Full paper (pdf) - CDC

Logarithmus von vi zur Basis v (also di). Natürlich darf dabei keine zusätzliche
Information über di entstehen (die Beziehung vi = v di ist ja bereits bekannt).
Sei H eine Hashfunktion mit einer Ausgabe von L1 Bits. Der Teilnehmer i wählt
eine zufällige Zahl r ∈R {0 . . . 2 L(N)+3L1 − 1} (da er die Gruppenordnung p ′ q ′
nicht kennt, muß er mit hinreichend großen Zahlen arbeiten) und berechnet den
Korrektheitsbeweis (z, c) als
c = H(v, m 4L , vi, s 2 i , v r , m 4Lr ) und z = dic + r.
Damit kann die korrekte Berechnung von s 2 i
c = H(v, m 4L , vi, s 2 i , v z v −c
i , m 4Lz s −2c
i
überprüft werden, denn es muß
gelten (daß mit s 2 i anstatt si gerechnet wird, wird für den Sicherheitsbeweis
benötigt).
3.7 Das ElGamal-Verfahren
Neben dem RSA-Verfahren ist das auf der Schwierigkeit der Berechnung diskreter
Logarithmen beruhende ElGamal-Verfahren [ElG85] die bekannteste Basis
für Public-Key-Kryptosysteme. Es wurde 1985 von Taher ElGamal vorgeschlagen
und ähnelt dem Diffie-Hellman-Schlüsselaustausch-Protokoll.
Das Diffie-Hellman-Problem Die Sicherheit des ElGamal-Verfahrens beruht
auf der Annahme, daß es keinen effizienten Algorithmus gibt, um das
sogenannte Diffie-Hellman-Problem zu lösen.
Das Diffie-Hellman-Problem besteht darin, für eine gegebene prime Restklassengruppe
(Z/pZ) ∗ mit einem bekannten erzeugenden Element (Generator)
g ∈ (Z/pZ) ∗ für zwei Elemente A = g a und B = g b das Element C = g ab zu
berechnen, obwohl a und b unbekannt sind.
Eine Möglichkeit, das Element C zu bestimmen, besteht darin die Exponenten
a oder b zu berechnen. Dann ergibt sich C = A b = B a . Man bezeichnet
a und b als diskrete Logarithmen von A beziehungsweise B zur Basis g
in der Gruppe (Z/pZ) ∗ . Für dieses Diskrete-Logarithmus-Problem sind allerdings
keine effizienten Algorithmen bekannt. Das Diffie-Hellman-Problem und
das Diskrete-Logarithmus-Problem stehen dabei in einer ähnlichen Beziehung
zueinander wie das RSA-Problem und das Faktorisierungs-Problem: es ist nicht
bekannt, ob sie äquivalent sind.
Da das Diffie-Hellman-Problem in keiner bekannten Beziehung zum RSA-
Problem steht, bietet das ElGamal-Verfahren eine echte Alternative zum RSA-
Verfahren: selbst wenn eines der Verfahren aufgrund neuer Erkenntnisse unsicher
werden sollte, muß das andere davon nicht betroffen sein. Darüberhinaus
läßt sich das ElGamal-Verfahren leicht auf andere Gruppen als (Z/pZ) ∗ übertragen,
in denen das Diffie-Hellman- und das Diskrete-Logarithmus-Problem
andere Lösungsansätze erfordern. Am bekanntesten sind hierbei die Elliptischen
Kurven, deren Struktur kürzere Schlüssellängen (im Vergleich zu ElGamal über
(Z/pZ) ∗ ) zulassen.
29
)