-
Die Erfindung bezieht sich auf ein
Kryptogaphieverfahren, das zwischen zwei Einheiten eingesetzt wird,
die Informationen über
einen nicht gesicherten Kommunikationskanal, beispielsweise über ein
Kabel- oder Funknetz austauschen, und es erlaubt, die Vertraulichkeit
und die Integrität
bzw. Unversehrtheit bzw. Vollständigkeit
von Informationstransfers zwischen diesen zwei Einheiten sicherzustellen.
Die Erfindung bezieht sich genauer auf eine Perfektionierung an
Kryptographiesystemen, die Berechnungen über eine elliptische Kurve
einsetzen. Die Perfektionierung erlaubt es hauptsächlich,
die Berechnungszeit zu reduzieren.
-
Es ist ein Kryptographieprotokoll
bekannt, welches insbesondere verwendet wird, um einen Austausch von
Sicherheitsschlüsseln
bzw. gesicherten Schlüsseln
zwischen zwei Einheiten zu realisieren. Es ist unter der Bezeichnung "Echange de Clefs
de Diffie-Hellmann" oder "ECDH" (Austausch von Schlüsseln nach
Diffie-Hellmann) bekannt. Sein Einsatz erfordert die Verwendung
von einer Gruppe im mathematischen Sinn des Terms bzw. Ausdrucks.
Eine elliptische Kurve der Art: y2 +
xy = x3 + ax2 + βkann
eine in einem derartigen Verfahren verwendbare Gruppe ausbilden
bzw. darstellen.
-
Es ist bekannt, daß, wenn
P = (x, y) in der elliptischen Kurve E enthalten ist, ein "Produkt" oder eine "skalare Multiplikation" des Punkts P von
E mit einer ganzen Zahl m definiert werden kann. Diese Operation ist
wie folgt definiert: [m] P = P + P + p .... +
P (m mal)
-
Es ist bekannt, daß in einem
Algorithmus der Art bzw. des Typs "ECDH",
die Multiplikation mit 2 eines aus einer derartigen elliptischen
Kurve gewählten
Punkts P verwendet wird. Diese Operation nennt sich "Verdoppelung des
Punkts" und wird
in einem iterativen bzw. wiederholenden Verfahren einer Verdoppelung-und-Addition
eingeschrieben. Eine derartige Multiplikation mit 2 erfordert Zeit.
-
Der langsamste Teil des Protokolls
eines Austauschens von Schlüsseln
von Diffie-Hellmann (ECDH) ist die Multiplikation eines im voraus
nicht bekannten Punkts der Kurve mit einem aleatorischen bzw. stochastischen
Skalar. Es werden hier nur die auf einem Körper mit der Charakteristik 2 definierten
Kurven berücksichtigt;
das ist eine für
die Implementierungen verteilte bzw. verstreute Auswahl, da die
Addition in einem derartigen Körper
der Operation "exklusives
ODER bzw. Antivalenz" entspricht.
-
Es ist bekannt, daß die Multiplikation
mit einem Skalar für
die definierten Kurven auf einem Körper mit geringer Kardinalzahl
durch die Verwendung eines Frobenius-Morphismus beschleunigt werden
kann. Es können
die Kurven derart ausgewählt
werden, daß keiner
der bekannten Ansätze
sich auf sie bezieht. Es ist jedoch eindeutig bevorzugt, wenigstens
im Prinzipplan die Kurve auswählen
zu können,
welche in einer Klasse von so allgemeinen Kurven wie möglich verwendet
werden sollen. Die in der Erfindung beschriebene Methode bezieht
sich in ihrer schnellsten Version auf die Hälfte von elliptischen Kurven.
Darüber
hinaus ist diese Hälfte aus
einem kryptographischen Gesichtspunkt die beste. Bevor das Prinzip
des Verfahrens bzw. der Methode erläutert bzw. bekanntgegeben wird,
wird auf die Basiskonzepte Bezug genommen.
-
Für
ein einfaches Illustrieren wird die elliptische Kurve (E) genommen,
die geometrisch definiert in der Gesamtheit R der reellen Zahlen
durch die Gleichung y2 + y = x3 – x2 darstellbar ist, welche in 1 gezeigt ist, wo eine horizontale Linie
eine ganze Zahl m darstellt, eine vertikale Linie eine ganze Zahl
n darstellt und jeder Schnitt dieser horizontalen und vertikalen
Linien das Paar von ganzzahligen Koordinaten von (m, n) darstellt.
-
(E) tritt durch eine finite bzw.
endliche Zahl von Punkten mit ganzzahligen Koordinaten hindurch
und jede Sekante an (E) ergibt einen derartigen Schnittpunkt (E)
an 2 Punkten, die gegebenenfalls zusammenfallen (Fall der Tangenten
an die Kurve).
-
Die Additionsoperation bzw. der Additionsvorgang
zwischen zwei beliebigen dieser Punkte A und B ist auf die folgende
Weise definiert: es sei B1 der Punkt, wo
die Gerade (AB) (E) schneidet; die Senkrechte auf B1 schneidet
(E) in C = A + B.
-
In dem speziellen Fall, wo (AB') die Tangente an
(E) ist, ist C' die
gesuchte Summe.
-
Der Punkt 0, "Schnitt von allen
Senkrechten", ist
Punkt im Unendlichen von (E) genannt und ist das neutrale Element
der so definierten Addition, worauf, wenn die geometrische Konstruktion
der Additionsdefinition angewandt wird, erhalten wird: A + 0 = 0
+ A = A.
-
Die Verdoppelung von A, notiert als
[2]A und definiert als: A + A, ist somit der Punkt B', wobei die Gerade
(Ax) eine Tangente in A an (E) ist.
-
Indem an dem Punkt B' die Konstruktion
der Addition von A angewandt wird, wird der Punkt [3]A
erhalten, und so weiter: dies ist die Definition des Produkts [n]A
eines Punkts mit einer ganzen Zahl.
-
Die vorliegende Erfindung betrifft
tatsächlich
eine Familie von elliptischen Kurven, die geometrisch nicht darstellbar
sind, jedoch wie folgt definiert sind:
Es sei n eine gegebene
ganze Zahl,
der Körper aus
2
n Elementen und
ihr algebraischer Abschluß. Es sei
0 der
Punkt im Unendlichen. Es wird eine elliptische nicht-supersinguläre Kurve
E, die auf
definiert ist, die Gesamtheit
genannt:
-
Die Elemente von E sind üblicherweise "Punkte" genannt. Es ist
gut bekannt, daß E
mit einer Abel'schen
Gruppenstruktur versehen sein kann, indem der Punkt im Unendlichen
als neutrales Element genommen wird. Im Folgenden wird die finite
Untergruppe der rationalen Punkte von E berücksichtigt, die definiert ist
durch:
-
Wenn N die Gesamtheit der natürlichen
ganzen Zahlen für
alle m ∊ N ist, dann ist in E die Anwendung einer "Multiplikation mit
m" definiert durch:
-
Es ist E[m] als der Kern dieser Anwendung
festgehalten bzw. notiert. Die Punkte der Gruppe E[m] sind die Punkte
der m-Torsion von
E genannt. Die Struktur der Gruppe der Punkte der m-Torsion ist
gut bekannt.
-
Indem man sich auf den Fall beschränkt, wo
m eine Potenz von 2 ist, erhält
man:
worin
Z die Gesamtheit der relativen ganzen Zahlen ist.
-
Da
eine finite Untergruppe
von E ist, existiert daß k' ≥ 1, so daß E[2
k]
in
enthalten ist, wenn und
nur wenn k ≤ k' ist. Wenn man sich
auf die elliptischen Kurven E beschränkt, für welche k' = 1, ist die Struktur von
:
worin
G eine Gruppe ungerader Ordnung ist und T
2 den
einzigen Punkt mit der Ordnung 2 von E bezeichnet. Es wird ge sagt,
daß eine
derartige Kurve eine minimale 2-Torsion besitzt.
-
Es wird nun das Ziel der vorliegenden
Erfindung erläutert.
Die Multiplikation mit zwei ist nicht injektiv, wenn sie auf E oder
definiert ist, da sie
als Kern: E[2] = {0, T
2} aufweist.
-
Wenn man sich daher auf das Gebiet
einer Definition der Multiplikation mit 2 an einer Untergruppe mit ungerader
Ordnung G ⊂
reduziert, wird die
Multiplikation mit 2 bijektiv.
-
Es resultiert daraus, daß die Multiplikation
mit 2 auf dieser Untergruppe eine inverse Anwendung ermöglicht,
welche Division durch 2 genannt wird:
-
Es wird [1/2] P der Punkt von G genannt,
an welchem die Anwendung einer Verdoppelung dem Punkt P entspricht.
-
Für
alle k ≥ 1
wird geschrieben:
-
Um k Zusammensetzungen der Anwendung
einer Division durch 2 mit sich selbst darzustellen.
-
Die Erfindung bezieht sich daher
in allgemeiner Weise auf ein Kryptographieverfahren, das zwischen zwei
Einheiten eingesetzt wird, die Informationen über einen nicht gesicherten
Kommunikationskanal austauschen, der Art, daß es wenigstens eine Funktionsphase
umfaßt
ist, die aus einem Multiplizieren eines Punkts ungerader Ordnung
einer nicht super-singulären,
elliptischen Kurve in affine Koordination mit einer ganzen Zahl
besteht, dadurch gekennzeichnet, daß eine derartige Funktionsphase
Additionen und Divisionen durch zwei von Punkten dieser elliptischen
Kurve umfaßt;
wo die Addition von Punkten eine bekannte Operation ist und die
Division durch zwei von einem Punkt P als der einzige Punkt D ungerader
Ordnung, wie [2]D = P, definiert wird, wobei ein derartiger Punkt
und
die Operation bzw. der Vorgang der Division durch 2:
notiert
wird.
-
Die Anwendung der Division durch
2 ist für
die skalare Mul-tiplikation
eines Punkts einer elliptischen Kurve aus folgendem Grund interessant:
wenn man in affinen Koordinaten arbeitet, ist es möglich, alle
Multiplikationen des Punkts mit 2 einer skalaren Multiplikation
durch Divisionen des Punkts durch 2 zu ersetzen.
-
Die Division durch 2 eines Punkts
ist bedeutend schneller zu berechnen als seine Multiplikation mit
2. Von einem kryptographischen Standpunkt ist es gut, unter der
größten Anzahl
von möglichen
Kurven eine Auswahl zu haben, und es ist Brauch, eine Kurve zu verwenden,
für welche
die 2-Torsion von
minimal oder isomorph
mit Z/4Z ist.
-
Für
einen gegebenen
-Körper bilden die elliptischen
Kurven der minimalen 2-Torsion exakt die Hälfte der Gesamtheit der elliptischen
Kurven aus, die auf
definiert sind.
-
Die beschriebe Methode bzw. das beschriebene
Verfahren bezieht sich deshalb, obwohl es nicht vollständig allgemein
ist, in seiner schnellsten Version auf einen guten Teil der in der
Kryptographie interessanten Kurven. Sie ist immer in dem Fall anwendbar,
wo die Elemente des Körpers
auf einer normalen Basis dargestellt sind. In dem Fall einer polynominalen
Basis ist der erforderliche Speicherraum in der Ordnung von 0(n2)-Bits.
-
Bestimmte Beispiele sind unten unter
Bezugnahme auf die beiliegenden Zeichnungen angegeben, in welchen:
-
1 ein
Diagramm ist, das eine sehr spezielle, jedoch geometrisch darstellbare,
elliptische Kurve illustriert, die die elementaren Operationen,
die im Rahmen der Erfindung durchgeführt werden, erläutern kann, wobei
diese Operationen bzw. Vorgänge
oben erklärt
wurden;
-
die 2 ein
Schema ist, welches die Informationsaustauschvorgänge in Übereinstimmung
mit der Erfindung zwischen zwei Einheiten illustriert;
-
die 3 bis 6 Flußdiagramme sind, die bestimmte
Anwendungen in Übereinstimmung
mit der Erfindung erläutern;
und
-
die 7 ein
Blockschema eines anderen Informationsaustauschsystem zwischen zwei
Einheiten A und B ist, welches fähig
ist, ein Kryptographieverfahren gemäß der Erfindung zum Einsatz
zu bringen.
-
Es wird gezeigt, wie [1/2] P ∊ G
ausgehend von P ∊ G berechnet wird. Nachfolgend wird gezeigt,
wie die Verdoppelungen der Punkte durch die Divisionen durch 2 ersetzt
werden, um eine Multiplikation mit einem Skalar auszuführen.
-
Es wird eine übliche affine Darstellung eines
Punkts: P = (x, y) und die Darstellung: (x, λp) mit λP =
x + y / x verwendet.
-
Man folgert aus der zweiten Darstellung
y = x (x + λp), welche nur eine Multiplikation verwendet.
-
Indem so vorgegangen wird, werden
zum Multiplizieren eines Punkts mit einem Skalar die Multiplikationen
beim Berechnen der Zwischenergebnisse mit Hilfe der Darstellung
(x, λp) ökonomisiert
und es wird nur die Koordinate der affinen Darstellung am Ende der
Berechnung bestimmt.
-
Die Division durch zwei eines Punkts
P erhält
man auf die folgende Weise:
Es sei [1/2]P ausgehend von P zu
berechnen. Es werden dafür
die zwei Punkte von E berücksichtigt: P = (x, y) = (x, x (x + λp))und Q = (u, v) = (u, u (u + λQ))so wie: [2]Q = P.
-
Die bekannten Multiplikationsformeln
mit 2 ergeben λQ = u + v/u (1) x = λ Q2 + λ Q + α (2) y = (x + u) λ Q + x +
v (3)
-
Indem (1) mit u multipliziert wird
und der so erhaltene Wert von v in (3) eingegeben wird, wird dieses System:
v = u (u + λQ)
λ Q2 + λ 4
= α + x
y = (x + u) λ Q
+ x + u2 + u λ Q = u2 +
x(λ Q +
1)oder, da y = x (x + λp): λ Q2 + λ Q= α + x (i) u2 =
(x (λ Q
+ 1) + y = (λ Q
+ λP + x + 1) (ii) v = u (u + λ Q) (iii)
-
Ausgehend von P = (x, y) = (x, x
(x + λ
P)) in affinen Koordinaten oder in der Darstellung
(x, λ
P) bestimmt dieses Gleichungssystem die zwei
Punkte:
welche
P durch Multiplikation mit 2 ergeben. Die folgende Eigenschaft erlaubt
es sie zu unterscheiden.
-
Es sei E eine elliptische Kurve mit
minimaler 2-Torsion und P ∊
= G × {0, T
2}
das eine ihrer Elemente ungerader Ordnung.
-
Es sei Q ∊ {[1/2]P, [1/2]P
+ T2} und Q1 der
eine der zwei Punkte von E, wie [2]Q1 =
Q.
-
Es gibt die notwendige und ausreichende
Bedingung:
-
Es wird daraus der Schluß gezogen,
daß es
möglich
ist zu testen, wenn Q = [1/2] P, indem die Formeln (i), (ii) und (iii)
auf Q angewandt werden und indem verifiziert wird, ob der eine der
erhaltenen Punkte zu
gehört.
-
Dieses Verfahren kann auf eine willkürliche,
elliptische Kurve
= G × E[2
k]
ausgeweitet werden. Dafür
werden k mal die Formeln (i), (ii) und (iii) angewandt: das 1-ste
Mal auf Q, um Q
1 zu erhalten, wie [2]Q
1 = Q; das i-te Mal auf Q
i-1,
um einen Punkt Q
i zu erhalten, wie [2]Q
i = Q
i-1. Der resultierende
Punkt Q
k wird von der Form
+
sein, wenn und nur wenn
Q = [1/2]P + T
2 ist, liegt er in der Form
+
mit 0 ≤ i ≤ k sein, wenn
und nur wenn Q = [1/2]P. Man erhält
somit die notwendige und ausreichende Bedingung:
-
Dieses Verfahren ist natürlich lange,
wenn k groß ist.
-
Die Beziehung (a) zeigt, daß man dies
wissen kann, wenn Q = [1/2]P oder Q = [1/2]P + T
2,
indem betrachtet bzw. beachtet wird, daß die Koordinaten von Q
1 zu
oder zu einem übergeordneten
Körper
von
gehören. Da Q
1 durch
die Gleichungen (i), (ii) und (iii) bestimmt ist, müssen die
bei der Lösung
dieser Gleichungen verwendeten Operationen studiert werden, welche
nicht körperintern
sind, sondern ihr Ergebnis in einem übergeordneten Körper von
aufweisen. Der einzige
mögliche
Fall ist jener der Lösung
der Gleichung 2-ter Ordnung (i): man muß auch eine Quadratwurzel berechnen,
um die 1. Koordinate von Q
1 zu berechnen,
jedoch in der Charakteristik 2 ist die Quadratwurzel eine körperinterne
Operation. Man erhält
daher:
-
Diese notwendige und ausreichende
Bedingung wird auch geschrieben, da die Quadratwurzel körperintern
ist:
-
Die vorhergehende Relation bzw. Beziehung
erlaubt es, den unten erwähnten
Algorithmus in dem Fall zu optimieren, wo die Berechnungszeit der
Quadratwurzel nicht negierbar ist.
-
Für
P ∊ G sind 2 Lösungen
von (i) λ
[1/2]p und λ
[1/2]p +
1 und man deduziert aus (ii), daß die 1. Koordinaten der zugehörigen Punkte
u und (u + √
x) sind. Es ist somit möglich, einen
Algorithmus abzuleiten, welcher es erlaubt, [1/2]P in folgender
Weise zu berechnen:
Wenn
ein finiter bzw. endlicher
Körper
von 2
n Elementen ist, ist
die Untergruppe einer
elliptischen Kurve E, die durch:
definiert ist, und E[2
k] ist die Gesamtheit der Punkte P dieser
elliptischen Kurve, wie P, 2
k mal zu sich
selbst addiert ergibt das neutrale Element 0 mit k ganzzahlig größer oder
gleich 1, während
ein Punkt P = (x, y) dieser elliptischen Kurve durch die Division
durch zwei den Punkt
=
(u
o,v
o) der elliptischen
Kurve ergibt, der erhalten wird, indem die folgenden durch das Flußdiagramm
der
3 dargestellten
Operationen ausgeführt
werden:
-
- – es
wird ein erster Wert λo gesucht, wie λo
2 + λo = α +
x
- – es
wird ein zweiter Wert uo
2 berechnet,
wie uo
2 = x (λo +
1) + y
- – wenn
k 1 beträgt,
wird gesucht, ob die Gleichung λ2 + λ = α2 +
uo2 Lösungen
in besitzt,
- – im
zustimmenden bzw. bejahenden Fall wird die Division durch zwei durch: im negativen bzw. verneinenden
Fall wird x zu dem zweiten Wert uo
2 hinzugefügt und 1 zu dem ersten Wert λo hinzugefügt, um die
Division durch zwei wie in der vorhergehenden Operation auszuführen;
- – wenn
k größer als
1 ist, wird eine iterative Berechnung durchgeführt, bestehend aus:
Suchen
eines Werts λi, wie λi
2 + λi = α + ui-1
anschließend Berechnen des Werts u2
i, wie u2
i = ui-1 (λi + λi-1 +
ui-1 + 1)
indem i ausgehend von i=1
inkrementiert wird, bis der Wert uk-1
2 erhalten wird
- – es
wird gesucht, ob die Gleichung λ2 + λ = α2 +
u2
k-1 in Lösungen besitzt
- – im
bejahenden Fall wird die Division durch zwei berechnet mit:
- – im
negativen Fall wird x zu dem zweiten Wert uo
2 hinzugefügt und 1 zu dem ersten Wert λo hinzugefügt, um die
Division durch zwei wie in der vorhergehenden Operation zu berechnen.
-
Wenn man versucht, den Punkt
=
(u
o, v
o) der elliptischen
Kurve durch (u
o, λ
o) mit λ
o =
u
0 + v
o /u
0 dazustellen, stimmt nun der Algorithmus
mit dem Flußdiagramm
von
4 überein,
worin:
- – ein
erster Wert λo gesucht wird, wie λo
2 + λo = α +
x
- – ein
zweiter uo berechnet wird, wie uo
2 = x(λo +
1) + y,
- – wenn
k 1 beträgt,
gesucht wird, ob die Gleichung λ2
0 + λ0 = α2 +
u2
o in Lösungen besitzt,
- – im
bestätigenden
Fall die Division durch zwei berechnet wird aus: im negativen Fall x zu dem
zweiten Wert u2
o hinzugefügt wird
und 1 zu dem ersten Wert λo hinzugefügt wird, um die Division durch
zwei wie in der vorhergehenden Operation durchzuführen;
- – wenn
k größer als
1 ist, eine iterative Berechnung durchgeführt wird bestehend aus:
Suchen
eines Werts λi, wie λi
2 + λi = α + ui-1
anschließend Berechnen des Werts ui
2, wie ui
2 = ui-1 (λi + λi-1 +
ui-1 +1)
indem i ausgehend von i =
1 erhöht
wird, bis der Wert u2 k-i erhalten wird
- – gesucht
wird, ob die Gleichung λ2 + λ = α2 +
u2
k-1 in Lösungen besitzt
- – im
bestätigenden
Fall die Division durch zwei berechnet wird aus:
- – im
negativen Fall x zu dem zweiten Wert uo
2 hinzugefügt wird und 1 zu dem ersten λo hinzugefügt wird, um
die Division durch zwei wie in der vorhergehenden Operation durchzuführen.
-
Wenn man versucht, den Punkt P =
(x, y) durch (x, λ
P) darzustellen, indem λ
p =
x+y/x festgelegt wird, welches durch die Division durch zwei den
Punkt
=
(u
o, v
o) der elliptischen
Kurve ergibt, stimmt der Algorithmus mit dem Flußdiagramm von
5 überein,
worin:
- – ein
erster Wert λo gesucht wird, wie λo
2 + λo = α +
x
- – ein
zweiter Wert uo berechnet wird, wie uo
2 = x(λo + λp +
x + 1)
- – wenn
k 1 beträgt,
gesucht wird, ob die Gleichung λ2 + λ = α2 +
uo
2 in Lösungen besitzt,
- – im
bestätigenden
Fall die Berechnung durch zwei berechnet wird aus:
- – im
negativen Fall x zu dem zweiten Wert uo hinzugefügt wird
und 1 zu dem ersten Wert λo hinzugefügt wird, um die Division durch
zwei wie in der vorhergehenden Operation auszuführen;
- – wenn
k viel größer als
1 ist, eine iterative Berechnung durchgeführt wird, bestehend aus:
Suchen
eines Werts λi, wie λi
2 + λi = α + ui-1
anschließend Berechnen des Wert ui
2, wie ui
2 = ui-1 (λi + λi-1 +
ui-1 +1)
indem i ausgehend von i =
1 inkrementiert bzw. erhöht
wird, bis der Wert u2
k-1 erhalten
wird
- – gesucht
wird, ob die Gleichung λ2 + λ = α2 +
u2
k-1 in Lösungen besitzt
- – im
bestätigenden
Fall die Division durch zwei berechnet wird aus:
und
- im negativen Fall x zu dem zweiten Wert uo
2 hinzugefügt wird und 1 zu dem ersten
Wert λo hinzugefügt wird, um die Division durch
zwei wie in der vorigen Operation durchzuführen.
-
Wenn ausgewält wird, den Punkt P = (x,
y) durch (x, λ
p) mit λ
p = x + y/x darzustellen, der durch die Division
durch zwei den Punkt
=
(u
o, v
o) der elliptischen
Kurve ergibt, die durch (u
o, λ
o)
mit λ
o = u
o + v
0/u
0 dargestellt
ist, stimmt schließlich
der Algorithmus mit dem Flußdiagramm
der
6 überein,
worin:
- – ein
erster Wert λo wie λo + λo = α +
x gesucht wird,
- – ein
zweiter Wert uo
2,
wie uo
2 = x (λo + λp +
x + 1) berechnet wird,
- – wenn
k 1 beträgt,
gesucht wird, ob die Gleichung λ2 + λ = α2 +
uo
2 in Lösungen besitzt,
- – im
bestätigenden
Fall die Division durch zwei berechnet wird aus:
- – im
negativen Fall x zu dem zweiten Wert uo hinzugefügt wird
und 1 zu dem ersten Wert λo hinzugefügt wird, um die Division durch
zwei wie in der vorhergehenden Operation zu berechnen;
- – wenn
k viel größer 1 ist,
eine iterative Berechnung durchgeführt wird bestehend aus:
Suchen
eines Werts λi, wie + λi = α +
ui-1
danach Berechnen des Werts ui
Z, wie ui2 = ui-1 (λi + λi-1 +
ui-i + 1)
indem i ausgehend von i=1
erhöht
wird, bis der Wert u2
k-1 erhalten
wird
- – gesucht
wird, ob die Gleichung λ2 + λ = α2 +
u2
k-1 in Lösungen besitzt,
- – im
bejahenden Fall die Division durch zwei berechnet wird aus:
- – im
negativen Fall x zu dem zweiten Wert uo
2 hinzugefügt wird und 1 zu dem ersten
Wert λo hinzugefügt wird, um die Division durch
zwei wie in der vorhergehenden Operation zu berechnen.
-
Es wird nun beschrieben, wie der
Test, die Auflösung
der Gleichung zweiten Grades und die Berechnung der Quadratwurzel
in dem Algorithmus der Division eines Punkts durch 2 schnell durchgeführt wird.
Es werden die zwei Fälle
mit normaler Basis und Polynombasis berücksichtigt.
-
Die Ergebnisse auf normaler bzw.
Normalbasis sind bekannt. Man kann
als vektoriellen Raum
mit n Dimensionen auf F
2 betrachten. In
einer Normalbasis ist ein Element des Körpers dargestellt durch:
worin β ∊
so gewählt ist,
daß:
eine Basis
ist. In einer Normalbasis
berechnet sich die Quadrat-wurzel
durch eine kreisförmige
Linksverschiebung und das Erheben zum Quadrat durch eine kreisförmige Rechtsverschiebung.
Die entsprechenden Zeiten einer Berechnung sind vernachlässigbar.
-
Wenn die Gleichung zweiten Grades: λ
2 + λ = x ihre
Lösungen
in
hat, ist eine Lösung somit
gegeben durch:
-
Die Zeit einer Berechnung von λ ist vernachlässigbar
gegenüber
der Zeit einer Berechnung einer Multiplikation oder einer Inversion
in dem Körper.
Da die Zeit der Berechnung einer Lösung der Gleichung zweiter Ordnung
vernachlässigbar
ist, kann man den Test auf folgende Weise durchführen: Berechnen eines Kandidaten λ ausgehend
von x und Testen, ob λ
2 + λ =
x. Wenn dies nicht der Fall ist, hat die Gleichung keine Lösung in
-
Auf Polynombasis verwendet man die
Darstellung:
Die
Quadratwurzel von x kann berechnet werden, indem das Element √
T gespeichert wird, wenn
man anmerkt, daß:
in
einem Körper
der Charakteristik 2 die Quadratwurzel ein Morphismus des Körpers
ist.
-
Indem in x die geraden und ungeraden
Potenzen von T neu gruppiert werden und die Quadratwurzel gezogen
wird, ergibt sich:
so genügt es für eine Berechnung einer Quadratwurzel
zwei Vektoren um die Hälfte
zu "reduzieren" und nachfolgend
eine Multiplikation eines vorberechneten Werts mit einem Element
einer Länge
n/2 durchzuführen. Deshalb
ist die Zeit einer Berechnung einer Quadratwurzel auf einer Polynombasis äquivalent
der Hälfte
der Zeit einer Berechnung für
eine Multiplikation in dem Körper.
-
Für
den Test und die Lösung
der Gleichung zweiten Grades wird
als ein vektorieller
Raum mit n Dimensionen über
F
2 betrachtet. Die durch:
definierte Anwendung F ist
somit ein linearer Operator des Kerns {
0,
1}.
-
Für
ein gegebenes x hat die Gleichung λ
2 + λ = x ihre
Lösungen
in
, wenn und nur wenn
der Vektor x in dem Bild von F ist. Im (F) ist ein Unterraum von
mit n – 1 Dimensionen.
Für eine
gegebene Basis von
und das entsprechende
skalare bzw. Skalarprodukt existiert ein einziger nicht trivialer
Vektor, der auf alle Vektoren von Im(F) orthogonal ist. Es sei w
dieser Vektor. Man erhält:
-
So kann die Ausführung des Tests durchgeführt werden,
indem die Komponenten von x zu den Komponenten von w gleich 1 entsprechend
hinzugezählt
werden. Die Zeit für
eine Ausführung
dieses Tests ist vernachlässigbar.
-
Für
die Lösung
der Gleichung 2-ten Grades: F(λ)
= λ
2 + λ =
x auf einer Polynombasis wird ein einfaches und direktes Verfahren
vorgeschlagen, das die Speicherung einer Matrix von n × n umfaßt. Dafür wird ein
linearer Operator G gesucht, wie:
-
Es sei γ ∊
ein Vektor, wie γ
Im(F), und G definiert
durch:
-
Wenn x =
x
iF(T
i) ∊ Im(F) gegeben ist, ist somit
G (x) eine Lösung
der Gleichung 2-ten Grads. Eine Implementierung besteht im Vorabberechnen
der Matrix die G darstellt, in bzw. auf der Basis {1,T,........,T
n-1}. In der Charakteristik von 2 reduziert
sich die Multiplikation einer Matrix mit einem Vektor auf die Addition
der Spalten der Matrix zu den entsprechenden einer Komponente des
Vektors gleich 1. Es folgt, daß diese
Methode der Lösung
einer Gleichung 2-ter Ordnung im Mittel n/2 Additionen im Körper
verbraucht.
-
Es wird nachfolgend die Anwendung
der auf die skalare Mul-tiplikation
angewandten Prinzipien beschrieben.
-
Es sei P ∊
ein Punkt ungerader
r-ter Ordnung, c eine ganze aleatorische Zahl und m der Gesamtteil
von log
2 (r). Es wird das Produkt [c]P eines
Punkts mit einem Skalar berechnet wird, indem die Anwendung einer
Division eines Punkts durch 2 verwendet wird.
-
Es zeigt sich, daß:
Für jede ganze Zahl c existiert
eine rationale Zahl der Form:
wie
-
Es sei <P> die
zyklische Gruppe, die durch P generiert ist. Wenn ein ringförmiger Isomorphismus
vorliegt:
kann man die skalare Multiplikation
berechnen mit:
indem die Divisionen durch
2 und die Additionen verwendet werden. Der gut bekannte Algorithmus
der Verdoppelung-Addition kann für
diese Berechnungen verwendet werden. Es genügt dafür, in dem Algorithmus die Verdoppelungen
durch die Divisionen durch 2 zu ersetzen. Man muß log
2 (r)
Divisionen durch 2 und im Mittel 1/2 log
2 (r)
Additionen ausführen.
Es existieren Verbesserungen an dem Algorithmus der Verdoppelung-Addition,
welche im Mittel nur 1/3 log
2 (r) Additionen
erfordern.
-
Als Folge wird eine vorher genannte
skalare Multiplikation, die eine Division durch zwei verwendet,
wie sie oben definiert wurde, durch die folgenden Operationen erhalten:
- – wenn
dieser Skalar der Multiplikation mit S bezeichnet wird, werden m+1
Werte So ... Sm ∊ {0,1} gewählt, um S zu definieren durch:
- – indem
r von der zuvor ausgeführten,
ungerader Ordnung ist und m ist die einzige ganze Zahl zwischen log2(r) – 1
und log2 (r) ist,
- – berechnet
man die skalare Multiplikation [S]P eines Punkts P dieser elliptischen
Kurve mit dem Skalar S durch Anwendung eines Algorithmus, der aus
einer Bestimmung der Folge von Punkten (Qm+1 Qm. . ., Qi. . .,
Qo) dieser elliptischen Kurve E besteht,
wie:
- – wobei
die Berechnung des letzten Punkts Qo dieser
Folge das Resultat [S]P der skalaren Multiplikation ergibt.
-
Um den ursprünglichen Punkt P zu einem Zwischenergebnis
Q =
hinzuzuzählen, wird der folgende Algorithmus
verwendet, welcher ein traditioneller Algorithmus ist, der nur geringfügig modifiziert
ist:
Eingabe: P = (x, y) in affinen Koordinaten und Q = (u,
u(u + λQ)),
dargestellt durch (u, λQ)
Ausgabe:
P + Q = (s, t) in affinen Koordinaten
-
-
Dieser Algorithmus verwendet 1 Inversion,
3 Multiplikationen und 1 Quadratwurzel.
-
Der erhaltene Zeitgewinn, indem die
Operationen einer Multiplikation mit 2 durch Divisionen durch 2 ersetzt
werden, ist bedeutend. In affinen Koordinaten erfordern sowohl die
Multiplikation mit 2 als auch die Addition beide: eine Inversion,
zwei Multiplikationen und eine Quadratwurzel. Wenn der Skalar der
Multiplikation mit einem Skalar durch einen Vektor von Bits einer
Länge m
und mit k Komponenten, die nicht Null sind, dargestellt ist, erfordern
die Operationen für
die skalare Multiplikation:
-
So werden, indem die Division durch
2 verwendet wird, m Inversionen, m-k Multiplikationen und m Quadrate
zum Preis von m Lösungen
2-ter Ordnung, m Quadratwurzeln und m Tests ökonomisiert bzw. eingetauscht.
-
Auf Polynombasis kann man eine Zeitverbesserung
einer Durchführung
nahe 50 % erhalten.
-
Auf Normalbasis wird die Berechnungszeit
der Quadratwurzel des Test und der Lösung der Gleichung 2-ter Ordnung
als gegenüber
der Berechnungszeit einer Multiplikation oder einer Inversion als
negierbar abgeschätzt.
Indem unter anderen angenommen wird, daß die Berechnungszeit einer
Inversion gleich der Berechnungszeit von 3 Multiplikationen ist,
gelangt man zu einer Verbesserung der Ausführungszeit von 55 %.
-
2 illustriert
schematisch eine mögliche
Anwendung der oben beschriebenen Algorithmen, die zwischen zwei
Einheiten A und B angewandt werden, die Informationen über einen
nicht gesicherten Kommunikationskanal austauschen. Dieser Kommunikationskanal
kann hier aus einfachen elektrischen Verbindungen, die zwischen
den zwei Einheiten zum Zeitpunkt einer Transaktion bzw. Übertragung
eingerichtet sind, bestehen. Er kann auch ein Telekommunikationsnetz,
ein Funk netz und/oder optisches Netz umfassen. Im gegenwärtigen Fall
ist die Einheit A eine Mikrochipkarte und die Einheit B ist ein
Server. Sobald die beiden Einheiten miteinander über den Kommunikationskanal
in Beziehung bzw. Verbindung gebracht wurden, werden diese Einheiten
ein Konstruktionsprotokoll eines gemeinsamen Schlüssels anwenden.
-
Um dies auszuführen:
- – besitzt
die Einheit A einen geheimen bzw. Geheimschlüssel a
- – besitzt
die Einheit B einen Geheimschlüssel
b.
-
Sie können einen ihnen allein bekannten
Geheimschlüssel
x, ausgehend von einem öffentlichen Schlüssel, der
aus einem Punkt P ungerader Ordnung r einer elliptischen Kurve E
besteht, die gewählt
ist und nicht supersingulär
ist, erarbeiten.
-
Das eingesetzte bzw. angewandte Protokoll
ist von der Diffie-Hellman-Art, indem die "Multiplikationen mit zwei", welche üblicherweise
Verdoppelungen des Punkts durch die genannte Operation genannt werden, als "Division durch zwei" gemäß der hier
oben beschriebenen Erfindung ersetzt werden.
-
Um dies durchzuführen, ist der Algorithmus der
Folgende:
- – die
erste Einheit (beispielsweise A) berechnet die skalare Multiplikation
[a)P und schickt den resultierenden Punkt an die zweite Einheit,
- – die
zweite Einheit (B) berechnet die skalare Multiplikation [b]P und
schickt den resultierenden Punkt an die erste Einheit,
- – die
zwei Einheiten berechnen jeweils einen gemeinsamen Punkt (C) = (x,
y) der elliptischen Kurve (E), indem sie jeweils skalare Multiplikationen
[a] ([b]P) und [b] ([a]P) durchführen,
die beide gleich [a.b]P sind,
- – die
zwei Einheiten wählen
als gemeinsamen Schlüssel
die Koordinate x des gemeinsamen Punkts (C), der durch die skalare
Multiplikation [a.b]P erhalten ist, wobei wenigstens die vorhergehenden
skalaren Multiplikationen, und vorzugsweise sämtliche, mit Hilfe der zuvor
definierten Divisionen durch zwei ausgeführt werden.
-
Als bedeutend präziseres Beispiel stellt die 7 einen Server B dar, der
mit einem Kommunikationsnetz 1 über ein Kommunikations-Interface 2 beispielsweise
in der Art eines Modems verbunden ist. In analoger Weise ist eine
Berechnungsstation 3 mit dem Netz 1 durch ein
Kommunikations-Interface 4 verbunden. Die Station 3 ist
mit einem Lesegerät
für die
Mikrochip karte 5 ausgestattet, in welchen die Karte mit
einem Mikroschaltkeis bzw. -chip A eingesetzt ist.
-
Der Aktivspeicher 6 des
Servers B enthält
ein Programm 7 das fähig
ist, kryptographische Berechnungen auf elliptischen Kurven, und
insbesondere das Produkt eines Punkts mit einem Skalar und die Division eines
Punkts durch 2 auszuführen.
-
Die Karte A umfaßt eine Zentraleinheit 11,
einen Aktivspeicher, der "RAM" 8 genannt
wird, einen Festspeicher, der "ROM" 9 genannt
wird, und einen wiederbeschreibbaren Speicher, der "EEPROM" 10 genannt wird.
Einer der Speicher 9 oder 10 enthält ein Programm 12,
das fähig
ist, kryptographische Berechnungen an elliptischen Kurven, und insbesondere
das Produkt eines Punkts mit einem Skalar und die Division eines Punkts
durch 2 auszuführen.
-
Die zwei Programme 7 und 12 besitzen
einen gemeinsamen Bezug, der aus ein und derselben elliptischen
Kurve (E) und ein und demselben Punkt P = (x0,
y0) von (E) besteht bzw. gebildet ist.
-
Wenn A es wünscht, parallel zu B einen
gemeinsamen Geheimschlüssel
zu konstruieren, um einen Dialog mit B zu sichern, wählt es einen
Skalar a aus und sendet an B das Produkt Q = [a] P = (x1,
y1). In Antwort auf diese Sendung wählt B einen
Skalar b und retourniert das Produkt R = [b]P = (x2,
Y2) an A.
-
A berechnet somit das Produkt [a]
R = [ab] P = (x, y) , während
B das Produkt [b] Q = [ab] P = (x, y) berechnet, und A und B nehmen
x als gemeinsamen Geheimschlüssel
an.
-
Diese Operationen können in
der nachfolgenden Tabelle dargestellt werden. Jene, die in dem Server B
ausgeführt
werden, sind in der rechten Spalte angeführt, während jene, welche auf der
Karte A ausgeführt werden,
in der linken Spalte angeführt
sind, wobei die horizontalen Pfeile den Informationstransfer über das Netz 1 symbolisieren.
-
-
Eine andere mögliche Anwendung, die die Erfindung
ins Spiel bringt, ist fähig,
zwischen den zwei Einheiten A und B der 7 eingesetzt zu werden. Es handelt sich
um ein Signaturprotokoll einer Nachricht M, die zwischen A und B über den
nicht gesicherten Kanal, d.h. das Netz 1, übertragen
wird. Der Zweck dieses Protokolls, das in seinen großen Zügen bekannt
ist, ist es, die Sicherheit einzubringen, daß die durch eine der Einheiten
erhaltene Nachricht gut durch jene abgesandt wurde, mit welcher
diese korrespondiert.
-
Um dies auszuführen, besitzt die absendende
Einheit (beispielsweise A) zwei permanente bzw. Permanentschlüssel, einen
geheimen a und einen öffentlichen
Q = [a]P, worin P ein Punkt einer elliptischen Kurve (E) ist, wobei
P und (E) bekannt und durch A und B vereinbart sind. Ein anderer öffentlicher
Schlüssel
besteht aus dem Punkt P ungerader Ordnung r der gewählten elliptischen
Kurve E, die nicht supersingulär
ist. Die ins Spiel gebrachten Operationen implizieren Divisionen
durch zwei in dem oben definierten Sinn.
-
Gemäß einem möglichen Beispiel:
- – konstruiert
die erste Einheit (A), welche das Paar von Permanentschlüsseln besitzt,
ein Paar von einzigartigen Schlüsseln
zur Verwendung, wobei der eine (g) beliebig gewählt wird und der andere [g]P
aus einer skalaren Multiplikation des Schlüssels (g) resultiert, der beliebig
bzw. willkürlich
durch den öffentlichen Punkt
P der elliptischen Kurve gewählt
wurde, wobei die Koordinaten dieses Schlüssels ([g] P) mit (x, y) mit 2 ≤ g ≤ r – 2 notiert
sind,
- – konvertiert
die erste Einheit (A) das Polynom x des Schlüssels mit einzigartiger Verwendung
[g]P = (x, y) in eine ganze Zahl i, deren binärer Wert durch die Sequenz
der binären
Koeffizienten des Polynoms x dargestellt ist,
- – berechnet
die erste Einheit (A) eine Signatur bzw. eine Unterschrift (c, d)
der Nachricht (M) in der folgenden Weise:
c = i Modulo r
d
= g–1 (M
+ ac) Modulo r,
- – die
genannte erste Einheit sendet die Nachricht (M) und die Signatur
(c, d) an die zweite Einheit; bei Empfang
- – verifiziert
die zweite Einheit (B), ob die Elemente dieser Signatur (c, d) jeweils
dem Intervall[1, r-1] angehören,
- – im
negativen Fall wird die Signatur als nicht gültig erklärt und gestoppt
- – im
bejahenden Fall berechnet die zweite Einheit (B) drei Parameter:
h
= d–1 Modulo
r
h1 = Mh Modulo r
h2 =
ch Modulo r
- – die
genannte zweite Einheit berechnet einen Punkt T der elliptischen
Kurve durch die Summe der skalaren Multiplikationen der Punkte P
und Q durch die zwei letzteren genannten Parameter: T
= [h1] P + [h2]
Qwenn der resultierende Punkt T ein neutrales Element ist,
erklärt
die zweite Einheit die Signatur als nicht gültig und stoppt.
Wenn
nicht, indem der Punkt T mit den Koordinaten x' und y' berücksichtigt
wird: T = (x', y'),
- – wandelt
die zweite Einheit (B) das Polynom x' dieses Punkts in eine ganze Zahl i' um, deren binärer Wert durch
die Sequenz der binären
Koeffizienten des Polynoms x' dargestellt
ist,
- - berechnet die zweite Einheit (B) c' = i' Modulo
r, und
- – verifiziert,
daß c' = c, um die Signatur
als gültig
zu erklären
bzw. zu validisieren oder als ungültig zu erklären in dem
entgegengesetzten Fall, wobei wenigstens eine vorgenannte skalare
Multiplikationsoperation und vorzugsweise sämtliche mit Hilfe der zuvor
definierten Divisionen durch zwei ausgeführt werden.
-
Diese Operationen können durch
die nachfolgende Tabelle dargestellt werden, wo die Operationen, die
durch den Server B ausgeführt
werden, in der rechten Spalte dargestellt sind, während die
Operationen, die durch die Karte A ausgeführt werden, in der linken Spalte
angezeigt sind, wobei der Pfeil zwischen den zwei Spalten die Informationstransfers über bzw.
durch das Netz 1 symbolisieren.
-
ihr algebraischer Abschluß. Es sei
enthalten ist, wenn und nur wenn k ≤ k' ist. Wenn man sich auf die elliptischen Kurven E beschränkt, für welche k' = 1, ist die Struktur von
:
notiert wird.
sein, wenn und nur wenn Q = [1/2]P + T2 ist, liegt er in der Form
+
mit 0 ≤ i ≤ k sein, wenn und nur wenn Q = [1/2]P. Man erhält somit die notwendige und ausreichende Bedingung:
die Untergruppe einer elliptischen Kurve E, die durch:
= (uo,vo) der elliptischen Kurve ergibt, der erhalten wird, indem die folgenden durch das Flußdiagramm der
so gewählt ist, daß:
ist. In einer Normalbasis berechnet sich die Quadrat-wurzel durch eine kreisförmige Linksverschiebung und das Erheben zum Quadrat durch eine kreisförmige Rechtsverschiebung. Die entsprechenden Zeiten einer Berechnung sind vernachlässigbar.
verbraucht.
indem die Divisionen durch 2 und die Additionen verwendet werden. Der gut bekannte Algorithmus der Verdoppelung-Addition kann für diese Berechnungen verwendet werden. Es genügt dafür, in dem Algorithmus die Verdoppelungen durch die Divisionen durch 2 zu ersetzen. Man muß log2 (r) Divisionen durch 2 und im Mittel 1/2 log2 (r) Additionen ausführen. Es existieren Verbesserungen an dem Algorithmus der Verdoppelung-Addition, welche im Mittel nur 1/3 log2 (r) Additionen erfordern.
notiert wird.
= (u0, v0) dieser elliptischen Kurve gibt, der erhalten wird, indem die folgenden Operationen ausgeführt werden: man sucht einen ersten Wert λ0, wie λ0 2 + λ0 = α + x man berechnet einen zweiten Wert uo 2, wie uo 2 = x (λo + 1) + y wenn k 1 beträgt, sucht man, ob die Gleichung λ2 + λ = α2 + u2 0 Lösungen in
besitzt, im bejahenden Fall berechnet man die Division durch zwei aus:
besitzt; bejahendenfalls berechnet man die Division durch zwei aus:
die Untergruppe einer elliptischen Kurve E ist, die definiert ist durch:
Lösungen besitzt, im bejahenden Fall berechnet man diese Division durch zwei aus:
Lösungen besitzt; im bejahenden Fall berechnet man die Division durch zwei aus:
besitzt, im bejahenden Fall berechnet man diese Division durch zwei aus:
Lösungen besitzt, im bejahenden Fall berechnet man diese Division durch zwei aus:
und E[2k] die Gesamtheit der Punkte P dieser elliptischen Kurve ist, wie P, 2k mal zu sich selbst addiert, das neutrale Element
Lösungen besitzt, im bejahenden Fall berechnet man diese Division durch zwei aus.
Lösungen besitzt; im bejahenden Fall berechnet man diese Division durch zwei aus:
wobei die Berechnung des letzten Punktes Q0 der Folge das Resultat [S]P der skalaren Multiplikation ergibt.