DE19720249A1

DE19720249A1 - Digitales Unterschriftenprotokoll mit verringerter Bandbreite

Info

Publication number: DE19720249A1
Application number: DE19720249A
Authority: DE
Inventors: Scott A Vanstone; Minghua Qu
Original assignee: Certicom Corp
Current assignee: Certicom Corp
Priority date: 1996-05-15
Filing date: 1997-05-15
Publication date: 1997-11-20
Also published as: FR2793366A1; FR2748877B1; FR2748877A1; GB9610154D0; FR2793366B1; GB2313272B; CA2205310C; US6097813A; CA2205310A1; GB2313272A; GB9709816D0

Description

Eine digitale Unterschrift ist eine Information, die eine Nachricht mit dem Ersteller verbindet. Bei digitalen Un terschriftsalgorithmen (bzw. der Unterschriftserstellung) han delt es sich um Verfahren zum Bilden einer Unterschrift. Verifikationsalgorithmen sind Verfahren zum Prüfen oder Veri fizieren der Echtheit einer Unterschrift. Ein digitales Unter schriftsverfahren bzw. ein digitaler Unterschriftsmechanismus besteht aus einem Unterschriftserstellungsalgorithmus und einem Unterschriftsverifikationsalgorithmus. Wenn der Verifi kationsalgorithmus die Nachricht als Eingangssignal erfordert, wird die digitale Unterschrift als digitale Unterschrift mit Anhang bezeichnet. Falls er die Nachricht nicht erfordert, wird sie als digitale Unterschrift mit Nachrichtenwiedergewinnung bezeichnet.

Das am besten bekannte Beispiel für ein digitales Un terschriftsverfahren findet sich in dem RSA-public-key-Krypto system. Dies liefert eine digitale Unterschrift mit Nachrichtenwiedergewinnung. In jüngster Zeit haben Nyberg und Rueppel gezeigt, daß die Klasse digitaler Unterschriften, die gemeinhin als El-Gamal-ähnliches Verfahren bezeichnet wird, so modifiziert werden kann, daß sie die Eigenschaft der Nachrichtenwiedergewinnung erhält.

Einer der Nachteile aller bekannten digitalen Unter schriftenverfahren mit Nachrichtenwiedergewinnung besteht darin, daß die Nachricht ausreichend Redundanz aufweisen muß, um einen existentiellen Fälschungsangriff zu vermeiden. So handelt es sich beispielsweise bei ISO/IEC 9796 um eine internationale Norm, deren Zweck darin besteht, vorzuschreiben, wie Nachrichten gebildet werden müssen, bevor sie durch das RSA-Verfahren unterzeichnet werden. Dabei kann es sich bei höchstens der Hälfte der Bit in den Nachrichten um Informationsbit handeln, der Rest ist für die Redundanz reserviert. Zur Verarbeitung der Nachrichten ist infolgedessen eine gesteigerte Bandbreite erforderlich.

Eine Aufgabe der vorliegenden Erfindung besteht darin, ein Unterschriftsverfahren bereitzustellen, bei dem die erfor derliche Redundanz reduziert ist.

Allgemein ausgedrückt liefert die vorliegende Erfindung eine Unterschriftskomponente für eine Nachricht, die eine Mischsumme der Nachricht verwendet. Die Nachricht wird mathematisch mit dem privaten Schlüssel des Unterzeichners verknüpft und kann so unter Verwendung des öffentlichen Schlüssels (public key) des Unterzeichners wiedergewonnen wer den. Der Empfänger empfängt die Mischsumme der Nachricht und kann sie mit der entsprechenden Mischsumme der wiedergewonnenen Nachricht vergleichen, um die Unterschrift auf ihre Echtheit hin zu überprüfen.

Die vorliegende Erfindung liefert insbesondere ein Verfahren zur Authentifizierung einer Unterschrift einer Nachricht m, das folgende Schritte umfaßt:

(i) Bestimmen einer Mischsumme h(m) der Nachricht durch Anwendung einer Haschfunktion und Ableiten einer ersten Unterschriftskomponente daraus,
(ii) Berechnen einer mathematisch mit der Mischsumme der Nachricht verwandten Funktion;
(iii) Anwenden der Funktion auf die Nachricht, um eine an den Unterzeichner gebundene zweite Un terschrift zu erhalten;
(iv) Übermitteln der Unterschriftskomponenten an einen Empfänger;
(v) Wiedergewinnen einer Nachricht m′ aus der zweiten Komponente;
(vi) Berechnen eines Mischsummenwerts von m′ durch Anwenden der Haschfunktion; und
(vii) Bestimmen, ob der Mischsummenwert von m′ und die in der ersten Unterschriftskomponente ent haltene Mischsumme h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.

Derartige neue Klassen von digitalen Unterschriften stellen Nachrichtenwiedergewinnung bereit und weisen das neuartige Merkmal auf, daß in der zu unterzeichnenden Nachricht nur minimale Redundanz erforderlich ist. In einigen Situationen könnte die Einsparung an Bandbreite sehr nützlich sein. Bei einer verläßlichen dritten Partei (TTP - trusted third party) beispielsweise, die Bescheinigungen für Instanzen in einem Netz erstellt, sind die Anforderungen hinsichtlich Bandbreite ein richtiger Gesichtspunkt. Eine TTP, die ein RSA-Verfahren mit einer Modulgröße von 1024 Bit verwendet, um Nachrichten in der Größenordnung von 1000 Bit zu unterzeichnen, erfordert eine Bandbreite von mehr als 2000 Bit. Eine unten beschriebene Ausführungsform liefert ein Verfahren, das über diese Nachrichtengröße hinaus lediglich eine kleine Anzahl von Bit erfordern würde.

Ausführungsformen der Erfindung werden nun lediglich beispielhaft und unter Bezugnahme auf die beigefügten Zeichnungen beschrieben. Es zeigen:

Fig. 1 eine schematische Darstellung eines Datenkom munikationssystems.

Nunmehr unter Bezugnahme auf Fig. 1 tauscht ein Paar von Korrespondenten 10, 12, die als Korrespondent A und Kor respondent B bezeichnet sind, über einen Kommunikationskanal 14 Informationen aus. Zwischen jedem der Korrespondenten 10, 12 und dem Kanal 14 ist eine kryptographische Einheit 16, 18 angeordnet. Jede der kryptographischen Einheiten 16, 18 kann eine zwischen jeder Einheit 16, 18 und ihrem jeweiligen Kor respondenten 10, 12 geführte Nachricht aufnehmen und eine Un terschrift erzeugen, die mit der Nachricht und dem Korrespon denten verbunden ist und auf dem Kanal 14 geführt wird. Je nach den zu Grunde liegenden eingesetzten kryptographischen Grundlagen kann die Unterschrift auf vielfältige Weise erzeugt werden.

1. Verfahren auf der Grundlage der Faktorisierung von ganzen Zahlen

Es seien p und q Primzahlen und n = pq derart, daß sas Problem der Faktorisierung ganzer Zahlen für n schwer zu lösen ist. Das zu beschreibende Verfahren erfordert eine kryptographische Einweg-Haschfunktion h, die Bitketten willkürlicher Länge auf die Bitkette der Länge t abbildet. In der Regel beträgt t 64 oder 128 Bit. Die zu unterzeichnende Nachricht kann man sich als ganze Zahlen in Z_n vorstellen.

Algorithmus 1. Unterschriftserzeugung

Die Instanz A besitzt den öffentlichen Schlüssel n und den privaten Schlüssel (private key) 1(n) = kgV(p-1, q-1). Um eine Nachricht m ∈ Z*_n zu unterzeichnen, führt die Instanz A folgendes aus:

a) Behandeln von m als Bitkette und Berechnen des Misch summenwerts e_m = h(m).
b) Verwenden des erweiterten euklidschen Algorithmus, um eine ganze Zahl dm derart zu berechnen, daß d_me_m = ein = 1 (modλ(n) ist, wobei die Bitkette e_m nunmehr als die binäre Darstellung einer ganzen Zahl betrachtet wird.
c) Berechnen von s_m = m^dm (mod n).
d) Die Unterschrift für die Nachricht m ist (s_m, e_m).

Algorithmus 2. Unterschriftsverifikation

Eine Instanz B kann die Unterschrift (s_m, e_m) veri fizieren, indem sie folgendes ausführt:

a) Nachschlagen des öffentlichen Schlüssels n der Instanz A.
b) Berechnen von m′ = S (mod) n
c) Verifizieren, daß h(m′) = e_m.
d) Falls der Verifikationsprozeß in (c) erfolgreich ver laufen ist, so ist m′ die wiedergewonnene Nachricht.

Damit der Unterschriftsalgorithmus funktioniert, muß gelten, daß das ggT (e_m,λ(n)) = 1. Dies kann durch die folgende einfache Modifizierung gewährleistet werden. Es sei c eine Kette aus 1 Bit. Anstatt h(m) zu verwenden, wird e_m = h(m) | | c verwendet, wobei | | eine Verkettung bedeutet und c so gewählt wird, daß die durch e_m dargestellte ganze Zahl bezüglich λ(n) unzerlegbar ist (d. h., ggT (e_m,λ(n)) = 1). Eine bevorzugte Art und Weise, wie dies geschehen kann, würde darin bestehen, die Primzahlen p und q so zu wählen, daß p-1 und q-1 keine kleinen ungeraden Primfaktoren aufweisen und c als Bit 1 gewählt ist (d. h. l = 1). Es folgt dann daraus, daß e_m = h(m) | | c ungerade ist und daß die Wahrscheinlichkeit dafür, daß ggT (e_m,λ(n)) = 1 ist, mehr hoch liegt. Bei dem Verifikationsalgorithmus in Schritt (c), anstatt zu verifizieren, daß falls h(m′) = e_m ist, verifiziert B, daß h(m′) gleich den ersten t Bit von e_m ist.

Die Unterschrift für die Nachricht in enthält (t + log₂ n) Bit, bzw. (t + 1 + log₂ n) Bit, falls die oben beschriebene Modifikation verwendet wird.

Der Unterschriftsmechanismus weist nicht die Homomor phismuseigenschaft der RSA-Unterschrift auf, da, wenn zwei Nachrichten m und m′ den gleichen Mischsummenwert aufweisen, das Produkt aus in und m′ möglicherweise nicht den gleichen Mischsummenwert aufweist. Existentielle Fälschung durch Multi plizieren von Unterschriften wird somit im allgemeinen nicht funktionieren, da die Wahrscheinlichkeit für h(m) = h(m′) = h(mm′) gering ist.

Die Wahrscheinlichkeit, daß ein Unterschriftsfälscher ein Paar (s_m, e_m), was eine Unterschrift für einen beliebigen Wert von m ist, erraten kann, liegt bei 1/2^t. Die Unterschriftserstellung bei dem neuen Verfahren erfordert lediglich geringfügig mehr Arbeit (Anwendung des euklidschen Algorithmus und der Haschfunktion) als bei einer RSA- Unterschriftserstellung am gleichen Modul. Die Unterschriftsverifikation erfordert mehr Arbeit (aber nicht signifikant mehr) als eine RSA-Verifikation, vorausgesetzt, der öffentliche Exponent von RSA ist klein, ansonsten ist das neue Verfahren überlegen.

Eine weitere Modifikation des Verfahrens der Fak torisierung ganzer Zahlen ist eine Modifikation des RSA-Unter schriftsverfahrens. Die Instanz A habe den öffentlichen Schlüssel n, e und den privaten Schlüssel d, wobei ed≡1 (mod n).

Algorithmus 3. Unterschriftserstellung

Um eine Nachricht m zu unterzeichnen, muß die Instanz A folgendes ausführen:

(a) Behandeln von m als eine Bitkette und Berechnen des Mischsummenwertes h(m), wobei es sich bei h(m) um eine Einweg funktion handeln kann.
(b) Berechnen von s_m = (mh(m))^d (mod n).
(c) Die Unterschrift für die Nachricht m lautet (s_m)h(m)).

Algorithmus 4. Unterschriftsverifikation

Eine Instanz B kann die Unterschrift (s_m, h(m)) veri fizieren, indem sie folgendes ausführt:

(a) Nachschlagen des öffentlichen Schlüssels e, n der In stanz A.
(b) Berechnen von m′ = S (h(m))^-1(mod n)
(c) Verifizieren, daß h(m′) = h(m).
(d) Wenn der Verifikationsprozeß in (c) erfolgreich aus fällt, so ist m′ die wiedergewonnene Nachricht.

2. Verfahren auf der Grundlage des Rabin-Unterschriftsver fahrens

Ein alternatives Unterschriftsverfahren ist das als Rabin bekannte, das seine Sicherheit aus der Schwierigkeit ableitet, Quadratwurzeln modulo einer zerlegbaren Zahl zu finden.

Es sei n = pq ein Produkt zweier Primzahlen, wobei p≡3 (mod 8) und Q ≡ 7 (mod 8) ist. Es sei

Es kann leicht gezeigt werden, daß m^t = 1 (mod n) ist, vorausgesetzt, m ist ein quadratischer Rest modulo n und m¹ = -1 (mod n), vorausgesetzt, m ist ein quadratischer Nichtrest modulo p bzw. Modulo q. Es sei J_m = (. .) das Jacobi-Symbol, Q_n die Menge quadratischer Rest modulo n und m ist umkehrbar mod n, und wir haben die folgenden Tatsachen:

Tatsache 1. Bei J_m = 1 ist m^t ≡ 1 (mod n), wenn m ∈ Q_n
-1 (mod n), wenn m ∉ Q_n.
Tatsache 2. Bei J_m = -1 ist J_m/2 = 1.
Tatsache 3. Es sei e gerade und d genüge der Bedingung, daß ed≡1(mod t). Bei J_m = 1 ist
m^ed ≡ m(mod n), wenn m ∈ Q_n,
-m(mod n) bei m ∉ Q_n.

Tatsache 1 und Tatsache 2 sind trivial. Für Tatsache 3 können wir eine ungerade ganze Zahl x derart finden, daß ed = 1 + xt ist. Folglich ist
Algorithmus 5. Unterschriftserstellung für das modifizierte Rabin-Verfahren.

Die Instanz A besitze den öffentlichen Schlüssel n und den privaten Schlüssel t. Um eine Nachricht

zu unterzeichnen, muß die Instanz A folgendes ausführen:

(a) Behandeln von m als Bitkette und Berechnen des Mischsum menwertes h(m), danach Setzen von e_m = 4h(m)+2.
(b) Verwenden des erweiterten euklidschen Algorithmus, um eine ganze Zahl d_m derart zu berechnen, daß d_me_m = 1(mod t), wobei die Bitkette e_m nunmehr als die binäre Darstellung einer ganzen Zahl betrachtet wird.
(c) Berechnen von und Setzen einer ganzen Zahl M durch folgende Regel:M = 8m + 2 bei J_8m+2 ≡ 1.
M = 4m + 1 bei J_8m+1 ≡ -1.
(d) Berechnen von s_m = M^dn (mod n).
(e) Die Unterschrift der Nachricht m lautet (s_m,e_m).

Algorithmus 6. Unterschriftsverifikation für das vorgeschlagene Rabin-Verfahren

Eine Instanz B kann die Unterschrift (s_m,e_m) veri fizieren, indem sie folgendes ausführt:

(a) Nachschlagen des öffentlichen Schlüssels n der Instanz A.
(b) Berechnen von M′ = S (mod n), wobei 0 < M′ < n.
(c) Nehmen von m′ durch folgende Regel:
(d) Berechnen von h(m′) und Verifizieren, daß 4h(m′) +2 = e_m.
(e) Wenn der Verifikationsprozeß in (d) erfolgreich ver läuft, so ist in′ die wiedergewonnene Nachricht.

3. Verfahren auf der Grundlage des diskreten Log-Problems

Eine weitere Klasse von Unterschriftsverfahren basiert auf der schwierigen Lösbarkeit des diskreten Log-Problems, für das das Nyberg-Rueppel-Verfahren ein Beispiel ist.

Wie bei dem RSA-Verfahren ist das digitale Unter schriftsverfahren nach Nyberg-Rueppel mit dem Nachteil behaftet, daß eine Nachrichtenredundanz erforderlich ist. Das unten beschriebene Verfahren meistert dieses Problem.

Lediglich für den Zweck der Vereinfachung wird eine der vielen Möglichkeiten ausführlicher erörtert, und obwohl das Verfahren auf jede beliebige finite Gruppe angewendet werden kann, wird es nur in Z*_p beschrieben.

Es seien p und q Primzahlen derart, daß p|q-1, und das diskrete Logarithmus-Problem ist in Z*_p schwierig zu lösen. Es sei α ein Generator für die zyklische Untergruppe G der Ordnung q in Z*_p und h sei eine kryptographische Haschfunktion, wie oben beschrieben.

Die Instanz A wählt einen privaten Schlüssel α aus, bei dem es sich um eine ganze Zahl handelt, die nach dem Zu fallsprinzip aus {1, 2, . . ., q-1} ausgewählt ist, und berechnet den öffentlichen Schlüssel β = αa.

Algorithmus 7. Unterschriftserstellung

Um eine Nachricht in ∈ Z_p zu unterzeichnen, muß die Instanz A folgendes ausführen:

(a) Berechnen von h(m).
(b) Auswählen einer zufälligen ganzen Zahl k ∈ (1, 2, . . ., q-1).
(c) Berechnen von r = mα^k (mod p).
(d) Berechnen von s_m = arh(m) + k mod q.
(e) Die Unterschrift für die Nachricht m lautet (s_m,r,h(m)).

Algorithmus 8. Unterschriftsverifikation

Die Instanz B kann die Unterschrift (s_m,r,h(m)) an in verifizieren, indem sie folgendes ausführt:

(a) Nachschlagen des öffentlichen Schlüssels b von A.
(b) Berechnen von v₁ = α^Sm (mod p).
(c) Berechnen von v₂ = β^-rh(m) (mod p).
(d) Berechnen von w = v₁v₂ (mod p).
(e) Berechnen von m′ = rw^-1 (mod p).
(f) Berechnen von h(m′) und Verifizieren, daß h(m′) = h(m).
(g) Die wiedergewonnene Nachricht lautet m′.

Die Unterschriftserzeugung unter Verwendung des Ver fahrens von Algorithmus 7 und Algorithmus 8 ist beinahe genauso wirksam wie das ursprüngliche Nyberg-Rueppel-Verfahren, mit Ausnahme der Berechnung der Haschfunktion.

Analog dazu ist die Unterschriftsverifikation beinahe so wirksam wie das ursprüngliche Nyberg-Rueppel-Verfahren, mit Ausnahme der Berechnung des Produktes rh(m) mod q und der Berechnung des Mischsummenwertes h(m′).

Das Nyberg-Rueppel-Verfahren kann nicht einfach modi fiziert werden, um die gleichen Ergebnisse zu erhalten. Beispielsweise schließt das Senden der Mischsumme der Nachricht einen existentiellen Fälscherangriff nicht aus. Andere, dem Nyberg-Rueppel-Verfahren ähnliche Verfahren können analog gemäß den erfindungsgemaßen Verfahren modifiziert werden. Die Verfahren gemaß der vorliegenden Erfindung können zum Beispiel aber auch auf elliptische Kurven angewendet werden; ein Nyberg- Rueppel-Verfahren, das auf elliptische Kurven angewandt werden kann, ist unten beschrieben.

Die Kurve sei y² + xy = x³ + αx² + b mit einer großen Primzahlordnung n und P sei ein Punkt auf der Kurve mit einer x- und einer y-Koordinate. Weiterhin sei h eine kryptographische Haschfunktion, wie sie weiter oben beschrieben ist.

Algorithmus 9. Unterschriftserstellung

Die Instanz A wählt einen privaten Schlüssel d aus, bei dem es sich um eine ganze Zahl handelt, die nach dem Zufallsprinzip über {1, 2, . . ., n-1} ausgewählt ist, und berechnet den öffentlichen Schlüssel Q = dP. Um eine Nachricht m zu unterzeichnen, wobei 1 < m < n ist, muß die Instanz A folgendes ausführen:

(a) Berechnen von h(m).
(b) Auswählen einer zufälligen ganzen Zahl k ∈ (1, 2, . . ., n-1).
(c) Berechnen von kP, wobei x die x-Ordinate des Punktes kP ist.
(d) Berechnen von r = m + x (mod n).
(e) Berechnen von s_m = drh(m) + k mod n.
(f) Die Unterschrift für die Nachricht lautet (s_m,r,h(m)).

Algorithmus 10. Unterschriftsverifikation

Die Instanz B kann die Unterschrift (s_m,r,h(m)) an m verifizieren, indem sie folgendes ausführt:

(a) Nachschlagen des öffentlichen Schlüssels Q von A.
(b) Berechnen von s_mP.
(c) Berechnen von (-rh(m))Q.
(d) Berechnen von T = s_mP + (-rh(m))Q, wobei x die x- Ordinate des Punktes ist.
(e) Berechnen von m′= r - x′ (mod n).
(f) Berechnen von h(m′) und Verifizieren, daß h(m′) = h(m).
(g) Die wiedergewonnene Nachricht lautet m′.

Obwohl die Erfindung im Zusammenhang mit einer speziellen Ausführungsform davon und mit einer speziellen Verwendung beschrieben worden ist, werden dem Fachmann verschiedene Modifikationen offensichtlich sein, ohne vom Erfindungsgedanken abzuweichen.

Die Termini und Ausdrücke, die in der Patentschrift verwendet worden sind, werden als beschreibende und nicht als einschränkende Termini verwendet; wenn derartige Termini und Ausdrücke verwendet werden, so ist damit nicht beabsichtigt, jegliche Äquivalente der gezeigten und beschriebenen Merkmale oder von Teilen davon auszuschließen, sondern es ist klar, daß innerhalb des Schutzbereiches der Ansprüche verschiedene Modifikationen möglich sind.

Claims

1. Verfahren zur Authentifizierung einer Unterschrift einer Nachricht in, das folgende Schritte umfaßt:

a) Bestimmen einer Darstellung h(m) der Nachricht durch Anwendung einer Einwegfunktion und Ableiten einer ersten Unterschriftskomponente daraus,
b) Berechnen einer mathematisch mit der Darstellung h(m) der Nachricht verwandten Funktion;
c) Anwenden der Funktion auf die Nachricht, um eine an den Unterzeichner gebundene zweite Unterschrifts komponenten zu erhalten;
d) Übermitteln der Unterschriftskomponenten an einen Empfänger;
e) Wiedergewinnen einer Nachricht m′ aus der zweiten Komponente;
f) Berechnen eines Werts von m′ durch Anwenden der Einwegfunktion; und
g) Bestimmen, ob der Wert von m′ und die in der ersten Unterschriftskomponente enthaltene Darstellung h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.

2. Verfahren nach Anspruch 1, wobei die Einwegfunktion eine kryptographische Haschfunktion ist.

3. Verfahren nach Anspruch 2, wobei es sich bei der Haschfunktion um eine SHA-1-Haschfunktion handelt.

4. Verfahren zur Authentifizierung einer Unterschrift einer Nachricht m, das folgende Schritte umfaßt:

a) Bestimmen einer Mischsumme h(m) der Nachricht durch Anwendung einer Haschfunktion und Ableiten einer ersten Unterschriftskomponente e= daraus,
b) Berechnen einer mathematisch mit der Mischsumme der Nachricht verwandten Funktion d_m, so daß e_md_m = 1 mod (l(n));
c) Anwenden der Funktion d_m auf die Nachricht, um eine an den Unterzeichner gebundene zweite Unterschrifts komponente S_m zu erhalten, so daß S_m = m^dm mod (λ(n));
d) Übermitteln der Unterschriftskomponenten (e_m, S_m) an einen Empfänger;
e) Wiedergewinnen einer Nachricht m′ aus der zweiten Komponente S_m, wobei S = m′;
f) Berechnen eines Mischsummenwerts von m′ durch Anwenden der Haschfunktion; und
g) Bestimmen, ob der Haschwert von m′ und die in der ersten Unterschriftskomponente enthaltene Mischsumme h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.

5. Verfahren zur Authentifizierung einer Unterschrift einer Nachricht m, das folgende Schritte umfaßt:

a) Bestimmen einer Mischsumme h(m) der Nachricht durch Anwendung einer Haschfunktion und Ableiten einer ersten Unterschriftskomponente daraus,
b) Auswählen einer zufälligen ganzen Zahl k ∈ {1, 2, . . ., q-1},
c) Berechnen einer dritten Unterschriftskomponente r derart, daß r = mα^k (mod p), wobei a ein Generator für eine zyklische Gruppe G der Ordnung q in Z*_p ist und wobei p-1 durch q teilbar ist,
d) Berechnen einer mathematisch mit der Mischsumme h(m) der Nachricht verwandten zweiten Unterschrifts komponente s_m, so daß s_m = arh(m) + k mod q, wobei a ein privater Schlüssel des Unterzeichners ist,
e) Übermitteln der Unterschriftskomponenten an einen Empfänger;
f) Wiedergewinnen einer Nachricht m′ aus der zweiten und dritten Unterschriftskomponente;
g) Berechnen eines Werts von m′ durch Anwenden der Haschfunktion; und
h) Bestimmen, ob der Wert von m′ und die in der ersten Unterschriftskomponente enthaltene Darstellung h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.

6. Verfahren zur Authentifizierung einer Unterschrift einer Nachricht m, das folgende Schritte umfaßt:

a) Bestimmen einer Mischsumme h(m) der Nachricht durch Anwendung einer Haschfunktion und Ableiten einer ersten Unterschriftskomponente daraus,
b) Auswählen einer zufälligen ganzen Zahl k ∈ {1, 2, . . ., q-1},
c) Berechnen einer dritten Unterschriftskomponente r derart, daß r = m + x(mod n), wobei x eine Koordinate eines Punktes kP auf einer elliptischen Kurve definiert durch y² + xy = x³ + αx² + b der Ordnung n ist,
i) Berechnen einer mathematisch mit der Mischsumme h(m) der Nachricht verwandten zweiten Unterschrifts komponente s_m, so daß s_m = drh(m) + k mod q, wobei d ein privater Schlüssel des Unterzeichners ist,
j) Übermitteln der Unterschriftskomponenten an einen Empfänger;
k) Wiedergewinnen einer Nachricht m′ aus der zweiten und dritten Unterschriftskomponente;
l) Berechnen eines Werts von m′ durch Anwenden der Haschfunktion; und
m) Bestimmen, ob der Wert von m′ und die in der ersten Unterschriftskomponente enthaltene Darstellung h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.

7. Rechnerlesbares Medium, dessen Inhalt bewirkt, daß ein Rechnersystem eine Unterschrift einer Nachricht m erzeugt, wobei das Rechnersystem ein Unterschriftserzeugungsprogramm aufweist, durch Ausführen der folgenden Schritte:

a) Bestimmen einer Darstellung h(m) der Nachricht durch Anwendung einer Einwegfunktion und Ableiten einer ersten Unterschriftskomponente daraus,
b) Berechnen einer mathematisch mit der Darstellung h(m) der Nachricht verwandten Funktion;
c) Anwenden der Funktion auf die Nachricht, um eine an den Unterzeichner gebundene zweite Unterschrifts komponente zu erhalten;
d) Übermitteln der Unterschriftskomponenten an einen Empfänger, wobei die Unterschriftskomponenten die Nachricht und eine von der Nachricht abhängige Komponente enthalten.

8. Rechnerlesbares Medium nach Anspruch 7, mit einem Unterschriftsverifikationsprogramm.

9. Rechnerlesbares Medium nach Anspruch 8, wobei das Unterschriftsverifikationsprogramm folgende Schritte umfaßt:

a) Wiedergewinnen einer Nachricht m′ aus der zweiten Komponente;
b) Berechnen eines Werts von m′ durch Anwenden der Einwegfunktion; und
c) Bestimmen, ob der Wert von m′ und die in der ersten Unterschriftskomponente enthaltene Darstellung h(m) identisch sind, wobei die Identität eine echte Unterschrift der Nachricht anzeigt.