Elementare Zahlentheorie und Kryptographie

Entschlüsselung: Alice empfängt c ∈ Z/N und berechnet die (bis zu) vier
Wurzeln sqrt(c). Sie kann dazu den chinesischen Restsatz verwenden, weil sie p
und q kennt. Die Nachricht muß eine dieser bis zu 3 vier Wurzeln sein.
Beispiel: Alice hat als öffentlichen Schlüssel N = 77 gewählt 4 . Bob will die
Nachricht m = [10] an Alice schicken. Die Verschlüsselung von m ist m 2 =
[100] = [23]. Bob schickt also [23] an Alice. □
Beispiel: Alice kennt die Primfaktorzerlegung von 77 = pq; p = 7, q = 11.
Sie erhält die Nachricht c = [23]. Um dies zu entschlüsseln muß sie sqrt([23] 77 )
berechnen. Sie kann von vorne herein davon ausgehen, daß X 2 = [23] 77 lösbar
ist - das liegt hier in der Natur des Verfahrens.
Eine Lösung von X 2 = [23] 7 (= [2] 7 ) über F 7 ist (beachte 7 = 3 mod 4)
w 7 := [2] (7+1)/4
7 = [4] 7 .
Eine Lösung von X 2 = [23] 11 (= [1] 11 ) über F 11 ist w 11 = [1] 11 (offensichtlich).
Alice löst das System
u = 4 mod 7
u = 1 mod 11
und findet die Lösung u = 67-
Dann löst sie das System v = −4 mod 7
v = 1 mod 11
und findet die Lösung v = 45.
Also gilt
sqrt([23] 77 ) = {[67] 77 , [−67] 77 , [45] 77 , [−45] 77 } = {[10] 77 , [32] 77 , [45] 77 , [67] 77 }.
Welcher dieser vier Werte der Klartext ist, kann sie nicht rekonstruieren. Wir
werden unten erläutern, wie man diesen “Mißstand” beheben kann. □
Der entscheidende Vorteil des Rabin-Verfahrens ist, daß man wirklich beweisen
kann, daß das Berechnen der Wurzeln aus einem Geheimtext c ∈ (Z/N) ×
genauso schwer ist, wie das Faktorisieren von N.
In Anwendungen benötigt man geeignete Padding-Abbildungen pad : A ∗ →
(Z/N) ∗ und repad : (Z/N) ∗ → A ∗ mit repad ◦ pad = Id, wobei A = {0, 1} oder
A = ASCII gilt. pad verwandelt einen Bitvektor oder ASCII-Text in einen
Vektor von Elementen in Z/N, der dann blockweise mit Rabin verschlüsselt
und übertragen werden kann. Nach dem Entschlüsseln entsteht ein Vektor über
Z/N, aus dem mit der Routine repad der ursprüngliche Bitvektor oder ASCII-
Text gewonnen werden kann.
Wer eine nicht randomisierte Padding-Abbildung verwendet, hat keinen Schutz
gegen Wörterbuchangriffe der folgenden Form: Nimm an, Oskar kann alles
abhören. Er will herausfinden, ob jemand den Text “Ich liebe Dich” an Alice
3 Höchstwahrscheinlich werden es genau vier Wurzeln sein.
4 Dies ist viel zu klein, um sicher zu sein.
95