Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.7. BRICKELL-MCCURLEY-IDENTIFIKATION 37
2.7. Brickell-McCurley-Identifikation
[BrickellMcCurley92, Seite 29-39]
„DL-Identifikation sicher wie Faktorisierung”.
Seien p,q,w Primzahlen mit p − 1 = 2qw, w �= q, g ∈ � ∗ p \ {1} und g q ≡ 1.
Öffentlich: p,g,qw.
Public-Key: h = g x .
Private-Key: q,w mit q · w schwer zerlegbar, x.
In dem Protokoll nach [BrickellMcCurley92] wird einfach in (V,P) q durch qw = (p −
1)/2 ersetzt:
(P,V ) BM P V
1. r ∈ R �qw ¯g := g r →
2. ← e e ∈ R [0,2 t [
3. y := r + ex mod qw y → g ? = g y h −e
Wir übertragen Satz 2.1.2 auf Seite 22 von (P,V ) auf (P,V ) BM . ˜P ist Angreifer aus dem
Stand.
PROPOSITION 2.7.1. Es gibt einen prob. Alg. AL : ( ˜P,h) ↦→ log g h mit Ew|AL| = O(| ˜P|/ε),
sofern ˜P Erfolgswahrscheinlichkeit ε ≥ 2 −t+1 hat.
BEWEIS. (Skizze) AL konstruiert zu einem w, ¯g zwei Lösungen (e,y) und ( ˜e, ˜y):
g y h −e = ¯g = g ˜y h − ˜e ⇒ log g h =
y − ˜y
e − ˜e
mod qw.
O.B.d.A. gilt ggT(e − ˜e,qw) = 1, andernfalls erhält AL die Zerlegung (p − 1)/2 = q · w.
Wir beschreiben die Reduktion
Zerlegung von (p − 1)/2 ≤ pol ˜P.
Wegen g q = 1 und h ∈ 〈g〉 gibt es ein eind. bestimmtes z ∈ �q mit h = g z . Es gilt
FACT 2.7.2. x ist stat. unabh. von
z − ˜z
x = z = mod qw
e − ˜e
�
logg h � = {z + iq | u = 0,...,w − 1}.
y− ˜y
e− ˜e ∈ [log g h].
BEWEIS. Sei x = z + iq. AL hängt nur von h = gx und nicht von i ab. Es folgt
� �
y − ˜y
Wsx[ggT − x,qw = q] = 1 −
e − ˜e 1
w ,
da nur im Fall i = 0 ein ggT ungleich q herauskommt. �
PROPOSITION 2.7.3. Es gibt einen prob. Alg. AL : ( ˜P,qw) ↦→ {q,w} mit Ew|AL| = O(| ˜P|/ε)
sofern ˜P Erfolgsw. ε ≥ 2 −t+1 hat.
�