Elementare Zahlentheorie und Kryptographie

Erzeugung der ElGamal-Signatur: Um die Signatur zu m ∈ {0, 1} ∗ zu
erzeugen wählt User X zufällig ein k ≥ 2 und berechnet
S X (m) = ( g k , [k] −1 [h(m) − d
}{{}
X h ′ (g k )]).
} {{ }
=:γ∈G
=:s∈Z/l
[x] steht für die Restklasse von x in Z/l. Dabei ist unbedingt für jede
Nachricht ein neues k zu verwenden. User X könnte die bereits verwendeten
k’s wie Tan-Nummern abstreichen.
Satz 5.5.1 Es gilt γ s E h′ (γ)
X
= g h(m) .
Beweis: γ s = g [k][k]−1 ([h(m)]−[d X h ′ (g k ))]) = g h(m) g −d X h ′ (γ) = g h(m) E −h′ (γ)
X
. □
Man beachte: In die Formel für S X (m) geht der geheime Exponent d X ein. Dies
führt dazu, daß nur Xaver S X (m) aus m berechnen kann. Ganz im Gegensatz
dazu kann jeder, der γ und s vorgelegt bekommt, die beiden in obigem Satz
vorkommenden Werte γ s E h′ (γ)
X
und g h(m) berechnen. Dazu braucht man nur
den öffentlichen Schlüssel E X von User X und die öffentlichen Hashfunktionen
h und h ′ zu benutzen.
Verifizieren einer ElGamal-Signatur: Der Verifizierer V bekommt (m, S)
vorgelegt, wobei S = (γ, s) ∈ G × Z/l. Er soll prüfen, ob S eine gültige Unterschrift
von X zu der Nachricht m ist.
V berechnet γ s E h′ (γ)
X .
V berechnet g h(m)
Nur wenn diese beiden Werte übereinstimmen akzeptiert V die Unterschrift.
Zur Sicherheit:
a) Natürlich gilt d X = Log g (E X ). Dieser Logarithmus ist praktisch nicht
berechenbar. Wenn es einem Angreifer dennoch gelingt ihn zu berechnen,
so kommt er in den Besitz von d X . Wer d X hat, der kann zu beliebigen
Nachrichten m Unterschriften von X erzeugen.
b) Sei m eine Nachricht und S X (m) = (γ, s) eine Unterschrift von X zu m.
Viele Leute können in den Besitz von (m, S X (m)) = (m, γ, s) kommen;
zumindest der Empfänger und die potentiellen Verifizierer.
Nimm an, Oskar kennt eine gültige, signierte Nachricht (m, γ, s) von X und
es gelingt ihm, k = Log g (γ) zu berechnen. Es gilt [k]s = [h(m)]−[d X h ′ (γ)]
und somit
[d X ] = [h ′ (γ)] −1 ([h(m)] − [k]s).
Mit dieser Gleichung kann Oskar [d X ] berechnen. (Er kennt alle Größen
der rechten Seite dieser Gleichung.) In Kenntnis von [d X ] kann er nach
Belieben Unterschriften von X zu beliebigen Nachrichten erzeugen.
Dieser Angriff scheitert üblicherweise, da der diskrete Logarithmus k =
Log g (γ) praktisch nicht berechnet werden kann.
80