Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

1.6. ELGAMAL SIGNATUREN 17
Der Absender sucht sich eine kollisionsresistente Hashfunktion
H : {0,1} ∗ → {1,2,...,q − 1}
und errechnet den Hashwert H (m) der Nachricht m ∈ {0,1} ∗ und den öffentlichen Schlüssel
h ≡ g x mod q.
Jetzt wählt er eine Zufallszahl k ∈ R � ∗ q und berechnet
r :≡ g k mod q, s :≡ k −1 (H (m) − xH (r)) mod (q − 1).
Die digitale Unterschrift besteht nun aus dem Paar (r,s) ∈ G ×�q.
Das Prüfen der Unterschrift geschieht durch ein Vergleichen von g H(m) mit h H(r) ·r s mod q.
Bei Gleichheit ist die Nachricht korrekt, da nach Fermat gilt:
h H(r) · r s ≡ (g x ) H(r) · g ks ≡ g xH(r)+ks ≡ g H(m) mod q,
da ks ≡ H (m) − xH (r) mod (q − 1) ist.
Sicherheit. Um Unterschriften fälschen zu können muss die Gleichung g H(m) = h H(r) r s
oder der log g h gelöst werden.
Es muss allerdings darauf geachtet werden, dass keine zwei Nachrichten mit der gleichen
Zufallszahl k signiert werden. In diesem Fall kann ein Angreifer den geheimen Schlüssel
finden:
r := g k mod q
h H(r) · r s 1 ≡ g H(m 1 ) mod q
h H(r) · r s 2 ≡ g H(m 2 ) mod q
⇒ g H(m 1 )−H(m 2 ) ≡ r s 1 −s 2 mod q
⇔ g H(m 1 )−H(m 2 ) ≡ g k(s 1 −s 2 ) mod q
⇒ H(m 1 ) − H(m 2 ) ≡ k(s 1 − s 2 ) mod (q − 1)
Sei d := ggT(s 1 − s 2 ,q − 1)
⇒ H(m ′ ) = H(m 1 ) − H(m 2 )
d
s ′
q ′
:= s1 − s2 d
:=
q − 1
d
⇒ H(m ′ ) = k · s1 − s2 d
mod q ′
ggT(s ′ ,q ′ )=1
⇒ ε ≡ (s ′ ) −1 mod q ′
Für eines der i gilt dann h ≡ g x i mod q.
x ≡ H(m ′ )ε mod q ′
⇒ x i ≡ H(m ′ )ε + iq ′ mod q i = 0,...,d − 1
Nachteil. Fälschen ist nicht äquivalent zum DL-Problem. Siehe dazu auch [PointchevalStern1996].