Elementare Zahlentheorie und Kryptographie

a) Ein Angreifer Oskar möchte auch in den Besitz von k X,Y kommen. Er
kennt E X = g d X
und E Y = g d Y
; aber er kennt weder d X noch d Y . Das
Berechnen von k X,Y ist also genauso schwer wie das im vorigen Abschnitt
genannte Diffie-Hellman-Problem.
Natürlich gilt k X,Y = E Log g (E Y )
X
= E Log g (E X )
Y
, aber Oskar kann von diesen
Formeln nicht profitieren, weil die diskreten Logarithmen in der Einweggruppe
(G, g) praktisch nicht berechenbar sind.
b) Diffie-Hellman ist nicht sicher gegen Man-in-the-Middle-Angriffe. Nimm
an, es gelingt Oskar Bob vorzutäuschen, sein öffentlicher Schlüssel E O =
g d O
O
wäre der öffentliche Schlüssel von Alice. (Dies könnte Oskar vielleicht
durch eine Fake-Homepage gelingen.) Sei k = g d B,d O
. Bob wird nun denken,
er würde das Geheimnis k mit Alice teilen. In der Tat teilt er das
Geheimnis k aber mit Oskar. Nimm an, Oskar kann alles abhören. Wenn
Bob nun z.B. aus k einen AES-Schlüssel k ′ ableitet und vertrauliche Daten
mit k ′ verschlüsselt an Alice schickt, dann kann Oskar (aber nicht Alice)
diese Daten entschlüsseln.
Zur Abwehr braucht man elektronische Unterschriften und Trustcenter.
Oft wird Diffie-Hellman in einer Situation angewendet, in der nur zwei User (A
und B) vorhanden sind. Es könnte wie folgt vorgegangen werden.
Man einigt sich (unverschlüsselt) auf eine Einweggruppe (G, g); vielleicht erzeugt
einer der beiden User (G, g) mit 5.1.1 und schlägt diese Gruppe vor.
A wählt d A ≥ 2 und schickt E A := g d A
an B.
B wählt d B ≥ 2 und schickt E B := g d B
an A.
Sie teilen dann das Geheimnis k = E d B
A
= E d A
B
.
5.5 Signatur mit ElGamal
Wir schildern ein Verfahren für elektronische Unterschriften, das auf Einweggruppen
beruht. User X soll zu jeder Nachricht aus dem Nachrichtenraum 11
P = {0, 1} ∗ (die Menge der Bitvektoren beliebiger, endlicher Länge) eine Unterschrift
S X (m) erzeugen können, die als “Appendix” an die Nachricht angefügt
wird.
a) S X (m) muß von User X und von der Nachricht abhängen 12 . Sonst könnte
jeder, der einmal ein von X unterschriebenes Dokument gesehen hat, die
Unterschrift mit Copy-and-Paste auf jedes andere Dokument kopieren.
b) User X muß S X (m) schnell aus m berechnen können.
11 Man kann das Verfahren leicht so modifizieren, daß es auf Texte über ASCII angewendet
werden kann.
12 Eine Unterschrift von Hand hängt nur vom Signierer ab.
78