Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:55 Uhr
• Das Prinzip der schnellen Erzeugung zufälliger Primzahlen p ist nämlich einfach, ebenso das
Erzeugen von Primzahlen mit zusätzlichen Eigenschaften, etwa p ≡ 3 mod 4:
WHILE noch keine Primzahl gefunden
DO Wähle Zufallszahl p passender Größe 45 (ggf. z.B. mit p ≡ 3 mod 4)
Teste, ob p prim
OD.
Man hat also nach etwa l•ln(2) Durchläufen Erfolg.
• Der Test, ob p prim ist, kann sicherlich nicht einfach erfolgen, indem man p faktorisiert und
schaut, daß es keine echten Teiler hat, denn Faktorisierung haben wir gerade als schwierig
angenommen.
Zum Glück gibt es schnellere Tests, wenn diese auch wieder eine exponentiell kleine Fehlerwahrscheinlichkeit
haben. Der beste ist der RABIN-MILLER-Test. Speziell für Zahlen p ≡ 3 mod 4
ist er besonders einfach 46 . Es gilt
p–1
p prim ⇒ ∀ a ∈ ZZ * 2
p : a ≡ ±1 mod p
(Herleitung in §3.4.1.5), während es für zusammengesetztes p höchstens für 1/4 aller entsprechenden
a gilt. (Die im folgenden ausführlich eingeführte Notation ZZ *
p bedeutet {1, 2, ...,p–1},
wenn p eine Primzahl ist.) Man prüft also diese Formel für σ zufällige Werte a nach. Gilt sie
mindestens einmal nicht, ist klar, daß p nicht prim ist. Andernfalls kann man in gewisser Weise
sagen, daß p mindestens mit Wahrscheinlichkeit 1 – 4 –σ eine Primzahl ist.
Die Fehlerwahrscheinlichkeit stört zumindest bezüglich der Faktorisierungsannahme nicht, da
es dort sowieso auch eine Fehlerwahrscheinlichkeit ähnlicher Größe gibt, nämlich die Wahrscheinlichkeit,
daß F faktorisieren kann.
In der Praxis prüft man allerdings, bevor man diesen Test nimmt, ob p ganz kleine Primfaktoren
enthält. Dazu legt man (ein für allemal) eine Tabelle der ersten Primzahlen an, z.B. alle von
höchstens Wortlänge des verwendeten Rechners. Durch alle diese wird probeweise dividiert. Erst
dann lohnt sich das Exponentieren, vgl. z.B. [Kran_86 §1, §2].
Zum Rechnen mit und ohne Kenntnis von p und q:
Die Rechnungen mit p und q bzw. mit n sind fast alles Rechnungen mit Restklassen. Deswegen sind
im folgenden die wichtigsten Tatsachen darüber dargestellt. Insbesondere wird danach unterschieden,
wie leicht die Operationen auszuführen sind. (Bei Bedarf nach mehr Information vgl. z.B. [Lips_81,
Lüne_88, ScSc_73, Knut_97] oder eine beliebige Einführung in sog. Elementare Zahlentheorie.)
3.4.1.1 Rechnen modulo n
Hier ist n völlig beliebig. Diese Operationen können also sowohl die Teilnehmer mit Geheimnis als
auch die ohne durchführen.
• ZZ n bezeichnet den Restklassenring modulo n. I. allg. wird er durch die Zahlen {0,…,n–1}
repräsentiert, und vermutlich ist das Rechnen darin den meisten Lesern intuitiv klar. Trotzdem
seien hier kurz die grundlegenden Definitionen wiederholt:
Formaler definiert man den Restklassenring modulo n über eine Kongruenzrelation ≡:
Für a, b ∈ZZ sei
45 In diesem Moment haben wir noch nicht unbedingt eine Primzahl, obwohl der Bezeichner p dies suggeriert. Nach
Ende des Algorithmus ist p dann hoffentlich prim.
46 Auch hier suggeriert die Bezeichnerwahl p das gewünschte Ergebnis und nicht unbedingt den Ist-Zustand.
58