CH660822A5

CH660822A5 - Zufallsprimzahlen-erzeugungsmittel in einer mit oeffentlichem schluessel arbeitenden daten-verschluesselungsanlage.

Info

Publication number: CH660822A5
Application number: CH4909/82A
Authority: CH
Inventors: William J Miller; Nick G Trbovich
Original assignee: Racal Milgo Inc
Priority date: 1980-12-15
Filing date: 1981-12-11
Publication date: 1987-06-15
Also published as: CA1173538A; FR2496303B1; GB2101855B; WO1982002129A1; AU8006982A; SE8204697L; BE891490A; SE8204697D0; BR8108915A; JPS57502145A; FR2496303A1; NL8120500A; US4351982A; GB2101855A; AU544169B2

Description

Die Erfindung hat sich daher die Aufgabe gestellt, in einer mit öffentlichem Schlüssel arbeitenden Daten-Verschlüsselungsanlage ein Zufallsprimzahlen-Erzeugungsmittel zum Erzeugen von grossen, willkürlich gewählten Primzahlen, die für die Datenverschlüsselung mit öffentlichem Schlüssel erforderlich sind und die je eine vorbestimmte Länge haben, zu schaffen, welches Zufallsprimzahlen-Erzeugungsmittel keinen grossen Computer benötigt und trotzdem die erforderlichen Primzahlen in relativ kurzer Zeit, z.B. in einigen Stunden statt Dutzenden von Stunden, erzeugen kann.

Das erfindungsgemässe Zufallsprimzahlen-Erzeugungsmittel in einer mit öffentlichem Schlüssel arbeitenden Daten-Ver-schlüsselungsanlage, mit dem die Aufgabe gelöst wird, ist im Patentanspruch 1 definiert.

In der Einrichtung mit wenigstens einer integrierten Schaltung, z.B. einem Mikroprozessor, wird somit eine GGT-Rou-tine zum Eliminieren von zusammengesetzten Zahlen ohne Potenzierung durchgeführt. Das kann, zusammen mit der neuartigen Arbeitsweise zum Bilden einer Folge von Primzahlen, eine Verkürzung der zum Erzeugen von Primzahlen ausreichender Länge erforderlichen Zeit auf etwa 2 Stunden ermöglichen, weil die Zahl der benötigten Potenzierungen z.B. von 120 auf 20 für jedes zu prüfende P reduziert werden kann. Weil die Folge von Primzahlen in der Form von (hP + 1) erzeugt wird, hat ferner nach dem Auffinden eines hP + 1, welches eine Primzahl ist und eine ausreichende Länge als eine der für RSA benötigten grossen Zufalls-Primzahlen p oder q hat, der Wert p - 1 (oder q - 1), d.h. hP, ebenfalls eine grosse Primzahl als Faktor, womit den Erfordernissen für RSA genügt wird. Somit muss nur hP + 1 auf Primalität geprüft werden, wodurch eine der im RSA-Plan erforderlichen Prüfungen auf Primalität für p und für q entfällt. Es werden also nur zwei grosse Zufalls-Primzahlen der Form hP + 1 auf Primalität geprüft, anstelle der vier Zahlen gemäss dem im RSA-Plan vorgeschlagenen Vorgehen. Die GGT-Routine eliminiert die meisten Nichtprimzah-len. In der GGT-Routine wird eine im voraus berechnete zusammengesetzte Zahl x verwendet, die gleich dem Produkt von bekannten Primzahlen in einer gewählten Anzahl, z.B. 34, ist, d.h. z.B. aller Primzahlen kleiner oder gleich 139, und es wird festgestellt, ob der GGT dieser zusammengesetzten Zahl und der zu prüfenden Zahl gleich 1 ist. Ein GGT von 1 ist eine nötige, aber nicht ausreichende Bedingung für die Primalität der zu prüfenden Zahl. Wenn der GGT nicht gleich 1 ist, dann kann die Zahl als Wahl für eine Primzahl ausgeschlossen werden, ohne dass weitere Prüfungen auf Primalität durchgeführt werden müssten. Die weiteren Prüfungen auf Primalität, die durchgeführt werden, sind die Euler-Identitäten, welche eine Feststellung bilden, ob die beiden folgenden Beziehungen gelten:

2hp = (mod hP + 1)

2h 1 (mod hP + 1)

Der Grund dafür, dass die meisten Nichtprimzahlen mit der GGT-Routine gefunden werden, ist der, dass von einer zufällig gewählten Gruppe von ungeraden ganzen Zahlen ein Drittel durch 3 teilbar ist, ein Fünftel durch 5 teilbar ist usw. Von den Erfindern durchgeführte Versuche haben gezeigt, dass etwa 140 Zufallszahlen hP + 1 einer Länge von 23 Bytes gewählt werden müssen, bis eine Primzahl gefunden wird. Bei Verwendung einer Gruppe von 140 Zahlen sollte 1/139 der Zahlen der Gruppe, d.h. 1 dieser Zahlen, durch 139 teilbar sein, welches die grösste Primzahl kleiner als 140 ist. Wenn eine Zahl der Gruppe durch irgendeine der Primzahlen bis zu 139 teilbar ist, dann hat eine zusammengesetzte Zahl, die diese Primzahl als Faktor enthält, mit der Zahl der Gruppe einen GGT, der nicht gleich 1 ist. Bei Verwendung einer zusammengesetzten Zahl, die gleich dem

5

10

15

20

25

30

35

40

45

50

55

60

65

5

660 822

Produkt aller 34 Primzahlen bis zu 139 ist, wird mit der GGT-Prüfung geprüft, ob die Zahl aus der Gruppe durch eine dieser Primzahlen teilbar ist.

Die beschriebenen Operationen und Einrichtungen, die die GGT-Elimination in Verbindung mit der Erzeugung einer Folge von Primzahlen hP + 1 anwenden, bis eine Primzahl ausreichender Länge erreicht ist, welche Primzahl hP + 1 auch genau die für die RSA-Verschlüsselung mit öffentlichem Schlüssel erforderliche Form hat und garantiert eine Primzahl ist, statt nur, wie bei der Primzahlenableitung mit reiner Potenzierung, auf Wahrscheinlichkeitsbasis als Primzahl gewählt zu sein, machen die Erzeugung von Primzahlen geeigneter Länge für RSA-Anla-gen auf einem Mikroprozessor wirtschaftlich durchführbar.

Beispiele der wichtigeren Merkmale der vorliegenden Erfindung sind nun kurz zusammengefasst erläutert worden, damit die folgende detaillierte Beschreibung derselben besser verstanden werden kann und der technische Fortschritt besser abgeschätzt werden kann. Weitere Vorteile der vorliegenden Erfindung werden aus der folgenden detaillierten Beschreibung einer bevorzugten Ausführungsform in Verbindung mit den beiliegenden Zeichnungen besser ersichtlich.

Fig. 1 zeigt ein Fliessdiagramm der Schritte, die von einem Mikroprozessor durchgeführt werden, um die erforderlichen grossen Zufalls-Primzahlen für die Verwendung in einer RSA-Verschlüsselung mit öffentlichem Schlüssel auszuwählen.

Fig. 2 ist ein Blockschema einer mit öffentlichem Schlüssel arbeitenden Verschlüsselungsanlage mit einem Zufallsprimzahlen-Erzeugungsmittel nach der Erfindung.

Das in Fig. 1 dargestellte Fliessdiagramm betrifft einen im Handel erhältlichen Mikroprozessor, z.B. einen «Intel 8085»-Mikroprozessor, der die sehr grossen Zufalls-Primzahlen bestimmen soll, welche für die RSA-Verschlüsselung mit öffentlichem Schlüssel erforderlich sind. Es wird dem Fachmann klar sein, dass auch andere hochgradig integrierte Schaltungen oder Kombinationen von solchen, die keine Mikroprozessoren im heute üblichen Sinn dieses Ausdruckes sind, miteinander oder mit anderen Schaltungsteilen zusammengeschaltet werden könnten, um die gleiche Funktion wie der hier beschriebene Mikroprozessor zu erfüllen, ohne dass hierfür ein grosser programmierter digitaler Computer oder Minicomputer erforderlich wäre. Es ist beispielsweise ein Chip mit einer hochgradig integrierten Schaltung bekannt, die für die Durchführung der Potenzie-rungsoperation im RSA-Plan verwendbar ist. Dieser gleiche Chip könnte in einer Schaltung für die Durchführung der gleichen oder einer ähnlichen Potenzierungsoperation als Teil der Einrichtung der vorliegenden Erfindung verwendet werden. Andere wohlbekannte Schaltungsteile, z.B. Register, Schieber, Addierer und Multiplizierer, können in dem einschlägigen Fachmann bekannter Weise zusammengeschaltet werden, um die nötigen Operationen mit einer Einrichtung durchzuführen, welche üblicherweise nicht als Mikroprozessor bezeichnet wird, jedoch die gleiche Funktion erfüllt und dabei gleichzeitig auch kein vollständiger programmierter digitaler Computer oder Minicomputer ist. Diese Schaltungsteile, einschliesslich des Potenzie-rungs-Chip, könnten sich alle in einer gleichen hochgradig integrierten Schaltung befinden, die speziell nur für die Durchführung der gemäss der vorliegenden Erfindung nötigen Operationen angefertigt werden kann, oder in einer Anzahl getrennter hochgradig integrierter Schaltungs-Chips, die je mit einem oder mehreren der anderen Chips elektrisch verbunden werden und die jeweils speziell für die Durchführung von einem oder mehreren der Schritte ausgelegt sind. Dieser einzelne hochgradig integrierte Schaltungs-Chip bzw. diese Gruppe von hochgradig integrierten Schaltungs-Chips könnten ein auf dem Chip angeordnetes, fest verdrahtetes Steuermittel aufweisen oder mit einem gesonderten Steuermittel, z.B. einer Logik-Folgeschaltung oder einer mehrere Zustände aufweisenden Maschine, verbunden sein, das fest verdrahtet wäre, um eine Folge von Steuersignalen zu erzeugen, welche Steuersignale auch durch das Ergebnis von Zwischenschritten in dem Verfahren beeinflusst werden könnten. Auf der Grundlage der Beschreibung der vorliegenden Erfindung wäre der Fachmann in der Lage, das Steuermittel eines im Handel erhältlichen Mikroprozessors einzustellen oder andere hochgradig integrierte Schaltungsteile mit zugeordneten integrierten oder externen Steuermitteln in der Art der Einrichtung der vorliegenden Erfindung zusammenzufügen, um die gemäss der vorliegenden Erfindung nötigen Operationen durchzuführen. Im vorliegenden Text umfassen die Ausdrücke «hochgradig integrierte Schaltung» oder «hochgradig integrierte Schaltungsmittel» sowohl im Handel erhältliche Mikroprozessoren als auch eine Zusammenstellung von einem oder mehreren hochgradig integrierten Schaltungsteilen, die für die Durchführung einer speziellen Funktion oder Folge von Funktionen fest verdrahtet sind, mit einem zugeordneten integrierten oder externen Steuermittel; die Ausdrücke umfassen jedoch nicht einen programmierbaren vollständigen digitalen Computer oder Minicomputer.

In der bevorzugten Ausführungsform, die ein Mikroprozessormittel verwendet, ist der Mikroprozessor so konstruiert, dass er, beginnend beim Start 10, in einem Block 12 willkürlich eine Primzahl P aus den bekannten Primzahlen mit einer Byte-Länge von beispielsweise zwei Achtbit-Bytes, d.h. mit einer Dezimalzahl-Länge von etwa fünf Stellen, auswählt. Schritt A, bei 13 in Fig. 1, zeigt dann an, dass der Mikroprozessor dazu eingerichtet ist, in einem Block 14 gemäss Fig.l eine Zufallszahl h mit halb so vielen Bytes wie P zu wählen, d.h. anfänglich mit einem Byte. Dabei wird h als gerade Zahl 2 < h < P gewählt. Im Schritt B, bei 15 in Fig. 1, wird der Wert N gleich hP + 1 im Block 16 von Fig. 1 eingestellt.

Eine Routine zur Ermittlung des grössten gemeinsamen Teilers (GGT) wird dann im Mikroprozessor wie im Viereck 17 angegeben durchgeführt, und es wird festgestellt, ob GGT [(hP + 1). (x)] gleich 1 ist oder nicht, wobei x eine zusammengesetzte Zahl ist, die aus dem Produkt einer gewählten Anzahl, z.B. vierunddreissig, der kleinsten Primzahlen, also 2, 3, 5, 7, 11, ... 139, besteht. Wenn GGT, wie im Block 17 festgestellt, gleich eins ist, wird im Mikroprozessor der bei 19 in Fig. 1 angegebene Schritt D durchgeführt, wobei im Block 20 die gegenwärtige Primzahl in der Folge von Primzahlen berechnet wird.

Man sieht, dass die vom Mikroprozessor erzeugte Folge von Primzahlen relativ rasch gegen die Länge von 23 Bytes fortschreitet. Das ergibt sich wegen der Tatsache, dass nach dem Auffinden jedes P in der Folge, weil festgestellt ist, dass P eine Primzahl ist, die nächste Primzahl in der Folge unter Verwendung des gegenwärtigen P und eines h mit der halben Byte-Länge dieses gegenwärtigen P gewählt wird. So hat beispielsweise das Produkt hP der zuerst geprüften Zahl eine Länge von drei Bytes, gleich der Summe der beiden Bytes von P und des einen Byte von h. Für die nächste Primzahl in der Folge hat das Produkt hP eine Länge von vier Bytes, gleich der Summe der drei Bytes des ersten nach dem beschriebenen Verfahren bestimmten P, d.h. des gegenwärtigen P in diesem Zeitpunkt, und des einen Byte von h. Das nächste Produkt hP in der Folge hat eine Länge von sechs Bytes (vier Bytes des gegenwärtigen P und zwei von h), der nächste Wert von hP hat neun Bytes (sechs Bytes des gegenwärtigen P und drei von h), der dann folgende Wert von hP hat 13 Bytes (neun Bytes des gegenwärtigen P und vier von h), und die darauffolgende Primzahl in der Folge hat einen Wert hP von 19 Bytes (13 Bytes des gegenwärtigen P und sechs von h). Wenn nach diesem Zeitpunkt der Wert von h so gewählt wird, dass h die Hälfte der Byte-Länge des gegenwärtigen P hat, dann ergibt sich eine Vergrösserung der Byte-Länge auf etwa 27 Bytes. Für die Verwendung einer aus zwei nach der vorliegenden Erfindung erzeugten Zufalls-Primzahlen zusammengesetzten Zahl in einem RSA-System muss jedoch für eine Sicherheit gegen Knacken des Codes entsprechend einer Berech5

10

15

20

25

30

35

40

45

50

55

60

65

660 822

6

nungszeit von etwa 1000 Jahren nur eine Länge von 23 Bytes erreicht werden. Daher ist der Mikroprozessor dazu eingerichtet, die Grösse des willkürlich gewählten h bzw. dessen Byte-Länge zu verringern, wenn festgestellt wird, dass das gegenwärtige P 19 oder mehr Bytes hat, jedoch noch nicht die gewünschten 23 oder mehr Bytes. Dies wird durch die Operationen erreicht, die in den Vierecken 32 und 34 durchgeführt werden, gemäss denen der Mikroprozessor so konstruiert ist, dass er vom Viereck 32 zum Viereck 34 weitergeht, wenn festgestellt wird, das das gegenwärtige P in der Folge 19 oder mehr Bytes hat, und vom Viereck 34 zu dem Schritt im Block 36 weitergeht, wenn festgestellt wird, dass das gegenwärtige P in der Folge noch nicht 23 oder mehr Bytes hat. Im Block 36 wird h auf eine Länge von beispielsweise vier Bytes für die Verwendung im Schritt B begrenzt, statt dass der Schritt A im Block 14 ausgeführt würde, in welchem normalerweise das h so gewählt wird, dass es die Hälfte der Byte-Länge des gegenwärtigen P hat. Wenn in der Folge der gemäss dem Mikroprozessor-Fliessdiagramm von Fig. 1 erzeugten P ein P gefunden ist, das die Forderung des Vierecks 34 erfüllt, d.h. dessen Länge 23 oder mehr Bytes beträgt, dann geht der Mikroprozessor zum Stop-Befehl 40 weiter, und das im Zeitpunkt des Stop-Befehls bestehende gegenwärtige P bildet die Ausgangsgrösse als die eine für die Durchführung der RSA-Verschlüsselung mit öffentlichem Schlüssel brauchbare grosse Zufalls-Primzahl. Diese grosse Zu-falls-Primzahl ist eine Eingangsgrösse für den Rest der im Nachstehenden beschriebenen vollständigen Anlage zum Erzeugen und Verwenden von Schlüsseln zum Ver- und Entschlüsseln.

In Fig. 2 ist eine Anlage nach der vorliegenden Erfindung zum Verschlüsseln mit öffentlichem Schlüssel dargestellt. Ein erstes Terminal, Terminal A, enthält einen grosse Zufalls-Primzahlen erzeugenden Mikroprozessor 50, einen Schlüssel zum Ver- und Entschlüsseln erzeugenden Mikroprozessor 52 und einen Ver-/Entschlüsselungs-Mikroprozessor 54. Die Mikroprozessoren 50, 52 und 54 sind für die Erläuterung getrennt dargestellt, sie könnten aber zu einem einzigen Mikroprozessor zu-sammengefasst sein, der für die Durchführung der verschiedenen Funktionen ausgelegt ist, wie durch eine die Mikroprozessoren 50, 52 und 54 umschliessende gestrichelte Linie 56 angedeutet. Der grosse Zufalls-Primzahlen erzeugende Mikroprozessor 50 ist so konstruiert, dass er die vorstehend beschriebenen Schritte ausführt, um eine grosse Zufalls-Primzahl pi zu erzeugen, und diese Schritte dann wiederholt, um eine zweite grosse Zufalls-Primzahl qi zu erzeugen. Diese Zufalls-Primzahlen bilden auf Leitungen 58 bzw. 60 Eingangsgrössen für den Schlüssel zum Ver- und Entschlüsseln erzeugenden Mikroprozessor 52. Der Schlüssel zum Ver- und Entschlüsseln erzeugenden Mikroprozessor 52 berechnet den Wert von ni als Produkt von pi und qi, den Wert von ei so, dass ei mit (pi - l)(qi - 1) einen grössten gemeinsamen Teiler (GGT) von eins hat, und den Wert von di als das multiplikative Inverse von ei in modulo (pi - 1) (qi - 1), d.h. so, dass di*ei s 1 [mod (p - l)(q - 1)]. Die Werte von di, ei und ni bilden wie schematisch dargestellt auf Leitungen 62, 64 bzw. 66 Eingangsgrössen für den Ver-/Entschlüs-selungs-Mikroprozessor 54.

Der Ver-/Entschlüsselungs-Mikroprozessor 54 liefert die Werte von ei und m über eine Leitung 68 an einen Sender-Empfänger 70 des Terminals A. Natürlich könnten die Werte von ei und ni auch direkt von dem Schlüssel zum Ver- und Entschlüsseln erzeugenden Mikroprozessor 52 zugeführt werden, wie mit gestrichelten Linien 72 bzw. 74 angedeutet. Die Werte von ei und ni werden vom Sender-Empfänger 70 im Terminal A zu einem Sender-Empfänger 76 im Terminal B übermittelt, wie schematisch mit einer Leitung 78 dargestellt.

Der Sender-Empfänger 76 im Terminal B liefert die Werte von ei und ni über eine Leitung 80 an einen Ver-/Entschlüsse-lungs-Mikroprozessor 82 im Terminal B. Eine Meldung M ist eine Eingangsgrösse des Ver-/Entschlüsselungs-Mikroprozes-sors im Terminal B, der die verschlüsselte Meldung C gleich Mel (mod ni) erzeugt und diese verschlüsselte Meldung über eine Leitung 86 an den Sender-Empfänger 76 des Terminals B liefert. Die verschlüsselte Meldung C wird vom Terminal B durch den Sender-Empfänger 76 zum Terminal A übermittelt, wie mit einer Leitung 88 angedeutet, und wird vom Sender-Empfänger 70 des Terminals A empfangen und zum Ver-/Entschlüsse-lungs-Mikroprozessor 54 im Terminal A weitergeleitet. Der Ver-/EntschlüsseIungs-Mikroprozessor 54 nimmt an der verschlüsselten Meldung C eine Entschlüsselungsoperation vor: Cdl (mod ni) = M, d.h. (Mel (mod ni))dl (mod m) = M. Im Falle wo die Meldung M aus Standard-Ver-/Entschlüsselungs-Schlüs-seln besteht, z.B. aus NBS-Standardschlüsseln, werden diese über eine Leitung 102 einem Ver-/Entschlüsselungsgerät 104 zugeführt, welches irgend ein geeignetes Ver-/Entschlüsselungsge-rät sein kann, z.B. das in der US-A-4 322 576 beschriebene. Man wird verstehen, dass die Meldung M auch eine für das Terminal B spezifische beglaubigende Unterschrift sein könnte, wenn die Anlage zur Beglaubigung des Meldungsempfangs und der Meldungsaussendung verwendet wird.

Das dargestellte Terminal B besitzt ebenfalls einen grossen Zufalls-Primzahlen erzeugenden Mikroprozessor 108 und einen Schlüssel zum Ver- und Entschlüsseln erzeugenden Mikroprozessor 106. Gleich wie die entsprechenden Elemente im Terminal A könnten diese Mikroprozessoren 106, 108 mit dem Ver-/ Entschlüsselungs-Mikroprozessor 82 zu einem einzigen Mikroprozessor zusammengefasst sein, der für die Durchführung der verschiedenen Funktionen ausgelegt wäre, wie durch eine die Mikroprozessoren 106, 108 und 82 umschliessende gestrichelte Linie 110 angedeutet. Der grosse Zufalls-Primzahlen erzeugende Mikroprozessor 108 erzeugt zwei grosse Zufalls-Primzahlen P2 und q2, welche Eingangsgrössen für den Schlüssel zum Ver-und Entschlüsseln erzeugenden Mikroprozessor 106 bilden. Dieser erzeugt die für das Terminal B spezifischen Werte d2, e2 und n2 und liefert diese an den Ver-/Entschlüsselungs-Mikroprozes-sor 82. Diese Werte von d2, e2 und n2 können dann im Terminal B in der gleichen Weise verwendet werden, wie vorstehend für die Werte di, ei und ni im Terminal A beschrieben.

Es ist ferner klar, dass die Notwendigkeit der Übermittlung der Werte von ei und ni durch das Terminal A oder der Werte von e2 und n2 durch das Terminal B entfällt, wenn eine öffentlich bekannte Liste der Werte von 'e und n für alle teilnehmenden Datenterminals zur Verfügung steht. Da diese Werte öffentlich bekannt sein können, ist es nicht nötig, die Liste der e-und n-Werte für die verschiedenen an die Datenübermittelungsleitung angeschlossenen Teilnehmer gesichert zu übermitteln oder zu übersenden.

Man wird erkennen, dass mit der Konstruktion einer Verschlüsselungsanlage mit öffentlichem Schlüssel gemäss der vorliegenden Erfindung gewisse bedeutungsvolle Vorteile erzielt werden.

Insbesondere können nun erstmals Teilnehmer an einer verschlüsselten Datenleitung, auch wenn ihnen kein grosser digitaler Computer zur Verfügung steht, mit für den jeweiligen Teilnehmer spezifischen Werten von e und n, die gesichert vom Teilnehmer im Hause erzeugt werden, und zwar in relativ kurzer Zeit unter Verwendung eines Mikroprozessors für die Erzeugung der grossen Zufalls-Primzahlen p und q, auf die Leitung kommen. Bisher waren Mikroprozessoren nicht in der Lage, in weniger als etwa 1200 Stunden die erforderlichen grossen Zufalls-Primzahlen zu erzeugen, welche sowohl die gewünschte, gegen Knacken des Codes sichere Länge aufweisen als auch mit der empfohlenen Wahrscheinlichkeit tatsächlich Primzahlen sind. So kann man nun eine neue Teilnehmer-Datenverschlüsse-lungsanlage, die den grosse Zufalls-Primzahlen erzeugenden Mikroprozessor nach der vorliegenden Erfindung enthält, installieren und kann eine Test-Meldung entwickelt werden, um

5

10

15

20

25

30

35

40

45

50

55

60

65

7

das richtige Arbeiten der Anlage und die Primalität der erzeugten grossen Zufalls-Primzahlen zu prüfen, alles innerhalb weniger Stunden. Die Notwendigkeit eines Zuganges zu einem grossen digitalen Computer oder einer gesicherten Übermittlung von Werten für d, e und n von einer zentralen Station zu einem 5 neuen Teilnehmer, welche Übermittlung stets in einem gewissen Grade einer möglichen Gefährdung ausgesetzt ist, werden so durch die vorliegende Erfindung vermieden. Die Erfindung erweitert die Möglichkeit des Zugangs zu mit öffentlichem Schlüssel arbeitenden Datenverschlüsselungsanlagen für Teil- 10 nehmer, welche Mikroprozessoren verwenden müssen, weil ihnen kein grosser digitaler Computer in gesicherter Weise zur Verfügung steht. Zudem macht es die Anlage nach der vorliegenden Erfindung einem Benutzer unter alleiniger Verwendung von leicht erhältlichen Mikroprozessoren oder anderen hoch- 15 gradig integrierten Schaltungsmitteln möglich, die Werte von d, e und n für die Verwendung in der Anlage periodisch zu ändern. Die Werte von e und n werden dann entweder direkt über öffentliche Übermittlungsleitungen zu eineih anderen Terminal übermittelt, damit dieses unter Verwendung der so übermittel- 20 ten Werte von e und n eine verschlüsselte Meldung übermitteln kann, oder sie werden dann in eine neu aufgelegte öffentlich bekannte Liste der Werte von e und n für die verschiedenen Teilnehmer an der Datenleitung aufgenommen. Weiter erzeugt der nach der vorliegenden Erfindung konstruierte Mikroprozes- 25 sor grosse Zufalls-Primzahlen p und q, die garantiert sowohl Primzahlen sind als auch eine gewünschte, gegen Knacken des Codes sichere Länge haben. Auch müssen nur zwei Zahlen der gewünschten Länge auf Primalität geprüft werden statt der üblichen vier Zahlen für die RSA-Datenverschlüsselung mit öf- 30 fentlichem Schlüssel.

Die vorstehende Beschreibung der Erfindung betrifft in Übereinstimmung mit den Anforderungen der Patentvorschriften eine besondere, bevorzugte Ausführungsform zur Erklärung und Erläuterung. Es wird für den Fachmann jedoch klar sein, 35 dass viele Modifikationen und Änderungen sowohl an der Einrichtung als auch am Verfahren der vorliegenden Erfindung vorgenommen werden können, ohne das Prinzip und die allgemeine Idee der Erfindung zu verlassen. Beispielsweise können die Exponential-Prüfungen der Primalität in der im Fliessdia- 40 gramm des Mikroprozessors angegebenen Reihenfolge oder

660 822

auch in umgekehrter Reihenfolge durchgeführt werden, solange jedenfalls eine Feststellung erfolgt, dass 2hp [mod (hp + 1)] gleich eins ist und 2h [mod (hp + 1)] nicht gleich eins ist. Ferner ist die Länge des schliesslich gewählten Schlüssels mit 23 Bytes so gewählt, dass sich eine gegen Knacken des Codes sichernde Berechnungszeit von etwa 1000 Jahren ergibt; die Länge kann jedoch in gewünschter Weise für längere oder kürzere gegen Knacken des Codes sichernde Berechnungszeiten geändert werden. Weiter wird der Schritt des Verringerns der Byte-Länge des willkürlich gewählten h nach Erreichen einer bestimmten Byte-Länge von P, welche kleiner ist als die gewünschte gegen Knacken des Codes sichere Byte-Länge von P, zu dem Zwecke angewandt, die gesamte Berechnungszeit, die zum Erreichen eines P mit der gewünschten gegen Knacken des Codes sicheren Byte-Länge nötig ist, auf einem Minimum zu halten, wie in Fig. 1 dargestellt. Dieser Schritt kann jedoch auch weggelassen werden; beispielsweise kann in dem in Fig. 1 dargestellten Beispiel, in welchem h anfänglich so gewählt wird, dass es eine halb so grosse Byte-Länge wie das zuvor bestimmte P hat, die schliessliche Byte-Länge von P mit 27 gewählt werden. In diesem Fall würde nach Erreichen einer Länge von 19 Bytes für P das nächstfolgende h mit einer Länge von 9 Bytes gewählt, womit dann die gewünschte Byte-Länge, nämlich 27 Bytes, errreicht würde. Die Wahl von h mit der Hälfte der Byte-Länge der gegenwärtigen Primzahl P in der Folge von Primzahlen ist im übrigen ein einfaches Mittel, um relativ rasch die gesamte Byte-Länge von hP + 1 zu vergrössern, um die gewünschte gegen Knacken des Codes sichere Byte-Länge von beispielsweise 23 wie in Fig. 1 dargestellt zu erreichen. Es ist aber klar, dass h auch mit der gleichen Byte-Länge (solange h < P) oder einem Drittel der Byte-Länge des gegenwärtigen P in der Folge von Primzahlen gewählt werden könnte, oder mit irgendeinem gewünschten Bruchteil der Länge von P, solange h < P ist. Das anfängliche P in der Folge von Primzahlen ist im Beispiel der Fig. 1 als willkürlich gewählt dargestellt. Dies erhöht den Zufallscharakter des schliesslich bestimmten P mit der gewünschten gegen Knacken des Codes sicheren Länge. Es ist jedoch nicht unbedingt erforderlich, dass das anfängliche P eine willkürlich gewählte Zahl ist, da auch das h für jede Erzeugung einer Primzahl in der Folge von Primzahlen willkürlich gewählt wird.

v

2 Blätter Zeichnungen

Claims

660 822

1. Zufallsprimzahlen-Erzeugungsmittel in einer mit öffentlichem Schlüssel arbeitenden Daten-Verschlüsselungsanlage, zum Erzeugen von grossen, willkürlich gewählten Primzahlen, die für die Datenverschlüsselung mit öffentlichem Schlüssel erforderlich sind und die je eine vorbestimmte Länge haben, gekennzeichnet durch eine Einrichtung (50) mit wenigstens einer integrierten Schaltung zum Durchführen der folgenden Operationen beim Wählen jeder der erforderlichen grossen Zufallsprimzahlen: beginnend mit einem P, das eine bekannte Primzahl ist, deren Länge klein ist im Vergleich zu der vorbestimmten Länge, Bilden einer Folge von Primzahlen in der Form hP + 1, worin P die gegenwärtige Primzahl in der berechneten Folge von Primzahlen ist, durch willkürliches Wählen einer Zufallszahl h und Bilden von hP + 1 und Prüfen von hP + 1 auf Pri-malität durch Feststellen zuerst, ob der grösste gemeinsame Teiler GGT von (hP + 1) und x gleich eins ist, wobei x eine zusammengesetzte Zahl ist, die aus dem Produkt von bekannten Primzahlen kleiner oder gleich einer ausgewählten bekannten Primzahl besteht, und dann, wenn der GGT gleich eins ist, Feststellen, ob sowohl 2hp = 1 [mod (hP + 1)] als auch 2h ^ 1 [mod (hP + 1)], und, wenn der GGT nicht gleich eins ist, oder wenn der GGT gleich eins ist, aber entweder 2hp ^ 1 [mod (hP + 1)] oder 2h = [mod (hP + 1)] ist, Vergrössern von h um einen Schritt, um ein neues hP + 1 zu bilden, jedoch, wenn sowohl 2hp = 1 [mod (hP + 1)] als auch 2h ^ 1 [mod (hP + 1)] ist, Feststellen, ob die Länge von hP + 1 grösser oder gleich der vorbestimmten Länge ist, und, wenn das der Fall ist, Festlegen von hP + 1 als eine der erforderlichen grossen, willkürlich gewählten Primzahlen, jedoch wenn die Länge von hP + 1 nicht grösser oder gleich der vorbestimmten Länge ist, Einfügen von hP + 1 in die Folge von Primzahlen und Wiederholen der vorstehenden Schritte unter Verwendung von hP + 1 als neues P und Wählen einer neuen Zufallszahl h wie vorstehend angegeben.

2. Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 1, dadurch gekennzeichnet, dass die integrierte Schaltung dazu eingerichtet ist, die anfängliche Zufallsprimzahl h zum Bilden jeder der aufeinanderfolgenden Primzahlen in der Folge von Primzahlen so zu wählen, dass ihre Länge etwa gleich der Hälfte der Länge der gegenwärtigen Primzahl in der Folge von Primzahlen ist.

2

PATENTANSPRÜCHE

3

660 822

derliche Berechnungszeit unannehmbar lang ist. Ein anderes Verfahren zum Verschlüsseln mit öffentlichem Schlüssel ist für die Übermittlung von NBS-Standard-Schlüsseln in der Zeitschrift «Electronics» vom 5. Juni 1980, 96-97, vorgeschlagen worden. Dieses Verfahren arbeitet nicht nach dem RSA-Plan, sondern verwendet statt dessen einen Verschlüsselungs-Plan, der früheren Vorschlägen, z.B. von Hellman, vor RSA, ähnlich ist, und es ist mit gewissen Sicherheitsproblemen verbunden, die beim RSA-Plan nicht auftreten.

Allgemein hat das RSA-System die folgenden Merkmale. Wenn sich der Empfänger der Meldung im Terminal A befindet, dann hat das Terminal A zuvor zwei sehr grosse Zufalls-Primzahlen p, q berechnet. Das Produkt von p und q wird dann berechnet und bildet den Wert n. Dann wird eine grosse, ganze Zufallszahl e gewählt, welche die Eigenschaft hat, dass der grösste gemeinsame Teiler von e und von dem Produkt von (p - 1) und (q - 1) gleich 1 ist, d.h.

GGT [e, (p - l)(q - 1)] = 1.

Das e ist mit anderen Worten eine grosse, ganze Zufallszahl, die mit dem Produkt von (p - 1) und (q - 1) keine gemeinsamen Faktoren hat. Dann wird eine ganze Zahl d berechnet, die das «multiplikative Inverse» von e in modulo (p - l)(q - 1) ist. Das heisst:

e*d = 1 [mod (p - l)(q - 1)].

Das Terminal A übermittelt n und e offen, ohne Verschlüsselung, an ein anderes Terminal, Terminal B, oder eine Liste von n und e für jedes Terminal, einschliesslich Terminal A, wird öffentlich bekanntgemacht. Das Terminal B wird dann eine Meldung M wie folgt in eine verschlüsselte Meldung C umwandeln und übermitteln:

C s (M) = Me (mod n).

Dabei ist jedes über das Datennetz zu übermittelnde Zeichen vor der Verschlüsselung zu einer Zahl codiert worden, und nach der Entschlüsselung wird wieder die gleiche Zahl erhalten, die dem ursprünglichen Zeichen entspricht.

Die zu verschlüsselnde Meldung M kann eine einzelne Binärzahl mit einer Länge von beispielsweise 25 Bytes oder 336 Bits sein, wobei jede Gruppe von z.B. 3 oder 4 Bits die Codierung eines spezifischen Zeichens innerhalb der Meldung M darstellt. Wenn die verschlüsselte Meldung C empfangen und nach dem RSA-Plan entschlüsselt wird, wird wieder die gleiche Binärzahl von 25 Bytes erhalten, aus der die codierten Datenzeichen der Meldung M in bekannter Weise decodiert werden können.

Das Terminal B sendet die verschlüsselte Meldung C, und das Terminal A führt dann an der empfangenen verschlüsselten Meldung C die folgende Operation durch:

(C)d (mod n).

Wegen der besonderen Eigenschaften der gewählten grossen Zufalls-Primzahlen führt diese «Einweg-Permutation mit offener Geheimtür» zu der unrsprünglichen Meldung M.

Ein Mithörer an der Leitung, der die offen übermittelten Werte n und e empfängt oder sonstwie kennt, kann jedoch die vom Terminal B ausgesandte Meldung ohne die Zahl d nicht entschlüsseln. Damit ist die Übermittlung vom Terminal B zum Terminal A, nachdem das Terminal B die Werte n und e empfangen hat oder kennt, die im oder für das Terminal A berechnet wurden, vollständig sicher. Da der Sender der Meldung und der bestimmungsgemässe Empfänger der Meldung je eigene Werte von n und e haben, können zudem sowohl der Sender als auch der Empfänger jeweils die Identität des anderen garantieren, indem sie eine verschlüsselte «Unterschrifft», verwenden, die jeweils unter Verwendung ihrer gesonderten n und e verschlüsselt wird und unter Verwendung ihrer gesonderten d entschlüsselt wird. In dieser Weise können der Sender und der

Empfänger die Echtheit des Ursprungs und des Empfangs der besonderen Meldung garantieren. Dies ist äusserst wichtig in Anwendungen wie verschlüsselte elektronische Post für Geschäftstransaktionen, wo Echtheit der Aussendung und des Empfangs unterlässlich sind.

Bisher ist jedoch die Anwendung einer solchen RSA-Ver-schlüsselung mit öffentlichem Schlüssel auf Sende- und Empfangsterminals beschränkt gewesen, welche Zugang zu grossen Computern für digitale Daten haben. Der Grund liegt in der Tatsache, dass die Erzeugung der erforderlichen grossen Zufalls-Primzahlen bisher nur mit Hilfe grosser digitaler Computer praktisch durchführbar war. Dies deshalb, weil die Zufallszahlen p und q sehr gross sein müssen. Es existiert beispielsweise, wie in dem vorstehend angeführten technischen Mermoran-dum von Rivest, Shamir & Adelman erläutert, ein Zerlegungs-Algorithmus, der Algorithmus von Schroeppel, zum Zerlegen einer Zahl n in ihre Faktoren. Für ein n mit einer Länge von beispielsweise 50 Stellen kann der Algorithmus von Schroeppel angewandt werden, um n auf einem grossen digitalen Computer in etwa 4 Stunden in seine Faktoren zu zerlegen. Das Zerlegen von n in seine Faktoren ist das einfachste Verfahren, das ein Analytiker anwenden kann, um den RSA-Verschlüsselungscode zu knacken. Wenn die Länge von n auf 100 Stellen vergrössert wird, dann steigt die für das vollständige Zerlegen nach dem Schroeppel-Algorithmus erforderliche Computer-Zeit auf etwa 73 Jahre. Eine Berechnungszeit von etwa 1000 Jahren wird allgemein als total sichere Entschlüsselungs-Berechnungzeit für eine verschlüsselte Meldung betrachtet. Das erfordert ein n mit einer Länge von etwa 120 Stellen. Da n aus dem Produkt von zwei grossen Primzahlen p und q abgeleitet wird, hat das Produkt von p und q eine Stellenzahl gleich der Summe der Stellen in p und q. Daher müssen p und q grosse Zufalls-Primzahlen mit je etwa 60 Stellen sein, um eine Entschlüsselungs-Berech-nungszeit, z.B. unter Verwendung des Schroeppel-Algorithmus, von etwa 1000 Jahren zu erreichen. Als Daumenregel gilt, dass für je 2,5 Stellen einer Dezimalzahl ein Byte zu acht binären Bits erforderlich ist, sechzig Stellen würden also 24 Bytes entsprechen.

Das im RSA-Plan skizzierte Verfahren zum Auffinden von grossen Zufalls-Primzahlen erfordert die Prüfung von ap"' (mod P) für 100 zufällige a < P. Wenn für irgend ein a der Wert von ap_1 (mod P) nicht gleich 1 ist, dann muss ein anderes P gewählt werden und eine andere Iteration von 100 Modulo-Potenzierun-gen begonnen werden. Für die Verarbeitung einer digitalen binären Darstellung von Dezimalzahlen auf einem im Handel erhältlichen Mikroprozessor erfordert jede Potenzierung eine Multipräzisions-Multiplikation und -Division für jedes Bit im Exponenten und eine zusätzliche Multiplikation und Division für jedes 1-Bit. Damit werden für jedes p und q, die je eine Länge von etwa 184 Bits (23 Bytes) haben müssen, damit das Produkt p X q die erforderliche Länge von etwa 50 Bytes hat, für jede Potenzierung auf einem Mikroprozessor, beispielsweise dem Mikroprozessor «Intel 8085», im Mittel etwa 92 Sekunden benötigt.

Bei der Prüfung des RSA-Plans ist gefunden worden, dass in den meisten Fällen, wo 3P~' (mod P) gleich 1 ist, auch ap"' (mod P) für jeden anderen Wert 0 < a < P gleich 1 ist. Daher wurde als erster Wert von a stets 3 gewählt, und die übrigen 99 wurden dann willkürlich gewählt. Etwa 120 Werte P müssen geprüft werden, bis einer gefunden wird, der funktioniert. Die Zeit, die bei Verwendung eines im Handel erhältlichen Mikroprozessors erforderlich ist, um ein solches P zu finden, beträgt im Mittel etwa 3 Stunden. Da für die Durchführung des RSA-Plans 4 gesonderte Primzahlen benötigt werden, sind 12 Stunden erforderlich, um die vier Zahlen zu finden, die mit einer Wahrscheinlichkeit von 0,5 Primzahlen sind. Für die empfohlene Wahrscheinlichkeit von 2~100 steigt die erforderliche Zeit auf 1200 Stunden.

5

10

15

20

25

30

35

40

45

50

55

60

65

660 822

3. Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 1, dadurch gekennzeichnet, dass die integrierte Schaltung dazu eingerichtet ist, auch festzustellen, ob die Länge von hP + 1 bis auf eine vor-gewählte fehlende Länge die vorbestimmte Länge erreicht hat, wenn sie nicht grösser oder gleich der vorbestimmten Länge ist, und, wenn die Länge von hP + 1 bis auf die vor-gewählte Länge die vorbestimmte Länge erreicht hat und nicht grösser oder gleich der vorbestimmten Länge ist, die nächste anfängliche Zufallszahl h mit einer Länge zu wählen, die kleiner ist als die Hälfte der Länge der gegenwärtigen Primzahl in der Folge von Primzahlen, aber genügend gross ist, um die Länge der nächsten Primzahl in der Folge von Primzahlen grösser oder gleich der vorbestimmten Länge zu machen.

4. Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 3, dadurch gekennzeichnet, dass die vorbestimmte Länge 23 Bytes zu je acht Bits beträgt.

5. Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 4, dadurch gekennzeichnet, dass die vor-gewählte Länge 4 Bytes zu je acht Bits beträgt.

6. Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 5, dadurch gekennzeichnet, dass die gewählte Länge 4 Bytes beträgt.

7. Zufallsprimzahlen-Erzeugungsmittel nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass P anfänglich gleich 139 ist.

8. Terminal in einer mehrere Terminals aufweisenden, mit

öffentlichem Schlüssel arbeitenden Daten-Verschlüsselungsan-lage, mit einem Zufallsprimzahlen-Erzeugungsmittel nach Anspruch 1 und ferner mit einem Sender-Empfänger (70), der in der Lage ist, eine unter Verwendung eines nicht geheimen, für das Terminal spezifischen Schlüssels e, n verschlüsselte Meldung zu empfangen, und mit einem Schlüssel zum Ver- und Entschlüsseln erzeugenden Mittel (52), welches dazu eingerichtet ist, den nicht geheimen Schlüssel e, n und einen geheimen Schlüssel d zu bilden, wobei n das Produkt von zwei von dem Zufallsprimzahlen-Erzeugungsmittel (50) erzeugten Primzahlen p und q ist, wobei ferner e eine ganze Zahl ist, die so gewählt ist, dass der grösste gemeinsame Teiler von e und (p - l)(q - 1) gleich eins ist, und e*d = 1 [mod (p - l)(q - 1)] ist, und weiter mit einem Ver-/Entschlüsselungsmittel (54) zum Entschlüsseln einer verschlüsselten Form Mc (mod n) einer Meldung M durch Bilden von M = (Me (mod n))d (mod n).

9. Terminal nach Anspruch 8, dadurch gekennzeichnet, dass p und q je eine Länge von wenigstens 23 Bytes haben und n eine Länge von wenigstens 46 Bytes hat, und zwar zu je 8 Bits.

Eine Datenverschlüsselung mit öffentlichem Schlüssel, wie sie ursprünglich von Diffie und Hellman in «New Directions in Cryptography», I.E.E.E. Transactions in Information Theory (Nov. 1976) vorgeschlagen wurde und von Rivest, Shamir and Adelman «A Method for Obtaining Digital Signatures in Pu-blic-Key Crypto Systems», MIT Technical Memo LCS/TM82 (Aug. 1977) vervollkommnet wurde, ist inzwischen wohlbekannt. Der grundlegende Zweck einer Verschlüsselung mit öffentlichem Schlüssel besteht darin, sowohl die Sicherheit der über eine Datenleitung übertragenen Information zu gewährleisten als auch eine eindeutige Identifikation des Senders zu ermöglichen und es einem Empfänger unmöglich zu machen, eine gefälschte Sendung als eine solche von einem Teilnehmer an der Datenleitung auszugeben. Diese beiden erwünschten Resultate können mittels der Datenverschlüsselung mit öffentlichem Schlüssel erreicht werden, ohne dass es nötig ist, eine Liste von geheimen, für jeden Teilnehmer an der Datenleitung spezifischen Schlüsseln zu errichten und/oder periodisch geheime Schlüssel an die verschiedenen Teilnehmer an der Datenleitung physisch zu überbringen oder in anderer Weise gesichert zu übermitteln. Durch die Anwendung der sogenannten «Einweg-Permutationen mit offener Geheimtür» (englisch: «trap-door one-way permutation», vgl. beispielsweise den eingangs genannten Artikel von Rivest, Shamir und Adelman, Abschnitt II. «Public-Key Cryptosystems») können Daten in verschlüsselter Form von einem Sender zu einem Empfänger übermittelt werden, wobei ein öffentlicher, offen übermittelter Schlüssel verwendet wird und wobei es aber für einen Mithörer an der Leitung unmöglich ist, die Meldung innerhalb einer Zeitspanne zu entschlüsseln, die so lang ist, dass die Sicherheit der verschlüsselten Meldung gewährleistet ist.

Dieses Verfahren zum Verschlüsseln mit öffentlichem Schlüssel, das von Rivest, Shamir und Adelman entwickelt wurde und jetzt allgemein als RSA bezeichnet wird, beruht auf der Verwendung von zwei sehr grossen Primzahlen, die die Bedingung für die «Einweg-Permutation mit Geheimtür» erfüllen. Eine solche Permutationsfunktion macht es dem Sender möglich, die Meldung unter Verwendung eines nicht geheimen Schlüssels zu verschlüsseln, gestattet es aber einem Mithörer nicht, die Meldung durch Knacken des Codes innerhalb einer annehmbar langen Zeitspanne zu entschlüsseln. Das ist wegen der Tatsache so, dass für eine zusammengesetzte Zahl, die aus dem Produkt von zwei sehr grossen Primzahlen besteht, die für das Zerlegen dieser zusammengesetzten Zahl in Faktoren erfor5

10

15

20

25

30

35

40

45

50

55

60

65

4

Die Verschlüsselung mit öffentlichem Schlüssel ist überaus nützlich sowohl für eindeutige Unterschriften für die Beglaubigung von Meldungen als auch für die Übermittlung der periodischen Änderungen der Chiffrierschlüssel, z.B. der NBS-Stan-dard-Schlüssel, auf offenen Kanälen. Bei der letzteren Anwendung entfällt die Notwendigkeit eines Haupt-Schlüssels, mit dem die periodischen Änderungen des Standard-Schlüssels zu verschlüsseln wären. Damit entfällt auch die Notwendigkeit, den Haupt-Schlüssel über einen gesicherten Kanal zu übermitteln oder physisch, mit einem Kurier oder dgl., zu überbringen. Ohne die Verschlüsselung mit öffentlichem Schlüssel muss jeder Teilnehmer den Haupt-Schlüssel besitzen. Obwohl jeder Haupt-Schlüssel nicht oft ändert, muss er doch, wenn ein neuer Teilnehmer an die Datenleitung angeschlossen wird, jeweils in einer gesicherten Weise an diesen Teilnehmer übermittelt werden. Jede solche Übermittlung, auch über einen gesicherten Kanal oder durch physisches Überbringen von Hand, ist gefährdet, wodurch eine Änderung des Haupt-Schlüssels für alle Teilnehmer nötig wird, wenn eine Blossstellung festgestellt wird, wobei dann der Haupt-Schlüssel wieder in gesicherter Weise jedem Teilnehmer übergeben werden muss. Die Verschlüsselung mit öffentlichem Schlüssel macht es möglich, die Standard-Schlüs-sel, die periodisch ändern, an jeden Teilnehmer über offene Kanäle mit einem öffentlich bekannten Schlüssel zu übermitteln, welcher, obwohl öffentlich bekannt, niemandem ausser dem einzelnen Teilnehmer eine Entschlüsselung ermöglicht. Die Nützlichkeit einer mit öffentlichem Schlüssel arbeitenden Daten-Verschlüsselungsanlage für die Beglaubigung von Meldungen und die Übermittlung von Standard-Schlüsseln ist ausführlicher beschrieben in Hellman, «The Mathematics of Public-Key Cryptography», Scientific American, Band 241 (1979) (Spektrum der Wissenschaft 10/1979, Seiten 93 ff.).

Diese Vorteile der Verschlüsselung mit öffentlichem Schlüssel könnten die verbreitete Verwendung von Verschlüsselungen, beispielsweise mit NBS-Standard-Schlüsseln, für die Meldungsübermittlung durch elektronische Mittel zu geschäftlichen Zwecken, wo die Sicherheit und die Bestätigung der Echtheit der Aussendung und des Empfangs wesentlich sind, ermöglichen. Gegenwärtig ist jedoch für den Anschluss an eine solche Daten-Verschlüsselungsanlage, welche die RSA-Verschlüsselung mit öffentüchem Schlüssel für die Übermittlung und den Empfang der Standard-Schlüssel oder von Unterschriften verwendet, eine lange Einrichtungszeit oder ein Zugang zu einem grossen digitalen Computer erforderlich. Es besteht zwar die andere Möglichkeit, die grossen, willkürlich erzeugten Primzahlen, die für jeden Teilnehmer spezifisch sind, von Hand zu überbringen. Dies erfordert jedoch wieder eine möglicherweise gefährdete physische Übermittlung durch gesicherte Mittel, deren Sicherheit nicht immer garantiert werden kann. Ferner ist es dabei unvermeidlich, dass die gleiche zentrale Station, die den «geheimen» Dechiffrierschlüssel erzeugt und liefert, wenigstens zu einer Zeit vor der Lieferung dieses Dechiffrierschlüssels an einen Teilnehmer diesen Schlüssel ebenfalls kennt. Dadurch entsteht eine weitere Gefährdungsmöglichkeit.

Es ist daher bei weitem vorzuziehen, dass jeder Teilnehmer in der Lage ist, seine eigenen willkürlich gewählten grossen Primzahlen zu erzeugen. Gegenwärtig ist zu diesem Zweck ein Zugang zu einem grossen digitalen Computer erforderlich oder müssen etwa zwölf bis zwanzig Stunden Berechnungszeit auf einem zur Zeit im Handel erhältlichen Mikroprozessor aufgewendet werden. Auch nach zwölf bis zwanzig Stunden auf dem Mikroprozessor, unter Anwendung der von Rivest, Shamir und Adelman vorgeschlagenen Potenzierungs-Technik, sind die erzeugten Zahlen nur mit einer Wahrscheinlichkeit von 50 Prozent Primzahlen. Der einzige Weg zum Prüfen der Primalität ist ein Versuch, eine Meldung unter Verwendung der erzeugten Primzahlen im RSA-Plan zu verschlüsseln und zu entschlüsseln. Für die empfohlene Wahrscheinlichkeit von 2"100 sind auf zur

Zeit im Handel erhältlichen Mikroprozessoren etwa 1200 Stunden Berechnungszeit erforderlich.