Kryptographische Algorithmen - Lerneinheit 6: Public Key

Kryptographische Algorithmen
Lerneinheit 6: Public Key Kryptosysteme
Prof. Dr. Christoph Karg
Studiengang Informatik
Hochschule Aalen
Wintersemester 2016/2017
19.9.2016
Public Key Kryptosysteme
Einleitung
Einleitung
Thema dieser Lerneinheit ist die Funktionsweise von Public Key
Kryptosystemen.
Die Lerneinheit gliedert sich in folgende Abschnitte:
• Aufbau von Public Key Kryptosystemen
• Generierung von Primzahlen
• Rabin-Kryptosystem
• RSA-Kryptosystem
• Diffie Hellman Key Exchange
• El-Gamal-Kryptosystem
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
2 / 138
Public Key Kryptosysteme
Aufbau
Aufbau eines Public Key Kryptosystems
Alice
Oskar
Bob
x
enc
x
y
unsicherer Kanal
y
dec
ke
ke
kd
Schlüsselverzeichnis
Prof. Dr. C. Karg (HS Aalen)
Benutzer
Schlüssel
Bob
ke
Kryptographische Algorithmen
Public Key Kryptosysteme
Public Key Kryptosysteme
3 / 138
Sicherheitsaspekte
Sicherheitsaspekte
• Die Sicherheit gängiger Public Key Kryptosysteme basiert auf der
(hoffentlich) hohen Komplexität von algorithmischen Problemen
• Häufig verwendete Problemstellungen:
▷ Faktorisierung von ganzen Zahlen
▷ Berechnung des diskreten Logarithmus
▷ Berechnung von quadratischen Resten
• Die Parameter von Public Key Kryptosystemen werden mittels
Pseudo-Zufallszahlen-Generatoren erzeugt
• Voraussetzungen:
▷ Für kryptografische Zwecke geeignete Generatoren für
Pseudo-Zufallszahlen
▷ Primzahltests
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
4 / 138
Public Key Kryptosysteme
Sicherheitsaspekte
Faktorisierung von ganzen Zahlen
Faktorisierungsproblem
Gegeben: Zusammengesetzte Zahl n ∈ N
Gefragt: Finde einen Faktor f von n, d.h., eine Zahl f mit folgenden
Eigenschaften:
• 1 < f < n, und
• f|n
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
Public Key Kryptosysteme
5 / 138
Sicherheitsaspekte
Berechnung des diskreten Logarithmus
Diskreter-Logarithmus-Problem
Gegeben:
• Primzahl p
• Erzeugendes Element α von Z∗p
• Element β ∈ Z∗p
Gefragt: Berechne die eindeutige ganze Zahl a, 1 ≤ a ≤ p − 1, so
dass
αa ≡ β (mod p).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
6 / 138
Public Key Kryptosysteme
Sicherheitsaspekte
Beispiel zum Diskreten Logarithmus
Betrachte Z∗11 und α = 2.
i
1 2 3 4 5 6 7 8 9 10
αi mod 11 2 4 8 5 10 9 7 3 6 1
Demnach ist log2 (10) = 5 und log2 (6) = 9.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
Public Key Kryptosysteme
7 / 138
Sicherheitsaspekte
Einwegfunktionen
Eine Abbildung f bezeichnet man als Einwegfunktion, falls sie folgende
Bedingungen erfüllt:
• f kann man einfach berechnen
• Selbst wenn der Algorithmus zur Berechnung von f bekannt ist,
ist es für fast alle y schwer, ein x zu finden, so dass f(x) = y gilt
Ob Einwegfunktionen existieren, ist eine der offenen Fragen in der
Kryptografie
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
8 / 138
Public Key Kryptosysteme
Sicherheitsaspekte
Kandidaten für Einwegfunktionen
• Produkt zweier Primzahlen: f(p, q) = p · q, wobei p und q
Primzahlen.
• Diskrete Exponentialfunktion: f(x) = gx mod p, wobei p eine
Primzahl und g ein Generator von (Z∗p , ×p ) ist.
• Modulare Polynomfunktion:
f(x) = an · xn + . . . + a1 · x + a0 mod p,
wobei p eine Primzahl und ai ∈ Zp für 0 ≤ i ≤ n.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
Public Key Kryptosysteme
9 / 138
Sicherheitsaspekte
Falltürfunktionen
Eine Abbildung f bezeichnet man als Falltürfunktion, falls sie folgende
Bedingungen erfüllt:
• f ist einfach zu berechnen.
• Bei Kenntnis einer mit f verbundenen Information (der
sogenannten Falltürinformation), ist die Gleichung f(x) = y für
gegebenes y leicht lösbar
• Ohne Kenntnis der Falltürinformation ist die Gleichung f(x) = y
für alle y schwer lösbar
Bisher konnte nicht nachgewiesen werden, dass Falltürfunktionen
existieren.
Ein Kandidat für eine Falltürfunktion ist die bei RSA eingesetzte
modulare Potenzfunktion
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
10 / 138
Generierung von Primzahlen
Generierung von Primzahlen
• Primzahlen sind die Grundlage für viele Public Key Verfahren
• Die verwendeten Primzahlen müssen geheim gehalten werden
• Konsequenz: ein Benutzer muss in der Lage sein, Primzahlen auf
eine vertrauliche Art und Weise zu generieren
• Ansatz:
1. Zähle zufällig unter Gleichverteilung eine ungerade Zahl mit
einer vorgegebenen Größe
2. Überprüfe, ob die Zahl eine Primzahl ist
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
11 / 138
Der Primzahlsatz
Der Primzahlsatz
Satz 1 (Primzahlsatz) Sei π(n) gleich der Anzahl der Primzahlen,
die kleiner-gleich n sind, d.h.,
π(n) = ∥{p ∈ N | p ist ein Primzahl und p ≤ n}∥.
Dann gilt für alle n ∈ N:
lim
n→∞
π(n)
n
ln n
→ 1.
Interpretation: Für große n ist π(n) ≈
Prof. Dr. C. Karg (HS Aalen)
n
ln n
Kryptographische Algorithmen
Public Key Kryptosysteme
12 / 138
Generierung von Primzahlen
Der Primzahlsatz
Anwendung des Primzahlsatzes
Anwendung: Im Mittel muss man
m=
k ln(2)
ln(2k )
=
2
2
ungerade Zahlen aus {1, 3, . . . , 2k − 1} zufällig unter Gleichverteilung
ziehen, um eine Primzahl zu erhalten.
Zahlenbeispiele:
k
m
128 44.36
256 88.72
512 177.45
1024 354.89
Prof. Dr. C. Karg (HS Aalen)
k
m
2048 709.78
4096 1419.57
8192 2839.13
16384 5678.26
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
13 / 138
Ein einfacher Primzahltest
Ein einfacher Primzahltest
Satz 2 (Fermat) Ist n eine Primzahl, dann gilt für alle a ∈ Z∗n :
an−1 ≡ 1 (mod n).
Ansatz: Finde ein a ∈ {2, . . . , n − 1}, so dass
an−1 ̸≡ 1 (mod n).
In diesem Fall ist n keine Primzahl.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
14 / 138
Generierung von Primzahlen
Ein einfacher Primzahltest
Probleme und Lösungen
Probleme
1. an−1 mod n muss effizient berechnet werden
2. Man kann nicht alle Elemente a ∈ {2, . . . , n − 1} testen
3. Es gibt Zahlen, die durch den Test nicht erkannt werden
Lösungen
1. Einsatz der modularen Exponentiation
2. Zufällige Auswahl von a
3. Einsatz einer verbesserten Testmethode
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
15 / 138
Ein einfacher Primzahltest
Modulare Exponentation
ModularExponentation(a, b, n)
Input: a, b, n ganze Zahlen, wobei n > 0
Output: ab mod n
1
d := 1
2
Sei ⟨bk−1 , . . . , b0 ⟩ die Binärdarstellung von b
3
for i := k − 1 downto 0 do
4
d := (d · d) mod n
5
if (bi = 1) then
6
d := (d · a) mod n
7
return d
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
16 / 138
Generierung von Primzahlen
Carmichael-Zahlen
Carmichael-Zahlen
Eine Carmichael-Zahl ist eine zusammengesetzte Zahl n mit der
Eigenschaft, dass
an−1 ≡ 1 (mod n)
für alle a ∈ {1, 2, . . . , n − 1}.
Bemerkungen:
• Carmichael-Zahlen sind extrem selten. Es gibt nur 255 solche
Zahlen, die kleiner als 108 sind
• Die ersten drei Carmichael-Zahlen sind 561, 1105 und 1729
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
17 / 138
Verbesserung des Primzahltests
Verbesserung des Primzahltests
Satz 3 Ist n eine Primzahl, dann hat die Gleichung
x2 ≡ 1 (mod n)
genau die zwei Lösungen x = 1 und x = −1 = n − 1.
Folgerung: Ist die Gleichung
x2 ≡ 1 (mod n)
lösbar für ein x mit x ̸= 1 und x ̸= n − 1, dann ist n keine Primzahl.
Ansatz: Modifikation der modularen Exponentiation
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
18 / 138
Generierung von Primzahlen
Verbesserung des Primzahltests
Algorithmus Witness(a, n)
Witness(a, n)
Input: a, n ganze Zahlen, wobei n > 0 und 1 ≤ a ≤ n − 1
Output: true, falls n keine Primzahl, false, sonst.
1
Sei ⟨bk , bk−1 , . . . , b0 ⟩ die Binärdarstellung von n − 1
2
d := 1
3
for i := k downto 0 do
4
x := d
5
d := (d · d) mod n;
6
if (d = 1) and (x ̸= 1) and (x ̸= n − 1) then
7
return true
8
if (bi = 1) then d := (d · a) mod n
9
if (d ̸= 1) then
10
return true
11
return false
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
19 / 138
Verbesserung des Primzahltests
Eigenschaften von Witness(a, n)
• Die Funktion Witness(a, n) ist eine abgewandelte Form von
modularer Exponentiation
• Der Algorithmus berechnet an−1 mod n und sucht während der
Berechnung nach Lösungen für die Gleichung x2 ≡ 1 (mod n),
die verschieden zu 1 und n − 1 sind
• Falls Witness(a, n) = true, dann wird a als Beleg
(engl. witness) für die Tatsache angesehen, dass n keine Primzahl
ist.
• Ist n > 2 eine zusammengesetzte Zahl, dann existieren hierfür
mindestens (n − 1)/2 Belege in {1, 2, . . . , n − 1}
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
20 / 138
Generierung von Primzahlen
Miller-Rabin-Test
Miller-Rabin-Test
MillerRabinTest(n, s)
Input: n, s ganze positive Zahlen
Output: true, falls n eine Primzahl ist, false, sonst.
1 for i := 1 to s do
2
a := Random(2, n − 1)
3
if Witness(a, n) = true then
4
return false
5 return true
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Generierung von Primzahlen
Public Key Kryptosysteme
21 / 138
Miller-Rabin-Test
Bemerkungen zum Miller-Rabin-Test
• Der Miller-Rabin-Test besitzt einen einseitigen Fehler:
▷ Falls MillerRabinTest(n, s) = false, dann ist n keine
Primzahl
▷ Falls MillerRabinTest(n, s) = true, dann ist n
Primzahl mit einer Wahrscheinlichkeit von 1 − 2−s
• Die Wahl von s beeinflusst die Fehlerwahrscheinlichkeit
• Die Laufzeit von MillerRabinTest(n, s) ist O(log2 (n)3 · s)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
22 / 138
Rabin-Kryptosystem
Rabin-Kryptosystem
•
•
•
•
Erfunden von Michael O. Rabin im Jahr 1979
Verschlüsselung mittels quadratischer Funktion
Beweisbar sicheres Kryptosystem
Geringe Bedeutung für die Praxis
▷ Verschlüsselungsfunktion nicht injektiv ⇝ erhöhter Aufwand
bei der Entschlüsselung
▷ Anfällig gegen eine Chosen-Ciphertext-Attacke
• Grundlage für weitere Kryptosysteme
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
23 / 138
Definition
Definition Rabin-Kryptosystem
Parameter:
• Primzahlen p und q, wobei p ̸= q, p ≡ 3 (mod 4) und
q ≡ 3 (mod 4)
• n=p·q
Kryptosystem:
• P = C = Zn
• K = {(n, p, q)}
• Schlüssel k = (n, p, q)
▷ Öffentlicher Teil: n
▷ Privater Teil: (p, q)
• Verschlüsselung: enc((n, p, q), x) = x2 mod n
√
• Entschlüsselung: dec((n, p, q), y) = y mod n
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
24 / 138
Rabin-Kryptosystem
Quadratische Reste
Quadratischer Reste
Definition. Sei n eine ungerade ganze Zahl. Sei a eine Zahl, die
teilerfremd zu n ist, d.h., gcd(a, n) = 1.
a ist ein quadratischer Rest modulo n, falls eine Zahl x ∈ Zn existiert,
so dass
x2 ≡ a (mod n)
Ist a kein quadratischer Rest, dann nennt man a einen quadratischen
Nicht-Rest.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
25 / 138
Quadratische Reste
Beispiel zu Quadratischen Resten
Betrachte n = 11.
a 1 2 3 4 5 6 7 8 9 10
a2 1 4 9 5 3 3 5 9 4 1
Also ist die Menge der quadratischen Reste modulo 11 gleich
{1, 3, 4, 5, 9}
Die Menge der quadratischen Nicht-Reste ist
{2, 6, 7, 8, 10}
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
26 / 138
Rabin-Kryptosystem
Quadratische Reste
Zwei nützliche Sätze
Satz 1. Seien p und q Primzahlen mit der Eigenschaft, dass
• p ̸= q
• p ≡ 3 (mod 4) und q ≡ 3 (mod 4)
Sei n = p · q. Sei a ein quadratischer Rest modulo n.
Dann besitzt die Gleichung
x2 ≡ a
(mod n)
vier Lösungen.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
27 / 138
Quadratische Reste
Zwei nützliche Sätze (Forts.)
Satz 2. Sei p eine Primzahl mit der Eigenschaft, dass
p ≡ 3 (mod 4).
Sei a ein quadratischer Rest modulo p.
Dann sind
x1,2 = ±a(p+1)/4 mod p
die beiden Lösungen für die Gleichung
x2 ≡ a
Prof. Dr. C. Karg (HS Aalen)
(mod p).
Kryptographische Algorithmen
Public Key Kryptosysteme
28 / 138
Rabin-Kryptosystem
Entschlüsselung
Entschlüsselung
Gegeben: Quadratischer Rest a modulo p · q
Ansatz: Einsatz des Chinesischen Restsatzes
1. Berechne die Lösungen x1,2 der Gleichung x2 ≡ a (mod p)
2. Berechne die Lösungen y1,2 der Gleichung y2 ≡ a (mod q)
3. Berechne mittels des Chinesischen Restsatzes die vier Lösungen
⟨v1 , v2 , v3 , v4 ⟩ der Gleichung v2 ≡ a (mod p · q)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
29 / 138
Entschlüsselung
Wiederholung: Chinesischer Restsatz
Satz. Seien p und q Primzahlen, wobei p ̸= q.
Dann besitzt das Gleichungssystem
x ≡ bp
x ≡ bq
(mod p)
(mod q)
die eindeutige Lösung
(bp · mp · q + bq · mq · p) mod (p · q)
wobei
Prof. Dr. C. Karg (HS Aalen)
mp ≡ q−1
mq ≡ p−1
(mod p)
(mod q)
Kryptographische Algorithmen
Public Key Kryptosysteme
30 / 138
Rabin-Kryptosystem
Entschlüsselung
Beispiel zur Entschlüsselung
Bob wählt die Primzahlen p = 131 und q = 139 als geheimen
Schlüssel und veröffentlicht den Schlüssel n = p · q = 18209.
Alice will die Nachricht x = 4273 verschlüsselt an Bob senden. Hierzu
berechnet sie
y = x2
(mod n) = 42732
(mod 18209) = 13111
und sendet anschließend den Geheimtext 13111 an Bob.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
31 / 138
Entschlüsselung
Beispiel zur Entschlüsselung (Forts.)
Um Alices Nachricht zu entschlüsseln, berechnet Bob mit dem
erweiterten Algorithmus von Euklid die Werte mp und mq , so dass
1 = mq · p + mp · q
Man überprüft ohne Mühe, dass
mp · q ≡ 1
mq · p ≡ 1
(mod p) und
(mod q)
Der Euklid’sche Algorithmus liefert mp = −49 und mq = 52 als
Ergebnis.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
32 / 138
Rabin-Kryptosystem
Entschlüsselung
Beispiel zur Entschlüsselung (Forts.)
Bob berechnet
und
x1 ≡
≡
x2 ≡
≡
13111(131+1)/4
81
131 − 81
50
(mod
(mod
(mod
(mod
131)
131)
131)
131)
y1 ≡
≡
y2 ≡
≡
13111(139+1)/4
36
139 − 36
103
(mod
(mod
(mod
(mod
139)
139)
139)
139)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
33 / 138
Entschlüsselung
Beispiel zur Entschlüsselung (Forts.)
Anschließend benutzt Bob den Chinesischen Restsatz zur Berechnung
der Wurzeln:
v1 ≡
≡
≡
v2 ≡
≡
≡
(x1 · q · mp + y1 · p · mq )
(81 · 139 · −49 + 36 · 131 · 52)
3094
(x2 · q · mp + y2 · p · mq )
(50 · 139 · −49 + 36 · 131 · 52)
13936
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
(mod
(mod
(mod
(mod
(mod
(mod
n)
18209)
18209)
n)
18209)
18209)
Public Key Kryptosysteme
34 / 138
Rabin-Kryptosystem
Entschlüsselung
Beispiel zur Entschlüsselung (Forts.)
v3 ≡
≡
≡
v4 ≡
≡
≡
(x1 · q · mp + y2 · p · mq )
(81 · 139 · −49 + 103 · 131 · 52)
4273
(x2 · q · mp + y1 · p · mq )
(50 · 139 · −49 + 103 · 131 · 52)
15115
(mod
(mod
(mod
(mod
(mod
(mod
n)
18209)
18209)
n)
18209)
18209)
Bob erkennt (auf eine dem Autor dieses Dokuments nicht bekannte
Art und Weise), dass v3 = 4273 der von Alice versendete Klartext ist.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
35 / 138
Public Key Kryptosysteme
36 / 138
Entschlüsselung
Algorithmus zur Entschlüsselung
RabinDecrypt(a, p, q)
Input: Geheimtext a, geheimer Schlüssel (p, q)
Output: Wurzeln ⟨v1 , v2 , v3 , v4 ⟩ von a modulo p · q
1 n := p · q
2 ⟨d, mq , mp ⟩ := ExtendedEuclid(p, q)
3 x1 := a(p+1)/4 mod p
4 x2 := p − x1
5 y1 := a(q+1)/4 mod q
6 y2 := q − y1
7 v1 := (x1 · q · mp + y1 · p · mq ) mod n
8 v2 := (x2 · q · mp + y1 · p · mq ) mod n
9 v3 := (x1 · q · mp + y2 · p · mq ) mod n
10 v4 := (x2 · q · mp + y2 · p · mq ) mod n
11 return ⟨v1 , v2 , v3 , v4 ⟩
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Sicherheitsaspekte
Sicherheitsaspekte
• Die Sicherheit des Rabin-Kryptosystems ist an das
Faktorisierungsproblem gekoppelt
• Findet man eine effiziente Methode, um das Rabin-Kryptosystem
zu brechen, dann kann man effizient zusammengesetzte Zahlen
faktorisieren, und umgekehrt
• Das Rabin-System ist anfällig gegen eine Attacke mit frei
wählbarem Geheimtext
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
37 / 138
Angriff mit frei wählbarem Geheimtext
Angriff mit frei wählbarem Geheimtext
Annahme: x ist eine der vier Wurzeln von y = r2 mod n
Dann kann man unter Einsatz des CRT vier Fälle unterschieden:
(1)
(2)
(3)
(4)
x ≡ r (mod p) und x ≡ r (mod q)
x ≡ −r (mod p) und x ≡ −r (mod q)
x ≡ r (mod p) und x ≡ −r (mod q)
x ≡ −r (mod p) und x ≡ r (mod q)
Erkenntnis:
• Die Fälle (1) und (2) sind nicht verwertbar
• Anhand Fall (3) oder (4) kann man n faktorisieren
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
38 / 138
Rabin-Kryptosystem
Angriff mit frei wählbarem Geheimtext
Angriff mit frei wählbarem Geheimtext (Forts.)
Aus Fall (3) folgt, dass:
x − r ≡ 0 (mod p) und x − r ≡ −2r (mod q)
Anwendung des CRT:
x − r ≡ 0 · q · mp − 2 · r · p · mq
≡ −2 · r · p · mq
(mod n)
(mod n)
Also ist:
x − r = ℓ · n − 2 · r · p · mq
= p · (ℓ · q − 2 · r · mq )
für ein ℓ ∈ N. Hieraus folgt: gcd(x − r, n) = p
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Rabin-Kryptosystem
Public Key Kryptosysteme
39 / 138
Angriff mit frei wählbarem Geheimtext
Angriff mit frei wählbarem Geheimtext (Forts.)
Fall (4) kann auf analoge Weise analysiert werden
Bemerkungen:
• Die Wahrscheinlichkeit, dass für ein zufälliges r Fall (3) oder (4)
eintritt, ist 21
• Durch wiederholtes Ausführen von RabinAttack(n) kann die
Erfolgswahrscheinlichkeit erhöht werden
• Liefert RabinAttack(n) alle vier Wurzeln als Ergebnis, dann
führt der Angriff direkt zum Erfolg
• Der Angriff kann verhindert werden, indem man den Klartext mit
einer eindeutigen, wiedererkennbaren Markierung versieht
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
40 / 138
Rabin-Kryptosystem
Angriff mit frei wählbarem Geheimtext
Angriff mit frei wählbarem Geheimtext (Forts.)
RabinAttack(n)
Input: Öffentlicher Schlüssel n
1 r := Random(1, n − 1)
2
2 y := r mod n
3 // Die Entschlüsselung liefert eine der vier Wurzeln
4 x := RabinDecrypt(y)
5 if x ≡ ±r (mod n) then
6
return”Failure”
7 else
8
p := gcd(x − r, n)
9
q := n/p
10
return (p, q)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
41 / 138
RSA-Kryptosystem
RSA-Kryptosystem
• Erstes asymmetrisches Kryptosystem
• Erfindung im Jahr 1977
• Benannt nach seinen Erfindern Ronald Rivest, Adi Shamir &
Leonard Adleman
• Sicherheit abhängig von der Komplexität des
Faktorisierungsproblems
• Weltweit meist genutztes Public Key Kryptosystem
• Für Details zur Implementierung siehe Standard PKCS #1
Version 2.2 (⇝ Webpage)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
42 / 138
RSA-Kryptosystem
Definition
Definition RSA-Kryptosystem
Parameter:
• Primzahlen p und q, wobei p ̸= q
• n=p·q
Kryptosystem:
• P = C = Zn
}
{
n = pq, wobei p, q prim,
• K = (n, p, q, e, d) e · d ≡ 1 (mod ϕ(n))
• Schlüssel k = (n, p, q, e, d) ∈ K
▷ Öffentlicher Teil: (n, e)
▷ Privater Teil: (p, q, d)
• Verschlüsselung: enc(k, x) = xe mod n
• Entschlüsselung: dec(k, y) = yd mod n
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
43 / 138
Beispiel
Beispiel zu RSA
Angenommen, Bob wählt p = 101 und q = 113. Dann ist n = 11413
und ϕ(n) = 100 × 112 = 11200.
Die Primfaktorzerlegung von 11200 ist 26 52 7. Also muss Bob für e
eine Zahl wählen, die nicht durch 2, 5 und 7 teilbar ist. Er entscheidet
sich für e = 3533. Er überprüft mittels des Extended Euklid
Algorithmus, dass gcd(e, ϕ(n)) = 1 und ermittelt
e−1 = 6597 mod 11200.
Der geheimzuhaltende Exponent zur Entschlüsselung ist also
d = 6597.
Bob veröffentlicht den öffentlichen Schlüssel (n = 11413, e = 3533) in
einem für jedermann lesbaren Public Key Verzeichnis.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
44 / 138
RSA-Kryptosystem
Beispiel
Beispiel zu RSA (Forts.)
Alice will den Klartext x = 9726 an Bob senden. Hierzu besorgt sie
sich Bob’s öffentlichen Schlüssel (n = 11413, e = 3533) aus obigem
Public Key Verzeichnis.
Anschließend berechnet sie
97263533 mod 11413 = 5761
und sendet den Geheimtext 5761 an Bob.
Bob benutzt seinen geheimen Schlüssel d = 6597, um die Nachricht
zu entschlüsseln:
57616597 mod 11413 = 9726.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
45 / 138
Offene Fragen
Offene Fragen
• Ist RSA tatsächlich ein Kryptosystem? Mit anderen Worten, gilt
die Gleichung
dec(k, enc(k, x)) = (xe mod n)d mod n = x
für alle x ∈ P und k = (n, p, q, e, d) ∈ K?
• Warum ist RSA sicher?
• Kann man RSA effizient implementieren?
• Wie wird der Schlüssel k = (n, p, q, e, d) erzeugt? Was ist hierbei
zu beachten?
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
46 / 138
RSA-Kryptosystem
Korrektheit
Warum funktioniert RSA?
Aufgrund der Definition von RSA gilt für k = (n, p, q, e, d):
dec(k, enc(k, x)) = xed mod n.
Die Zahlen e und d sind multiplikative Inverse modulo
ϕ(n) = (p − 1)(q − 1). Somit ist
ed = 1 + i(p − 1)(q − 1)
für eine ganze Zahl i.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
47 / 138
Korrektheit
Warum funktioniert RSA? (Forts.)
Für x ̸≡ 0 (mod p) folgt wegen dem Satz von Fermat:
xed ≡ x(xp−1 )i(q−1)
≡ x(1)i(q−1)
≡ x
(mod p)
(mod p)
(mod p)
Ferner ist xed ≡ x mod p, falls x ≡ 0 (mod p).
Also gilt für alle x ∈ Zn : xed ≡ x mod p.
Analog zeigt man, dass xed ≡ x mod q für alle x ∈ Zn .
Da n = pq, folgt wegen des Chinesischen Restsatzes, dass
xed ≡ x (mod n)
für alle x ∈ Zn .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
48 / 138
RSA-Kryptosystem
Sicherheit
Sicherheit von RSA
Die Sicherheit von RSA beruht auf der (vermutlich) hohen
Komplexität zweier arithmetischer Probleme.
• Faktorisierungsproblem: Finde für eine gegebene ganze Zahl n
zwei ganzzahlige Faktoren von n, d.h., zwei Zahlen p, q ∈ Z so
dass p · q = n.
• Invertieren der modularen Potenzfunktion: Finde für die
gegebenen ganzen Zahlen e, n, y wobei n > 0 ein x ∈ Zn so dass
xe mod n = y.
Für keines der beiden Probleme ist ein Polynomialzeit Algorithmus
bekannt. Allerdings konnte bisher auch nicht bewiesen werden, dass
kein Polynomialzeit Algorithmus für obige Probleme existiert.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
49 / 138
Erzeugen eines RSA Schlüssels
Erzeugen eines RSA Schlüssels
Schritte zur Generierung eines RSA-Schlüssels:
1. Generierung zweier großer Primzahlen p und q (mindestens 2048
Bit pro Primzahl)
2. Berechnung von n = pq und ϕ(n) = (p − 1)(q − 1)
3. Generierung einer Zufallszahl e ∈ {1, 2, . . . , ϕ(n) − 1}, wobei
gcd(e, ϕ(n)) = 1
4. Berechnung d = e−1 mod ϕ(n) mit dem Erweiterten Algorithmus
von Euklid
5. Veröffentlichung des öffentlichen Schlüssels (n, e) auf geeignete
Art und Weise
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
50 / 138
RSA-Kryptosystem
Berechnung von multiplikativen Inversen
Erweiterter Algorithmus von Euklid
ExtendedEuclid(a, b)
Input: a, b ganze Zahlen, wobei a > b > 0
Output: (d, x, y) wobei d = ax + by = gcd(a, b)
1
if (b = 0) then
2
return (a, 1, 0);
3
else
4
(d ′ , x ′ , y ′ ) := ExtendedEuclid(b, a mod b)
5
d := d ′ ;
6
x = y ′;
7
y = x ′ − ⌊ ba ⌋y ′
8
return (d, x, y)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
51 / 138
Berechnung von multiplikativen Inversen
Berechnung von multiplikativen Inversen
Bekannt: a ist invertierbar modulo n, falls gcd(a, n) = 1.
Wegen ZTK (Satz 3.4) gibt es x, y ∈ Z so dass
gcd(a, n) = 1 = ax + ny.
Somit gilt:
1 ≡ ax + ny
≡ ax
(mod n)
(mod n)
Also: x ist das multiplikative Inverse von a modulo n.
Fazit: Multiplikative Inverse kann man mittels dem Extended Euklid
Algorithmus berechnen.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
52 / 138
RSA-Kryptosystem
Berechnung von multiplikativen Inversen
Algorithmus zur Inversenberechnung
MultInverse(a, n)
Input: a, n ganze Zahlen, wobei n > 0
Output: a−1 mit aa−1 ≡ 1 (mod n) falls existent
1
(d, x, y) := ExtendedEuklid(a, n)
2
if (d ̸= 1) then
3
return “Inverse doesn’t exist.”
4
else
5
return x
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
RSA-Kryptosystem
Public Key Kryptosysteme
53 / 138
Garner Verfahren
Effiziente Entschlüsselung mit Garners Verfahren
Ansatz: Einsatz von p und q zur effizienteren Entschlüsselung von y
Garner’s Formel: Berechne
a = yd mod p
b = yd mod q
x = (((a − b)(q−1 mod p)) mod p) · q + b
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
54 / 138
Angriffe auf RSA
Angriffe auf RSA
• Die Sicherheit von RSA hängt von verschiedenen Faktoren ab,
insbesondere von
▷ der Qualität des Schlüssels, und
▷ der Geheimhaltung des privaten Schlüssels
• Gelingt es, ein Bit eines beliebig wählbaren Geheimtextes zu
entschlüsseln, dann kann man den kompletten Geheimtext
entschlüsseln
• Trotz der bekannten Schwächen ist RSA bei korrekter Benutzung
als sicher einzustufen
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
55 / 138
Angriffe auf RSA
Angriffsziele
• Komplette Kompromittierung
⇝ Oskar ist in der Lage, den geheimen Teil des RSA-Schlüssels
von Bob zu ermitteln und kann somit alle Geheimtexte
entschlüsseln
• Komplette oder teilweise Entschlüsselung eines Geheimtexts
⇝ Oskar kann Teile von vertraulichen Informationen ermitteln,
jedoch nicht den geheimen Teilschlüssel von Bob berechnen
• Unterscheidbarkeit von Geheimtext
⇝ mit einer Wahrscheinlichkeit von > 12 kann Oskar einen
verschlüsselten Klartext von einem Zufallsstring unterscheiden
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
56 / 138
Angriffe auf RSA
Faktorisierung von n bei bekannten ϕ(n)
Faktorisierung von n bei bekanntem ϕ(n)
Annahme: Oskar kennt:
1. n = p · q
2. ϕ(n) = (p − 1) · (q − 1)
Ziel: Berechnung eines Faktors von n
Ansatz: Gleichungssystem mit den Unbekannten p und q lösen
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
57 / 138
Faktorisierung von n bei bekannten ϕ(n)
Faktorisierung von n bei bekanntem ϕ(n) (Forts.)
Gleichung 1: q =
n
p
⇝ Einsetzen in Gleichung 2
(
ϕ(n) = (p − 1) ·
n
−1
p
)
Umformen:
n
+1
p
p · ϕ(n) = pn − p2 − n + p
0 = p2 + (ϕ(n) − n − 1)p + n
ϕ(n) = n − p −
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
58 / 138
Angriffe auf RSA
Faktorisierung von n bei bekannten ϕ(n)
Faktorisierung von n bei bekanntem ϕ(n) (Forts.)
Mitternachtsformel:
p1,2 =
−b ±
√
b2 − 4ac
2a
mit:
a = 1
b = ϕ(n) − n − 1
c = n
Ist diese Gleichung lösbar, dann sind p1 und p2 die beiden Faktoren
von n, d.h., n = p1 · p2
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
59 / 138
Die Wiener Attacke
Die Wiener Attacke
• Angriff von Michael J. Wiener
• Sind die Parameter des RSA-Schlüssels ungünstig gewählt, dann
kann man n faktorisieren
• Es kommt ein Satz aus der Zahlentheorie zum Einsatz
• Herleitung mittels endlichen Kettenbrüchen
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
60 / 138
Angriffe auf RSA
Die Wiener Attacke
Endliche Kettenbrüche
Ein (endlicher) Kettenbruch ist ein Term
q1 +
1
q2 +
1
q3 +...+ q1
.
m
wobei q1 , . . . , qm nicht-negative, ganze Zahlen sind.
Eine alternative Schreibweise ist:
[q1 , . . . , qm ]
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
61 / 138
Die Wiener Attacke
Endliche Kettenbrüche (Forts.)
Satz 4 Seien a, b ∈ N, wobei b > 0. Dann existiert ein endlicher
Kettenbruch [q1 , . . . , qm ] mit
1
a
= q1 +
1
b
q2 + q +...+
3
.
1
qm
Bemerkung. Der Kettenbruch kann mit dem Algorithmus von Euklid
berechnet werden.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
62 / 138
Angriffe auf RSA
Die Wiener Attacke
Algorithmus von Euklid
Euklid(a, b)
Input: Ganze Zahlen a, b ∈ N 0 , wobei a > 0, b ≥ 0.
Output: (d, ⟨q1 , . . . , qm ⟩), wobei d = gcd(a, b)
1 r0 := a
2 r1 := b
3 m := 1
4 while rm ̸= 0 do
⌊
⌋
rm−1
5
qm := rm
6
7
8
9
rm+1 := rm−1 − qm · rm
m := m + 1
m := m − 1
return (rm , ⟨q1 , . . . , qm ⟩)
Prof. Dr. C. Karg (HS Aalen)
// d.h. rm+1 = gcd(rm−1 , rm )
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
63 / 138
Die Wiener Attacke
Beispiel: Berechnung eines Kettenbruchs
Gegeben: a = 42, b = 73
Der Ablauf der Berechnung des Algorithmus von Euklid ist:
42
73
42
31
11
9
2
=
=
=
=
=
=
=
0 · 73 + 42
1 · 42 + 31
1 · 31 + 11
2 · 11 + 9
1·9+2
4·2+1
2·1+0
Jede Gleichung repräsentiert dabei den Term rm−1 = qm · rm + rm+1 .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
64 / 138
Angriffe auf RSA
Die Wiener Attacke
Beispiel: Berechnung eines Kettenbruchs (Forts.)
Der Algorithmus von Euklid liefert (1, [0, 1, 1, 2, 1, 4, 2]) als Ergebnis.
Also ist:
42
=0+
73
1+
Prof. Dr. C. Karg (HS Aalen)
1
1
1+
1
2+
1+
1
1
4+ 1
2
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
65 / 138
Die Wiener Attacke
Konvergenten eines Kettenbruchs
Sei [q1 , . . . , qm ] ein Kettenbruch. Für 1 ≤ j ≤ m ist
Cj = [q1 , . . . , qj ]
die j-te Konvergente von [q1 , . . . , qm ].
Cj nennt man auch den j-ten Näherungsbruch.
Cj ist darstellbar als
cj
,
dj
wobei




j=0
j=0
1,
0,
cj = q1 ,
j = 1 und dj = 1,
j=1




qj · cj−1 + cj−2 , j ≥ 2
qj · dj−1 + dj−2 , j ≥ 2
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
66 / 138
Angriffe auf RSA
Die Wiener Attacke
Beispiel: Konvergenten
Gegeben ist der Kettenbruch [0, 1, 1, 2, 1, 4, 2].
Die entsprechenden Konvergenten sind:
[0]
[0, 1]
[0, 1, 1]
[0, 1, 1, 2]
[0, 1, 1, 2, 1]
[0, 1, 1, 2, 1, 4]
[0, 1, 1, 2, 1, 4, 2]
Prof. Dr. C. Karg (HS Aalen)
=
=
=
=
=
=
=
0/1
1/1
1/2
3/5
4/7
19/33
42/73
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
67 / 138
Die Wiener Attacke
Ein wichtiger Satz …
Satz 5 Seien a, b, c, d beliebige natürliche Zahlen.
Angenommen, gcd(a, b) = 1, gcd(c, d) = 1 und
a c
1
− < 2.
b d
2d
Dann ist
c
d
eine der Konvergenten des Kettenbruchs von ba .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
68 / 138
Angriffe auf RSA
Die Wiener Attacke
…und seine Folgen
Anwendung: Berechnung des geheimen Exponenten d
Voraussetzungen:
• q < p < 2q
• 3d < n1/4
Bemerkung: Der Angriff ist erfolgreich, wenn
• p und q nicht zu weit auseinander liegen und
• die Binärdarstellung von d weniger als ℓ/4 − 1 Bits groß ist.
Hierbei steht ℓ für die Länge der Binärdarstellung von n
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
69 / 138
Die Wiener Attacke
Anwendung des Satzes
Da e · d ≡ 1 (mod ϕ(n)), existiert ein t, so dass
e · d − t · ϕ(n) = 1.
√
Da n = p · q > q2 , ist q < n.
Hieraus folgt:
√
0 < n − ϕ(n) = p + q − 1 < 2q + q − 1 < 3q < 3 n
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
70 / 138
Angriffe auf RSA
Die Wiener Attacke
Anwendung des Satzes (Forts.)
Einsetzen, wobei a = e, b = n, c = t, d = d:
e
ed − tn t − = n d
dn 1 + t(ϕ(n) − n) = dn
(
)
1
+
t(ϕ(n)
−
n)
= −
dn
t(n − ϕ(n)) − 1 = dn
t(n − ϕ(n)) < dn
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
71 / 138
Public Key Kryptosysteme
72 / 138
Die Wiener Attacke
Anwendung des Satzes (Forts.)
√
t(n − ϕ(n)) t
·
3
n
<
dn
dn
3t
= √
d n
Da t < d, ist 3t < 3d < n1/4 . Hieraus folgt:
3t
n1/4
√ <
dn1/2
d n
1
=
dn1/4
1
<
3d2
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Die Wiener Attacke
Anwendung des Satzes (Forts.)
Zusammenfassung:
e
1
t − < 2
n d
3d
Wegen des obigen Satzes ist
t
d
eine der Konvergenten von
Folgerung: Anhand der Konverten von
berechnen
Prof. Dr. C. Karg (HS Aalen)
e
n
kann man ϕ(n) =
Kryptographische Algorithmen
Angriffe auf RSA
e
n
e·d−1
t
Public Key Kryptosysteme
73 / 138
Die Wiener Attacke
Wiener Attacke
Eingabe: Öffentlicher RSA-Schlüssel (n, e)
Vorgehen:
1. Berechne die Konvergenten
ck
c0 c1
, ,...,
d0 d1
dk
des Kettenbruchs ne
2. Überprüfe für die Konvergente
ci
,
di
i = 2, . . . , k,
▷ ob ϕn = e·dcii−1 eine ganze Zahl ist, und
▷ ob n anhand von ϕn faktorisierbar ist
3. Schlägt die obige Überprüfung für alle Konvergenten fehl, dann
gib “Angriff fehlgeschlagen” aus.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
74 / 138
Angriffe auf RSA
Die Wiener Attacke
Beispiel Wiener Attacke
Gegeben: n = 2989234739, e = 2501103889.
Der Kettenbruch von
e
n
ist:
[0, 1, 5, 8, 13, 3, 2505, 1, 7, 3, 1, 5, 3]
Für c4 = 41 und d4 = 49 ist
ϕn =
e · d4 − 1
2501103889 · 49 − 1
=
= 2989124160
c4
41
Die Faktorisierung von n anhand von ϕn liefert p = 47059 und
q = 63521 als Faktoren von n.
Der geheime RSA-Schlüssel ist d = 49.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
75 / 138
Highest-Order-Bit-Attacke
Highest-Order-Bit-Attacke
Annahme: Für y = enc(K, x) ist die Funktion
{
0, 0 ≤ x < n2
half(y) =
1, n2 < x ≤ n − 1
effizient berechenbar.
Frage: Lässt sich dies für einen Angriff auf RSA ausnutzen?
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
76 / 138
Angriffe auf RSA
Highest-Order-Bit-Attacke
Eine nützliche Eigenschaft von RSA
Für alle x1 , x2 ∈ Zn gilt:
enc(K, x1 · x2 ) ≡ (x1 · x2 )d
≡ xd1 · xd2
≡ enc(K, x1 ) · enc(K, x2 )
(mod n)
(mod n)
(mod n)
Insbesondere gilt für alle i = 1, 2, 3, . . .:
enc(K, 2i · x2 ) ≡ enc(K, 2i ) · enc(K, x2 ) (mod n)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
77 / 138
Highest-Order-Bit-Attacke
Anwendung der obigen Eigenschaft
[ n)
half(enc(K, x)) = 0 ⇔ x ∈ 0,
2
[ n ) [ n 3n )
half(enc(K, 2 · x)) = 0 ⇔ x ∈ 0,
∪ ,
4
2 4
[
)
[ n)
n 3n
∪ ,
half(enc(K, 4 · x)) = 0 ⇔ x ∈ 0,
∪
8
4 8
[
) [
)
n 5n
3n 7n
,
,
∪
2 8
4 8
..
.
Mittels Binärer Suche kann man den Schlüssel systematisch
berechnen.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
78 / 138
Angriffe auf RSA
Highest-Order-Bit-Attacke
Algorithmus HalfAttack(n, e, y)
HalfAttack(n, e, y)
Input: Öffentlicher RSA-Schlüssel (n, e), Geheimtext y
Output: Zu y gehörender Klartext x
1 ℓ := ⌊log2 n⌋
2 for i := 0 to ℓ do
3
hi := Half(n, e, y)
4
y := y · 2e mod n
5 lo := 0; hi := n
6 for i := 0 to ℓ
7
mid := (hi + lo)/2
8
if hi = 1 then
9
lo := mid
10
else
11
hi := mid
12 return ⌊hi⌋
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
79 / 138
Highest-Order-Bit-Attacke
Bemerkungen zu HalfAttack(n, e, y)
• Der Algorithmus nutzt die multiplikative Eigenschaft sowie die
Half-Funktion, um das höchstwertigste Bit von
x, 2 · x, 22 · x, . . . , 2ℓ−1 · x
zu berechnen.
• Anschließend wird auf Basis der höchstwertigsten Bits eine Binäre
Suche durchgeführt, um den Klartext x zu bestimmen.
• Die Nachkommastellen bei der Division sind zu beachten.
• Die Laufzeit des Algorithmus ist O(ℓ3 + ℓ · th (ℓ)), wobei th (ℓ) für
die Laufzeit von Half(n, e, y) für ℓ-Bit Zahlen steht
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
80 / 138
Angriffe auf RSA
Highest-Order-Bit-Attacke
Beispiel
Gegeben: n = 4757, e = 857, y = 2238.
Die Wortlänge von n ist ℓ = ⌊log2 ⌋ = 12.
Die Berechnung der höchstwertigsten Bits liefert:
i 0 1 2 3 4 5 6 7 8 9 10 11 12
hi 0 0 1 0 0 1 1 1 1 1 1 0 1
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
81 / 138
Highest-Order-Bit-Attacke
Beispiel (Forts.)
i
0
1
2
3
4
5
6
7
8
9
10
11
12
−
hi
0
0
1
0
0
1
1
1
1
1
1
0
1
−
lo
0.000000000000
0.000000000000
0.000000000000
594.625000000000
594.625000000000
594.625000000000
668.953125000000
706.117187500000
724.699218750000
733.990234375000
738.635742187500
740.958496093750
740.958496093750
741.539184570312
mid
2378.500000000000
1189.250000000000
594.625000000000
891.937500000000
743.281250000000
668.953125000000
706.117187500000
724.699218750000
733.990234375000
738.635742187500
740.958496093750
742.119873046875
741.539184570312
741.539184570312
hi
4757.000000000000
2378.500000000000
1189.250000000000
1189.250000000000
891.937500000000
743.281250000000
743.281250000000
743.281250000000
743.281250000000
743.281250000000
743.281250000000
743.281250000000
742.119873046875
742.119873046875
Ergebnis: Klartext x = 742
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
82 / 138
Angriffe auf RSA
Highest-Order-Bit-Attacke
Angriff durch Berechnung des niederwertigsten Bits
Falls für y = enc(K, x) die Funktion
{
0,
parity(y) =
1,
x gerade
x ungerade
effizient berechenbar ist, dann kann man auch den kompletten
Klartext berechnen.
Begründung: Es gelten folgende Beziehungen:
half(y) = parity((y · enc(K, 2)) mod n)
parity(y) = half((y · enc(K, 2−1 )) mod n)
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Angriffe auf RSA
Public Key Kryptosysteme
83 / 138
Zusammenfassung
Zusammenfassung
• RSA nutzt modulare Exponentiation zur Ver- und
Entschlüsselung.
• Die Sicherheit von RSA beruht auf der (hoffentlich) hohen
Berechnungskomplexität des Faktorisierungsproblems und des
diskreten Logarithmus.
• Da der öffentliche Teil des Schlüssels öffentlich zugänglich ist,
kann jedermann eine verschlüsselte Nachricht an Bob senden.
• RSA kann auch zur Signatur von Nachrichten eingesetzt werden.
• Bei hinreichend langer Schlüssellänge und guter Wahl der
Parameter gilt RSA als sicheres Kryptosystem.
• Für eine praxistaugliche Implementierung sind diverse Aspekte zu
beachten. Weitere Details findet man im RSA-Standard.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
84 / 138
Diffie-Hellman-Schlüsselaustausch
Diffie-Hellman-Schlüsselaustausch
• Erfunden von Whitfield Diffie und Martin E. Hellman aus dem
Jahr 1976
• Protokoll zur vertraulichen Konstruktion eines Schlüssels über
einen unsicheren Kanal
• Sicherheit basiert auf dem Diskreter-Logarithmus-Problem
• Die Arbeit von Diffie und Hellman gilt als die Geburtsstunde der
Public Key Kryptografie
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Diffie-Hellman-Schlüsselaustausch
Public Key Kryptosysteme
85 / 138
Protokoll
Protokoll zum Schlüsselaustausch
Sei p eine Primzahl und α ein Generator von Z∗p
Alice
Bob
Wählt zufällig ein a ∈ Z∗p
Wählt zufällig ein b ∈ Z∗p
αa mod p
αb mod p
αab mod p
Geheimer Schlüssel
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
86 / 138
Diffie-Hellman-Schlüsselaustausch
Protokoll
Beispiel
Angenommen, p = 27803 und α = 5 sind die öffentlichen Parameter
für einen Diffie-Hellman-Schlüsselaustausch.
Alice würfelt a = 21131 und berechnet 521131 mod 27803 = 21420.
Anschließend sendet sie Bob diesen Wert.
Bob würfelt b = 17555 und berechnet 517555 mod 27803 = 17100.
Diesen Wert sendet er an Alice.
Alice und Bob berechnen schließlich den geheimen Schlüssel
2142017555 mod 27803 = 1710021131 mod 27803 = 11134.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Diffie-Hellman-Schlüsselaustausch
Public Key Kryptosysteme
87 / 138
Protokoll
Man-In-The-Middle Attacke
∗
αa mod p
Alice
αa mod p
Oskar
∗
αb mod p
Bob
αb mod p
• Oskar sitzt “zwischen” Alice und Bob und fungiert als
Vermittlungsstelle.
• Oskar ersetzt die Teilschlüssel von Alice und Bob durch seine
eigenen.
• Alice und Bob können zwar ihre Daten mit dem ausgehandelten
Schlüssel verschlüsseln, aber keiner kann die Daten des anderen
entschlüsseln.
• Oskar kann alle Daten ver- bzw. entschlüsseln und entsprechend
weiterleiten.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
88 / 138
Diffie-Hellman-Schlüsselaustausch
Station-To-Station-Protokoll
Verbessertes Verfahren
Sei p eine Primzahl und α ein Generator von Z∗p
Alice
Bob
a
α
αb , signB (mB , αa , αb )
signA (mA , αa , αb )
Alle Berechnungen verstehen sich modulo p
mA und mB stehen für den Signaturschlüssel von Alice bzw. Bob
• Dieses Verfahren ist eine Vereinfachung des Station-To-Station
Protokolls.
• Eine zusätzliche Absicherung wird durch den Einsatz von
Zertifikaten erreicht.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
89 / 138
El Gamal Kryptosystem
ElGamal Kryptosystem
• Erfindung von Taher ElGamal aus dem Jahr 1984
• Probabilistisches Kryptosystem
• Sicherheit hängt ab vom Diskreter-Logarithmus-Problem für
endliche Körper
• Grundlage für zahlreiche weitere Kryptosysteme
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
90 / 138
El Gamal Kryptosystem
Definition
Definition ElGamal-Kryptosystem
Parameter:
• Primzahl p
• Erzeugendes Element α von Z∗p
Kryptosystem:
• P = Zp , C = Zp × Zp
• K = {(p, α, a, β) | 2 ≤ a ≤ p − 2, β ≡ αa (mod p)}.
• Schlüssel k = (p, α, a, β) ∈ K:
▷ Öffentlicher Teil: (p, α, β)
▷ Geheimer Teil: a
• Verschlüsselung: enc(k, x) = (y1 , y2 ), wobei
▷ y1 = αz mod p
▷ y2 = xβz mod p
für eine zufällig gewählte, geheime Zahl z ∈ Zp−1
• Entschlüsselung: dec(k, (y1 , y2 )) = y2 (ya1 )−1 mod p
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
El Gamal Kryptosystem
Public Key Kryptosysteme
91 / 138
Definition
Die Idee hinter ElGamal
• Alice verschlüsselt den Klartext x ∈ Zp , indem sie ihn “maskiert”,
d.h., mit βz multipliziert. Die modulare Exponentialfunktion wird
also zur Generierung eines Zufallsstroms eingesetzt.
• Da Bob die Zufallszahl z nicht kennt, muss Alice diese an ihn
senden. Dies kann nicht direkt geschehen, da Oskar sonst aus
dem öffentlich bekannten β den Wert βz berechnen und somit
den Geheimtext dechiffrieren könnte.
• Da Bob a und somit auch (αz )a = βz kennt, sendet Alice den
Wert αz . Somit ist Bob in der Lage, die Maske zu entfernen
indem er y2 mit dem Inversen von βk multipliziert.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
92 / 138
El Gamal Kryptosystem
Beispiel
Beispiel
Bob wählt p = 2579, α = 2, a = 765 und β = 2765 mod 2579 = 949.
Angenommen, Alice will an Bob die Nachricht x = 1299 senden. Sie
wählt (zufällig) die Zahl z = 853 aus. Dann berechnet sie
• y1 = 2853 mod 2579 = 435, und
• y2 = 1299 × 949853 mod 2579 = 2396.
Bei Empfang des Geheimtextes y = (435, 2396) berechnet Bob
x = 2396 × (435765 )−1 mod 2579 = 1299.
Das Ergebnis ist offensichtlich identisch mit dem von Alice versandten
Klartext.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
El Gamal Kryptosystem
Public Key Kryptosysteme
93 / 138
Korrektheit
Korrektheit von ElGamal
Zum Nachweis der Korrektheit des ElGamal Kryptosystems ist zu
zeigen, dass
dec(k, enc(k, x, z)) = x
für alle k = (p, α, a, β) ∈ K, alle z ∈ Zp−1 und alle x ∈ Zp gilt.
Betrachte y1 = αz mod p und y2 = xβz mod p.
Da
ya1 ≡ (αz )a ≡ (αa )z ≡ βz
(mod p)
ist (ya1 )−1 = (βz )−1 .
Hieraus folgt:
y2 (ya1 )−1 ≡ xβz (βz )−1 ≡ x (mod p).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
94 / 138
El Gamal Kryptosystem
Sicherheit
Warum ist ElGamal sicher?
Die Sicherheit des ElGamal Kryptosystems basiert auf folgenden
Annahmen:
• Hohe Berechnungskomplexität des DLP: Verfügt Oskar über
einen effizienten Algorithmus zur Berechnung von logpα β, dann
kann er ohne Mühe aus β = αa den geheimen Schlüssel a
berechnen.
• Zufällige Wahl von z: Benutzt Alice immer dasselbe z zur
Verschlüsselung, dann besteht die Möglichkeit eines Angriffs mit
bekanntem Klartext-Geheimtext-Paar.
Das ElGamal Kryptosystem wird auch als probabilistisches
Kryptosystem bezeichnet, da der Klartext x in viele zufällige
Geheimtexte (y1 , y2 ) abgebildet wird.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
El Gamal Kryptosystem
Public Key Kryptosysteme
95 / 138
Schlüsselerzeugung
Wie erzeugt man einen Generator?
Ähnlich wie bei RSA werden auch beim ElGamal Kryptosystem die
Parameter zufällig erzeugt.
Bei der Erstellung des Generators sind folgende Fakten hilfreich:
• Ist Z∗n eine zyklische Gruppe, dann ist die Anzahl ihrer
Generatoren gleich ϕ(ϕ(n)). Für eine Primzahl p ist die Anzahl
der Generatoren von Z∗p gleich ϕ(p − 1).
• Man kann beweisen, dass ϕ(n) ≥ n/6 ln(ln(n)) für alle n. Wenn
man also zufällig ein Element α aus Z∗n zieht, dann ist die Chance
gut, dass α ein Generator ist.
• Die Zahl α ∈ Z∗n ist ein Generator von Z∗n genau dann, wenn
αϕ(n)/p ̸≡ 1 (mod n) für alle Primteiler p von ϕ(n).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
96 / 138
El Gamal Kryptosystem
Schlüsselerzeugung
Algorithmus zur Generatorerzeugung
RandomGenerator(p, p1 , e1 , p2 , e2 , . . . , pk , ek )
Input: Primzahl p, Primfaktorzerlegung pe11 pe22 . . . pekk von ϕ(p)
Output: Generator α von Z∗p
1
found := false;
2
while (found = false) do
3
α := Random(2, p − 1);
4
found := true;
5
for i := 1 to k do
6
b := αp−1/pi mod p;
7
if (b = 1) then found := false;
8
return α;
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
El Gamal Kryptosystem
Public Key Kryptosysteme
97 / 138
Schlüsselerzeugung
Erzeugen eines ElGamal Schlüssels
Zur Erstellung eines ElGamal Schlüssels geht man folgendermaßen
vor:
1. Generiere unter Verwendung des Miller-Rabin Primzahltests
zufällig eine Primzahl q so dass auch p = 2q + 1 eine Primzahl ist.
2. Generiere mittels randomGenerator(p, 2, 1, q, 1) einen
Generator α von Z∗p .
3. Wähle zufällig ein a ∈ {2, . . . , p − 2} und berechne β = αa mod p.
4. Mache die Werte p, α und β öffentlich zugänglich.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
98 / 138
El Gamal Kryptosystem
Verallgemeinerung
Verallgemeinerung
Unter dem Diskreter Logarithmus Problem über (G, ⊕) versteht man
folgendes Berechnungsproblem:
Gegeben: (G, α, β), wobei G eine endliche Gruppe mit
Gruppenoperation ⊕, α ∈ G und β ∈ H ist. Hierbei ist H
die von α erzeugte Untergruppe.
Gesucht: Finde die eindeutig bestimmte ganze Zahl a,
0 ≤ a ≤ ∥H∥ − 1, so dass α(a) = β. Hierbei ist
a
(k)
=
k
⊕
i=1
Prof. Dr. C. Karg (HS Aalen)
a = |a ⊕ a ⊕{z. . . ⊕ a} .
k-mal
Kryptographische Algorithmen
El Gamal Kryptosystem
Public Key Kryptosysteme
99 / 138
Verallgemeinerung
ElGamal Kryptosystem über (G, ⊕)
Sei (G, ⊕) eine endliche Gruppe. Sei α ∈ G ein Element, so dass das
DLP über der von α erzeugten Untergruppe H = {αi | i ≥ 0} schwierig
zu lösen ist.
Das ElGamal Kryptosystem über (G, ⊕) ist:
• P = G, C = G × G,
• K = {(G, α, a, β) | 2 ≤ a ≤ ∥H∥ − 1, β = α(a) }
Für k = (G, α, a, β) ∈ K und eine (geheime) ganze Zahl z ∈ Z∥H∥
definiere:
• Verschlüsselung: enc(k, x, z) = (y1 , y2 ), wobei y1 = α(z) , und
y2 = x ⊕ β(z) .
−1
• Entschlüsselung: dec(k, (y1 , y2 )) = y2 ⊕ (y(a)
mod p
1 )
(G, α, β) ist der öffentliche, a der geheime Schlüssel.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
100 / 138
Elliptische Kurven
Definition
Elliptische Kurven über Zp
Betrachte eine Gleichung der Bauart
y2 ≡ x3 + ax + b (mod p),
wobei p > 3 eine Primzahl und a, b ∈ Zp mit
4a3 + 27b2 ̸≡ 0
(mod p).
Die durch diese Gleichung beschriebene Elliptische Kurve E(p, a, b) ist
die Menge all ihrer Lösungen (x, y) ∈ Zp × Zp , zusammen mit einem
zusätzlichen Punkt O. Der Punkt O wird Unendlichkeitspunkt (engl.:
point at infinity) genannt.
√
Man kann zeigen: ∥E(p, a, b)∥ = p + 1 − t mit t ≤ 2 p.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
101 / 138
Gruppenoperation
Gruppenoperation ⊕ über E(p, a, b)
Seien P = (x1 , y1 ) und Q = (x2 , y2 ) von O verschiedene Punkte in
E(p, a, b).
• P⊕O =O⊕P=P
• Falls x2 = x1 und y2 = −y1 , dann ist P ⊕ Q = O.
• Ansonsten ist P ⊕ Q = (x3 , y3 ), wobei
x3 = λ2 − x1 − x2 , und
y3 = λ(x1 − x3 ) − y1 ,
wobei
{
λ=
Prof. Dr. C. Karg (HS Aalen)
(y2 − y1 )/(x2 − x1 ), falls P ̸= Q,
(3x21 + a)/2y1 ,
Kryptographische Algorithmen
falls P = Q,
Public Key Kryptosysteme
102 / 138
Elliptische Kurven
Gruppenoperation
(E(p, a, b), ⊕) ist eine Gruppe
Die Struktur (E(p, a, b), ⊕) ist eine endliche kommutative Gruppe.
• Da (Zp , +, ·) ein Körper ist, sind alle Berechnungen von ⊕
innerhalb von Zp durchführbar. Daher ist die Menge E(p, a, b)
abgeschlossen unter ⊕.
• Das neutrale Element ist O.
• Das Inverse zu (x, y) ist (x, −y).
• Die Operation ⊕ ist assoziativ und kommutativ. Der Beweis
dieser Tatsache ist jedoch schwierig.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
103 / 138
Beispiel
Beispiel: E(11, 1, 6)
Zur Illustration untersuchen wir die Elliptische Kurve
y2 ≡ x3 + x + 6 (mod 11).
Zunächst werden die Elemente in E(11, 1, 6) berechnet.
Da 11 = 4 · 2 + 3, sind die Wurzeln eines quadratischen Rests z gleich
±z(11+1)/4 mod 11 = ±z3 mod 11.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
104 / 138
Elliptische Kurven
Beispiel
Beispiel: E(11, 1, 6) (Forts.)
x x3 + x + 6 mod 11 ∈ QR(11)?
0
6
−
1
8
−
2
5
✓
3
3
✓
4
8
−
5
4
✓
6
8
−
7
4
✓
8
9
✓
9
7
−
10
4
✓
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
y
4, 7
5, 6
2, 9
2, 9
3, 8
2, 9
Public Key Kryptosysteme
105 / 138
Beispiel
Beispiel: E(11, 1, 6) (Forts.)
Neben dem Punkt O enthält E(11, 1, 6) die folgenden Elemente:
(2, 4) (2, 7) (3, 5) (3, 6)
(5, 2) (5, 9) (7, 2) (7, 9)
(8, 3) (8, 8) (10, 2) (10, 9)
Somit gilt: ∥E(11, 1, 6)∥ = 13. Die Gruppe ist (E(11, 1, 6), ⊕) also
zyklisch.
Wegen des Satzes von Lagrange ist jedes von O verschiedene Element
ein Generator.
Im folgenden wird α = (2, 7) als Generator ausgewählt. Da die Gruppe
additiv ist, schreiben wir der Einfachheit halber i · α anstatt α(i) .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
106 / 138
Elliptische Kurven
Beispiel
Beispiel: E(11, 1, 6) (Forts.)
Um 2α = α ⊕ α zu ermitteln, berechnet man zuerst:
λ ≡
≡
≡
≡
(3 · 22 + 1) · (2 · 7)−1
2 · 3−1
2·4
8
(mod
(mod
(mod
(mod
11)
11)
11)
11)
Somit:
x3 = 82 − 2 − 2 mod 11 = 5, und
y3 = 8(2 − 5) − 7 mod 11 = 2.
Also: 2α = (5, 2).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
107 / 138
Beispiel
Beispiel: E(11, 1, 6) (Forts.)
Insgesamt:
α
4α
7α
10α
=
=
=
=
(2, 7)
(10, 2)
(7, 2)
(8, 8)
2α
5α
8α
11α
=
=
=
=
(5, 2)
(3, 6)
(3, 5)
(5, 9)
3α
6α
9α
12α
=
=
=
=
(8, 3)
(7, 9)
(10, 9)
(2, 4)
Also ist α = (2, 7) tatsächlich ein Generator von (E(11, 1, 6), ⊕).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
108 / 138
Elliptische Kurven
Anwendung: ElGamal-Kryptosystem
ElGamal mit (E(11, 1, 6), ⊕)
Bob wählt α = (2, 7) und a = 7 aus. Also ist β = 7α = (7, 2). Der
Schlüssel ist k = ((2, 7), 7, (7, 2)). Die Verschlüsselungsfunktion ist
enc(k, x, z) = (z(2, 7), x ⊕ z(7, 2)),
wobei x ∈ E(11, 1, 6) und 0 ≤ z ≤ 12. Die Entschlüsselungsfunktion
ist
dec(k, y1 , y2 ) = y2 ⊖ 7y1 .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
109 / 138
Anwendung: ElGamal-Kryptosystem
ElGamal mit (E(11, 1, 6), ⊕) (Forts.)
Angenommen, Alice will Bob den Klartext (10, 9) ∈ E(11, 1, 6)
senden. Falls sie z = 3 zufällig zieht, dann berechnet sie:
y1 = 3 · (2, 7)
= (8, 3)
und
y2 = (10, 9) ⊕ 3 · (7, 2)
= (10, 9) ⊕ (3, 5)
= (10, 2)
Der Geheimtext ist y = ((8, 3), (10, 2)).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
110 / 138
Elliptische Kurven
Anwendung: ElGamal-Kryptosystem
ElGamal mit (E(11, 1, 6), ⊕) (Forts.)
Nach Empfang des Geheimtexts y = ((8, 3), (10, 2)) entschlüsselt Bob
diesen wie folgt:
x =
=
=
=
(10, 2) ⊖ 7 · (8, 3)
(10, 2) ⊖ (3, 5)
(10, 2) ⊕ (3, 6)
(10, 9)
Die Entschlüsselung liefert also den korrekten Klartext x = (10, 9).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
111 / 138
Implementierungsaspekte
Implementierungsaspekte
Die Implementierung von ElGamal über Elliptischen Kurven ist
problematisch.
• Bei ElGamal über Zp ist der Geheimtext um den Faktor 2 größer
als der Klartext. Bei ElGamal über E(p, a, b) ist der
Vergrößerungsfaktor gleich 4.
• Der Klartextraum besteht aus Paaren in E(p, a, b). Es existiert
jedoch keine effiziente deterministische Methode, um diese Paare
systematisch zu erzeugen.
Verbesserung: Methode von Menezes und Vanstone
Idee: Verwende Elliptische Kurven “nur” zur Maskierung!
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
112 / 138
Elliptische Kurven
Kryptosystem von Menezes & Vanstone
Kryptosystem von Menezes & Vanstone
Sei E = E(p, a∗ , b∗ ) eine Elliptische Kurve, wobei p > 3 prim und das
DLP für eine Untergruppe H von E schwierig ist. Sei α der Generator
dieser Untergruppe.
• P = Z∗p × Z∗p , C = E × Z∗p × Z∗p
• K = {(α, a, β) | α ∈ E, 2 ≤ a ≤ ∥H∥ − 1, β = a · α}
• Für k = (α, a, β) und eine (geheime) Zufallszahl z ∈ Z∥H∥ und
für x = (x1 , x2 ) ∈ Z∗p × Z∗p definiere
enc(k, x, z) = (y0 , y1 , y2 )
wobei y0 = z · α, (c1 , c2 ) = z · β, und yi = ci xi mod p für i = 1, 2.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Elliptische Kurven
Public Key Kryptosysteme
113 / 138
Kryptosystem von Menezes & Vanstone
Kryptosystem von Menezes & Vanstone
• Für einen Geheimtext y = (y0 , y1 , y2 ), definiere
−1
dec(k, y) = (y1 c−1
1 mod p, y2 c2 mod p)
wobei (c1 , c2 ) = ay0 .
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
114 / 138
Digitale Signaturen
Einleitung
Alice hat Probleme
Alice erhält per Post ein teures Laptop vom Online Händler XY,
welches sie nie bestellt hat.
Sie geht der Sache nach und stellt fest, daß Oskar sie hinters Licht
geführt hat. Er hat eine E-Mail an den Händler gesandt und in ihrem
Namen den Laptop bestellt.
Um derartige Zwischenfälle in Zukunft zu vermeiden, beschließt Alice,
ihre auf elektronischem Wege abzuwickelnden Geschäfte mittels
digitaler Signaturen abzusichern.
Aber was genau ist eine digitale Signatur?
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
115 / 138
Einleitung
Anforderungen an eine digitale Signatur
• Die Signatur muss fälschungssicher sein.
• Die Echtheit der Signatur muss effizient überprüfbar sein.
• Die Signatur darf nicht von einem auf ein anderes Dokument
übertragbar sein.
• Eine Änderung des zur Signatur gehörenden Dokuments muss
erkannt werden.
Und Vorsicht: Eine digitale Signatur ist keine eingescannte
Unterschrift.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
116 / 138
Digitale Signaturen
Einleitung
Definition einer digitalen Signatur
Eine digitale Signatur ist gegeben durch ein Tupel (P, S, K, sign, ver)
mit folgenden Eigenschaften:
• P ist die Menge aller Klartexte.
• S ist die Menge aller Signaturen.
• K ist die Menge aller Schlüssel.
• sign : P × K 7→ S ist der Signierungsalgorithmus.
• ver : P × K × S 7→ {true, false} ist der Verifikationsalgorithmus.
• Für alle Klartexte x und alle Schlüssel k gilt:
{
true falls s = sign(k, x),
ver(k, x, s) =
false falls s ̸= sign(k, x).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
117 / 138
Einleitung
Anwendung einer digitalen Signatur
Alice
Oskar
Bob
x
x, s
sign
ke
unsicherer Kanal
kv
x
yes
x, s
ver
kv
Schlüsselverzeichnis
Prof. Dr. C. Karg (HS Aalen)
Benutzer
Schlüssel
Alice
kv
Kryptographische Algorithmen
Public Key Kryptosysteme
118 / 138
Digitale Signaturen
RSA Signatur
Die RSA Signatur
Das auf dem RSA Kryptosystem beruhende Signaturverfahren ist wie
folgt aufgebaut:
• P = S = Zn , wobei n = pq für hinreichend große Primzahlen p
und q
}
{
n = pq, wobei p, q prim,
• K = (n, p, q, e, d) e · d ≡ 1 (mod ϕ(n))
Für k = (n, p, q, e, d) ∈ K definiere
• Signierung: s = sign(k, x) = xd mod n wobei x ∈ Zn
• Verifikation: ver(k, x, s) = true ⇔ x ≡ se (mod n)
(n, e) ist der öffentliche Teil, (p, q, d) der geheime Teil des Schlüssels.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
119 / 138
RSA Signatur
Beispiel RSA Signatur
Alice wählt p = 7 und q = 11 und n = p · q = 77. Als geheimen
Schlüssel würfelt sie e = 13 und berechnet d = e−1 mod 60 = 37.
Um die Nachricht m = 5 zu signieren, berechnet Alice
537 mod 77 = 47
und sendet das Paar (5, 47) an Bob.
Bob überprüft die Signatur, indem er
4713 mod 77 = 5
berechnet. Offensichtlich ist sie korrekt, da das Ergebnis mit der
Nachricht identisch ist.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
120 / 138
Digitale Signaturen
RSA Signatur
Verschlüsselung und Signatur
Kombiniert man ein Kryptosystem mit einem Signaturverfahren, dann
stellt sich die Frage nach Reihenfolge von Verschlüsselung und
Signierung.
Eine Möglichkeit ist, den Klartext zunächst zu verschlüsseln und
anschließend den Geheimtext zu signieren. Alice berechnet
y = enc(kB , x) und s = sign(kA , y). Dann sendet sie die Nachricht
(y, s) an Bob.
Aber: Fängt Oskar die Nachricht ab, dann kann er die Signatur von
Alice durch seine eigene ersetzen.
Daher empfiehlt es sich, die Nachricht zuerst zu signieren und erst
danach zu verschlüsseln.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
121 / 138
RSA Signatur
Bemerkungen zur RSA Signatur
• Die RSA Signatur ist das am häufigsten eingesetzte
Signaturverfahren.
• Die Sicherheit beruht auf der (vermutlich) hohen Komplexität des
Faktorisierungsproblems.
• Der Schlüssel einer digitalen Signatur ist in der Regel länger als
bei einem Public Key Kryptosystem. Der Grund ist die zeitlich
längere Haltbarkeit von digitalen Signaturen.
• Anstatt die Nachricht blockweise zu signieren, berechnet man mit
einer kryptografischen Hashfunktion eine Prüfsumme und signiert
diese.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
122 / 138
Digitale Signaturen
ElGamal Signatur
Signaturen auf Basis von ElGamal
Sei p eine Primzahl und α ein Generator von Z∗p .
Das ElGamal Signaturverfahren ist wie folgt definiert:
• P = Z∗p , S = Z∗p × Zp−1
• K = {(p, α, a, β) | 2 ≤ a ≤ p − 2, β ≡ αa (mod p)}.
Für k = (p, α, a, β) ∈ K und eine (geheime) Zufallszahl z ∈ Z∗p−1
definiere:
• Signierung: sign(k, x, z) = (γ, δ), wobei
▷ γ = αz mod p und
▷ δ = (x − aγ)z−1 mod (p − 1).
• Verifikation: ver(k, (x, γ, δ)) = true genau dann, wenn
βγ γδ ≡ αx (mod p)
(p, α, β) ist der öffentliche und a der geheime Schlüssel.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
123 / 138
ElGamal Signatur
Beispiel zur ElGamal Signatur
Sei p = 467, α = 2, a = 127 und somit β = 2127 mod 467 = 132.
Bob will die Nachricht x = 100 signieren. Hierzu zieht er die
Zufallszahl z = 213. Man beachte, daß gcd(213, 466) = 1 und
z−1 = 431. Bob berechnet
γ = 2213 mod 467 = 29
und
δ = (100 − 127 × 29) × 431 mod 466 = 51.
Die Signatur von x = 100 ist (γ, δ) = (29, 51).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
124 / 138
Digitale Signaturen
ElGamal Signatur
Beispiel zur ElGamal Signatur (Forts.)
Um zu verifizieren, daß (γ, δ) = (29, 51) die korrekte Signatur von
x = 100 ist, berechnet man
13229 × 2951 ≡ 189
(mod 467)
und
2100 ≡ 189
(mod 467).
Offensichtlich ist die Signatur korrekt. Zur Überprüfung der Signatur
wird nur der öffentliche Schlüssel benötigt.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
125 / 138
ElGamal Signatur
Korrektheit der ElGamal Signatur
Zum Nachweis der Korrektheit verwenden wir die Gleichung
aγ + zδ ≡ x (mod p − 1).
Somit ist aγ + zδ = i(p − 1) + x für eine ganze Zahl i.
Es gilt:
Prof. Dr. C. Karg (HS Aalen)
βγ γδ ≡
≡
≡
≡
αaγ αzδ
αaγ+zδ
αi(p−1)+x
αx
(mod
(mod
(mod
(mod
Kryptographische Algorithmen
p)
p)
p)
p)
Public Key Kryptosysteme
126 / 138
Digitale Signaturen
ElGamal Signatur
Achtung: z unbedingt geheim halten!
Bei der ElGamal Signatur muss Bob unbedingt darauf achten, daß die
Zufallszahl z geheim bleibt.
Gelangt z in die Hände von Oskar, dann kann dieser unter Verwendung
des öffentlichen Schlüssels den geheimen Schlüssel a berechnen, denn
aγ = (x − zδ) mod (p − 1).
Falls γ ein Inverses modulo p − 1 besitzt, dann ist das
Signaturverfahren gebrochen. Somit kann Oskar beliebige Daten mit
Bob’s Signatur unterzeichnen.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
127 / 138
ElGamal Signatur
Achtung: z nur einmal verwenden!
Benutzt Bob ein z zur Signierung zweier verschiedener Nachrichten,
dann kann Oskar hieraus a berechnen. Angenommen, (γ1 , δ1 ) und
(γ2 , δ2 ) sind Signaturen der Nachricht x1 bzw. x2 , die unter
Verwendung derselben Zufallszahl z entstanden sind.
Es gilt: γ1 = γ2 = αz und
δ1 − δ2 ≡ (x1 − x2 )z−1
(mod p − 1).
Falls (x1 − x2 ) mod (p − 1) invertierbar ist, dann kann Oskar hieraus
z−1 und somit z bestimmen. Aus z berechnet er anschließend den
geheimen Schlüssel a.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
128 / 138
Digitale Signaturen
ElGamal Signatur
Bemerkungen zur ElGamal Signatur
• Die Sicherheit der ElGamal Signatur hängt von der Komplexität
des Diskreter Logarithmus ab.
• Die ElGamal Signatur kann auch auf Basis anderer Gruppen (z.B.
elliptischer Kurven) berechnet werden.
• Obwohl die ElGamal Signatur frei verfügbar ist, wird sie selten
eingesetzt.
• Aus der ElGamal Signatur wurde der Digital Signature Algorithm
(DSA) abgeleitet und im Jahre 1991 von der NIST standardisiert.
• Der DSA nimmt nach der RSA Signatur den zweiten Platz auf
der Liste der am meisten eingesetzten Signaturverfahren ein.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
129 / 138
Digital Signature Algorithm (DSA)
Digital Signature Algorithm (DSA)
Der Digital Signature Algorithm ist eine Variante der ElGamal
Signatur. Folgende Modifikationen wurden vorgenommen:
• Die Berechnungen erfolgen über einer Untergruppe von Z∗p der
Größe q. Hierbei ist q eine 160 Bit Primzahl, die die Zahl p − 1
teilt.
• In der Berechnung von δ wird das “−” durch ein “+” ersetzt,
d.h., δ = (x + aγ)z−1 mod q.
• Die Verifikation wird abgeändert in αx βγ ≡ γδ (mod p).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
130 / 138
Digitale Signaturen
Digital Signature Algorithm (DSA)
Definition von DSA
Sei p eine 512-bit Primzahl und q eine 160-bit Primzahl, die (p − 1)
teilt. Sei α ∈ Z∗p ein Element mit ∥⟨α⟩∥ = q.
Der
•
•
•
Digital Signature Algorithm (DSA) ist wie folgt definiert:
P = Z∗p
S = Zq × Zq
K = {(p, q, α, a, β) | 2 ≤ a ≤ p − 2, β ≡ αa (mod p)}.
Für k = (p, q, α, a, β) ∈ K und eine (geheime) Zufallszahl
1 ≤ z ≤ q − 1 definiere:
• Signierung: sign(k, x, z) = (γ, δ), wobei
▷ γ = (αz mod p) mod q und
▷ δ = (x + aγ)z−1 mod q.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
131 / 138
Digital Signature Algorithm (DSA)
Definition von DSA (Forts.)
• Verifikation: Für x ∈ Z∗p und γ, δ ∈ Zq werden die folgenden
Berechnungen durchgeführt:
▷ e1 = xδ−1 (mod q)
▷ e2 = γδ−1 (mod q)
ver(k, (x, γ, δ)) = true genau dann, wenn
(αe1 βe2 mod p) mod q = γ
(p, q, α, β) ist der öffentliche und a der geheime Schlüssel.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
132 / 138
Digitale Signaturen
Digital Signature Algorithm (DSA)
Generierung der DSA Parameter
Zur Erstellung des DSA Schlüssels führt Alice die folgenden Schritte
aus:
1. Wähle eine Primzahl q mit 2159 ≤ q ≤ 2160 .
2. Wähle eine Zahl t mit 0 ≤ t ≤ 8 und eine Primzahl
2511+64t < p < 2512+64t mit der Eigenschaft, daß q die Zahl
(p − 1) teilt.
3. Wähle ein g ∈ Z∗p und berechne α = g(p−1)/q mod p. Wiederhole
diesen Vorgang solange, bis α ̸= 1.
4. Wähle eine Zufallszahl a mit 1 ≤ a ≤ q − 1.
5. Berechne β = αa mod p.
Anschließend veröffentlicht Alice den öffentlichen Schlüssel
(p, q, α, β).
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Digitale Signaturen
Public Key Kryptosysteme
133 / 138
Digital Signature Algorithm (DSA)
Beispiel zu DSA
Angenommen, q = 101 und p = 78q + 1 = 7879. Die Zahl 3 ist ein
Generator von Z7879 . Wir wählen daher
α = 378 mod 7879 = 170.
Der geheime Teil des Schlüssels ist a = 75. Somit ist
β = αa mod 7879 = 17075 mod 7879 = 4567.
Bob will die Nachricht x = 1234 signieren. Hierzu zieht er die
Zufallszahl z = 50 und berechnet z−1 mod 101 = 99.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
134 / 138
Digitale Signaturen
Digital Signature Algorithm (DSA)
Beispiel zu DSA (Forts.)
Anschließend berechnet er die Signatur:
γ =
=
δ =
=
(17050 mod 7879) mod 101
2518 mod 101 = 94
(1234 + 75 × 94) × 99 mod 101
97
Die Signatur (94, 97) der Nachricht 1234 wird wie folgt verifiziert:
δ−1 = 97−1 mod 101 = 25
e1 = 1234 × 25 mod 101 = 45
e2 = 94 × 25 mod 101 = 27
Somit (17045 456727 mod 7879) mod 101 = 2518 mod 101 = 94.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Zusammenfassung
Public Key Kryptosysteme
135 / 138
Vorteile von Public Key Kryptosystemen
Vorteile von Public Key Kryptosystemen
• Nur der private Schlüssel muss geheimgehalten werden.
• Der öffentliche Schlüssel ist für jedermann verfügbar.
• Abhängig von der Art der Nutzung bleibt das Schlüsselpaar über
lange Zeit unverändert.
• Aus Public Key Kryptosystemen lassen sich effiziente
Signaturmechanismen ableiten.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
136 / 138
Zusammenfassung
Nachteile von Public Key Kryptosystemen
Nachteile von Public Key Kryptosystemen
• Der Datendurchsatz ist bei Public Key Kryptosystemen in der
Regel deutlich niedriger als bei Symmetrischen Kryptosystemen.
• Für Public Key Kryptografie werden längere Schlüssel benötigt
als für symmetrische Kryptografie.
• Für keines der Public Key Kryptosysteme konnte die Sicherheit
bewiesen werden.
• Alle Public Key Kryptosysteme basieren auf einer Handvoll
mathematischer Probleme.
• Public Key Kryptosysteme gibt es erst seit den 1970er Jahren.
Sie sind daher relativ unerforscht.
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
137 / 138
Zusammenfassung
Zusammenfassung
• Public Key Kryptosysteme lösen eine Vielzahl kryptografischer
Fragestellungen, die man mit symmetrischen Systemen nicht
lösen kann
• Public Key Kryptosysteme basieren auf einer kleinen Auswahl von
zahlentheoretischen Problemen
• Für keines der obigen Kryptosysteme konnte die Sicherheit
bewiesen werden
• Die in Public Key Kryptosystemen eingesetzten Techniken werden
auch für die Entwicklung von kryptografischen Protokollen
eingesetzt
Prof. Dr. C. Karg (HS Aalen)
Kryptographische Algorithmen
Public Key Kryptosysteme
138 / 138