Sicherheit in Rechnernetzen - Professur Datenschutz und ...

B Lösungen
528
Durch Vergleich mit der obigen vierten Signatur sieht man, daß nur die obersten drei Referenzen
(rɛ, r0, r1) schon da sind sowie die oberste K-Signatur. (Dies ist gerade der Wechsel
von der linken in die rechte Baumhälfte, also nach der ersten Signatur die zweitaufwendigste
Signatur überhaupt.) Für die Rechenreihenfolge ergibt sich:
Verschicken kann man natürlich jeweils alles Gezeichnete, was aber nur für paralleles
Testen nötig ist. Wird das Testen sequentiell durchgeführt, so braucht man die inneren
Knoten der Signaturen nicht zu verschicken: Der Empfänger der Signatur muß alle grauen
Pfeile entgegen ihrer Richtung nachrechnen und nur vergleichen, ob sich die ihm bekannte
Wurzel des Baumes rɛ ergibt.
c) Zu zeigen ist: Wenn es einen Algorithmus gäbe, der effizient Kollisionen von Funktionen
fprä f (m) findet, gäbe es auch einen, der Kollisionen für Paare (f0, f1) findet.
Dazu wird gezeigt, wie man aus jeder Kollision von fprä f (m) direkt eine von (f0, f1) berechnet.
Sei die gegebene Kollision m, m ∗ , S, S ∗ mit m m ∗ und fprä f (m)(S ) = fprä f (m ∗ )(S ∗ ).
Setze v := prä f (m) und w := prä f (m ∗ ).
Nennen wir die Bits von v = v0v1 . . . vk bzw. w = w0w1 . . . wk ′. Seien vi und wi die ersten
Bits von links, in denen sich v und w unterscheiden. Da v und w präfixfreie Codierungen
unterschiedlicher Nachrichten m, m ∗ sind, gilt i ≤ min(k, k ′ ) und natürlichgilt 0 ≤ i. Dann
ist
fv(S ) =fv0 · fv1 · . . . · fvi · . . . · fvk (S ) =
fw0 · fw1 · . . . · fwi · . . . · fwk ′ (S ∗ ) = fw(S ∗ )