DE69636772T2

DE69636772T2 - Auf dem diskreten logarithmus basierendes verschlüsselungsverfahren mit öffentlichem schlüssel

Info

Publication number: DE69636772T2
Application number: DE69636772T
Authority: DE
Inventors: David M'raihi; David Naccache; Jacques Stern; Serge Vaudenay
Original assignee: Gemplus Card International SA; Gemplus SA
Current assignee: Gemplus SA
Priority date: 1995-10-03
Filing date: 1996-10-03
Publication date: 2007-07-12
Anticipated expiration: 2016-10-04
Also published as: EP0795241B1; US5946397A; FR2739469B1; JPH10500502A; DE69636772D1; WO1997013342A1; ES2279525T3; FR2739469A1; EP0795241A1

Description

Gegenstand der vorliegenden Erfindung ist ein so genanntes Kryptographieverfahren mit öffentlichem Schlüssel, basierend auf dem die Berechnung einer Größe modulo p einsetzenden diskreten Logarithmus.
Sie findet eine Anwendung in der Erzeugung von digitalen Unterschriften von Meldungen oder in einer Authentifizierungsabtretung zwischen zwei Einheiten.
In derartigen Verfahren wird die Sicherheit auf der extremen Schwierigkeit begründet, die in der Umkehrung bestimmter Funktionen besteht und ganz besonders dem diskreten Logarithmus.
Dieses Problem besteht darin, x wieder zu finden, während p, g und y bekannt sind, da die mathematische Relation y = g^x modulo p ist, die im Folgenden mit y = g^x modp notiert wird (die bedeutet, dass y der Rest der Division von g^x mal p ist). Bei dem derzeitigen Kenntnisstand ist es unmöglich, dieses Problem zu lösen, sobald die Größe p 512 Bits erreicht oder übersteigt und die von x 128 Bits erreicht oder übersteigt.
Bei derartigen Systemen gibt es im Allgemeinen eine Autorität, die die das Modul bildende Zahl p großer Größe liefert. Die Autorität wählt ebenfalls eine als Bank bezeichnete ganze Zahl g, wie zum Beispiel die von g erzeugte Gruppe, das heißt die von den Zahlen g^x modp gebildete Gruppe, wobei das zum Intervall [0, p-1] gehörende x eine Untergruppe maximaler Größe ist, wenigstens 2¹²⁸.
Die Parameter p und g werden als „öffentlich" bezeichnet, das heißt, dass sie durch die Autorität an alle dieser Autorität zugeordneten Benutzer geliefert werden.
Gemäß bestimmter Varianten werden diese Parameter individuell durch jeden Benutzer gewählt und sind in diesem Fall fester Bestandteil seines öffentlichen Schlüssels.
Ein größerer Nachteil bei der Umsetzung von kryptographischen Systemen besteht in der Notwendigkeit, aufgrund der komplexen Berechnungen, die realisiert werden, relative große Berechnungs- und Speichermittel zu besitzen.
Die Berechnung des Wertes g^kmod besteht nämlich in der Realisierung der modularen Multiplikationen, und das ist aufwändig in Bezug auf Berechnungszeit und Speicherplatz. In nur Standard-Mikroprozessoren nutzenden einfachen elektronischen Vorrichtungen ist dieser Typ von Operationen kaum realisierbar.
Bei elektronischen, einen auf diesen Typ von Berechnung spezialisierten Prozessor besitzenden Vorrichtungen, ist es dennoch wünschenswert, die Berechnungszeit und den für die Zwischenergebnisse notwendigen Speicherplatz zu begrenzen.
Die Berechnung der Größe g^kmod ist nämlich durch die unter der angelsächsischen Abkürzung SQM (Square-Multiply) bekannten klassische Methode des „multiplizierten Quadrats" im Allgemeinen relativ kostspielig, da es im Durchschnitt 3/2 Log₂ (p) Multiplikationen entspricht.
Gemäß dieser Methode werden alle Potenzen von g berechnet, das heißt, wenn k die Länge von n Bits ist, alle Quadrate:
g²⁰, g²¹, ... g²ⁿ.
Gemäß der Methode des „multiplizierten Quadrats" erfordert das einfache g^k n/2 Multiplikationen und n Quadrate.
Eine von E. BRICKELL et a. vorgeschlagene, durch die Abkürzung BGCW bezeichnete Methode erlaubt die Reduktion der Anzahl von Multiplikationen in dem Fall der Methode des multiplizierten Quadrats, führt aber einen Speicherbedarf von zahlreichen vorberechneten Konstanten und damit die Notwendigkeit ein, über eine sehr nachteilige Menge an Speicherplatz zu verfügen.
Diese Methode wird im Artikel von E. BRICKELL: „Fast Exponentiation with Precomputation", EUROCRYPT, 92, S. 200-207, beschrieben. Ein Exponent n wird zufällig gewählt und eine Auflösung in eine lineare Kombination n = Σ ai xi, 0 ≤ i ≤ m-1 wird gesucht. Potenzen g^xi werden vorberechnet und im Speicher gespeichert. Schließlich wird die exponentielle Funktion gⁿ durch Kombination von Potenzen berechnet.
Gegenstand der vorliegenden Erfindung ist, alle diese Nachteile zu beheben. Sie erlaubt es bei der Umsetzung des kryptographischen Algorithmus, eine flexible und in Bezug auf die Berechnungszeit und den Speicherplatz wenig aufwändige Lösung für alle Kryptographiesysteme und insbesondere durch tragbare Geräte des Typs Mikroprozessorkarte beizubringen.
Erfindungsgemäß werden zwei Lösungen vorgeschlagen. Die beiden Lösungen basieren auf einem aus der Bildung einer Datenbank von zufälligen Werten und der Kombination dieser Werte zur Bestimmung der zum Austausch zwischen den beiden Einheiten dienenden Exponenten x bestehenden gemeinsamen Prinzip.
Mit den beiden vorgeschlagenen Lösungen erfordert die Berechnung eines Exponenten k weniger als 30 modulare Multiplikationen bei einem für Träger, wie zum Beispiel Chipkarten, durchaus akzeptablen Speicherplatz.
Gegenstand der Erfindung ist ganz besonders ein die Berechnung der Größe r = g^k modp einbeziehendes Kryptographieverfahren mit öffentlichem Schlüssel, bei dem p eine Modul genannte Primzahl ist, der Exponent k eine zufällige Zahl üblicherweise in der Länge von N Bits und g eine Basis genannte ganze Zahl, in der die Schritte durch Anspruch 1 definiert werden.
Gemäß einem ersten Realisierungsmodus bestehen die Schritte in Folgendem:

– eine m zufällige Werte x_i und die entsprechenden Größen z_i, wie zum Beispiel z_i = g^xi modp enthaltende feste Datenbank bilden,
– einen für jede Unterschrift notwendigen Exponenten k durch die Durchführung einer zufälligen linearen Kombination der Werte x_i der Bank erzeugen,
– die Größe g^k modp ausgehend von den relativen Größen z_i zu den in der Kombination intervenierenden Werte x_i berechnen,
– diese Größe bei dem Signalaustausch mit einer anderen Einheit nutzen.

Gemäß einem zweiten Ausführungsmodus bestehen die Schritte in Folgendem:

– eine n zufällige Exponentenwerte und ihre Potenz (k_i, g^kimodp) enthaltende evolutive Datenbank bilden,
– einen neuen, für eine Unterschrift notwendigen Exponenten k_i+1 durch Vornehmen einer zufälligen linearen Kombination von n Werten k_i der Bank erzeugen,
– die Größe g^ki+1modp durch Realisierung des Produkts der in die lineare Kombination eintretenden Potenzen von g berechnen,
– die Bank der Exponenten und der Potenzen aktualisieren,
– diese Größe in dem Zeichenaustausch mit einer anderen Einheit einsetzen.

Weitere Besonderheiten und Vorteile der Erfindung werden bei der Lektüre der erfolgten Beschreibung deutlich, die beispielhaft und nicht einschränkend unter Bezugnahme auf die Zeichnungen gegeben wird, die Folgendes darstellen:
1, ein Prinzipschema eines zur Umsetzung der Erfindung geeigneten System,
2, ein die wesentlichen Schritte des erfindungsgemäßen Verfahrens darstellende funktionales Schema,
3, das funktionale Schema gemäß einem ersten Ausführungsmodus,
4 das funktionale Schema gemäß einem zweiten Ausführungsmodus.
In 1 wurde ein Prinzipschema eines Umsetzungssystems des erfindungsgegenständlichen Kryptographieverfahrens dargestellt.
Dieses System wird aus einer Einheit E1 gebildet, die den Austausch elektronischer Signale mit wenigstens einer anderen Einheit E2 vornehmen möchte. Die beiden Einheiten sind jeweils mit einer Bearbeitungseinheit (CPU) 11, 30, einer Kommunikationsschnittfläche, einem Arbeitsspeicher (RAM) 13, 32 und/oder einem nicht beschreibbaren Speicher (ROM) 14, 34 und/oder einem nicht flüchtigen, beschreibbaren oder wieder beschreibbaren Speicher (EPROM oder EEPROM) 15, 33 und einem Adress-, Daten-, Kontrollbus 16, 35 ausgerüstet.
Die Verarbeitungssteuereinheit und/oder der ROM enthalten der Ausführung der Berechnungsschritte entsprechende, in dem erfindungsgegenständlichen Verfahren, das heißt bei einer Authentifizierungssitzung oder bei der Erzeugung eines elektronischen Signals, oder in deren Verlauf die beiden Einheiten elektronische Signale austauschen, intervenierende Berechungs-Programme oder -Ressourcen.
Die Verarbeitungseinheit oder der ROM besitzen die für modularen Multiplikationen, Additionen und Reduktionen notwendigen Ressourcen.
Ebenso umfassen die Verarbeitungseinheit und/oder der ROM die jedem Kryptographiealgorithmus eigenen Kryptographiefunktionen und die für die Berechnung notwendigen Parameter g und p eingesetzten und im Anschluss endgültig eingesetzten Kryptographiefunktionen. Die Exponenten x_i gemäß dem ersten Modus oder k_i gemäß dem zweiten Modus können vorab in einen von der Autorität wieder beschreibbaren Speicher eingesetzt oder von einem Zufallsgenerator und einem geheimen zufälligen Quellenwert x₀ (oder k₀) erzeugt werden. Jede Einheit E1, E2 besitzt darüber hinaus einen geheimen Schlüssel x und den öffentlichen Schlüssel y.
Die Erfindung wird ganz besonders auf im Bankenbereich eingerichtete Kryptographiesysteme angewendet, wo eine große Sicherheit bei den auf den Konten vorgenommenen Transaktionen erforderlich ist.
Das ist auch der Fall, wenn der Versand von durch eine andere Einheit in Form von elektronischen Signalen versandten Meldungen authentifiziert werden soll.
Das ist auch der Fall, wenn die Unterzeichnung von Meldungen beim Signalaustausch mit einer anderen Einheit notwendig ist.
In der Praxis kann die die Realisierung einer Transaktion wünschende Einheit zum Beispiel eine Karte mit integriertem Schaltkreis, wie zum Beispiel eine Chipkarte sein, und die Empfängereinheit wird dann ein Bankenterminal sein.
Die nachfolgende Beschreibung wird im Rahmen der Anwendung des Verfahrens mit Unterzeichnung von digitalen Meldungen erfolgen, wobei es sich von selbst versteht, dass die Erfindung sich auf jedes auf dem diskreten Logarithmus basierende Kryptographiesystem bezieht.
1 stellt die wesentlichen Schritte des Verfahrens dar. Erfindungsgemäß wird eine eine feste Anzahl von Exponenten und die entsprechenden Potenzen enthaltende Datenbank gebildet,
dann wird für jeden Signalaustausch:

– ein Exponent durch Vornahme einer zufälligen linearen Kombination der Exponenten-Werte der Bank erzeugt,
– und die Potenz von g ausgehend von den Potenzen der in die Kombination eintretenden Bank berechnet.

Das erfindungsgemäße Verfahren schlägt zwei Lösungen vor, wobei alle beide auf der Bildung (oder Konstitution) dieser Datenbank beruhen.
Gemäß dem ersten Ausführungsmodus ist die Datenbank fest und wird aus einer Gruppe von m Paaren (x_i, z_i) gebildet. Die Daten x_i sind, wie zuvor genannt, durch einen Generator von zufälligen oder pseudozufälligen Zahlen erhaltene zufällige Zahlen. Die Länge dieser Zahlen ist die eines Exponenten k und ist bei allen dieselbe (das heißt N Bits). Die Größen z_i sind das Ergebnis einer vorherigen Berechnung, wie zum Beispiel: zi = gxi modp.
Die Länge der Größen z_i ist die des modulo p.
Wenn die Einheit E1 diese Datenbank B = [(x_o, z₀), ... (x_m-1, –z_m-1)] besitzt, kann sie Signale mit einer anderen Einheit austauschen, indem sie zum Beispiel eine Unterschrift DAS (r, s) intervenieren lässt, wie zum Beispiel r = g^k modp, in der k ausgehend von den Daten der Bank B erzeugt wurde.
Somit erzeugt die Einheit erfindungsgemäß einen Exponenten k, wenn dies notwendig ist, und sie tut dies unter Realisierung einer zufälligen linearen Kombination der Werte x_i der Bank. Die Einheit berechnet anschließend die entsprechende Größe g^kmodp.
Für die Erzeugung des Exponenten k geht die Einheit auf folgende Weise vor:

– die Einheit erzeugt eine Sequenz von Werten a_i: (a₀, ..., a_m-1), die zufällige ganze Zahlen sind, wie zum Beispiel 0 ≤ a_i ≤ h und von denen nur w Werte ungleich Null sind.
– die Einheit erzeugt k, so dass:
– die Einheit berechnet anschließend die Größe g^kmodp unter Durchführung der Multiplikationen der Potenzen von g Daten durch die Werte z_i relativ zu x_i, die in die lineare Kombination eintreten. In der Praxis sind die in die lineare Kombination eintretenden x_i diejenigen, für die der Koeffizient a_i ungleich Null ist.

Der Algorithmus von BRICKELL et al. wird für die Realisierung dieser Berechnung eingesetzt, doch die Anzahl von Multiplikationen beträgt von nun an (h/h+1) w + h-2 anstatt von (h/h+1) m + h-2.
Die Zahl w ist im Verhältnis zur erforderlichen Sicherheit festgelegt und führt bei den Werten von m und h zu den folgenden Ergebnissen:
m = 32, w = 24 und h = 8
m = 64, w = 20 und h = 6.
Diese Werte werden beispielhaft genannt und es können unterschiedliche Kombinationen in Betracht gezogen werden, solange die Sicherheitsauflagen beachtet werden.
In dem Fall, in dem m = 64 und w = 20 ist, beträgt die erfindungsgemäße notwendige Anzahl von Multiplikationen 34, während bei einer Methode wie zum Beispiel BRICKELL 60 Multiplikationen zu realisieren gewesen wären.
Bei m = 32 werden infolgedessen 32 Anzahlen der Größe des modulo p gespeichert, das heißt je nach Fall 512 bis 1024 Bits und 32 Anzahlen von 160 Bits (N = 160).
Die m Paare (x_i, z_i) werden in dem Fall im Speicher EEPROM gespeichert, in dem die Einheit eine Karte ist, und zwar auf durch die üblichen Abschirmungs- und analogen Methoden geschützte Weise.
Die zweite erfindungsgemäß vorgeschlagene Lösung besteht in der Bildung einer evolutiven Datenbank ausgehend von n zufälligen Werten von Exponenten k_i, i=1 bis n und ihrer Potenz g^ki modp.
Ein erster neuer Exponentenwert k_i+1 wird anschließend durch zufällige lineare Kombination der Exponenten der Bank erhalten. Die Berechnung der Größe g^ki+1 entspricht der Ausführung dieses neuen Exponenten. Dieses neue Paar wird durch Ersatz des ersten Paars in die Datenbank eingeführt.
Ein für eine Unterschrift notwendiger Exponent k wird durch lineare Kombination aller anderen Exponenten der Datenbank erhalten, und der Inhalt der Bank wird bei jeder neuen Erzeugung eines Exponenten abgeändert.
In der Tat wird die Bank durch Ersatz des ersten Paares durch das letzte erhaltene Paar aktualisiert.
Damit weist die Bank zum Zeitpunkt t die folgende Form auf:
((k₀, g^ko modp), (k₁, g^kl modp) ..., (k_t, g^kt modp))
dann wird k_t+1 berechnet, und die Bank wird aktualisiert, die zu Folgendem wird:
((k₁, g^kimodp), (k₂, g^k2modp), ..., k_t, g^ktmodp) (k_t+1, g^kt+1modp).
Das Verfahren wird bei jeder Berechnung eines neuen k in der pseudo-zufälligen Sequenz wiederholt.
Jeder Exponent der Bank ist eine für die folgende Relation ausgedrückte lineare Kombination:
wobei h-1 = n ist
in der die Koeffizienten a_i zufällige positive ganze Zahlen sind.
Die zufälligen Zahlen werden ausgehend von einer festen Sequenz a₀, ... a_h-1 erhalten, auf der eine zufällige Permutation durchgeführt wird.
Damit kann die Erzeugung eines Exponenten k_t+1 durch die folgende Relation ausgedrückt werden: kt+1 = lt[k(t+i – (h-1), ... kt]wobei l_t eine lineare Funktionale (linear functional) mit ganzen, aus L Funktionalen ausgewählten Koeffizienten ist.
Die Koeffizienten a_i sind kleine Potenzen von 2. Es werden zwischen 1 und 2^f gewählte Werte ausgewählt, wobei f eine Größe hat, die eine effiziente Implementierung erlaubt. Zum Beispiel wird f = 7 gewählt, um mit den vom Algorithmus Schnorr vorgeschlagenen Werten kohärent zu bleiben. Es wird damit die Folge von 0, ... a_h-1 als eine zufällige Permutation der Sequenz (1, 2, ... 2⁷) aufgenommen.
Die Koeffizienten der linearen Kombinationen müssen unter einem Schwellenwert b liegen, um Angriffe zu verhindern, und die k_t gleichmäßig verteilt und (h-1)-unabhängig behalten.
Unter Berücksichtigung von h und L = b^h werden die Werte h = 8 und b = 4 suggeriert, und L = {1, ..., b)^h wird festgelegt.
Die Größe der Zahlen k beträgt im Allgemeinen 160 Bits. In diesem Fall ist die Anzahl von gemäß dem erfindungsgemäßen Verfahren intervenierenden modularen Multipaktionen deutlich niedriger als die Anzahl von im Allgemeinen im aktuellen Stand der Technik festgestellten Multiplikationen. In der Tat ist sie für die gewählten Werte niedriger als 30.

Claims

Kryptographie-Verfahren mit öffentlichem Schlüssel, basierend auf dem diskreten Logarithmus, in dessen Verlauf eine Berechung einer Größe r = g^kmodp realisiert wird, in der p eine Modul genannte Primzahl ist, k eine zufällige Zahl ist und g eine Bank genannte ganze Zahl ist, wobei das Verfahren die folgenden Schritte umfasst, die aus Folgendem bestehen: – eine m zufällige Daten x₀, ..., x_m-1 und m entsprechende Potenzen z₀, ..., z_m-1 wie zum Beispiel für jedes i, z_i = g^xi mod p, enthaltende Datenbank bilden, – den zufälligen Exponenten k durch Realisierung der folgenden Unterschritte erzeugen: – m Werte a_o, ..., a_m-1 erzeugen, von denen nur w zufällig aus den m Werten ausgewählte Werte ungleich Null sind, k durch Durchführen einer zufälligen linearen Kombination der zufälligen Daten der Datenbank gemäß der Relation
berechnen, – und g^k mod p durch eine Kombination der den in die Kombination eintretenden zufälligen Werten x_i entsprechenden Potenzen berechnen.
Kryptographieverfahren gemäß Anspruch 1, dadurch gekennzeichnet, dass der Bildungsschritt der Datenbank den folgenden Unterschritten entspricht: – m zufällige Werte x_i von N Bits ausgehend von einem pseudo-zufälligen Generator und einem geheimen anfänglichen Wert x₀ erzeugen, – die Größe z_i = g^ximodp durch Realisierung des Produkts der in die lineare Kombination eintretenden Potenzen von g modulo p berechnen, nach der ein Wert x_i aufgelöst werden kann, – die Einheit der m Paare (x_i, z_i) im nicht flüchtigen Speicher speichern.
Kryptographieverfahren mit öffentlichem Schlüssel gemäß Anspruch 1, dadurch gekennzeichnet, dass die Schritte aus Folgendem bestehen: – eine n zufällige Exponentenwerte und ihre Potenz (k_i, g^kimodp) enthaltende evolutive Datenbank bilden, – einen neuen, für eine Unterschrift notwendigen Exponenten k_i+1 durch Vornehmen einer zufälligen linearen Kombination von n Werten k_i der Bank erzeugen, – die Größe g^ki+1modp durch Realisierung des Produkts der in die lineare Kombination eintretenden Potenzen von g berechnen, – die Bank durch Ersatz eines Paars durch dieses neue Paar aktualisieren, – diese Größe in dem Zeichenaustausch mit einer anderen Einheit einsetzen.
Kryptographieverfahren gemäß Anspruch 3, dadurch gekennzeichnet, dass dieser Exponent bei einem Exponenten k_t der Bank eine lineare Kombination der Form
wobei h-1 = n ist ist und in der die Koeffizienten a₁ zufällige positive ganze Zahlen sind.
Kryptogrphieverfahren gemäß Anspruch 3, dadurch gekennzeichnet, dass die Koeffizienten a₁, i=0 bis h-1 durch eine zufällige Permutation einer festen Sequenz erhalten werden.
Kryptographieverfahren gemäß Anspruch 5, dadurch gekennzeichnet, dass ein neuer Exponent k_t+1 eine lineare Kombination der anderen sich durch die Relation: kt+1 = It(kt+1-(h-1), ..., kt)ausdrückenden Exponenten ist und I_t eine lineare Funktionale ist.
Kryptographieverfahren gemäß einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass es für Mikroprozessorkarten umgesetzt werden kann.