CN101410792A - 利用椭圆曲线的密码方法 - Google Patents

Abstract

一种用于确定适于密码方法的椭圆曲线的方法具有以下步骤：(a)提供要测试的椭圆曲线；(b)确定扭转的椭圆曲线的阶数，其中该扭转的椭圆曲线被分配给要测试的椭圆曲线；(c)自动地检验扭转的椭圆曲线的阶数是否是强质数；以及(d)当扭转的椭圆曲线的阶数是强质数时，选择所述要测试的椭圆曲线作为适于密码方法的椭圆曲线。

Description

利用椭圆曲线的密码方法

本发明涉及一种用于确定椭圆曲线、特别是适于密码数据处理的椭圆曲线的方法。此外，本发明还涉及一种密码方法和一种装置，它们基于事先选择的椭圆曲线。

密码方法尤其被用于加密消息、文档的签署和人员或者对象的鉴权。所谓的非对称加密方法特别适合于此，这些加密方法针对用户设置私有的和秘密地保持的密钥以及公钥。

在加密消息时，发送者设法得到所希望的收信人的公钥，并且以此加密消息。随后，只有该收信人能够利用只有他知道的私钥将消息重新解密。

在签署文档时，签名人利用其私钥由文档计算出电子签名。其他人可以毫无困难地借助签名人的公钥来验证签名。然而，利用公钥只可以验证利用所属的私钥签署的签名。通过这种唯一的分配和私钥被签名人秘密地保持的假设，得到签名与签名人以及文档的唯一分配。

在借助挑战-响应(询问-应答)协议进行鉴权时，检验点将询问传输给某一人员，并且请求该人员针对该询问利用该人员的私钥来计算应答并回送。在检验点能够利用待检验的人员的公钥验证被回送的应答的情况下实现肯定的鉴权。

如上所述，非对称密码方法基于私钥和公钥。在此情况下，公钥借助预先确定的算法根据私钥生成。对于密码方法来说重要的是，反向操作、即私钥根据公钥的确定在有限的时间中利用可用的计算能力不能够完成。当私钥的密钥长度达到最小长度时，保证了后者。密钥的最小长度取决于加密以及确定公钥所使用的算法。

利用公钥或者私钥的操作要求一定的计算花费。该计算花费取决于所使用的算法并且也取决于所使用的密钥的长度。在此情况下，证明有利的是，使用基于椭圆曲线的加密算法，因为这些算法在短的密钥长度时保证高的安全性。迄今，对于基于椭圆曲线的密码方法来说，不同于其它方法，根据公钥确定私钥是未知的，该确定的计算花费比随着增加的密钥长度以指数增长更慢地增长。换句话说，所使用的密钥的每个附加位长的安全性增益比在其它方法中更高。对于实际应用来说，因此可以使用明显更短的密钥长度。

椭圆曲线E通常通过Weierstrass方程来定义，其被写为以下的三次方程：

y²+a₁xy+a₃y＝x³+a₂x²+a₄x+a₆。

在此，a₁、a₂、a₃、a₄和a₆是本体K的固定选择的元素，而对(x，y)称为椭圆曲线E的点，并且满足该Weierstrass方程。针对密码方法，选择有限本体K。相应地，椭圆曲线E的点的数目也是有限的，并且随后被称为曲线E的阶数ord(E)。附加地，无限地引入形式点。

在椭圆曲线的点的集合上可以定义阿贝尔群结构G。阿贝尔群结构的运算在下面被称为相加，并且加性地被写。椭圆曲线的两个任意点的相加唯一地得到该椭圆曲线的第三点。此外，以这种方式可以定义标量乘法，其被定义为点与自身的多次相加。P是椭圆曲线E的点，s是整数，而Q＝sP是该点P的s倍。Q同样是椭圆曲线的点。在给定点P和Q的情况下标量s的确定被称为椭圆曲线的离散对数问题。在适当地选择本体K和椭圆曲线E的参数的情况下，利用如今可用的计算装置不可能在合理的时间内求解该离散对数问题。借助椭圆曲线的密码方法的安全性基于该困难。

通信用户选择标量s作为其私钥，并且将其保持为秘密的。此外，该通信用户从起点P生成公钥Q作为起点的标量倍数。关于起点P，在通信用户之间存在一致。根据公钥Q确定私钥s由于离散对数问题的高的计算花费而是不可能的，并且由此保证利用椭圆曲线的密码方法的安全性。对椭圆曲线的另一要求是，其阶数是大的质数或者大的质数与小的数的乘积。

密码方法是可期待的安全性和在加密数据时的计算花费之间的折衷。在DE 10161138A1中表明，确定一个点的标量倍数仅仅借助x坐标而不考虑y坐标是可能的。相应的计算规则在DE 10161138A1中针对任意本体进行了描述。由此，可以实现明显更有效的点算法，例如用于标量乘法的蒙哥马利阶梯(Montgomery Leiter)的实施、每个点加法的更少次数的本体乘法以及更小数目的用于点表示和中间结果的寄存器。然而，在这种方法中不检验是否点真的是椭圆曲线的元素。

由此产生的可能性是，进行侧通道攻击。在此，可以将点的x坐标传输给加密装置，其中该点并不位于椭圆曲线上。对此，在DE10161138A1中描述了，由此可以部分地重建加密装置的私钥。DE10161138A1为了防止这种侧通道攻击而使用特别地选择的椭圆曲线。在此情况下，属于该椭圆曲线的扭转后的椭圆曲线用作标准。所属的扭转后的椭圆曲线如下被定义：

y²+va₁xy+a₃y＝x³+va₂x²+v²a₄xv³a₆，

其中参数a₁、a₂、a₃、a₄和a₆是椭圆曲线的参数。如果本体K的特征是奇数或者本体K的具有轨迹1的元素，则参数v是本体K的所有非二次方。按照DE 10161138A1，所有这些扭转后的椭圆曲线都应当同样具有如下的阶数：该阶数是大的质数或者大的质数与小的数的乘积。

作者Daniel R.L.Brown和Robert P.Gallant在他们的文章“The Static Diffie-Hellman Problem”中描述了侧通道攻击的另一可能性，以便完全地或者部分地探出私钥。

在该背景之下，本发明所基于的任务在于，提供一种方法，其选择椭圆曲线，这些椭圆曲线使得在侧通道攻击时不能推断出私钥。

根据本发明，该任务通过具有权利要求1的特征的方法来解决。一种具有权利要求4的特征的、用于数据的密码处理的方法和一种具有权利要求6的特征的用于对人员或者对象进行身份证实的装置同样防止通过侧通道攻击来确定私钥或者部分确定私钥。

相应地设置了：

一种用于确定适于密码方法的椭圆曲线的方法，具有以下步骤：

(a)提供要测试的椭圆曲线；

(b)确定扭转的(getwistet)椭圆曲线的阶数，其中该扭转的椭圆曲线被分配给要测试的椭圆曲线；

(c)自动地检验该扭转的椭圆曲线的阶数是否是强质数；以及

(d)当该扭转的椭圆曲线的阶数是强质数时，选择所述要测试的椭圆曲线作为适于密码方法的椭圆曲线。

一种用于对数据进行密码处理的方法，具有以下步骤：

提供椭圆曲线，该椭圆曲线利用根据权利要求1至3之一所述的方法来确定；

仅仅提供点的x坐标；

提供私钥；

在使用所提供的椭圆曲线和私钥的情况下，自动地将密码加密方法应用于x坐标，以确定加密后的x坐标；以及

输出基于加密后的x坐标的值。

一种用于对人员或者对象进行身份证实的装置，具有

-接收装置，其用于接收坐标；

-存储装置，其维持所述人员或者对象的私钥；

-处理装置，其用于利用私钥处理所接收的坐标，其中该处理基于根据方法1至3之一所选择的椭圆曲线；和

-输出装置，其被设立用于输出处理后的坐标。

本发明所基于的思想在于，只有当相对于椭圆曲线扭转的椭圆曲线具有为强质数的阶数时，才将该椭圆曲线用于密码方法。强质数P通过以下方程来描述：

P＝1+r·q，

其中r是小的数，典型地在高达255的范围内，而q是大的质数。理想地，强质数是所谓的Sophie-Germain质数，即r为2。椭圆曲线和所属的扭转的椭圆曲线对应于先前所给出的定义。本发明防止侧通道攻击，其中该侧通道攻击基于错误地传输的x坐标或者恶意地错误地传输的x坐标，其中这些x坐标并不对应于所选择的椭圆曲线的点。根据本发明的方法是如下稳健的：即使在这种x坐标的情况下也不可能通过外部装置来探出或者部分地确定私钥。

有利的改进方案和扩展方案是其它从属权利要求的主题，或者由结合附图的描述中得出。

根据一种扩展方案，扭转的椭圆曲线的阶数通过对位于扭转的椭圆曲线上的点的数目进行计数来确定。替代地，扭转的椭圆曲线的阶数也可以基于确定椭圆曲线的阶数以及本体的特征来实现。为此，可以考虑不同的阶数之间的明确的数学关系。点的计数利用对于本领域技术人员来说通常已知的方法来进行。

在一种扩展方案中，自动地检验要测试的椭圆曲线的阶数是否是强质数，并且只有当要测试的椭圆曲线的阶数是强质数时，才选择该要测试的椭圆曲线用于密码方法。

以下借助在附图的示意图中给出的实施例来阐述本发明。其中：

图1示出根据本发明的方法的一个实施形式的流程图；

图2示出根据本发明的装置的一个实施形式的框图；并且

图3示出根据本发明的方法的一个实施形式的流程图，该方法通过图2中的装置来执行。

在图1中示出了流程图，用于图解说明根据本发明的方法的实施形式。在第一步骤中，提供具有椭圆曲线E的库(S1)。椭圆曲线E通过有限本体K来定义。由此，曲线E包含有限数目的点P。如已经描述的那样，椭圆曲线通过Weierstrass方程以及参数a₁、a₂、a₃、a₄和a₆来确定。通过相应地限制或者改变参数化，各个参数可以是零。参数被选择，使得椭圆曲线不是奇异的。

随后确定椭圆曲线的阶数(S2)。椭圆曲线的阶数被理解为在本体K上的满足Weierstrass方程的点的数目。在几何意义上，这是所有位于椭圆曲线E上的点P。

椭圆曲线的阶数(缩写为ord(E))应当是质数。如果检查得出该阶数不是质数，则从库中选择另一曲线E(S8)。如果椭圆曲线E的阶数被证实为质数，则检验是否椭圆曲线的阶数是强质数(S3)。强质数的定义在上面被给出。

在接下来的步骤中，对相对于椭圆曲线E扭转的椭圆曲线E进行检查(S4)。扭转曲线E’的定义在上面已经给出。该检查针对全部的扭转曲线E’进行，也就是说，针对所有可能的相应地不是二次方或者具有轨迹1的元素的参数v进行。扭转曲线E’的阶数单独地被确定(S5)。扭转曲线E’的阶数应当同样如椭圆曲线那样是质数。如果这一点不被满足，则选择另一椭圆曲线E。

另外检验是否椭圆曲线E’的阶数是强质数(E6)。

如果步骤S2、S3、S5和S6的所有四个条件都被满足，则选择该椭圆曲线E用于密码方法。

椭圆曲线的阶数可以借助已知的计数方法(Abzaehlverfahren)来确定。替代地，可以通过如下关系来确定阶数：

ord(E)+ord(E’)＝2·|K|+2，

其中|K|是本体K的特征。

在图2中示出了测试对象A和检验装置B的框图。测试对象例如可以是智能卡或者RFID芯片。检验装置B是相应的读取装置。测试对象A具有存储装置1，在其中维持私钥。该私钥KP被保持为秘密的，并且不能够通过外部装置以任何方式读取。在另一存储装置2中存储对椭圆曲线E进行参数化所需的参数。数据处理装置3基于私钥和椭圆曲线执行加密算法，其中该椭圆曲线通过存放在存储装置2中的参数来确定。参数或者椭圆曲线借助根据本发明的方法、例如通过图1中所示的实施例来确定。此外，测试对象具有接收装置4，该接收装置可以接收点的x坐标。该x坐标被输送给数据处理装置3，该数据处理装置对该x坐标执行事先确定的方法。该方法的特别之处是，该方法仅仅被应用于x坐标，并且也只需要点的x坐标。处理后的或者加密后的x坐标通过发送装置5输出。测试对象A并不检验是否所传输的x坐标会是有效的x坐标。测试对象A并不检验是否该x坐标被分配给椭圆曲线的点P。然而所选择的被保存在存储装置2中的椭圆曲线保证通过这种x坐标不可能探出或者部分地探出私钥。

检验装置B具有随机发生器10，其从椭圆曲线中选择任意的点P0。该点借助发送装置11被传输给测试对象A。此外，检验装置B具有接收装置，用于接收处理后的x坐标Q(x)。数据处理装置13借助测试对象A的公钥来检验处理后的x坐标。公钥可以被保存在检验装置B中，或者从外部源获得。如果解密后的值对应于事先随机生成的x坐标，则在接口14处输出测试对象A的身份被证实。

在图3中为此以流程图再次示意性示出了测试对象A的识别的过程。在第一步骤S10中，随机发生器生成椭圆曲线E上的点P0，并且将其x坐标作为询问传输给测试对象A。该测试对象A利用其私钥KP由x坐标计算出应答(S11)。随后，测试对象传输应答Q(x)并且必要时也传输其公钥K0。应答通过检验点B借助公钥K0来检验(S12)。在应答被证实时，输出信号，即人员A被鉴权或者被识别(S13，S14)。

随后，示例性地给出合适的椭圆曲线。所使用的有限本体K具有Z/pZ的形式，并且椭圆曲线E的方程通过y²＝x³+ax+b来给出。椭圆曲线E的相应的参数为：

p＝517847993827160675843549642866661055787617496734405781471

a＝38341706974568098172697905376562415410863420236739650958

b＝395393382584534989047698356330422317897630021672687214876

椭圆曲线的阶数ord(E)＝

517847993827160675843549642866661055787617496734522943517，并且相对于椭圆曲线E扭转的椭圆曲线E’同样具有质数阶数ord(E’)＝517847993827160675843549642866661055787617496734288619427。基本点P＝(x，y)通过以下坐标给出：

x＝81094469663915015430255024705469171085831504304496796756

y＝482060190644397986573077501327725919378173632606557848976，

该点位于椭圆曲线E上，并且在这种情况下甚至产生完整的点群。也即，椭圆曲线E的每个点都可以被表示为基本点P的标量倍数。此外，曲线E和扭转曲线E’的阶数具有以下值：

Ord(E)＝1+4·129461998456790168960887410716665263946904

        374183630735879

Ord(E’)＝1+2·258923996913580337921774821433330527893808

          748367144309713

由此，满足了用于密码方法的椭圆曲线的所有所要求的特征。

Claims (7)

1.一种用于为了密码方法而确定椭圆曲线的方法，具有以下步骤：

(a)提供要测试的椭圆曲线；

(b)确定扭转的椭圆曲线的阶数，其中所述扭转的椭圆曲线被分配给所述要测试的椭圆曲线；

(c)自动地检验所述扭转的椭圆曲线的阶数是否是强质数；以及

(d)当所述扭转的椭圆曲线的阶数是强质数时，选择所述要测试的椭圆曲线作为适于密码方法的椭圆曲线。

2.根据权利要求1所述的方法，其特征在于，

所述扭转的椭圆曲线的阶数通过对位于所述扭转的椭圆曲线上的点的数目进行计数来确定。

3.根据权利要求1所述的方法，其特征在于，

所述要测试的椭圆曲线通过具有已知的特征的本体来定义，并且所述扭转的椭圆曲线的阶数的确定基于确定所述椭圆曲线的阶数以及所述本体的特征来进行。

4.根据上述权利要求之一所述的方法，其特征在于，

自动地检验所述要测试的椭圆曲线的阶数是否是强质数，并且当所述要测试的椭圆曲线的阶数是强质数时，选择所述要测试的椭圆曲线用于密码方法。

5.一种用于对数据进行密码处理的方法，具有以下步骤：

(a)借助根据上述权利要求之一所述的方法来确定并提供椭圆曲线；

(b)仅仅提供点的x坐标；

(c)提供私钥；

(d)在使用所提供的椭圆曲线和私钥的情况下，自动地将密码方法应用于所述x坐标，以确定处理后的x坐标；以及

(e)输出基于处理后的x坐标的值。

6.根据权利要求5所述的方法，其特征在于，

所述x坐标由检验点发送给测试对象；

所述测试对象提供所述私钥；

所述测试对象确定所述处理后的x坐标；所述测试对象将所述处理后的x坐标传输给所述检验点；

所述检验点提供所述测试对象的公钥；

所述检验点利用所述公钥来检验所述处理后的x坐标；以及

当所述检验得出所述处理后的x坐标的有效性时，所述检验点输出所述测试对象的身份的证实。

7.一种用于对人员或者对象进行身份证实的装置，具有：

-接收装置，该接收装置被设置用于接收坐标；

-存储装置，该存储装置维持所述人员或者对象的私钥；

-处理装置，所述处理装置在使用根据权利要求1至4之一所述的方法的情况下基于椭圆曲线利用私钥处理所接收的坐标；以及

-输出装置，该输出装置被设立用于输出处理后的坐标。

Images