Elementare Zahlentheorie und Kryptographie

Beispiel: Wir gehen durch ein Beispiel mit kleinen 5 Zahlen. Sagen wir, Alice
wählt p = 11 und q = 31. Dann ist N = 341 und ϕ(N) = 10 · 30 = 300. Ferner
wählt Alice e = 7 als V-Schlüssel und berechnet daraus den E-Schlüssel d = 43
(beachte: ed = 7 · 43 = 301 = 1 mod 300). Alice macht N = 341 und e = 7 auf
ihrer Homepage publik.
Wenn Bob die Nachricht m = 10 an Alice übermitteln will, dann berechnet er
m e = 10 7 = 175 mod 341 und übermittelt 175.
Alice empfängt 175 und kann dann die Rechnung (m e ) d = 175 43 = 10 durchführen,
um m aus m e zu gewinnen; sie kennt ja d.
Angriffe auf RSA
Nehmen wir an, ein Angreifer Oskar hat den gesamten Dialog abgehört, also
Oskar kennt N, e, m e ,
Bob kennt N, e, m, m e und
Alice kennt N, p, q, ϕ(N), e, d, m e , m.
1. Nehmen wir an, es gelingt Oskar, N zu faktorisieren, d.h. p und q zu
bestimmen. Dann kann er leicht ϕ(N) = (p−1)(q−1) bestimmen und dann
das d ∈ {0, 1, · · · , ϕ(N) − 1} mit ed = 1 mod ϕ(N) berechnen, genau wie
Alice es eingangs getan hat. Das entspricht nur einer Inversenbildung in
(Z/ϕ(N)Z) × mit dem euklidischen Algorithmus. Wenn er den E-Schlüssel
d einmal hat, dann kann er m aus m e durch die Rechnung m = (m e ) d
(Square and Multiply!) finden. Er kann dann jede abgehörte Nachricht an
Alice entschlüsseln.
Die Sicherheit von RSA beruht also wesentlich darauf, dass es heute für
“technisch unmöglich” gehalten wird, ein Produkt aus zwei großen Zufalls-
Primzahlen (sagen wir je ca. 1024 Bit) in seine Primfaktoren zu zerlegen.
Fortschritte im Bereich der Hardware oder im Bereich der Faktorisierungsalgorithmen
würden eine massive Bedrohung für RSA darstellen. Solange
nur kleinere Fortschritte gemacht werden, kann man allerdings einfach die
Schlüssellänge nach oben anpassen.
2. Natürlich würde es Oskar genügen, ϕ(N) zu finden. Das ist aber auch
nicht leichter als das Faktorisieren von N. Wer ϕ(N) kennt, der kennt
ϕ(N) = (p − 1)(q − 1) = N − p − q + 1 und kann p und q durch das
Auflösen der Gleichungen pq = N, p + q = N + 1 − ϕ(N) ermitteln. (Dies
läuft auf eine quadratische Gleichung in p hinaus.)
3. Ebenso würde es Oskar genügen, an d zu kommen. Man kann auch hier
beweisen, daß das ungefähr genauso schwer ist, wie das Faktorisieren von
N. D.h.: Wer d kennt, der kann p und q leicht berechnen.
4. Oskar könnte auch versuchen, m aus m e zu bestimmen, ohne d zu errechnen,
d.h. ohne die Gleichung m = (m e ) d zu benutzen. Es ist meines
Wissens nicht bekannt, ob das genauso schwer ist wie das Faktorisieren
von N, und das wird als Nachteil von RSA angesehen.
5 viel zu klein, um sicher zu sein!
53