Full paper (pdf) - CDC

des Verfahrens nicht mehr benötigt (außer um Berechnungen mit dem privaten
Schlüssel zu beschleunigen) und müssen nicht gespeichert werden. Da die
Kenntnis der Faktorisierung von N ausreichend ist, um d aus e zu berechnen,
sind p und q auf jeden Fall geheim zu halten. Die hier geschilderten Verfahren
bringen eine verschlüsselte Version von p in den öffentlichen Schlüssel ein, so
daß der Recovery-Operator daraus den Primfaktor p (und damit auch q = N
p )
entschlüsseln und den privaten Exponenten d berechnen kann.
Verschlüsselung im Exponenten e Das einfachere der beiden hier geschilderten
Verfahren erzeugt p und q genauso wie ein normaler RSA-Schlüsselgenerator.
Der Algorithmus enthält den öffentlichen Backup-Schlüssel des Recovery-
Operators. Mithilfe dieses Schlüssels verschlüsselt er den Faktor p und erhält
einen Chiffretext c. Um die Sicherheit des Verfahrens nicht von anderen Algorithmen
abhängig zu machen, sollte es sich bei dem Backup-Schlüssel ebenfalls
um einen RSA-Schlüssel handeln. Falls die Verschlüsselung c teilerfremd zu
(p − 1)(q − 1) ist, setzt der Generator den öffentlichen Exponenten e = c. Falls
nicht, verschlüsselt er den anderen Faktor q, wenn dies ebenfalls nicht zum
Erfolg führt, wählt er solange neue Primfaktoren p, bis sich ein geeignetes c ergibt.
Der private Exponent d errechnet sich aus e, p und q mit dem erweiterten
Euklidschen Algorithmus.
Um den Schlüssel wiederherzustellen, betrachtet der Recovery-Operator den
öffentlichen Exponenten e als Schlüsseltext und entschlüsselt ihn zum Primfaktor
p. Wegen N = pq erhält er damit zugleich auch den anderen Faktor q und
kann mit dem erweiterten Euklidschen Algorithmus den privaten Exponenten
d als multiplikatives Inverses zu e modulo (p − 1)(q − 1) bestimmen.
Das Problem bei dieser Vorgehensweise liegt daran, daß es nicht immer
möglich ist, den öffentlichen Exponenten e frei zu wählen. Viele RSA-Implementierungen
verlangen nach einem kleinen e, weil sich dies positiv auf die Rechenzeit
der öffentlichen RSA-Operationen auswirkt ohne einen negativen Effekt
auf die Sicherheit zu haben. Das obige Verfahren erzeugt jedoch Exponenten e
mit einer Bitlänge die der verwendeten Backup-Chiffre und damit (falls RSA
verwendet wurde) aus Sicherheitsüberlegungen der Bitlänge des Moduln N,
mindestens jedoch der Bitlänge von p entspricht.
Verschlüsselung im Moduln N Wenn öffentliche Exponenten e beliebiger
Größe nicht möglich sind, kann der Chiffretext für den Primfaktor p auch in
der oberen Hälfte des Moduln N untergebracht werden. Hierbei ist jedoch zu
beachten, daß der Chiffretext dann auf die Hälfte der Länge von N beschränkt
ist. Wenn man hierfür ebenfalls RSA einsetzen will, muß man Benutzerschlüssel
erzeugen, die doppelt so lang sind wie der Recovery-Schlüssel. Dies ist sicher
eine etwas ungünstige Situation.
Im folgenden gehen wir davon aus, daß der Recovery-Schlüssel ein RSA-
Schlüssel mit Modul NR und Exponenten dR und eR ist. Der Generator erzeugt
zunächst die zufällige Primzahl p. Diese Primzahl p wird anschließend durch
eine symmetrische Chiffre F mit festem Schlüssel K in eine Zahl p ′ überführt.
Der Schlüssel K ist dabei fest in den Generator integriert. Er muß nicht ge-
41