Elementare Zahlentheorie und Kryptographie

c) Man nimmt an, daß es keine Möglichkeit gibt, zu vorgegebenen Nachrichten
m eine gültige Unterschrift von X zu erzeugen, ohne diskrete Logarithmen
zu lösen.
d) Gibt es ein Verfahren, um ein Paar (m, S) zu erzeugen, wobei S eine
gültige Unterschrift zu m ist? (Wir verlangen nicht, daß m dabei beeinflußt
werden kann.) Mit anderen Worten: Kann man irgendeinen “Zufallstext”
(Kauderwelsch) m und eine gültige Unterschrift von X zu m finden 13 ?
Wir nehmen die Antwort vorweg: Es wäre möglich, wenn die Hashfunktion
unsicher wäre.
Oskar wählt u, v mit [v] ∈ (Z/l) × . Er setzt
γ := g u EX v ,
s := −[v] −1 h ′ (γ),
S := (γ, s)
und fragt sich, zu welchen Kontrollwerten h(m) diese Signatur passen
würde. Es gilt
γ s E h′ (γ)
X
= g [u][v]−1 h ′ (γ) .
Sei m ′ = [u][v] −1 h ′ (γ). Wenn es gelingt ein m ∈ {0, 1} ∗ zu finden mit
h(m) = m ′ (aber das ist bei sicheren Hashfunktionen praktisch nicht
möglich), dann ist S eine gültige Unterschrift von X zu m.
e) Nimm an, X hat beim Unterschreiben zweier Nachrichten m 1 ≠ m 2 den
selben Zufallswert k ≥ 2 verwendet, obwohl das ausdrücklich verboten
ist. Die Unterschriften sind dann von der Form S X (m 2 ) = (γ, s 1 ) und
S X (m 2 ) = (γ, s 2 ) mit γ = g k und s i = [k] −1 ([h(m i )] − [d X h ′ (γ)]). Entscheidend
ist, daß γ nun nicht von i abhängt.
Dann gilt s 1 − s 2 = [k] −1 [h(m 1 ) − h(m 2 )] und daraus folgt 14
[k] = (s 1 − s 2 ) −1 [h(m 1 ) − h(m 2 )].
In Kenntnis von m, γ, s 1 , s 2 kann Oskar also [k] finden. (Er kennt dann
alle Größen, die auf der rechten Seite vorkommen.) Wenn er [k] einmal
hat, dann kann er den geheimen Exponenten [d X ] von X mit der Methode
aus b) berechnen. Wer d X hat, der kann zu beliebigen Nachrichten m
Unterschriften von X erzeugen.
f) Natürlich bietet sich auch hier die Möglichkeit eines Man-in-the-Middle-
Angriffs. Wenn es Oskar gelingt, Alice davon zu überzeugen, sein öffentlicher
Schlüssel E O wäre der öffentliche Schlüssel von Xaver. Dann kann
Oskar Signaturen zu beliebigen Nachrichten erzeugen, die für Alice so aussehen,
als kämen sie von Bob.
Abwehr von Man-in-the-Middle-Angriffen durch Trustcenter:
Um die Man-in-the-Middle-Angriffe in den Abschnitten 5.2.-5.5. (MIM-Angriff
auf ElGamal-Verschlüsselung, ElGamal-Signatur oder auf Diffie-Hellman) abzuwehern,
muß jeder User X den öffentlichen Schlüssel von jedem anderen User
auf Echtheit überprüfen können. Hierzu werden Trustcenter verwendet.
13 Es fragt sich natürlich, ob das schlimm wäre; ein Angreifer wird in aller Regel Unterschriften
zu von ihm gewählten Nachrichten erzeugen wollen
14 In aller Regel wird s 1 ≠ s 2 gelten.
81