Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

92
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
91
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Zufallszahl
l
Sicherheitsparameter
Für fm (x) mit x fest und Eingabe m, schreiben wir kurz h(m) und nennen h eine kollisionsresistente
Hashfunktion (konstruiert aus einer kollisionsresistenten Permutationenfamilie).
Schlüsselgenerierung:
Effizientere, aber nicht beweisbar sichere kollisionsresistente Hashfunktionen können beispielsweise
aus Blockchiffren konstruiert werden, vgl. §3.8.3.
p, q Primzahlen
n := p•q
c mit ggT(c, (p-1)(q-1)) = 1
d ≡ c -1 mod (p-1)(q-1)
c, n
3.6.4.1 RSA als asymmetrisches Konzelationssystem
Chiffrierschlüssel,
öffentlich bekannt
d, n
RSA wird zu einem indeterministisch verschlüsselnden Konzelationssystem, indem mit jedem
Klartextblock m eine neue Zufallszahl z (sie hat nichts zu tun mit der Zufallszahl für die Schlüsselgenerierung,
deshalb als Zufallszahl' in Bild 3-31 bezeichnet) verschlüsselt wird.
Dechiffrierschlüssel,
geheimgehalten
Klartextblock
Entschlüsselung:
Schlüsseltextblock
c
Verschlüsselung:
Klartextblock
m
c d
(z,m, h(z,m))
( • ) mod n =:
mod n mod n z,m, y;
h(z,m) = y ?
(z,m, h(z,m))
m
= 2. Komponente von
((z,m, h(z,m)) c d
)
mod n nach Redundanzprüfung
mittels h
z
Zufallszahl'
Geheimer Bereich
Aktive Angriffe werden verhindert, indem vor der Verschlüsselung jedem Klartextblock Redundanz
zugefügt wird, die vom Entschlüsseler nach der Entschlüsselung geprüft wird. Dies Zufügen von
Redundanz muß natürlich so geschehen, daß das modulare Multiplizieren zweier Klartextblöcke mit
Redundanz keinen dritten Klartextblock mit passender Redundanz ergibt.
Die Redundanz kann beispielsweise erzeugt werden, indem auf den Klartextblock eine kollisionsresistente
Hashfunktion angewandt und das Ergebnis an den Klartextblock gehängt wird. Natürlich
muß die Hashfunktion dann so gewählt werden, daß sie, falls überhaupt, eine andere multiplikative
Struktur hat als das RSA, dessen multiplikative Struktur sie gerade neutralisieren soll. Dies kann
beispielsweise geschehen, indem bei Wahl der Permutationen aus §3.5.3 ein vom RSA-Modulus
unabhängig gewählter Modulus verwendet wird.
Bild 3-31: Sicherer Einsatz von RSA als asymmetrisches Konzelationssystem: Redundanzprüfung
mittels kollisionsresistenter Hashfunktion h sowie indeterministische Verschlüsselung
Bild 3-31 veranschaulicht das Gesamtsystem, wenn indeterministische Verschlüsselung und
Redundanz mittels kollisionsresistenter Hashfunktion kombiniert werden.
Kompliziertere und dafür in einem gewissen Sinn beweisbar sichere Konstruktionen zur Kombination
von Redundanz mit indeterministischer Verschlüsselung sind in [BeRo_95] beschrieben. Diese
Konstruktionen gelten nicht nur für RSA, sondern für jedes asymmetrische Kryptosystem, das eine
Permutation (sprich: längentreue Blockchiffre, vgl. §3.8.2 und §3.8.2.7) ist.
Verschlüsselung eines Klartextblocks erfolgt durch Voranstellen einer Zufallszahl, Anwenden
einer kollisionsresistenten Hashfunktion h auf Zufallszahl und Klartextblock, deren Ergebnis
dahinter gehängt wird, sowie modulare Exponentiation mit c aller drei Komponenten gemeinsam.
Dies ergibt für Klartextblock m und Zufallszahl z: (z,m, h(z,m)) c mod n.
3.6.4.2 RSA als digitales Signatursystem
Entschlüsselung erfolgt durch modulare Exponentiation mit d. Sie ergibt drei Komponenten.
Danach wird geprüft, ob die Hashfunktion h, angewandt auf die ersten beiden Komponenten, die
dritte Komponente ergibt. Nur dann wird die zweite Komponente ausgegeben.
Dies ergibt für Schlüsseltextblock (z,m, y) c mod n : ((z,m, y) c ) d mod n =: z,m, y. h(z,m) = y ?
Gegebenenfalls Ausgabe: m.
Um das Rückwärtsrechnen zu vereiteln und auch die multiplikative Struktur von RSA zu neutralisieren,
wird auf den Textblock vor der modularen Exponentiation eine kollisionsresistente Hashfunktion
angewandt. Wenn die Hashfunktion Argumente beliebiger Länge als Argument akzeptiert,
hat dies zusätzlich den Vorteil, daß dann auch Texte beliebiger Länge in einem Stück signiert werden
können. Das Blockungsproblem ist dann für das digitale Signatursystem gelöst.
Ist die Hashfunktion zusätzlich schneller zu berechnen als RSA, bringt ihre Anwendung bei
längeren Nachrichten auch einen Geschwindigkeitsvorteil des Gesamtsystems gegenüber der in
§3.6.2.2 beschriebenen Anwendung von RSA.
Signieren erfolgt durch Anwenden der Hashfunktion und modulare Exponentiation des
Hashwertes mit s.
Dies ergibt für Textblock m: (h(m)) s mod n.
Testen erfolgt durch modulare Exponentiation der Signatur mit t und anschließendem Vergleich
des Ergebnisses mit dem Hashwert des zugehörigen Textblocks.
Dies ergibt für Textblock m mit Signatur (h(m)) s : ((h(m)) s ) t mod n =: y, h(m) = y ?
Bild 3-32 veranschaulicht das Gesamtsystem.