Sicherheit in Rechnernetzen - Professur Datenschutz und ...

3 Kryptografische Grundlagen
von mindestens k Teilen die effiziente Rekonstruktion des Geheimnisses erlaubt, k − 1 Teile aber
keine Information über das Geheimnis liefern.
Adi Shamirs Polynominterpolation:
Das Geheimnis G sei Element von Zp, p sei Primzahl. 73
Der Eigentümer wählt ein Polynom q(x) des Grades k − 1 folgendermaßen:
Er wählt die Koeffizienten a1, a2, . . . , ak−1 zufällig, gleichmäßig und unabhängig in Zp.
Er definiert q(x) := G + a1x + a2x 2 + · · · + ak−1x k−1 , wobei alle Operationen in Zp erfolgen.
Er berechnet in Zp die n Teile (i, q(i)) mit 1 ≤ i ≤ n wobei n < p gelten muß.
Aus k Teilen (x j, q(x j))( j = 1, . . . , k) kann das Polynom q(x) folgendermaßen berechnet werden
(Lagrange-Polynominterpolation [Denn_82, Seite 180]):
q(x) =
k
q(x j)
j=1
Das Geheimnis G erhält man dann als q(0).
Beweisskizze:
k
m=1,m j
(x − xm)
(x j − xm)
mod p
1. Das Schwellwertschema liefert bei Kenntnis von lediglich k − 1 Teilen ( j, q( j)) keinerlei
Information über G, da es für jeden Wert von G immer noch genau ein Polynom vom Grad
k − 1 gibt, das durch die insgesamt k Punkte ( j, q( j)) und (0, G) geht.
2. Obige Formel berechnet das richtige Polynom, da es sowohl den richtigen Grad k − 1 hat
(jeder Produktteil hat den Grad k − 1 und durch Summation bleibt dies erhalten) und für
jedes Argument x j den Wert q(x j) liefert: Setzt man im Produktteil für x ein x j ein, so
ist das Produkt genau 1, wenn der Summationsindex den Wert j hat (denn dann hat jeder
einzelne Quotient den Wert 1, also ist ihr Produkt 1) und 0 sonst (denn dann ist ein Faktor
0). Diese 1 multipliziert mit q(x j) ergibt als Gesamtwert der Summe q(x j).
Anmerkung Es ist nicht zwingend, daß die Teile als Werte des Polynoms an den Stellen 1 bis n
gewählt werden. Jede andere Wahl von n verschiedenen Stellen ( 0) tut es auch.
Ist das Geheimnis groß und möchte man nicht modulo einem großen p rechnen, so zerschneidet
man das Geheimnis in mehrere Stücke und führt obiges Schema mit jedem der Stücke durch.
Oftmals sollen Geheimnisse nicht nur vertraulich bleiben, sondern sie müssen auch für ihren Eigentümer
über lange Zeit verfügbar sein. Möchte sich der Eigentümer eines Geheimnisses G vor
73 Vorsicht Falle: p darf nicht in starker Abhängigkeit von G gewählt werden. Also auf keinen Fall: Wähle zu G die
nächst größere Primzahl p. Sonst erhält ein Angreifer durch Kenntnis des öffentlich werdenden p schon sehr, sehr
viel Information über G.
172