Sicherheit in Rechnernetzen - Professur Datenschutz und ...

3 Kryptografische Grundlagen
Für fm(x) mit x fest und Eingabe m, schreiben wir kurz h(m) und nennen h eine kollisionsresistente
Hashfunktion (konstruiert aus einer kollisionsresistenten Permutationenfamilie).
Effizientere, aber nicht beweisbar sichere kollisionsresistente Hashfunktionen können beispielsweise
aus Blockchiffren konstruiert werden, vgl. §3.8.3.
3.6.4.1 RSA als asymmetrisches Konzelationssystem
RSA wird zu einem indeterministisch verschlüsselnden Konzelationssystem, indem mit jedem
Klartextblock m eine neue Zufallszahl z (sie hat nichts zu tun mit der Zufallszahl für die Schlüsselgenerierung,
deshalb als Zu f allszahl ′ in Bild 3.31 bezeichnet) verschlüsselt wird.
Aktive Angriffe werden verhindert, indem vor der Verschlüsselung jedem Klartextblock Redundanz
zugefügt wird, die vom Entschlüsseler nach der Entschlüsselung geprüft wird. Dies
Zufügen von Redundanz muß natürlich so geschehen, daß das modulare Multiplizieren zweier
Klartextblöcke mit Redundanz keinen dritten Klartextblock mit passender Redundanz ergibt.
Die Redundanz kann beispielsweise erzeugt werden, indem auf den Klartextblock eine kollisionsresistente
Hashfunktion angewandt und das Ergebnis an den Klartextblock gehängt wird.
Natürlich muß die Hashfunktion dann so gewählt werden, daß sie, falls überhaupt, eine andere
multiplikative Struktur hat als das RSA, dessen multiplikative Struktur sie gerade neutralisieren
soll. Dies kann beispielsweise geschehen, indem bei Wahl der Permutationen aus §3.5.3 ein vom
RSA-Modulus unabhängig gewählter Modulus verwendet wird.
Bild 3.31 veranschaulicht das Gesamtsystem, wenn indeterministische Verschlüsselung und Redundanz
mittels kollisionsresistenter Hashfunktion kombiniert werden.
Verschlüsselung eines Klartextblocks erfolgt durch Voranstellen einer Zufallszahl,
Anwenden einer kollisionsresistenten Hashfunktion h auf Zufallszahl und Klartextblock,
deren Ergebnis dahinter gehängt wird, sowie modulare Exponentiation mit c
aller drei Komponenten gemeinsam.
Dies ergibt für Klartextblock m und Zufallszahl z: (z, m, h(z.m)) c mod n
Entschlüsselung erfolgt durch modulare Exponentiation mit d. Sie ergibt drei Komponenten.
Danach wird geprüft, ob die Hashfunktion h, angewandt auf die ersten
beiden Komponenten, die dritte Komponente ergibt. Nur dann wird die zweite Komponente
ausgegeben.
Dies ergibt für Schlüsseltextblock (z, m, y) c mod n:
((z, m, y) c ) d mod n =: z, m, y. h(z.m) = y? Gegebenenfalls Ausgabe: m.
Kompliziertere und dafür in einem gewissen Sinn beweisbar sichere Konstruktionen zur Kombination
von Redundanz mit indeterministischer Verschlüsselung sind in [BeRo_95] beschrieben.
Diese Konstruktionen gelten nicht nur für RSA, sondern für jedes asymmetrische Kryptosystem,
das eine Permutation (sprich: längentreue Blockchiffre, vgl. §3.8.2 und §3.8.2.7) ist.
3.6.4.2 RSA als digitales Signatursystem
Um das Rückwärtsrechnen zu vereiteln und auch die multiplikative Struktur von RSA zu neutralisieren,
wird auf den Textblock vor der modularen Exponentiation eine kollisionsresistente
126