DE112008000668T5

DE112008000668T5 - Kryptografisches Verfahren und System

Info

Publication number: DE112008000668T5
Application number: DE112008000668T
Authority: DE
Inventors: Michel Douguet; Neil M. Mckeeney
Original assignee: Atmel Corp
Current assignee: Rambus Inc
Priority date: 2007-03-12
Filing date: 2008-03-12
Publication date: 2010-04-15
Anticipated expiration: 2028-03-13
Also published as: WO2008112273A1; TWI448963B; US8280041B2; US20080226064A1; CN101632255B; DE112008000668B4; CN101632255A; TW200844847A

Abstract

Kryptografisches Verfahren, das in einem elektronischen Verarbeitungssystem implementiert ist, wobei es umfasst:
Laden von Werten eines privaten Schlüssels, einschließlich wenigstens eines Exponenten des privaten Schlüssels und zweier Moduln des privaten Schlüssels, in einen Datenspeicher, der für elektronische Verarbeitungs-Hardware zugänglich ist;
Auswählen eines Transformationsfaktors durch die elektronische Verarbeitungs-Hardware;
Multiplizieren der Moduln des privaten Schlüssels mit dem Transformationsfaktor durch die elektronische Verarbeitungs-Hardware, um transformierte Moduln zu erzeugen;
Laden eines ersten Datenwertes einer Schlüsseltextnachricht in den Datenspeicher zu jeder beliebigen Zeit vor Durchführen modularer Exponentiation;
Durchführen einer modularen Exponentiation des ersten Datenwertes unter Verwendung des wenigstens einen Exponenten des privaten Schlüssels und der transformierten Moduln mit der elektronischen Verarbeitungs-Hardware, um einen Zwischen-Datenwert zu ermitteln; und
Reduzieren des Zwischen-Datenwertes modulo ein Produkt der zwei Moduln des privaten Schlüssels durch die elektronische Verarbeitungs-Hardware, um einen Abschluss-Datenwert einer entschlüsselten Klartextnachricht zu ermitteln.

Description

Beanspruchung der Priorität
Hiermit wird die Priorität gegenüber der US-Patentanmeldung Nr. 11/684,842, eingereicht am 12. März 2007 unter dem Titel ”CHINESE REMAINDER THEORUM-BASED COMPUTATION METHOD FOR CRYPTOSYSTEMS” beansprucht, die hiermit in ihrer Gesamtheit durch Verweis einbezogen wird.
Technisches Gebiet
Das vorliegende Dokument betrifft kryptografische Verfahren und Systeme, die in elektronischer Verarbeitungs-Hardware mit dazugehöriger Software ausgeführt werden.
Kurze Beschreibung der Zeichnungen
1 ist eine schematische Ansicht von Ausführungsformen von Prozessor-Hardware zum Einsatz beim Ausführen eines Kryptografieverfahrens gemäß einigen Ausführungsformen der vorliegenden Erfindung, die CRT-basierte modulare Exponentiation einschließen; und
2 ist ein Flussdiagramm, das die allgemeinen Schritte für modulare Exponentiation gemäß einer beispielhaften Ausführungsform der vorliegenden Erfindung darstellt.
Ausführliche Beschreibung
Viele kryptografische Algorithmen basieren auf modularen Exponentiationsberechnungen des Typs m ≡ c^d(mod n), wobei c und m verschiedenartigen Daten entsprechen können (Klartext- und Schlüsseltextnachrichten, Signaturen, Nachrichtenzusammenfassungen, Authentifizierungscodes usw.) und d sowie n Elementen öffentlicher oder privater Schlüssel zum Bearbeiten dieser Daten entsprechen können. Der Modul n ist normalerweise das Produkt zweier sehr großer Primzahlen p und q, die geheimgehalten werden. Der RSA-Algorithmus ist ein Beispiel für ein Verschlüsselungssystem (und eine dazugehörige digitale Signaturmethode), bei dem/der modulare Exponentiation eingesetzt wird. Das Diffie-Hellman-Schlüsselaustauschprotokoll ist ein anderes.
Bei dem RSA-Algorithmus werden ein öffentlicher Schlüssel {e, n} und ein entsprechender privater Schlüssel {d, p, q} zum Verschlüsseln und Entschlüsseln bereitgestellt, wobei d·e ≡ 1(mod ϕ(n)), n = p·q, ϕ(n) = (p – 1)(q – 1) und die ganze Zahl e und ϕ(n) teilerfremd bzw. koprim (co-prime) sind. Als Alternative dazu wird häufig eine Funktion λ(n) = LCM(p – 1, q – 1) anstelle des ursprünglichen ϕ(n) verwendet. (RSA PKCS#1 v. 2.1) Zur Verschlüsselung kann ein Schlüsseltext c aus einer Klartextnachricht m unter Verwendung des öffentlichen Schlüssels {e, n} entsprechend der Beziehung c = m^e(mod n) ermittelt werden. Der Exponent e des öffentlichen Schlüssels ist normalerweise ein kleiner Wert (z. B. 3, 5, 35 oder 2¹⁶ + 1 = 65537), der gewählt wird, um die Verschlüsselung zu erleichtern und zu beschleunigen. Zum Entschlüsseln kann die Klartextnachricht m unter Verwendung des privaten Schlüssels {d, p, q} entsprechend der Beziehung m ≡ c^d(mod(p·q)) aus dem Schlüsseltext c zurückgewonnen werden.
Der chinesische Restsatz, das sogenannte Chinese-Remainder-Theorem (CRT), wird häufig verwendet, um die bei der Verschlüsselung anfallenden modularen Exponentiationsberechnungen zu beschleunigen, da die ansonsten geheimen Primen Faktoren p und q dem Benutzer bekannt sind. Dieses Theorem besagt im Allgemeinen, dass, wenn ein Satz simultaner Kongruenzen x = a_i(mod n_i) gegeben ist, wobei i = 1 bis r, und die Moduln n₁ dafür paarweise relativ prim sind, die Lösung x ≡ [Σ_ia_i·b_i(N/n_i)](mod N) ist, wobei N = n₁·n₂·...n_r und b_i aus b_i(N/n_i) ≡ 1(mod n_i) bestimmt werden. Für zwei relativ prime positive ganze Zahlen p und q sowie zwei ganze Zahlen a und b (d. h. r = 2) existiert eine ganze Zahl m, die eindeutig gemäß modulo p·q bestimmt wird, so dass m ≡ a(mod p) ≡ b(mod q). Das heißt, für GCD(p, q) = 1 entspricht jedes Paar von Restklassen modulo p und q einer einfachen Restklasse modulo p·q. Die Lösung ergibt m ≡ [a·(q^–1 mod p)·q + b·(p^–1 mod q)·p](mod p·q). (Ein modulares Reziprokes einer ganzen Zahl z^–1 modulo z ist so definiert, dass x·x^–1 ≡ 1(mod z). Für einen primen Modul hat jede von Null verschiedene ganze Zahl, die kein Vielfaches des Moduls ist, ein Reziprokes.)
Bei CRT-Implementierung des RSA-Algorithmus wird die modulare Exponentiation m := c^d(mod(p·q)) wie folgt berechnet. Zunächst wird ein Paar aus einem privaten Schlüssel hergeleiteter Exponenten mit d₁ := d(mod(p – 1)) und d₂ := d(mod(q – 1)) definiert. Dann werden
berechnet. Schließlich gilt m = CRT(m₁, m₂) := m₁ + p·{[(m₂ – m₁)·R](mod q)}, wobei R = p^–1(mod q).
Die letzte Gleichung der CRT-Implementierung, d. h. m = CRT(m₁, m₂), hat viele Varianten. Drei Beispiele für diese Varianten sind: CRT2(m1, m2) := (m1·R1·q + m2·R2·p)(mod p·q), wobei R1 ≡ q–1(mod p) und R2 ≡ p–1(mod q); CRT3(m1, m2) := {[(m1·R1)(mod p)]·q + [(m2·R2)(mod q)]·p]}(mod p·q), wobei wiederum R1 = q–1(mod p) und R2 ≡ p–1(mod q); und CRT4(m1, m2) := (q·{[(m1 – m2)·R4](mod p)} + m2)(mod p·q), wobei R4 = p–1(mod q).
Mit alternativen CRT-Implementierungen wird die modulare Exponentiationsberechnung auf eine Weise durchgeführt, die dazu dient, Kryptoanalyse abzuwehren, insbesondere im Zusammenhang mit Token (z. B. Smartcards), bei denen ein Angreifer Zugriff auf die Hardware hat, die die kryptografischen Berechnungen ausführt. Ein Angreifer kann nicht-invasive Messung und Zeitanalyse elektromagnetischer Emissionen, von Stromverbrauch und anderen zugänglichen Parametern einer Vorrichtung bei Berechnungsprozessen verwenden, um Informationen zu extrahieren, die bezüglich der privaten Schlüssel genutzt werden kann. Bei den alternativen Implementierungen werden normalerweise Pseudo-Zufalls-Variablen auf verschiedenen Stufen des kryptografischen Algorithmus verwendet, um die darunterliegenden mathematischen Operationen zu maskieren, ohne dabei das Endergebnis zu beeinflussen.
Beispielsweise werden bei CRT-Implementierungen modularer Exponentiation bei einigen Alternativen die Nachrichtenvariable m oder ihre CRT-Komponenten m₁ und m₂ transformiert, indem auf einer frühen Stufe bei dem Berechnungsprozess mit einem Zufallswert multipliziert wird und dann auf einer späteren Stufe die Nachrichtenvariable durch den gleichen Zufallswert oder durch einen davon hergeleiteten, damit zusammenhängenden Wert dividiert wird, um das wahre Ergebnis zu ermitteln. Bei anderen Alternativen kann/können der Exponent d des privaten Schlüssels oder seine CRT-Komponenten d₁ und d₂ transformiert werden, indem ein zufälliges Vielfaches von (p – 1) oder (q – 1) addiert wird, um ein weiteres (Zufalls-)Element der Kongruenzklasse für diese private Schlüsselkomponente zu ermitteln. Der Exponent d des privaten Schlüssels könnte gleichfalls unter Verwendung von Moduln, die entsprechende zufällige Vielfache von (p – 1) bzw. (q – 1) sind, auf transformierte CRT-Komponenten d₁' und d₂' reduziert werden. In all diesen Fallen werden die Ausführungen der Transformationen so gewählt, dass ein wahres Endergebnis ermittelt wird, während die Zwischenberechnungen willkürlich so variiert werden, dass Äquivalenzen bei Kongruenzarithmetik genutzt werden. Leider können viele dieser Alternativen recht komplex und rechenintensiv sein.
Das kryptografische Verfahren von Ausführungsformen der Erfindung kann, wie unter Bezugnahme auf 1 zu sehen ist, in einem breiten Spektrum digitaler Verarbeitungssysteme, Logikschaltungen oder elektronischer Hardware oder durch Ausführen eines äquivalenten Firmware- oder Softwareprogramms in einer Datenverarbeitungseinrichtung oder einem Computer implementiert werden. Rechenprozessor-Hardware gemäß Ausführungsformen der vorliegenden Erfindung kann ein Rechenwerk (arithmetic-logic unit – ALU) 10 oder eine ähnliche Rechenschaltung enthalten, die eine Hardware-Multipliziereinheit zum Ausführen numerischer Operationen, einschließlich modularer Exponentiation, von bereitgestellten Daten beinhaltet. Die ALU 10 hat im Allgemeinen Zugriff auf einen Speicher (RAM) 12 und verschiedene Arbeitsregister 14. Eine Operationsablaufsteuereinrichtung 16 umfasst Logikschaltung zum Steuern der ALU, einschließlich Datenübertragungsvorgängen zu und von dem Speicher 12 und den Registern 14 entsprechend Firmware- oder Software-Befehlen für die Gruppe von Operationen eines kryptografischen Algorithmus. Operationsablaufsteuereinrichtung 16 kann auf Operationsparameter in Form von Zeigern zugreifen, die in Registern 18 gespeichert sind und die Operationsablaufsteuereinrichtung 16 in die Lage versetzen, einen Operanden in dem RAM 12 aufzufinden, sowie auf andere Steuerinformationen sowie die Zieladressen von Zwischenergebnissen. Die Hardware kann des Weiteren eine Schaltung (20) eines Pseudozufallszahlgenerators (PRNG) enthalten, die Berechnungen durchführt und einen numerischen Zufallswert ausgibt. Auf diesen Zufallszahlgenerator 20 kann die ALU 10, durch die Operationsablaufsteuereinrichtung gemäß dem kryptografischen Algorithmus und insbesondere Schritten der modularen Exponentiation derselben angewiesen, zugreifen.
Wie unter Bezugnahme auf 2 zu sehen ist, beginnt eine beispielhafte CRT-basierte modulare Exponentiationsberechnung M := c^d(mod(p·q)) mit der oben beschriebenen Hardware und gemäß Ausführungsformen der vorliegenden Erfindung normalerweise, indem Werte {d, p, q} des privaten Schlüssels in einen Datenspeicher geladen werden, (Schritt 10) der für die Verarbeitungs-Hardware zugänglich ist, so beispielsweise in den RAM 12 in 1. Von dort können die Werte nach Bedarf in Arbeitsregister 14 zur Verwendung durch die ALU 10 übertragen werden. Ein Zufallszahlgenerator, wie beispielsweise die PRNG-Schaltung 20 in 1, erzeugt einen Zufallswert für den Transformationsfaktor s (Schritt 11), der dann verwendet wird, um die Modul-Werte p und q des privaten Schlüssels mittels Multiplikations-Transformationen in Zufallszahlen umzurechnen (Schritt 12): p' := p·s; q' := q·s.
Ein reziproker Wert R' := (p')^–1mod q wird von der Verarbeitungs-Hardware auf ähnliche Weise wie bei Berechnungen des Reziproken R := p^–1(mod q), die aus früheren Versionen von CRT-basierter modularer Exponentiation bekannt sind, berechnet (Schritt 14).
Diese transformierten Werte p' und q' und das Reziproke R' werden in späteren Schritten verwendet. Jede Entschlüsselungssitzung unter Verwendung der Werte {d, p, q} des privaten Schlüssels schließt einen anderen Zufallswert s und damit verschiedene in Zufallswerte umgerechnete Werte der Moduln p' und q' sowie des Reziproken R' ein, so dass kryptografische Operationen einschließlich der modularen Exponentiation vor Kryptanalysis geschützt sind. (Anmerkung: Der Zufallswert s muss koprim mit den Ursprungs-Moduln p und q sein, so dass ein Standard-Teilbarkeitstest auf Teilerfremdheit ein Teil des Zufallszahl-Erzeugungsschrittes 11 sein sollte, um jegliche ungeeigneten Zufallswerte auszusondern). Die Größe des Zufallswertes s kann, wenn gewünscht, innerhalb eines angegebenen Bereiches so ausgewählt werden, dass die Werte p', q', d₁ und d₂ im Wesentlichen die gleiche Größe haben.
Als Alternative dazu könnte der Transformationsfaktor s willkürlich aus einem endlichen Satz vorausgewählter fester Werte ausgewählt werden, statt ihn für jede Sitzung von Grund auf willkürlich zu erzeugen. Damit kann erhebliche Verarbeitungszeit eingespart werden, insbesondere, wenn auch p', q' und R' für jede mögliche Auswahl von s in dem Satz vorausberechnet werden. Wenn aus irgendeinem Grund unter bestimmten Umständen keine Bedenken hinsichtlich der kryptografischen Sicherheit bestehen, könnte die Auswahl von Faktor s und damit von p', q' und R' ein fester Wert sein.
CRT-Exponenten d₁ und d₂ werden aus dem Exponenten d des privaten Schlüssels auf die gleiche Weise berechnet (Schritt 14), wie sie von früheren Versionen CRT-basierter modularer Exponentiation bekannt ist, d. h. d1 := d(mod(p – 1)); d2 := d(mod(q – 1)).
Dieser Schritt könnte, wenn gewünscht, auf herkömmliche Weise auch vor der Umrechnung von p und q zu Zufallszahlen angeordnet werden, d. h. vor Schritt 12. Da die CRT-Exponenten d₁ und d₂ nur mit Werten, d, p und q des privaten Schlüssels direkt zusammenhängen, können sie im Voraus berechnet werden und anstelle des Exponenten d des privaten Schlüssels in Schritt 10 in den Hardware-Datenspeicher geladen werden, so dass Schritt 16 der Sitzungs-Berechnungen wegfällt.
Die Variable C für die modulare Exponentiation wird in Datenspeicher geladen (Schritt 18), auf den die Verarbeitungs-Hardware zugreifen kann, beispielsweise in den RAM 12 in 1. Von dort kann sie nach Bedarf in Arbeitsregister 14 zur Verwendung durch die ALU 10 übertragen werden, normalerweise in Blöcken einer bekannten Größe entsprechend einem kryptografischen Programm. Die Variable C stellt normalerweise eine Schlüsseltext-Nachricht dar, die entschlüsselt werden soll, könnte jedoch andere kryptografische Daten, wie beispielsweise eine digitale Signatur, darstellen. Wie bei der Berechnung der CRT-Exponenten d₁ und d₂ könnte der spezielle Platz in der Programmabfolge, an der dieser Schritt stattfindet, variieren, solange sie dann zur Verfügung stehen, wenn sie in Schritt 20 benötigt werden.
Die CRT-Schritte (Schritte 20 und 22) werden unter Verwendung der transformierten Moduln p' und q' und des transformierten Reziproken R' angewendet, um ein Zwischen-Nachrichtergebnis M' zu ermitteln. Das heißt, in Schritt 20 werden CRT-Nachrichtenkomponenten M₁' und M₂' durch die Verarbeitungs-Hardware auf ähnliche Weise berechnet, wie sie aus früheren CRT-basierten modularen Exponentiationsoperationen bekannt ist, wobei jedoch p' und q' als die Moduln anstelle der ursprünglichen Modul-Werte p und q des privaten Schlüssels verwendet werden. Das heißt
Dann wird das Zwischen-Nachrichtenergebnis durch die Verarbeitungs-Hardware aus den CRT-Nachrichtenkomponenten M₁' und M₂' unter Verwendung des Chinese-Remainder-Theorems M' berechnet (im Schritt 22): M' := M1' + p'·{[(M2' – M1')·R'](mod q')}.
Es ist zu bemerken, dass, da p' und q' für jede Entschlüsselungssitzung in Zufallszahlen umgerechnet werden, die Werte M₁', M₂' und M' desgleichen in jeder Sitzung in Zufallszahlen umgerechnet werden, Kryptoanalyse durch bekannte Text-Angriffe (beispielsweise wiederholte Verwendung eines bekannten Wertes C durch einen Angreifer) und andere krypto analytische Methoden, die sich möglicherweise auf das Abhören von durch Hardware emittierte Parameter (EM-Emissionen, zeitabhängiger Stromverbrauch usw.) stützen, abgewehrt wird. Die Berechnungen sind jedes Mal auf zufällige Weise anders, sind jedoch nicht viel rechenintensiver als die direkte Anwendung CRT-basierter modularer Exponentiation.
Das Zwischenergebnis M' ist ermittelt worden, indem eine angepasste CRT-Formel für CRT(M₁', M₂') angewendet worden ist. Andere alternative CRT-Formeln (wie die im Abschnitt ”Technischer Hintergrund” aufgeführten Beispiele) können statt dessen angewendet werden, wenn sie mit den entsprechenden Transformationen angepasst worden sind. Um eine ursprüngliche CRT-Gleichung zu transformieren, trifft als allgemeine Regel zu, dass stets p' := p·s und q' := q·s gelten. Für alle Teile der Gleichung, wie beispielsweise R₁ := q^–1(mod p) und R₂ := p^–1(mod q), werden R₁' := (q')^–1(mod p) und R₂' := (p')^–1(mod q) transformiert. Wenn p oder q als Multiplikationsfaktor in der Gleichung erscheint, ist es zu p' bzw. q' zu ändern. Wenn p oder q als ein Modul, d. h. (mod p) oder (mod q), auftritt, wird es zu (mod p') oder (mod q') geändert. Die CRT-Exponenten d₁ und d₂ sind beispielsweise immer d₁ := d(mod(p – 1)) und d₂ := d(mod q – 1). Die CRT-Nachrichtenkomponenten M₁' und M₂' werden jedoch gemäß einigen Ausführungsformen der Erfindung, wie oben beschrieben, stets unter Verwendung von p' und s' als Moduln transformiert. So ergibt sich für die drei beispielhaften Alternativen: M' = CRT2'(m1', m2') := (m1'·R1'·q' + m2'·R2'·p')(mod p'·q'), M' = CRT3'(m1', m2') := {[(m1'·R1')(mod p')]·q' + [(m2'·R2')(mod q')]·p'}(mod p'·q'), M' = CRT4'(m1', m2') := q'·{[(m1' – m2')·R4'(mod p')} + m2'.
Wenn das Zwischen-Nachrichtenergebnis M' ermittelt worden ist, kann es mit einer grundlegenden modularen Reduktionsoperation (Schritt 24) auf die abschließende Nachricht M reduziert werden: M := M'(mod(p·q)) := M'(mod n).
Diese abschließende Reduktion modulo p·q gilt für alle Varianten. Es ist zu bemerken, dass das Produkt p·q bereits als Teil der Schlüsselerzeugung berechnet worden ist und einfach der Modul n des öffentlichen Schlüssels ist, der für alle Seiten verfügbar ist. Daher muss es nicht neu berechnet werden, wenn n ebenfalls in den Datenspeicher geladen worden ist, der für den Hardware-Prozessor verfügbar ist, so beispielsweise in Verbindung mit dem vorangegangenen Schritt 10. Des Weiteren kann, da die Nutzung des Moduls n des öffentlichen Schlüssels nichts über die privaten Schlüssel offenlegt, die abschließende Reduktion ohne Zufalls-Transformationen berechnet werden und dennoch sicher gegenüber Kryptoanalyse sein. Die abschließende Nachricht M ist die gleiche, auch wenn p', q', M' usw. Zufallswerte sind, da bei Verwendung eines transformierten Moduls, der ein zufälliges Vielfaches s des ursprünglichen Moduls ist, Zwischenergebnisse erzeugt werden, die, obwohl sie zufällig sind, die gleiche Konkurrenzklasse wie diejenigen haben, die unter Verwendung nicht-transformierter Moduln ermittelt werden.
Schlussfolgerung
Ausführungsformen der vorliegenden Erfindung beziehen sich auf ein in Computer-Hardware implementiertes Kryptografieverfahren, bei dem CRT-implementierte modulare Operationen eingesetzt werden, bei denen ein Modul für die Berechnungen transformiert wird, um kyptoanalytische Beobachtungen von Zwischenergebnissen zu verhindern. Das heißt, für eine modulare Exponentiationsoperation, m = c^d(mod p·q) wird ein Transformationsfaktor s verwendet, um die. koprimen Faktoren p und q zu p' = s·p und q' = s·q zu transformieren. Die CRT-Schritte werden unter Verwendung der transformierten Moduln p' und q' angewendet. Nachdem ein Zwischenergebnis m' ermittelt worden ist, wird das Endergebnis m mit einer abschließenden Reduktion modulo p·q wiedergewonnen. Der Transformationsfaktor s kann ein Zufallswert sein, kann willkürlich aus einem endlichen Satz vorausgewählter fester Werte ausgewählt werden, oder könnte, wenn Sicherheit unter bestimmten Umständen keine Rolle spielt, auch ein fester Wert sein. Das Verfahren ist relativ einfach und weniger rechenaufwändig als viele andere Alternativen, ist jedoch dennoch im Wesentlichen sicher gegenüber Kryptoanalyse. Daher eignet es sich für den Einsatz in Smart-Cards und anderen kryptografischen Token-Anwendungen. Es kann mit jedem beliebigen kryptografischen Algorithmus eingesetzt werden, der sich auf modulare Exponentiation mit CRT-Implementierungen stützt.
Ausführungsformen des Verfahrens können als Kryptographieprogramm in Datenverarbeitungs-Hardware, wie beispielsweise einer Smart-Card oder einem anderen Token, implementiert werden, die eine kryptografische Prozessoreinheit, Datenspeicher, der für diese Prozessoreinheit zugänglich ist, und eine Pseudo-Zufallszahl-Erzeugungsschaltung umfasst, die den Zufallsfaktor bereitstellt.
Zusammenfassung
Kryptografisches Verfahren und System
Vorrichtungen, Systeme und Verfahren zum Durchführen von Kryptografie können in Funktion Werte eines privaten Schlüssels einschließlich wenigstens eines Exponenten des privaten Schlüssels und zweier Moduln des privaten Schlüssels in einen Datenspeicher laden, der für elektronische Verarbeitungs-Hardware zugänglich ist, und mit der elektronischen Verarbeitungs-Hardware einen Transformationsfaktor auswählen. Sie können mit der elektronischen Verarbeitungs-Hardware die Moduln des privaten Schlüssels mit dem Transformationsfaktor multiplizieren, um transformierte Moduln zu erzeugen, und einen ersten Datenwert einer Schlüsseltextnachricht zu jeder beliebigen Zeit vor Durchführen modularer Exponentiation in den Datenspeicher laden und mit der elektronischen Verarbeitungs-Hardware eine modulare Exponentiation des ersten Datenwertes unter Verwendung des wenigstens einen Exponenten des privaten Schlüssels und der transformierten Moduln durchführen, um einen Zwischen-Datenwert zu ermitteln. Sie können mit der elektronischen Verarbeitungs-Hardware den Zwischen-Datenwert modulo ein Produkt der zwei Moduln des privaten Schlüssels reduzieren, um einen End-Datenwert einer entschlüsselten Klartextnachricht zu ermitteln. Es werden zusätzliche Vorrichtungen, Systeme und Verfahren offenbart.

Claims

Kryptografisches Verfahren, das in einem elektronischen Verarbeitungssystem implementiert ist, wobei es umfasst: Laden von Werten eines privaten Schlüssels, einschließlich wenigstens eines Exponenten des privaten Schlüssels und zweier Moduln des privaten Schlüssels, in einen Datenspeicher, der für elektronische Verarbeitungs-Hardware zugänglich ist; Auswählen eines Transformationsfaktors durch die elektronische Verarbeitungs-Hardware; Multiplizieren der Moduln des privaten Schlüssels mit dem Transformationsfaktor durch die elektronische Verarbeitungs-Hardware, um transformierte Moduln zu erzeugen; Laden eines ersten Datenwertes einer Schlüsseltextnachricht in den Datenspeicher zu jeder beliebigen Zeit vor Durchführen modularer Exponentiation; Durchführen einer modularen Exponentiation des ersten Datenwertes unter Verwendung des wenigstens einen Exponenten des privaten Schlüssels und der transformierten Moduln mit der elektronischen Verarbeitungs-Hardware, um einen Zwischen-Datenwert zu ermitteln; und Reduzieren des Zwischen-Datenwertes modulo ein Produkt der zwei Moduln des privaten Schlüssels durch die elektronische Verarbeitungs-Hardware, um einen Abschluss-Datenwert einer entschlüsselten Klartextnachricht zu ermitteln.
Verfahren nach Anspruch 1, wobei der Transformationsfaktor ein in einer Zufallszahl-Erzeugungsschaltung für jede Ausführung des Verfahrens erzeugter anderer Zufallswert ist.
Verfahren nach Anspruch 1, wobei der Transformationsfaktor willkürlich aus einem endlichen Satz vorausgewählter fester Werte ausgewählt wird.
Verfahren nach Anspruch 1, wobei der ausgewählte Transformationsfaktor ein fester Wert ist.
Verfahren nach einem der Ansprüche 1–4, wobei Durchführen modularer Exponentiation unter Verwendung einer CRT-Berechnung (Chinese Remainder Theorem calculation) des Zwischen-Datenwertes ausgeführt wird.
Verfahren nach einem der Ansprüche 1–5, wobei ein Paar von CRT-Komponenten aus einem einzelnen Exponenten des privaten Schlüssels als Teil des Durchführens der modularen Exponentiation berechnet wird.
Verfahren nach einem der Ansprüche 1–5, wobei ein Paar von CRT-Exponenten aus einem einzelnen Exponenten des privaten Schlüssels vorausberechnet wird und das Paar von CRT-Exponenten als Exponenten des privaten Schlüssels in den Datenspeicher geladen wird.
Verfahren nach einem der Ansprüche 1–7, wobei das Produkt der zwei Moduln des privaten Schlüssels als ein Modul des öffentlichen Schlüssels vorausberechnet wird und der Modul des öffentlichen Schlüssels ebenfalls zur späteren Verwendung beim Reduzieren des Zwischen-Datenwertes in den Datenspeicher geladen wird.
Verfahren nach einem der Ansprüche 1–8, wobei die modulare Exponentiation in der elektronischen Verarbeitungs-Hardware als Teil eines Chiffrierprogramms ausgeführt wird.
Kryprografisches Verfahren, das in einem elektronischen Verarbeitungssystem zum Durchführen modularer Exponentiationsberechnungen implementiert ist, wobei es umfasst: Laden wenigstens eines Exponenten d eines privaten Schlüssels und zweier Moduln p und q des privaten Schlüssels in einen Datenspeicher, der für die elektronische Verarbeitungs-Hardware zugänglich ist; Auswählen eines Transformationsfaktor s durch die elektronische Verarbeitungs-Hardware; Multiplizieren der Moduln des privaten Schlüssels mit dem Transformationsfaktor durch die elektronische Verarbeitungs-Hardware, um transformierte Moduln p' := p·s und q' := q·s zu erzeugen; Berechnen eines reziproken Wertes R' := (p')^–1(mod q) durch die elektronische Verarbeitungs-Hardware; Laden eines ersten Datenwertes C in den Datenspeicher zu jeder beliebigen Zeit vor Durchführen von modularer Exponentiation; Durchführen einer modularen Exponentiation des ersten Datenwertes C unter Verwendung des wenigstens einen Exponenten d des privaten Schlüssels und der transformierten Moduln p' und q', um einen Zwischen-Datenwert M' zu ermitteln, wobei Durchführen modularer Exponentiation durch die elektronische Verarbeitungs-Hardware unter Verwendung einer CRT-Berechnung (Chinese Remainder Theorem calculation) des Zwischen-Datenwertes ausgeführt wird, die einschließt: (a) Berechnen von CRT-Exponenten d₁ := d(mod p – 1) und d₂ := d(mod q – 1), (b) Berechnen von CRT-Nachrichtenkomponenten
und
und (c) Berechnen eines Zwischen-Datenwertes M' aus den CRT-Nachrichtenkomponenten M₁' und M₂'; und Reduzieren des Zwischen-Datenwertes M' modulo ein Produkt der zwei Moduln des privaten Schlüssels n = p·q durch die elektronische Verarbeitungs-Hardware, um einen abschließenden Datenwert M := M'(mod n) zu ermitteln.
Verfahren nach Anspruch 10, wobei der Transformationsfaktor s ein für jede Ausführung des Verfahrens erzeugter anderer Zufallswert ist.
Verfahren nach Anspruch 10, wobei der Transformationsfaktor s willkürlich aus einer endlichen Gruppe vorausgewählter fester Werte ausgewählt wird.
Verfahren nach Anspruch 10, wobei der ausgewählte Transformationsfaktor s ein fester Wert ist.
Verfahren nach einem der Ansprüche 10–13, wobei die CRT-Exponenten aus dem Exponenten d des privaten Schlüssels vorausberechnet werden und als ein Paar Exponenten d₁ und d₂ des privaten Schlüssels in den Datenspeicher geladen werden.
Verfahren nach einem der Ansprüche 10–14, wobei M' := M1' + p'·{[(M2' – M1')·R'](mod q')} und R' := (p')–1(mod q).
Verfahren nach einem der Ansprüche 10–14, wobei M' := (m1'·R1'·q' + m2'·R2'·p')(mod p'·q'), R1' := (q')–1(mod p) und R2' := (p')–1(mod q).
Verfahren nach einem der Ansprüche 10–14, wobei M' := {[(m1'·R1')(mod p')]·q' + [(m2'·R2')(mod q')]·p'}(mod p'·q'), R1' := (q')–1(mod p) und R2' := (p')–1(mod q).
Verfahren nach einem der Ansprüche 10–14, wobei M' := q'·{[(m1' – m2')·R4'](mod p')} + m2' und R4' := (p')–1(mod q).
Verfahren nach einem der Ansprüche 10–18, wobei das Produkt n = p·q vorausberechnet wird und zur späteren Verwendung während des Reduzierens des Zwischen-Datenwertes in den Datenspeicher geladen wird.
Verfahren nach einem der Ansprüche 10–19, wobei der erste Datenwert eine Schlüsseltext-Nachricht darstellt, die modulare Exponentiation in der elektronischen Verarbeitungs-Hardware als Teil eines Chiffrierprogramms ausgeführt wird und der abschließende Datenwert eine entschlüsselte Klartextnachricht darstellt.