ES2251111T3 - Procedimiento de firma digital. - Google Patents

Abstract

Procedimiento de generación de una firma digital (c, d) de un mensaje M que consiste en: - definir un módulo N y una base g, una clave pública Y y una clave privada x, los parámetros N, g, Y y x estando unidos por la relación: Y = gx (mod N) - definir una función de troceado H cuyo tamaño del resultado se compone de S bits - escoger un número r de T bits con T >= 2S estando caracterizado dicho procedimiento porque consiste entre otras cosas en: - calcular u según la siguiente relación: u = gr * Yz en la que Z = 2S - trocear la concatenación de M y de u por la función H, el número así obtenido siendo el valor c de la firma, - calcular el valor d de la firma con la relación: d = r + c * x

Description

Procedimiento de firma digital.

La presente invención tiene como objetivo principalmente un procedimiento de generación de una firma digital (c, d) de un mensaje M, así como de un procedimiento de autentificación de una firma de este tipo.

Los procedimientos de firma digital están destinados a certificar el origen de un documento electrónico. De manera similar a una firma manuscrita, una firma digital se adjunta a un mensaje electrónico para garantizar su autenticidad. Pongamos el supuesto práctico de que una entidad A de un sistema de comunicación desee mandar un mensaje M a una entidad B. En una primera fase de generación de la firma, el emisor A, después de escribir el mensaje, realiza un conjunto de operaciones matemáticas en función del mensaje M que se debe firmar y operandos que pueden ser tanto secretos como públicos. Estos cálculos van a permitir generar una entidad digital a la que llamaremos la firma. El mensaje M, así como su firma, serán transmitidos a continuación electrónicamente. En una segunda fase, tras recibir el mensaje y la firma, el destinatario B realiza a su vez operaciones matemáticas. El resultado de estos últimos cálculos permite comprobar la validez de la firma recibida. Cabe destacar que la finalidad de la función de la firma es asegurar la autenticidad de un mensaje M y no asegurar la confidencialidad de su contenido. Por lo tanto, este mensaje se puede transmitir ya sea común o cifrado por una función de cifrado completamente independiente del mecanismo de
firma.

Globalmente, un procedimiento de firma digital permite, en un sistema de comunicación moderno:

(a)

Autentificar de manera cierta la identidad del emisor del mensaje.

(b)

Asegurar la integridad del contenido de un mensaje (se comprueba que el mensaje no ha sido alterado durante su transmisión).

En los procedimientos de firma digital, la seguridad está basada en la extrema dificultad para invertir ciertas funciones matemáticas. En efecto, dada la potencia de cálculo actual de los ordenadores, actualmente es imposible resolver algunas de estas ecuaciones sin conocer los elementos secretos del algoritmo.

Actualmente, existen varios tipos de procedimientos de firma digital.

Un primer tipo, desarrollado por Rivest-Shamir-Adelman, se fundamenta en la dificultad de factorizar números enteros de gran tamaño (véase "A method for obtaining digital signatures and public key cryptosystems", Communications of the ACM, Febrero de 1978, Volumen 21, Nº 2, Págs. 120-126, y la patente americana 4.405.829 que hace referencia a ello).

Un segundo tipo desarrollado por Taher El-Gamal propone algoritmos de firma basados en el problema del logaritmo discreto haciendo intervenir una exponenciación discreta (véase "A Public Key Crystosystem and a signature scheme based on discrete logarithms" IEEE Trans. en Inform Theory, vol. IT-31, págs. 469-472, julio 1985).

La exponenciación discreta está compuesta por tres argumentos, la base de la exponenciación g, el exponente x y el módulo N. El problema del logaritmo discreto consiste en encontrar x cuando se conoce N, g e Y, dada la relación matemática: Y=g^{x} módulo N (que significa: Y es el resto de la división de g^{x} entre N).

Un procedimiento del mismo tipo pero más sencillo ha sido divulgado por Schnorr y ha sido objeto de la patente US 4.995.082. Se distingue de la de El-Gamal por el hecho de que consiste en reducir el tamaño de los exponentes de las exponenciaciones discretas para acelerar los cálculos. Para ello, un elemento g genera un subgrupo de orden q, con q de 160 bits por ejemplo. Además, se utiliza una función de troceado en el cálculo de la firma.

La firma digital generada de esta manera es de pequeño tamaño.

De manera general, la exponenciación discreta puede ser según el caso, ya sea una exponenciación modular en la que se trabaja entonces con enteros con un número bien elegido como módulo, ya sea una multiplicación por un entero de una curva elíptica que es una operación similar a una exponenciación modular, pero que se define a partir de un grupo anotado aditivamente y no de manera multiplicativa.

En numerosas aplicaciones, la firma digital, así como su comprobación deberán realizarse en tiempo real. Algunos procedimientos, como el de El-Gamal necesitan grandes inversiones materiales, ya que los algoritmos requieren máquinas potentes. Para sustraerse de estos obstáculos materiales, la optimización de los algoritmos permite aliviar la complejidad de los cálculos a la vez que mantiene una seguridad comparable.

La solución de la exponenciación discreta es la más utilizada actualmente en los sistemas criptográficos y se han aportado ciertas mejoras a los algoritmos para aumentar la rapidez de los tiempos de cálculos, a la vez que mantiene una seguridad máxima.

\newpage

Con esta perspectiva, es importante reducir el tamaño (el número de bits) del exponente, ya que el tiempo de cálculo de la exponenciación modular es proporcional al tamaño.

Por otra parte, debe conocerse el cardinal del grupo con el que se trabaja en los algoritmos conocidos hasta la fecha. El cardinal de este grupo es función de la elección del módulo N. La seguridad del algoritmo se basa en la exponenciación discreta, es necesario hacer imposible su resolución. Esta seguridad implica ciertas restricciones sobre la elección del módulo N.

En el caso de una exponenciación modular, la seguridad de la exponenciación discreta ofrecía únicamente dos posibilidades sobre la elección del módulo N según el estado de la técnica conocida.

En el caso de la primera posibilidad, N es un producto de dos números primos. El-Gamal propone elegir N de tal manera que (N-1)/2 sea la primera y el divisor elegido sea (N-1).

La segunda posibilidad se refiere a los algoritmos con una base de exponenciación discreta en la que deberá conocerse un subgrupo, así como su cardinal, siendo el cardinal de este grupo un divisor del número de puntos de la curva, en el caso de una curva elíptica. Schnorr propone elegir q como cardinal del subgrupo, siendo q tal y como divide N-1.

La invención palia estos inconvenientes proponiendo un procedimiento apto para disminuir la complejidad de los cálculos y que permite trabajar en tiempo real con un ordenador del tipo PC.

Además pone remedio a las limitaciones mencionadas más arriba, ya no estando limitada la elección del módulo N a las dos posibilidades citadas más arriba o ya no siendo necesario el cálculo del número de puntos en la curva
elíptica.

Para ello, un procedimiento de generación de una firma digital (c, d) de un mensaje M consiste en:

- definir un módulo N y una base g, una clave pública Y y una clave privada x, estando unidos estos parámetros N, g, Y y x por la relación:

Y = g^{x} (mod N)

- definir una función de troceado H cuyo tamaño del resultado está compuesto por S bits

- elegir un número r de T bits con

T >= 2S

- calcular u según la siguiente relación:

u = g^{r} * Y^{z}

en la que

Z = 2^{S}

- trocear la concatenación de M y de u por la función H, siendo el número obtenido de esta manera el valor c de la firma,

- calcular el valor d de la firma por la relación:

d = r + c * x

Según una característica adicional que permite una vez más reducir los tiempos de cálculo, el mensaje M es troceado por una función h_{1} antes de ser troceado por la función H y después concatenado con u, pudiendo ser idénticas eventualmente las funciones h_{1} y H.

Según una característica particular, se define la clave privada x antes de la clave pública Y, calculándose esta última por la relación:

Y = g^{x} (mod N)

Según otra característica, la clave pública Y se define antes que la clave privada x y se elige el módulo N no primo.

Según otra característica, el número r es un número aleatorio.

\newpage

La invención se refiere además a un procedimiento de autentificación de la firma digital (c, d) de un mensaje M generada según la invención, estando este procedimiento caracterizado que consiste en, conociendo la clave pública Y, el módulo N y la base g y la función de troceado H cuyo valor de S:

- calcular u por la relación

u = g^{d} * Y^{(z-c)}

con

Z = 2^{S}

- trocear la concatenación de M y u por la función H,

- comprobar que el valor obtenido de esta manera es igual a c en el caso de que la firma sea auténtica.

Según una característica adicional de este procedimiento, el mensaje M se trocea por la función h1 antes de ser troceado por la función H y después concatenado con u.

Aparecerán otras ventajas y características de la presente invención en la descripción de un modo particular de realización de la invención, como se puede observar en las figuras de los anexos entre las que se encuentran:

la figura 1 muestra un esquema de un procedimiento de generación de una firma digital,

la figura 2 presenta un esquema de un procedimiento de autentificación de una firma digital generada según el procedimiento de la figura 1.

El procedimiento según la invención es utilizado, entre otras cosas, para generar y comprobar la firma de un mensaje M. Independientemente de las fases de firma y de comprobación de la firma, una autoridad garante de la seguridad dentro del sistema de comunicación, establece los siguientes parámetros generales.

a)

El módulo N. El tamaño de este módulo se determina según consideraciones relacionadas con la seguridad del algoritmo (hoy, 1024 bits es una buena elección). Este módulo puede ser común a varios usuarios (en gran cantidad eventualmente) dentro del criptosistema. Según las variantes, este módulo puede ser un número primo o no, una curva elíptica, o de manera más general un grupo para el que la exponenciación discreta es difícil de invertir.

b)

La base g. Se trata de un generador del subgrupo del grupo determinado por el módulo N (número módulo N, punto en la curva elíptica, elemento del grupo elegido). El subgrupo elegido deberá ser de gran cardinalidad (>2^{S}, donde S es el tamaño del resultado de H, siendo explicita la función de troceado en la continuación), pero todo ese grupo no es necesariamente Módulo N. Al igual que N, g puede ser común a varios usuarios.

La cardinalidad deberá ser grande pero no será necesario conocerla para los algoritmos de firma y de comprobación. Así pues, es posible trabajar con la exponenciación como operación básica y al mismo tiempo elegir N como producto de números primos.

Los parámetros N y g son parámetros generales establecidos de una vez por todas y comunes a grupos de usuarios. No tienen carácter secreto porque su simple conocimiento no permite engañar la seguridad del algoritmo.

El encargado del criptosistema asocia cada usuario con un par de claves que le son propias. La clave x se llama clave secreta y la clave Y clave pública. El propio usuario deberá ser el único en conocer la clave x. Él sólo la utiliza durante la fase de generación de la firma. La clave Y es pública. Pertenece al emisor A del mensaje. Se informa a cada usuario, cuando recibe un mensaje de A, de la identidad del emisor. Con la ayuda de un anuario de claves, puede así encontrar la clave Y que está asociada al emisor del mensaje y utilizarla en la fase de comprobación de la firma. La clave Y que pertenece a la entidad A se utiliza así a la vez por la entidad A y la entidad B. Las dos claves están unidas por el hecho de que Y es el resultado de la exponenciación discreta que tiene como base g, como exponente x y como módulo N. Están unidos por la relación siguiente:

Y = g^{x} (mod N)

En las dos opciones descritas más abajo y relativas a la elección de x y de Y, el usuario es el único que conoce la clave privada. Si la clave privada se divulga, el problema del logaritmo discreto desaparecerá y el sistema ya no estará protegido.

Según la primera opción, las claves privadas y públicas se escogen estableciendo x como tamaño S bits (por ejemplo S=160 si escogemos el estándar SHA como H), luego se calcula Y con la relación anterior. Esta variante permite utilizar claves privadas de pequeño tamaño (160 bits por ejemplo), y de trabajar sobre una curva elíptica sin tener necesidad de calcular previamente el cardinal de esta curva.

Según la segunda opción, se empieza por establecer Y por ejemplo, derivándolo del nombre del usuario (véase Maurer y Yacobi, Non-Interactive public-key cryptography, EUROCRYPT'91, Lecture Notes in Computer Science, Springer-Verlag, vol. 547, págs. 498-507, 1991), a continuación se deduce x por un cálculo de logaritmo discreto módulo N. Este procedimiento implica el uso para N de un número no primo, N=pq, para que el cálculo sea realizable. Dicho procedimiento exige igualmente no diseminar la descomposición N= pq para que el cálculo no pueda realizarse por cualquier persona. El procedimiento de firma aquí presentado permite no revelar p y q, contrariamente a otros procedimientos conocidos. En efecto, en estos últimos, cada quien tiene que conocer el cardinal del grupo multiplicativo módulo N, es decir (p-1)(q-1), ahora bien, el conocimiento de (p-1)(q-1) permite conocer p y q.

La autoridad encargada del criptosistema exige una función de troceado H, común a todos los usuarios. Ésta se utiliza para transformar cualquier número de cualquier tamaño en un número de S bits. La elección de H y de S es independiente del algoritmo y podemos entonces reutilizar cualquier función de troceado conocida hasta la fecha.

Acabada esta fase preliminar, consideraremos a partir de ahora dos entidades A y B que desean establecer un enlace protegido en el sistema de información. En la primera etapa, tal y como se describe en la figura 1, la entidad A va a calcular una firma digital representada por la pareja (c, d), a partir del mensaje M que desea transmitir a la entidad B. Esta etapa de firma se realiza en su totalidad por la entidad A.

El mensaje M, potencialmente muy largo, se transforma eventualmente por una función de troceado h_{1} cualquiera para dar el resultado m.

Se establece entonces Z = 2^{S}, estando determinada S por la elección de la función de troceado.

Se escoge al azar un número aleatorio r de T bits (con T establecido y T>=2S)

Se calcula el número u con la siguiente relación:

u = g^{r}Y^{z} (mod N)

Se concatenan los números m y u por una simple yuxtaposición.

Se trocea el resultado de la concatenación de m y de u con la ayuda de la función de troceado H. Se anota c como el número compuesto de S bits del resultado.

Se calcula el número d con la relación siguiente:

d = r + cx

La pareja (c, d) representa la firma del mensaje. Esta firma se transmite además del mensaje a la entidad B. Aquí empieza la segunda etapa, etapa de autentificación de la firma que se describe como se puede observar en la imagen 2. La realiza íntegramente la entidad B.

Después de la recepción de la firma (c, d) y del mensaje M que le corresponde, el mensaje M puede trocearse por la función de troceado h_{1}.

Se establece entonces Z = 2^{S}, S habiéndose establecido por la función de troceado escogida.

Se calcula el número v con la siguiente fórmula:

v = Z - c

Se calcula el número u con la siguiente fórmula:

u = g^{d}y^{v} (mod N)

Se concatenan los números m y u.

Se trocea en S bits el resultado de la concatenación con la función de troceado H. El resultado obtenido se anota como c'.

Se comprueba entonces la firma enviada por la entidad A. Si tenemos c = c', entonces el emisor del mensaje M sólo puede ser la entidad A, a condición de que la clave secreta x de la entidad A no se haya revelado. En caso contrario, si c y c' son distintos, el mensaje ha sido falsificado.

Claims (9)

1. Procedimiento de generación de una firma digital (c, d) de un mensaje M que consiste en:

- definir un módulo N y una base g, una clave pública Y y una clave privada x, los parámetros N, g, Y y x estando unidos por la relación:

Y = g^{x} (mod N)

- definir una función de troceado H cuyo tamaño del resultado se compone de S bits

- escoger un número r de T bits con

T >= 2S

estando caracterizado dicho procedimiento porque consiste entre otras cosas en:

- calcular u según la siguiente relación:

u = g^{r} * Y^{z}

en la que

Z = 2^{S}

- trocear la concatenación de M y de u por la función H, el número así obtenido siendo el valor c de la firma,

- calcular el valor d de la firma con la relación:

d = r + c * x

2. Procedimiento de generación de una firma digital (c, d) de un mensaje M según la reivindicación 1, caracterizada porque el mensaje M se trocea por una función h_{1} antes de trocearse por la función H y luego concatenado con u.

3. Procedimiento de generación de una firma digital (c, d) de un mensaje M según la reivindicación 2, caracterizada porque las funciones H y h_{1} son idénticas.

4. Procedimiento de generación de una firma digital (c, d) de un mensaje M según una cualquiera de las reivindicaciones 1 y 3, caracterizado porque la clave privada x se define antes que la clave pública Y, esta última siendo entonces calculada con la relación:

Y = g^{x} (mod N)

5. Procedimiento de generación de una firma digital (c, d) de un mensaje M según una cualquiera de las reivindicaciones 1 y 3, caracterizado porque la clave pública Y es definida antes que la clave privada x, y en que el módulo N se escoge como no primo.

6. Procedimiento de generación de una firma digital (c, d) de un mensaje M según una cualquiera de las reivindicaciones 1 a 5, caracterizado porque el número r es un número aleatorio.

7. Procedimiento de autentificación de la firma digital (c, d) de un mensaje M generado según una cualquiera de las reivindicaciones 1 a 6, caracterizado porque consiste en, conociendo la clave pública Y, el módulo N y la base g y la función de troceado H, por lo tanto el valor de S:

- calcular u con la relación

u = g^{d} * Y^{(z-c)}

con

Z = 2^{S}

- calcular con la función H la concatenación de M y de u,

- comprobar que el valor así obtenido es igual a c en el caso de que la firma sea auténtica.

8. Procedimiento de autentificación de una firma digital (c, d) de un mensaje M según la reivindicación 7, caracterizado porque el mensaje M se trocea por la función h_{1} antes de trocearse por la función H y a continuación concatenarse con u.

9. Procedimiento de autentificación de una firma digital (c, d) de un mensaje M según la reivindicación 8, caracterizado porque las funciones H y h_{1} son idénticas.