Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

72
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
71
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
δ-Anteil) Zahlen n der Länge l höchstens einen 1/lt Vorteil für n beim Vorhersagen von Q(l)-bit-
Folgen nach links.
(In der Original-Publikation [BlBS_86] wird er x2-mod-N-Generator genannt. Da hier x als
Variablenbezeichner für den Klartext benutzt wird und da in vielen anderen Papieren statt des großen
N ein kleines n als Bezeichner für den aus zwei großen Primzahlen zusammengesetzten Modulus
verwendet wird, führe ich der Konsistenz wegen diese neue Schreibweise ein.)
Bew. (Skizze)
Annahme: Es gibt einen Prädiktor P für den s2-mod-n-Generator mit ε-Vorteil auf Zahlen der
Länge l. (Um den Beweis zu vervollständigen, müssen alle Quantoren über das ε wie bei c)
gesetzt werden.)
Def. des s 2 -mod-n-Generators:
1. Schritt: P kann effizient und uniform in ein Verfahren P* transformiert werden, das mit einem
ε-Vorteil das letzte Bit von s0 zu gegebenem s1 aus QRn rät:
Gegeben sei s1 . Bilde b1 b2 b3 ... mit dem s2-mod-n-Generator. Nun wende P auf diese
Folge an. Dann rät P das Bit b0 mit ε-Vorteil. Genau dies ist das passende Ergebnis von P*.
2. Schritt: Sei nun das Verfahren P* gegeben. Daraus wird effizient und uniform ein Verfahren R
konstruiert, das mit ε-Vorteil rät, ob ein gegebenes s* mit Jacobi-Symbol +1 ein Quadrat ist:
Gegeben sei s*. Setze s1 := s* 2 . Wende P* auf s1 an. P* berechnet also das letzte Bit von
s0 mit ε-Vorteil. Dabei sind s* und s0 Wurzeln von s1 , und zwar ist s0 genau die eine, die
selbst ein Quadrat ist63 . Also gilt:
s* ∈ QRn ⇔ s* = s0 .
Anhand der letzten Bits, also des bekannten b* von s* und des geratenen b0 von s0 soll nun
entschieden werden, ob s* = s0 ist. Klar ist: Wenn s* = s0, dann müssen auch ihre letzten Bits
gleich sein. Gezeigt wird nun, daß umgekehrt aus s* ≠ s0 auch folgt, daß die letzten Bits
verschieden sind: Wenn s* ≠ s0 , dann ist s* ≡ –s0 mod n (wegen den gleichen Jacobi-
Symbolen), also s* = n – s0 in ZZ. n ist aber ungerade, also haben s* und s0 verschiedene
letzte Bits.
Also endet das Verfahren R so: Genau dann, wenn b* = b0 , wird geraten, daß s* ein
Quadrat ist, und rät damit genausogut wie P*.
Als Schlüssel wähle n = p • q mit |p| ≈ |q| und p, q Primzahlen ≡ 3 mod 4.
(Betragsstriche bedeuten hier „Länge“ in Bits. p und q werden zufällig und unabhängig gewählt,
wobei die in §3.4.1 genannten Bedingungen an p und q eingehalten werden müssen – sonst kann
n faktorisiert werden.)
Als Startwert wähle s zufällig in ZZ n * = {a ∈ ZZ | 0 < a < n, ggT(a, n) = 1}.
Generierung der Folge:
Berechne sukzessive die inneren Zustände s0 := s2 mod n, si+1 := s 2
i mod n ,
und bilde in jedem Schritt bi := si mod 2 (= letztes Bit von si )
Ausgabe: b0 b1 b2 ...
(Als Merkhilfe für den Bezeichner si : innerer Zustand = Status = Stand des Generators)
Beispiel:
n = 3 • 11 = 33, s = 2
si : 4 16 25 31 4 . . .
bi: 0 0 1 1 0 ...
Sicherheitsbetrachtung
3. Schritt: Das so konstruierte Verfahren R steht im Widerspruch zur QRA.
Die Sicherheit des s2-mod-n-Generators kann unter der Faktorisierungsannahme bewiesen werden
[ACGS_84, ACGS_88]. Hier wird aber nur der etwas einfachere Beweis unter der Quadratische-
Reste-Annahme (QRA) gezeigt (siehe §3.4.1.9).
Anmerkung: Man kann zeigen, daß man auch mehr als ein Bit pro Quadrierungsschritt nehmen kann,
nämlich O(log(l)).
Beh. Unter QRA ist der s2-mod-n-Generator ein unvorhersagbarer (kryptographisch starker)
PBG.
3.4.4 s 2 -mod-n-Generator als asymmetrisches Konzelationssystem
Man kann den s2-mod-n-Generator auch als asymmetrisches Konzelationssystem verwenden (Bild 3-
19):
Gemäß dem obigen Absatz über Forderungen an PBG genügt es, zu beweisen, daß es keinen
Prädiktor gibt, der das linkeste Bit von Folgen, die der s2-mod-n-Generator erzeugt, gut aus den
restlichen Bits voraussagen kann. Genauer heißt das:
• Der geheime Schlüssel besteht aus den Faktoren p und q von n.
a) Ein Prädiktor P[•, •] ist ein probabilistischer, polynomial zeitbeschränkter Algorithmus, der bei
Eingabe von n, b1 ... bk (bi ∈ {0, 1}) den Wert 0 oder 1 ausgibt.
• Der öffentliche Schlüssel ist n.
b) Man sagt, P habe für ein gewisses n einen ε-Vorteil beim Vorhersagen nach links von k-Bit-
Folgen des s2-mod-n-Generators gdw.
• Ein Sender und ein Empfänger haben keinen geheimen Startwert s mehr miteinander ausgetauscht,
sondern zu jeder Nachricht wählt sich der Sender einen neuen, zufälligen Startwert s. (Dadurch
wird die Verschlüsselung indeterministisch, d.h. gleiche Klartexte werden nicht notwendigerweise
als gleiche Schlüsseltexte verschlüsselt, vgl. §3.1.1.1 Anmerkung 2.) Damit der Empfänger
trotzdem entschlüsseln kann, soll ausgenutzt werden, daß er mittels p und q Wurzeln modulo n
ziehen kann.
W(P[n,b 1 (s) ... bk (s)] = b0 (s))
s∈QRn >
φ(n) / 4
1
2
+ ε
mit bi (s) = letztes Bit von s2i mod n. (Beachte, daß φ(n)/4 die Stichprobengröße ist, da s beim
Vorhersagen nach links ein quadratischer Rest sein muß – sonst kann man nicht Wurzelziehen. Im
Gegensatz dazu darf bei der Generierung der Folge nach rechts s beliebig aus ZZ *
n sein.)
∑
63 Dies wurde schon in Aufgabe 3-9 k) gezeigt: Daß nur eine der 4 Wurzeln selbst ein Quadrat ist, folgt, weil p ≡ q ≡
3 mod 4. Wie in §3.4.1.6 gezeigt, ist dann von den zwei Wurzeln ±wp aus s1 mod p nur eine ein Quadrat, und
genauso für ±wq . Gemäß §3.4.1.7 sind die 4 Wurzeln von s1 Kombinationen aus ±wp und ±wq . Zuletzt ist (auch
nach §3.4.1.7) eine Kombination genau dann ein Quadrat, wenn beide Teile es sind.
c) Der s2-mod-n-Generator ist sicher gdw. für jeden Prädiktor P, jede Konstante 0 < δ < 1, jedes
Polynom Q und jede natürliche Zahl t gilt: Sofern l genügend groß ist, hat P für alle (außer einem