Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

62
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
61
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
u p + v q = 1. 52
Die Behauptung ist, daß
y = CRA(yp , yq ) :≡ up yq + vq yp mod n.
Wir müssen also y ≡ yp mod p ∧ y ≡ yq mod q zeigen. Dies sieht man am besten mit folgender
Tabelle:
mod p mod q
up 0 1
vq 1 0
up yq + vq yp 0•yq + 1•yp 1•yq + 0•yp ≡ yp ≡ yq (Die oberen beiden Zeilen folgen aus u p + v q = 1 und besagen, daß up und vq in ZZ n etwas wie zwei
„Basisvektoren“ darstellen, wenn man ZZ n aus ZZ p und ZZ q zusammensetzt. Die Berechnung von up
und vq kann ein für allemal bei Erzeugung des Geheimnisses geschehen.)
φ(p•q) = (p–1)(q–1). 49
Ist n (=p•q) gegeben, so ist φ(n) auszurechnen gleich schwer wie p und q zu finden [Hors_85
Seite 187]:
φ(p•q) = (p–1)(q–1) = p•q – (p+q) + 1 = n – (p+q) + 1 zusammengefaßt gilt
p+q = n – φ(p•q) + 1 (**)
3.4.1.4 Quadrate und Wurzeln allgemein
(p–q) 2 = p2 – 2pq + q2 = p2 + 2pq + q2 – 4pq = (p+q) 2 – 4n durch Wurzelziehen ergibt sich
p–q = √⎺⎺⎺⎺⎺⎺⎺⎺ (p+q) 2 – 4n
Einsetzen von (**) ergibt p–q = √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
(n – φ(p•q) + 1) 2 – 4n
Addition mit (**) ergibt 2p = n – φ(p•q) + 1 + √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
(n – φ(p•q) + 1) 2 – 4n
• Für manche kryptographischen Systeme (z.B. RSA) braucht man folgenden Zusammenhang
zwischen der Exponentiation und der Elementanzahl: Der kleine Fermatsche Satz sagt: Für alle a ∈
ZZ *
n :
a φ(n) ≡ 1 mod n. 50
Aus §3.4.1.3 wissen wir, wie ein Geheimnis p, q helfen kann, eine Funktion f modulo n
auszurechnen, wenn sie modulo Primzahlen viel leichter zu berechnen ist. Eine solche Funktion wird
modulares Wurzelziehen sein. Man wird also das Geheimnis benötigen, um Wurzeln mod n zu
ziehen, während jeder andere allein anhand von n Quadrieren kann, also die inverse Operation
ausführen. Dazu betrachten wir zunächst Wurzeln und Quadrate in Restklassenringen genauer.
3.4.1.3 Zusammenhang zwischen ZZn und ZZp, ZZ q
(Für n = p•q mit p, q prim und p≠q.) Dies wird später dazu dienen, daß der Teilnehmer mit dem
Geheimnis (p, q) geheime Dinge modulo p und q einzeln rechnen kann, aber dann modulo n, wo alle
anderen Teilnehmer rechnen, verwenden kann.
• Definiert sind sie genau wie man sich das vorstellen würde, außer daß man sich meistens nur um
invertierbare Elemente kümmert:
Die Grundlage für diesen Zusammenhang ist folgende Formel (ein Spezialfall des „Chinesischen
Restsatzes“):
QRn := {x ∈ ZZ *
n | ∃ y ∈ ZZn * : y2 ≡ x mod n}.
Die x'e aus dieser Menge heißen quadratische Reste (also das, was in IN die Quadratzahlen sind),
und ein entsprechendes y heißt Wurzel aus x.
a ≡ b mod n ⇔ a ≡ b mod p ∧ a ≡ b mod q. (❋)
• Es gilt wie üblich
Dies sieht man leicht ein: Nach Definition von „≡“ ist dies äquivalent zu
n | (a–b) ⇔ p | (a–b) ∧ q | (a–b),
und dies ist klar, weil p•q die Primfaktorzerlegung von n ist. 51
y ist Wurzel aus x ⇒ –y ist auch Wurzel aus x,
denn es ist (–1) 2 = 1.
Wenn man nun z.B. y := f(x) mod n berechnen möchte, aber die Berechnung von f(x) nur modulo
Primzahlen leicht ist, so kann der Geheimnisbesitzer yp := f(x) mod p und yq := f(x) mod q
bestimmen, und es gilt:
• Andere Gesetze, die man aus IN oder IR gewöhnt ist, gelten aber i.allg. nicht. Beispielsweise kann
eine Zahl durchaus mehr als zwei Wurzeln mod n ≠ p•q haben, z.B. gilt mod 8: 12 ≡ 1 ∧ 32 ≡ 1 ∧
52 ≡ 1 ∧ 72 ≡ 1.
• Die quadratischen Reste bilden aber wenigstens eine (multiplikative) Gruppe: Sind x1, x2 ∈ QRn, und y1 , y2 ihre Wurzeln, so sind die Wurzeln von x1•x2 und x –1
1 gerade y1•y2 und y –1
1 : (y1•y2 ) 2
= y 2
1 •y22 = x1•x2 und (y –1
1 ) 2 = (y12 ) -1 = x1 –1 .
y ≡ f(x) mod n ⇔ y ≡ yp mod p ∧ y ≡ yq mod q.
Wir müssen also nur noch schauen, ob wir aus yp und yq effizient y zusammensetzen können. Das tut
der „Chinesische Restealgorithmus (CRA)“ (der eigentliche Chinesische Restsatz besagt nur, daß ein
solches y für beliebige yp , yq existiert):
Zunächst bestimmt man mit dem erweiterten Euklidschen Algorithmus ganze Zahlen u, v mit
3.4.1.5 Quadrate und Wurzeln mod p
Während modulo beliebigem n nur wenig über Wurzeln und Quadrate zu sagen war (s. §3.4.1.4), ist
modulo Primzahlen alles hübsch geordnet, vor allem, weil ZZ p ein Körper ist. 53
52 Zwei verschiedene Primzahlen haben ja den ggT 1. Es ist leicht zu sehen, daß der CRA auch funktioniert, wenn p
und q keine Primzahlen, aber weiterhin teilerfremd sind. Durch wiederholte Anwendung des CRA kann der
Chinesische Restsatz auch für Produkte bestehend aus mehr als zwei Faktoren abgedeckt werden.
53 Klar: Jedes Element außer 0 hat ein multiplikatives Inverses, wie wir oben sahen.
49 Die nicht zu n teilerfremden Zahlen (d.h. mit ggT≠1) sind nämlich einmal 0, dann p, 2p, …, (q–1)p, und zuletzt q,
2q, …, (p–1)q, und diese 1+(q–1)+(p–1)=p+q–1 Zahlen sind für p≠q alle verschieden.
50 Dies ist ein allgemeiner Satz aus der Gruppentheorie [Lips_81 Seite 85 Cor. 4, Waer_71 Seite 26]: In jeder endlichen
Gruppe G gilt für jedes Element a: a |G| = 1. Der Beweis ist nicht sehr schwer. Die beiden Grundlagen sind:
1. Für jede Untergruppe H gilt: |H| | |G|.
2. Die Potenzen eines Elementes, also a, a 2 , … bilden eine Untergruppe. Es gibt eine erste Potenz a v = 1, und
genau ab da wiederholt sich die Folge zyklisch. v wird „Ordnung von a“ genannt. Diese Untergruppe hat also
genau v Elemente, und nach 1. folgt v | |G|.
51
Es ist leicht zu sehen, daß der Chinesische Restsatz nicht nur für n = Produkt zweier verschiedener Primzahlen gilt,
sondern auch für n = Produkt beliebig vieler, paarweise teilerfremder natürlicher Zahlen.