Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

68
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
67
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
3.4.2 Anforderungen an Pseudozufallsbitfolgengeneratoren
Das Folgende steht ausführlicher in [BlBS_86].
Was ist ein Pseudozufallsbitfolgengenerator (PBG)?
Ein Pseudozufallsbitfolgengenerator (PBG) tut folgendes:
kannte. Dies liegt anschaulich daran, daß W nicht weiß, welche Wurzel außerhalb bekannt ist.
Genauer: Das Ergebnis w' von W hängt nur von den Eingaben zu W ab, d.h. (n, x), und evtl.
internen Zufallsentscheidungen von W. Heißen also die vier Wurzeln von x etwa ±w' und ±w",
so hätte W als Ausgabe w' gehabt, ganz egal ob außen w = ±w' oder w = ±w" gewählt wurde,
denn das sieht man x nicht an. Da außen zufällig gewählt wird, treten alle 4 Werte
gleichwahrscheinlich als w auf. Mit Wahrscheinlichkeit 1/2 ist also w ≠ ±w', was noch zu zeigen
war. 62
Er erzeugt aus einem echt zufällig gewählten kurzen Startwert (seed) eine lange Pseudozufallsbitfolge.
Also (siehe Bild 3-17):
• Man nimmt an, daß es auch schwer ist, zu testen, ob x ∈ ZZ *
n ein Quadrat ist, aber dies konnte
man bisher nicht beweisen. Man macht daher eine Quadratische-Reste-Annahme („quadratic
residuosity assumption“, ähnlich der Faktorisierungsannahme). Man muß dabei zwei Einschränkungen
machen:
1. Es gibt einen schnellen Algorithmus zur Berechnung von Jacobi-Symbolen, auch wenn p und
• Es gehört dazu ein Schlüssel- und Startwertgenerieralgorithmus. Er bilde aus dem
Sicherheitsparameter l einen Schlüssel n und einen Startwert s der Länge l.
(An dieser Stelle würde ein Schlüssel oder ein Startwert genügen. Aber bei späterer
Verwendung in asymmetrischen Systemen ist es interessant, daß der Schlüssel n öffentlich
sein darf, während der Startwert s immer geheim bleiben muß.)
• Der eigentliche Bitfolgengenerieralgorithmus PBG ist ein Algorithmus, der mit dem Schlüssel
n aus dem kurzen Startwert s eine (beliebig lange) Bitfolge b0 b1 b2 … erzeugt. Allerdings
darf nur ein polynomial (in l) langes Anfangsstück dieser Folge verwendet werden.
• PBG ist deterministisch, d.h. aus dem gleichen Startwert und Schlüssel wird jedesmal
dieselbe Bitfolge.
q nicht bekannt sind (mit dem sog. quadratischen Reziprozitätsgesetz). Dieser wird im
folgenden nicht gebraucht. Es bedeutet aber, daß jemand, dem man x mit ( x
) = –1 vorlegt,
n
sehr wohl bestimmen kann, daß x ∉ QRn. Man beschränkt die Annahme daher auf die x mit
( x
) = +1.
n
2. Man kann für zufälliges x mit ( x
) = +1 natürlich schon durch rein zufälliges Raten mit
n
Wahrscheinlichkeit 1/2 richtig raten, ob x ∈ QRn. Man verlangt daher nur, daß kein
polynomialer (Rate-) Algorithmus R es wesentlich besser kann.
Sei noch qr das Prädikat, ob etwas ein quadratischer Rest ist, d.h.
• PBG ist effizient, also in polynomialer Zeit berechenbar.
qr(n, x) := true, falls x ∈ QR n , und qr(n, x) := false sonst.
Die Annahme lautet damit
• PBG ist sicher, d.h. die Ergebnisse sind durch keinen polynomialen Test von echten
Zufallsfolgen unterscheidbar. (Genauer siehe unten.)
Annahme: Für jeden (probabilistischen) polynomialen Algorithmus R und jedes Polynom Q gilt:
Es existiert ein L, so daß für alle l ≥ L gilt: Wenn p, q als zufällige Primzahlen der Länge l
gewählt werden, n := p•q, und x zufällig unter den Restklassen mit Jacobi-Symbol +1, so gilt:
echte
Zufallszahl
l
Sicherheitsparameter
1
+
Q(l) .
W(R (n, x) = qr(n, x)) ≤ 1
2
SchlüsselundStartwertgenerierung
• Wählen eines zufälligen Quadrats ist leicht: Man wählt einfach ein beliebiges w ∈ ZZ *
n und
quadriert es. Da jedes x gleich viele (für Spezialisten: genau 4) Wurzeln hat, wird jedes Quadrat
gleichwahrscheinlich gewählt.
s
n,
Schlüssel und
Startwert
lange Bitfolge
b b b ...
0 1 2
PBG
Geheimer Bereich
Bild 3-17: Pseudozufallsbitfolgengenerator
Verwendung als Pseudo-one-time-pad
Eine wichtige Anwendung ist, die Pseudozufallsbits statt einem one-time-pad (siehe §3.2) als symmetrisches
Konzelationssystem zu verwenden (siehe Bild 3-18): Statt einer echten Zufallsfolge wird eine
Pseudozufallsfolge bitweise modulo 2 zum Klartext addiert. Diese Idee stammt von de Vigenère
(1523-1596), dem zu Ehren das Pseudo-one-time-pad manchmal Vigenère-Chiffre genannt wird.
62
Ganz formal: Die Annahme, W sei ein „guter“ Wurzelziehalgorithmus, ist gerade der Gegensatz zur Fußnote zu
"Wurzelziehen mod n schwer". Es existiert also doch ein Polynom Q, so daß doch für unendlich viele l gilt: Wenn
p, q als zufällige Primzahlen der Länge l gewählt werden, n := p•q, und x zufällig aus QRn , so gilt
W(W (n, x) ist Wurzel aus x) > 1
. (1)
Q(l)
Zeigen müssen wir, daß F der Faktorisierungsannahme widerspricht, d.h. daß es ein Polynom R gibt, so daß für
unendlich viele l gilt: Wenn p, q als zufällige Primzahlen der Länge l gewählt werden und n := p•q, so gilt
W(F (n) = (p; q)) > 1
. (2)
R(l)
Dies wird für R := 2Q und dieselben l's wie in (1) gezeigt: Sei ein solches l gegeben. Man entnimmt der
Beschreibung von F , daß dort x zufällig aus QRn gewählt wird (denn jedes dieser x'e hat genau 4 Wurzeln, kommt
also bei 4 der gleichwahrscheinlichen w's vor). Beim Aufruf von W liegen also alle Voraussetzungen von (1) vor,
so daß (1) gilt. Nun folgt wie oben im Haupttext, daß in der Hälfte der Fälle w ≡| ± w' und somit F erfolgreich ist.
Insgesamt gilt dies also mit Wahrscheinlichkeit 1/(2•Q(l)), wie behauptet.
Damit haben wir ganz formal gezeigt: „Wurzelziehen leicht ⇒ Faktorisieren leicht“.