenn man das dyadische System benutzt (nur 0, 1 sind Ziffern, also die Bitdarstellung), braucht man dlog2 (n + 1)e viele Ziffern. Andererseits können alle p-adischen Darstellungen von n (mit p ≥ 2) bis auf konstante Faktoren ineinander umgerechnet werden. Beispielsweise ist die dyadische Darstellung von n immer, d.h., f¨ ur jedes n, ca. 3.322-mal so lang wie die Darstellung von n im Zehnersystem, denn es gilt 3.322 ≈ log2 (10). Eine sehr nahe liegende Methode, eine (ungerade) Zahl n auf Zusammengesetztheit zu u ufen, ist die ¨berpr¨ Probedivision. Man geht alle Zahlen zwischen 2 und n durch und pr¨ u ft, ob sie n teilen. Man braucht sogar √ nur die Zahlen von 3 bis b nc zu untersuchen, denn wenn n u ¨berhaupt einen echten Teiler hat, dann auch einen innerhalb dieser Menge. Man braucht auch die Vielfachen von 2 nicht zu untersuchen, weil n ja nicht gerade ist. Diese Idee kann noch verfeinert werden, denn auch die Vielfachen von 3 (außer 3 selbst) m¨ ussen nicht als mögliche Teiler betrachtet werden, und genausowenig die Vielfachen von 5 (außer 5), usw.; diese Idee ist als Sieb des Eratosthenes bekannt. Trotz des Herausstreichens von Vielfachen schon untersuchter ugend viele √ Primzahlen bleiben noch gen¨ Zahlen u ¨brig, die als mögliche Teiler von n in Frage kommen; b nc ist zwar eine obere Schranke, aber auch eine ziemlich gute. Der Probedivisionsalgorithmus ist daher keineswegs polynomiell in der Eingabegröße, p √ sondern exponentiell. Denn n = exp(ln(n)) = exp( 21 ln(n)), und das ist exponentiell in der Länge der Zifferndarstellung von n in einem beliebigen p-adischen System (p ≥ 2). Um zu sehen, wie viele Zahlen größenordnungsmäßig als mögliche Teiler ussen, kann √ betrachtet werden m¨ man die Anzahl der Primzahlen unterhalb von n bzw. unterhalb von n mit Hilfe des folgenden Satzes abschätzen, der wegen seiner Bedeutung auch der Primzahlsatz“ genannt wird. ” Satz 5.4.1 Primzahlsatz Sei k ∈ N. Mit π(k) sei die Anzahl der Primzahlen ≤ k bezeichnet. Dann gilt: π(k) ∼ 5 Siehe

k , ln(k)

genauer: f¨ ur k ≥ 17 gilt

k k < π(k) < 1.25506· . ln(k) ln(k)

http://www.cse.iitk.ac.in/news/primality.html.

76


Diese Abschätzung ist schon f¨ ur kleine k (wie 109 ;-) ziemlich gut: es gilt 109 / ln(109 ) = 48 254 942 und 9 π(10 ) = √ 50 847 478.√Wenn man eine Zahl mit 75 Dezimalstellen per Probedivision testet, braucht man mehr als 1075 / ln( 1075 ) > 0.36·1036 Probedivisionen, was außerhalb des Bereichs des Möglichen ist und eindrucksvoll die Exponentialität des Algorithmus belegt, wenn man diesen Zeitverbrauch mit der Eingabelänge, also der Länge der Darstellung einer (dezimal) 75-stelligen Zahl vergleicht, die ja noch auf eine normal lange Zeile passt. Wir stellen nun Algorithmen vor, die sehr viel effizienter sind und die Eigenschaft einer (großen) Zahl, prim zu sein, mit sehr hoher Wahrscheinlichkeit – aber nicht mit hundertprozentiger Sicherheit – feststellen können. Diese Algorithmen nutzen hinreichende – aber nicht notwendige – Bedingungen daf¨ ur aus, dass eine Zahl nicht-prim ist. Zwei solche Bedingungen wurden in Abschnitt 5.1.3 beschrieben. Oft werden Algorithmen dieser Art probabilistisch genannt. Aber man kann sie auch semi-exakt nennen, denn probabilistische Argumente gehen nur insofern ein, als man die Wahrscheinlichkeiten des Auftretens einer falschen“ Antwort eines solchen Algorithmus abschätzen kann bzw. möchte. Die Formulierung eines ” solchen Algorithmus geschieht ohne Zuhilfenahme von Wahrscheinlichkeiten. Wir können zum Beispiel a = 2 wählen und pr¨ ufen, ob a ein Zeuge f¨ ur die erste der in Abschnitt 5.1.3 angegebenen Bedingungen ist: prim(n)

⇒

2n−1 ≡ 1 (mod n).

(5.2)

Mit anderen Worten: wenn die rechte Seite dieser Implikation nicht gilt, ist n sicher nicht prim. Dies motiviert den semi-exakten Algorithmus in Abbildung 5.3. ↓

proc pseudoprim(n); Ausgabe: nicht prim“ bzw. wahrscheinlich prim“ ” ” begin if modexp(2, n−1, n) 6= 1 → return sicher keine Primzahl“ (Zeuge: a = 2) ” else → return wahrscheinlich Primzahl“ ” fi end; Abbildung 5.3: Auf Fermats Satz beruhender Test pseudoprim. Dieser Algorithmus irrt sich“ erstaunlich selten. Beispielsweise gibt es unter den Zahlen n < 10 000 nur 22, ” f¨ ur die er ein falsches Ergebnis liefert. Die Idee ist nahe liegend, pseudoprim in eine Schleife einzubetten, in der mehrere a ∈ Z+ uft werden, nicht nur a = 2. Leider gen¨ ugt das nicht, um die Primalität von n gepr¨ n sicher nachzuweisen, denn es gibt Zahlen n, die nicht prim sind, f¨ ur die aber an−1 ≡ 1 (mod n) f¨ ur alle a ∈ Z∗n gilt. Diese Zahlen werden Carmichael-Zahlen genannt: n ist Carmichael-Zahl

gdw.

¬ prim(n) ∧ ∀a ∈ Z∗n : an−1 ≡ 1 (mod n).

Die drei kleinsten Carmichael-Zahlen sind 561(= 3·11·17), 1105 und 1729. Carmichael-Zahlen sind selten, aber (und das weiß man sogar erst seit 1992) es gibt unendlich viele. Der Miller-Rabin-Test, der als nächstes beschrieben wird, umgeht den Carmichael-Schwachpunkt“ des ” pseudoprim-Tests, indem die zweite in Abschnitt 5.1.3 angegebene hinreichende Bedingung f¨ ur die Zerlegbarkeit von n mit in die Betrachtung einbezogen wird: prim(n)

⇒

2 ¬∃x ∈ Z+ n : x ≡ 1 (mod n) ∧ x 6≡ ±1 (mod n).

(5.3)


77

Im Algorithmus von Miller-Rabin wird die Bedingung auf der rechten Seite von (5.3) ähnlich wie die vorige Bedingung in (5.2) benutzt: wenn eine Zahl x gefunden wird, die x2 ≡ 1 (mod n) erf¨ ullt, aber weder ≡ 1 (mod n) noch ≡ −1 (mod n) ist, wenn also die rechte Seite der Implikation in (5.3) nicht gilt, dann kann n nicht prim sein. ↑

↓ ↓

proc witness (a, n) : {false, true}; begin Sei bk−1 . . . b0 die Binärdarstellung von (n−1)“; ” d := 1; i := k − 1; do i ≥ 0 → x := d; d := (d∗d) mod n; if (d = 1) ∧ (x 6= 1) ∧ (x 6= (n−1)) → return true else → skip f i; if bi = 0 → skip bi = 1 → d := (d∗a) mod n f i; i := i−1 od; if d 6= 1 → return true % Ausgang (1) d = 1 → return false fi end;

% Ausgang (2)

Abbildung 5.4: Unterprogramm witness f¨ ur den Miller-Rabin-Test.

↓ ↓

proc Miller Rabin(n, s); Ausgabe: nicht prim“ bzw. sehr wahrscheinlich prim“ ” ” begin Wähle a1 , . . . , as zufällig und paarweise verschieden aus {1, . . . , n−1}“; ” for j := 1 to s do if witness(aj , n) → return sicher keine Primzahl“ ” else → skip fi endfor; return sehr wahrscheinlich Primzahl“ ” end; Abbildung 5.5: Miller-Rabin-Primzahltest. Das Programm besteht aus zwei Teilen: der Funktion witness (Abbildung 5.4) und dem Hauptprogramm Miller Rabin (Abbildung 5.5). In der Funktion witness wird gepr¨ uft, ob a ein Zeuge gegen n auf Grund der Bedingung (5.2) – mit a anstelle von 2 – ist, und gleichzeitig, ob ein Zeuge x gegen n auf Grund von Bedingung (5.3) existiert. Im Wesentlichen ist witness der modexp-Algorithmus mit zusätzlichen Vorkehrungen f¨ ur die Entdeckung von Zeugen x. Im Hauptprogramm Miller Rabin wird witness f¨ ur insgesamt s zufällig

78


ausgewählte Zeugenkandidaten aufgerufen. Wir erklären die Funktionsweise dieses Algorithmus am Beispiel n = 561 mit a 1 = 7 als Kandidaten f¨ ur den Zeugenstand. Beim Aufruf von witness(7, 561) wird die Tabelle erzeugt, die in Abbildung 5.6 angegeben ist. Dies ist fast die gleiche Tabelle wie diejenige aus Abbildung 5.2, außer dass zusätzlich die Variable x belegt wird. Falls im i ten Schritt bi = 0 ist, enthält x den alten Wert von d. Im letzten Schritt der Abarbeitung (i = 0) wird in der Zeile mit Ausgang (2)“ entdeckt, dass ” 2

(7280 ) ≡ (7560 ) ≡ 1 (mod 561) {z } | 2

x = 67, d = 67 (mod 561), d = 1, c = 560, d = 7

560

7280 ≡ 67 6≡ ±1 (mod 561) | {z }

und mod 561

x = 67, x 6= 1, x 6= n−1, altes c = 280, x = 7

. 280

mod 561

Die Zahl 561 wird also durch den Miller-Rabin-Test als zusammengesetzt erkannt. Im Gegensatz dazu behauptet das Programm pseudoprim fälschlicherweise, dass die Zahl 561 prim sei, selbst wenn alle Zahlen a ∈ Z∗560 durchgetestet werden. i bi c d x

9 8 1 0 1 2 7 49 1 7

7 0 4 157 49

6 0 8 526 157

5 1 17 160 103

4 1 35 241 355

3 0 70 298 241

2 1 0 0 140 280 166 67 298 166

0 0 560 1 67

Abbildung 5.6: Beispiel f¨ ur die Funktionsweise von witness. Generell liefert die Funktion witness u ¨berhaupt nur dann true, wenn n keine Primzahl ist. Denn wenn true auf Grund von Ausgang (1) zur¨ uckgeliefert wurde, ist a ein Zeuge gegen die Primalität von n wegen des Satzes von Fermat. Wenn aber true auf Grund des Ausgangs (2) resultiert, ist x ein Zeuge gegen die Primalität von n nach Bedingung (5.3), wie im eben besprochenen Beispiel. Zum Schluss schätzen wir noch die Wahrscheinlichkeit ab, dass sich der Miller-Rabin-Algorithmus irrt“. ” Dazu zitieren wir einen Satz ohne Beweis: Satz 5.4.2 Absch¨ atzung der Anzahl der Zeugen Sei n ungerade und keine Primzahl. Dann gibt es h¨ ochstens sind.

n−1 4

Zahlen in Z+ n , die keine Zeugen gegen n

Aus diesem Satz folgt sofort der Folgende. Satz 5.4.3 Absch¨ atzung der Fehlerh¨ aufigkeit des Miller-Rabin-Tests Sei n ungerade und sei s > 0. Die Wahrscheinlichkeit, dass Miller Rabin(n,s) ein falsches Ergebnis liefert, ist h¨ ochstens 2−2s . Beweis: Wenn n zusammengesetzt ist, findet eine einzelne Ausf¨ uhrung der for-Schleife in Abbildung 5.5 mit Wahrscheinlichkeit ≤ 14 keinen Zeugen daf¨ ur; dies folgt aus Satz 5.4.2. Miller-Rabin liefert u ¨berhaupt nur dann ein falsches Ergebnis, wenn s-mal hintereinander ein Zeuge nicht gefunden wird. Die Wahrscheinlichkeit f¨ ur eine solch ungl¨ uckliche Kette von Fehlern ist höchstens 4−s = 2−2s . 5.4.3


79

In der Praxis stellt sich heraus, dass der Miller-Rabin-Test in der Regel noch zuverlässiger ist, als die oben angegebene Abschätzung suggeriert. Da Miller Rabin im Wesentlichen eine s-malige Wiederholung einer modularen Exponentiation ist, benötigt der Algorithmus O(s`) arithmetische Operationen und O(s`3 ) Bit-Operationen, wenn mit ` die Anzahl der Bits von n bezeichnet wird. Der AKS-Algorithmus ist bedeutend langsamer; der Algorithmus in der Originalversion des Papiers hat einen Exponenten von 12, d.h., benötigt Zeit O(`12 ). In der Zwischenzeit sind jedoch sehr viele Effizienzverbesserungen gefunden worden; unter Zuhilfenahme unbewiesener Vermutungen und/oder probabilistischer Elemente konnte der Exponent auf 6 und 4 gedr¨ uckt werden. Der aktuelle Stand dieser sehr im Fluss befindlichen Forschungsanstrengungen kann unter dem URL http://www.utm.edu/research/primes/prove/prove4 3.html, einer Sammelstelle f¨ ur neue und allerneueste Resultate, nachgelesen werden.

5.5

Faktorisierung und andere Attacken auf RSA

Die in Abschnitt 5.3 schon erwähnte Low-Exponent-Attacke auf RSA ist bei weitem nicht die einzige und auch nicht die gefährlichste. Ein Problem der Public-Key-Kryptographie generell (und RSA im Besonderen) ist die Sensitivität der öffentlichen Schl¨ ussel. Angenommen, Oscar möchte den Nachrichtenverkehr von Alice zu Bob beobachten. Er kann versuchen, Alice einen eigenen öffentlichen Schl¨ ussel e0 unterzuschieben 0 und zu behaupten, e sei Bobs öffentlicher Schl¨ ussel. Zum Beispiel benutzt er, wenn es so etwas gibt, eine Webseite, auf der öffentliche Schl¨ ussel veröffentlicht werden können, ohne dass die Identität des Veröffentlichenden verifiziert wird. Selbst wenn eine solche Seite nach der Veröffentlichung von Schl¨ usseln vor weiteren Veränderungen gesch¨ utzt ist, kann Oscar sich dort unehrlicherweise unter Bobs Namen und Adresse anmelden und den Schl¨ ussel e0 angeben. Wenn Alice nun den Schl¨ ussel e0 benutzt, um an Bob Nachrichten zu schicken, kann Oscar diese Nachrichten mit seinem geheimen Schl¨ ussel d0 entziffern, lesen, und dann mit Bobs eigentlichem Schl¨ ussel e verschl¨ usselt an Bob weiterschicken, sodass die beiden unter Umständen noch nicht einmal merken, dass jemand lauscht“. ” Diese Attacke wird Man-in-the-middle-Attacke (MITM) genannt, oder auch Impersonation Attack 6 . Um sie abzuwenden, gibt es kaum einen anderen Weg, als die o¨ffentlichen Schl¨ ussel nicht irgendwo, sondern bei (z.B. staatlich anerkannten) Stellen abzulegen. Solche Stellen heißen Trusted Third Parties (TTP) oder ¨ auch Certification Authorities. Eine Ubersicht ist unter http://www.qmw.ac.uk/∼tl6345/ca.htm zu finden. Die Möglichkeit der MITM-Attacke zeigt auch, dass unsere vorherige Behauptung, in der Public-KeyKryptographie sei kein Schl¨ usselaustausch u ¨ber sichere Kanäle nötig, sich in der Praxis als etwas optimistisch herausstellt – allerdings sind die Probleme von durchaus anderer Art als bei der Secret-Key-Kryptographie. Attacken vom Man-in-the-Middle-Typ sind auch auf andere Weisen möglich. Zum Beispiel kann es vorkommen, dass Alice ihre Nachricht an Bob (ichliebedich) u ¨ber etliche Server und Workstations sendet. Da Jeder an Bob verschl¨ usselte Nachrichten senden kann, wäre es ein Leichtes f¨ ur Oscar (der z.B. ein eifers¨ uchtiger Postmaster einer dieser Server ist), die Datei mit der verschl¨ usselten Nachricht zu löschen und Bob stattdessen ichliebedichnicht verschl¨ usselt zu schicken. Dies wirft das Problem der Authentifizierung auf: Bob sollte besser sicher gehen, dass die Nachricht, die er erhalten hat, tatsächlich von Alice stammt, und von niemand anderem. Dieses Problem kann auf verschiedene Weisen gelöst werden, unter anderem durch die Verwendung digitaler Signaturen. 6 F¨ ¨ ur impersonation gibt es keine sehr gute deutsche Ubersetzung; http://dict.leo.org/ kennt Betr¨ ugerisches Auftreten und Personifikation (was beides in etwa, aber nicht ganz genau, passt).

80


Sowohl auf Zertifizierung als auch auf digitale Signaturen gehen wir in einem späteren Kapitel genauer ein7 . Ein cleverer Angriff auf RSA wurde von M.J. Wiener im Jahr 1990 entdeckt. Er funktioniert, wenn der Entschl¨ usselungsexponent d klein“ ist und p und q sehr nahe beieinander liegen, genauer, wenn ” 1 3d < n 4 und q < p < 2q gilt. Dieser Angriff heißt Low-Decryption-Exponent-Attacke, wird hier aber nicht näher beschrieben. Die Multiplikativit¨ at von RSA, d.h., die Eigenschaft eK (x1 )eK (x2 ) mod n = eK (x1 x2 ) mod n eröffnet eine Reihe von Betrugsmöglichkeiten, insbesondere Chosen-Ciphertext-Attacken. Ein Angriff dieser Art kann folgendermaßen beschrieben werden: Oscar bekomme einen Chiffretext y = x e mod n in die Hände und sei am Klartext x = y d mod n interessiert. Er wählt k ∈ Zn beliebig, aber invertierbar modulo n (also mit der Eigenschaft ggT(k, n) = 1) und bildet den Chiffretext“ ” y 0 = (y·k e ) mod n = ((y mod n)·(k e mod n)) mod n, der f¨ ur Bob wie Double Dutch“ (unverständliches und vor allen Dingen auch ungefährliches Kauderwelsch) ” aussieht. Auf irgend eine Weise u ¨berredet er Bob, diesen Text y 0 zu dechiffrieren, oder er kommt auf eine andere Weise an die Dechiffrierung x0 = (y 0 )d mod n heran (auch x0 wird ungefährlich“ aussehen). Nun ” rechnet Oscar folgendermaßen: x0

=

(y 0 )d mod n

= = = = =

(yk e )d mod n y d k ed mod n ((y d mod n)(k ed mod n)) mod n ((y d mod n)·k) mod n (xk) mod n.

Im Besitz des Klartexts“ x0 und der invertierbaren Zahl k kann Oscar somit x ausrechnen – was sein ” eigentliches, urspr¨ ungliches Ziel war. Eine weitere Unsicherheit von RSA besteht in protocol failure, worunter man im weiteren Sinn nachlässige ” Benutzung“ verstehen kann. Wenn Alice zum Beispiel ihren Text ichliebedich nicht wie in Abschnitt 5.2 verschl¨ usselt, sondern simpler, indem sie die Buchstaben als Zahlen x in {0, . . . , 25} auffasst und diese dann direkt mit Hilfe von xe mod n umrechnet, kann Oscar recht schnell verstehen, was sie meint, ohne d zu kennen. Die Verschl¨ usselung in Abschnitt 5.2 ist zwar besser, aber auch nicht optimal, da bei Blocklänge 2 nur Zahlen der maximalen Größe 25·26 + 25 = 675 verschl¨ usselt werden können. Der Modul n = 11413 w¨ urde viel größere Zahlen zulassen, bleibt aber knapp unterhalb von 25·262 + 25·26 + 25 = 17525, was eine Blocklänge von 3 ermöglichen w¨ urde. Er ist also f¨ ur den Zweck der Verschl¨ usselung von aus 26 Buchstaben zusammengesetztem Text relativ schlecht gewählt. Eine andere protocol failure“ ergibt sich, wenn Bob und Charlie RSA mit dem gleichen Modul n, aber mit ” verschiedenen Verschl¨ usselungsexponenten e1 , e2 mit ggT(e1 , e2 ) = 1 benutzen. Wenn Alice unter diesen Umständen an Bob und an Charlie den gleichen Klartext x schickt und Oscar beide Chiffrate y 1 = xe1 mod n und y2 = xe2 mod n abfängt und liest, kann er mit Hilfe von c1 c2 x1 7 Wenn

:= := :=

e−1 1 mod b2 ; (c1 e1 − 1)/b2 ; y1c1 (y2c2 )−1 mod n

die Zeit reicht ...


81

den urspr¨ unglichen Klartext berechnen (x1 = x). Die direkteste Art und Weise, RSA zu knacken“, besteht aber aus dem Versuch, aus den öffentlichen Daten ” (n, e) die privaten Daten (p, q, d) zu (re)konstruieren. Drei Möglichkeiten bieten sich an: (A) Faktorisieren: man gewinnt p und q aus n (und e). (B) Berechnung des Entschl¨ usselungsexponenten: man gewinnt d aus e (und n). (C) Berechnung von Φ(n): man gewinnt Φ(n) aus n (und e). RSA beruht wesentlich darauf, dass das Faktorisierungsproblem f¨ ur große n sehr schwer zu lösen ist8 . Es stellt sich auch heraus, und darauf gehen wir zum Schluss dieses Abschnitts ein, dass die Möglichkeiten (B) und (C) tatsächlich – mehr oder weniger – äquivalent zur Faktorisierung sind. (A) Faktorisierung: Das Problem der Faktorisierung einer Zahl n ist noch schwerer als das der Feststellung, ob n prim ist. Die Primzahltestprogramme (z.B. Miller Rabin) helfen so gut wie nicht bei der Faktorisierung. Auch der AKS-Algorithmus liefert keine Faktorzerlegungen. Der Probedivisionsalgorithmus kann im Prinzip zur Faktorisierung verwendet werden, ist aber ausgesprochen ineffizient. Mit den besten heute vorhandenen Faktorisierungsalgorithmen gelingt die Faktorisierung von Zahlen der Bitlänge > 500 nur mit Anstrengung. RSA Security (http://www.rsasecurity.com) ist sich der Wichtigkeit dieser Frage sehr bewusst, denn schließlich hängt das RSA-Verfahren insgesamt entscheidend von der Behauptung ab, dass Faktorisieren schwer sei. Auf der RSA-Webpage werden RSA Challenges ausgeschrieben. Auf die Faktorisierung einer 640-Bit-Zahl (193 Dezimalstellen) ist (heute, im Juni 2004) ein Preis von 20 000 USD ausgelobt; eine 576-Bit-Zahl mit einem Preisgeld von 10 000 USD wurde immerhin im Dezember 2003 erfolgreich faktorisiert (nat¨ urlich unter Verwendung von Supercomputern). Wir stellen hier zwei Faktorisierungsalgorithmen vor, einen im Detail, den anderen nur im Konzept. Die heute u urlich bei ¨blichen Verfahren sind oft Abwandlungen bzw. Weiterentwicklungen davon. Es geht nat¨ allen Verfahren darum, in der Zeitkomplexität n0.5 des Probedivisionsverfahrens die Parameter zu dr¨ ucken: entweder die 0.5 zu verringern oder das n allmählich in Richtung log(n) zu verlagern. Das erste vorgestellte Verfahren – Pollards ρ-Heuristik – schafft in vielen Fällen eine Verbesserung von n0.5 auf n0.25 . Die Grundidee bei diesem Verfahren ist die Betrachtung einer zufälligen Folge von Zahlen x1 , x2 , . . . aus Zn , wobei n die zu faktorisierende Zahl ist. Ab wann (d.h., ab welchem Index i) darf man mit erheblicher (> 12 ) Wahrscheinlichkeit erwarten, dass eine k te Zahl xk , i ≤ k, eine Wiederholung einer schon vorher da√ undung gewesenen Zahl xj , j < i, d.h., xj = xk , ist? Die Antwort lautet: ungefähr i = b1.17· nc. Die Begr¨ f¨ ur diese Antwort9 ist die gleiche wie beim bekannten Geburtstagsparadox: Wie groß ist die Wahrscheinlichkeit, dass von 23 in einem Raum anwesenden Personen zwei am gleichen Tag Geburtstag haben? Die Antwort lautet – vielleicht u ¨berraschenderweise, und deswegen spricht man von einem Paradox“ –: größer ” als 21 . Beispielsweise findet sich in Abbildung 5.7 (links) eine ziemlich zufällig aussehende Folge von Zahlen x1 = 2, x2 = 3, x3 = 8, x4 = 63 . . . aus Z1387 . Die erste Wiederholung gibt es bei x18 (das ist nämlich gleich x6 ), also etwas fr¨ uher als erwartet, denn die Wurzel aus 1387 ist ungefähr 37. Wenn wir die Folge so erzeugen, dass sich xi+1 eindeutig aus xi ergibt, dann wissen wir, dass ab der ersten Wiederholung ein Kreis gebildet wird. Mit xj = xk gilt dann nämlich auch xj+1 = xk+1 , xj+2 = xk+2 , usw. 8 Vorsichtiger 9 Die

gesagt: zu sein scheint. hier nicht streng hergeleitet wird.

82


996

310 396

814

x007

x7 84

177

31

x006

x6 x18

1186

120

18

1194

x4

529

339

63

26

x04 595

1053

63

x003

x03 8

8

x06

8

x02

x2 3

x002 3

16

x01

x1 mod 1387

47

x004

6

x3

2

11

x005

x5

3

x05 2

mod 19

x001 2

mod 73

Abbildung 5.7: Ein Beispiel zum Pollard Rho-Verfahren mit n = 1387 = 19·73. Nehmen wir nun einen nichttrivialen Faktor m von n und betrachten auch die Zahl m 0 = n/m. Die Folge x1 , x2 , . . . induziert zwei weitere Folgen, x01 = x1 mod m , x02 = x2 mod m , . . .

und

x001 = x1 mod m0 , x002 = x2 mod m0 , . . . ,

die außerdem nach dem gleichen Muster aufgebaut sind: x0i+1 = ((x0i )2 − 1) mod n, denn es gilt x mod nmod m = x mod m. Nehmen wir zusätzlich ggT(m, m0 ) = 1 an. Dann sind die Folge x1 , x2 , . . . und das Folgenpaar x01 , x02 , . . . und x001 , x002 , . . . nach dem Chinesischen Restsatz zueinander äquivalent, d.h., man kann nicht nur Letzteres aus x1 , x2 , . . . erzeugen, sondern auch x1 , x2 , . . . aus x01 , x02 , . . . und x001 , x002 , . . . Insbesondere gilt dann, dass die beiden kleineren“ Folgen x01 , x02 , . . . und x001 , x002 , . . . die gleiche ρ-Form haben wie die Ursprungsfolge, weil ” xi+1 mod m und xi+1 mod m0 sich eindeutig aus xi mod m bzw. xi mod m0 ergeben. Abbildung 5.7 zeigt ein 0 Beispiel mit m = 19 und die Folge x01 , x02 , . . . √ m = 73. Wie oben (Geburtstagsparadox) erwartet man, dass 00 00 sich √ nach ungefähr b mc (im Beispiel = 4) Schritten wiederholt, und die Folge x1 , x2 , . . . nach ungefähr b m0 c (im Beispiel = 8) Schritten. Die Wiederholungen in der Folge x01 , x02 , . . . sind sehr interessant in Bezug auf die Teiler von n, denn es gilt: x0i = x0i+l

⇒

m | (xi+l − xi ),

(also ggT(xi+l − xi , n) > 1)

(5.4)


83

direkt aus der Definition der x0i . Außerdem geschehen Wiederholungen modulo m schneller als Wiederholungen modulo n. Das Pollard Rho-Verfahren macht sich dies folgendermaßen zunutze: Es wird sukzessive eine Folge x 1 , x2 , x3 , . . . generiert und es wird von diesen Zahlen in immer größeren Abständen eine gesichert. Wenn ein Wert xk erzeugt wird, so dass der vorher gesicherte Wert auf einem kleinen“ Kreis f¨ ur m liegt (z.B. auf dem Kreis ” x03 → x04 → x05 f¨ ur die Zahl m = 19, siehe Bildmitte von Abbildung 5.7), dann wird irgenwann eine gesamte Kreisumdrehung (im kleinen Kreis) erfolgen, ohne dass zwischendurch gesichert wird (weil dies in immer größeren Abständen passiert), es wird also – wegen (5.4) – eine Zahl xi geben mit xi ≡ y (mod m), wobei y der gesicherte Wert ist. Dann ist ein Faktor (vermutlich m oder ein Vielfaches von m) entdeckt. Genauer: seien t, j kleinste Zahlen mit j 6= 0 und x0t+i = x0t+j+i f¨ ur alle i ≥ 0. D.h., t ist der Index der ersten Wiederholung und j ist die Länge des (kleinsten) daraus entstehenden Kreises. Dann gilt x0t+i = x0t+j+i

⇒

( wegen der Definition der x0i ) )

⇒

( wie oben )

m | (x0t+i = x0t+j+i )

(5.5)

ggT(x0t+i = x0t+j+i , n) > 1.

√ Da der kleinste Primfaktor p von n höchstens von der Größe b nc ist und die Größe eines zu p gehörigen 1 √ ur die Pollard-ρ-Methode, der in der Kreises höchstens b pc, kommt es zu dem Erwartungswert von n 4 f¨ Praxis durchaus bestätigt wird. Die Pollard-ρ-Methode ist besonders gut dazu geeignet, kleine Primfaktoren einer (riesigen) Zahl zu entdecken. Der Pseudocode des Algorithmus ist in Abbildung 5.8 dargestellt. Zur zufälligen“ Erzeugung von xi+1 ” aus xi wird die Funktion f (x) = (x2 − c) mod n mit c = 1 verwendet. Der Algorithmus k¨ onnte auch eine Endlosschleife produzieren, das kommt in der Praxis jedoch kaum vor. Wenn diese Gefahr bestehen sollte, ist es angeraten, den Parameter c zu ändern. Alle c sind daf¨ ur geeignet (außer c = 0 und c = 2, die besser vermieden werden sollten). In Abbildung 5.7 sind diejenigen x-Werte, die als y gesichert werden, schattiert eingezeichnet. Die dicken Pfeile zeigen, wie weit der Algorithmus rechnet, bis ein Faktor von 1387 entdeckt wird. Der Faktor 19 wird entdeckt, sobald x7 = 177 berechnet und ggT(63 − 177, 1387) = 19 ausgewertet wurde. Die d¨ unnen Pfeile sind im Bild nur eingezeichnet, damit die ρ-Form erkennbar wird; sie entsprechen den Werten von x, die errechnet werden w¨ urden, wenn das Verfahren nicht beendet werden w¨ urde. Allgemein: Falls Pollard Rho einen Wert xk auf y gesichert hat, mit k ≥ t, dann ist y mod m immer auf dem kleinen Kreis“ modulo m. Falls k ≥ j, wird der kleine Kreis umfahren, ohne dass y neu gesetzt wird. ” Irgendwann wird dann xi ≡ y mod m, also (wie in (5.5)) ggT(y − xi , n) > 1; deswegen die Abfrage d 6= 1. Viele Faktorisierungsalgorithmen (z.B. das Quadratische Sieb) beruhen auf einer anderen Idee. Nehmen wir an, dass n zum Faktorisieren vorgegeben ist und dass wir Zahlen x und y finden können, f¨ ur die gilt: x2 ≡ y 2 (mod n), aber x 6≡ ±y (mod n). Dann gilt n | (x − y)·(x + y), aber weder x−y noch x+y sind durch n teilbar. Daraus folgt, dass sowohl ggT(x−y, n) als auch ggT(x+y, n) nichttriviale Faktoren von n sind. Beispielsweise gilt 102 ≡ 322 (mod 77). Wir finden den Faktor 7 von 77 durch die Berechnung von ggT(10 + 32, 77). Um zwei Zahlen x und y mit den oben genannten Eigenschaften zu finden, kann man folgendes Verfahren anwenden. Wir suchen (wie, wird hier nicht beschrieben) eine Reihe von Zahlen z 1 , z2 , z3 , . . ., so dass alle

84


↓

proc Pollard Rho(n); erhoffte Ausgabe: ein Teiler d von n begin i := 1; wähle x zufällig aus {0, . . . , n − 1}“; ” y := x; k := 2; do true → i := i + 1; x := (x2 − 1) mod n; d := ggT(y − x, n); if d 6= 1 ∧ d 6= n → return d else → skip f i; if i = k → y := x; k := 2·k else → skip fi od end; Abbildung 5.8: Algorithmus Pollard Rho zur Faktorisierung einer Zahl n. Primfaktoren von zi2 , modulo n, in einer Menge B liegen, die Faktorbasis genannt wird. Dann versuchen wir, die Zahlen zi so zu einem Quadrat zu kombinieren, dass jeder Faktor eine gerade Anzahl von Malen vorkommt. Beispiel: Sei n = 15770708441. Betrachte B = {2, 3, 5, 7, 11, 13} und drei Kongruenzen 83409341562 120449429442 27737000112

≡ ≡ ≡

3 · 7 (mod n) 2 · 7 · 13 (mod n) 2 · 3 · 13 (mod n)

Das Produkt auf beiden Seiten bilden, ergibt: (8340934156 · 12044942944 · 2773700011)2 ≡ (2 · 3 · 7 · 13)2 (mod n). Reduzieren innerhalb der Klammern ergibt: 95034357852 ≡ 5462 (mod n) und mit euclid kann der Faktor ggT(9503435785 − 546, 15770708441) = 115759 von n ausgerechnet werden. Das eigentliche Problem ist es, die Zahlen z1 , z2 , . . . geeignet zu wählen. Hierf¨ ur gibt es verschiedene Methoden, die hier jedoch nicht besprochen werden können. Zum Schluss betrachten wir die wesentliche ¨ Aquivalenz von (A), (B) und (C): Kennt man die Faktorisierung n = pq (A), dann kennt man nat¨ urlich sofort auch (C) Φ(n) = (p − 1)(q − 1) und (B) d als Inverses von e modulo Φ(n).


85

Kennt man umgekehrt Φ(n) (C), dann kann leicht die Faktorisierung von n daraus berechnet werden. Dazu betrachtet man ein System von zwei Gleichungen in zwei Unbekannten p und q: n Φ(n)

= pq = (p − 1)(q − 1).

Nach Auflösen bekommt man eine quadratische Gleichung, deren zwei Lösungen p und q sind. Beispiel: Betrachte n = 84773093. Oscar hat gerade herausgefunden, dass Φ(n) = 84755668 gilt. Er formt die beiden Gleichungen oben zu der quadratischen Gleichung p2 − 18426·p + 84773093 = 0 um und berechnet daraus p = 9539 und q = 8887. Es bleibt nun noch zu zeigen, dass aus dem Entschl¨ usselungsexponenten d (B) auch die Faktorisierung n = pq (A) mit vertretbarem Aufwand (d.h.: polynomiell) berechnet werden kann. Dies kann von größerer praktischer Bedeutung sein. Denn wenn Bob zum Beispiel seinen Verschl¨ usselungsexponenten d aus Versehen bekannt gibt, gen¨ ugt es aufgrund dieser Tatsache nicht, dass er sich ein neues Paar (e, d) aussucht (bei gleich bleibendem n), sondern er muss auch ein neues n definieren, d.h., sein RSA-System völlig neu konzipieren. Wir benötigen einige weitere gruppen- und zahlentheoretische Resultate. Satz 5.5.1 Sei G eine Gruppe, sei g ∈ G und sei k ∈ N. Dann gilt g k = 1 genau dann, wenn ord (g) | k. Beweis: Sei α = ord (g). Sei g k = 1 und sei k = qα + r mit 0 ≤ r < α. Dann gilt g r = g k−qα = g k (g α )−q = 1. Da r < α und α die kleinste positive Zahl mit g α = 1 ist, gilt r = 0 und damit k = qα, also α | k. Wenn umgekehrt α | k, dann gilt k = lα und g k = (g α )l = 1. 5.5.1 Wir nehmen nun an, dass n, e, d bekannt sind und dass weiterhin bekannt ist, dass n das Produkt zweier Primzahlen ist; diese beiden wollen wir herausfinden. Setze zunächst s := max{t ∈ N | 2t teilt (ed − 1)}

und

r =

(ed − 1) . 2s

Die Zahl s kann man durch einen sehr einfachen Algorithmus finden, indem man die niedrigwertigen Nullen in der Binärentwicklung von (ed − 1) zählt. Lemma 5.5.2 F¨ ur alle a ∈ Z∗n gilt ord (ar ) ∈ {2i | 0 ≤ i ≤ s}. Beweis: Sei a ∈ Z∗n . Mit Hilfe von Satz 5.2.2 findet man: a(ed−1) ≡ aed a−1 ≡ aa−1 ≡ 1 (mod n). s

Daraus folgt (ar )2 ≡ 1 (mod n). Nach Satz 5.5.1 ist die Ordnung von ar in Z∗n ein Teiler von 2s .

5.5.2

86


Satz 5.5.3 Existenz echter Teiler Sei a ∈ Z∗n . Wenn die Ordnung von ar modulo p und modulo q verschieden ist, dann gibt es ein t ∈ t {0, 1, . . . , s − 1} mit 1 < ggT(a2 ·r − 1, n) < n. t

Mit anderen Worten, ggT(a2 ·r − 1, n) ist dann ein echter Teiler von n. Beweis: Die Ordnung von ar modulo p und modulo q liegt als Folge von Lemma 5.5.2 in der Menge {2i | 0 ≤ i ≤ s}. O.B.d.A. sei die Ordnung von ar mod p größer als die von ar mod q. Es gelte ord (ar mod q) = 2t . t t t Dann gilt t < s und a2 ·r ≡ 1 (mod q), aber a2 ·r 6≡ 1 (mod p), und daher ggT(a2 ·r − 1, n) = q. 5.5.3 Um n zu faktorisieren, wählt man zufällig (und gleichverteilt) eine Zahl a in Zn . Dann berechnet man ggT(a, n). Ist dieser ggT größer als 1, hat man schon einen nichttrivialen Faktor von n gefunden. Ist er aber gleich 1, dann ist a ∈ Z∗n . Jetzt berechnet man g = ggT(a2

t

·r

− 1, n)

f¨ ur

t = s−1, s−2, . . . , 0.

Findet man dabei einen Teiler g von n, hat man Erfolg. Andernfalls wird ein neues a gewählt und der Algorithmus wird erneut ausgef¨ uhrt. In jeder Iteration ist die Wahrscheinlichkeit daf¨ ur, dass ein Primteiler von n gefunden wird, wenigstens 1/2. Denn es gilt (ohne Beweis): Satz 5.5.4 ur die ar mod p und mod q eine verschiedene Ordnungen hat, ist wenigstens Die Anzahl der Zahlen in Z∗n , f¨ (p − 1)(q − 1)/2. Nach w Wiederholungen des Algorithmus ist die Wahrscheinlichkeit, einen Primteiler von n gefunden zu haben, also größer als 1 − 2−w , d.h. beliebig nahe bei 1“. Damit ist die Wahrscheinlichkeit, dass Oscar in ” Kenntnis des Entschl¨ usselungsschl¨ ussels d (B) auch die Faktorisierung von n (A) findet, praktisch gleich 1. Zum Schluss ein Beispiel: Es seien n = 253, e = 3 und d = 147. Es gilt ed − 1 = 440. Wir suchen einen Faktor von n. Da 440 durch 8, aber nicht durch 16 teilbar ist, berechnen sich s = 23 = 8 und r = 440/8 = 55. Wir beginnen die Faktorsuche mit a = 2. Da ggT(2, 253) = 1, ist a nicht selbst schon ein Faktor. Als Nächstes berechnen wir der Reihe nach f¨ ur t = 2:

2

ggT(22 r , 253) 1

f¨ ur t = 1:

ggT(22 r , 253)

f¨ ur t = 0:

20 r

ggT(2

, 253)

=

ggT(2220 , 253)

=

1,

=

ggT(2110 , 253)

=

1,

=

55

=

23.

ggT(2 , 253)

Damit ist ein Faktor, nämlich 23, von 253 gefunden.

Kapitel 6

Auf diskreten Logarithmen beruhende Kryptosysteme Das Public-Key-Kryptosystem, das in Kapitel 5 vorgestellt worden ist, beruht auf der Schwierigkeit, große Zahlen zu faktorisieren. Den Kryptosystemen, die in diesem Kapitel behandelt werden, liegt ein anderes, ebenfalls (wie allgemein angenommen wird) schwieriges, zahlentheoretisches Problem zu Grunde: die Berechnung diskreter Logarithmen. Bevor wir dies erklären, schieben wir einen Abschnitt mit Nachträgen zu den vorigen Kapiteln ein.

6.1

Zwei Nachtr¨ age

6.1.1

Das Geburtstagsparadox

Bei der Besprechung des Pollard-Rho-Faktorisierungsalgorithmus haben wir das Geburtstagsparadox zitiert, nach dem die Grenze f¨ ur eine Wahrscheinlichkeit von ≥ 21 , dass zwei von k Personen den gleichen Geburtstag √ haben, bei ungefähr k ≥ 1.17· 365 liegt. Dieses Ergebnis leiten wir jetzt her.

Seien Personen {1, . . . , k} in einem Zimmer, sei die Anzahl der Tage im Jahr n = 365 (wir ignorieren also ur i = 1, . . . , k und r = 1, . . . , n, Schaltjahre), seien Geburtstage gleichmäßig verteilt, so dass P(bi = r) = n1 f¨ wobei bi den Tag des Jahres bezeichne, an dem Person i Geburtstag hat, und seien Geburtstage unabhängig voneinander (wir ignorieren z.B. Zwillinge). Die Wahrscheinlichkeit, dass Personen i und j mit i 6= j am gleichen Tag r Geburtstag haben, ist 1 . n2

P(bi = r, bj = r) = P(bi = r) · P(bj = r) =

Die Wahrscheinlichkeit, dass beide auf den gleichen Tag fallen, ist also n X 1 P(bi = r, bj = r) = P(bi = bj ) = 2 n r=1 r=1 n X

87

=

1 . n

88


Um die Wahrscheinlichkeit zu analysieren, dass wenigstens 2 von k Leuten am gleichen Tag Geburtstag haben, betrachten wir das umgekehrte Ereignis; denn die Wahrscheinlichkeit, dass zwei Geburtstage gleich sind, ist 1 minus der Wahrscheinlichkeit, dass alle Geburtstage verschieden sind. Das Ereignis, dass k Leute verschiedene Geburtstage haben, ist Bk

k−1 \

=

Ai ,

i=1

wobei Ai das Ereignis ist, dass der Geburtstag bi+1 von Person i+1 verschieden von allen Geburtstagen b1 , . . . , bi ist, d.h.: Ai

=

(bi+1 6= b1 ) ∧ (bi+1 6= b2 ) ∧ . . . ∧ (bi+1 6= bi ).

Wegen Bk = Ak−1 ∩ Bk−1 gilt P(Bk )

=

P(Bk−1 ) · P(Ak−1 |Bk−1 ),

(6.1)

wenn wir anfänglich P(B1 ) = 1 setzen. Wenn die b1 , . . . , bk−1 alle verschieden sind, ist die bedingte Wahrscheinlichkeit, dass bk 6= bi f¨ ur 1 ≤ i ≤ k−1, gleich (n−k+1)/n, denn von den n möglichen Tagen sind n−k+1 noch nicht belegt“. Aus (6.1) folgt durch Iterieren: ” P(Bk )

= = =

P(B1 ) · P(A1 |B1 ) · P(A2 |B2 ) · . . . · P(Ak−1 |Bk−1 ) n−2 n−k+1 ) 1 · ( n−1 n ) · ( n ) · ... · ( n

1 · (1 − n1 ) · (1 − n2 ) · . . . · (1 −

k−1 n )

Die interessante1 Ungleichung 1+x ≤ ex ergibt P(Bk )

≤

2

1

(e− n ) · (e− n ) · . . . · (e−

=

e−

Pk−1

=

e−

k·(k−1) 2n

k−1 n

)

i i=1 n

,

und der letzte Ausdruck ist ≤ 21 (die interessierende Wahrscheinlichkeit gleicher Geburtstage also ≥ ≤ ln 21 , d.h. (nach Lösen einer quadratischen Gleichung), wenn wenn − k·(k−1) 2n k ≥

1 2 ),

p 1 ·(1 + 1 + (8 ln 2)n). 2

Bei n = 365 ergibt dies k ≥ 23. Bei einem Marsgeburtstag (n = 669) m¨ ussten sich schon 31 Marsmenschen im gleichen Raum aufhalten, damit die Wahrscheinlichkeit, dass zwei davon am gleichen Tag Geburtstag √ haben, ≥ 21 ist. Die Hälfte von 8 ln 2 ist u ahr gleich 1.17; daher der zu Beginn des Abschnitts ¨brigens ungef¨ erwähnte Faktor. 1 Denn man kann e damit charakterisieren: e ist die einzige positive Zahl, die die Eigenschaft 1+x ≤ e x f¨ ur alle reellen x erf¨ ullt. Siehe http://www.mathe-online.at/galerie/log/log.html.


6.1.2

89

Erzeugende Elemente

Ist eine Gruppe zyklisch, dann ist es oft von Vorteil, ein erzeugendes Element a zu kennen. Beispielsweise erleichtert, wie wir gesehen haben, ein erzeugendes Element a in der multiplikativen Gruppe von GF (p n ) das Multiplizieren in dieser Gruppe dadurch, dass auf Logarithmen bez¨ uglich a addiert werden kann. Wir beschäftigen uns mit dem Problem, ein erzeugendes Element zu finden, wenn noch keins bekannt ist. Ist die Gruppe klein (wie z.B GF (28 )), ist Durchprobieren eine Option. Ist die Gruppe groß (wie z.B. Z∗n mit einer großen Zahl n), hätte man gerne eine andere Methode. Wir stellen zwei vor, wobei wir uns auf die multiplikative Gruppe (Z∗p , ·), mit einer Primzahl p, beschränken (dann gilt ja Z∗p = {1, 2, . . . , p − 1}, die Gruppe hat also Ordnung p − 1). Man nennt ein erzeugendes Element von Z ∗p auch Primitivwurzel zum Modul p. Die erste Methode ist probabilistisch, etwa wie Miller Rabin. Wir wählen ein a ∈ Z∗p zufällig und gleichverteilt. Wie groß ist die Wahrscheinlichkeit, dass a eine Primitivwurzel ist? Dazu zitieren wir zuerst ohne Beweis eine Abschätzung f¨ ur Φ(n): Satz 6.1.1 Untere Schranke f¨ ur Φ(n) F¨ ur jede nat¨ urliche Zahl gilt Φ(n) ≥

n . 6 ln ln n

Wir wissen schon (Satz 4.2.7 bzw. sein Analogon f¨ ur Primzahlmoduln), dass die Gruppe Z∗p (mit primem p) zyklisch ist, d.h. mindestens eine Primitivwurzel hat. Jetzt berechnen wir die Anzahl der Primitivwurzeln modulo p. Satz 6.1.2 Anzahl der Primitivwurzeln modulo p In Z∗p gibt es genau Φ(p − 1) Primitivwurzeln modulo p. Beweis: Sei a eine Primitivwurzel modulo p. Dann kann jedes b ∈ Z∗p (auch a!) (in eindeutiger Weise) geschrieben werden als b = ai mit 0 ≤ i ≤ p − 2. Die Ordnung von b ist ord (b)

=

p−1 ggT(p − 1, i)

(dies folgt daraus, dass die Ordnung von a gleich p − 1 ist). Also ist b eine Primitivwurzel genau dann, wenn ggT(p − 1, i) = 1. 6.1.2 Achtung: Die Menge Z∗p−1 steht mit der Menge der Primitivwurzeln von p in keiner nennenswerten Beziehung, außer dass beide Mengen gleich groß sind; die Argumentation im Beweis bezog sich nämlich auf die Logarithmen i zur Basis a von b. Zusammen ergeben diese beiden Sätze, dass die Chance, bei einem zufällig gewählten a ∈ Z∗p eine Primitivwurzel modulo p zu finden, ziemlich gut sind, weil 6 ln ln p − 1 viel kleiner als p − 1 ist. Notfalls kann die Auswahl iteriert werden. Das verbleibende Problem ist es, f¨ ur ein gegebenes a nachzupr¨ ufen, ob a tatsächlich eine Primitivwurzel ist. Wenn die Faktorisierung von p − 1 bekannt ist, z.B. als p − 1 = Πq prim,q | (p−1) q e(q) , dann kann man folgenden Satz benutzen, um einen schnellen Algorithmus zu finden:

90


Satz 6.1.3 Sei q ein Primteiler von p − 1 und sei f (q) die gr¨ oßte ganze Zahl mit 0 ≤ f (q) ≤ e(q) und mit a(p−1) / (q

f (q)

)

≡ 1 (mod p).

Dann gilt f¨ ur die Ordnung von a: |hai| = Πq | (p−1) q e(q)−f (q) . Beweis: Nach Satz 5.5.1 ist die Ordnung von a von der Form Πq | (p−1) q x(q) mit 0 ≤ x(q) ≤ e(q)−f (q) f¨ ur alle q | (p − 1). Nach Definition von f (q) gilt aber sogar x(q) = e(q)−f (q) f¨ ur 6.1.3 alle q | (p − 1). Beispiel: Sei G die prime Restklassengruppe modulo 101. Ihre Ordnung ist 100 = 2 2 ·52 . Also gilt e(2) = e(5) = 2. Betrachte a = 2. Wir berechnen zunächst die Zahlen f (q) aus dem Beweis des Satzes: f (2) = 0, da wir mit f (2) = 1 haben: 2100/(2

1

)

= 250 ≡ −1 6≡ 1 (mod 101),

und dann auch erst recht mit f (2) = 2 gilt: 2100/(2 1

100/(5 )

2

20

)

6≡ 1 (mod 101).

Es gilt auch 2 = 2 ≡ −6 6≡ 1 (mod 101), und damit f (5) = 0. Laut Satz 6.1.3 ist die Ordnung des Elements 2: |h2i| = 22−0 · 52−0 = 100. Also ist Z∗101 zyklisch (das wussten wir schon) und 2 ist ein erzeugendes Element (das wissen wir seit eben). Ende des Beispiels. Mit dem nächsten Korollar (das aus Satz 6.1.3 direkt folgt) kann man verifizieren, ob eine vorgelegte Zahl m die Ordnung eines vorgegebenen Elements g ist. Korollar 6.1.4 Sei m ∈ N und gelte g m = 1 sowie g m/q 6= 1 f¨ ur jeden Primteiler q von m. Dann ist m die Ordnung von 6.1.4 g. Beispiel 1: Wir behaupten, dass 25 die Ordnung der Restklasse 5 in der primen Restklassengruppe modulo 101 ist. Es gilt tatsächlich 525 ≡ 1 (mod 101) und 55 ≡ −6 (mod 101). Die Behauptung folgt also aus Korollar 6.1.4. Ende von Beispiel 1. In dem besonders einfachen Fall p − 1 = 2 · q mit einer Primzahl q braucht man nur zu pr¨ ufen, ob a2 ≡ 1 (mod p) oder aq ≡ 1 (mod p) ist. Wenn diese beiden Kongruenzen nicht erf¨ ullt sind, ist a eine Primitivwurzel modulo p. Beispiel 2: Sei p = 23. Dann ist p − 1 = 22 = 2 · 11. Um zu pr¨ ufen, ob eine ganze Zahl a eine Primitivwurzel modulo 23 ist, muss man verifizieren, dass sowohl a2 6≡ 1 (mod 23) als auch a11 6≡ 1 (mod 23) gelten. Hier ist eine Tabelle mit den entsprechenden Resten f¨ ur Primzahlen zwischen 2 und 17: g g 2 mod 23 g 11 mod 23

2 3 5 4 9 2 1 1 −1

7 3 −1

11 6 −1

13 17 8 13 1 −1


91

Also sind die Zahlen 5, 7, 11, 17 Primitivwurzeln modulo 23, die Zahlen 2, 3, 13 jedoch nicht. Nat¨ urlich sind 5, 7, 11, 17 nicht die einzigen Primitivwurzeln modulo 23; laut Satz 6.1.2 gibt es Φ(22) = 10 Primitivwurzeln modulo 23, also sechs weitere. Ende von Beispiel 2. Wenn die Faktorisierung von p − 1 nicht bekannt ist, ist es bedeutend aufwändiger, nachzupr¨ ufen, ob a tatsächlich eine Primitivwurzel ist. Eine andere Methode, Primitivwurzeln modulo p zu finden, besteht darin, aus einem a, das noch keine ist (d.h. ord (a) < p − 1 erf¨ ullt), ein a ˜ zu konstruieren, f¨ ur das ord (a) < ord (˜ a) ≤ p − 1 gilt. Diese Konstruktion bricht sicherlich irgendwann ab und liefert eine Primitivwurzel. Sei also a ∈ Z∗p mit ord (a) < p − 1 gegeben. Wir wählen beliebig ein b ∈ Z∗p \hai. Wenn ord (b) > ord (a) gilt, dann setzen wir a ˜ = b. Nehmen wir an, dass ord (b) ≤ ord (a) gilt; dann f¨ uhrt folgende iterative Konstruktion zu einem geeigneten a ˜. Seien α = ord (a) und β = ord (b). Zunächst gilt β - α, denn jede zyklische Gruppe hat zu jedem Teiler der Gruppenordnung genau eine Untergruppe. Gälte β | α, m¨ usste die Gruppe hβi mit der entsprechenden Untergruppe von hαi u bereinstimmen, was wegen β ∈ / hαi unm¨ oglich ist. ¨ Nun definieren wir eine Folge (αi , βi ) von Zahlenpaaren: α0

= α

αi

=

αi−1 ggT(αi−1 , βi−1 )

,

β0

=

β ggT(α, β)

,

βi

=

βi−1 ·ggT(αi−1 , βi−1 )

f¨ ur i ≥ 1

Diese Folge wird ab einem gewissen i stationär. Es gilt nämlich: αi

=

α0 , ggT(α0 , β0 ) · . . . · ggT(αi−1 , βi−1 )

also können nur endlich viele der ggT(αi−1 , βi−1 ) ungleich 1 sein. Sei (α∗ , β∗ ) das erste der konstruierten Zahlenpaare mit ggT(α∗ , β∗ ) = 1. Es gilt: (i) (ii) (iii)

α∗ · β∗ = kgV(α, β) α∗ | α und β∗ | β ggT(α∗ , β∗ ) = 1.

(kgV = kleinstes gemeinsames Vielfaches)

Denn sei allgemein expq (m) der Exponent der Primzahl q in der Faktorisierung einer Zahl m (vor Satz 6.1.3 waren die Exponenten expq (p − 1) einfach e(q) genannt worden). Wenn expq (α) ≥ expq (β) gilt, dann gilt q - β, also q - ggT(αi−1 , βi−1 ) und q - βi . Daraus folgt einerseits expq (α∗ ) = expq (α), denn vom q-Anteil kann sich nichts herausheben, und andererseits exp q (β∗ ) = 0. Wenn expq (α) < expq (β) gilt, dann ist expq (α0 ) = expq (α) und expq (β0 ) = expq (β) − expq (α) > 0. Solange αi−1 und βi−1 beide noch q-Teiler besitzen, wird sich der Anteil bei αi verringern und bei βi vermehren, bis expq (α∗ ) = 0 und expq (β∗ ) = expq (β) erreicht ist. Auf Grund von (ii) sind die Elemente aα/α∗ und bβ/β∗ wohldefiniert; ihre Ordnungen sind α∗ bzw. β∗ . Auf Grund von (iii) sind diese Ordnungen teilerfremd, also hat das Produkt a ˜

=

(aα/α∗ ) · (bβ/β∗ )

die Ordnung α ˜ = α∗ · β∗ . Nach (i) und wegen β - α gilt α ˜ = kgV(α, β) > α. Also ist a ˜ ein Element mit größerer Ordnung als a. (Dass α ˜ ≤ p − 1 gilt, folgt aus dem Satz von Fermat.)

92


Beispiel: Wir betrachten noch einmal Z∗23 mit 22 Elementen. Oben haben wir bereits gesehen, dass 2 keine Primitivwurzel ist. Genauer gesagt, generiert 2 die folgende Untergruppe: h2i = {20 , 21 , 22 , 23 , 24 , 25 , 26 , 27 , 28 , 29 , 210 } = {1, 2, 4, 8, 16, 9, 18, 13, 3, 6, 12} der Ordnung 11. Mit a = 2 haben wir also den Startwert α = α0 = 11. Wählen wir nun eine Zahl b aus Z∗23 \h2i. Zumeist werden wir eine Ordnung ord (b) > 11 bekommen (und damit schon ord (b) = 22, denn die Ordnung von b teilt die Gruppenordnung). Wählen wir zufällig“ b = 22. Dann gilt ord (b) = 2 (denn es ” gilt f¨ ur jede ungerade Primzahl p, dass ord (p − 1) = 2 in Z∗p ). Wir haben also β = 2 und einen Startwert β0 = 2/ggT(11, 2) = 2. Offensichtlich ist die Folge hier schon stationär, denn ggT(2, 11) = 1, und wir können setzen: a ˜ = (211/11 ) · (222/2 ) = 44 ≡ 21(mod 23). So finden wir die Primitivwurzel 21 von Z∗23 . Da Z∗23 , wie wir gesehen haben, zehn Primitivwurzeln hat, sind alle Zahlen außerhalb von h2i ∪ {22} Primitivwurzeln modulo 23. Ende des Beispiels.

6.2

Diffie-Hellman-Schlu ¨ sselaustausch

Hier wird ein Problem gelöst, das bei der Secret-Key-Kryptographie auftritt. Alice und Bob wollen mit Hilfe eines geheimen Schl¨ ussels kommunizieren, haben diesen Schl¨ ussel aber noch nicht ausgetauscht. Sie können nicht zueinander reisen und die Verbindung zwischen ihnen ist unsicher. Das Diffie-Hellman-Protokoll erlaubt einen Schl¨ usselaustausch unter solchen Bedingungen. Es beruht nicht auf Faktorisierung, sondern auf dem Problem der (Berechnung von) diskreten Logarithmen. F¨ ur eine Primzahl p ist die prime Restklassengruppe Z∗p zyklisch von der Ordnung p−1. Sei g (ein Generator) eine feste Primitivwurzel modulo p. Aus Satz 6.1.2 wissen wir, dass genau Φ(p − 1) solche g existieren. Es gibt f¨ ur jede Zahl b ∈ {1, 2, . . . , p − 1} genau einen Exponenten a ∈ {0, 1, . . . , p − 2} mit b ≡ g a (mod p). Dieser Exponent heißt der diskrete Logarithmus von b zur Basis g (manchmal auch der Index von b, obwohl es vielleicht besser Hochindex hieße). Man schreibt a = log g (b) oder a = indg (b). Diese Definition lässt sich sofort verallgemeinern f¨ ur zyklische Gruppen G der Ordnung n: wenn g die Gruppe G erzeugt und b ∈ G gilt, dann gibt es eine eindeutige Zahl a ∈ {0, 1, . . . , n − 1} mit b = g a ; diese Zahl heißt der diskrete Logarithmus von b zur Basis g. Beispiele waren bereits in Kapitel 4 angegeben worden (siehe Ende von Abschnitt 4.2). Unter dem DL-Problem verstehen wir die Berechnung des diskreten Logarithmus a = log g (b) aus g, der Gruppenordnung n, und b. Das Diffie-Hellmann-Verfahren lässt sich in allen Gruppen anwenden, in denen das DL-Problem schwer, die Ausf¨ uhrung von Gruppenoperationen aber leicht ist. (Analog dazu hängt RSA davon ab, dass Faktorisieren schwer, Multiplizieren und Potenzieren aber leicht sind.) Es ist keineswegs in allen Gruppen schwer, zu logarithmieren. In der additiven Gruppe (Zn , +) ist beispielsweise das Logarithmieren so leicht wie der erweiterte euklidische Algorithmus2 . In der multiplikativen Gruppe (Z∗p , ·) (p prim) ist das Logarithmieren allerdings viel schwerer. Angenommen nun, dass Alice und Bob sich auf einen Schl¨ ussel K einigen wollen. K ist noch unbekannt und wird mit den folgenden Schritten berechnet. Zuerst einigen sich Alice und Bob auf eine Primzahl p und eine 2 Das

sieht man, wenn man obige Definitionen in additive Schreibweise bringt.


93

Primitivwurzel g modulo p mit 2 ≤ g ≤ p − 2. Diese beiden Zahlen können ruhig auch öffentlich bekannt werden. Alice wählt dann zufällig eine Zahl a ∈ {0, 1, . . . , p − 2} und berechnet A = g a mod p. Die Zahl A schickt sie an Bob, aber sie hält den Exponenten a geheim bei sich. Bob wählt eine Zahl b ∈ {0, 1, . . . , p − 2} zufällig und berechnet B = g b mod p. Er schickt B an Alice und hält b geheim. Es gilt nun: B a mod p = g ab mod p = Ab mod p. | {z }

(6.2)

K

Mit der Wahl K = g ab mod p können sowohl Alice als auch Bob K berechnen, denn Alice kann die linke Seite, d.h. B a mod p, von (6.2) berechnen,und Bob die rechte Seite, d.h. Ab mod p. Es wird jedoch behauptet, dass es f¨ ur jeden anderen, insbesondere f¨ ur Oscar, den Angreifer, praktisch unmöglich ist, den Schl¨ ussel K nur aus g, a, A, B zu berechnen. Beispiel: Sei p = 17, g = 3. Alice wählt a = 7, berechnet g a mod p = 11 und schickt A = 11 an Bob. Bob wählt b = 4, berechnet g b mod p = 13 und schickt B = 13 an Alice. Alice berechnet B a mod p = 4, Bob berechnet Ab mod p = 4. Der gemeinsame Schl¨ ussel ist K = 4. Um dieses Protokoll zu brechen, kann Oscar versuchen, zu lauschen. Er erfährt maximal die Zahlen p, g, A und B. Er muss den geheimen Schl¨ ussel K = g ab mod p berechnen. Dieses Problem heißt Diffie-HellmanProblem. Wenn Oscar in der Lage wäre, die Logarithmen a von A und b von B zu berechnen, dann könnte er sicherlich den Schl¨ ussel K berechnen. Das Diffie-Hellman-Verfahren beruht also entscheidend darauf, dass das Berechnen diskreter Logarithmen als schwierig angenommen wird. Ob auch umgekehrt die Lösung des Diffie-Hellman-Problems die Lösung des DL-Problems nach sich zieht3 , ist bislang unbekannt. Das DiffieHellman-Verfahren ist auch anderen Attacken, wie zum Beispiel dem Man-in-the-Middle-Angriff, gegen¨ uber sensitiv; entsprechende Vorsicht bei der Erzeugung geheimer Schl¨ ussel ist sicherlich angebracht. Man kann das Diffie-Hellman-Verfahren nicht nur in primen Restklassengruppen anwenden, sondern in allen Gruppen, in denen das DL-Problem schwer ist, die Gruppenoperationen aber leicht sind. (Es ist ganz leicht, obige Definitionen f¨ ur diesen Fall umzuschreiben.) Dies ist ein wichtiger Unterschied zwischen Diffie-Hellman (und anderen auf dem DL-Problem basierenden Verfahren) und RSA: während RSA grundsätzlich gebrochen wäre, wenn f¨ ur das Faktorisierungsproblem eine effiziente Lösung gefunden w¨ urde, könnten Diffie-Hellman und die anderen Verfahren im Prinzip noch auf andere Gruppen ausweichen“, wenn das DL-Problem im ” zahlentheoretischen Bereich sich – wider Erwarten – doch als relativ leicht lösbar herausstellen sollte. Aus diesem Grund gibt es zur Zeit sehr viel Forschung u ¨ber Gruppen, in denen das DL-Problem noch erheblich härter zu sein scheint als in Restklassen modulo p (z.B. in Punktgruppen elliptischer Kurven u ¨ber einem endlichen K¨ orper, aber auch in anderen exotischen“ Gruppen). ”

6.3

Das ElGamal-Kryptosystem

Technisch beruht das ElGamal-Kryptosystem auf dem gleichen Grundgedanken wie das Diffie-HellmanVerfahren, nämlich auf der angenommenen Schwierigkeit des DL-Problems, es handelt sich jedoch um ein 3 Ob

also die L¨ osung des DL-Problems die einzige Methode ist, das Diffie-Hellman-Problem zu l¨ osen.

94


Public-Key-Kryptosystem mit einem ähnlichen Anwendungsbereich wie RSA. Wir formulieren es hier nur f¨ ur die Restklassengruppe modulo einer Primzahl p, die Verallgemeinerung auf andere Gruppen bereitet aber keine Schwierigkeit. Kryptosystem 6.3.1 ElGamal-Kryptosystem Es seien p eine Primzahl und g ∈ Z∗p eine Primitivwurzel modulo p. Seien P = Z∗p , C = Z∗p × Z∗p , und K (der Schl¨ usselraum) gleich der Menge der Tupel {(p, g, a, A) | A ≡ g a (mod p)}. Das Tripel (p, g, A) ist der public key, die Zahl a ist der private key. F¨ ur einen Schl¨ ussel K = (p, g, a, A), einen Klartext x ∈ P und eine (geheime) zufällige Zahl k ∈ Zp−1 definieren wir Ver- und Entschl¨ usselung folgendermaßen: eK (x, k) dK (B, y)

= ( g k mod p , x·Ak mod p ) = y·(B a )−1 mod p,

mit (B, y) ∈ C.

6.3.1

Der Chiffretext (B, y) hängt sowohl vom Klartext x ab, als auch von einer Zufallszahl k, die vom Absender einer Nachricht gewählt und geheim gehalten wird. Das bedeutet, dass ein und derselbe Klartext bei zwei verschiedenen Verschl¨ usselungen durchaus zwei verschiedene Chiffretexte ergeben kann, was die Kryptanalyse (z.B. die Anwendung statistischer Tests) erschwert. Bei der Chiffrierung im ElGamal-System wird ein Klartext x zunächst durch Multiplikation mit Ak mas” kiert“ und ergibt dann den Teil-Chiffretext y. Der Wert g k wird als Teil B des Chiffretextes mitgeliefert. Der Chiffretext ist also ca. doppelt so groß wie der Klartext. Das ist als message expansion (Nachrichtenexpansion) bekannt. Bei der Dechiffrierung wird die Maske entfernt“, indem y durch Ak dividiert wird. ” Beispiel: Seien p = 2579 und g = 2, eine Primitivwurzel modulo 2579. Sei a = 765, also A = 2765 mod 2579 = 949. Der o¨ffentliche Schl¨ ussel ist mithin (2579, 2, 949). Nehmen wir an, dass Alice die Nachricht x = 1299 an Bob schicken möchte. Nehmen wir weiter an, dass sie die Zufallszahl k = 853 wählt. Danach berechnet sie: B y

= 2853 mod 2579 = 1299 · 949853 mod 2579

= =

435 2396.

Nachdem Bob den Chiffretext (435, 2396) erhalten hat, rechnet er folgendermaßen: x

= 2396 · (435765 )−1 mod 2579

=

1299

und (re)produziert damit den Klartext, den Alice ihm schicken wollte.

6.4

Effizienz des ElGamal-Verfahrens

Es folgt ein Effizienzvergleich zwischen dem RSA- und dem ElGamal-Verfahren. Die Entschl¨ usselung erfordert bei beiden Verfahren eine modulare Exponentiation. Beim RSA-Verfahren kann die Entschl¨ usselung


95

jedoch mit dem Chinesischen Restsatz maximal um einen Faktor 4 beschleunigt werden 4 . Die Verschl¨ usselung erfordert beim RSA-Verfahren eine modulare Exponentiation, beim ElGamal-Verfahren aber zwei. Dabei sind die beiden Moduln (n im ersten Fall und p im zweiten Fall) ungefähr von der gleichen Größenordnung. Die Werte bk mod p und g k mod p können allerdings auf Vorrat“ berechnet werden, weil sie ” unabhängig von der zu verschl¨ usselnden Nachricht x sind. Diese vorberechneten Werte m¨ ussen nur in einer sicheren Umgebung (z.B. auf einer Chipkarte) aufbewahrt werden. Dann benötigt eine Verschl¨ usselung nur eine Multiplikation modulo p, ist also effizienter als die Verschl¨ usselung im RSA-Verfahren. Ein wesentlicher Effizienznachteil des ElGamal-Verfahrens besteht in der Nachrichtenexpansion, wodurch der Schl¨ usseltext ca. doppelt so lang wird wie der Klartext. Ein wesentlicher Vorteil ist dagegen, dass das ElGamal-Verfahren, im Gegensatz zum RSA-Verfahren, ein Ausweichen“ auf andere Gruppen erlaubt, die ” nicht direkt mit den Restklassen modulo einer Primzahl zu tun haben, sollte es sich herausstellen, dass auf diesen Restklassen die zu Grunde liegenden zahlentheoretischen Probleme (das DL-Problem bzw. das Faktorisierungsproblem) wider Erwarten doch algorithmisch einfach zu lösen sind. Schließlich sei erwähnt, dass das ElGamal-Verfahren und das Diffie-Hellman-Problem (Abschnitt 6.2) gleich schwer zu brechen sind: Angenommen, Oscar kann das Diffie-Hellman-Problem lösen, d.h., aus p, g, A, B den geheimen Schl¨ ussel g ab mod p berechnen. Oscar kennt einen öffentlichen ElGamal-Schl¨ ussel (p, g, A) und möchte den ElGamalSchl¨ usseltext (B, y) entschl¨ usseln. Er kann dann K = g ab mod p bestimmen und hiermit aus (B, y) den Klartext x folgendermaßen rekonstruieren: x = K −1 y mod p. Angenommen, dass Oscar umgekehrt das ElGamal-Verfahren brechen kann. Oscar hat p, g, A, B und möchte K = g ab mod p ermitteln. Dazu wendet er das ElGamal-Entschl¨ usselungsverfahren mit y = 1 an und erhält eine Nachricht x. Er weiß, dass 1 = g ab x mod p ist. Daher kann er g ab = x−1 mod p berechnen und hat K = g ab mod p gefunden. Wer diskrete Logarithmen berechnen kann, ist in der Lage, sowohl Diffie-Hellman als auch ElGamal zu brechen. F¨ ur ElGamal sieht man das folgendermaßen: Wenn Oscar das DL-Problem lösen kann, kann er aus A den geheimen Exponenten a ermitteln und aus einem ElGamal-Chiffretext (B, y) dann x = y·(B a )−1 mod p berechnen. Wir befassen uns deswegen im nächsten Abschnitt ausf¨ uhrlicher mit (relativ) effizienten Algorithmen zur Lösung des DL-Problems.

6.5

Algorithmen zur Berechnung diskreter Logarithmen

Gegeben sei eine endliche, zyklische Gruppe G mit |G| = n und neutralem Element 1 und einem erzeugenden Element g ∈ G. Wir gehen davon aus, dass n und g bekannt sind. Sei a irgend ein Gruppenelement. Das DL-Problem besteht darin, die kleinste nicht negative ganze Zahl x zu finden, f¨ ur die gilt: a = gx ,

d.h.:

x = indg (a) bzw. x = logg (a).

(6.3)

Das Brute-Force“-Verfahren heißt hier Enumeration (Aufzählen): dabei werden alle Zahlen x von 0 bis ” maximal n − 1 der Reihe nach gepr¨ uft, ob sie (6.3) erf¨ ullen. Beispiel: Um den diskreten Logarithmus von 3 zur Basis 5 in Z∗2017 zu bestimmen, braucht man im Enumerationsverfahren 1029 Multiplikationen modulo 2017 und 1030 Vergleiche, denn es gilt 5 1030 ≡ 3 (mod 2017). Man braucht allerdings nur wenig Speicherplatz: nämlich Platz f¨ ur die drei Gruppenelemente g, a und x bzw. ax . Ende des Beispiels. 4 Es

ist nicht ganz trivial, eine solche Beschleunigung n¨ aherungsweise zu implementieren.

96


Wir stellen zunächst einen Satz vor, der einen Zusammenhang zwischen Kongruenzen auf Potenzen und Kongruenzen auf den Hochzahlen (den Indices, oder den Logarithmen) herstellt, denn einige Algorithmen machen davon Gebrauch. Sei die Gruppe (Z∗n , ·) zyklisch und sei g eine Primitivwurzel von Z∗n , d.h., Z∗n = hgi. ¨ ber diskrete Logarithmen Satz 6.5.1 Basissatz u Es gilt g x ≡ g y (mod n) genau dann, wenn x ≡ y (mod Φ(n)). Beweis: (⇒:) Wegen |hgi| = Φ(n) ist die Folge der Potenzen von g periodisch mit der Periode Φ(n) = |Z ∗n | (siehe auch Korollar 1.5.4). Deswegen folgt aus der Kongruenz g x ≡ g y (mod n) die Kongruenz x ≡ y (mod Φ(n)). (⇐:) Sei x ≡ y (mod Φ(n)). Daraus folgt x = y + k·Φ(n) f¨ ur ein k ∈ Z, und es gilt: gx

≡

( wegen x = y + k·Φ(n) ) g y+k·Φ(n) (mod n) ≡ ( Umgruppieren ) g y · (g Φ(n) )k (mod n) ≡ ( Euler ) gy (mod n),

insgesamt also g x ≡ g y (mod n).

6.5.1

6.5.1

Der Babystep-Giantstep-Algorithmus von Shanks

Bei diesem Verfahren benötigt man viel weniger Gruppenoperationen, aber viel mehr Speicherplatz als beim √ Enumerationsverfahren. Man setzt m = d ne und dividiert x mit Rest durch m: x = q · m + r, 0 ≤ r < m. Dabei kann auch q auf q < m eingeschränkt werden, weil gilt: x ≤ n − 1 ≤ m2 − 1 = (m − 1)m + (m − 1); jedes x zwischen 0 und n − 1 kann so dargestellt werden. Der Babystep-Giantstep-Algorithmus berechnet q und r. Dazu erzeugt der Algorithmus im Prinzip zwei Listen der Länge jeweils m, die Paare folgender Form enthalten: Liste 1 (die Giantsteps“): ” Liste 2 (die Babysteps“): ”

Paare (q, dq ) mit 0 ≤ q < m und d = g m ; Paare (r, a · g −r ) mit 0 ≤ r < m.

Findet man in den beiden Listen zwei Paare, die zwei gleiche zweite Einträge haben, so ist man fertig (mit x = qm + r), weil dann gilt: dq = a · g −r , d.h., g qm = a · g −r , d.h., g qm+r = a. Andererseits findet man in jedem Fall zwei Paare mit gleichen zweiten Einträgen, denn jedes mögliche x liegt zwischen 0 und n − 1, hat daher eine Darstellung x = qm + r mit 0 ≤ q, r < m, und alle solche Darstellungen


↓

97

↓ ↓ ↓ ↑

proc BabyStep GiantStep(G, n, g , a, x); √ begin m := d ne; d := g m ; for q := 0 to m − 1 do berechne dq endfor; L1 := bez¨ uglich der zweiten Koordinate sortierte Liste der m Paare (q, dq ); for r := 0 to m − 1 do berechne a · g −r endfor; L2 := bez¨ uglich der zweiten Koordinate sortierte Liste der m Paare (r, a · g −r ); finde zwei Paare (q, z) und (r, z) in L1 bzw. L2 mit gleicher zweiter Komponente; x := (q · m + r) mod n end; Abbildung 6.1: Babystep-Giantstep-Algorithmus zur Berechnung des diskreten Logarithmus. werden durch den Algorithmus produziert. Der Pseudocode ist in Abbildung 6.1 gezeigt (weil nach zweiten Einträgen verglichen wird, werden die Listen entsprechend sortiert). Beispiel: Wir betrachten (Z∗809 , ·). Da 809 prim ist, gilt n = |Z∗809 | = 808. Das Element g = 3 ist eine Primitivwurzel. Gegeben sei die Aufgabe, log 3 (525) in dieser Gruppe zu berechnen. Wir berechnen zunächst √ m = d 808e = 29 und d = 329 mod 809 = 99. Die erste Liste enthält die Zahlen (q, 99q mod 809), f¨ ur 0 ≤ q ≤ 28: (0, 1) (8, 207) (16, 781) (24, 676)

(1, 99) (9, 268) (17, 464) (25, 586)

(2, 93) (10, 644) (18, 632) (26, 575)

(3, 308) (11, 654) (19, 275) (27, 295)

(4, 559) (12, 26) (20, 528) (28, 81) ,

(5, 329) (13, 147) (21, 496)

(6, 211) (14, 800) (22, 564)

(7, 664) (15, 727) (23, 15)

die zweite Liste enthält die Zahlen (r, (525 · (3r )−1 ) mod 809), f¨ ur 0 ≤ r ≤ 28: (0, 525) (8, 724) (16, 399) (24, 259)

(1, 175) (9, 511) (17, 133) (25, 356)

(2, 328) (10, 440) (18, 314) (26, 658)

(3, 379) (11, 686) (19, 644) (27, 489)

(4, 396) (12, 768) (20, 754) (28, 163) ,

(5, 132) (13, 256) (21, 521)

(6, 44) (14, 355) (22, 713)

(7, 554) (15, 388) (23, 777)

und seien L1 und L2 die sortierten Versionen dieser beiden Listen. Geht man L1 und L2 simultan durch, findet man ein Paar (10, 644), das in L1 liegt, und ein Paar (19, 644) mit der gleichen zweiten Komponente, das in L2 liegt. Wir berechnen also x = (29 · 10 + 19) mod 808 = 309,

mit der Probe: 3309 ≡ 525 (mod 809).

Also ist x = log3 (525) = 309 gefunden. Ende des Beispiels. Der Algorithmus kann noch optimiert oder verändert werden. Beispielsweise kann man zuerst die Menge der Babysteps berechnen: BS = {(r, a · g −r ) | 0 ≤ r < m}. Findet man ein Paar (1, r), so kann man x = r setzen und ist fertig (da ja 1 = a · g −x gleichbedeutend mit g x = a ist). Andernfalls berechnet man d = g m und weiter, ob f¨ ur q = 1, 2, . . . , m − 1 ein Paar (r, dq ) in BS

98


vorkommt. Sobald dies der Fall ist, gilt a · g −r = dq = g qm , und man darf wieder √ x = qm + r setzen. Das n) in Bezug auf Zeit und asymptotische Verhalten des Algorithmus ist jedoch in all solchen Variationen O( √ O( n) bez¨ uglich Speicherplatz. Er ist also f¨ ur (sehr) große n undurchf¨ uhrbar.

6.5.2

Der Pollard-Rho-Algorithmus zur Berechnung diskreter Logarithmen

¨ Ahnlich wie beim entsprechenden Algorithmus zur Faktorisierung, bilden wir eine Folge b 1 , b2 , . . . (vorher x1 , x2 , . . . genannt) von Elementen von G. Sobald diese Sequenz eine Wiederholung, d.h., eine Kollision der Form bi = bj mit i < j, aufweist, können wir (hoffentlich) das DL-Problem lösen. Genau wie vorher suchen wir Kollisionen der Art bi = b2i , um Zeit und Speicherplatz zu sparen. Wir suchen wieder die Zahl x = logg (a) in einer Gruppe der Ordnung n. Wir können x auch als ein Element von Zn auffassen. • 2 ∪G • 3 eine Partition in ungef¨ Sei G = G1 ∪G ahr Iterationsfunktion  hgi × Zn × Zn → hgi × Zn × Zn       (ab, y, z + 1) f:  (b2 , 2y, 2z) (b, y, z) → 7     (gb, y + 1, z)

gleich große Mengen G1 , G2 und G3 . Wir definieren eine

falls b ∈ G1 falls b ∈ G2 falls b ∈ G3 .

F¨ ur jedes durch f (ab-)gebildete Tripel (b, y, z) wollen wir die Eigenschaft b = g y az

(6.4)

sicherstellen. Wir fangen mit einem Tripel an, das diese Eigenschaft hat, z.B. mit (1, 0, 0); und man kann unschwer sehen, dass f so aufgebaut ist, dass (6.4) nicht verletzt wird, d.h., es gilt: wenn (b, y, z) die Eigenschaft (6.4) hat, dann auch f (b, y, z). Im Pollard-Rho-DL-Algorithmus werden die Tripel (bi , yi , zi ) und (b2i , y2i , z2i ) verglichen, bis ein Wert i ≥ 1 mit bi = b2i gefunden ist. Dann gilt – wegen (6.4) – nämlich g yi azi = g y2i az2i , und es folgt: g yi azi = g y2i az2i

⇒ ( da x = logg (a), also g x = a ) g yi +x·zi = g y2i +x·z2i ⇒ ( wie in Satz 6.5.1, weil g die Ordnung n hat ) yi + x·zi ≡ y2i + x·z2i (mod n) ⇒ ( Umschreiben ) x·(z2i − zi ) ≡ yi − y2i (mod n).

Falls jetzt ggT(y2i − yi , n) = 1 gilt, kann man die letzte Zeile nach x auflösen und x = (yi − y2i ) · (z2i − zi )−1 mod n berechnen. Der Algorithmus ist insgesamt in Abbildung 6.2 dargestellt. Beispiel: Dieses Beispiel zeigt gleichzeitig, dass der Algorithmus auch dann funktioniert, wenn g nicht unbedingt die ganze Gruppe generiert, aber bekannt ist, dass a in hgi liegt. Betrachte p = 809. Das Element


99

↓ ↓ ↓

function f (b, y , z); begin if b ∈ G1 → b ∈ G2 → b ∈ G3 → fi end f ;

return (ab, y, (z + 1) mod n) return (b2 , 2y mod n, 2z mod n) return (gb, y + 1, z)

begin MAIN: Pollard-Rho-DL • 2 ∪G • 3; bilde eine Partition G = G1 ∪G 0 0 0 (b, y, z) := (1, 0, 0); (b , y , z ) := f (b, y, z); do b 6= b0 → (b, y, z) := f (b, y, z); (b0 , y 0 , z 0 ) := f (b0 , y 0 , z 0 ); (b0 , y 0 , z 0 ) := f (b0 , y 0 , z 0 ) od; if ggT(z 0 − z, n) = 1 → return ((y − y 0 )(z 0 − z)−1 mod n) else → return FAILURE“ f i ” end; Abbildung 6.2: Algorithmus Pollard-Rho-DL zur Berechnung des diskreten Logarithmus. g = 89 hat in Z∗809 die Ordnung n = 101. Das Element a = 618 ist in der Untergruppe h89i von Z ∗809 . Wir berechnen x = log89 (618) durch eine Anwendung des Algorithmus Pollard-Rho-DL (Abbildung 6.2). Zuerst definieren wir die Mengen Gi folgendermaßen: G1

=

{b ∈ Z809 | b ≡ 1 (mod 3)}

G2

=

{b ∈ Z809 | b ≡ 0 (mod 3)}

G3

=

{b ∈ Z809 | b ≡ 2 (mod 3)}.

Es wurde daf¨ ur Sorge getragen, dass 1 nicht in G2 liegt, weil die Tripelfolge sonst stationär bleiben w¨ urde. Man bekommt hier sukzessive die folgenden Tripel: i 1 2 3 4 5 6 7 8 9 10 11

(bi , yi , zi ) (618, 0, 1) (76, 0, 2) (46, 0, 3) (113, 0, 4) (349, 1, 4) (488, 1, 5) (555, 2, 5) (605, 4, 10) (451, 5, 10) (422, 5, 11)

(b2i , y2i , z2i ) (76, 0, 2) (113, 0, 4) (488, 1, 5) (605, 4, 10) (422, 5, 11) (683, 7, 11) (451, 8, 12) (344, 9, 13) (112, 11, 13) (422, 11, 15) ...

Die erste Kollision passiert also bei den Indices i = 10, 2i = 20. Die aufzulösende Gleichung ergibt sich zu x = (11 − 5) · (11 − 15)−1 mod 101 = 6 · 25 mod 101 = 49.

100


Der diskrete Logarithmus von 618 zur Basis 89 modulo 809 ist deswegen 49. Ende des Beispiels. √ Der Algorithmus hat asymptotisches Zeitverhalten O( n) und benötigt konstanten Speicherplatz, ist also viel speichereffizienter als der Algorithmus von Shanks. Der FAILURE“-Fall ist u ¨brigens weniger schlimm, ” als es klingt. Wenn der ggT, der ungleich 1 ist und deswegen zu diesem Fall f¨ uhrt, klein ist, kann man die richtige Lösung durch Ausprobieren herausfinden. Geht das nicht, kann der Algorithmus mit einem anderen Startwert als (1, 0, 0) wiederholt werden.

6.5.3

Der Pohlig-Hellman-Algorithmus

Wir betrachten weiterhin eine zyklische Gruppe G der Ordnung |G| = n, einen Generator g von G, ein Element a ∈ G, und das Problem der Berechnung der kleinsten nat¨ urlichen Zahl x mit a = g x , also x = logg (a). Der Pohlig-Hellman-Algorithmus setzt voraus, dass die Faktorisierung n = Πp | n pe(p) von n bekannt ist. Er berechnet x in diesem Fall schneller als eins der beiden bislang betrachteten Verfahren. Zunächst kann man das Problem reduzieren, indem man die Faktoren pe(p) von n getrennt betrachtet. Denn setzen wir np = n/pe(p) , gp = g np und ap = anp , dann ist pe(p) die Ordnung von gp und es gilt gpx = ap . Das Element ap liegt also in der von gp erzeugten zyklischen Untergruppe von G. Deswegen existiert der diskrete Logarithmus x(p) von a p zur Basis gp , d.h.: x(p) ur jeden Primteiler p von n, kann man x, den diskreten gp = ap . Kennt man diesen, d.h., die Zahl x(p), f¨ Logarithmus von a zur Basis g, auf Grund des folgenden Satzes berechnen: Satz 6.5.2 Mit den Bezeichnungen wie oben sei x ∈ Zn L¨ osung der simultanen Kongruenz x ≡ x(p) (mod pe(p) ), u ¨ber alle Primteiler p von n. Dann gilt x = log g (a). Beweis: F¨ ur einen Primteiler p von n gilt (g −x · a)np = gp−x(p) · ap = 1. Daher ist die Ordnung des Elements g −x ·a ein Teiler von np . Da dies f¨ ur alle Primteiler p von n gilt, teilt die Ordnung des Elements g −x · a auch den größten gemeinsamen Teiler aller np , d.h., die Zahl 1. Die Ordnung 6.5.2 von g −x · a ist also gleich 1, und somit gilt a = g x . Man kann also x berechnen, indem man zuerst alle x(p) bestimmt und danach den Chinesischen Restsatz p anwendet. Zur Berechnung einer Zahl x(p) braucht einer der vorher genannten Algorithmen O( pe(p) ) viele Schritte. Allein durch diese Reduktion ist also, besonders wenn n = |G| aus vielen (und auch noch relativ kleinen) Primzahlen zusammengesetzt ist, schon viel gegen¨ uber einer direkten Anwendung des Shanks- oder des Pollard-Rho-DL-Algorithmus auf G gewonnen. Beispiel: G sei die prime Restklassengruppe modulo 2017. Ihre Ordnung ist 2016 = 2 5 · 32 · 7. Wir wollen x = log5 (3) in dieser Gruppe bestimmen (aus Abschnitt 6.5 wissen wir schon, dass 1030 herauskommen m¨ usste). Nach obiger Methode werden aus den Parametern g = 5 und a = 3 drei Zahlen x(2), x(3) und


101

x(7) in Untergruppen der Ordnung 25 = 32, 32 = 9 und 7 von G berechnet. Wie man das macht, wird erst zwar erst im Folgenden beschrieben, wir nehmen aber die Ergebnisse vorweg, um zu zeigen, wie Satz 6.5.2 angewendet wird: x(2) = 6, x(3) = 4 und x(7) = 1. Dann erhalten wir laut Satz 6.5.2 x als Lösung der simultanen Kongruenz x ≡ 6 (mod 32) , x ≡ 4 (mod 9) , x ≡ 1 (mod 7). Nach bekannter Art und Weise (Abschnitt 5.1.1) kann nun x = 1030 ausgerechnet werden. (Vorl¨ aufiges) Ende des Beispiels. Das verbleibende Problem ist der Fall n = pe , dass also n eine Primzahlpotenz ist. Wir suchen nun x mit g x = a in einer Gruppe G der Ordnung n = pe . Da x < pe gilt, kann man schreiben: x = x0 + x1 p + . . . + xe−1 pe−1 mit 0 ≤ xi < p und 0 ≤ i ≤ e − 1.

(6.5)

Jeder Koeffizient xi kann, wie wir gleich sehen werden, als Lösung eines DL-Problems in einer gewissen Gruppe der Ordnung p berechnet werden. Insgesamt hat man dann e DL-Probleme √ in Gruppen der Ordnung √ p zu lösen, der asymptotische Zeitbedarf liegt also bei O(e · p) (und nicht bei O( pe ), was der Fall wäre, wenn eine der Methoden Shanks oder Pollard-Rho-DL direkt auf G mit der Ordnung p e angewendet w¨ urde). Aus g x = a, der gew¨ unschten Beziehung, ergibt sich durch Potenzieren: g x·p

e−1

= ap

e−1

,

und nach (6.5) gilt: x · pe−1 = x0 · pe−1 + pe · (x1 + x2 p + . . . + xe−1 pe−2 ). Aus den beiden zuletzt genannten Gleichungen und dem Satz von Fermat erhält man: (g p

e−1

)x 0 = a p

e−1

,

(6.6)

denn die Gruppenordnung ist pe . Laut (6.6) ist x0 Lösung eines DL-Problems in einer Gruppe der Orde−1 nung p, weil g p die Ordnung p hat. Die anderen Koeffizienten berechnet man iterativ. Angenommen, x0 , x1 , . . . , xi−1 sind schon bekannt (i ≥ 1). Es gilt g xi p

i

+...+xe−1 pe−1

= a · g −(x0 +x1 p+...+xi−1 p | {z dies sei ai genannt

Potenzieren mit pe−1−i liefert (g p

e−1

)xi = (ai )p

e−1−i

i−1

)

}

.

, 0 < i ≤ e − 1.

(6.7)

Mit der Festsetzung a0 = a ist diese Gleichung f¨ ur i = 0 konsistent mit Gleichung (6.6). Fortsetzung des Beispiels: Wir haben g = 5, a = 3 und n = 2016 = 25 · 32 · 7. Setzen wir p1 = 2, p2 = 3 und p3 = 7. Mit den Bezeichnungen weiter oben (vor Satz 6.5.2) ist np1 = 2016/25 = 32 · 7, gp1 = 53

2

·7

und ap1 = 33

2

·7

; ebenso: np2 = 2016/32 = 25 · 7, usw.

102


Die Zahl x(2) ist mithin eine Lösung der Kongruenz (53

2

·7 x(2)

)

≡ 33

2

·7

(mod 2017), d.h., nach Ausrechnen: 500x(2) ≡ 913 (mod 2017).

Um diese Kongruenz zu lösen, wenden wir die zuletzt beschriebenen Konstruktionen mit Elementen gb = 500 und b a = 913 an. Wir wissen schon, dass gb eine Untergruppe der Ordnung 2 5 = 32 von Z∗2017 erzeugt. Weil f¨ ur die erste Primzahl p der Exponent 5 ist, setzen wir zunächst p = 2, e = 5 und schreiben: x(2) = x0 (2) + x1 (2) · 2 + x2 (2) · 22 + x3 (2) · 23 + x4 (2) · 24 , genau wie oben (angewendet auf x(2), mit e−1 = 4). Den Wert x0 (2) berechnen wir aus der Gleichung (6.6), die hier folgende Form annimmt: 2016x0 (2) ≡ 1 (mod 2017),

4

4

denn es gilt: 2016 = 5002 mod 2017 und 1 = 9132 mod 2017.

Damit ist x0 (2) = 0, und es folgt a1 = 913. Den Wert x1 (2) berechnen wir aus der Gleichung (6.7), die jetzt folgende Form annimmt: 2016x1 (2) ≡ 2016 (mod 2017),

4

denn es gilt: 2016 = 5002 mod 2017 und 2016 = 9132

4−1

mod 2017.

Damit ist x1 (2) = 1. So fortfahrend, ergeben sich x2 (2) = 1, x3 (2) = 0 und x4 (2) = 0. Damit kann man x(2) ausrechnen: x(2) = (0 + 1·2 + 1·22 + 0·23 + 0·24 ), also x(2) = 6 . Zur Probe findet man, dass 5006 modulo 2017 tatsächlich kongruent zu 913 modulo 2017 ist. F¨ ur x(3) betrachten wir die Kongruenz (52

5

·7 x(3)

)

≡ 52

5

·7

(mod 2017), d.h., nach Ausrechnen, 576x(3) ≡ 1933 (mod 2017),

und machen den Ansatz x(3) = x0 (3) + x1 (3) · 3. Auf ähnliche Weise erhalten wir zuerst x0 (3) = 1, dann x1 (3) = 1 und somit x(3) = 4 . Schließlich wird analog x(7) = 1 ausgerechnet. Aus den drei eingekasteten Ergebnissen ergibt sich eine simultane Kongruenz, die bereits betrachtet worden ist und die Lösung x = 1030 hat. (Endg¨ ultiges) Ende des Beispiels. √ Die Laufzeit des Pohlig-Hellman-Algorithmus wird offenbar dominiert von p, wobei p die größte Primzahl in der Faktorisierung von n ist. Man √ tut also gut daran, Zahlen n zu wählen, in deren Faktorzerlegung auch große Primzahlen (mindestens nahe n) vorkommen.

6.5.4

Die Index-Calculus-Methode

In dieser Methode wird, ganz ähnlich wie beim Faktorisierungsansatz durch das Quadratische Sieb (siehe Abschnitt 5.5), eine Faktorbasis benutzt. Die Methode funktioniert – im Gegensatz zu den bislang vorgestellten Algorithmen – speziell nur auf Gruppen Z∗n , weil von der Primzahlzerlegung der Gruppenelemente (nicht der Gruppenordnung) Gebrauch gemacht wird. In diesem Spezialfall ist die Methode aber schneller als der Algorithmus von Pohlig-Hellman.


103

Des Weiteren wird vorausgesetzt, dass Z∗n zyklisch ist. Das ist z.B. der Fall, wenn n = p eine Primzahl ist5 . Sei also n = p eine Primzahl und sei g eine Primitivwurzel modulo p, d.h., ein Generator der Gruppe Z ∗p . Sei auch a wieder ein Element in Z∗p , dessen diskreten Logarithmus x = log g (a) wir gerne berechnen möchten. Sei B = {p1 , p2 , . . . , pB } (die Faktorbasis) eine Menge von kleinen“ Primzahlen mit pi < p f¨ ur alle 1 ≤ i ≤ B. Der Index-Calculus-Algorithmus ” besteht aus zwei Phasen: • Erste Phase (pre-processing): Wir suchen (und finden hoffentlich auch) die Logarithmen (zur Basis g) aller Elemente pi von B. • Zweite Phase (main): Mit der Kenntnis der Logarithmen aller pi versuchen wir, den Logarithmus von a zu bestimmen. Sei C ein wenig größer als B, z.B. C = B + 10. In Phase 1 des Algorithmus werden C Kongruenzen modulo p konstruiert, die die folgende Form haben: g zj

y

y

y

p11,j p22,j . . . pBB,j (mod p) ,

≡

f¨ ur geeignete Zahlen zj und f¨ ur 1 ≤ j ≤ C. Unter Ausnutzung von Satz 6.5.1 und wegen Φ(p) = p−1 können diese Kongruenzen äquivalent auch so geschrieben werden: zj

≡

y1,j logg (p1 ) + y2,j logg (p2 ) + . . . + yB,j logg (pB ) (mod p − 1) ,

f¨ ur 1 ≤ j ≤ C. Dies sind insgesamt C Kongruenzen in B Unbekannten (nämlich den gesuchten Logarithmen logg (pi ) f¨ ur 1 ≤ i ≤ B), so dass man hoffen darf, dass es eine eindeutige Lösung modulo p gibt. Man kann z.B. versuchen, dieses System von Kongruenzen durch einen geeignet modifizierten Gauß-Algorithmus zu lösen. Wie können C Kongruenzen dieser Art erzeugt werden? Eine einfache Methode ist die Folgende: man wählt eine Zufallszahl z, berechnet g z mod p und entscheidet (z.B. durch Probedivision), ob alle Faktoren von g z mod p in B liegen; wenn ja, ist eine Kongruenz gefunden und z wird zu den Zahlen z 1 , z2 , . . . hinzugef¨ ugt, wenn nein, oder wenn bis zu diesem Zeitpunkt weniger als C Kongruenzen gefunden worden sind, wird eine neue Zufallszahl z ausprobiert. In Phase 2 nehmen wir an, dass wir die diskreten Logarithmen log g (pi ) aller pi ∈ B bereits kennen, 1 ≤ i ≤ B. Wir berechnen den Logarithmus logg (a) durch einen Trial-and-Error-Ansatz. Dazu wird eine Zahl s in {1, 2, . . . , p − 2} zufällig gewählt. Wir berechnen c = a · g s mod p. Jetzt versuchen wir, c u ¨ber der Faktorbasis B zu faktorisieren. Gelingt das, bekommen wir eine Kongruenz der Form a · gs

≡

pv11 pv22 . . . pvBB (mod p) ,

5 Man kann allgemein charakterisieren, wann Z∗ zyklisch ist: das ist genau dann der Fall, wenn n = 2 oder n = 4 oder n = p e n oder n = 2pe , wobei p eine ungerade Primzahl ist und e eine ganze Zahl ≥ 1 ist. Der Beweis dieser Tatsache ist elementar, aber nicht ganz einfach.

104


die äquivalent so geschrieben werden kann: logg (a) + s

≡

v1 logg (p1 ) + v2 logg (p2 ) + . . . + vB logg (pB ) (mod p − 1) .

In dieser Kongruenz sind alle Terme außer x = log g (a) bekannt, man kann sie also leicht nach log g (a) auflösen und dadurch x errechnen. Beispiel: Sei p die Primzahl 10007. Die Zahl g = 5 ist eine Primitivwurzel von Z∗10007 . Sei a = 9451. Wir suchen also (das kleinste nichtnegative) x mit 5x ≡ 9451 (mod 10007). Die erste Phase ist unabhängig von a. Wir betrachten die Faktorbasis B = {2, 3, 5, 7}. Der Logarithmus von 5 zur Basis 5 ist nat¨ urlich 1, also benötigen wir noch drei Logarithmen, nämlich die von 2, 3 und 7. Um C ≥ 3 Kongruenzen aufzustellen, wählen wir in Phase 1 mindestens drei Zahlen z1 , z2 und z3 . Angenommen, wir wählen zufällig“ ” z1 = 4036, z2 = 5136, z3 = 9865. Wir berechnen 54036 mod 10007 55136 mod 10007 59865 mod 10007

= = =

42 54 189

= 2·3·7 = 2 · 33 = 33 · 7

und freuen uns, dass alle Faktoren in B liegen. Nach Satz 6.5.1 sind diese drei Gleichungen äquivalent zu: log5 (2) + log5 (3) + log5 (7) log5 (2) + 3· log5 (3) 3· log5 (3) + log5 (7)

≡ 4063 (mod 10006) ≡ 5136 (mod 10006) ≡ 9865 (mod 10006).

Nun haben wir drei Kongruenzen in drei Unbekannten, und es gibt zufällig“ eine eindeutige Lösung modulo ” 10006, nämlich log5 (2) = 6578 , log5 (3) = 6190 , log5 (7) = 1301 . Damit ist die Phase 1 abgeschlossen. In Phase 2 versuchen wir, den Logarithmus x von a = 9451 zu finden. Wir wählen zufällig“ s = 7736, berechnen ” 9451 · 57736 mod 10007 = 8400 = 24 · 31 · 52 · 71 und freuen uns auf ein Neues, dass alle Faktoren in B liegen. Jetzt rechnen wir: log5 (9451)

= (4 · log5 (2) + log5 (3) + 2 · log5 (5) + log5 (7) − s) mod 10006 = (4 · 6578 + 6190 + 2 · 1 + 1301 − 7736) mod 10006 = 6057 .

Die Probe ergibt 56057 ≡ 9451 (mod 10007), wir haben also x = log 5 (9451) = 6057 gefunden.


105

Zur Analyse der Laufzeit dieses Algorithmus: Definiere f¨ ur reelle Zahlen n, u, v, wobei n > e (hier ist e ≈ 2, 71828 die Eulersche Zahl): Ln [u, v]

=

exp(v(log n)u (log log n)1−u ).

Dann gilt Ln [0, v] und Ln [1, v]

= =

exp(v(log n)0 (log log n)1 ) = (log n)v exp(v(log n)1 (log log n)0 ) = exp(v log n).

Hat also ein Algorithmus, der die Zahl n als Eingabe erhält, die Laufzeit Ln [0, v], ist diese polynomiell, hat er die Laufzeit Ln [1, v], ist sie exponentiell. Hat ein Algorithmus die Laufzeit Ln [u, v], f¨ ur ein u, das echt zwischen 0 und 1 liegt, ist sie subexponentiell. Man kann durch eine etwas längerwierige Untersuchung (mit einigen vereinfachenden Annahmen) zeigen, dass die Index-Calculus-Methode, ebenso wie das Quadratische Sieb, im Wesentlichen eine subexponentielle Laufzeit hat, die als Lp [1/2, c + o(1)] abgeschätzt werden kann (wobei p die eingegebene Primzahl ist, c eine implementierungsabhängige Konstante ist, und v = c + o(1) ungefähr bedeutet: der Parameter v wird höchstens minimal größer als c) – also eine sehr gute Performanz, die auch in der Praxis bestätigt wird. Ein Nachteil der Index-Calculus-Methode ist ihre Anhängigkeit von der Zerlegung von Gruppenelementen in Primfaktoren. Es ist noch nicht gelungen, eine generische Variante (will heißen: eine, die auf beliebigen Gruppen anwendbar ist) dieses Algorithmus zu finden.

106


Kapitel 7

Hashfunktionen und Signaturschemata ¨ Mit einer digitalen Unterschrift (digitale Signatur) soll etwas Ahnliches bewirkt werden wie mit einer Unterschrift im u ¨blichen Sinn. Wenn Alice zum Beispiel bei einer Bank Geld abheben möchte, dann soll sie (als Bedingung der Bank) ein Dokument unterzeichnen, auf Grund dessen die Bank später gegebenenfalls beweisen kann, dass Alice die Abhebung tatsächlich autorisiert hat. Es ist dazu nötig, dass Alices Unterschrift auch von Dritten (z.B. von einem Richter) verifiziert werden kann. Wir werden in Abschnitt 7.2 sehen, wie Public-Key-Kryptographie zu diesem Zweck eingesetzt werden kann. Unter Umständen sind die Dokumente, die unterzeichnet werden sollen, recht lang (z.B. umständliche Kaufverträge). Eine Unterschrift ist jedoch nur kurz. Im nicht-digitalen Bereich unterzeichnet man zum Beispiel bei wichtigen Dokumenten jede Seite extra, und manchmal sogar einzelne besonders wichtige Stellen im Dokument. Im digitalen Bereich zieht man kryptographische Hashfunktionen heran, die die Eigenschaft haben, dass sie einen (längeren) Text durch einen (k¨ urzeren) Text, kryptographisch gesehen, eindeutig charakterisieren. Solche Funktionen werden u.a. als Hilfsmittel f¨ ur digitale Signaturen eingesetzt. Wir besprechen sie daher zuerst, in Abschnitt 7.1.

7.1

Kryptographische Hashfunktionen

Eine Hashfunktion ist eine Abbildung h : Σ ∗ → Σl ,

l ∈ N,

die beliebig lange Wörter (mit Buchstaben aus einem endlichen, nicht leeren Alphabet Σ) auf Wörter der festen Länge l abbildet. Eine solche Funktion kann unter den gegeben Voraussetzungen nicht injektiv sein. Beispiel: Die Funktion, die einer Zahl k die 0 zuordnet, wenn k gerade ist, und die 1, wenn k ungerade ist, ist eine Hashfunktion. Die Quersummenfunktion (von Dezimalzahlen) ist keine Hashfunktion, da die Quersumme nach oben nicht beschränkt ist und daher nicht Werte in einer endlichen Menge Σl annehmen kann. 107

108


Eine Kompressionsfunktion ist eine Abbildung h : Σ m → Σl ,

m, l ∈ N, m > l,

die Wörter der Länge m auf (k¨ urzere) Wörter der Länge l abbildet. Auch solche Funktionen können (f¨ ur endliche, nicht leere Σ) nicht injektiv sein. Beispiel: Die Quersumme von (Dezimal-)Zahlen der Länge m ≥ 3 ist eine Kompressionsfunktion.

Um als kryptographische Hilfsmittel zu taugen, m¨ ussen Hash- und Kompressionsfunktionen einige Eigenschaften erf¨ ullen, die jetzt skizziert werden. Sei dazu h eine solche Funktion, sei D ihr Definitionsbereich (d.h.: D = Σ∗ , wenn h Hashfunktion ist, und D = Σm , wenn h eine Kompressionsfunktion ist) und sei W = Σl ihr Wertebereich. Dan heißt h eine Einwegfunktion, wenn das Problem (Urbildproblem) Gegeben: Finde:

die Funktion h und ein Element y ∈ W ; ein Element x ∈ D mit h(x) = y

(7.1)

kryptographisch schwer“ ist. ” Das ist keine ganz scharfe Definition, weil der Begriff kryptographisch schwer“ nicht formal definiert ist. Er ” soll informell ungefähr so verstanden werden, wie fr¨ uher die Aussage diskrete Logarithmen sind schwer be” rechenbar“. Ob es (beweisbar) kryptographisch schwere Funktionen gibt, ist unbekannt. Bekannt ist jedoch, dass es Funktionen gibt, bei denen alle Versuche der leichten Berechenbarkeit“ bisher gescheitert sind, die ” also im Wesentlichen (bislang) nicht geknackt“ worden sind. ” Eine Funktion h der obigen Art heißt kollisionsresistent (manchmal auch: stark kollisionsresistent, zur Unterscheidung von ähnlichen Begriffen), wenn das Problem (Kollisionsproblem) Gegeben: Finde:

die Funktion h; zwei Elemente x1 , x2 ∈ D mit x1 6= x2 und h(x1 ) = h(x2 ) (also eine Kollision)

(7.2)

kryptographisch schwer ist. Man kann zeigen, dass aus der Kollisionsresistenz die Einwegfunktionseigenschaft folgt. Angenommen, es gäbe einen Algorithmus, der zu einem Bild y ∈ W ein Urbild x ∈ D mit y = h(x) ausrechnet. Man wählt zufällig einen Text x0 ∈ D, berechnet y = h(x0 ) und dazu ein Urbild x ∈ f −1 (y). Die Wahrscheinlichkeit, dass x 6= x0 , ist groß, und wenn das der Fall ist, dann ist (x1 , x2 ) = (x, x0 ) eine Kollision. Die Kollisionsresistenz von h kann mit einer Geburtstagsattacke auf die Probe gestellt werden. Dazu wählt man so viele Hashwerte ( Geburtstage“) wie möglich, sortiert diese und sucht nach einer Kollision. Die ” Geburtstagsanalyse aus Abschnitt 6.1.1 zeigt: nimmt man die Hashwerte als gleich verteilt an und wählt man k Argumente x ∈ D zufällig, wobei k ≥

1 · (1 + 2

q

1 + (8 ln 2)·|Σ|l )

gilt, dann ist die Wahrscheinlichkeit, dass zwei von diesen Argumenten den gleichen Hashwert haben, größer oder gleich 1/2. Oscar darf also, grob gerechnet, nicht mehr als exp(l/2) Hashwerte bilden können. Dazu muss l entsprechend groß sein; heutzutage wählt man deshalb l = 128, l = 160 oder sogar l ≥ 256.

Man kann Kompressionsfunktionen h aus Verschl¨ usselungsfunktionen eK konstruieren. Dazu benötigt man ein Kryptosystem mit P = C = K = {0, 1}l und Verschl¨ usselungsfunktionen eK : {0, 1}l → {0, 1}l f¨ ur


109

K ∈ {0, 1}l . Um die Geburtstagsattacke zu verhindern, muss l ≥ 128 sein (deswegen scheidet DES schon aus). Mindestens auf folgende Weisen kann man Kompressionsfunktionen h : {0, 1} 2·l → {0, 1}l definieren: h(K, x) h(K, x) h(K, x) h(K, x)

= = = =

eK (x) ~ x eK (x) ~ x ~ K eK (x ~ K) ~ x eK (x ~ K) ~ x ~ K.

Ist das Verschl¨ usselungsverfahren sicher, so scheinen es auch die auf eine dieser Weisen abgeleiteten Kompressionsfunktionen zu sein. Man kann weiterhin Hashfunktionen aus Kompressionsfunktionen konstruieren (iterated hash functions), und zwar so, dass die Kollisionsresistenz einer konstruierten Hashfunktion aus der Kollisionsresistenz der benutzten Kompressionsfunktionen folgt. Hier wird ein Verfahren beschrieben, das auf I.B. Damgard und R. Merkle (unabhängig voneinander) zur¨ uckgeht. Sei dazu g : {0, 1}m → {0, 1}l ,

m, l ∈ N, m > l,

eine Kompressionsfunktion und sei r = m − l ≥ 2 (typischerweise gilt z.B. l = 128 und r = 512). Aus g will man eine Hashfunktion h : {0, 1}∗ → {0, 1}l konstruieren. Sei also x ∈ {0, 1}∗ . Vor x wird eine minimale Anzahl von Nullen geschrieben, so dass die neue Länge durch r teilbar ist. An diesen Bitstring werden noch r Nullen angehängt. Jetzt wird die Binärentwicklung der L¨ ange des originalen Strings x bestimmt. Sie wird so um Nullen ergänzt, dass die Länge des entsetehenden Strings durch r − 1 teilbar ist. Vor diesen String und vor jedes (r − 1)·j te Zeichen, j = 1, 2, 3, . . ., wird eine Eins geschrieben. Dieser neue String wird an den vorigen angehängt. Der Gesamtstring wird in eine Folge x1 x2 . . . xt , xi ∈ {0, 1}r , 1 ≤ i ≤ t zerlegt. Beispiel: Mit r = 4 und x = 111011 wird schrittweise folgender String erzeugt: x = 111011 ; 00111011 ; 001110110000 ; 0011101100001110 = 0011 | {z } 0000 | {z } 1110 | {z } | {z } 1011 x1

x2

x3

x4

Es ist also t = 4. Vorl¨ aufiges Ende des Beispiels. Der Hashwert h(x) wird iterativ berechnet: H0 Hi h(x)

= 0l (d.h., der aus l Nullen bestehende String) = g(Hi−1 ◦ xi ) f¨ ur 1 ≤ i ≤ t (wobei ◦ die Konkatenation zweier Strings bedeuten möge) = Ht .

Fortsetzung des Beispiels: Seien m = 5 und l = 1 (keine sehr realistische Annahme); also, wie eben auch, r = 4. Dann berechnet sich h(111011) folgendermaßen, wobei die oben ausgerechneten x 1 , . . . , x4 benutzt

110


werden: H0 H1 H2 H3 H4 h(x)

= 0 = g(0 0011) = b1 = g(b1 1011) = b2 = g(b2 0000) = b3 = g(b3 1110) = b4 = b4 ,

mit vier Bits b1 , b2 , b3 , b4 , die von g abhängen. Ende des Beispiels. Diese Konstruktion garantiert, dass h kollisionsresistent ist, sofern g schon kollisionsresistent ist. (Ohne Beweis.) In der Praxis werden Hashfunktionen benutzt, die ganz ähnlich aufgebaut sind, beispielsweise SHA-1, ein NIST-Standard1 . Der Entwurf iterierter Hashfunktionen ist durchaus kritisch. Ein alternativer Vorschlag, MD4 (wobei MD f¨ ur message digest“ steht) kann nicht mehr als sicher gelten. Seine Weiterentwicklung, ” MD5, gilt (noch) als relativ sicher2 . Auch der unmittelbare Vorgänger von SHA-1, SHA, wurde Opfer einer publizierten Kollisions-Attacke mit 261 x-Werten (und schon vorher einer wahrscheinlich ähnlichen, aber ¨ bisher geheim gehaltenen Attacke), weswegen die Anderung zu SHA-1 durchgef¨ uhrt wurde. SHA-1 wurde 3 k¨ urzlich durch neue Standards ergänzt , die f¨ ur die Hashwerte (message digests) auch größere Längen als nur“ l = 128 oder l = 160 vorsehen, insbesondere l = 256, l = 384 und l = 512. ”

7.2

Digitale Signaturen

Digitale Signaturen (Unterschriften) werden mit Hilfe ähnlicher Ideen realisiert, wie sie auch der Public-KeyKryptographie zu Grunde liegen. Will Alice ein Dokument signieren, benötigt sie einen privaten, geheimen Schl¨ ussel d und einen öffentlichen Schl¨ ussel. Der private Schl¨ ussel ist sicher gespeichert, z.B. auf einer Chipkarte. Der öffentliche Schl¨ ussel liegt in einem read-only-Verzeichnis, zu dem jeder Zugang hat. Um ein Dokument x zu signieren, erzeugt Alice aus x und ihrem privaten Schl¨ ussel d eine digitale Signatur s(d, x). Unter Verwendung des öffentlichen Schl¨ ussels kann dann jeder nachpr¨ ufen, dass die Signatur korrekt ist, d.h., von Alice stammt. Dieses Signaturverfahren ist nur dann sicher, wenn niemand ohne Kenntnis von Alices privatem Schl¨ ussel die Signatur eines Dokuments errechnen kann (selbst dann nicht, wenn Signaturen anderer Dokumente bereits bekannt sind) und wenn die öffentlichen Schl¨ usselverzeichnisse vor Veränderungen gesch¨ utzt sind. Denn sonst könnte jemand in Alices Namen fälschlicherweise signieren.

7.2.1

RSA-Signaturen

Das RSA-Verschl¨ usselungsverfahren eignet sich ganz besonders zur Erzeugung digitaler Signaturen. Die Idee ist, dass Alice ein Dokument x signiert, indem sie ihr Entschl¨ usselungsverfahren auf x anwendet, also s(d, x) = xd mod n 1 Siehe

http://www.itl.nist.gov/fipspubs/fip180-1.htm. SHA steht f¨ ur Secure Hash Algorithm“. ” z.B. http://passcracking.com/ in diesem Zusammenhang interessant ist. 3 Siehe http://csrc.nist.gov/publications/fips/fips180-2/fips180-2.pdf.

2 Obwohl


111

berechnet, wobei n Teil des öffentlichen Schl¨ ussels ist (wie in RSA). Bob verifiziert diese Signatur, indem er darauf das Verschl¨ usselungsverfahren anwendet, d.h., s(d, x)e mod n berechnet. Im Detail funktioniert das Verfahren in drei Schritten: • Schl¨ usselerzeugung: Alice wählt zwei große Primzahlen p, q und einen Exponenten e mit 1 < e < (p − 1)(q − 1) und ggT(e, (p − 1)(q − 1)) = 1. Sie berechnet n = pq und d mit 1 < d < (p − 1)(q − 1) und de ≡ 1 (mod (p − 1)(q − 1)). Ihr öffentlicher Schl¨ ussel ist (n, e) und ihr geheimer Schl¨ ussel ist d. (Also ganz wie bei RSA.) • Erzeugung einer Signatur: Wir erklären, wie Alice eine (kurze) Nachricht x ∈ {0, 1, . . . , n − 1} signiert. Später kann sie längere Nachrichten unter Zuhilfenahme von Hashfunktionen signieren. Um die Zahl x zu signieren, berechnet Alice den Wert s = xd mod n. Die Signatur ist s. Diese Methode birgt noch Gefahren und ist verbesserungsbed¨ urftig; darauf kommen wir zur¨ uck. • Verifikation einer Signatur: Um die Signatur s zu verifizieren, besorgt sich Bob den öffentlichen Schl¨ ussel (n, e) von Alice und berechnet x0 = se mod n. Wenn die Signatur s korrekt gebildet wurde, gilt x0 = x (das folgt aus Satz 5.2.2, zusammen mit der Tatsache, dass (xd )e mod n = (xe )d mod n). Was hat Bob durch die Verifikation erreicht? Er kennt jetzt x. Außerdem weiß er, dass s die Signatur von x ist (dazu braucht er x vorher nicht zu kennen). Er weiß auch, dass Alice die Signatur erzeugt hat, denn solange das RSA-Verfahren sicher ist, kann niemand ohne Kenntnis des geheimen Schl¨ ussels d die Signatur von x berechnen. Diese Verifikation kann jeder durchf¨ uhren, der den o¨ffentlichen Schl¨ ussel von Alice kennt. Will Bob z.B. einem Richter gegen¨ uber beweisen, dass Alice den Text x wirklich signiert hat, braucht er nur die Signatur s und den o¨ffentlichen Schl¨ ussel (n, e) von Alice vorzulegen. Der Richter kann die Verifikation x0 = ne mod n und x0 = x dann selber vornehmen. (Wenn Alice danach behauptet, jemand habe ihren geheimen Schl¨ ussel gestohlen, hat der Richter etwas mehr zu tun...) (Kein allzu gutes) Beispiel: Alice wählt p = 11, q = 23 und e = 3. Daraus ergibt sich n = 253 und d = 147. Der öffentliche Schl¨ ussel von Alice ist (253, 3). Ihr geheimer Schl¨ ussel ist 147. Ende des (nicht allzu guten) Beispiels. Alice will an einem Geldautomaten Geld abheben und den Betrag von e 111 signieren. Dazu berechnet sie s = 111147 mod 253 = 89. Der Geldautomat erhält s = 89 und berechnet x = s3 mod 253 = 111. Damit weiß der Automat, dass 111 abgehoben werden sollen, und dass es Alice ist, die diesen Betrag abheben möchte. (Notfalls kann der Automat das auch Dritten gegen¨ uber beweisen...) Ende des Beispiels. So, wie das Verfahren bisher beschrieben wurde, ist es zum Beispiel Man-In-The-Middle-Attacken gegen¨ uber verwundbar. Aber es gibt auch andere Angriffe: Oscar wählt zufällig eine Zahl s ∈ {0, 1, . . . , n − 1}. Dann behauptet er, dass s eine von Alice erzeugte RSA-Signatur ist. Wer diese Signatur verifizieren will, berechnet x = se mod n und glaubt, Alice habe x signiert. Wenn x ein sinnvoller Text ist, wurde Alice damit die Unterschrift unter einen sinnvollen Text untergeschoben. Diese Art der Täuschung nennt man existentielle F¨ alschung (existential forgery).

112


Beispiel: Alice wählt, wie im vorigen Beispiel, (p, q, e) = (11, 23, 3). Es ergibt sich n = 253 und d = 147. Oscar möchte aus Alices Konto Geld abheben. Er schickt einfach s = 123 an den Geldautmaten und hofft, dass das die Signatur eines möglichst großen Geldbetrags ist. Der Geldautomat berechnet x = 123147 mod 253 = 117 und glaubt, dass Alice e 117 abheben möchte. Tatsächlich hat Alice die 117 aber nie unterschrieben. Ende des Beispiels. Eine weitere Gefahr beim Signieren von RSA kommt von der Multiplikativität des RSA-Verfahrens. Sind x1 , x2 ∈ {0, . . . , n − 1} und sind s1 = xd1 mod n und s2 = xd2 mod n die jeweiligen Signaturen, dann ist s = s1 s2 mod n = (x1 x2 )d mod n die Signatur von x1 x2 . Aus zwei g¨ ultigen Signaturen kann man also leicht eine dritte herstellen. Zwei dieser drei Angriffe können abgewehrt werden, wenn nur solche Texte x signiert werden, deren Binärdarstellung von der Form ww ist (w ∈ {0, 1}∗ ), also aus zwei gleichen Hälften besteht. Der interessierende Text ist die erste Hälfte w, aber signiert wird ww. Bei der Verifikation wird zuerst gepr¨ uft, ob die Binärentwicklung des erhaltenen Textes die Form ww hat; wenn nicht, wird die Signatur zur¨ uckgewiesen. Die existentielle Fälschung kann dann nicht mehr angewendet werden, weil unbekannt ist, wie man eine Signatur, deren verifizierter Text eine Binärentwicklung der geforderten Form hat, zufällig“ und ohne ” Kenntnis des privaten Schl¨ ussels finden kann. Auch ist unwahrscheinlich, dass (x1 x2 ) mod n eine Binärentwicklung der geforderten Form hat, wenn dies f¨ ur x1 und x2 zutrifft. Deswegen kann die Multiplikativität nicht ausgenutzt werden. Statt einer Verdopplung können zur Abwehr der Angriffe auch andere Redundanzfunktionen verwendet werden. Bisher wurde beschrieben, wie Texte aus {0, 1, . . . , n − 1} signiert werden. Jetzt sollen längere Texte signiert werden. Dazu schalten wir eine Hashfunktion vor. Sei h : {0, 1}∗ → {0, 1, . . . , n − 1} eine öffentlich bekannte, kollisionsresistente Hashfunktion4 . Weil h kollisionsresistent ist, ist h auch eine Einwegfunktion. In der Praxis konstruiert man h mit einer gängigen kollisionsresistenten Hashfunktion, die z.B. einen 160-Bit-String erzeugt. Darauf wendet man eine Expansionsfunktion an. Dieses Verfahren ist im Standard PKCS5 Nr. 1 genau festgelegt. Die Signatur eines (langen) Textes x ist dann s = h(x)d mod n. Aus dieser Signatur lässt sich nur der Hashwert des Textes rekonstruieren, nicht der Text selbst. Daher wird zur Verifikation (jetzt) der Text x benötigt. Nachdem Alice die Signatur s des Textes x erzeugt hat, sendet sie diese, zusammen mit x, an Bob. Bob berechnet H = se mod n und vergleicht das Ergebnis H mit dem Hashwert h(x) (den er ja berechnen kann, da er sowohl x als auch die öffentlich bekannte Hashfunktion h zur Verf¨ ugung hat). Stimmen H und h(x) u ultig, anderfalls wird sie verworfen. ¨berein, so ist die Signatur g¨ Dieses Verfahren wendet die existentielle Fälschung ab. Denn angenommen, Oscar wählt eine Signatur sb, um eine existentielle Fälschung zu versuchen. Dann muss er auch einen Text x produzieren und an Bob schicken. Bob berechnet H = sb e mod n und vergleicht H mit dem Hashwert h(x). Er akzeptiert die Signatur nur dann, wenn beide u ¨bereinstimmen. Oscar muss also sicherstellen, dass h(x) = H gilt. Er muss seinen Text x so wählen, dass er unter h ein Urbild von H ist, d.h., er muss das Urbildproblem (7.1) lösen. Das geht nicht, weil h eine Einwegfunktion ist. Aus dem gleichen Grund kann Oscar die Multiplikativität von RSA nicht ausnutzen. 4 Um

ein solches h auf die in Abschnitt 7.1 angegebene Form zu bringen, nehmen wir eine sinnvolle Wahl von l an. Cryptography Standard, siehe http://www.rsasecurity.com/rsalabs/node.asp?id=2124.

5 Public-Key


113

Schließlich kann Oscar den Text x, der von Alice signiert wurde, auch nicht durch einen anderen Text x b mit der gleichen Signatur ersetzen. Denn dann wäre das Paar (x, x b) eine Kollision von h, d.h., Oscar muss das Kollisionsproblem (7.2) lösen. Das geht nicht, weil h als kollisionsresistent angenommen wurde.

7.2.2

Andere Public-Key-Signaturen

Im Prinzip kann jedes andere Public-Key-Verfahren in ähnlicher Weise verwendet werden. Nicht alle sind jedoch bez¨ uglich Ver- und Entschl¨ usselung so symmetrisch (d.h.: vertauschbar) wie das RSA-Verfahren. Deshalb bedarf es leichter Abwandlungen, um zum Beispiel aus dem ElGamal-Kryptosystem ein Signaturverfahren zu gewinnen. Das ist möglich, wird hier aber nicht genauer beschrieben. Ein Problem bei der direkten Anwendung von ElGamal ist die Länge der Signatur; diese ist nämlich wegen message expansion“ doppelt so lang wie die benutzte Primzahl. Das Signaturschema von C.P. Schnorr ” benutzt zwei Primzahlen, um die Signaturlänge zu optimieren. Seien dazu p, q zwei Primzahlen mit q | (p−1). Typischerweise wird p die Bitlänge 1024 haben, q aber nur die Bitlänge 160. Das Schnorr-Signaturschema benutzt eine Untergruppe der Ordnung 160 von Z p . Die Sicherheit des Schemas beruht auf der Vermutung, dass das DL-Problem in dieser Untergruppe kryptographisch schwer ist. Sei g ∈ Z∗p eine q te Wurzel von 1 modulo p, d.h., es gelte g q ≡ 1 (mod p). Ein solches g kann zum Beispiel (p−1)/q

mod p. Das folgendermaßen gefunden werden: Sei g0 eine Primitivwurzel von Z∗p ; setze dann g = g0 Schorr-Schema integriert eine Hashfunktion direkt in den Signieralgorithmus (anstelle der signiere-und” dann-hashe“-Methode, die im vorigen Abschnitt diskutiert wurde). Sei also h : {0, 1}∗ → Zq eine sichere (kollisionsresistente) Hashfunktion. Die Schl¨ usselmenge des Schnorr-Schemas ist K = { (p, q, g, a, b) | b ≡ g a (mod p), 0 ≤ a ≤ q−1}.

F¨ ur x ∈ {0, 1}∗ , K = (p, q, g, a, b) und eine (geheime) Zahl k mit 1 ≤ k ≤ q − 1 definieren wir die Signatur als einen Bitvektor der folgenden Art:

mit und

sK (x, k) γ δ

= (γ, δ) = h(x◦(g k mod p)) = k + a·γ mod q,

wobei ◦ die Konkatenation zweier Bitstrings bedeutet. Wenn die Primzahl q aus 160 Bits besteht, ist die Signatur also ein Bitvektor der Länge 320. Zur Verifikation einer solchen Signatur (γ, δ) ∈ Zq × Zq berechnet Bob den Wert h( x ◦ (g δ ·b−γ mod p) ) und vergleicht ihn mit γ. Stimmen die beiden u ¨berein, ist die Signatur verifiziert, andernfalls nicht. Der Standard DSA (Digital Signature Algorithm6 ) ist eine Variante des Schnorr-Signaturverfahrens. Die Parameterwahl ist bei DSA ganz genau vorgeschrieben: als q soll eine 160-Bit-Primzahl verwendet werden, 6 Siehe

http://csrc.nist.gov/cryptval/dss.htm.

114


als p eine Primzahl mit mindestens 512, höchstens 1024 Bits, und an der Stelle von h wird SHA-1 verwendet. Die Sicherheit von DSA hängt von der Ermittlung diskreter Logarithmen in der, q entsprechenden, ca. 2 160 elementigen Untergruppe der multiplikativen Gruppe einer großen Primzahl, nämlich p, ab. Dies erscheint heutzutage und auf einige absehbare Zeit noch als kryptographisch schwer, und außerdem ist es die einzige derzeit bekannte Methode, DSA zu brechen. DSA gilt also (noch) als sicher.

Index brute force, 6

Advanced Encryption Standard (AES), 58 Affin-lineare Chiffre, 9 Algorithmus Lineare Attacke, 46 modexp, 68 poly euclid, 56 BabyStep GiantStep (von Shanks), 97 Lö se mod eq, 16 Miller Rabin, 77 Pollard Rho DL, 99 Pollard Rho, 84 euclid , 12 extended euclid , 13 pseudoprim, 76 witness, 77 Index-calculus, 102 Pohlig-Hellman, 100 probabilistisch, 76 Quadratisches Sieb, 83 semi-exakt, 76 Alice, 1 Atbash, 6 Attacke Chosen-ciphertext, 23 Chosen-plaintext, 23 Ciphertext-only, 23 Impersonation, 79 Known-plaintext, 23 Low-decryption-exponent, 80 Low-exponent, 74 Man-in-the-middle, 79 autokey encryption, 20

Carmichael-Zahl, 76 Certification Authority, 79 Charakteristik, 52 Chiffretext, 1 Chinesischer Restsatz, 66 Cipherblock Chaining Mode (CBC), 20 ciphertext, 2 decryption, 2 Diffie-Hellman-Problem, 93 Digital Encryption Standard (DES), 47 Digital Signature Algorithm (DSA), 113 digitale Signatur, 110 Digramm, 24 diskrete Logarithmen, 92 DL-Problem, 92 Einheitswurzel, 70 Einwegfunktion, 108 Electronic Codebook Mode (ECB), 17 ElGamal-Kryptosystem, 94 ElGamal-Signaturen, 113 encryption, 2 Entschl¨ usselungsfunktion, 2 Ereignis, 38 Eulersche Φ-Funktion, 8 exhaustive search, 6 existential forgery, 111 existentielle Fälschung, 111 Faktorbasis, 102 Faktorisierung, 81 Feistel-Chiffre, 46

bedingte Wahrscheinlichkeit, 38 Bias, 39 Blockchiffre, 16 Bob, 1

Galois-Feld, 57 Geburtstagsattacke, 108 115

Geburtstagsparadox, 87 Geheimschl¨ ussel, 2 Grad, 53 größter gemeinsamer Teiler (ggT), 5 Gruppe, 4 Abelsche, 4 Hashfunktion, 107 Hill-Chiffre, 18 irreduzibel, 56 iterated hash function, 109 iterierte Chiffre, 33 Kerkhoff-Prinzip, 23 keyspace, 2 Klartext, 1 kleinstes gemeinsames Vielfaches (kgV), 91 Koeffizient, 53 Körper, 51 Koinzidenzindex, 28 Koinzidenztest, 28 Kollisionsproblem, 108 kollisionsresistent, 108 Kompressionsfunktion, 108 kongruent modulo einer Zahl, 4 Kongruenz, 4 Kryptanalyse, 1 Kryptographie, 1 Kryptologie, 1 Kryptosystem, 1 asymmetrisches, 3 symmetrisches, 2 lineare Approximation, 41 Logarithmus, 58 MARS, 51 Merkle-Damgard-Verfahren, 109 message expansion, 94 Modulare Exponentiation auf einem Taschenrechner, 69 monoalphabetisch, 16 NIST, 51, 110 normiert, 53

Ordnung, 10 Oscar, 1 Permutationschiffre, 16 Piling-Up-Lemma, 40 plaintext, 1 polyalphabetisch, 17 Polynom, 53 Addition, 54 Division, 55 Multiplikation, 55 Primitivwurzel, 89 Primkörper, 53 Primzahlsatz, 75 private key, 3, 65 Probedivision, 75 protocol failure, 80 pseudoprim, 70 public key, 3, 65 Public-key-Kryptographie, 3 Quadratwurzel, 70 RC6, 51 Reduktionspolynom, 57 relativ prim, 5 Restklasse, 4 Rijndael, 51 Ring, 4 kommutativer, 4 RSA, 71 RSA-Signaturen, 110 Runde, 34 Rundenschl¨ ussel, 34 S-Box, 34 Satz von Bayes, 39 Euler, 11 Fermat, 11 Lagrange, 9 Lamé, 13 Schl¨ usselraum, 2 Schnorr-Signaturverfahren, 113 secret key, 2 Secret-key-Kryptographie, 3

Serpent, 51 SHA-1, 110 Sieb des Eratosthenes, 75 Stromchiffre, 21 subexponentiell, 105 subkey, 34 Substitutions-/Permutationsnetzwerk (SPN), 35 Substitutionschiffre, 7 synchrone Chiffre, 21 teilerfremd, 5 teilerfremde Polynome, 55 Trigramm, 24 Triple DES (3DES), 49 Trusted Third Party (TTP), 79 Twofish, 51 unabhängige Zufallsvariablen, 38 Untergruppe, 9 Urbildproblem, 108 Verbundwahrscheinlichkeit, 38 Verschiebungschiffre, 6 Verschl¨ usselungsfunktion, 2 Verzerrung, 39 Vigenère-Chiffre, 19 Wahrscheinlichkeit, 38 whitening, 35 Zufallsvariable, 38

Grundbegriffe der Kryptographie 001

Grundbegriffe der Topologie 001

Kryptographie 001

Kryptographie I II 001

Kryptographie I 001

Kryptographie II 001.ps.gz

Informationstheorie Codierung und Kryptographie 001.ps.gz

Einfuehrung in die Kryptographie 001.ps.gz

Grundbegriffe der Finanzwirtschaft

Grundbegriffe der Literaturtheorie

Die Grundbegriffe der Metaphysik

kryptographie

Grundbegriffe der Literaturtheorie

Kryptographie

Kompendium der Soziologie I: Grundbegriffe

Grenzen der Literatur (Revisionen: Grundbegriffe Der Literaturtheorie)

Stereochemie Grundbegriffe

Visuelle Kryptographie

Moralische Grundbegriffe

Buddhistische Grundbegriffe

Didaktik der Zahlenbereiche 001

Modelle der Mengenlehre 001

Physik der Ionenbeschleuniger 001

Grundlagen der Signaltheorie 001

Grundbegriffe der antiken Philosophie (Summer semester 1926)

Moderne Kryptographie: Eine Einführung

Einführung in die Kryptographie

Codierungstheorie und Kryptographie

Grundbegriffe (Summer semester 1941)

Kryptographie und IT-Sicherheit

Einführung in die Kryptographie

Grundbegriffe der Kryptographie 001

Grundbegriffe der Topologie 001

Kryptographie 001

Kryptographie I II 001

Kryptographie I 001

Kryptographie II 001.ps.gz

Informationstheorie Codierung und Kryptographie 001.ps.gz

Einfuehrung in die Kryptographie 001.ps.gz

Grundbegriffe der Finanzwirtschaft

Grundbegriffe der Literaturtheorie

Die Grundbegriffe der Metaphysik

kryptographie

Grundbegriffe der Literaturtheorie

Kryptographie

Kompendium der Soziologie I: Grundbegriffe

Grenzen der Literatur (Revisionen: Grundbegriffe Der Literaturtheorie)

Stereochemie Grundbegriffe

Visuelle Kryptographie

Moralische Grundbegriffe

Buddhistische Grundbegriffe

Didaktik der Zahlenbereiche 001

Modelle der Mengenlehre 001

Physik der Ionenbeschleuniger 001

Grundlagen der Signaltheorie 001

Grundbegriffe der antiken Philosophie (Summer semester 1926)

Moderne Kryptographie: Eine Einführung

Einführung in die Kryptographie

Codierungstheorie und Kryptographie

Grundbegriffe (Summer semester 1941)

Kryptographie und IT-Sicherheit

Einführung in die Kryptographie

Recommend Documents