Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

48 3. FAKTORISIERUNGSPROBLEM, PROTOKOLLE
Der obige Faktorisierungsalg. benötigt für kleine m eine große Erfolgsws ε ≥ 2 −mt+2 von
˜P. Für m = 1 gibt [Shoup1999] einen Faktorisierungsalg. �FA an, für den eine Erfolgsws.
ε ≥ 2 −kt+1 von ˜P ausreicht.
Aktive Angreifer auf (P,V ) OS . A fordert l-mal (P, ˜V A ) OS und erzeugt dann ( ˜P A ,V ) OS .
Die Laufzeit von enthält | ˜P A |, | ˜V A | und die offene Schrittzahl von A. Es sei N = p · q mit
p − 1 = 2 m mod 2 m+1 .
PROPOSITION 3.1.5. Es gibt einen prob. Alg. FA : (A,N) ↦→ {p,q} mit Ew|FA| = O(l|A|/ε),
sofern A für zufällige v ∈R (�∗2k N )t Erfolgsw. ε ≥ 2−tk+1 für m ≥ k und ε ≥ 2−mt+2 für m < k
hat.
BEWEIS. FAm wählt s ∈R (�∗ N )t , bildet v := (s2k 1 ,...,s2k t ) und simuliert (P, ˜V A ) OS mittels
s. Dann extrahiert er {p,q} mittels ˜P A – analog zu FA. Dabei werden A, ˜P A , ˜V A als black
box benutzt. Die Koalition [P,A] zerlegt also N. �
Nach Satz 3.1.5 ist N sicher gegen aktive Angreifer A, es sei denn N ist einfach zu zerlegen.
Zerlegungsalgorithmus �FA für m < k. �FA zerlegt mittels ˜P RSA-Moduln N = p ·
q mit p − 1 = 2 m mod 2 m+1 , 2 m+1 ∤ q − 1. Es bezeichne RSAm die Menge dieser RSA-
Moduln.
REMARK 3.1.6. Beachte:
(1) Jeder RSA-Modul N ist in genau einer Menge RSAm – gegebenenfalls nach Vertauschung
von p und q.
(2) RSA 1 besteht aus den RSA-Moduln N = p · q mit p ≡ 3 mod 4, q ≡ 3 mod 4.
Diese N heissen Blum-Zahlen.
LEMMA 3.1.7. Für die N ∈ RSAm gilt
a) � ∗2m
N
= �∗2m+1 N ,
b) −1 �∈ � ∗2m
N ,
c) x ↦→ x 2 permutiert Z ∗2m
N .
�FA arbeitet mit einem verfälschten geheimen Schlüssel ˜s. Für N ∈ RSAm wird die Zuordnung
s ↦→ v abgeändert zu
2 ¯m 2 ¯m
v := ( ˜s 1 ,..., ˜s t ) fuer ein ¯m, m ≤ ¯m ≤ k.
Für zufällige ˜s ∈ (� ∗ N )t ist v nach Lemma 3.1.7 zufällig in (� ∗2m
N )t = (�∗2k N )t und ist somit
korrekt verteilt. Den Wert ¯m wählt man so, dass k + m ≥ ¯m + l + 1, diese Ungleichung gilt
stets für m = ¯m.