DE19515011A1 - Verfahren zur Verschlüsselung einer Folge von Symbolen - Google Patents

Description

Die breite Anwendung moderner Verfahren der digitalen Kommunikation über Datennetze setzt wirksame und gleichzeitig praktikable Verfahren zur Verschlüsselung (Kryptoverfahren) der zu übertragenen Daten voraus, um diese gegen Angriffe, wie z. B. Einsichtnahme oder Manipulation durch Unberechtigte zu schützen. Dabei wird einem Klartext m mit Hilfe eines Schlüssels k und einer Verschlüsselungsfunktion F ein Geheimtext c=F(k, m) zugeordnet. Aus diesem Geheimtext c kann mit akzeptablem Aufwand nur bei Kenntnis eines Schlüssels k′ und der Entschlüsselungsfunktion F′ gemäß der Vorschrift m=F′(k′, c) der Klartext m zurückgewonnen werden.

Ein Kryptoverfahren sollte möglichst sicher gegen Angriffe durch Unberechtigte und gleichzeitig möglichst einfach durchzuführen sein. Insbesondere sollte die Schlüssellänge bei größtmöglicher Sicherheit möglichst klein sein, um die Verteilung der Schlüssel nicht unnötig zu erschweren. Für bekannte, praktikable Kryptoverfahren wird eine ausreichende Sicherheit vermutet, wenn die Schlüssellänge ausreichend groß ist [ANSI81]. Da diese Kryptoverfahren meist auf undurchschaubaren Rechenvorschriften oder zur Zeit noch ungelösten mathematischen Problemen beruhen, können über ihre Sicherheit keine beweisbaren Aussagen gemacht werden. Deshalb wird bei diesen bekannten Kryptoverfahren die Schlüssellänge häufig nach Maßgabe von Vermutungen recht groß gewählt, um die Wahrscheinlichkeit eines erfolgreichen Angriffs hinreichend klein zu machen.

Ferner sollte die Länge des Geheimtextes nach Möglichkeit nicht viel größer sein als die Länge des Klartextes, weil sonst die Übertragung des Geheimtextes mit einem viel höherem Aufwand (Zeit und/oder Kosten) verbunden wäre als die Übertragung des Klartextes. Schließlich sollte die Rechenzeit für die Verschlüsselung und auch für die Entschlüsselung durch den Besitzer des Schlüssels möglichst klein sein.

Mit der vorliegenden Erfindung soll ein Kryptoverfahren angegeben werden, welches den vorstehenden Anforderungen genügt, insbesondere die Verschlüsselung eines Klartextes mit Schlüsseln minimaler Schlüssellänge erlaubt. Ein derartiges Kryptoverfahren wird durch den Patentanspruch 1 angegeben. Dieses erfindungsgemäße Kryptoverfahren verwendet zur Verschlüsselung dieselbe Funktion wie zur Entschlüsselung (F=F′) und ist symmetrisch, d. h. F(k, (F(k, m))=m. Das Verfahren ist praktisch nicht expandierend, d. h. der Geheimtext ist im wesentlichen von der gleichen Länge wie der Klartext. Es ist unschwer mit Hilfe elektronischer Datenverarbeitungssysteme durchzuführen und perfekt in dem Sinne, daß die Wahrscheinlichkeit für das erfolgreiche Entschlüsseln ohne Kenntnis des richtigen Schlüssels umgekehrt proportional zur Zahl der möglichen Schlüssel ist.

Das erfindungsgemäße Kryptosystem hat gegenüber bekannten Kryptoverfahren den Vorteil gleichzeitig die Eigenschaften der Perfektheit im Sinne von Shannon und der Vollständigkeit nach Kam und Davida zu erfüllen.

Im folgenden wird die Erfindung anhand bevorzugter Ausführungsbeispiele näher beschrieben.

Das erfindungsgemäße Verfahren basiert auf der Geometrie der Minkowski-Ebene. Die Geometrie der Minkowski-Ebene gehört zu den Kreisgeometrien [Be 73] [Ka 90], wie auch die der Möbius- bzw. der Laguerre-Ebene. Ein Kryptoverfahren auf der Grundlage der Geometrie der Möbius-Ebene wird in der Deutschen Patentanmeldung DE 1 95 10 251.7 beschrieben, deren Offenbarung hiermit zum Bestandteil der vorliegenden Patentanmeldung wird. Beispiele für Minkowski-Ebenen liefern Hyperboloide in einem 3-dimensionalen projektiven Raum P über einem kommutativen Körper K. Im Gegensatz zum Kreiszylinder (Laguerre-Ebene) enthält ein Hyperboloid zwei voneinander verschiedene Geradenscharen, die in zwei Klassen von Erzeugenden G₁ und G₂ aufgeteilt werden. Zwei voneinander verschiedene Erzeugende E₁, E₂∈G₁∪G₂ haben dann keinen gemeinsamen Schnittpunkt, wenn sie derselben Klasse G _i, i=1, 2, angehören und sie haben genau einen gemeinsamen Schnittpunkt, wenn sie Elemente verschiedener Erzeugendenklassen sind. Die Erzeugende E_i∈G _i, i=1, 2, die den Punkt p enthält, wird mit [p]_i bezeichnet. Zwei Punkte p₁ und p₂ der Minkowski-Ebene heißen verbindbar, wenn [p₁]_i≠[p₂]_i für i=1, 2 gilt, ansonsten werden sie als parallel bezeichnet. Die Menge der Zykel K der Minkowski-Ebene ergibt sich aus den Schnittgebilden des Hyperboloids mit den Ebenen des 3- dimensionalen projektiven Raums P, die keine Tangentialebenen von H sind.

Wahl geeigneter Parameter für die Minkowski-Chiffre

Für die analytische Darstellung der Minkowski-Ebene sind affine Ebenen über kommutativen Körpern K geeignet. Insbesondere können endliche Körper und damit auch Primärkörper verwendet werden. Die Erzeugenden der Minkowski-Ebene werden dann durch die Parallelen zur x- und y-Achse dargestellt. Ein Zykel K der Minkowski-Ebene im "Eigentlichen" läßt sich dann als die Punktmenge

K: = {(x, y) ∈ K²|(x-a)(y-b) = c, a, b, c ∈ K}

darstellen.

Zur Realisierung der Minkowski-Chiffre sind weiterhin geeignete Blocklängen k und n für die Klar- und Geheimtextblöcke zu bestimmen. In diesem Zusammenhang werden hier folgende Schranken festgelegt:

Die Parameter p, k, n werden hier so gewählt, daß p die Bedingung B6 maximiert und, daß k in dem Intervall 56k64 liegt. Die folgende Tabelle faßt in diesem Sinn geeignete Parameter zusammen.

Tabelle 1

Primzahlen für Minkowski-Chiffre

Umformen von Binärdaten in Punkte der Minkowski-Ebene

Es sei eine Folge von Binärzeichen a:= . . . a₁a₀ gegeben. Je 3k aufeinander folgende Binärzeichen von a werden als ein Block von Binärzeichen aufgefaßt. Enthält die Eingabefolge a kein ganzzahliges Vielfaches von 3k Binärzeichen, so ist der letzte Block z. B. mit Nullen aufzufüllen. Ein Block von 3k Binärzeichen wird auf drei paarweise nich parallele Punkte der Minkowski-Ebene abgebildet. Dabei werden jedem der drei Bildpunkte genau k aufeinander folgende Zeichen von a zugeordnet.

Um aus der Binärfolge a_jk+k-1 . . . a_jk+1a_jk+0 einen Punkt der Minkowski- Ebene zu erhalten, kann man sie als Element des Restklassenrings

interpretieren. Hier steht [q] für die größte ganze Zahl, die kleiner als die rationale Zahl q ist. Der Binärfolge a_jk+k-1 . . . a_jk+1a_jk+0 entspricht injektiv die natürliche Zahl

Die Zahlen

lassen sich mittels der injektiven Abbildung α eindeutig auf Punkte der affinen Ebene über dem Restklassenring

abbilden:

Anschließend werden die Punkte α(b_j) in die Minkowski-Ebene über dem Körper Z _p abgebildet. Dazu werden die Vektoren

als Vektoren in Z _p² aufgefaßt und fortlaufend addiert. Außerdem wird zu jedem Summanden der Vektor () addiert. Damit ist gewährleistet, daß drei aufeinander folgende Klartextpunkte stets eindeutig einen Zykel aus festlegen. Man erhält eine Folge von Vektoren m_j∈Z _p², mit

wobei m₀:=α(b₀) gesetzt wird. Da k entsprechend (B5) gewählt wurde, ist sichergestellt, daß m_j, m_j+1, m_j+2 drei paarweise nicht parallele Punkte der Minkowski-Ebene sind.

Verschlüsselung

In (H, G₁∪G₂, ) sei ein Punkt ∞ ausgezeichnet. Dann betrachten wir die Ableitung in diesem Punkt:

Dann ist (H ^∞, G₁^∞ G₂^∞∪ ^∞) eine affine Ebene und für a, b∈H ^∞ mit a≠ bezeichnet die eindeutig bestimmte Verbindungsgerade.

Die Klartext- und die Geheimtextmenge des Chiffriersystems werden mit der Menge der Punktetripel aus H ^∞ identifiziert. In einem Verschlüsselungsschritt wird eine Element der Klartextmenge herausgegriffen. Aufgrund des oben beschriebenen Abbildungsverfahrens ist sichergestellt, daß diese drei Klartextpunkte eindeutig einen Zykel K aus festlegen. Einer dieser drei Klartextpunkte, hier der Punkt m wird verschlüsselt, indem eine Gerade L durch diesen Punkt und einem Schlüsselpunkt k gelegt wird. Diese Gerade schneidet den Zykel K in einem weiteren Punkt, der als zugehöriger Geheimtextpunkt verwendet wird. Berührt die Gerade L den Zykel K im Klartextpunkt, so ist der Geheimtextpunkt gleich dem Klartextpunkt. Im Fall der Minkowski-Ebene kann weiterhin der Fall auftreten, daß ein zu verschlüsselnder Klartextpunkt m und der zu verwendende Schhlüsselpunkt k parallel sind. In diesem Fall sind die beiden Punkte nicht verbindbar, d. h. es gibt keinen Zykel (und insbesondere auch keine Gerade) der Minkowski-Ebene durch diese beiden Punkte. Abhilfe schafft hier folgende Konstruktion: Unter der Annahme, daß [m]₁=[k]₁ gilt, kann man den zu m gehörenden Geheimtext c mit c:=K∩[k]₂ definieren. In der Minkowski-Geometrie gibt es stets so einen Schnittpunkt. Schließlich kann noch der Fall auftreten, daß der Zykel K eine Gerade ist, die drei Klartextpunkte also kollinear sind. Dann berechnet sich der zu dem Klartextpunkt m gehörige Geheimtextpunkte c wie folgt: Durch den Schlüsselpunkt k wird eine zu K affin-parallele Gerade L′ definiert, L′:=k+λ(m₁-m₀) mit λ∈K und zwei Punkten m₀, m₁ aus der Menge der drei gegebenen Klartextpunkte. Mit Hilfe der Geraden L′ wird ein Punkt k′ konstruiert, k′:=[m]¹∩L′. Den Geheimtextpunkt c erhält man dann mit c:=[k′]₂∩K.

Bei er Verschlüsselung ist darauf zu achten, daß ein verwendeter Schlüsselpunkt k nicht mit dem durch die drei Klartextpunkte festgelegten Zykel K der Minkowski-Ebene inzidiert. Sei

die Koordinatendarstellung von k. Gilt k∈K, so wird zur Verschlüsselung statt k der Punkt mit der Koordinatendarstellung

verwendet. Die Menge der erlaubten Schlüsselpunkte ist dahingehend einzuschränken, daß stets k₂≠0 gilt.

Verschlüsselung von 3 Klartextpunkten

An dieser Stelle werden die notwendigen Rechenoperationen für die Verschlüsselung eines, durch drei Punkte der Minkowski- Ebene gegebenen Klartexts angeben. Dazu sei (H, G₁∪G₂, ) die über dem kommutativen Körper K gegebene Minkowski-Ebene. Sei weiter das Punktetripel (m₀, m₁, m₂) als Klartext gegeben. Dabei seien die Punkte m_i durch ihre Koordinaten (m_i1, m_i2)∈K², i∈{0, 1, 2}, gegeben. Nach Voraussetzung gilt m_i1≠m_j1 und m_i2≠m_j2 für i, j∈{0, 1, 2} mit i≠j. Durch diese Punkte ist eindeutig ein Zykel K der Minkowski-Ebene festgelegt.

Sind die drei Klartextpunkte m₀, m₁, m₂ nicht kollinear, so sind zur Berechnung des zweiten Schnittpunkts der Zykel K und L folgende Operationen notwendig:

Die für die Verschlüsselung des Punkts m_i, mit i∈{0, 1, 2} verwendete Gerade ist durch die Punkte m_i und k festgelegt. Wir wollen hier den Fall betrachten, daß m_i1≠k₁ gilt. Dann sind weiterhin die folgenden Berechnungen durchzuführen:

Der zu dem Klartextpunkt m_i gehörige Geheimtextpunkt c_i ist dann als der zweite Schnittpunkt von K und L gegeben. Wir wollen zunächst den Fall betrachten, daß L keine Erzeugende ist, d. h. daß ρ≠0 gilt. Der gesuchte Schnittpunkt c_i von K und L ergibt sich dann zu:

Wir betrachten noch den zweiten Fall, daß L= eine Erzeugende ist. Sei ρ=0, also m_i2=k₂ und damit

y = σ = m_i2

die bestimmende Gleichung von L. Der zu m_i gehörige Geheimtext c_i berechnet sich dann als der Punkt des Zykels K, der die x-Koordinate c_i1=k₁ hat. für die y-Koordinate gilt dann

Die Formeln für den Fall m_i1=k₁ lassen sich ganz entsprechend darstellen.

Für den Fall, daß die Klartextpunkte m₀, m₁, m₂ kollinear sind, können die zugehörigen Geheimtextpunkte mit einfachen Mitteln der linearen Algebra entsprechend der in dem Abschnitt "Verschlüsselung" gemachten Bemerkungen berechnet werden.

Die Geheimtextpunkte werden mittels der Abbildung (α′)^-1 in Elemente des Restklassenrings Z _p² umgeformt:

Die so erhaltenen Zahlen können als Binärstrings der Länge n (evtl. mit führenden Nullen) dargestellt und anschließend entsprechend der Bearbeitungsreihenfolge zu dem Ausgabestring zusammengesetzt werden.

Entschlüsselung

Ein mit Hilfe der Minkowski-Chiffre über dem Grundkörper Z _p und mit der Blocklänge k erzeugter Geheimtext sei als Folge von Binärzeichen d:= . . .d₁d₀ gegeben. Zur Entschlüsselung wird dieser Text in Blöcke der Länge 3 (k+4) aufgeteilt. Wegen Bedingung (B6) können diese Binärblöcke als je drei Elemente des Restklassenrings Z _p² aufgefaßt werdene. Diese Zahlen werden unter Zuhilfenahme der folgenden Abbildung wieder als Punkte der Minkowski-Ebene über dem Körper Z _p aufgefaßt:

Unter Verwendung der Schlüsselmenge wird der Geheimtext dann entschlüsselt. Dazu werden wie bei der Verschlüsselung jeweils drei aufeinander folgende Geheimtextpunkte in einem Bearbeitungsschritt behandelt. Auch hier wird wieder für den Fall, daß ein Schlüssel

mit dem durch die drei Geheimtextpunkte festgelegten Zykel K inzidiert, mit dem konjugierten Punkt

gearbeitet. Für die Entschlüsselung können wieder die Formel (2)-(4) verwendet werden, wobei m_i mit c_i zu vertauschen ist. Konkret ergeben sich folgende Formeln:

Falls c_i1=k₁ ist, sind statt (3′) und (4′) folgende Gleichungen zu verwenden:

Der Fall c_i2=k ist analog zu behandeln. In dem Fall, daß die Geheimtextpunkte kollinear sind, ist nach folgendem Schema zu entschlüsseln: L′:=k+λ(c₁-c₀), mit λ∈K und zwei Punkten c₀, c₁ aus der Menge der drei gegebenen Geheimtextpunkte. k′:=[c_i]₂∩L′ und schließlich m_i:=[k′]₁∩K, mit i∈{0, 1, 2}. Da bei der Verschlüsselung zu den Klartextpunkten der Vektor () addiert wurde und weiterhin die Klartextpunkte fortlaufend addiert wurden, ist an dieser Stelle noch folgende Operation auszuführen:

Die resultierenden Punkte werden mitr (α′)^-1 in Z _p² transformiert.

Stellt man die Zahlen (α′)^-1(s_j), j∈{0, 1, 2, . . .) als Binärfolgen der Länge k (evtl. mit führenden Nullen) dar und setzt diese Binärblocke in ihrer vorgegebenen Reihenfolge zusammen, so erhält man wieder den Klartext.

Einfaches Zahlenbeispiel

Zur Veranschaulichung wird der Binärstring a=101001100_binär mit Hilfe der Minkowski-Chiffre mit den Parametern k=3, p=11, n=7 verschlüsselt. Im ersten Schritt wird a in Blöcke der Länge 3 unterteilt:

b₀:=100_binär=4,
b₁:=001_binär=1,
b₂:=101_binär=5.

Diese Zahlen werden mittels der Abbildung α auf Punkte der affinen Ebene über dem Ring Z₃ abgebildet:

Daraus erhält man nach dem oben beschriebenen Vorgehen folgende Klartextpunkte in der Minkowski-Ebene über dem Körper Z₁₁:

Als Schlüssel zur Verschlüsselung dieser drei Punkte wird jeweils der Punkt k = () ∈Z₁₁ verwendet. Das widerspricht zwar der im Abschnitt "Verschlüsselung" gemachten Forderung, daß k₂≠0 gelten soll, ist hier jedoch unerheblich, da k nicht auf dem durch die Punkte m₀, m₁, m₂ festgelegten Zykel liegt.

Für die Verschlüsselung der drei Klartextpunkt werden folgende Werte benötigt:

Es folgt die Verschlüsselung von m₀ = ():

Für den zugehörigen Geheimtextpunkt ergibt sich damit:

Es folgt die Verschlüsselung von m₁ = ():

Für den zugehörigen Geheimtextpunkt ergibt sich damit:

Es folgt die Verschlüsselung von m₂ = ():

Für den zugehörigen Geheimtextpunkt ergibt sich damit:

Die Darstellung des Chiffrats als Binärform hat folgendes Aussehen:

d₀=11+1=12=0001100_binär
d₁=44+6=50=0101000_binär
d₂=22+3=25=0011001_binär
⇒d=001100101010000001100_binär

Zur Entschlüsselung wird der Binärstring d in 3 Blöcke der Länge 7 unterteilt. Diese Binärzeichenblöcke werden mit Hilfe der Abbildung α′ als Punkte der Minkowski-Ebene über dem Körper Z₁₁ aufgefaßt. Man erhält dabei wieder die Punkte c₀, c₁, c₂. Einsetzen von c₀, c₁, c₂ in die Formeln (2′) ergibt:

Für die Entschlüsselung von c₀ berechnet man weiter:

Also m₀ = ().

Entschlüsselung von c₁:

Entschlüsselung von c₂:

Weiter berechnet man:

Setzt man die resultierenden Binärstrings zusammen, so erhält man den ursprünglichen Klartext.

In der vorliegenden Patentanmeldung wurden die folgenden Veröffentlichungen zitiert:
[ANSI81] American National Standards Institute, Data Encryption Standard, X3.92, 1981;
[Be 73] W. Benz, "Vorlesungen über Geometrie der Algebren", Springer-Verlag, Berlin, Heidelberg, New York, 1973;
[Ka 90] H. Karzel, "Circle geometrie and ist application to code theory", in G. Longo, M. Marchi, A. Sgarro (Hrsg.), "Geometric Codes and Cryptography", Springer-Verlag, Wien, New York, 1990.

Claims (1)

1. Verfahren zur Verschlüsselung einer Folge von Symbolen mit folgenden Schritten:

   • a) die Symbolfolge wird als eine erste Folge von Binärzeichen, die auch als Klartextfolge bezeichnet wird, in einer Speichereinrichtung eines Datenverarbeitungssystems repräsentiert und in Blöcke mit je 3k Binärzeichen unterteilt; diese Folge von Binärzeichen wird gegebenenfalls um eine Folge von Füllzeichen ergänzt, damit diese Unterteilung ohne Rest möglich ist;
   • b) jeder Block von 3k Binärzeichen wird daraufhin auf drei paarweise nicht parallele Punkte einer Minkowski-Ebene, die Klartextpunkte, abgebildet; dabei werden jedem der drei Bildpunkte genau k aufeinander folgende Zeichen der Binärzeichenfolge zugeordnet; diese drei Punkte legen eindeutig einen Zykel K der Minkowski-Ebene fest;
   • c) in einem Verschlüsselungsschritt wird jeweils einer dieser drei Klartextpunkte verschlüsselt, indem eine Gerade L durch diesen Punkt einen Schlüsselpunkt gelegt wird; diese Gerade schneidet den Zykel K in einem weiteren Punkt, der als zugehöriger Geheimtextpunkt verwendet wiird;
   • d) den so erhaltenen Geheimtextpunkten wird schließlich jeweils ein Geheimtext, also eine zweite Binärfolge, zugeordnet, der die Ausgabe des Verschlüsselungsverfahrens bildet.