DE3905703C2 - Verfahren zur elektronischen Signatur - Google Patents

Description

Technisches Gebiet

Die Erfindung bezieht sich auf ein Verfahren zur elektroni­ schen Signatur in einem Netz mit einer Schlüsselverteil­ zentrale SVZ und mehreren Teilnehmern A, C, . . .

Stand der Technik

Elektronische Signaturen werden zur Sicherung der Datenintegrität und zur Sicherung der Authentizität des Absenders einer Mitteilung eingesetzt. Man unterscheidet zwischen symmetrischen und asymmetrischen Verfahren.

Bei symmetrischen Verfahren verwenden Absender und Empfänger denselben Signaturalgorithmus und denselben Schlüssel. Die Authentizität wird durch die gemeinsame Kenntnis des Schlüssels garantiert. Das Problem dabei ist, daß der Empfänger nicht in der Lage ist, gegenüber einem Dritten nachzuweisen, daß ein gewisses Dokument tatsächlich vom gegebenen Absender stammt, da auch er selbst die Signatur erzeugt haben könnte.

Bei einem asymmetrischen Verfahren dagegen verwendet der Absender einen Signaturalgorithums mit einem Schlüssel, den nur er kennt (private key), und der Empfänger einen zugehörigen Verifikationsalgorithmus mit einem öffentlich bekannten Schlüssel (public key). Damit ist das genannte Problem der symmetrischen Verfahren überwunden. Asymmetrische Verfahren sind z. B. aus den Arbeiten - R.L. Rivest, A. Shamir, L. Adleman, "A Method for Obtaining Digital Signatures and Public-key Cryptosystems", Commun. of the ACM, Vol. 21, pp. 120-126, Feb. 1978, und - T. El-Gamal, "A Public-key Cryptosystem and a Signature Scheme Based on Discrete Logarithms", IEEE Trans. on Inform. Theory, Vol. 31, pp. 469-472, July 1985, bekannt.

Ein wesentliches Problem bei allen Verfahren ist die Authentizität der öffentlichen Schlüssel. Rivest, Shamir und Adleman haben dafür folgende Lösung vorgeschlagen: In einer Präauthentifikationsphase geht jeder Benutzer X zur Schlüsselauthentifikationszentrale SAZ und läßt sich seinen öffentlichen Schlüssel K_X signieren → S_SAZ(X, K_X). Dazu benutzt die SAZ ihren asymmetrischen Algorithmus und gibt dem Benutzer ihren öffentlichen Schlüssel K_SAZ mit. In der Signaturphase sendet X seinem Gesprächspartner Y einen String mit folgenden Größen: X, K_X, S_SAZ(X, K_X), M, S_KX(M). Um die Authentizität der Mitteilung M zu prüfen, verifiziert Y zunächst, ob S_SAZ(X, K_X) die Signatur zu X, K_X ist, und benutzt dann K_X, um die Signatur S_KX(M) von M zu testen.

Aus - A. Fiat, A. Shamir, "How to Prove Yourself: Practical Solutions to Identification and Signature Problems", Advances in Cryptology - CRYPTO′ 86, Lecture Notes in Computer Science, Vol. 263, pp. 186-194, Springer-Verlag 1987, ist eine weitere Lösung bekannt. Ein interessanter Aspekt dieser Arbeit ist die Idee, eine identifikationsabhängige Zahl (welche typischerweise Namen, Vornamen, Geburtsdatum, . . . enthält) zur Berechnung einer Größe, die einem öffentlichen Schlüssel ähnlich ist, zu ver­ wenden.

Schließlich ist aus US 4 771 461 ein Verfahren zur elek­ tronischen Signatur in einem Netz mit einer Schlüssel­ verteilzentrale und mehreren Teilnehmern bekannt, bei dem von der Schlüsselverteilzentrale in einer Präauthen­ tifikationsphase ein öffentlicher Netzschlüssel gebildet wird.

Darstellung der Erfindung

Aufgabe der Erfindung ist es, ein Verfahren zur elektro­ nischen Signatur in einem Netz mit einer Schlüsselver­ teilzentrale und mehreren Teilnehmern anzugeben, welches mit einem einzigen Netzschlüssel auskommt.

Erfindungsgemäß besteht die Lösung darin, daß in einer Präauthentifikationsphase

• a) die Schlüsselverteilzentrale eine Funkti­ on f(.) zur Erzeugung von Identitätsnummern, eine Hashfunktion h(.), einen endlichen Körper GF(q), in welchem die Rechenoperationen ausgeführt werden, ein primitives Element α ε GF(q) und eine geheime erste Zufallszahl x wählt, aus welchen sie einen öffentli­ chen Netzschlüsse y = α^-x bildet,
• b) die Schlüsselverteilzentrale jedem Benut­ zer A eine Identitätsnummer ID_A = f(A) signiert, in­ dem die Schlüsselverteilzentrale eine geheime zweite Zufallszahl k wählt, welche die Eigenschaft ggT(k, q- 1) = 1 hat, aus der Zufallszahl k ein benutzerspezi­ fisches primitives Element r_A = α^k und einen gehei­ men Benutzerschlüssel s_A mit der Eigenschaft xr_A+ks_A = ID mod (q-1) bildet und dem Benutzer sein primiti­ ves Element r_A und seinen geheimen Benutzerschlüssel s_A mitteilt,

und daß in einer Signaturphase zwischen einem ersten Be­ nutzer A und einem zweiten Benutzer C

• c) der erste Benutzer A dem zweiten Benutzer C eine Mitteilung m sendet,
• d) der erste Benutzer A zwecks Signatur der Mitteilung m eine Zufallszahl k′ wählt, so daß ggT(k′, q-1) = 1 ist, eine Größe r′ = r_A ^k′ berechnet, eine Zahl s′ ermittelt, welche die Gleichung s_Ar′+k′s′=h(m) mod (q-1) erfüllt und die Größen ID_A, r_A, r′, s′ als Signatur der Mitteilung m an den Benutzer C sendet,
• e) und der Benutzer C zwecks Verifikation der Signatur aus den ihm mitgeteilten Größen die Gültigkeit der Gleichung prüft.

Es versteht sich von selbst, daß der endliche Körper GF(q) so gewählt wird, daß q-1 eine Zahl mit mindestens einem großen Primfaktoren ist. Falls nicht anders angegeben, werden alle erfindungsgemäßen Operationen in diesem Körper ausgeführt.

Die Mitteilung m ist irgend ein elektronisches Dokument (Paket von digitalen Daten). Die Hashfunktion h(.) erzeugt aus der Mitteilung einen kürzeren, als solchen bekannten Hashcode. Bei kurzen Mitteilungen kann auf den Hashcode verzichtet werden (d. h. h(.) ist die Identität), so daß die Mitteilung selbst signiert wird.

Mit dem erfindungsgemäßen Verfahren kann man in einem hierarchischen Netz auch Schlüssel authentifizieren. Dabei wird davon ausgegangen, daß der Benutzer A der Schlüssel­ verteilzentrale SVZ bekannt ist, nicht aber der Benutzer B. Dieser ist aber dem Benutzer A bekannt. Dann kann der Benutzer A für den Benutzer B einen authentifizierten Schlüssel konstruieren, indem er die El-Gamal Signatur zu m = -ID_B berechnet, daraus r_{B | A} = r′ und s_{B | A} = -s′ bestimmt und B mitteilt.

Die Größe s_{B | A} ist dann der private Schlüssel von Benutzer B. Sein öffentlicher Schlüssel ist gegeben durch

Ebenso wie die Schlüsselverteilzentrale SVZ ihr primitives Element α und der Benutzer A sein primitives Element r_{A | SVZ} so muß auch Benutzer B sein primitives Element r_{B | A}, das der Bildung des öffentlichen Schlüssels zu Grund liegt, bekanntgeben.

Bei der betrachteten hierarchischen Schlüsselverteilung muß Vertrauen von B gegenüber A ebenso bestehen, wie von A gegenüber der SVZ. Der Benutzer A, welcher dabei die Funktion einer lokalen Zentrale hat, kann jederzeit einen Schlüssel erzeugen, mit dem er sich als B ausgeben kann. Dies ist nicht zu vermeiden, wenn ID_B nicht eine eindeutige, physikalische Beschreibung von B, wie etwa seine Fingerabdrücke, enthält. (Im zivilen Leben hat man ein ähnliches Problem: Eine Paßbehörde kann im Prinzip jeden Paß fälschen, d. h. einer Person A einen Paß mit dessen Beschreibung und Photographie aushändigen, der auf eine Person B lautet.)

Aus den abhängigen Patentansprüchen ergeben sich vorteil­ hafte Ausführungsformen der Erfindung.

Kurze Beschreibung der Zeichnung

Nachfolgend soll die Erfindung anhand von Ausführungsbei­ spielen im Zusammenhang mit der Zeichnung näher erläutert werden. Es zeigen:

Fig. 1 eine schematische Darstellung der Präauthenti­ fikationsphase;

Fig. 2 eine schematische Darstellung der Signatur- und Verifikationsphase; und

Fig. 3 eine schematische Darstellung der Schlüsselaus­ tauschphase zwischen zwei Benutzern.

Die in der Zeichnung verwendeten Bezugszeichen und deren Bedeutung sind in der Bezeichnungsliste zusammenfassend tabelliert.

Wege zur Ausführung der Erfindung

Die erfindungsgemäße elektronische Signatur findet in einem für die Übertragung von digitalen Daten geeigneten Netz mit einer Schlüsselverteilzentrale SVZ und mehreren Benutzern A, C, . . . statt und weist zwei Phasen auf, nämlich eine Präauthentifikationsphase und eine Kommunikations- bzw. Signaturphase. In der Präauthentifikationsphase kommt jeder ihr untergeordnete Benutzer A, C . . . zur Schlüssel­ verteilzentrale SVZ und läßt sich seine Identität gemäß dem El-Gamal Schema signieren. In der nachfolgenden Signaturphase sendet ein Benutzer A einem anderen Benutzer C eine Mitteilung und deren Signatur, welche der Benutzer C verifiziert.

Fig. 1 zeigt eine schematische Darstellung der Präau­ thentifikationsphase. Als erstes wählt (SELECT) die Schlüsselverteilzentrale SVZ einen endlichen Körper GF(q), wobei q-1 typischerweise einen großen Primfaktoren aufweist, und ein primitives Element α ε GF(q). Dann erzeugt sie zufällig (RANDOM) als geheimen Netzschlüssel ("private part") eine erste Zahl x, aus welcher sie einen öffentlichen Netzschlüssel ("public part") y = α^-x bildet. (Es versteht sich, daß diese und die später beschriebenen Operationen im endlichen Körper GF(q) ausgeführt werden, soweit nicht anders angegeben.) Weiter definiert sie eine geeignete Funktion f(.), welche aus den Identitätsmerkmalen eines Benutzers eine eindeutige Identitätsnummer erzeugt, und eine Hashfunktion h(.), welche aus einer Mitteilung einen Hashcode erzeugt.

Die durch f(.) bestimmte Identitätsnummer ID kann beispielsweise durch Abtasten des Fingers (Fingerabdruck) gebildet werden. Es können aber auch weitere Merkmale eingehen. Typischerweise ist f(.) eine Einwegfunktion (one way function), die auf den Datenstring bestehend aus Name, Vorname, Geburtsdatum und eventuell weiteren Merkmalen angewandt wird.

Den endlichen Körper GF(q), das primitive Element α und den öffentlichen Netzschlüssel y sowie die Funktion f(.) und die Hashfunktion h(.) gibt die Schlüsselverteilzentrale SVZ öffentlich bekannt. Den geheimen Netzschlüssel x speichert sie zugriffsgeschützt ab.

Die Schlüsselverteilzentrale SVZ hat damit die grund­ legenden, allgemeinen Vorbereitungen abgeschlossen. Nun kommt jeder Benutzer zur Schlüsselverteilzentrale SVZ und läßt sich seine Identität gemäß dem El-Gamal Schema signieren.

Der Benutzer A weist sich aus (z. B. mit seinem Reisepaß), worauf die Schlüsselverteilzentrale SVZ mit Hilfe der Funktion f(.) eine eindeutige Identitätsnummer ID_A = f(A) berechnet. Dann erzeugt sie zufällig (RANDOM) eine benutzerspezifische Zahl k, welche die Eigenschaft ggT(k,q- 1) = 1 hat (ggT = größter gemeinsamer Teiler). Aus der zweiten Zufallszahl k bildet sie ein benutzerspezifisches, primitives Element r_{A | SVZ} = α^k und einen geheimen Benutzer­ schlüssel s_{A | SVZ} mit der Eigenschaft xr_{A | SVZ}+ks_{A | SVZ} = ID_A mod (q-1). Das primitive Element r_{A | SVZ} und den geheimen Benutzerschlüssel s_{A | SVZ} teilt sie dem Benutzer A mit, der den geheimen Benutzerschlüssel s_{A | SVZ} zugriffsgesichert abspeichert.

Jeder Benutzer, der der Schlüsselverteilzentrale direkt untergeordnet ist und der im Netz zugelassen werden will, muß die beschriebene Präauthentifikationsphase durchlaufen.

Fig. 2 zeigt eine schematische Darstellung der Kommuni­ kations- bzw. Signaturphase. Sie findet zwischen einem ersten Benutzer A und einem zweiten Benutzer C statt.

Jeder der beiden Benutzer kennt dabei die öffentlich bekannten Parameter f(.), h(.), GF(q), α, y, sowie sein primitives Element r_A resp. r_C und seinen geheimen Benutzerschlüssel s_A resp. s_C. (Der Einfachheit halber wird im folgenden der Bezug auf die Herkunft der Größen weggelassen, soweit dadurch keine Verwechslungen verursacht werden: r_A statt r_{A | SVZ}, r_C statt r_{C | SVZ} usw.) Typischerweise hat jeder auch seine eigene Identitätsnummer ID_A resp. ID_C abgespeichert.

Als erstes sendet der Benutzer A dem Benutzer C eine Mitteilung m, sowie seine Identitätsnummer ID_A und sein öffentliche primitives Element r_A.

Als zweites bildet jeder der beiden Benutzer A resp. C aus der Mitteilung m den Hashcode h(m).

Als nächstes signiert der erste Benutzer A die Mitteilung, m resp. den Hashcode h(m), indem er eine Zufallszahl k′ wählt (RANDOM), so daß ggT(k′, q-1) = 1 ist, eine Größe r′ = r_A ^k′ berechnet und eine Zahl s′ ermittelt (SELECT), welche die Gleichung s_Ar′+k′s′=h(m) mod (q-1) erfüllt. Die Größen r′, s′ (welche zusammen mit ID_A, r_A die Signatur der Mitteilung m bilden) sendet er an den Benutzer C.

Zwecks Verifikation der Signatur berechnet der Benutzer C zunächst die Größe

und prüft aus den ihm mitgeteilten Größen die Gültigkeit der Gleichung

Die Hashfunktion braucht nicht unbedingt von der Schlüssel­ verteilzentrale vorgegeben zu werden. Es liegt auch im Rahmen der Erfindung, wenn der Hashcode h(m) zusammen mit der Mitteilung m an den Benutzer C gesendet wird. Bei kurzen Mitteilungen kann außerdem auf die Hashfunktion h(.) verzichtet werden, d. h. h(.) ist die Identität.

Eine vorteilhafte Ausführungsform der Erfindung stellt ein Verfahren zum Verteilen von authentifizierten Schlüsseln in einem hierarchischen Netz mit einer Schlüsselverteil­ zentrale SVZ und mehreren untergeordneten Teilnehmern A, B, C dar. Im folgenden wird auf Fig. 1 Bezug genommen.

Die Präauthentifikationsphase wird im wesentlichen wie oben beschrieben durchgeführt. Die Hashfunktion h(.) ist in diesem Zusammenhang jedoch ohne Bedeutung.

Nachdem sich der Benutzer A bei der Schlüsselverteil­ zentrale sein primitives Element r_{A | SVZ} und seinen geheimen Benutzerschlüssel s_{A | SVZ} geholt hat, kann er einem zweiten, ihm untergeordneten Benutzer B einen authentifizierten Schlüssel konstruieren.

Um dem Benutzer B seine Identitätsnummer ID_B = f(B) zu signieren, wählt der Benutzer A eine geheime Zufallszahl k′ (RANDOM), welche die Eigenschaft ggT(k′, q-1) = 1 hat. Darauf bildet er aus der Zufallszahl k′ ein primitives Element r_{B | A} = r_{A | SVZ} ^k′ und einen geheimen Benutzerschlüssel s_{B | A} mit der Eigenschaft s_{A | SVZ}r_{B | A}-k′s_{B | A} = -ID_B mod (q-1) und teilt dem untergeordneten Benutzer B sein primitives Element r_{B | A} und seinen geheimen Benutzerschlüssel s_{B | A} mit.

Der Benutzer B ist damit ins Netz aufgenommen. Er kann damit insbesondere gültige Signaturen nach obigem Schema erzeugen oder einen Schlüsselaustausch gemäß dem Schweizerischen Patentgesuch CH-105/89 (Anmeldedatum 13.1.89) durchführen. Dieser letztere Vorgang sei anhand der Fig. 3 erläutert. An dieser Stelle wird vorausgesetzt, daß die Schlüsselverteilzentrale in der Präauthentifi­ kationsphase noch eine geeignete Funktion g: GF(q) x GF(q) → GF(q) definiert hat. Vorzugsweise ist diese Funktion das Produkt.

Der Benutzer B ist dabei wie beschrieben vom ihm überge­ ordneten Benutzer A und der Benutzer C direkt von der Schlüsselverteilzentrale SVZ präauthentifiziert.

Als erstes teilt jeder der beiden Benutzer B resp. C dem anderen sein primitives Element r_{B | A} resp. r_{C | SVZ} mit. Benutzer B teilt außerdem das primitive Element r_{A | SVZ} des übergeordneten Benutzers A mit.

Als zweites bildet jeder der beiden Benutzer B resp. C die Identitätsnummer ID_C = f(C) resp. ID_B = f(B) und ID_A = f(A). Aus der Identitätsnummer und dem primitiven Element r_{C | SVZ} resp. r_{B | A} und r_{A | SVZ} des jeweils anderen berechnet jeder zudem den öffentlichen Benutzerschlüssel

des jeweils anderen.

Als drittes erzeugt jeder der beiden Benutzer B resp. C eine geheime Zufallszahl t_B resp. t_C und bildet damit einen Code

welchen er dem anderen Benutzer C resp. B mitteilt.

Schließlich konstruieren sie einen gemeinsamen geheimen Sitzungsschlüssel z. Benutzer B bildet ihn gemäß

und Benutzer C gemäß

Diesen gemeinsamen Kommunikationsschlüssel können sie nun für welchen Zweck auch immer (z. B. Verschlüsselung von Daten mit einem symmetrischen Algorithmus) einsetzen.

Die erfindungsgemäßen Verfahren haben u. a. folgende Vorteile:

• 1. Außer den eigenen Identifikationsmerkmalen genügt die Kenntnis eines einzigen "public keys" mit einem beliebigen anderen Benutzer des Netzes. Das Verfahren zeichnet sich folglich durch einen sehr geringen Speicherbedarf aus.
• 2. Jeder präauthentifizierte Benutzer kann mit jedem anderen präauthentifizierten Benutzer eines der beschriebenen Protokolle abwickeln, ohne dabei auf die Schlüsselverteilzentrale zurückgreifen zu müssen (off­ line Ablauf). Ein Benutzer kann damit nicht nur von der Schlüsselverteilzentrale sondern auch von einem anderen Benutzer präauthentifiziert werden. Ein mit diesem System betriebenes Netz ist dadurch beliebig flexibel in bezug auf Erweiterung des Teilnehmerkreises.
• 3. Dennoch sind bei den erfindungsgemäßen Verfahren alle Teilnehmer unterscheidbar.

Zur Sicherheit der erfindungsgemäßen Verfahren läßt sich folgendes sagen:

• 1. Falls man s aus α, y, ID und r bestimmen kann, kann man das El-Gamal′sche Signaturschema brechen, welches allgemein als sicher angesehen wird.
• 2. Falls man (r^t′)^s aus r, r^s und r^t′, bestimmen kann, kann man den Diffie-Hellmann′schen Schlüsselaustausch- Algorithmus brechen, welcher ebenfalls allgemein als sicher angesehen wird.

Diese Überlegungen lassen es als wahrscheinlich er­ scheinen, daß bei geeigneter Wahl von q, α, x und k die Kenntnis von s_A resp. s_B durch den Benutzer A resp. B un­ erläßlich ist für die Konstruktion der Signatur resp. des Sitzungsschlüssels z.

Die elektronische Signatur kann für die verschiedensten Anwendungen benutzt werden, wie z. B. Genehmigung von Kontoabbuchungen an POS-Terminals, Bestätigung in Anspruch genommener Gesprächszeit in mobilen Telephonsystemen. In all diesen Fällen stellt die signierte Mitteilung einen elektronischen Check dar. Wichtig dabei ist, daß seine Gültigkeit off-line geprüft werden kann. Durch die Möglichkeit der hierarchischen Schlüsselverteilung werden weiter auch alle Anwendungen erschlossen, die solche Schlüssel verwenden, wie z. B. der authentifizierte Schlüsselaustausch zwecks Chiffrierung gemäß dem Schweizer Patentgesuch CH-1877/88-1.

Das erfindungsgemäße Verfahren läßt sich mit als solchen bekannten Mitteln realisieren.

Die Einsatzmöglichkeiten des beschriebenen Verfahrens sind aufgrund der erwähnten Vorteile ziemlich breit: POS- Terminals, Computernetze, Mobiles Telephon usw.

Claims (6)

1. Verfahren zur elektronischen Signatur in einem Netz mit einer Schlüsselverteilzentrale SVZ und mehreren Teilnehmern A, C, dadurch gekennzeichnet, daß in einer Präauthentifikationsphase

• a) die Schlüsselverteilzentrale eine Funktion f(.) zur Erzeugung von Identitätsnummern, eine Hashfunktion h(.), einen endlichen Körper GF(q), in welchem die Rechenoperationen ausgeführt werden, ein primitives Element α ε GF(q) und eine geheime erste Zufallszahl x wählt, aus welchen sie einen öffentlichen Netzschlüssel y = α^-x bildet,
• b) die Schlüsselverteilzentrale jedem Benutzer A eine Identitätsnummer ID_A = f(A) signiert, indem die Schlüsselverteilzentrale eine geheime zweite Zufalls­ zahl k wählt, welche die Eigenschaft ggT(k, q-1) = 1 hat, aus der Zufallszahl k ein benutzerspezifisches primitives Element r_A = α^k und einen geheimen Benutzer­ schlüssel s_A mit der Eigenschaft xr_A+ks_A = ID mod (q- 1) bildet und dem Benutzer sein primitives Element r_A und seinen geheimen Benutzerschlüssel s_A mitteilt, und daß in einer Signaturphase zwischen einem ersten Benutzer A und einem zweiten Benutzer C
• c) der erste Benutzer A dem zweiten Benutzer C eine Mitteilung m sendet,
• d) der erste Benutzer A zwecks Signatur der Mitteilung m eine Zufallszahl k′ wählt, so daß ggT(k′, q-1) = 1 ist, eine Größe r′ = r_A ^k′ berechnet, eine Zahl s′ ermittelt, welche die Gleichung s_Ar′+k′s′=h(m) mod (q-1) erfüllt und die Größen ID_A, r_A, r′, s′ als Signatur der Mitteilung m an den Benutzer C sendet,
• e) und der Benutzer C zwecks Verifikation der Signatur aus den ihm mitgeteilten Größen die Gültigkeit der Gleichung prüft.

2. Verfahren zum Verteilen von authentifizierten Schlüsseln in einem hierarchischen Netz mit einer Schlüsselverteilzentrale SVZ und mehreren unter­ geordneten Teilnehmern A, B, dadurch gekennzeichnet, daß in einer Präauthentifikationsphase

• a) die Schlüsselverteilzentrale eine Funktion f(.) zur Erzeugung von Identitätsnummern, einen endlichen Körper GF(q), in welchem die Rechen­ operationen ausgeführt werden, ein primitives Element α ε GF(q) und eine geheime erste Zufallszahl x wählt, aus welchen sie einen öffentlichen Netzschlüssel y = α^-x bildet,
• b) die Schlüsselverteilzentrale einem ihr untergeordneten Benutzer A eine Identitätsnummer ID_A = f(A) signiert, indem die Schlüsselverteil­ zentrale eine geheime zweite Zufallszahl k wählt, welche die Eigenschaft ggT(k, q-1) = 1 hat, aus der Zufallszahl k ein benutzerspezifisches primitives Element r_{A | SVZ} = α^k und einen geheimen Benutzerschlüssel s_{A | SVZ} mit der Eigenschaft xr_{A | SVZ}+ks_{A | SVZ} = ID_A mod (q-1) bildet und dem Benutzer A sein primitives Element r_{A | SVZ} und seinen geheimen Benutzerschlüssel s_{A | SVZ} mitteilt,
• c) der erste Benutzer A einem zweiten ihm unter­ geordneten Benutzer B eine Identitätsnummer ID_B = f(B) signiert, indem der Benutzer A eine geheime Zufalls­ zahl k′ wählt, welche die Eigenschaft ggT(k′, q-1) = 1 hat, aus der Zufallszahl k′ ein benutzerspezifisches primitives Element r_{B | A} = r_{A | SVZ} ^k′ und einen geheimen Benutzerschlüssel s_{B | A} mit der Eigenschaft s_{A | SVZ}r_{B | A}-k′s_{B | A} = -ID_B mod (q-1) bildet und dem untergeordneten Benutzer B sein primitives Element r_{B | A} und seinen geheimen Benutzerschlüssel s_{B | A} mitteilt.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß die Schlüsselverteilzentrale in der Präauthenti­ fikationsphase eine Funktion g: GF(q) x GF(q) → GF(q) wählt und öffentlich bekannt gibt und daß zum Aus­ tauschen von authentifizierten Schlüsseln zwischen einem ersten Benutzer B und einem zweiten Benutzer C

• a) jeder der beiden Benutzer B resp. C dem anderen sein primitives Element r_B resp. r_C sowie das primitive Element r_A des übergeordneten Benutzers A mitteilt,
• b) jeder der beiden Benutzer B resp. C die Identitätsnummer ID_C = f(C) resp. ID_B = f(B) und ID_A = f(A) bildet und aus dieser Identitätsnummer und dem primitiven Element r_C resp. r_B und r_A des jeweils anderen dessen öffentlichen Benutzerschlüssel bildet,
• c) jeder der beiden Benutzer B resp. C eine geheime Zufallszahl t_B resp. t_C erzeugt und damit einen Code bildet, welchen er dem anderen Benutzer C resp. B mitteilt und
• d) die beiden Benutzer B und C einen gemeinsamen geheimen Sitzungsschlüssel z erzeugen, wobei Benutzer B den Sitzungsschlüssel z gemäß und Benutzer C gemäß bildet.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß als Funktion g(. , .) die Multiplikation im endlichen Körper GF(q) verwendet wird.

5. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß als Funktion f(.) eine Einwegfunktion verwendet wird.

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß als Hashfunktion h(.) die Identität verwendet wird.