Digitale Signaturen - Tibor Jager

Kapitel 3Chamäleon-HashfunktionenAuch wenn der Name es suggeriert: Chamäleon-Hashfunktionen sind keine Hashfunktionen, die ihreFarbe wechseln können. Sie haben aber eine sehr ähnliche Eigenschaft, die entfernt an die Vielseitigkeiteines Chamäleons erinnert. Sie wurden im Jahr 2000 von Krawczyk und Rabin [KR00] eingeführt, undsind mittlerweile ein wichtiger Baustein für viele kryptographische Konstruktionen.In diesem Kapitel erklären wir zunächst die Idee von Chamäleon-Hashfunktionen, und geben zweikonkrete Konstruktionen an die auf dem diskreten Logarithmusproblem (DL) und dem RSA-Problembasieren. Diese Konstruktionen sind sehr ähnlich zu den DL- und RSA-basierten Einmalsignaturen diewir schon kennen. Danach beschreiben wir zwei interessante Anwendungen von Chamäleon-Hashfunktionenim Kontext von Signaturen. Als erste Anwendung stellen wir dann so genannte abstreitbare Signaturenvor. Danach zeigen wir, dass man aus einer Chamäleon-Hashfunktion immer ein Einmalsignaturverfahrenkonstruieren kann. Als letzte Anwendung zeigen wir, dass man Signaturverfahren konstruierenkann die strong existential unforgeable sind. Dies ist, wie die Bezeichnung schon verrät, einestärkere Sicherheitseigenschaft als existential unforgeability, die in manchen Anwendungen notwendigist.Neben den hier vorgestellten Beispielen haben Chamäleon-Hashfunktionen viele weitere, wichtigeAnwendungen in der Kryptographie, auf die wir hier leider nicht eingehen können. Insbesondereist an dieser Stelle die Konstruktion von CCA-sicheren Verschlüsselungsverfahren aus so genanntenidentitätsbasierten Verschlüsselungsverfahren zu nennen [Zha07] (eine Alternative zur EinmalsignaturbasiertenKonstruktion aus [CHK04]), und die Verwandtschaft zu bestimmten Identifikationsverfahren(Sigma-Protokollen) [BR08].3.1 MotivationNehmen wir an, ein Kunde K möchte eine Ware einkaufen. Es gibt zwei konkurrierende Händler H 1und H 2 , die diese Ware in gleicher Qualität liefern können. Beide Händler veröffentlichen ihre Preisenicht, sondern verhandeln jedes Mal individuell mit dem Kunden. Am liebsten will ein Händler immerein kleines bisschen günstiger sein als sein Konkurrent – jedoch weiss der eine Händler leider nicht,welchen Preis der andere Händler dem Kunden gerade genannt hat.Der Kunde fragt per E-Mail zuerst bei H 1 nach einem Preis für die Ware. Dieser antwortet miteiner E-Mail, die einen echten Schnäppchenpreis von 100 e pro Stück anbietet. Damit die Nachrichtauthentisch bei K ankommt, ist sie von H 1 digital signiert.Nun möchte der Kunde den Händler H 2 kontaktieren, und ihn um einen günstigeren Preis bitten.37