DE102005041102A1

DE102005041102A1 - Verfahren zur Skalarmultiplikation von Punkten auf einer elliptischen Kurve

Info

Publication number: DE102005041102A1
Application number: DE102005041102A
Authority: DE
Inventors: Anton Kargl; Bernd Dr. Meyer
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2005-08-30
Filing date: 2005-08-30
Publication date: 2007-03-15
Also published as: EP1920323A1; US20090136025A1; WO2007025796A1; CN101253473A

Abstract

Verfahren zur Skalarmultiplikation von Punkten auf einer elliptischen Kurve über einen endlichen Erweiterungskörper K eines Primkörpers F¶p¶ mit einer Charakteristik p > 3, wobei die Charakteristik p ein geringes Hamming-Gewicht aufweist, und der Erweiterungskörper K in polynomieller Darstellung ein irreduzibles Polynom F(X) = X·d· - 2 vom Grad d besitzt.

Description

Die Erfindung betrifft ein Verfahren zur Skalarmultiplikation von Punkten auf einer elliptischen Kurve, insbesondere von elliptischen Kurven über einen endlichen Erweiterungskörper K eines Primkörpers F_p mit einer Charakteristik p > 3.

In der Kryptographie wird zwischen symmetrischen und asymmetrischen Verfahren unterschieden. Symmetrische Verfahren benutzen nur einen, geheimen Schlüssel, sowohl zum Ver- als auch zum Entschlüsseln. Der Schlüssel muss an beide Kommunikationsteilnehmer über einen sicheren Kanal verteilt werden. Bei den asymmetrischen Verfahren werden zwei Schlüssel eingesetzt, ein öffentlicher und ein privater. Der öffentliche Schlüssel kann an alle Teilnehmer verteilt werden, ohne die Sicherheit des Datenaustauschs zu gefährden. Der Schlüsselaustausch ist daher bei asymmetrischen Verfahren unproblematischer als bei den symmetrischen Verfahren. Nachteilig bei den asymmetrischen Verfahren ist, dass sie etwa hundert- bis tausendmal langsamer als vergleichbare symmetrische Verfahren sind.

Elliptische Kurven werden seit 1985 in asymmetrischen Kryptographie-Verfahren eingesetzt. Der Hauptvorteil von auf elliptischen Kurven basierender Kryptographie ist, dass im Vergleich zu anderen Verfahren, wie zum Beispiel RSA, kleinere Schlüssel eingesetzt werden können und dennoch das gleiche Sicherheitsniveau erreicht wird. Eine Schlüssellänge von 160 Bit weist die gleiche Sicherheit gegenüber Angriffen auf wie ein Schlüssel von 1.024 Bit bei dem RSA-Verfahren. Pro Bit des Schlüssels liefert die elliptische Kurven-Kryptographie die höchste Sicherheit von allen derzeit bekannten Verfahren. Die elliptische Kurven-Kryptographie ist daher besonders für Kanäle mit stark begrenzter Bandbreite geeignet. Nachteilig ist jedoch, dass die Ver- und Entschlüsselung rechnerisch aufwendiger als bei anderen Verfahren ist. Für die Anwendung in kryptographischen Verfahren ist es daher wichtig, eine optimale Auswahl der Parameter des kryptographischen Systems zu treffen.

Sei K ein endlicher Körper der Charakteristik p > 3 und a, b ∊ K. Eine elliptische Kurve über dem Körper K ist die Nullstellenmenge der Gleichung y² = x³ + ax + b mit 4a³ + 27b² ≠ 0. Elliptische Kurven sind unter Einbeziehung des unendlich fernen Punktes als neutrales Element additive Gruppen. Sei G ⊂ E eine Untergruppe mit primer Ordnung. Dann ist jeder nicht-triviale Punkt P ∊ G ein Generator von P. Folglich ist jeder Punkt Q ∊ G das Ergebnis einer Skalarmultiplikation Q = sP, mit s ϵ{0,... , ord(P) – 1}. Wenn der Skalar s eine positive Ganzzahl ist, entspricht der Skalarmultiplikation die s-fach wiederholte Addition eines Punktes P zu sich selber.

Die Skalarmultiplikation ist derzeit für Kurven mit bestimmten Eigenschaften eine mathematische Einwegfunktion. Sie kann in polynomieller Zeit berechnet werden, allerdings nach dem heutigen Stand der Technik nur in exponentieller Zeit umgekehrt werden. Die Umkehrung der Skalarmultiplikation auf elliptischen Kurven wird auch als diskretes Logarithmus-Problem (ECDLP) bezeichnet und ist die mathematische Grundlage für auf elliptischen Kurven basierende Kryptosysteme. Die derzeit bekannten Verfahren zur Berechnung diskreter Logarithmen auf kryptographisch geeigneten elliptischen Kurven besitzen die Komplexität O(2^0,5n), wobei n die binäre Länge der Ordnung von G ⊂ E ist. Um den aktuellen Sicherheitsanforderungen zu genügen, wird empfohlen mindestens eine Bitlänge von n > 160 zu wählen.

Die Skalarmultiplikation eines Punktes P wird üblicherweise durch Addition und Verdopplung von Punkten der elliptischen Kurve implementiert. Die Rechenvorschrift für die Addition und die Verdopplung besteht aus Elementaroperationen auf Elementen aus dem Körper K. Für eine effektive Implementierung der Skalarmultiplikation ist eine optimierte Arithmetik im Körper K erforderlich.

Der wichtigste Faktor bei der Wahl des zugrunde liegenden Körpers K ist die Architektur der zur Verfügung stehenden Hardware-Plattform. Steht auf der Hardware-Plattform eine Langzahlarithmetik zur Verfügung und sind Koprozessoren zur Beschleunigung der Arithmetik im Körper K integriert, so können für den Körper K Primkörper eingesetzt werden. Chipkarten mit Koprozessor und Langzahlarithmetik können z.B. elliptische Kurven mit Primzahlen mit Bitlängen von 160 bis 600 Bit sehr effektiv verarbeiten.

In Hardware-Umgebungen dagegen, die keine speziellen Rechenwerke aufweisen, wie zum Beispiel Embedded Systems, mit Busbreiten von nur 8 oder 16 Bit und ohne Koprozessor, muss die Langzahlarithmetik erst durch entsprechende Software-Befehle implementiert werden. Die kryptographischen Verfahren müssen somit vollständig in Software realisiert werden und sind nur schwierig beziehungsweise nur mit sehr viel Erfahrung optimierbar.

Die Leistungsfähigkeit von derartigen Software-Lösungen zur Skalarmultiplikation kann wesentlich gesteigert werden, wenn die von der Hardware zur Verfügung gestellten Optimierungsmöglichkeiten, wie zum Beispiel die SSE2-Einheit eines Pentium 4-Prozessors oder das gleichzeitige Addieren und Multiplizieren eines Signalprozessors, ausgenutzt werden können.

Alternativ zur Wahl eines Primkörpers können für den Körper K Erweiterungskörper eines Primkörpers F_p gewählt werden. Mithilfe von kleineren Primzahlen p mit binären Längen von nur 20 bis 30 Bit und eines irreduziblen Polynoms vom Grad d kann man einen kleineren Körper F_p konstruieren. Die Körperelemente eines Erweiterungskörpers sind dabei Polynome, deren Koeffizienten auch aus dem Körper F_p stammen, d. h. Polynome sind. Auf diese Weise lässt sich trotz der kleineren Primzahlen p eine hohe effektive Bitzahl erreichen, die dann eine ausreichend hohe Sicherheit ermöglicht. Die erforderliche Polynomarithmetik kann damit an die Busbreite des jeweiligen Prozessors angepasst werden, sodass die im jeweiligen Prozessor bereitgestellten Arithmetikoperationen optimal verwendet werden können und keine Langzahlarithmetik erforderlich ist. Bei der Polynomarithmetik sind wie bei der Multiplikation von zwei n-Bit Zahlen n² Multiplikationen erforderlich. Von Vorteil ist bei der Polynomarithmetik jedoch, dass sich durch Einsatz spezieller Algorithmen die Gesamtzahl der Operationen viel stärker reduzieren lässt.

Um bei der Multiplikation von zwei Polynomen, deren Ergebnis ein Polynom mit maximalem Grad 2d – 2 ist, wieder in den Körper zurückzukommen, muss das Polynom reduziert werden. Zum Einen werden die Koeffizienten des Polynoms modulo p im endlichen Körper F_p reduziert, zum Anderen wird das Polynom selber modulo irreduzibles Polynom reduziert.

Durch geschickte Wahl des Erweiterungskörpers F_p lässt sich der Aufwand für beide Arten von Reduzierung minimieren. Optimale Erweiterungskörper (OEF) über Primkörper F_p mit einer Charakteristik p > 3 und einer polynomiellen Darstellung mit maximalem Grad d – 1 sind dabei durch zwei wesentliche Eigenschaften gekennzeichnet:

1. Die Primzahl p ist eine Pseudo-Mersenne Primzahl in der Form p = 2ⁿ ± c, wobei log (c) < n/2. Diese Eigenschaft ermöglicht eine schnelle Reduktion im Körper F_p.
2. Es existiert ein irreduzibles Polynom F(X) = X^d – w ∊ F_p[X]. Diese Eigenschaft ermöglicht eine schnelle Reduktion im Polynomring F_p[X], da die zu reduzierenden Koeffizienten durch eine Multiplikation und eine Addition in F_p reduziert werden können.

Die optimalen Erweiterungskörper können weiter vom Typ 1 oder Typ 2 sein:
Typ 1: Für die Primzahl p gilt p = 2ⁿ ± 1, das heißt c = 1.
Typ 2: Für das irreduzible Polynom F(X) gilt F(X) = X^d – 2, das heißt w = 2.

Es kann mathematisch bewiesen werden, dass ein optimaler Erweiterungskörper entweder vom Typ 1 oder vom Typ 2 ist, aber nicht beide Eigenschaften gleichzeitig besitzen kann. Der Typ 1 optimale Erweiterungskörper ermöglicht eine effiziente Arithmetik im Primkörper F_p, während der Typ 2 optimale Erweiterungskörper eine effiziente Reduktion im Polynomring F_p[X] ermöglicht. In beiden Fällen ist es nicht auszuschließen, dass während der Reduktion in F_p oder im Polynomring F_p[X] Multiplikation mit Elementen des Primkörpers F_p ausgeführt werden müssen.

Falls der Körper K ein Primkörper F_p ist, kann die Reduktion von Produkten aus Elementen des Primkörpers F_p durch die Wahl von speziellen Primzahlen p beschleunigt werden. Die Zahl der benötigten Operationen für eine Multiplikation hängt nicht allein von der Anzahl der Stellen der beiden Faktoren, sondern vielmehr von den Hamming-Gewichten ihrer Darstellung ab. Unter dem Hamming-Gewicht einer Zahl Z versteht man die Anzahl der gesetzten Bits von Z. Das Hamming-Gewicht von 11101 ist beispielsweise vier. Durch eine geschickte Darstellung von Zahlen kann man bei einer Multiplikation von zwei Zahlen Rechenoperationen einsparen: Die Zahl 63 besitzt in binärer Form die Darstellung 111111 mit dem Hamming-Gewicht 6. Eine Multiplikation mit einer Potenz von 2 wird durch Linksschieben erreicht, sodass in diesem Fall insgesamt 5-mal Schiebeoperationen und 5 Additionen erforderlich sind. Die Zahl 63 lässt sich jedoch auch als 2⁶ – 1 darstellen. Sie hat in dieser Darstellung ein Hamming-Gewicht von nur 2, sodass eine Multiplikation mit 63 mit einem Linkschieben um 6 Bitpositionen und einer Subtraktion erfolgen kann. Im Gegensatz dazu werden bei einer Multiplikation mit der Zahl 10 trotz der geringeren Anzahl von Stellen zwei Schiebeoperationen und eine Addition benötigt. Der Aufwand einer Multiplikation hängt folglich stark von ihrem Hamming-Gewicht ab. In einer Liste empfohlener elliptischer Kurven über Primkörper des National Institute of Standards and Technology (NIST, USA) wird darauf geachtet, dass die Primzahl eine Darstellung in der Form p = 2ⁿ ± 2^m ± 1 mit dem Hamming-Gewicht 3 hat und somit eine effiziente Reduktion ermöglicht.

Das irreduzible Polynom X^d – 2 besitzt bezüglich der Reduktion eine optimale Form. Es beinhaltet nur zwei Terme, X^d und einen konstanten, additiven Faktor. Dieser Faktor, 2, ist auch optimal gewählt, da der Koeffizient der zu reduzieren ist, nur um ein Bit verschoben werden muss, um ihn mit 2 zu multiplizieren. Die Primzahl in der Darstellung p = 2ⁿ ± 1 ist ebenfalls bezüglich der Reduktion optimal, da nur ein additives Glied zu 2ⁿ vorhanden ist. Unglücklicherweise können beide Typen nicht miteinander kombiniert werden, sodass bei der Wahl des Erweiterungskörpers immer eine Abwägung bezüglich des Aufwands erforderlich ist.

Die Koeffizienten a und b einer über einen Erweiterungskörper definierten elliptischen Kurve sind im Allgemeinen Polynome. Bei einer Koblitz-Kurve liegen a und b im Grundkörper und sind Polynome vom Grad Null. Die Potenzierung eines auf der Kurve liegenden Punktes mit p bildet diesen aufgrund des Frobenius Homomorphismus im endlichen Körper wieder auf die gleiche Kurve ab. Falls a und b dagegen Polynome sind, wird der Punkt auf einer anderen Kurve abgebildet. Der Frobenius Endomorphismus auf der elliptischen Kurve ist im Endophormismusring, das heißt, man kann bei Koblitz-Kurven sämtliche Skalare bezüglich des Frobenius Endomorphismus darstellen und erhält dadurch einen sehr schnellen skalaren Multiplikationsalgorithmus.

Aufgabe der vorliegenden Erfindung ist es daher, eine effiziente Realisierung der Skalarmultiplikation von Punkten einer elliptischen Kurve über einem endlichen Erweiterungskörper mit der Charakteristik p > 3 in Software auf einem Standardprozessor ohne zusätzliche Koprozessoren anzugeben.

Die Aufgabe wird durch ein Verfahren zur Skalarmultiplikation von Punkten auf einer elliptischen Kurve über einen endlichen Erweiterungskörper K eines Primkörpers F_p mit einer Charakteristik p > 3 gelöst, wobei die Skalarmultiplikation innerhalb eines kryptographischen Algorithmus für eine Verschlüsselung einer Nachricht, eine Entschlüsselung einer Nachricht, eine Signaturerzeugung aus einer Nachricht oder eine Signatur-Verifikationsberechnung aus einer Nachricht ausgeführt wird, und wobei die Charakteristik p ein Hamming-Gewicht ≤ 4 aufweist und der Erweiterungskörper K in polynomieller Darstellung ein irreduzibles Polynom F(X) = X^d – 2 vom Grad d besitzt. Der optimale Erweiterungskörper ist somit vom Typ 2 und weist bezüglich der Reduktion im Polynomring F_p[X] optimale Reduktionseigenschaften auf. Da sich optimale Erweiterungskörper vom Typ 1 und Typ 2 gegenseitig ausschließen ist eine Darstellung der Primärzahl in der Form p = 2ⁿ ± 1 nicht möglich. Um dennoch eine effiziente Arithmetik im Primkörper F_p zu ermöglichen, wird gefordert dass die Primzahl p ein geringes Hamming-Gewicht aufweist. Durch das geringe Hamming-Gewicht in der binären Darstellung wird die Anzahl der Rechenoperationen stark reduziert und die Berechnung der Skalarmultiplikation beschleunigt.

Gemäß einer vorteilhaften Ausgestaltung weist die Charakteristik p ein Hamming-Gewicht von 3 auf. Für ein Hamming-Gewicht kleiner als 3 erhält man einen optimalen Erweiterungskörper vom Typ 1. Da bereits jedoch ein optimaler Erweiterungskörper vom Typ 2 gewählt wurde, ist dies nicht möglich. Ist das Hamming-Gewicht 4 oder größer so erhält man zusätzliche Summanden die sich auf die Effizienz des Algorithmus für die Skalarmultiplikation auswirken.

Gemäß einer vorteilhaften Ausgestaltung wird die Charakteristik so gewählt, dass p = 2ⁿ ± 2^m ± 1 gilt, wobei n und m natürliche Zahlen sind. Wird die Charakteristik in dieser Form gewählt besitzt sie automatisch ein Hamming-Gewicht von 3. Sämtliche Operationen lassen sich durch Verschieben der Bit positionen und Addition beziehungsweise Subtraktion effizient realisieren.

Gemäß einer vorteilhaften Ausgestaltung ist der Grad d des irreduziblen Polynoms eine Primzahl. Wäre d eine gerade Zahl, so gäbe es eine binomische Formel mit der das irreduzible Polynom reduziert werden könnte. Ist der Grad d eine Primzahl, so lassen sich bekannte Angriffe verhindern, die möglich sind wenn der Grad d keine Primzahl ist.

Gemäß einer vorteilhaften Ausgestaltung ist die elliptische Kurve durch y² = x³ + ax + b mit 4a³ + 27b² ≠ 0 gegeben. Dies stellt keine Einschränkung, das Verfahren ist auch auf andere Kurven anwendbar. Die Bedingung für die Koeffizienten a und b muss gelten, damit die elliptische Kurve keine singulären Punkte besitzt, da sie sonst für Kryptographieanwendungen untauglich wäre.

Gemäß einer vorteilhaften Ausgestaltung ist die elliptische Kurve eine Koblitz-Kurve. Koblitz-Kurven erlauben eine schnelle Skalarmultiplikation mittels des Frobenius Endomorphismus über dem Körper F_p.

Gemäß einer vorteilhaften Ausgestaltung wird die Skalarmultiplikation mittels eines Frobenius Endomorphismus in einer Potenzreihendarstellung des Skalars durchgeführt. Die Skalarmultiplikation kann dann als eine Summe von kürzeren Skalarmultiplikationen implementiert werden.

Gemäß einer vorteilhaften Ausgestaltung werden die Potenzen der Potenzreihe zuvor berechnet und abgespeichert. Die Effizienz des Skalarmultiplikationsalgorithmus kann dadurch weiter gesteigert werden.

Gemäß einer vorteilhaften Ausgestaltung wird die Bitlänge der Charakteristik p und der Grad d an den Prozessor, auf dem die Skalarmultiplikation ausgeführt wird, angepasst. Bei einem Prozessor mit einer Wortbreite von 8 Bit kann die Primzahl p 5 bis 6 Bit umfassen, was eine Darstellung von Primzahlen bis 31 ermöglicht. Um eine ausreichende Sicherheit zu ermöglichen muss der Grad d des irreduziblen Polynoms dabei höher gewählt werden, als bei einer Primzahl mit einer größeren Bitlänge. Um einen Körper mit mindestens 160 Bit zu realisieren ist ein Grad von d = 23 oder 29 erforderlich. Bei einem Prozessor mit 16 Bit Wortbreite können Charakteristiken p mit Bitlängen von 12 bis 13 Bit verwendet werden, der Grad des irreduziblen Polynoms kann dann geringer sein, z.B. d = 11.

Gemäß einer vorteilhaften Ausgestaltung wird die Charakteristik p und der Grad d so gewählt, dass die für die Busbreite des Prozessors bereitgestellten Arithmetikoperationen direkt für die Skalarmultiplikation verwendet werden können. Auf diese Weise ist das Speichern von Zwischenergebnissen bei Multiplikationen möglich, ohne dass eine Reduzierung bezüglich der Charakteristik p erforderlich ist. Weiter ist keine Implementierung für eine Langzahlenarithmetik notwendig.

Gemäß einer vorteilhaften Ausgestaltung werden Teile der Rechenoperationen der Skalarmultiplikation mittels eines Streaming Single Instruction Multiple Data (SIMD) Extension-Befehlsatzes (SSE) parallel ausgeführt. Durch die Parallelisierung und dem Ausnutzen von weiteren, auf der Hardware-Plattform zur Verfügung stehenden Optimierungsmöglichkeiten, lässt sich die erforderliche Rechenzeit auch ohne Koprozessoren dramatisch reduzieren.

Erfindungsgemäß werden die oben beschriebenen Verfahren in einer asymmetrischen Kryptographieanwendung eingesetzt. Diese Anwendungen können den Schlüsselaustausch, digitale Signaturen, etc. ermöglichen, wobei die Rechenzeit und die Anforderung an die Hardware auf einem für den Benutzer akzeptablen Niveau liegen.

Die Erfindung wird nachfolgend an Hand von Ausführungsbeispielen näher erläutert.
Um die Berechnung der Skalarmultiplikation zu beschleunigen, muss eine elliptische Kurve über einem optimalen Erweiterungsfeld und die Feldarithmetik entsprechend der vorhandenen Hardware-Plattform optimiert werden. Dies gelingt durch eine Optimierung bezüglich des Rechenaufwands, der erforderlich ist, wenn der optimale Erweiterungskörper eine der Bedingungen vom Typ 1 bzw. vom Typ 2 nicht erfüllt. Es zeigt sich, dass wenn ein optimaler Erweiterungskörper vom Typ 2 gewählt wird, die daraus folgende nicht-optimale Form bezüglich Typ 1 durch eine geschickte Wahl der Primzahl p ausreichend kompensiert werden kann. Ist dagegen das irreduzible Polynom F(X) nicht optimal, so bedeutet das mehr Rechenaufwand, da sich dieses Polynom bei der Berechnung öfters auswirkt und je nach dem Grad d entsprechend viele Koeffizienten besitzt.
Um die nicht-optimale Form der Primzahl bezüglich Typ 1 zu kompensieren, wird als Primzahl p daher eine Zahl gewählt, die in binärer Darstellung ein sehr kleines Hamming-Gewicht aufweist. Das kleinste mögliche Hamming-Gewicht, nämlich 3, besitzen Primzahlen der Form p = 2ⁿ ± 2^m ± 1. Der zusätzliche Summand 2^m wirkt sich weniger schwerwiegend auf die Rechenzeit aus als ein nicht optimales Reduktionspolynom.
Die Primzahl p wird weiter so gewählt, dass möglichst viele Zwischenergebnisse in Registern gehalten werden können, ohne dass man bezüglich der Primzahl p reduzieren muss. Man kann dann ohne große Nachteile bezüglich der Rechenzeit die additive Konstante zulassen, da nur einmal zum Schluss reduziert werden muss.
In den Ausführungsbeispielen wird als Zielplattform ein 32 Bit Pentium 4-Prozessor mit einer SSE2-Einheit benutzt. Damit man ohne Langzahlarithmetik oder Koprozessor auskommt, wird die Bitlänge der Primzahl p zwischen 20 und 30 Bit gewählt. Im Vergleich zur empfohlenen Bitlänge von 160 Bit stellt dies eine Reduzierung um den Faktor fünf bis acht dar.
Das Reduktionspolynom wird zu F(X) = X^d – w gewählt, mit d = 11 und w = 2. Die Primzahl wird zu p = 2²⁹ – 2⁹ + 1 mit n = 29, m = 9 und c = 511 gewählt. Die Primzahl p weist somit eine Bitlänge von nur 29 Bit auf.
Die in der Definition des optimalen Erweiterungskörpers zur Reduktion notwendiger Multiplikation mit c = 511 kann dann aufgrund des Hamming-Gewichts von 3 sehr effektiv mit den schnellen Operationen bitweise Schieben, Addition und Subtraktion realisiert werden.
Durch die Erfindung ist es nun möglich, optimale Erweiterungskörper zu finden, die die Vorteile von Typ 1 und Typ 2 optimalen Erweiterungskörpern vereinen. Die Reduktion von Produktion von Elementen des Primkörpers F_p als auch die Reduktion von Produkten im Polynomring über F_p kann ohne Verwendung von Multiplikationsbefehlen des Prozessors durchgeführt werden. Die Multiplikation mit der additiven Konstante c = ± 2^m ± 1 lässt sich aufgrund des kleinen Hamming-Gewichts durch eine Schiebeoperation und einer Subtraktion bzw. Addition realisieren. Eine Reduktion modulo p lässt sich durch nur vier Schiebeoperationen, zwei Subtraktionen und zwei Additionen realisieren. Weiter lassen sich alle Zwischensummen von Teilprodukten der Koeffizienten der Operanten in einem 64-Bit-Register ohne Überlauf speichern. Die Reduktion modulo p erfolgt ein einziges Mal am Ende der Berechnung der Koeffizienten des Produkts.
Mithilfe des SSE2 (Streaming SIMD Extension 2)-Assembler-Befehlsatzes von Intel können bei einem Pentium 4-Prozessor Teile der Körperarithmetik über den Körper F_p parallelisiert werden. Das Single Instruction Multiple Data (SIMD)-Konzept und die 128 Bit Register erlauben die gleichzeitige Berechnung von zwei partiellen Produkten, wie in dem folgendem Programmsegment dargestellt ist.
Das folgende Programmsegment nutzt die geschickte Darstellung von p = 2²⁹ – 2⁹ + 1 mit geringem Hamming-Gewicht aus, um gleichzeitig zwei Zwischenergebnisse zu reduzieren:
Mithilfe von SSE2-Befehlen, die auf 4 double words angewandt werden, ist es sogar möglich, bei der Addition und Subtraktion in F_p gleichzeitig 4 Koeffizienten zu berechnen und zu reduzieren.
Als elliptische Kurve wird eine Koblitz-Kurve mit y² = x³ + ax + b modulus p mit den Parametern a = 468383287 und b = 63579974 gewählt. Die Koeffizienten a und b wurden zufällig ermittelt und sind vom Grad 0, sodass eine Potenzierung eines Punktes mit p diesen wieder auf der gleichen Kurve abbildet. Auf diese Weise ist es möglich, den Frobenius Endomorphismus für einen sehr schnellen skalaren Multiplikationsalgorithmus einzusetzen. Zur weiteren Beschleunigung werden die dazu er forderlichen Potenzen der Zahl 2 vorab berechnet und in Tabellen abgelegt.
Die optimalen Erweiterungskörper lassen sich in ähnlicher Weise auch für Hardware-Plattformen mit anderen Busbreiten wählen. Die Primzahl p wird so gewählt, dass man auf der einen Seite ein optimales Reduktionspolynom vom Typ 2, das heißt X^d – 2, hat und auf der anderen Seite die Primzahl p ein minimales Hamming-Gewicht besitzt, sodass möglichst wenig Summanden in der binären Darstellung vorhanden sind. Für einen 16-Bit-Prozessor weist die Primzahl p zum Beispiel eine Bitlänge von 11 oder 13 Bit auf.
Durch den Einsatz der oben dargestellten optimalen Erweiterungskörper und die geschickte Wahl der Primzahl p wird die Rechenzeit für die Skalarmultiplikation von Punkten auf elliptischen Kurven reduziert, sodass kryptographische Verfahren, die elliptische Kurven über optimale Erweiterungskörpern einsetzen, schneller ausgeführt werden können. Da sich zudem das Verfahren zur Skalarmultiplikation durch eine entsprechende Wahl der Bitlänge der Primzahlen skalierbar ist und somit an unterschiedliche Prozessor-Busbreiten angepasst werden kann, lässt es sich auch auf den unterschiedlichsten Hardware-Plattformen einsetzen. Insbesondere bei Hardware-Plattformen ohne Langzahlarithmetik oder Koprozessor können somit asymmetrische Verfahren auf Basis elliptischer Kurven mit geringen Rechenzeiten eingesetzt werden.

Claims

Verfahren zur Skalarmultiplikation von Punkten auf einer elliptischen Kurve über einen endlichen Erweiterungskörper K eines Primkörpers F_p mit einer Charakteristik p > 3, wobei die Skalarmultiplikation innerhalb eines kryptographischen Algorithmus für eine Verschlüsselung einer Nachricht, eine Entschlüsselung einer Nachricht, eine Signaturerzeugung aus einer Nachricht oder eine Signatur-Verifikationsberechnung aus einer Nachricht ausgeführt wird, dadurch gekennzeichnet, dass – die Charakteristik p ein Hamming-Gewicht ≤ 4 aufweist, und – der Erweiterungskörper K in polynomieller Darstellung ein irreduzibles Polynom F(X) = X^d – 2 vom Grad d besitzt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Charakteristik p ein Hamming-Gewicht von 3 aufweist.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die Charakteristik p = 2ⁿ ± 2^m ± 1 gewählt wird, wobei n und m natürliche Zahlen sind.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass der Grad d des irreduziblen Polynoms eine Primzahl ist.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die elliptische Kurve durch y² = x³ + ax + b mit 4a³ + 27b² ≠ 0 gegeben ist.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass die elliptische Kurve eine Koblitz Kurve ist.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass die Skalarmultiplikation mittels eines Frobenius Endomorphismus in einer Potenzreihendarstellung des Skalars durchgeführt wird.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Potenzen der Potenzreihe zuvor berechnet und abgespeichert werden.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass die Bitlänge der Charakteristik p und der Grad d an den Prozessor, auf dem die Skalarmultiplikation ausgeführt wird, angepasst ist.
Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass die Charakteristik p und der Grad d so gewählt wird, dass die für die Busbreite des Prozessors bereitgestellten Arithmetikoperationen direkt für die Skalarmultiplikation verwendet werden können.
Verfahren nach Anspruch 9 oder 10, dadurch gekennzeichnet, dass die Charakteristik p und der Grad d so gewählt wird, dass alle Koeffizienten von Zwischenprodukte einer modularen Multiplikation über den Erweiterungskörper ohne Überlauf in einem der Register des Prozessors gespeichert werden können.
Verfahren nach einem der vorigen Ansprüche, dadurch gekennzeichnet, dass Teile der Rechenoperationen der Skalarmultiplikation mittels eines Streaming Single Instruction Multiple Data Extention Befehlssatzes parallel ausgeführt werden.
Verwendung des Verfahren gemäß einem der vorigen Ansprüche in einer asymmetrischen Kryptographieanwendung.