Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

296
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
295
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
(Anmerkung: Ist (p,h(p)) ∈ ZZ *, n so erfährt der Inhaber von t dadurch nichts über (p,h(p)),
da rt gleichverteilt in ZZ *
n ist. Andernfalls benötigt der Pseudonymgenerierer die Hilfe des
Inhabers von t überhaupt nicht: ggT((p,h(p)),n) ergibt einen nichttrivialen Faktor von n.
Damit hat der Pseudonymgenerierer RSA vollständig gebrochen, vgl. §3.1.3.1 und
§3.6.1, so daß er sich sein Pseudonym selbst signieren kann.)
Erhalte ((p,h(p)) • rt ) s ≡n (p,h(p)) s • r
Multipliziere mit dem multiplikativen Inversen126 von r, erhalte (p,h(p)) s
[2] Transferauftrag des Zahlenden. X erteilt dem Zeugen B den Auftrag, das Recht an
p B
E (Y,t) zu übertragen. Dieser Auftrag ist mit pZ
B (X,t) signiert. Als Fremdauthentikation legt
X diesem Auftrag eine Autorisierung bei, die besagt, daß p B
Z (X,t) über das zu transferierende
Recht verfügt und von B selbst mit pB signiert ist. Da jeder Transfer von B beglaubigt sein
muß, kann B nachprüfen, ob p B
Z (X,t) über das beglaubigte Recht tatsächlich noch verfügt oder
es bereits transferiert wurde.
Das Protokoll ist in Bild 6-6 dargestellt, wobei die Authentikationen wieder als Siegel abgebildet sind.
[3] Bestätigung des Zeugen. Der Zeuge B bestätigt X und Y den Transfer des Rechtes von
p B
Z (X,t) auf pEB (Y,t), wobei er sie unter diesen Pseudonymen adressiert.
[ 3 ]
Bestätigung
des Zeugen
B
p (Y,t)
E
be-
Bestätigung
über Besitz
[ 2 ]
Transfer-
B
p (X,t) be-
Z
sitzt Recht
sitzt Recht, er-
halten von
B
p
Z
(X,t)
auftrag des
Zahlenden
Transferiere
Recht an
B
p (Y,t)
E
Zeuge B
p B
p B
B
p
Z
( X,t)
[4] Quittung für den Zahlenden. Der Empfänger Y sendet an X eine Quittung, die nur
pZ(X,t) und pE(Y,t) bezeichnet und mit pE(Y,t) authentisiert ist, und die den Erhalt des Rechtes
bestätigt.
Verweigert Y die Quittung (was i.allg. nicht zu verhindern ist, da Y anonym ist), so kann X
die Bestätigung des Transfers durch B (aus [3]) zusammen mit der Bestätigung von Y, das
Recht unter diesem neuen Pseudonym p B
E (Y,t) empfangen zu wollen (aus [1]), als Ersatzquittung
verwenden.
Genau diese Möglichkeit unterscheidet das Quittungsproblem vom allgemeinen Werteaustauschproblem,
bei dem es nicht möglich ist, daß ein Dritter, etwa der Treuhänder, eines der
beiden Tauschobjekte ersatzweise erzeugt.
[ 6 ]
von Y
umgeformte
Bestätigung
des Zeugen
B
p
Z
( Y,t') besitzt
Recht
p B
[5] Bestätigung für den Empfänger. Der Zahlende X sendet an Y eine Bestätigung des
Transfers, die nur pZ (X,t) und pE (Y,t) bezeichnet und mit pZ (X,t) authentisiert ist.
Auch Y kann notfalls die Bestätigung von B (aus [3]) zusammen mit der Bestätigung von X
(aus [1]), das Recht an Y transferieren zu wollen, als Beweis dafür verwenden, das Recht von
pZ (X,t) empfangen zu haben.
[ 1 ]
Pseudonymwahl
pE (Y,t) ≈
B
p (Y,t)
E
B
pZ (X,t) ≈ p
Z
(X,t)
[ 4 ]
Empfänger
Y
Quittung
für den
Zahlenden
p E (Y, t) p Z (X,t)
Zahlender
X
[6] Umformen der Bestätigung. Y wird die auf p B
E (Y,t) ausgestellte Bestätigung von B,
das Recht erhalten zu haben, bei einem zukünftigen Transfer t' in Schritt [2] verwenden wollen.
Um Verkettbarkeiten und damit mögliche Deanonymisierung zu vermeiden, sollte dort nicht
p B
E (Y,t) als pZ
B (Y,t') verwendet werden.
Durch Verwendung der in §6.2.1.2.2 erwähnten umrechenbaren Autorisierungen (die
Beschreibung einer Implementierung folgt sofort) wird erreicht, daß Y die Bestätigung auf ein
neues Pseudonym umrechnen kann. Dazu muß Y allerdings bereits in Schritt [1] des Transfers t
zuerst das künftige Pseudonym p B
Z (Y,t') gewählt und daraus ein zur Umrechnung geeignetes
p B
E (Y,t) gebildet haben.
Habe Recht
von p (X,t)
Z
erhalten.
p E (Y,t)
[ 5 ]
Bestätigung
für den
Empfänger
Habe Recht
an p (Y,t)
E
transferiert.
p Z ( X,t)
Implementierung (einmal) umrechenbarer Autorisierungen mittels RSA (oder: Wie
nutze ich den Angriff von Davida, vgl. §3.6.3.1, zum blinden Leisten von Signaturen, vgl.
§3.9.5):
Wähle Pseudonym p (= Testschlüssel eines beliebigen digitalen Signatursystems). 125
Bilde mittels kollisionsresistenter Hashfunktion h: p,h(p).
Sei t, n der öffentliche RSA-Testschlüssel desjenigen, der die Autorisierung authentiziert,
z.B. der Bank.
Wähle Zufallszahl r gleichverteilt in ZZ *. n (Zur Erinnerung: Dies bedeutet 1 ≤ r < n, und r
besitzt multiplikatives Inverses mod n.)
Berechne (p,h(p)) • rt (mod n).
Lasse dies vom Inhaber von t signieren.
Bild 6-6: Grundschema eines sicheren und anonymen digitalen Zahlungssystems
126 Dies wird mit dem erweiterten Euklidschen Algorithmus bestimmt, der in §3.4.1.1 beschrieben ist.
125
Der Bezeichner p für Pseudonym hat nichts mit dem Bezeichner p für eine der beiden Primzahlen bei der RSA-
Schlüsselgenerierung zu tun.