Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

414
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
413
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
ziehen aus w wieder mod p und q einzeln rechnen. Wir hätten also auch w nicht mit dem QRA
zusammensetzen müssen, d.h. die ganzen eingeklammerten Teile auslassen können.)
Also: Wurzel w* aus dem Ergebnis von Schritt 1:
Modulo 11: 4 (11+1)/4 = 43 ≡ 9;
Modulo 7: 2 (7+1)/4 = 22 ≡ 4;
Als nächstes muß durch 2 dividiert werden. Auch das geht mod p, q einzeln: (Erweiterter
Euklidscher Algorithmus zur Bestimmung des multiplikativen Inversen von 2 und anschließende
Multiplikation hiermit, oder Halbieren in ZZ von w* oder w*+p bzw. w*+q.)
Modulo 11: w*/2 ≡ 10;
Modulo 7: w*/2 ≡ 2;
Die gesuchte Signatur S ist also eine der 4 Zahlen CRA(±10, ±2). Vor dem QRA müssen wir
wieder für das Jacobi-Symbol +1 sorgen. Statt des Euler-Kriteriums können wir verwenden,
daß (§3.5.1)
) ≡ +1.
( 2
) = –1 und (2
p q
Danach ist, da die Jacobi-Symbole von w* mod p und q jeweils 1 waren,
( w*/2
) = –1 und (w*/2)
≡ +1.
p q
Also bilden wir CRA(–10, 2). (Man könnte auch CRA(10, –2) nehmen.)
CRA(–10, 2) = CRA(1, 2) = –21•1 + 22•2 = 23.
Wieder haben wir zufällig bereits diejenige der Zahlen ±S erwischt, die < 77/2 ist ⇒ S = 23.
Das resultierende Authentikationssystem könnte gebrochen werden, wenn der Angreifer
entweder den Authentikationscode oder den s2-mod-n-Generator brechen kann. Der Authentikationscode
ist aber informationstheoretisch sicher, also bleibt der s2-mod-n-Generator. Für Spezialisten: Man müßte beweisen können, daß der Angreifer, um das System zu brechen,
wirklich die QRA (Quadratische-Reste-Annahme) brechen muß, d.h. daß das resultierende
System kryptographisch sicher ist. Skizze: Wenn man den Authentikationscode brechen
kann, wenn die Schlüssel vom s2-mod-n-Generator gewählt werden, während er mit zufälligen
Schlüsseln unbrechbar ist, ist das ein meßbarer Unterschied zwischen den Pseudozufallsfolgen
und den echten Zufallsfolgen. Es ist aber bewiesen, daß unter der QRA beim s2-mod-n- Generator die Folgen durch keinen statistischen Test von echten Zufallsfolgen zu unterscheiden
sind.
e) Der Schlüsselaustausch bleibt gleich. Allerdings muß sich jeder der beiden nach der ersten
Nachricht nicht mehr den Startwert s, sondern jeweils das aktuelle si merken. {Dies setzt
voraus, daß der Empfänger die Schlüsseltexte jeweils genau einmal und in der gleichen
Reihenfolge entschlüsselt, wie sie der Verschlüsseler verschlüsselt hat. Andernfalls muß sich
der Entschlüsseler mehr merken. Vergleiche auch §3.8.2.)
f) Nach §3.4.1.7 und §3.4.1.8 sowie Aufgabe 3-9 k) hat mod n (mit n=p•q, p, q ≡ 3 mod 4,
p≠q) jedes Quadrat genau vier Wurzeln, von denen genau eine selbst ein Quadrat ist. Die Wurzel
aus 1, die selbst wieder ein Quadrat ist, ist 1. Also gilt: Ist s0 ≠ 1, so sind auch alle folgenden
inneren Zustände ≠ 1, denn 1 entsteht eben nur aus dem Quadrat 1. Also ist die Wahrscheinlichkeit,
nach i Schritten den inneren Zustand 1 erreicht zu haben, gleich der Wahrscheinlichkeit,
als Startwert s zufällig eine der vier Wurzeln der 1 zu wählen, also 4 / |ZZ *
n |.
Anmerkungen:
1. Es ist egal, ob erst durch 2 dividiert und dann der CRA angewandt wird oder umgekehrt.
2. Wenn Sie als Signatur 12 erhalten, dann haben Sie vergessen, die Jacobi-Symbole zu
beachten. 12 hat das Jacobi-Symbol
) = (12)
• (12
11 7 ) = 125 mod 11 • 123 mod 7 = 15 mod 11 • (-2) 3 mod 7 = -1.
3-15 GMR
a) R = 28 liegt nicht im Definitionsbereich des Permutationenpaares, denn ggT(R, n) = ggT(28,
77) = 7. Also kann man daran auch nichts signieren. Deswegen folgt jetzt das Beispiel mit R =
17. (Dabei ist 17 ≡ 28 mod 11, also kann jemand, der mit 28 gerechnet hat, seine Rechnung
( 12
77
12 liegt also nicht im Definitionsbereich der Permutationen. Das Vertrackte ist, daß der
Test der Signatur scheinbar trotzdem klappt: f0(f1(12)) = 17, denn f1(12)= 4•122 mod 77 =
4•144 mod 77 = 4 • -10 mod 77 = 37. f0 (37) = -(372 ) mod 77 = 17. Also muß die
Prüfung, ob die Signatur im Definitionsbereich der Permutationen liegt, Teil des Tests der
Signatur sein.
mod 11 hier wiederfinden.)
Da ggT(17, 77) = 1 und ( 17
6
) = (17)
• (17)
= ( ) • (3
77 11 7 11 7 ) = (6(11–1)/2 mod 11) • (3 (7–
1)/2 mod 7) = (-1) • (-1) = 1, liegt R = 17 im Definitionsbereich des Permutationenpaares.
Da die Nachrichten immer 2 bit lang sind, braucht man keine präfixfreie Abbildung. Es ist
also direkt S := f –1
m (R) zu bilden. Dies ist (vgl. §3.5.3)
S = f –1
01 (17) = f1
–1 (f0 –1 (17)).
b) Da 8 Nachrichten signiert werden sollen, hat der Referenzenbaum die Tiefe b = 3, wie in den
Bildern in §3.5.4.
Analog zu Bild 3-26 besteht die 4. Signatur, d.h. die an R011 hängende, aus folgenden
Teilen: („Teile“ sind dabei genau die Punkte: Die schwarzen Referenzen und die grauen
Signaturen.)
Schritt 1: Zunächst wird x := f –1
0 (17) benötigt. Nach §3.5.2 ist zunächst zu testen, ob 17 oder
–17 das Quadrat ist. (Vgl. §3.4.1.7)
Modulo p = 11: 17 ≡ 6; Euler-Kriterium: 6 (11–1)/2 = 65 ;
62 ≡ 3; 64 ≡ 32 ≡ 9; 65 ≡ 9•6 ≡ –1 ⇒ 17 ∉ QRp ⇒ 17 ∉ QRn .
Also ist die Wurzel w aus –17 ≡ 60 zu ziehen.
Modulo p = 11: 60 ≡ 5; 5 (11+1)/4 = 53 ≡ 4;
Modulo q = 7: 60 ≡ 4; 4 (7+1)/4 = 42 ≡ 2;
(Man kann das folgende abkürzen, aber der Vollständigkeit halber sei es zunächst vorgeführt:
Mit dem QRA und den „Basisvektoren“ aus Aufg. 3-9 g) ergibt sich w = –21•4 + 22•2 =
– 40 ≡ 37. Dies w ist diejenige der 4 Wurzeln, die selbst Quadrat ist. x soll die mit Jacobi-
Symbol +1 sein (also ±w), die < 77/2 ist. Das trifft auf w zu, also x = 37.)
Schritt 2: Jetzt wird S = f –1
1 (x) = f1 –1 (37) berechnet, also S ∈ Dn mit (2S) 2 ≡ ±37.
(Als erstes müßten wir wieder testen, ob x oder –x das Quadrat ist. Das wissen wir aber noch
aus dem ersten Schritt: Wir hatten ja sowieso erst die Wurzel w berechnet, die das Quadrat
war. Man kann also gleich mit w weitermachen. Außerdem müssen wir jetzt zum Wurzel-