DE69633253T2

DE69633253T2 - Kryptographisches verfahren mit öffentlichem schlüssel

Info

Publication number: DE69633253T2
Application number: DE69633253T
Authority: DE
Inventors: David M'raihi; David Naccache
Original assignee: Gemplus SA
Current assignee: Gemplus SA
Priority date: 1996-06-05
Filing date: 1996-06-05
Publication date: 2005-09-15
Anticipated expiration: 2016-06-06
Also published as: JP2000511649A; US6459791B1; CA2257907A1; EP0909495B1; ES2227595T3; WO1997047110A1; EP0909495A1; DE69633253D1

Description

Gegenstand der vorliegenden Erfindung ist ein so genanntes kryptographisches Verfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung einer Größe modulo p einbringenden diskreten Logarithmus.
Sie findet eine Anwendung in der Erzeugung von digitalen Unterschriften von Nachrichten, in einer Authentifizierungssitzung zwischen zwei Einheiten oder bei der Datenverschlüsselung.
In derartigen Verfahren begründet sich die Sicherheit auf der extremen Schwierigkeit, die in der Inversion bestimmter Funktionen und ganz besonders des diskreten Logarithmus besteht.
In Anbetracht des mathematischen Verhältnisses y = g^xmodulo p, das im Folgenden als y = g^xmodp angegeben wird (was bedeutet, dass y der Rest der Division von g^x durch p ist), besteht dieses Problem darin, x wieder zu finden, wenn p, g und y bekannt sind. Zum augenblickli chen Kenntnisstand ist es unmöglich, dieses Problem zu lösen, sobald die Größe p 512 Bits erreicht oder übersteigt und die von x 128 Bits erreicht oder übersteigt.
In derartigen Systemen gibt es im Allgemeinen eine Autorität, die die das Modul bildende Anzahl p großer Größe liefert. Die Autorität wählt ebenfalls eine Basis genannte ganze Zahl g, wie z. B. die durch p erzeugte Struktur, das heißt, die aus den Zahlen g^xmodp gebildete Struktur, wobei x zum Intervall [0, p – 1] gehört, d. h. einer Unterstruktur maximaler Größe, wenigstens 2¹²⁸.
Die Parameter p und g sind so genannte „öffentliche" Parameter, d. h. dass sie durch die Autorität an alle an diese Autorität angeschlossenen Anwender geliefert wird.
Gemäß bestimmter Varianten werden diese Parameter individuell durch jeden Anwender ausgewählt und sind in diesem Fall fester Bestandteil seines öffentlichen Schlüssels.
Ein großer Nachteil der Umsetzung kryptographischer Systeme besteht aufgrund der komplexen Berechnungen, die realisiert werden, in der Notwendigkeit, über Berechnungsmittel und einen relativ großen Speicher zu verfügen.
Die Berechnung der Größe g^kmodp besteht in der Tat in der Realisierung der modularen Multiplikationen, und das ist zeitaufwändig und kostet Speicherplatz. In einfachen, nur Standard-Mikroprozessoren einsetzende elektronischen Vorrichtungen ist diese Art von Operation kaum zu realisieren.
Bei elektronischen Vorrichtungen mit einem auf diese Berechnungsart spezialisierten Prozessor ist es dennoch wünschenswert, die Berechnungszeit und den für die Zwischenergebnisse notwendigen Speicherplatz zu begrenzen.
Die Berechnung der Größe g^kmodp durch die klassische Methode der unter der angelsächsischen Abkürzung SQM (Square-Mulitply) bekannten „Quadratmultiplikation" ist nämlich im Allgemeinen relativ kostspielig, da sie im Durchschnitt 3/2 Log₂ (p) Multiplikationen gleichkommt.
Gemäß dieser Methode werden alle Potenzen von g berechnet, das heißt, alle Quadrate: g⁰, g¹, g² ... g^h, wenn k eine Länge von n Bits hat, anschließend werden die zwischen diesen Potenzen erforderlichen Multiplikationen realisiert (zum Beispiel g¹⁷ = g¹.g¹⁶).
Gemäß der einfachen Methode der „Quadratmultiplikation" erfordert g^k n/2 Multiplikationen und n Quadrate.
In dem Fall, in dem N Unterschriften in einem einzigen Mal zu leisten sind, produziert man Ng^k und realisiert somit eine parallele Berechnung.
Die Methode der parallelen „Quadratmultiplikation" erfordert N × n/2 Multiplikationen und n Quadrate.
Eine von E. BRICKEL et al. vorgeschlagene und durch die Abkürzung BGKW bezeichnete Methode erlaubt die Reduzierung der Anzahl der Multiplikationen im Fall der Quadratmultiplikation, führt jedoch die Notwendigkeit der Speicherung zahlreicher vorausberechneter Konstanten und somit die Notwendigkeit ein, über eine sehr nachteilige große Menge Speicherplatz zu verfügen.
Die Einführung einer parallelen Berechnung von N Werten in dieser Methode impliziert die Verwendung zahlreicher Register zur Beibehaltung der Zwischenergebnisse.
Dieses Verfahren wird daher in dem Fall umständlicher, in dem es darum geht, eine große Anzahl von Unterschriften innerhalb sehr kurzer Zeit zu erzeugen, da in dem Fall die parallele Berechnung eingeführt wird.
Der auf den Seiten 12.3.1 bis 12.3.5 in den Proceedings of the IEEE 1989 Custom Integrated Circuits Conference, San Diego, US, 15.–18. Mai 1989 unter dem Titel „A high speed data encryption processor for public key cryptography" von T. ROSALI veröffentlichte Artikel betrifft eine für die Kryptographie spezifische Matrixarchitektur, die einen durch verschiedene, zur Reduzierung der Bitzahl auf 1 in den Exponenten geeignete kryptographische Verfahren einsetzbaren Mikroprozessor umsetzt. Die Berechnungsausführungsgeschwindigkeit der Exponenten wird bei gleichzeitiger Reduzierung des Hamming-Gewichtes auf 30 erhöht.
Gegenstand der vorliegenden Erfindung ist es, alle diese Nachteile zu beheben. Sie erlaubt eine flexible und hinsichtlich der Berechnungszeit und des Speicherplatzes bei der Umsetzung kryptographischer Algorithmen für alle kryptographischen Systeme und insbesondere durch tragbare Geräte vom Typ Chipkarte mit Mikroprozessor wenig aufwändige Lösung.
Gemäß einem ersten Gegenstand der Erfindung erlaubt das vorgeschlagene kryptographische Verfahren die Reduzierung der Anzahl der modularen Multiplikation, so dass je nach den verwendeten kryptographischen Schemata (Schnorr oder El Gamal) zwischen 15 und 40% und noch mehr Berechnungszeit gewonnen wird.
Erfindungsgemäß werden zwei Lösungen vorgeschlagen, um die Anzahl der Multiplikationen zu reduzieren, wobei eine aus der Erzeugung der „hohlen" Exponenten k mit wenigen Bits bei 1, jedoch mit einer ausreichenden Länge besteht, um die gesamte Sicherheit des Systems beizubehalten, und die andere in der Realisierung der parallelen Berechnungen der Potenzen von g unter gleichzeitiger Kombination der Exponenten untereinander, so dass dieselbe Potenzberechnung für einen vorgegebenen Exponenten nicht wiederholt zu werden braucht.
Gegenstand der Erfindung ist ganz besonders ein kryptographisches Verfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung der Größe g^kmodp einbringenden diskreten Logarithmus, in dem p eine Modul genannte Primzahl ist, k eine zufällige Zahl mit einer üblichen Länge von n Bits und g eine Basis genannte ganze Zahl, in der eine Einheit E die Authentifizierungsoperationen und/oder Unterschrifts- und/oder Chiffrierungsoperationen realisiert, die die Signalaustausche mit einer anderen Einheit umfassen, in denen diese Größe auftritt, dadurch gekennzeichnet, dass es die folgenden Stufen umfasst:

– Erzeugen eines zufälligen Exponenten k der Länge N Bits, wobei N gleich n + b Bits ist,
– Berechnen des Hamming-Gewichts C dieses Exponenten und Vergleich mit einem zuvor festgelegten Wert h;
– Überprüfung, ob der zufällige Wert k die Bedingung: C ≤ h erfüllt:
– Ablehnen des zufälligen Wertes k für den Fall, dass das Hamming-Gewicht unter h liegt und erneute Erzeugung neuer Exponenten bis zum Erhalt eines diese Bedingung zufriedenstellenden Exponenten
– oder Beibehaltung dieses Wertes im gegenteiligen Fall;
– Berechnung des Ausdrucks g^kmodp ausgehend vom beibehaltenen Wert;
– Verwenden dieses Ausdrucks in einem Austausch elektronischer Signale mit der anderen Einheit.

Gegenstand der Erfindung ist ebenfalls ein kryptographisches Verfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung der Größe g^kmodp einbringenden diskreten Logarithmus, in dem p eine Modul genannte Primzahl ist, k eine zufällige Zahl mit einer üblichen Länge von n Bits und g eine Basis genannte ganze Zahl, in der eine Einheit E die Authentifizierungsoperationen und/oder Unterschrifts- und/oder Chiffrierungsoperationen realisiert, die die Signalaustausche mit einer anderen Einheit umfassen, in denen mehrere Größen dieser Art auftreten, dadurch gekennzeichnet, dass es für die Einheit die folgenden Stufen umfasst:

– Erzeugen einer Struktur zufälliger Exponenten k_j mit n Bits mit einem Gewicht von a_i, ausgedrückt durch den Ausdruck k_j = Σa_i2ⁱ;
– parallel die Potenzen g2¹ unter gleichzeitiger Kombination der Exponenten derart berechnen, dass die für einen Exponenten von g bereits berechneten Potenzen anderen Exponenten dienen, in denen sie auftreten;
– für jedes vorgegebene k_j die noch nicht berechneten Potenzen von g berechnen und alle diese Potenzen zusammenfassen, um den gewünschten Ausdruck g^kjmodp zu erhalten;
– verwenden dieser Ausdrücke in einem Signalaustausch mit der anderen Einheit.

Gemäß einer ersten Ausführungsart umfassen die parallelen und zusammenführenden Berechnungsstufen die folgenden Operationen:

– Kombinieren der Exponenten jeweils zu zweit, um die ihre gemeinsamen Teile reflektierenden Exponenten k_c zu erhalten und Wiederholen der Kombinationen bei dem erhaltenen Ergebnis der Kombination;
– Berechnung der Größen G_kc für jeden Wert k_c, wie z. B.: G_kc = g^kcmodp;
– Kombinieren eines Exponenten k_j mit dem für die Kombination erhaltenen Exponenten k_c, zu der dieser Exponent gehört, so dass die gemeinsamen Teile eliminiert werden und Beibehalten nur der unterschiedlichen Teile;
– Definieren der die unterschiedlichen Teile zwischen einem vorgegebenen Exponenten k_j und einem vorgegebenen Exponenten k_c wiedergebenden unterschiedlichen Exponenten k' j;
– Berechnen der Größen G_k,j, wie z. B.: G_k,j = gmodp;
– Bestimmen der Ausdrücke G_kjmodp durch Durchführen der Multiplikationen zwischen den bei jeder Iteration erhaltenen Größen G_kc.

In einer zweiten Ausführungsart umfassen die parallelen und zusammenführenden Berechnungsstufen die folgenden Operationen:

– Kombinieren der Exponenten untereinander, so dass alle Unterstrukturen möglicher, die gemeinsamen Teile aufweisenden Exponentenkombinationen gebildet werden;
– Definieren der die gemeinsamen Teile wiedergebenden Exponenten k_c für jede Unterstruktur-Kombination, so dass die Bit ungleich Null mit einem vorgegebenen Gewicht den Bits ungleich Null mit demselben Gewicht der betrachteten Kombination entsprechen;
– Berechnen der Größen G_kc für jeden Wert von k_c, wie z. B.: G_kc = g^kcmodp;
– Kombinieren jedes Exponenten k_j mit allen für jede Unterstruktur-Kombination erhaltenen Exponenten k_c, der dieser Exponent k_j derart angehört, dass die gemeinsamen Teile eliminiert und nur die unterschiedlichen Teile beibehalten werden;
– Definieren der die unterschiedlichen Teile zwischen einem vorgegebenen Exponenten k_j und einem vorgegebenen Exponenten k_c wiedergebenden Exponenten k'_j;
– Berechnen der Größen G_k,j, wie z. B.: G_k,j = g^k,jmodp;

Bestimmen der Ausdrücke g^kjmodp durch Durchführen einer Multiplikation zwischen den Größen G'_kj und G_kc für jedes k_j.
Gemäß einem anderen Gegenstand der Erfindung werden die den Erhalt der gemeinsamen Teile zwischen den Exponenten zulassenden Kombinationen durch logistische „UND"-Verbindungen realisiert.
Gemäß einem anderen Gegenstand der Erfindung werden die den Erhalt der unterschiedlichen Teile zulassenden Kombinationen durch logische „exklusives ODER"-Funktionen realisiert.
Weitere Besonderheiten und Vorteile der Erfindung werden bei der Lektüre der nachstehenden, beispielhaften und nicht einschränkenden Beschreibung angesichts der Zeichnungen deutlich, die Folgendes darstellen:
1 ein Prinzipienschema eines zur Umsetzung der Erfindung geeigneten Systems,
2 ein die wesentlichen Stufen des Verfahrens in einer ersten Anwendung darstellenden Funktionsschema,
3 ein die wesentlichen Stufen des Verfahrens in einer zweiten Anwendung gemäß einer ersten Ausführungsart darstellendes Funktionsschema,
4 ein die wesentlichen Stufen des Verfahrens in der zweiten Anwendung gemäß einer zweiten Ausführungsart darstellendes Funktionsschema.
In 1 wurde ein Prinzipienschema eines Systems zur Umsetzung des erfindungsgemäßen kryptographischen Verfahrens dargestellt.
Dieses System wird aus einer Einheit E1 gebildet, das den Austausch elektronischer Signale mit wenigstens einer anderen Einheit E2 durchführen will. Die beiden Einheiten sind jeweils mit einer Verarbeitungseinheit (CPU) 11, 30, einer Kommunikationsschnittstelle, einem Arbeitsspeicher (RAM), 13, 32 und/oder einem nicht beschreibbaren Speicher (ROM) 14, 34 und/oder einem beschreibbaren oder wiederbeschreibbaren flüchtigen Speicher (EPROM oder EEPROM) 15, 33 und einem Adress-, Daten,- Kontrollbus 16, 35 versehen.
Die Verarbeitungs-Steuereinheit und/oder der ROM enthalten Programme oder Berechnungsressourcen, die der Ausführung der im erfindungsgemäßen Verfahren auftretenden Berechnungsstufen, d. h. bei einer Authentifizierungssitzung oder bei der Erzeugung einer elektronischen Unterschrift oder beim Verschlüsseln von an eine andere Einheit zu übertragenden elektronischen Signalen, entsprechen.
Die Verarbeitungseinheit oder der ROM weisen die für Multiplikationen, Additionen und modulare Reduktionen notwendigen Ressourcen auf.
Ebenso weisen die Verarbeitungseinheit und/oder der ROM verwendete, jedem kryptographischen Algorithmus eigene kryptographische Funktionen und die Parameter g und p auf. Die Exponenten k_j könnten von der Autorität zuvor in einen wieder beschreibbaren Speicher geladen werden oder nach und nach ausgehend von einem Zufallsgenerator und einem zufälligen Wert mit geheimer Quelle ko erzeugt werden. Die Einheit E1 besitzt darüber hinaus den geheimen Schlüssel x.
Die Erfindung findet ganz besonders auf im Bankenbereich angewendete kryptographische Systeme Anwendung, in dem eine große Sicherheit bei den auf den Konten vorgenommenen Transaktionen erforderlich ist. Dies ist auch der Fall, wenn man den Versand von durch eine andere Einheit in Form von elektronischen Signalen übertragenen Nachrichten authentifizieren möchte. Das ist auch der Fall, wenn man Nachrichten beim Austausch von Signalen mit einer anderen Einheit unterzeichnen muss.
In der Praxis kann eine Einheit, die eine Transaktion realisieren möchte, zum Beispiel eine Karte mit integriertem Schaltkreis, wie z. B. eine Chipkarte sein, und die Empfängereinheit ist dann ein Bankenterminal.
Die nachfolgende Beschreibung erfolgt im Rahmen der Anwendung des Verfahrens auf die Unterschrift digitaler Nachrichten, wobei es sich von selbst versteht, dass die Erfindung auf jedes kryptographische, auf einem diskreten Algorithmus basierende System Anwendung findet.
Das erfindungsgemäße Verfahren schlägt eine erste Lösung zur beträchtlichen Senkung der Anzahl von Multiplikationen vor, die besonders für den Fall geeignet ist, in dem eine Umgebung mit geringem Speicherplatz vorhanden hat.
In diesem Fall besteht das Prinzip in der Produktion „hohler" Exponenten k_j dergestalt, dass das Hamming-Gewicht selbstverständlich bei gleichzeitiger Aufrechterhaltung des zufälligen Charakters dieser Exponenten so niedrig wie möglich gewählt wird.
Zu diesem Zweck besteht das Verfahren in der Erzeugung der Exponenten k_j entweder je nach Bedarf oder vor jedem Austausch. In diesem Fall werden sie selbstverständlich gespeichert. Die erzeugten Exponenten haben keine Länge von n Bits, sondern eine n + b Bits überschreitende Länge und erfüllen eine im Folgenden definierte Bedingung.
Wenn ein Exponent k von n + b Bits erzeugt wird, besteht das Verfahren anschließend in der Berechnung des Hamming-Gewichts C dieses Exponenten, anschließend in seinem Vergleich mit dem zuvor festgelegten Wert h.
Wenn bei Abschluss des Vergleichs C ≥ h, dann wird der Exponent beibehalten und von der Einheit verwendet, die dann den Ausdruck g^kmodp berechnet und diesen Ausdruck im Versand von digitalen Unterschriften verwendet, in denen dieser Ausdruck zum Beispiel als Unterschrift genutzt wird.
In dem Fall, in dem der Parameter C die erforderliche Bedingung nicht erfüllt, wird der entsprechende Exponent k abgelehnt, ein neuer Exponent wird erzeugt, die Überprüfungsstufe der Bedingung beginnt erneut, bis zum Erhalt eines diese Bedingung erfüllenden Exponenten k.
Somit erlaubt diese Lösung die Realisierung weniger Multiplikationen bei gleichzeitiger Beibehaltung desselben Sicherheitsniveaus, als wenn man Exponenten geringerer Größe hätte.
Gemäß einem die maximale Reduktion der Anzahl der Multiplikationen zulassenden besonderen Beispiel, wählt man C = h.
In der Praxis, müssen bei einem Exponenten der Größe n + b Bits (bei n = log₂ p), dessen Hamming-Gewicht h ist, um dieselbe Anzahl an Kombinationen zu erhalten, als wenn der Exponent n Bits umfasst, die folgenden Relationen überprüft werden:
Sⁿ ≤ C^h _n+b
und (N + b)/2 + h ≤ n (diese Bedingung lässt die Reduzierung der Anzahl der durchzuführenden Berechnungen zu).
Das heißt, 2ⁿ ≤ (n + b)!/(n + b – h)!h!
und
b + 2h ≤ n.
Die festgelegten Zahlen b und h werden durch Lösung dieser doppelten Ungleichung für ein vorgegebenes n (zum Beispiel n = 160) erhalten.
Zu Darstellungszwecken wurden die Ergebnisse des erfindungsgemäßen Verfahrens mit den bekannten Methoden verglichen.
Im Fall des Algorithmus von Shnorr, in dem n = 260 Bits ist und im Fall des Algorithmus von E1 Gamal, in dem n = 512 Bits ist. Diese Ergebnisse sind in der nachstehenden Tabelle identisch.
Die auf den von den Exponenten von n Bits abgedeckten Platz der Unterschriften ausgeübte Beanspruchung kann durch einen von dem Sicherheitsniveau, das man erreichen will, abhängenden Faktor α reduziert werden.
Die Parameter n, h und b müssen dann die Bedingung (1) erfüllen. 2n–α ≤ (n + b)!/(n + b – h)!h! (1)
Und dabei gleichzeitig die Möglichkeit zur Erzeugung derselben Unterschriften, ausgehend von den unterschiedlichen Zufallswerten der Größe (n + b) Bits erzeugen.
In der Praxis ist 2⁸⁰ ausreichend, um die unterschiedlichen möglichen Angriffe abzuwehren und damit ist n – α = 100 ein durchaus akzeptabler Wert.
Diese Ausführungsvariante ist umso interessanter, als der Aufwand (an Berechnungszeit) eines Quadrats häufig geringer ist als eine modulare Multiplikation.
Im Allgemeinen erhält man:
s/2 ≤ m ≤ s, wobei s die zu berechnende Quadratzahl und m die Anzahl der Multiplikationen ist, wobei die beiden extremen Fälle m = s und m = 2s sind.
Die Vergleichsergebnisse für diese beiden extremen Fälle wurden in der folgenden Tabelle dargestellt:
Es ist festzustellen, dass der erhaltene Gewinn bei der Anwendung des Verfahrens auf die Schemata nach Shnorr und E1 Gamals im Verhältnis zur Methode der einfachen Quadratmultiplikation und selbst in dem Fall sehr groß ist, in dem man berücksichtigt, dass der Aufwand eines Quadrats derselbe ist, wie der einer Multiplikation.
Gemäß einer anderen Ausführungsart findet das Verfahren ganz besonders auf Systeme Anwendung, die keine besonderen Vorgaben hinsichtlich des Speicherplatzes haben.
In dieser Ausführungsart werden die unterschiedlichen Potenzen von g parallel berechnet, um die Quadrate nur ein einziges Mal zu berechnen, wobei gleichzeitig die Kombination der Exponenten beibehalten wird, um nicht dieselbe Berechnung mehrere Male durchzuführen.
Zum besseren Verständnis der Erfindung wird nun der Fall beschrieben, in dem die Berechnung von zwei Potenzen durchgeführt wird.
K_j sei = Σa_i2ⁱ, wobei k_j zufällig gezogen wird (d. h., ausgehend von einem Zufallsgenerator erzeugt wird). Kk sei = Kj = Σbi2i
Verfahrensgemäß werden die Exponenten k_j und k_k derart verbunden, dass ein Exponent k_c definiert wird, wie z. B.:
K_c = Σa_ib_i2ⁱ gibt die gemeinsamen Teile zwischen k_j und k_k wieder. Die Koeffizienten a_i sind entweder 1 oder 0.
Der Exponent k_c entspricht dem gemeinsamen Teil der Exponenten k_j und k_k, das heißt, wenn k_j = 1 × 2¹⁰ + ... + 0 + 1 × 2⁰ und k_k = 1 × 2¹⁰ + 0 + 0 ... + 1 × 2⁰ Kc = 1 × 210 + 0 + ... + 1 × 20.
Verfahrensgemäß wird damit also der mit k_c bezeichnete Exponent k mittels einer logischen UND-Funktion bestimmt.
Anschließend wird eine zweite Kombination, bestehend aus der Bestimmung der unterschiedlichen Teile zwischen dem Exponenten k_j und dem Exponenten k_c vorgenommen. Gesucht werden ebenfalls die unterschiedlichen Teile zwischen dem Exponenten k_k und dem Exponenten k_c.
Diese Kombinationen, die für die exklusiven ODER realisiert werden, werden mit k_j ⊕ k_c und k_k ⊕ k_c bezeichnet.
Die folgenden Größen werden parallel berechnet: Gkj = gkj ⊕ kcmodp Gkk = gkk ⊕ kcmodp Gkc = gkcmodp
Zum Erhalt von g^kjmodp und G^kkmodp, brauchen nur folgende Operationen realisiert zu werden: Gkj = Gkcmodp 1) Gkk = Gkcmodp 2)
Wenn man, wie in soeben gezeigten Beispiel, zwei Potenzen hat, führt man im Durchschnitt ungefähr 3n/4 Multiplikationen anstatt von n Multiplikationen durch. Der Gewinn beträgt 25%.
Das erfindungsgemäße Verfahren kann auf eine größere Anzahl von Exponentenkombinationen verallgemeinert werden. Diese Verallgemeinerung kann darüber hinaus gemäß zwei, durch die in den 3 und 4 vorgegebenen Funktionsschemata dargestellte Ausführungsarten eingesetzt werden.
In diesem Fall findet die Anwendung ganz besonders auf die Fälle Anwendung, in denen eine große Anzahl an Unterschriften erzeugt werden muss.
Gemäß der ersten Ausführungsart realisiert man die Exponentenkombinationen jeweils zu zweit gemäß einem in der nachstehenden Tabelle dargestellten Baum:
Diese Kombinationen erlauben, ebenso wie das zuvor beschriebene Beispiel, die Lieferung von den zwischen den Exponenten k_j ⁰ gemeinsamen Teile wiedergebenden Exponenten k_c.
Zur Vereinfachung des Schreibens werden die Exponenten k_j als a₁, a₂, a₃, as₄ bezeichnet.
Die Exponenten kc werden auf der Höhe –1 des Baums mit b₁ und b₂ bezeichnet und auf der Höhe des Baums –2 mit c₁.
Die Kombinationen a₁·a₂, a₃·a₄ werden durch eine logische UND-Funktion realisiert.
Es werden die Kombinationen bei jedem Niveau des so gebildeten Baumes wiederholt. Die Anzahl der Multiplikationen nimmt in dem Maße aufgrund der einfachen statistischen Verteilung der Bits ab, wie man in den Baum vordringt. Die zu realisierende Berechnungsbeanspruchung wird um n/3 Multiplikationen verringert.
Wie zuvor beschrieben, werden die Größen G_kc auf jedem Niveau bestimmt.
So erhält man: Ga1 = ga1 ⊕ b1modp Ga2 = ga2 ⊕ b1modp Gb1 = gb1modp Gb1 = gb1 ⊕ c1modp, d. h. Gb1 = Gb1·Gc1modp Gb2 = gb2 ⊕ c1modp, d. h. Gb2 = Gb2·Gc1modp Gc1 = 9c1modp Ga1modp = Ga1 × Gb1modp = Ga1 xGb1 × Gc1modp
In der Praxis wird g^a1 modp durch das Produkt Ga₁x G_b1modp erhalten und g^a2modp wird durch das Produkt G_a2 × G_b1 G_c1modp erhalten.
Gemäß einer zweiten Ausführungsart werden die Exponenten derart kombiniert, dass alle Unterstrukturen möglicher Kombinationen gebildet werden, d. h. zum Beispiel, wenn man einen Exponenten k_j: a, b, c, hat werden die Kombinationen ab, ac, bc, abc gebildet.
Daher werden die Definition der gemeinsamen Teile zulassenden Kombinationen relativ zu diesen Unterstrukturen durch Durchführung einer logischen UND-Funktion zwischen a und b, a, und c, b, und c und a, b, c reali siert. Somit wird für jede erhaltene Unterstruktur ein Exponent k_c definiert.
Man kann parallel alle Größen G_kc = g^kcmodp berechnen, für die k im Verhältnis zu den ursprünglichen k wenig Bits bei 1 haben und für die die modulare Berechnung daher schnell ist.
Anschließend führt man einen anderen, in der Elimination der zwischen einem Exponenten und den vorherigen Kombinationen gemeinsamen Teile bestehenden Kombinationstyp durch.
Diese Kombinationen werden mittels logischer exklusiver ODER-Funktionen realisiert. Somit erhält man gemäß dem vorgegebenen Beispiel:
Ka = a xor abc xor ac xor ab
Kb = b xor abc xor ab xor bc
Kc = c xor abc xor ac xor bc
Anschließend können die Größen G_k,j = g^kjmodp berechnet werden, für die die k'_j noch weniger Bits bei 1 haben als die ursprünglichen k_c und für die die modularen Modifikationen noch schneller sind.
Zum Schluss werden die Ausdrücke g^kjmodp durch k_j erhalten.
Im Fall der Erzeugung von N durch diese zweite Ausführungsart erhaltenen Unterschriften tendiert die Berechnungsbeanspruchung zu
n/N Quadrat + n(2^N – 1)/N2^N + (2^N–1 – 1) Multiplikationen.
Die nachfolgende Tabelle erlaubt den Erhalt von Vergleichsergebnissen mit den bekannten Methoden, wie z. B. der Quadratmultiplikation, der parallelen Quadratmultiplikation und der erfindungsgemäßen Methode.
Die erste vorgegebene Ausführungsart (Baumstruktur) im Fall der Anwendung auf die Erzeugung von N Unterschriften ist hinsichtlich des Speicherplatzes wenig aufwändig.
Bei einem binären Baum mit 4 Exponenten benötigt man für die Berechnungen 8 Register zu log₂ (p) Bits.
Die zweite vorgegebene Ausbildungsart (N Strukturen) ist hinsichtlich der Berechnungszeit sehr wenig aufwändig, denn sie hat eine optimale Anzahl an Multiplikationen. Für 3 Exponenten benötigt man für die Berechnungen 8 Register zu log₂ (p) Bits.

Claims

Kryptographisches Verfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung der Größe g^kmodp einbringenden diskreten Logarithmus, in dem p eine Modul genannte Primzahl ist, k eine zufällige Zahl und g eine Basis genannte ganze Zahl, in der eine Einheit E die Authentifizierungsoperationen und/oder Unterschrifts- und/oder Chiffrierungsoperationen realisiert, die die Signalaustausche mit einer anderen Einheit umfassen, in denen diese Größe auftritt, wobei das genannte Verfahren einen zufälligen Exponenten k der Länge von N Bits generiert, wobei N gleich n + 1 Bits mit n gleich log2 p ist, wobei n und b ganze Zahlen sind, dadurch gekennzeichnet, dass es für die Einheit die folgenden Stufen umfasst: – Berechnen des Hamming-Gewichts C dieses Exponenten und Vergleich mit einem zuvor festgelegten Wert h; – Überprüfung, ob der zufällige Wert k die Bedingung: C ≥ h erfüllt: – Ablehnen des zufälligen Wertes k für den Fall, dass das Hamming-Gewicht unter h liegt und erneute Erzeugung neuer Exponenten bis zum Erhalt eines diese Bedingung zufriedenstellenden Exponenten – oder Beibehaltung dieses Wertes im gegenteiligen Fall; – Berechnung des Ausdrucks g^kmodp ausgehend vom beibehaltenen Wert; – Verwenden dieses Ausdrucks in den Signalaustauschen mit der anderen Einheit.
Verfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass die zu erfüllende Bedingung c = h ist.
Kryptographisches Verfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung der Größe g^kmodp einbringenden diskreten Logarithmus, in dem p eine Modul genannte Primzahl ist, k eine zufällige Zahl und g eine Basis genannte ganze Zahl, in der eine Einheit E die Authentifizierungsoperationen und/oder Unterschrifts- und/oder Chiffrierungsoperationen realisiert, die die Signalaustausche mit einer anderen Einheit umfassen, in denen diese Größe auftritt, dadurch gekennzeichnet, dass es die folgenden Stufen umfasst: – Erzeugen einer Struktur zufälliger Exponenten k_j mit n Bits mit einem Gewicht von a_i, ausgedrückt durch den Ausdruck k_j = Σa_i2ⁱ; – parallel die Potenz g2ⁱ unter gleichzeitiger Kombination der Exponenten derart berechnen, dass die für einen Exponenten von g berechneten Potenzen anderen Exponenten dienen, in denen sie auftreten; – für jedes vorgegebene k_j die noch nicht berechneten Potenzen von g berechnen und alle diese Potenzen zusammenfassen, um den gewünschten Ausdruck gk_jmodp zu erhalten; – verwenden dieser Ausdrücke in einem Signalaustausch mit der anderen Einheit.
Verfahren gemäß Anspruch 3, dadurch gekennzeichnet, dass die parallelen und zusammenführenden Berechnungsstufen die folgenden Operationen umfassen: – Kombinieren der Exponenten jeweils zu zweit, um die ihre gemeinsamen Teile wiedergebenden Exponenten k_c zu erhalten und Wiederholen der Kombinationen mit dem erhaltenen Ergebnis der Kombination; – Berechnung der Größen G_kc für jeden Wert k_c, wie z. B.: G_kc = g^kcmodp; – Kombinieren eines Exponenten k_j mit dem für die Kombination erhaltenen Exponenten k_c, zu der dieser Exponent gehört, so dass die gemeinsamen Teile eliminiert werden und Beibehalten nur der unterschiedlichen Teile; – Definieren der die unterschiedlichen Teile zwischen einem vorgegebenen Exponenten k_j und einem vorgegebenen Exponenten k_c wiedergebenden unterschiedlichen Exponenten k, j; – Berechnen der Größen G_k,j, wie z. B.: G_k,j = gmodp; – Bestimmen der Ausdrücke G_kjmodp durch Durchführen der Multiplikationen zwischen den bei jeder Iteration erhaltenen Größen G_kc.
Verfahren gemäß Anspruch 3, dadurch gekennzeichnet, dass die parallelen und zusammenführenden Berechnungsstufen die folgenden Operationen umfassen: – Kombinieren der Exponenten untereinander, so dass alle Unterstrukturen möglicher, die gemeinsamen Teile aufweisenden Exponentenkombinationen gebildet werden; – Definieren der die gemeinsamen Teile wiedergebenden Exponenten k_c für jede Unterstruktur-Kombination, so dass die Bit ungleich Null mit einem vorgegebenen Gewicht den Bits ungleich Null mit demselben Gewicht der betrachteten Kombination entsprechen; – Berechnen der Größen G_kc für jeden Wert von k_c, wie z. B.: G_kc = g^kcmodp; – Kombinieren jedes Exponenten k_j mit allen für jede Unterstruktur-Kombination erhaltenen Exponenten k_c, in der dieser Exponent k_j derart gehört, dass die gemeinsamen Teile eliminiert werden und nur die unterschiedlichen Teile beibehalten; – Definieren der die unterschiedlichen Teile zwischen einem vorgegebenen Exponenten k_j und einem vorgegebenen Exponenten k_c wiedergebenden Exponenten k'_j; – Berechnen der Größen G_k,j, wie z. B.: G_k,j = g^k,jmodp; – Bestimmen der Ausdrücke g^kjmodp durch Durchführen einer Multiplikation zwischen den Größen G'_kj und G_kc für jedes k_j.