DE60217131T2

DE60217131T2 - Universelles berechnungsverfahren für punkte auf einer elliptischen kurve

Info

Publication number: DE60217131T2
Application number: DE60217131T
Authority: DE
Inventors: Marc Joye
Original assignee: Gemplus Card International SA; Gemplus SA
Current assignee: Gemplus SA
Priority date: 2001-08-17
Filing date: 2002-07-31
Publication date: 2007-09-27
Anticipated expiration: 2022-08-01
Also published as: FR2828779B1; DE60217131D1; ES2279887T3; EP1421473B1; CN1571952A; WO2003017087A1; FR2828779A1; EP1421473A1; US20040247114A1

Description

Die vorliegende Erfindung betrifft ein auf Punkte einer elliptischen Kurve angewendetes universelles Berechnungsverfahren und eine elektronische Komponente mit Umsetzungsmitteln eines derartigen Verfahrens. Die Erfindung ist insbesondere auf die Umsetzung von kryptographischen Algorithmen vom Typ öffentlicher Schlüssel anwendbar, zum Beispiel in Chipkarten.
Algorithmen mit öffentlichem Schlüssel auf einer elliptischen Kurve lassen kryptographische Anwendungen vom Typ Verschlüsselung, digitale Unterschrift, Authentifizierung, usw. zu.
Sie werden insbesondere stark in Anwendungen vom Typ Chipkarte eingesetzt, weil sie den Einsatz von Schlüsseln recht kurze Bearbeitungszeiten erlaubender geringer Länge zulassen und weil sie zu ihrer Implementierung nicht unbedingt den Einsatz von kryptographischen Prozessen benötigen, was den Gestehungspreis der elektronischen Komponenten, in denen sie implementiert sind, verringert.
Es gibt zur Definition einer in der Kryptographie anwendbaren Kurve unterschiedliche Parametrisierungen. Eine häufig eingesetzte Parametrisierung ist die so genannte Weierstraß-Parametrisierung. Es ist jedoch anzumerken, dass die Weierstraß-Parametrisierung sehr allgemein ist, da jede elliptische Kurve unter dieser Parametrisierung eingeordnet werden kann.
Zur Erinnerung – wenn IK ein Körper ist, sind alle Punkte (X, Y) ε IK·IK bei der Überprüfung der allgemeinen Weierstraß-Gleichung (Formel F1): E/IK : Y2 + a1·X·Y + a2·Y = X3 + a2·X2 + a4·X + a6wobei ai ε IK und der Punkt in der Unendlichkeit 0 eine elliptische Kurve E bilden. Jede elliptische Kurve auf einem Körper kann in dieser Form ausgedrückt werden.
Alle Punkte (X, Y) und der Punkt in der Unendlichkeit 0 bilden eine wechselseitige Gruppe, in der der Punkt in der Unendlichkeit 0 das neutrale Element ist und in der die Gruppenoperation die mit + bezeichnete und von der wohlbekannten Regel der Sekante und der Tangente vorgegebene Addition von Punkten ist. In dieser Gruppe bildet das Paar (X, Y), in der die Abszisse X und die Ordinate Y Elemente des Körpers IK sind, die affinen Koordinaten eines Punktes P der elliptischen Kurve.
Der durch das Paar (X, Y) in den affinen Koordinaten dargestellte Punkt kann auch durch projektive Koordinaten der allgemeinen Form (U, V, W) dargestellt werden.
Die projektiven Koordinaten sind insbesondere in den auf Punkte einer elliptischen Kurve angewendeten Exponentialberechnungen interessant, denn sie umfassen keine Inversionsberechnungen im Körper.
Der Punkt P kann durch projektive, als Jacobi-Koordinaten bezeichnete Koordinaten der allgemeinen Form (U, V, W), dargestellt werden, wobei (X, Y) und (U. V, W) durch die folgenden Funktionen verbunden werden: X = U/W2 und Y = V/W3 (Formeln F2)
Mit diesen Jacobi-Koordinaten wird die Weierstraß-Gleichung einer elliptischen Kurve zu: E/IK : V2 + a1UVM + a3VM3 = U3 + a2U2W2 + a4UW4 + a6W6.
Der Punkt P kann ebenfalls durch projektive, so genannte homogene Koordinaten der allgemeinen Form (U, V, W) dargestellt werden, wobei (X, Y) und (U, V, W) dieses Mal durch die folgenden Funktionen verbunden werden: X = U/W und Y = V/W (Formeln F3)
Mit diesen homogenen Koordinaten wird die Weierstraß-Gleichung einer elliptischen Kurve zu: E/IK : V2W + a1UVW + a3VW2 = U3 + a2U2W + a4UW2 + a6W3 (Formel 4).
Die Weierstraß-Gleichung kann unter einer vereinfachten Formel gemäß den Merkmalen des Körpers angesetzt werden, auf dem die Kurve definiert ist. Es wird darauf hingewiesen, dass die Anzahl von Elementen des Körpers in einem fertigen Körper immer in Form von pⁿ zum Ausdruck kommt, in der p eine Primzahl ist. P ist das Merkmal des Körpers. Wenn der Körper nicht fertig ist, wird das Merkmal per Vereinbarung als gleich Null definiert.
In dem Fall, in dem das Merkmal des Körpers unterschiedlich von 2 und 3 ist, wird die Weierstraß-Gleichung in affinen Koordinaten folgendermaßen vereinfacht: E/IK : Y2 = X3 + a·X + b (Formel F5)in der a und b Parameter der elliptischen Kurve, Elemente von IK sind.
Von dieser vereinfachten Gleichung in affinen Koordinaten werden selbstverständlich äquivalente Formeln in dem Fall einer Weierstraß-Parametrisierung in projektiven Jacobi- oder homogenen Koordinaten abgeleitet.
In dem Fall, in dem das Merkmal des Körpers gleich 2 ist, wird die Weierstraß-Gleichung einer nicht supersingulären Kurve in affinen Koordinaten folgendermaßen vereinfacht: EI/IK : Y2 + XY = X3 + a·X2 + b (Formel F6)in der a und b Parameter der elliptischen Kurve, Elemente von IK sind.
Von dieser vereinfachten Gleichung in affinen Koordinaten werden selbstverständlich ebenso wie zuvor äquivalente Formeln in dem Fall einer Weierstraß-Parametrisierung in projektiven Jacobi- oder homogenen Koordinaten abgeleitet.
Gemäß der Parametrisierung, die die elliptische Kurve definiert und gemäß den Koordinaten, mit denen gearbeitet wird, sind unterschiedliche Additions-, Subtraktions- und Punktverdoppelungs-Formeln anwendbar.
Diese Formeln werden in zahlreichen, dem Fachmann bekannten Referenzen aufgegeben. Es ist ebenfalls anzumerken, dass in dem Fall von projektiven Koordinaten die Formeln nicht einzigartig sind, denn, wie die Formeln F2 und F3 aufzeigen, ein Punkt in den affinen Koordinaten hat mehrere äquivalente projektive Darstellungen.
In dem Beispiel einer durch eine Weierstraß-Parametrisierung in affinen Koordinaten bestimmten elliptischen Kurve E sind diese Formeln wie folgt (siehe das Dokument I. Blake et al.: „Elliptic Curves in Cryptography", 1999, Cambridge University Press, ISBN 0 521 653746, pp29–34).
Die Umkehrung eines Punktes P1 = (X1, Y1) dieser Kurve ist der Punkt –P1 der Koordinaten (X1, ^–Y1)), wobei –Y1 = –Y1 – a1·X1 – a3 (Formel F11).
Die Additionsoperation der Punkte P1 der Koordinaten (X1, Y1) und P2 der Koordinaten (X2, Y2) dieser Kurve mit P1 ≠ –P2, ergibt einen Punkt P3 = P1 + P2 der Koordinaten (X3, Y3), wie zum Beispiel: X3 = λ2 + a1·λ – a2 – X1 – X2 (Formel F12) Y3 = –(λ + a1)·X3 – μ – a3 (Formel F13)wobei λ = (Y1 – Y2)/(X1 – X2), wenn X1 ≠ X2 (Formel F14) λ = (3X12 + 2·a2i·X1 + a4 – a1·Y1)/(2Y1 + a1·X1 + a3), wenn X1 = X2 (Formel F15) und μ = Y1 – λ·X1 (Formel F16)
Die Formel F14 ist die Additionsformel von zwei unterschiedlichen Punkten: P3 = P1 + P2, während die Formel F15 die Verdoppelungsformel des Punktes ist: P3 = 2·P1.
Von diesen Gleichungen in affinen Koordinaten werden selbstverständlich äquivalente Formeln in projektiven, Jacobi- oder homogenen Koordinaten abgeleitet.
In dem Beispiel einer durch eine Weierstraß-Parametrisierung auf einem Körper von 2 und 3 unterschiedlicher Merkmale vorgegebenen elliptischen Kurve E werden die Additions-, Subtraktions- und Punktverdoppelungsformeln vereinfacht, weil die Gleichung der Kurve selbst reduziert wird. Gesetzt werden a1 = a2 = a3 = 0, a4 = a und a5 = b.
In dem Fall einer Weierstraß-Parametrisierung in affinen Koordinaten sind die vereinfachten Additions-, Subtraktions- und Punktverdoppelungsformeln dann die folgenden Formeln.
Die Umkehrung eines Punktes P1 = (X1, Y1) der Kurve E ist der Punkt –P1 = (X1, ^–Y1) wobei –Y1 = –Y1 (Formel F17).
Die Additionsoperation der Punkte P1 der Koordinaten (X1, Y1) und P2 der Koordinaten (X2, Y2) dieser Kurve, wobei P1 ≠ P2, ergibt den Punkt P3 = P1 + P2, dessen Koordinaten (X3, Y3) folgendermaßen sind: X3 = λ2 – X1 – X2 Y3 = λ·(X1 – X3) – Y1,wobei λ = (Y1 – Y2)/(X1 – X2), wenn P1 ≠ P2 (Formel 18) λ = (3·X12 + a)/(2·Y1), wenn P1 = P2 (Formel 19)
Die Formel 18 ist die Additionsformel der beiden unterschiedlichen Punkte: P3 = P1 + P2, während die Formel 19 die Verdoppelungsformel des Punktes: P3 = 2·P1 ist.
Die vereinfachten Additions- und Punktverdoppelungsformeln auf einer nicht supersingulären, auf einem Körper mit dem Merkmal 2 definierten elliptische Kurve werden auf ähnliche Weise ausgehend von den allgemeinen Formeln (Formeln F12 bis F16) unter Ansetzung von a1 = 1, a3 = a4 = 0, a2 = a und a6 = b erhalten.
Die Additions- oder Subtraktions- und Verdoppelungsoperationen eines Punktes sind in den Exponentialalgorithmen auf elliptischen Kurven eingesetzte Basisoperationen: Angesichts eines zu einer elliptischen Kurve E gehörenden Punktes P1 und da d eine vorbestimmte Zahl (eine ganze Zahl) ist, ist das Ergebnis der skalaren Multiplikation des Punktes P1 mit der Zahl d ein Punkt P2 der Kurve E, wie zum Beispiel P2 = d·P1 = P1 + P1 + ... + P1, d Mal. Die kryptographischen Algorithmen mit öffentlichem Schlüssel auf der elliptischen Kurve basieren damit auf der skalaren Multiplikation eines auf der Kurve ausgewählten Punktes P1 mit einer vorbestimmten Zahl d, einem geheimen Schlüssel. Das Ergebnis dieser skalaren Multiplikation d·P1 ist ein Punkt P2 der elliptischen Kurve. In einem Anwendungsbeispiel der Verschlüsselung gemäß dem Verfahren von El Gamal, ist der erhaltene Punkt P2 der öffentliche Schlüssel, der zur Verschlüsselung einer Meldung dient.
Die Berechnung der skalaren Multiplikation P2 = d·P1 kann durch unterschiedliche Algorithmen realisiert werden. Zu nennen wären einige, wie der Verdoppelungs- und der Additionsalgorithmus (double and add in der angelsächsischen Literatur), basierend auf der binären Darstellung des Exponenten d, dem auf der unterzeichneten binären Darstellung des Exponenten d basierenden Additions-Subtrations-Exponenten, dem Algorithmus mit Fenster usw.. Alle diese Algorithmen setzen auf den elliptischen Kurven definierte Additions-, Subtraktions- und Verdoppelungsformeln ein.
Diese Algorithmen erweisen sich jedoch als für auf die Aufdeckung insbesondere des Wertes des geheimen Schlüssels abzielende Angriffe empfindlich. Zu nennen wären insbesondere die Angriffe mit einfachen oder differenzialen versteckten Kanälen.
Unter Angriff mit einfachem oder differenzialem verstecktem Kanal wird ein auf einer von außerhalb der Vorrichtung messbaren physikalischen Größe basierender Angriff verstanden, deren direkte Analyse (einfacher Angriff) oder Analyse gemäß einer statistischen Methode (differenzialer Angriff) die Aufdeckung der enthaltenen und bei der Verarbeitung in der Vorrichtung bearbeiteten Informationen erlaubt. Diese Angriffe können damit die Aufdeckung der vertraulichen Informationen erlauben. Diese Angriffe wurden insbesondere von Paul Kocher (Advances in Cryptology – CRYPTO'99, Band 1666 of Lecture Notes in Computer Science, S. 388–397, Springer-Verlag, 1999) offen gelegt. Unter den physikalischen Größen, die zu diesen Zwecken verwertet werden können, sind die Ausführungszeit, der Stromverbrauch, das von dem Teil der zur Ausführung der Berechung eingesetzten Komponente ausgegebene elektromagnetische Feld, usw. zu nennen. Diese Angriffe basieren auf der Tatsache, dass die Bearbeitung eines Bits, das heißt seine Verarbeitung durch eine besondere Anweisung, einen besonderen Abdruck auf die betrachtete physikalische Größe je nach dem Wert dieses Bits und/oder gemäß der Anweisung hat.
In auf elliptischen Kurven basierenden kryptographischen Systemen zielen diese Angriffe auf die skalare Multiplikation ab.
Nimmt man das Beispiel eines skalaren Multiplikationsalgorithmus auf elliptischen Kurven mit der Weierstraß-Parametrisierung, kann dieser Algorithmus Angriffen mit versteckten Kanälen vom einfachen Typ ausgesetzt sein, denn die Operationen auf Verdoppelungs- und Additionsbasis sind deutlich unterschiedlich, wie die Berechnung des Lambda in den Formeln F14 und F15 oder F18 und F19 oben zeigt.
Es ist daher notwendig, Verfahren als die Verhinderung des Erfolgs der unterschiedlichen Angriffe erlaubenden Gegenmaßnahmen vorzusehen. Mit anderen Worten, es ist notwendig, die skalaren Multiplikations-Algorithmen zu sichern.
Ein Gegenstand der Erfindung ist die Umsetzung eines universellen Berechnungsprozesses und ganz allgemein ein vor den Angriffen mit versteckten Kanälen geschütztes kryptographisches Verfahren auf elliptischen Kurven.
In Anbetracht dieser Zielsetzung ist der Gegenstand der Erfindung ein universelles Berechnungsverfahren auf Punkten einer durch eine Weierstraß-Gleichung definierten elliptischen Kurve. Erfindungsgemäß werden identische programmierte Berechnungsmittel zur Realisierung einer Additionsoperation von Punkten und einer Verdoppelungsoperation von Punkten eingesetzt. Die Berechnungsmittel umfassen insbesondere eine Zentraleinheit und einen Speicher.
Somit sind mit der Erfindung die durch identische Berechnungsmittel realisierten Basisoperationen der Verdoppelung und der Addition von Punkten einer elliptischen Kurve identisch, sie haben dieselbe Formulierung. Es ist daher nicht mehr möglich, sie zu unterscheiden, insbesondere im Rahmen von Angriffen mit einfachen versteckten Kanälen. Infolgedessen wird ein erfindungsgemäßes universelles Berechnungsverfahren vor derartigen Angriffen geschätzt.
Ganz allgemein werden ein auf Punkte einer elliptischen Kurve angewendetes skalares Multiplikationsverfahren oder ein kryptographisches Verfahren auf einer elliptischen Kurve unter Einsatz eines erfindungsgemäßen universellen Berechnungsverfahrens auf dieselbe Weise geschützt.
Dies gilt unabhängig von den zur Realisierung der Berechnungen eingesetzten Koordinaten: affine, projektive, Jacobi- oder homogene Koordinaten, usw. Somit wird ein einziger Wert für Lambda zur Realisierung einer Addition oder einer Verdoppelung von Punkten eingesetzt.
Gemäß einem allgemeinen Ausführungsmodus berechnen zur Realisierung der Addition eines von ersten affinen Koordinaten (X1, Y1) definierten ersten Punktes P1 und eines von zweiten affinen Koordinaten (X2, Y2) definierten zweiten Punktes P2, wobei die affinen Koordinaten des ersten Punktes P1 und die des zweiten Punktes P2 in ersten und zweiten Verzeichnissen des Speichers gespeichert sind, wobei der erste Punkt und der zweite Punkt einer durch eine Weierstraß-Gleichung vom folgenden Typ definierten elliptischen Kurve angehören: Y2 + a1·X·Y + a3·Y = X3 + a2·X2 + a4·X + a6,wobei (X, Y) affine Koordinaten eines Punktes der Kurve sind und a1, a2, a3, a4, a5, a6 Parameter der elliptischen Kurve sind,
die programmierten Berechnungsmittel einen dritten Punkt P3 definierende dritte affine Koordinaten (X3, Y3), das Ergebnis der Addition, durch die folgenden Funktionen: X3 = λ2 + a1·λ – a2 – X1 – X2 (Formel F12) Y3 = –(λ + a1)·X3 – μ – a3 (Formel F13)wobei: λ = (X12 + X1·X2 + X22 + a2·X1 + a2·X2 + a4 – a1·Y1)/(Y1 + Y2 + a1·X2 + a3) (Formel F20) μ = Y1 – λ·X1 (Formel F16) wobei der zweite Punkt unterschiedlich von der Umkehrung (–P1) des ersten Punktes P1 und der zweite Punkt gleich dem ersten Punkt oder unterschiedlich vom ersten Punkt ist,
dann durch Speicherung der dritten affinen Koordinaten (X3, Y3) in dritten Verzeichnissen des Speichers.
Die durch die Formel F20 definierte Funktion λ ist identisch mit der Funktion λ des durch die Formel F14 definierten Standes der Technik in dem Fall, in dem X1 ≠ X2, das heißt, in dem Fall, in dem P1 ≠ P2 (Fall einer echten Addition von zwei unterschiedlichen Punkten). Auf dieselbe Weise ist die durch die Formel F20 definierte Funktion λ identisch mit der Funktion λ des durch die Formel F15 definierten Standes der Technik in dem Fall, in dem X1 = X2 (Fall einer Verdoppelungsoperation eines Punktes), das heißt, in dem Fall, in dem P1 = P2 die Verdoppelung eines Punktes ist). Dies wird im Folgenden in einem Beispiel präziser ausgeführt.
Derselbe Wert von Lambda erlaubt damit die Realisierung einer Addition oder einer Verdoppelung von Punkten in dem Fall einer durch eine Weierstraß-Parametrisierung definierten elliptischen Kurve.
Gemäß einem weiteren Ausführungsmodus berechnen zur Realisierung der Addition des durch die ersten affinen Koordinaten (X1, Y1) definierten ersten Punktes P1 und des durch die zweiten affinen Koordinaten (X2, Y2) definierten zweiten Punktes P2, wobei die affinen Koordinaten des ersten Punktes P1 und die des zweiten Punktes P2 in den ersten und zweiten Verzeichnissen des Speichers gespeichert sind, wobei der erste Punkt und der zweite Punkt einer durch eine vereinfachte Weierstraß-Gleichung vom folgenden Typ definierten ellip tischen Kurve auf einem Körper mit von 2 oder 3 unterschiedlichen Merkmalen angehören: Y2 = X3 + a·X + b,wobei (X, Y) affine Koordinaten eines Punktes der Kurve sind und a, b, Parameter der elliptischen Kurv sind,
die programmierten Berechnungsmittel die den dritten Punkt P3 definierenden affinen dritten Koordinaten (X3, Y3), das Ergebnis der Addition, durch die folgenden Funktionen berechnen: X3 = λ2 – X1 – X2 Y3 = λ·(X1 – X3) – Y1,wobei: λ = (X12 + X1·X2 + X22 + a)/(Y1 + Y2) (Formel F21),wobei der zweite Punkt von der Umkehrung (–P1) des ersten Punktes P1 unterschiedlich ist und der zweite Punkt gleich dem ersten Punkt oder vom ersten Punkt unterschiedlich ist,
dann die dritten affinen Koordinaten (X3, Y3) in den dritten Verzeichnissen des Speichers speichern.
Auch hier erlaubt derselbe Wert von Lambda die Realisierung einer Addition oder einer Verdoppelung von Punkten in dem Fall einer durch eine vereinfachte Weierstraß-Parametrisierung definierten elliptischen Kurve auf einem Körper mit von 2 und 3 unterschiedlichen Merkmalen.
Gemäß einem anderen Ausführungsmodus berechnen ebenfalls zur Realisierung der Addition des durch die ersten affinen Koordinaten (X1, Y1) definierten ersten Punktes P1 und des durch die zweiten affinen Koordina ten (X2, Y2) definierten zweiten Punktes P2, wobei die affinen Koordinaten des ersten Punktes P1 und die des zweiten Punktes P2 in den ersten und zweiten Verzeichnissen des Speichers (6, 8) gespeichert sind, wobei der erste Punkt und der zweite Punkt einer nicht supersingulären elliptischen Kurve auf einem Körper mit einem durch eine vereinfachte Weierstraß-Gleichung vom folgenden Typ definierten Merkmal von gleich 2 angehören: Y2 + XY = X3 + a·X2 + b,wobei (X, Y) affine Koordinaten eines Punktes der Kurve sind und a, b Parameter der elliptischen Kurve sind,
die programmierten Berechnungsmittel die den dritten Punkt P3 definierenden dritten affinen Koordinaten (X3, Y3), das Ergebnis der Addition, durch die folgenden Funktionen: X3 = λ2 + λ + a + X1 + X2 Y3 = λ·(X1 + X3) + X3 + Y1wobei λ = (X12 + X1·X2 + X22 + aX1 + aX2 + Y1)/(Y1 + Y2 + X2 (Formel F22),wobei der zweite Punkt unterschiedlich von der Umkehrung (–P1) des ersten Punktes P1 ist und der zweite Punkt gleich dem ersten Punkt oder unterschiedlich vom ersten Punkt ist,
dann die dritten affinen Koordinaten (X3, Y3) in den dritten Verzeichnissen des Speichers speichern.
Auch hier erlaubt derselbe Wert von Lambda die Realisierung einer Addition oder einer Verdoppelung von Punkten im Fall einer nicht supersingulären elliptischen Kurve auf einem Körper mit dem Merkmal gleich 2.
Wie soeben aufgezeigt, erlaubt das erfindungsgemäße Berechnungsverfahren die Realisierung der Additions- oder Verdoppelungsoperationen von zu elliptischen Kurven gehörenden Punkten unter Einsatz derselben Formulierung.
Ganz allgemein kann das erfindungsgemäße Verfahren in einem auf Punkte einer elliptischen Kurve und/oder in einem kryptographischen Verfahren angewendeten globalen Berechnungsverfahren zur skalaren Multiplikation eingesetzt werden.
Gegenstand der Erfindung ist ebenfalls eine elektronische Komponente mit programmierten Berechnungsmitteln, insbesondere mit einer Zentraleinheit und einem Speicher, um ein universelles Berechnungsverfahren zur Durchführung einer Addition oder einer Verdoppelung von Punkten einer elliptischen Kurve gemäß obiger Beschreibung umzusetzen. Die genannte elektronische Komponente kann globale Umsetzungsmittel eines ein universelles Berechnungsverfahren gemäß obiger Beschreibung einsetzenden kryptographischen Algorithmus umfassen.
Schließlich ist ebenfalls Gegenstand der Erfindung eine Chipkarte mit einer elektronischen Komponente gemäß obiger Beschreibung.
Die Erfindung und die sich daraus ergebenden Vorteile werden bei der Lektüre der nachfolgenden Beschreibung von besonderen Ausführungsbeispielen der Erfindung deutlicher, die ausschließlich zu Anschauungszwecken und unter Bezugnahme auf die einzige Figur im Anhang gegeben werden. Diese stellt in Form eines Blockschemas eine zur Realisierung von kryptographischen Berechnungen geeignete elektronische Vorrichtung 1 dar.
In den folgenden Beispielen ist die Vorrichtung 1 eine zur Ausführung eines kryptographischen Programms bestimmte Chipkarte. Zu diesem Zweck vereint die Vorrichtung 1 in einem Chip aus einer funktional mit einer Speichergruppe verbundenen Zentraleinheit 2 gebildete programmierte Berechnungsmittel, die Folgendes umfasst:

– einen nur zum Lesen zugänglichen Speicher 4, in dem Beispiel vom Typ ROM Maske, ebenfalls bekannt unter der englischen Bezeichnung „mask read-only memory (mask ROM)",
– einem elektrisch neu programmierbaren Speicher 6, in dem Beispiel vom Typ EPPROM (aus dem Englischen „electrically erasable programmable ROM'') und
– einem zum Lesen und zum Schreiben zugänglichen

Arbeitsspeicher 8, in dem Beispiel vom Typ RAM (aus dem Englischen „random access memory"). Dieser Speicher umfasst insbesondere von der Vorrichtung 1 genutzte Berechnungsverzeichnisse.
Der dem Exponentierungsalgorithmus entsprechende ausführbare Code ist im Programmspeicher enthalten. Dieser Code kann in der Praxis im nur im Lesemodus zugänglichen Speicher 4 und/oder einem wieder beschreibbaren Speicher 6 enthalten sein.
Die Zentraleinheit 2 ist mit einer Kommunikationsschnittstelle 10 verbunden, die den Signalaustausch gegenüber der Außenwelt und die Versorgung des Chips gewährleistet. Diese Schnittstelle kann Anschlussstellen auf der Karte für einen so genannten Anschluss „mit Kontakt" mit einem Lesegerät und/oder, im Falle einer so genannten „Karte ohne Kontakt" einer Antenne umfassen.
Eine der Funktionen der Vorrichtung 1 ist die Chiffrierung oder Dechiffrierung einer jeweils an die Außenwelt übertragenen oder von ihr empfangenen vertraulichen Meldung m. Diese Meldung kann zum Beispiel persönliche Codes, medizinische Informationen, eine Buchführung über Banken- oder geschäftliche Transaktionen, Zugangsgenehmigungen zu bestimmten eingeschränkten Diensten, usw. betreffen. Eine weitere Funktion ist die der Berechnung oder der Überprüfung einer digitalen Unterschrift.
Zur Realisierung dieser Funktionen führt die Zentraleinheit 2 einen kryptographischen Algorithmus auf den Programmierdaten aus, die in den Teilen ROM Maske 4 und/oder EEPROM 6 gespeichert sind.
Der hier eingesetzte Algorithmus ist ein Algorithmus mit öffentlichem Schlüssel auf einer elliptischen Kurve im Rahmen einer Weierstraß-Parametrisierung. Hier interessieren wir uns ganz besondere für einen Teil dieses Algorithmus, der die Realisierung der Basisoperationen zulässt, das heißt der Additions- oder Punktverdoppelungsoperationen in affinen Koordinaten.
In einem ersten Beispiel ist die elliptische Kurve eine Kurve auf einem Körper mit Merkmalen strikt größer als 3, mit der Gleichung mit a, b ? IK: E/IK : y2 = X3 + a·X + b.
Wenn die Exponentierungsberechnungsvorrichtung 1 für die Berechnung einer Additionsoperation angesprochen wird, speichert die Zentraleinheit 2 zunächst die Koordinaten (X1, Y1), (X2, Y2) von zwei Punkten P1, P2 der zu addierenden elliptischen Kurve. Hier wird davon ausgegangen, dass der Punkt P2 vom umgekehrten Punkt (–P1) des Punktes P1 unterschiedlich ist.
Die Zentraleinheit 2 berechnet anschließend eine Zwischenvariable λ gemäß der Funktion: λ = (X12 + X1·X2 + X22 + a)/(Y1 + Y2)(Formel F21, siehe Seite 10, Zeile 11).
Die Zentraleinheit speichert die Variable λ in einem Verzeichnis des Arbeitsspeichers 8 und berechnet dann anschließend die Koordinaten (X3, Y3) des Punktes P3, das Ergebnis der Addition des Punktes P1 und des Punktes P2: X3 = λ2 – X1 – X2 Y3 = λ·(X1 – X3) – Y1
Die Koordinaten (X3, Y3) werden schließlich in anderen Verzeichnissen des Arbeitsspeichers 8 gespeichert, um anderweitig eingesetzt zu werden, zum Beispiel für die Folge des Chiffrierungsalgorithmus.
Auch in diesem Beispiel ist die von der Formel F21 definierte Funktion λ identisch mit der Funktion λ von der Formel F18 definierten Funktion λ des Standes der Technik in dem Fall, in dem X1 ≠ X2, das heißt, in dem Fall, in dem P1 ≠ P2 (Fall einer echten Addition von unterschiedlichen Punkten).
Schließlich, hat man, ausgehend von der Funktion F18, λ = (Y1 – Y2)/(X1 – X2), wenn X1 ≠ X2, das heißt. λ = (Y1 – Y2)(X1 – X2) = [(Y1 – Y2)(Y1 – –Y2)]/[(X1 – X2)((Y1 – –Y2)] = (Y12 – Y22)/[(X1 – X2)(Y1 + Y2)],denn ^–Y2 = –Y2 (Formel F17) in diesem Beispiel, daraus wird Folgendes abgeleitet: λ(X13 + a·X1 – X23 – a·X2)/[(x1 – x2)(Y1 + Y2)],denn Yi² = Xi³ + a·Xi + b für einen Punkt Pi der in diesem Beispiel betrachteten elliptischen Kurve, wobei der Punkt Pi die Koordinaten (Xi, Yi) hat. Somit erfolgt: λ = (Xi2 + X1·X2 + X22 + a)/(Y1 + Y2),das heißt die Formel F21.
Auf dieselbe Weise ist die durch die Formel F21 definierte Funktion λ identisch mit der von der Formel F19 definierten Funktion λ des Standes der Technik in dem Fall, in dem X1 = X2 (Fall einer Verdoppelungsoperation eines Punktes), das heißt in dem Fall, in dem P1 = P2 ist. In der Tat erfolgt, ausgehend von der Formel F21 unter Hinzuziehung von X1 = X2 und Y1 = Y2, unverzüglich: λ = (3·X12 + a)/(2·Y1) (Formel F16).
Derselbe Wert von Lambda erlaubt somit die Realisierung einer Addition oder einer Verdoppelung von Punkten in dem Fall einer elliptischen Kurve von durch eine vereinfachte Weierstraß-Parametrisierung definierten Merkmalen strikt größer als 3.
In einem zweiten Beispiel ist die elliptische Kurve eine nicht supersinguläre Kurve auf einem Körper mit einem Merkmal von gleich 2 mit einer Gleichung mit a, b·IK: E/IK : Y2 + XY = X3 + a·X2 + b
Ebenso wie in dem vorherigen Beispiel speichert, wenn die Exponentierungsberechnungsvorrichtung 1 für die Berechnung einer Additionsoperation angesprochen wird, die Zentraleinheit 2 zunächst die Koordinaten (X1, Y1), (X2, Y2) von zwei zu addierenden Punkten P1, P2. Auch hier wird davon ausgegangen, dass der Punkt P2 unterschiedlich von einem umgekehrten Punkt (–P1) des Punktes P1 ist.
Die Zentraleinheit 2 berechnet anschließend eine Zwischenvariable λ gemäß der Funktion: λ = (X12 + X1·X2 + X22 + aX1 + aX2 + Y1)/(Y1 + Y2 + X2) (Formel F21)
Die Zentraleinheit speichert die Variable λ in einem Verzeichnis des Arbeitsspeichers 8 und berechnet dann anschließend die Koordinaten (X3, Y3) des Punktes P3, das Ergebnis der Addition des Punktes P1 und des Punktes P2: X3 = λ2 + λ + a + X1 + X2 Y3 = λ·(X1 + X3) + X3 + Y1
Die Koordinaten (X3, Y3) werden schließlich in weiteren Verzeichnissen des Arbeitsspeichers 8 gespeichert, um anderweitig eingesetzt zu werden.
Auch in diesem Beispiel ist die von der Formel F21 definierte Funktion λ identisch mit der von der Formel F18 definierten Funktion λ des Standes der Tech nik, in dem Fall, in dem X1 ≠ X2, das heißt, in dem Fall, in dem P1 ≠ P2 (Fall einer echten Addition von unterschiedlichen Punkten).
Derselbe Wert von Lambda erlaubt somit die Realisierung einer Addition oder einer Verdoppelung von Punkten in dem Fall, in dem eine elliptische Kurve von durch eine Weierstraß-Parametrisierung definierten Merkmalen gleich 2 ist.
Es ist anzumerken, dass in allen oben beschriebenen Beispielen affine Koordinaten eingesetzt wurden. Es ist jedoch durchaus möglich, projektive, homogene oder Jacobi-Koordinaten einzusetzen. Es ist ggf. nur einfach auf das Neuschreiben der Formeln in projektiver Form zu achten.
Zu diesem Zweck werden in den im Beispiel genannten Formeln von λ, X3 und Y3 die affinen Koordinaten Xi, Yi folgendermaßen ersetzt:

– in projektiven Jacobi-Koordinaten durch: Xi = Ui/Wi² und Yi = Vi/Wi³
– in projektiven homogenen Koordinaten durch: Xi = Ui/Wi und Yi = Vi/Wi.

Claims

Kryptographisches Verfahren, bei dem automatische Mittel eine Addition eines durch erste affine Koordinaten (X1, Y1) definierten ersten Punktes P1 und eines durch zweite affine Koordinaten (X2, Y2) definierten zweiten Punktes P2 realisieren, wobei diese ersten und zweiten Punkte einer durch eine Weierstraß-Gleichung definierte elliptischen Kurve vom folgenden Typ angehören: Y2 + a1·X·Y + a·Y = X3 + a2·X2 + a4·X + a6,wobei (X, Y) affine Koordinaten eines Punkts der Kurve sind, a1, a2, a3, a4 und a6 Parameter der elliptischen Kurve sind und das Ergebnis der Addition ein auf der elliptischen Kurve durch affine dritte Koordinaten (X3, Y3) definierter dritter Punkt P3 sind, wobei der zweite Punkt P2 unterschiedlich von der Umkehrung (–P1) des ersten Punktes P1 ist, wobei die dritten affinen Koordinaten (X3, Y3) mittels der folgenden Funktionen berechnet werden: X3 = λ2 + a1·λ – a2 – X1 – X2 Y3 = –(λ + a1)·X3 – μ – a3wobei: μ = Y1 – λ·X1wobei das Verfahren dadurch gekennzeichnet ist, dass λ durch Division von (X1² – X1·X2 + X2² + a2·X1 + a2·X2 + a4 – a1·Y1) durch (Y1 + Y2 + a1·X1 + a3) berechnet wird.
Kryptographisches Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die elliptische Kurve auf einem Körper von 2 oder 3 unterschiedlicher Merkmale definiert wird und der vereinfachten Weierstraß-Gleichung vom folgenden Typ entspricht: Y2 = X3 + a·X + b,und dass die Parameter a1 bis a6 der elliptischen Kurve mit den Werten a1 = 0; a2 = 0; a3 = 0; a4 = a; und a6 = b eingesetzt werden.
Kryptographisches Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die elliptische Kurve nicht supersingulär ist, auf einem Körper von Merkmalen gleich 2 definiert ist und der vereinfachten Weierstraß-Gleichung vom folgenden Typ entspricht: Y2 + XY = X3 + a·X2 + b,und dass die Parameter a1 bis a6 der elliptischen Kurve mit den Werten a1 = 1; a2 = a; a3 = 0; a4 = 0; und a6 = b eingesetzt werden.
Verfahren gemäß Anspruch 1 bis 3, in dessen Verlauf eine skalare, auf Punkte einer elliptischen Kurve angewendete Multiplikationsoperation realisiert wird.
Zur Umsetzung eines kryptographischen Prozesses, in dessen Verlauf eine Addition eines durch erste affine Koordinaten (X1, Y1) definierten ersten Punktes P1 und eines durch zweite affine Koordinaten (X2, Y2) definierten zweiten Punktes P2 realisiert wird geeignete elektronische Komponente, wobei diese ersten und zweiten Punkte einer durch eine Weierstraß-Gleichung definierten elliptischen Kurve vom folgenden Typ angehören: Y2 + a1·X·Y + a3·Y = X3 + a2·X2 + a4·X + a6, wobei (X, Y) affine Koordinaten eines Punktes der Kurve sind, a1, a2, a3, a4 und a6 Parameter der elliptischen Kurve und das Ergebnis der Addition ein auf der elliptischen Kurve durch dritte affine Koordinaten (X3, Y3) definierter dritter Punkt P3 ist, wobei der zweite Punkt P2 von der Umkehrung (–P1) des ersten Punktes P1 unterschiedlich ist, wobei die Komponente einen Speicher (4, 6, 9) mit ersten, zweiten und dritten Verzeichnissen zum jeweiligen Speichern der affinen Koordinaten der ersten, zweiten und dritten Punkte (P1, P2, P3) umfasst, wobei die Komponente dadurch gekennzeichnet ist, dass sie ebenfalls zur Berechung der dritten affinen Koordinaten (X3, Y3) mittels der folgenden Funktionen programmierte Berechnungsmittel umfasst: X3 = λ2 + a1·λ – a2 – X1 – X2 Y3 = –(λ + a1)·X3 – μ – a3wobei: μ = Y1 – λ·X1 undλ per Division von (X1² + X1·X2 + X2² + a2·X1 + a2·X2 + a4 – a1·Y1) durch (Y1 + Y2 + a1·X1 + a3) berechnet wird.
Chipkarte mit einer elektronischen Komponente gemäß Anspruch 5.