Full paper (pdf) - CDC

agsfehlers die Berechnungen auch noch für die um eine Einheit erhöhte obere
Hälfte von N durchführen.
4.3.3 ElGamal-Schlüssel
Bei der Erzeugung eines ElGamal-Schlüssels (p, g, a, A) wollen wir davon ausgehen,
daß alle Parameter vom Schlüsselgenerator frei bestimmt werden können.
Dadurch wird es möglich, den geheimen Exponenten a mit einem ElGamal-
Backup-Schlüssel zu (B, c) zu verschlüsseln und diese beiden Werte in den Parametern
p und g zu verstecken. Young und Yung [YY96] geben darüber hinaus
auch zwei Algorithmen an, die mit einem vorgegebenen p oder einem vorgegebenen
g arbeiten können.
Der Schlüsselgenerator enthält den Backup-Schlüssel (pR, gR, AR). Als erstes
erzeugt er den zufälligen Exponenten a. Dieser Wert wird mit dem Backup-
Schlüssel und einem zufälligen k zu (B, c) = (g k R , Ak R a) (mod pR) verschlüsselt.
Falls möglich, setzt er die Parameter p und g des zu erzeugenden Schlüssels als
p ← c und g ← B. Hierzu muß c eine Primzahl sein (c−1 sollte außerdem einen
großen Primfaktor haben) uns es muß gelten a < c und B < c. Ist dies nicht der
Fall, wird die Verschlüsselung mit einem neuen k wiederholt (Young und Yung
fordern nicht, daß g tatsächlich die gesamte Gruppe (Z/pZ) ∗ erzeugt, obwohl
dies im ElGamal-Verfahren eigentlich vorgesehen ist). Der letzte Parameter
A = g a (mod p) ergibt sich abschließend aus p, g und a.
Zum Key-Recovery werden die Parameter g und p des öffentlichen Schlüssels
einfach als ElGamal-Chiffretext aufgefaßt und mit dem Recovery-Schlüssel zu
a entschlüsselt.
43