Elementare Zahlentheorie und Kryptographie

Der Nachrichtenraum des Verfahrens ist G. Durch das folgende Massey-Omura-
Protokoll kann eine Nachricht m ∈ G von User Alice (A) zu User Bob (B)
übertragen werden.
a) A berechnet c 1 := m e A
und schickt c 1 zu B. (Niemand kann in diesem
Stadium aus c 1 alleine nennenswerte Rückschlüsse auf die Nachricht ziehen.
In der Tat wird zumindest für jeden der ϕ(|G|) Erzeuger ˜m von G
ein e mit ˜m e = c 1 existieren. Auch Bob kann aus c 1 die Nachricht nicht
rekonstruieren.)
b) B berechnet c 2 = c e B
1 und schickt c 2 zurück an A. (Dann wird c 2 = m e Ae B
gelten.)
c) A berechnet c 3 = c d A
2 und schickt c 3 zu Bob. (Dann gilt c 3 = m e Ae B d A
=
(m e Ad A
) e B
= m e B
nach dem obigen Satz.)
d) B kann nun c d B
3 berechnen. Aber es gilt c d B
3 = m e Bd B
= m nach obigem
Satz. Bob kennt nun die Nachricht m.
,
Wir diskutieren die Sicherheit dieses Verfahrens 6 . Wir sagen es gleich hier: Das
Verfahren von El Gamal, das im nächsten Abschnitt besprochen wird, scheint
uns wesentlich besser zu sein als Massey-Omura.
a) Ein Angreifer, der den ganzen Dialog abgehört hat, kennt c 1 = m e A
,
c 2 = m e Ae B
= c e B
1 und c 2 = m e B
. Es gilt die Formel e B = Log G,c1 (c 2 ).
Wenn der Angreifer es schafft, diesen diskreten Logarithmus zu berechnen,
d.h.. e B zu bestimmen, so wird er mühelos auch an d B und an die Nachricht
m = c e B
3 kommen. Die Berechnung des diskreten Logarithmus wird aber
aus Laufzeitgründen unmöglich sein.
Eine Bemerkung scheint mir allerdings angebracht: Um das Massey-Omura-
System zu brechen würde es genügen, einen Logarithmus zur Basis c 1
(und nicht zur Basis g) zu berechnen. Wenn ord(c 1 ) ein Produkt von kleinen
Primfaktoren ist 7 , dann könnte der Algorithmus von Silver-Pohlig-
Hellman einen Hebel zur Berechnung von e B = Log c1
(c 2 ) bieten. Wenn
dafür gesorgt wurde, daß |G| einen großen Primteiler l hat (etwa l im
300-Bit-Bereich), dann ist die Wahrscheinlichkeit dafür, daß ord(c 1 ) nicht
durch l teilbar ist, nur ≈ 1/l ≈ 2 −300 .
Bei dem ElGamal-Verfahren, das im nächsten Abschnitt dargestellt wird,
hängt die Sicherheit definitiv von einem Logarithmus Log g (−) zur Basis g
ab, der schwer zu berechnen ist. Ich sehe das als einen Vorteil von ElGamal.
b) Das Massey-Omura-Verfahren bietet keinerlei Sicherheit gegen Man-inthe-Middle-Angriffe:
Nimm an, daß sich Oskar vor Alice als Bob ausgeben
kann und alles abhören kann. Er könnte sich dann z.B. nach Ablauf
6 An dieser Stelle wurde die Darstellung der Vorlesung gegenüber ein wenig verbessert.
7 Das ist sehr selten der Fall!
74