Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

406
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
405
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
i) Es ist 58 ≡ 2 mod 7 ∧ 58 ≡ 3 mod 11. Für p = 7, 11 gilt p ≡ 3 mod 4, und es ist
7–1
11–1
2 2 ≡ 8 ≡ 1 mod 7 und 3 2 ≡ 9•9•3 ≡ (-2)•(-2)•3 ≡ 1 mod 11,
2 und 3 sind also quadratische Reste mod 7 bzw. 11. Also können wir den einfachen
Wurzelziehalgorithmus anwenden, um Wurzeln w7 mod 7 und w11 mod 11 zu erhalten:
7+1
w7 = 2 4 = 22 = 4 mod 7.
11+1
w11 = 3 4 = 33 = 27 ≡ 5 mod 11.
Mit dem chinesischen Restsatz und den schon in Teil g) berechneten „Basisvektoren“ erhalten
wir: w = –21•w11 + 22•w7 = –21•5 + 22•4 = (22–21)•4 – 21= –17 ≡ 60 mod 77.
(Probe: (–17) 2 = 289 = 3•77+58.)
Setzen wir jeweils die „andere“ Wurzel mod 7 oder mod 11 ein, erhalten wir die anderen 3
Wurzeln:
z.B. w' = –21•5 + 22•(-4) = -105 – 88 = –193 ≡ 38 mod 77.
(Probe: 382 = 1444 = 18•77+58.)
Statt so weiterzurechnen, nehmen wir jetzt jeweils das Inverse der beiden schon bekannten
Wurzeln:
w'' = 17
w''' = 39.
j) Man kennt noch eine weitere, wesentlich verschiedene Wurzel von 4, nämlich 2.
Also kann man einen Faktor p als ggT(2035+2, 10379) erhalten. Euklidscher Algorithmus:
10379 = 5•2037 + 194
2037 = 10•194 + 97
194 = 2• 97 + 0
Also ist p = 97. Die vollständige Faktorisierung erhält man als q = 10379 div 97 = 107; und p
und q sind prim.
(Für Liebhaber: Man beginnt mit den Faktoren, hier p=97 und q=107. Die Wurzeln von 4 mod
p und q sind jeweils ±2. Um eine von 2 wesentlich verschiedene Wurzel mod p•q zu erhalten,
für die also +2 mod p und –2 mod q oder aber –2 mod p und +2 mod q gilt, muß man also
CRA(+2, –2) oder CRA(–2, +2) bilden.)
p+1
q+1
k) Sei wp := x 4 und wq := x 4 .
Nach §3.4.1.8 ist klar, daß x mod n vier Wurzeln w, w', w'', w''' hat, die aus wp und wq von x folgendermaßen errechnet werden können:
w = CRA( wp , wq )
w ' = CRA( wp , -wq )
w ' ' = CRA(-wp , wq )
w ''' = CRA(-wp , -wq ).
Nach §3.4.1.6 ist wp ∈ QRp und wq ∈ QRq, aber -wp ∉ QRp und -wq ∉ QRq. Nach §3.4.1.7 gilt
3 (1) 2 = 3; 3 (10) 2 = 3 2 = 9; 3 (100) 2 = 9 2 = 81 ≡ –20; 3 (1001) 2 = (–20) 2 •3 = 1200 ≡ –12;
3 (10011) 2 2
= (–12) • 3 = 144 • 3 ≡ 43 • 3 ≡ 129 ≡ 28.
d) 77 = 7•11; φ(77) = 6•10 = 60 und 3 ∈ ZZ *
77 , da ggT(3,77) = 1. Also sagt der kleine
Fermatsche Satz: 360 ≡ 1 mod 77.
Also gilt: 3123 ≡ (360 ) 2 • 33 ≡ 12 • 27 ≡ 27.
e) Euklidscher Algorithmus:
101 = 4 •24 + 5;
24 = 4 • 5 + 4;
5 = 1 • 4 + 1.
Rückwärts:
1 = 5 – 1•4 (Jetzt 4 durch 5 und 24 ersetzen)
= 5 – 1•(24–4•5) = –24 + 5•5 (Jetzt 5 durch 24 und 101 ersetzen)
= –24 + 5•(101–4•24) = 5•101 – 21•24. (Probe: 5•101 = 505, –21•24 = –504)
Also: (24) –1 ≡ –21 ≡ 80.
f) Ein Inverses von 21 mod 77 gibt's nicht, weil ggT(21, 77) = 7 ≠ 1.
g) Zunächst wenden wir wieder den erweiterten Euklidschen Algorithmus an, um u und v mit u•7
+ v•11 = 1 zu suchen. (Auch wenn man es evtl. sofort sieht: –21+22=1):
11 = 1 • 7 + 4;
7 = 1 • 4 + 3;
4 = 1 • 3 + 1.
Rückwärts:
1 = 4 – 1•3
= 4 – 1•(7–1•4) = –7 + 2•4
= –7 + 2•(11–1•7) = 2•11 – 3•7.
Damit sind für p = 7 und q = 11 die „Basisvektoren“: up = –21 ≡ 56, vq = 22.
Mit der Formel y = up yq + vq yp ergibt sich: y = –21•3 + 22•2 = (22–21)•2 – 21 = –19 ≡ 58.
(Probe: 58 ≡ 2 mod 7 ∧ 58 ≡ 3 mod 11.)
Für z können wir in die gleiche Formel einsetzen (up und vq muß man ja nur einmal
berechnen). Wir vereinfachen vorher: 6 ≡ –1 mod 7 und 10 ≡ –1 mod 11. Also:
z = –21•(–1) + 22•(–1) = –1 ≡ 76 mod 77.
Wir hätten das auch noch einfacher haben können: Nach Formel (❋) aus §3.4.1.3 ist
z ≡ –1 mod 7 ∧ z ≡ –1 mod 11 ⇔ z ≡ –1 mod 77.
x ∈ QRn ⇔ x ∈ QRp ∧ x ∈ QRq. Also ist w ∈ QRn und w', w'', w''' ∉ QRn .
l) Ist die Faktorisierungsannahme falsch, kann ein Angreifer einen nichtvernachlässigbaren
Anteil der Moduli n = p•q faktorisieren. Für solche Moduli kann er dann das Euler-Kriterium
anwenden und für x, dessen Quadratheit zu prüfen ist,
h) Da alles modulo Primzahlen ist, kann man das Euler-Kriterium anwenden:
( 13
19–1
19
) ≡ 13 2 ≡ (–6) 9 mod 19; (–6) 2 ≡ 36 ≡ –2 ⇒ (–6) 4 ≡ 4; (–6) 8 ≡ 16 ≡ –3;
(–6) 9 ≡ –3•(–6) ≡ 18 ≡ –1: kein Quadrat.
( 2
23 ) ≡ 211 ≡ 2048 ≡ 1 mod 23: Quadrat.
( –1
89 ) ≡ (–1)44 ≡ 1 mod 89: Quadrat.
Der einfache Fall p ≡ 3 mod 4 liegt von den beiden Quadraten nur bei p = 23 vor. Also kann
man hier selbst mit unseren Algorithmenkenntnissen Wurzelziehen: Eine Wurzel ist
23+1
w = 2 4 = 26 = 64 ≡ –5 ≡ 18 mod 23. (Probe: (–5) 2 ≡ 25 ≡ 2)
(Die andere Wurzel ist also +5.)