HUT68148A

HUT68148A - Method and system for digital signal processing

Info

Publication number: HUT68148A
Application number: HU9400228A
Authority: HU
Inventors: David William Kravitz
Original assignee: Us Commerce
Priority date: 1991-07-26
Filing date: 1992-07-24
Publication date: 1995-05-29
Also published as: AU2394492A; CA2111572C; HU9400228D0; SE9400103D0; WO1993003562A1; NO940258D0; FI940364A0; NL9220020A; CA2111572A1; EP0596945A1; US5231668A; FI940364A; JPH07502346A; BR9206315A; SE9400103L; NO940258L

Description

A találmány tárgya olyan digitális jelfeldolgozó eljárás, és algoritmus, amelynek segítségével az adatok teljessége megállapítható, pontosabban a találmány olyan jelgeneráló és ellenőrző eljárás, amely egy üzenetben vagy egy adat file-ban lévő jelekhez alkalmazható.

Abban az esetben, ha bármely fél részéről üzenetet kívánunk továbbítani egy másik fél részére, úgy a vevő fél adott esetben szeretné meghatározni, hogy az üzenet az átvitel során változott-e. Adott esetben a vevő fél biztos akar lenni az üzenet eredetében is. Ismeretes az, hogy ezen feladatok végrehajtására digitális jelfeldolgozó eljárásokat, illetőleg algoritmusokat alkalmaznak. Számos ismert digitális jelfeldolgozó eljárás létezik egy üzenet teljességének az ellenőrzésére és hitelességének a megállapítására. Ezek az ismert digitális jelfeldolgozó eljárások harmadik fél részére is bizonyítják azt, hogy az üzenetet az aktuális kezdeményező küldte.

Ugyancsak ismert, hogy ezek a digitális jelfeldolgozó algoritmusok az adott eszközhöz tartozó titkosítási kulcsot, azaz karaktert is tartalmazzák. Diffie és Hellman az A titkosírás új irányvonalai című, 1976-ban az IEEE Transactions on Information Theory, IT-22. kötetétben, a 472-492. oldalon arról írnak, hogy a nyilvános titkosítási kulcsot hogyan lehet a digitális jelfeldolgozó algoritmusoknál alkalmazni. Számos kísérlet történt abban a vonatkozásban, hogy egy olyan nyilvános kulcs jelsorozatot talál• · • ·

janak, amelyek nehézsége bizonyos matematikai problémák megoldásában van, és ily módon lehet megakadályozni, illetőleg nehézzé tenni, hogy nem meghatalmazott, illetéktelen személy az üzeneten változtasson, vagy azt hamisítsa. A RivestShamir-Adleman rendszernek a nehézsége a nagyszámú tényezőkre bontásában van. R. Rivest, A. Shamir és L. Adleman Digitális jelsorozat előállítása és nyilvános kulcs titkosítási rendszerek címmel a Communications of the ACM, 1978. februári számában írnak a 21. kötet 120-126. oldalán, valamint erről tesznek említést az U.S. 4 405 829 számú szabadalmi leírásban is.

Taher ElGamal egy ilyen jelrendszerről ír a Nyilvános titkosító kulcs és diszkrét logaritmusokon alapuló jelek címmel az IEEE Transactions on Information Theory, 1985. július 4-i számában. Ennek a rendszernek a nehézsége abban van, hogy a diszkrét logaritmusokat egy véges mezőkben kell feldolgozni. Az ElGamal-féle rendszerben m jelzi azt a dokumentumot, amelyet megjelölünk, ahol 0 < m < p-1, aholis p egy nagy prímszám, a pedig egy primitív elem mód p, mindkettő ismert. Minden olyan titkosítási rendszerben, amely diszkrét logaritmusokon alapul, p értékét úgy kell megválasztani, hogy p-l-nek legalább egy nagy prim tényezője legyen. Ha p-l-nek csak kis prim tényezői vannak, úgy a diszkrét logaritmusok feldolgozása könnyű. A nyilvános fiié tartalmazza az adott üzenethez tartozó nyilvános kulcsot, amely y = a^x mód p, minden egyes felhasználó számára, és ebben a képletben a titkosítást jelentő x kulcs minden egyes • · felhasználóhoz külön hozzá van rendelve, p egy nagy prímszám, és a pedig egy primitív elem. Egy adott dokumentumnak a megjelöléséhez az A felhasználó egyrészt használja a titkosító x^ kulcsot, ily módon tudja az m üzenetet megkülönböztetni, másrészt minden egyes felhasználó használja az y^ kulcsot, az α-val és a p-vel, és ezzel biztosítható, hogy az aki az kódot nem ismeri, nem tudja hamisítani az üzenetet.

m üzenet megjelölésére egy pár (r, s) jelet alkalmazunk, ahol 0 < r,s < p-1, és ahol _am = yr_rs _mod p (1. egyenlet)

Számos megoldásnál szükség lehet arra is, hogy az üzenetet on-line továbbítsák. A Rivest-Shamir-Adleman rendszer rendkívül költséges megoldást jelent ahhoz, hogy az üzenet on-line továbbításra alkalmas legyen. ElGamal olyan rendszert ismertet, amely lehetőséget biztosít arra, hogy az üzenetet, mielőtt az on-line üzemmódba kerülnek, megfelelően feldolgozzák, és olyan értékeket használjanak, amely nem függ az m üzenet értékétől. Ily módon az on-line jelátvitelhez szükséges jel létrehozása az ElGamal rendszerben rendkívül egyszerű.

Az ElGamal rendszerben alkalmazott megjelölési eljárás három lépésből áll. Az első lépésben egy véletlenszerűen kiválasztott k számot veszünk, amely k egyenletesen elosztva helyezkedik el a 0 és a (p-1) között, és ahol a legnagyobb közös osztója a (k, p-1) halmaznak = 1. Ezt követően r értékét határozzák meg az alábbiak szerint:

• ·

r = a^k mód p. (2. egyenlet)

A 2. egyenletből látható, hogy az az arány, amely az m üzenet megjelölésénél szükséges, az 1. egyenlet figyelembevételével a következőképpen írható fel:

_am = a^xrak^smod p. (3. egyenlet)

A 3. egyenletet s-re úgy oldhatjuk meg, hogy felhasználjuk m = xr + ks mód (p-1). (4. egyenlet)

A 4. egyenletnek van megoldása s értékére, feltéve, ha a k értékét az előbb említett módon választottuk meg, tehát lko(k, p-1) = 1.

Az ElGamal által kifejlesztett eljárás során rendkívül egyszerű ellenőrizni és megállapítani egy (r,s) jelnek a hitelességét úgy, hogy az 1. egyenlet mindkét oldalát megoldjuk, és meghatározzuk azt, amikor azok egyenlőek. A kiválaszott k érték soha nem használható fel mégegyszer. Ezt például úgy biztosíthatjuk, hogy a Data Encryption Standard chip-et használjuk számító üzemmódban mint egy olyan áramkört, amellyel a k értékét létrehozzuk.

Az ElGamal által kidolgozott jelfeldolgozási rendszer két oldalról támadható. Az egyik esetben az történik, hogy valaki felfedezi a titkos x kulcsot. A másik esetben pedig valaki anélkül, hogy felfedezné a titkos x kulcs értékét, hamisítani tudja a jelzést. Ezeket a lépéseket úgy lehet könnyen megtenni, hogy lényegében az eljárás azonos egy diszkrét logaritmus feldolgozásával GF(p), azaz Green függvényben.

«

Az elsőként említett esetben a behatoló a 4. egyenletből t egyenletet próbál megoldani úgy, hogy m^ értékeket vesz figyelembe, ahol i = 1, 2 ... t, és ezt a megfelelő (r£, S£) számpárok figyelembevételével teszi, ahol i szintén egyenlő 1, 2 ... t.

Ebben a rendszerben azonban (t + 1) ismeretlenről van szó az egyenletrendszerben, hiszen mindegyik kijelölésnél különböző k értékek kerülnek alkalmazásra. így lényegében az egyenletrendszer határozatlan, és a megoldások száma igen nagy. Ennek oka, hogy minden egyes titkosító x kulcs ad egy megoldást a kj.-re, mivel e rendszer olyan lineáris egyenleteket tartalmaz, amelyek állandói diagonális mátrixban vannak elrendezve. Mivel (p-1) úgy van megválasztva, hogy legalább egy nagy q prim tényezője legyen, ahhoz, hogy az x mód q értéket valaki meghatározza, exponenciális függvény szerint változó számú üzenet-jel párokra van szükség. Abban az esetben, ha bármely k érték egy adott jelsorozatnál kétszer lenne felhasználható, úgy az egyenletrendszer már egyértelművé válna, és x kulcs ebből megállapítható lenne. Ily módon tehát az ElGamal rendszer esetén mindenképen biztosítani kell azt, hogy k értékét egynél többször senki ne használja.

A már előbb említett másik támadási pont lehet az, hogy valaki megpróbálja a (3) egyenletet megoldani. Ennek a megoldása lényegében a Green függvény szerinti diszkrét logaritmusok kiszámolása, mivel mind a titkosító x kulcs, mind pedig a k érték kitevő. További lehetőség, hogy a behatoló • « * ·♦ ·· : . · · · ···· · .·*

- 7 megpróbál valamilyen lineáris összefüggést találni a (k^ = 1, 2, ... t) ismeretlenek között. Ez lényegében szintén azzal egyenlő, amikor diszkrét logaritmusokat számolnak ki, mivel ha kf = ckj mód (p-1) , akkor rf = rj^c mód p, és ha c értéke kiszámítható, úgy a jelfeldolgozás a diszkrét logaritmus formájában már könnyű.

A második lehetőség egy rendszerbe való behatolására az hogy anélkül, hogy a titkosító x kulcs ismert lenne, a jelet megpróbálják hamisítani, a hamisító az r és s értékét próbálja megtalálni úgy, hogy az (1) egyenlet egy adott m üzenetre jó legyen. Abban az esetben, ha r = cd mód p, rögzített érték néhány véletlenszerűen kiválasztott j értékre, úgy az s-nek a kiszámolása lényegében a GF(p) függvény szerinti diszkrét logaritmus megoldásával kiszámolható.

Ha a hamisító s értékét rögzíti, úgy r értéke a következő egyenlőség alapján számítható:

r^sy^r = a mód p. (5. egyenlet)

Az 5. egyenletet r értékére megoldani nem olyan nehéz, mint a diszkrét logaritmusok megoldása. Jóllehet, az 5. egyenletnek a megoldása polinom függvényként nem valósítható meg .álláspontunk szerint. A második fajta támadásnak az lehet a módja, hogy a behatoló megpróbálja megoldani (1) egyenletet mind r, mind pedig s értékre egyidejűleg. Azt gondoljuk azonban, hogy egy megfelelően hatásos algoritmus ezen feladat megoldására nem ismeretes.

Az ElGamal-féle rendszernek a jel alakja lehetővé teszi egy olyan támadást, ahol a rendszerbe behatoló személy egy m • . · · · · ·

.....* ,·· · · * ···· ·« ··*’

- 8 üzenetre egy hiteles jelet (r, s) ismer, ebben az esetben további, szintén hitelesnek tekinthető jeleket (r, s) és m üzenetet tud létrehozni. Ebben az esetben azonban, jóllehet valamilyen formában a rendszerbe behatolt, nem tud élni a lehetőséggel, mert a behatolónak nincs lehetősége arra, hogy egy tetszőleges m üzenetet kijelöljön, és ily módon nem tudja a rendszert megszakítani. Az a kissé korlátozott lehetőség, hogy üzenet-jel párokat, amelyek elfogadhatók, tudjon más létrehozni, azáltal kerülhető el, hogy m üzenetnek egy megadott szerkezete van. Ugyancsak elkerülhető a behatolás akkor, ha mielőtt az m üzenetet megfelelően kijelöljük, egyirányú H függvényt alkalmazunk. Ez a potenciális hamisító számára lehetetlenné teszi, hogy m üzenetet meghatározza, amely lényegében ekkor már H(m) jel, és amelyet részletesebben a továbbiakban még bemutatunk. A behatolónak ugyanis mostmár ilyen adatot kellene továbbítania m üzenetként a hitelesítő és ellenőrző elrendezéshez, ahhoz, hogy a behatolás sikeresnek legyen tekinthető.

Egy hitelesítetten kijelölt m üzenet jelalakja az (r, s) függvényében a következő lesz:

_am _{x y}r_rs _moj p.

A, B és C egész számokat egy behatoló véletlenszerűen tud kiválasztani úgy, hogy (Ar - Cs) egy relatív prímszám legyen p-l-hez képest. Az r', s' és m' a következőképpen választható ki:

r' = r^Aa^By^c mód p, * ·· ·· · ·· * . · · ·· ···· * .··. · · • ···· ·· ··;♦

- 9 s' = sr' / (Ar-Cs) mód (p-1), m' = r'(Am + Bs)/(Ar - Cs)mod(p-l).

Ha most figyelembe vesszük azt, hogy (r',s') jel m' üzenetet jelöl ki, úgy az ellenőrző és hitelesítő egyenletet kielégíti, mivel _yr'_rrs' _{= y}r'(_rA_aB_yC)sr7(Ar-Cs) ₌ (_yr·Ar-r'Cs+r'Cs_rAsr'_aBsr')1/(Ar-Cs) = ((_yr_rS)Ar'_aBsr')1/(Ar-Cs)

- _Q(mAr'-Bsr')/(Ar-Cs) = a®' ahol az összes számítást természetesen mód p módon kell elvégezni.

Egy speciális eset az, amikor A = 0, ebben az esetben (r’, s') jelet úgy lehet megfelelő m' üzenettel létrehozni, hogy nincs szükség semmiféle kijelölésre:

r‘ = a^By^cmod p s' = -r'/C mód (p-1) m' = -r'B/C mód (p-1).

Szakember számára nyilvánvaló az is, hogy ha az m üzenethez egy egyirányú H függvényt alkalmazunk, mielőtt azt kijelöljük, úgy az általános és speciális támadások elkerülhetők. Itt jegyezzük meg azt is, hogy a H függvényt egy hosszabb üzenet tömörítésére használhatjuk úgy, hogy a kijelölt függvényt nem kell iterációnak alávetni a teljes m üzenet minden szegmensére. Ez további hatásfok növekedést eredményez.

Az U.S. 4 995 082 (Schnorr) számú szabadalmi leírás Eljárás előfizetők azonosítására, valamint hitelesítő jel létrehozására adatátviteli rendszerekben címmel egy olyan rendszert ismertet, amelynél az adatátvitel is, és a hitelesítés és ellenőrzés is sokkal hatásosabb, mint az ElGamal-féle eljárásnál. A Schnorr-féle rendszer ezenkívül igen jó hatásfokkal használható on-line jeltovábbításra. Az ElGamal-féle eljárásból azonban néhány olyan jellemző, amely kívánatos lenne, és a kísérleti és irodalmi kiterjesztés a Schnorr-féle modellben nem alkalmazható.

Kívánatos lenne tehát egy olyan rendszer kidolgozása, amely jó hatásfokkal alkalmazható on-line jelkijelölésre, adatátvitelre és ellenőrzésre, és amely összehasonlítható a Schnorr-féle rendszer előnyeivel, ugyanakkor azonban az ElGamal-féle modellel a kompatibilitását, és annak analitikai módszerét megtartja.

Lényegében tehát kívánatos lenne az, hogy az ElGamalféle eljárás jelfeldolgozására vonatkozó lépések komplex rendszerét, amely lehetővé teszi a H(m) függvény rögtön történő továbbítását, megtartsuk, ahelyett, hogy a H(m) függvényt a Schnorr-féle Η(α^ mód p,m) függvénnyel helyettesítenénk.

A találmány lényegében egy digitális m üzenet jel létrehozására, és ellenőrzésére, valamint hitelesítésére szolgál. Az eljárás során egy pár, nyilvános, az eszközhöz kötött y kulcsot, és titkos x kulcsot jelölünk ki, amelyeket ♦ ·

« « ···« minden egyes felhasználó megkap, továbbá minden egyes m üzenethez az előfizető vagy a jel létrehozója egy pár nyilvános r és titkos k értéket is generál. Az r értéket az r = (g^k mód p) mód g egyenlet alapján számítjuk ki. Ezt követően választjuk ki az s értéket, éspedig az s = k^-1(H(m) + xr) mód q függvény szerint, ahol a H függvény egy önmagában ismert, a szemétgyűjtő, a továbbiakban jeltömörítő függvény. Az m üzenet azután (r,s) jelként továbbításra kerül. A továbbított jelet egy ellenőrző és hitelesítő eljárás során veszik. A vett jelben az r és az s értékét vizsgálják meg, nevezetesen meghatározzák azt, hogy az a 0 mód q egyenlettel egybevágó-e. Ezt követően az r értéket vizsgálják meg, aholis meghatározzák azt, hogy az megfelel-e a v mód q-nak, ahol v értékét r, s, m és y-ból számítják ki. Egy hitelesnek tekintett jelnél v = g^ mód p.

A találmányt a továbbiakban példakénti kiviteli alakjai segítségével a mellékelt ábrákon ismertetjük részletesebben, ahol az

1. és a 2. ábrán a találmány szerinti digitális jelfeldolgozó eljárás folyamatábrája látható, a

3. ábrán pedig az 1. és a 2. ábrán bemutatott jelfeldolgozó algoritmusnál használható úgynevezett hashing eljárás folyamatábrája látható.

Az 1. ábrán látható tehát a találmány szerinti 10 digitális jelfeldolgozó eljárás folyamatábrája. A 10 digitális jelfeldolgozó eljárásnál egy pár, privát és nyilvános kulcsot alkalmaztunk a (r, s) digitális jeleknek a létre-

hozására és ellenőrzésére, amelynek mindegyike a továbbított m üzenettel összhangban van. A 10 digitális jelfeldolgozó eljárást alkalmazva a személyi kulccsal rendelkező felhasználó olyan digitális m üzenetet tud létrehozni, amely m üzenet tetszőleges számú adatból állhat. A nyilvános kulcs, azaz az eszköz kód, amelyen az adatátvitel történik, tulajdonosa egyrészt az m üzenetet venni tudja egyrészt, másrészt pedig az (r, s) jelet ellenőrizni is tudja. Egy esetleges behatoló, aki nem ismeri a személyi kódot, ily módon nem tud egy olyan (r, s) jelet létrehozni egy bármilyen m üzenethez, ily módon tehát az (r, s) jeleket nem lehet hamisítani.

Egy esetleges behatoló a kijelölt m üzenetet anélkül, hogy a (r, s) jelet érvénytelenné tenné, nem tud változtatni .

A 10 digitális jelfeldolgozó rendszer igen jól használható a nyilvános és személyi kódpárral, amely minden egyes jelkijelölésnél, illetőleg továbbításnál szükséges. Ezen túlmenően pedig szükség van arra is, hogy egymáshoz kapcsoljuk azokat az információkat, amely azonosítja egyrészt a jel továbbítóját, másrészt pedig a megfelelő nyilvános kódot. Annak érdekében, hogy minden esetben biztosítva legyen, hogy a saját vagy titkos kódot az egyén, akinek azonosítása a megfelelő nyilvános kódhoz is kapcsolódik, betartja, ezt a kapcsolást egy kölcsönös bizalom alapján kiválasztott harmadik személynek ellenőrizni kell. Ilyen ellenőrző, illetőleg azonosító hatóság olyan jeleket tud • · «··. ..· ··;

létrehozni, amelyek együttesen tartalmazzák a nyilvános kulcsot a 10 digitális jelfeldolgozó rendszer adott felhasználójánál, valamint a felhasználó azonosítását lehetővé tevő egyéni kódot.

A találmány szerinti 10 digitális jelfeldolgozó eljárás első lépése az 5 egységnél történik, amikoris a rendszer bekapcsol. Ezt követően a 10 digitális jelfeldolgozó eljárás felhasználója először kiválasztja a k titkos kódot, ez a 15 egységben történik. Ez a kiválasztott titkos k érték olyan egész szám, amelyet az m üzenet küldője minden egyes m üzenetnél továbbít. A k értékét a 0 < k < q tartományban kell megválasztani. A találmány szerinti 10 digitális jelfeldolgozó eljárásnál a k értékét egy véletlen vagy egy pszeudo-véletlen jel generátorral hozhatjuk létre. Szakember számára az is nyilvánvaló, hogy a k egész számnak a létrehozása egy pszeudo-véletlen jelgenerátorral önmagában ismert, így részletesebb magyarázatára nincsen szükség.

A 10 digitális jelfeldolgozó eljárásnál a 20 egységnél határozzuk meg g^k mód p értékét. Szakember számára az is ismert, hogy hogyan lehet a g^ mód p értékét meghatározni, és ezt az adatot továbbítani. Ez az adatsor azonban adott esetben elég hosszú.

Azért, hogy ezt a hosszúságot csökkentsük, a 25 egységben a 20 egységben lévő információ hosszúságát 160 bit-re csökkentjük, úgy, hogy a mód q értékét a következőképpen határozzuk meg:

r = (gk mód p) mód q. (6. egyenlet)

Annak érdekében, hogy a 6. egyenlet szerint megállapított r értéket létrehozzuk, a g értékét a következőképpen határozzuk meg:

g = hÍP^-1)/^ mód p (7. egyenlet) ahol h értéke minden olyan nem nulla egész szám lehet mód p vonatkozásában, ahol h^P^-1)/^ nem azonos az 1 mód p-vel. A g értéke a 10 digitális jelfeldolgozó eljárást, azaz az algoritmust használó minden egyes felhasználó számára közös is lehet. A 6. egyenletben p egy prím szám, ahol 2⁵¹¹ < p < 2⁵¹². A p prím szám az algoritmus összes felhasználójára adott esetben közös lehet. A q értéke prím osztója a (p—1) értéknek, ahol 2¹⁵⁹ < q < 2¹⁶⁰. q ugyancsak adott esetben közös lehet a találmány szerinti digitális jelfeldolgozó rendszer összes alkalmazójánál.

A digitális jelfeldolgozás ezt követően a 30 egységben megállapított lépéssel folytatódik, aholis a k^_1 mód q értéket határozzuk meg. Ez az érték felhasználható arra, hogy a rendszerben továbbított továbbításra kész jelet meghatározzuk. Szakember számára nyilvánvaló a folyamatábrából, hogy azok a lépések, amelyeket mindezideig felsoroltunk, beleértve a 30 egységben elvégzett számítást is, az m üzenettől függetlenek. Ezek a számítások adott esetben off-line üzemmódban is elvégezhetők, és ily módon az on-line eljárási lépések száma nagymértékben csökkenthetők.

A 10 digitális jelfeldolgozó eljárás következő, a 35 egységben bekövetkező lépése, aholis az m üzenetet tömörítjük. Az m üzenetnek ez a tömörítése a 35 egységben • · · • · · « • · · · • » 9 ·· · • · * * olyan kimenő jelet eredményez, amely 160 bites, vagy ennél kisebb, és amelyet H(m) függvény jelképez. Számos, önmagában ismert, úgynevezett hashing (tömörítő) program és algoritmus létezik, ezeket itt is fel tudjuk használni az m üzenet feldolgozásánál, így tehát önmagukban ismertek. Ugyancsak ismert az, hogy az az m üzenet, amelyhez ilyen hashing algoritmust alkalmazunk, nem titkosított formában is felhasználásra kerülhet.

Ha az r és a k^-1 mód q értékét meghatároztuk, amelyeket a 6. és a 7. egyenlet segítségével tudtunk megtenni, meghatározható az m üzenethez tartozó s érték is, amelyet a 40-es egységben végzünk, éspedig a következőképpen:

s = k^-1(H(m)+xr)mód g (8. egyenlet)

A 40 egységben ezt a 8. egyenletet oldjuk meg, és ennek eredményeként 160 bit-es egész számot kapunk. Az r és az s értékét a 25 és a 40-es egységben képeztük, ezek képezik az m üzenet (r, s) jelét. Az m üzenetet ezzel a jellel a vevőhöz továbbítjuk a 45 egységben. Itt jegyezzük meg, hogy az m üzenet adott esetben nem titkosított formában is átvihető. A következő lépés az 50 kapcsoló elemen történő továbbítás, illetőleg lapozás.

A találmány szerinti 10 digitális jelfeldolgozó eljárás során minden egyes felhasználóhoz tartozik egy titkos x kulcs, amely úgy van megválasztva, hogy 0 < x < g. Ez a titkos x kulcs minden m üzenethez rögzítve van, amelyet a 10 eljárás egyedi felhasználója továbbít. A nyilvános x kulcs minden olyan felhasználóhoz van rendelve, amely felhasználónak

- 16 megvan a saját titkos x kulcsa. A nyilvános kulcs y = g^x mód p alapján van meghatározva. Mielőtt az (r, s) jelet bevizsgálnánk és ellenőriznénk, a nyilvános y kulcs, valamint a felhasználónak, aki a titkos x kulccsal rendelkezik, az azonosítása meg kell történjen a vevőnél, mégpedig teljesen megbízható módon, és ennek az utolsó ellenőrzésnek az a célja, hogy bizonyítsa azt, hogy a (r, s) jelet eredendően egy olyan személy hozta létre, aki ismeri a titkos x kulcs értékét, mégpedig azét, amely megfelel az adott y kulcs értékének. Ha tehát az x kulcs helyesnek bizonyult, ezt az adót, illetőleg jel kijelölőt úgy tekinti a rendszer, hogy annak azonossága meghatalmazott és meghatározott módon kapcsolódik az adott y kulccsal. Ezen túlmenően természetesen a vevőnek tudni kell a g, p és q értékeit is.

A 10 digitális jelfeldolgozó eljárás következő lépése a 2. ábrán látható, amely azzal indul, hogy egy egyirányú kapcsoló, itt az 55 kapcsoló indítójelet ad a 60 egységnek, amely a start jelet hozza létre. Azt követően, hogy a 65 egységben az m üzenet vételre került, a teljes (r, s) jelként, a rendszeren belül a vevőnek a találmány értelmében ellenőriznie kell a vett r, és a vett s jelet. Itt jegyezzük meg, hogy a találmány szerinti 10 digitális jelfeldolgozó rendszernél az ismert mód p mag mód q-ra került redukálásra, és így került átvitelre. A g^ mód p jelet a 10 digitális jelfeldolgozó rendszer azután újra visszaállítja. Ily módon tehát a találmány szerinti eljárás során a g^k mód p jel helyreállítása általában inkább a vételi oldalon történik, mint az adó oldalon.

A 70 egységben az összehasonlítás olyan átlós algoritmussal történik, ahol az kerül megállapításra, hogy s vagy r megegyezik-e, illetőleg azonosan egyenlő-e a mód qval. Amennyiben akár az r, akár az s értékre igaz az az azonos egyenlőség, hogy megegyezik a mód q-val, úgy az eljárás következő lépése a 115 egységben az lesz, hogy a vett jelet a jelfeldolgozás, illetőleg maga a rendszer visszautasítja. Amennyiben r és s nem azonosan egyenlő a mód q-val, úgy a vételi oldalon a vett (r, s) jel további ellenőrzése folytatódik, amelyet a szaggatott vonallal jelzett hitelesítő, ellenőrző 75 egység végez el.

Akkor, amikor a jel a találmány szerinti jelfeldolgozás során belép a 75 egységbe, azon belül látható egy jelvisszaállító 80 egység, ahol megtörténik a g^k mód p jel visszaállítása. A szakember számára ismeretes a mód p visszaállítása az átvitt üzenet jel vétele után is, hiszen a korábbi ismert eljárások során a g^k mód p jelet az átvitelt megelőző redukálás nélkül továbbítottuk. A 85 egységben az ui érték meghatározása a következőképpen történik: u^ = (H(m)(s)^-1 mód q, és U2 = (r)(s)^-1 mód q. Ha u₃ és U2 meghatározásra került, úgy mostmár u^, U2 és a 9. egyenletben megállapított y segítségével a mód p meghatározható. Ennek a kiszámítása a 90 egységben történik. Ennél a pontnál azonban figyelni kell arra, hogy nem ismeretes az, hogy az ily módon a 90 egységben visszaállított jel megfe18 lel-e a g^ mód p jelnek. Jóllehet, a rendszer feltételezi, hogy ez a jel valóban megfelel a g^ mód p jelnek, azonban ezt a feltételezést ellenőrizni kell. Ez az ellenőrzés az alábbiak szerint történik.

v = (g)^ul(y)^u2 mód p [ = ((gH(m))(γΓ)S-l _mod p = (_gH(m)-xr)k(H(m)+xr) _{mod p} = g^ mod p] . (9. egyenlet)

A 95. egységben történik, amelyet itt is szaggatott vonallal bejelöltünk, a már visszaállított, és a 9. egyenletnek megfelelő g^ mod p jel ellenőrzése úgy, hogy először meghatározunk, és ez a 100-as egységben történik, egy w értéket, amely w = v mod q. A következő 100-as egységben annak megállapítása történik, hogy a vett r érték egyenlő-e azzal az a mod q értékkel, amely a g^k mod p jel redukált jele, és ahol az m,k,r és s a 8. egyenletben állított feltételeknek felelnek meg adott y értékre. A 105 egységben történt összehasonlítás eredményeként, ha a válasz igen, úgy a rendszer továbblép a 10 egységbe, amely a hitelesítő és ellenőrző egység, és ahol végülis az kerül megállapításra, hogy a 65 egységben vett jel (r, s) úgy tekinthető, mint egy, a találmány szerinti eljárással hitelesített jel. Ha a 105 egységben születő válaszjel nemleges, úgy a rendszer továbblép a 115 egységbe, amikoris a vett jel (r, s) • ·

- 19 visszautasításra kerül.

A találmány szerinti 10 digitális jelfeldolgozó eljárás biztonsága attól függ, hogy mennyire tud titkos vagy egyedi x kulcsot biztosítani. A találmány szerinti eljárás alkalmazóinak így aztán arra ügyelniük kell, hogy a saját titkos kódjaikat nem meghatalmazottaknak, illetőleg illetékteleneknek nehogy továbbadják. Ezen túlmenően pedig a 35 egységben az úgynevezett H függvényt, ez a tömörítő függvény, használjuk, amely megállapítja azt, hogy az s értékét hogy kell úgy kiválasztani, hogy ne lehessen a számítások során olyan, adott esetben távoli m üzenet párokat találni, amelynek a tömörítési értéke is ugyanaz.

A 3. ábrán látható egy hashing program 150 folyamatábrája. Egy ilyen folyamatábra található meg például R.L. Rivest, MD4 Üzenet tömörítő algoritmus címmel az Abstracts Crypto 1990. évi számában a 281-291. oldalán. A korábbiakban utaltunk arra, hogy a találmány szerinti 10 digitális jelfeldolgozó eljárás során a jelképzési és a hitelesítési eljáráshoz szükség van egy olyan tömörítő algoritmus biztosítására, amely képes arra, hogy tetszőleges hosszúságú üzeneteket vegyen, és 160 bit hosszúságú, vagy ennél rövidebb tömörített értékkel rendelkező kimenő jelet hozzon létre. A 150 folyamatábra alkalmas a találmány szerinti 10 digitális jelfeldolgozó eljárásnak a 35 egységében leírt tömörítési feladata elvégzésére.

Itt utalunk arra, hogy természetesen szakember más tömörítő függvényt is alkalmazhat, mint amilyen a 150 folya• *

- 20 matábrán ismertetve van, és ezzel a más fajta tömörítő algoritmussal lehet a 35 egységben lévő tömörítési feladatot elvégezni.

A 150 folyamatábra lépései elvégzéséhez a 30 egységből kijövő jelet használjuk fel, és ez indítja a 3. ábrán látható 152 egységben az eljárást. A 150 folyamatábra 153 egységben veszi az m üzenetet, amely b-bit hosszúságú, és amelyet a 150 folyamatábra 153 egységében úgy tömörítünk, hogy kimenetként A, B, C és D szó jeleket továbbítunk. Az m üzenet jelben lévő b bitek száma, amelyet a 153 egység vesz, tetszőleges számú, nem-negatív egész szám lehet. A b bit értéke lehet 0 is, és nem kell feltétlenül 8-nak a többszöröse legyen. A b értéke tetszőlegesen nagy is lehet. Az m üzenet bitjei a következőképpen írhatók le:

m_omi ... mb_i·

A 150 folyamatábrában a következő lépés az m üzenetnek a kitöltése vagy megnyújtása úgy, hogy a bitekben mért hossza megegyezzen a 448 modulo 512-vel, ahogyan ez a kitöltést végző 155 egységben látható. Az m üzenet úgy is megnyújtható, hogy éppen 64 bit rövidségű, vagy pedig 520 bit hosszúságú. Az m üzenetnek a kitöltését minden esetben a tömörítő algoritmusban kell elvégezni, még akkor is, ha az m üzenetnek a hossza megegyezik a 448, modulo 512-vel.

Abban az esetben, ha az m üzenet hossza megfelel a 448, modulo 512-nek, úgy 512 bitet mint töltő bitet adunk hozzá a 155 egységben.

A kitöltési lépésben a 155 egységben úgy járunk el, hogy annak a 160 egységében a bemeneten lévő m üzenethez egyetlen 1-es értékű bitet adunk hozzá. Ezt követően, és ez a 165 egységben történik, annyi 0 bitet adunk az m üzenethez, hogy az m üzenet bitjeinek a hossza megegyezzen a 448, modulo 512-vel, ahogyan erre már utaltunk is. A 155 egységben elvégzett művelet ily módon megfordítható, azaz különböző bemenetek különböző kimeneteket hozhatnak létre. A 155 egységben elvégzett kitöltési művelet abban az esetben nem lenne megfordítható, ha azt csak 0 bitekkel végezzük.

A 155 folyamatábra következő lépése a 170 egységben történik, ahol a hatvannégy bitnyi b jelet adjuk hozzá a 160 és 165 egységben létrehozott jelhez, ha b az m üzenet hossza, mielőtt a 160 és 165 egységbe a megfelelő biteket hozzáadtuk volna. A hatvannégy bit mint két harminckét bites szó kerül hozzáadásra, és az alacsonyabb rendű szó hozzáadása történik először. Abban az esetben, ha b nagyobb mint 2⁶⁴, úgy csak egyetlen alacsony nagyságrendű, 64 bites rész kerül a 170 egységben kiegészítésként m üzenethez. A tömörítő eljárás során az eredő már kitöltött m üzenet jelnek a hossza 512 bitnek egy többszöröse. Hasonló módon, a már kitöltött m üzenet hossza olyan, hogy 16 szónak pontos többszöröse, ahol mindegyik szó 32 bitből áll. Vegyük azt, hogy M[u] függvény olyan m üzenet szót jelöl, amely a 160 egységben elvégzett műveletek eredményeként jön létre, és ahol N 16 többszöröse, és 0 <u < N-l.

Az adat tömörítés következő lépése a 175 egységben történik, ahol négy szó tárolót használunk az A, B, C és D szavakhoz. Mind a négy szó, az A, B, C és D egy-egy 32 bites regiszterbe kerül. A 180 egységben az egyes A, B, C és D szavakat tartalmazó regisztereket iniciáljuk az alábbi 1. táblázatban található hexadecimális kódba, ahol az alacsonyabb rendű bytok kerülnek előre.

A	szó:	01	23 45	67
B	szó:	89	ab cd	ef
C	szó:	fe	de ba	98
D	szó:	76	54 32	10
	I.	tá:	blázat
A következő 185 egység	ben	három	fi
vényt definiálunk. Az	fiz	f2	és f₃	sec

, f₂ és f₃ segédfügga II táblázat mutatja. A II. táblázat minden egyes f₃, f₂, f₃ függvény bemenetként három 32 bites X, Y és Z szót vesz, kimenetként pedig egy 32 bites f₁(X,Y,Z), f₂(X,Y,Z) és f₃(X,Y,Z) ad.

fl(X,Y,Z) = XY V (—x)z f₂ (X, Y, Z) = XY V XZ V YZ f₃(X,Y,Z) = X + Y + z

II. táblázat

Az egyes X, Y, Z bemeneti szavak minden egyes bitjében • · · · · · » · · · · · • · » ·« · · · · >·»··

- 23 - ........

a segéd függvény mint feltétel szerepel annak a feltételnek a beépítésére: ha X, akkor Y vagy máskülönben Z. Az egyes bitekben az f₂ segédfüggvény elsődleges szerepet játszik, nevezetesen azt, hogyha legalább az X, Y és Z közül kettőnek az értéke 1, akkor az f₂ segéd függvény ebben a bit helyzetben 1 értékű lesz. Az f3 segéd függvény kizáró VAGY vagy pedig paritás szerepet játszik az egyes bitek helyzeténél. Ha az X, Y és Z bitek egymástól függetlenek, és torzításmentesek, akkor az fj_(X,Y,Z) szintén független és torzítatlan. Hasonló módon az f₂(X,Y,Z) segédfüggvény, és az f3(X,Y,Z) segéd függvények függetlenek és torzítatlanok, ha az X, Y és Z bitjei is függetlenek és torzítatlanok.

Az eljárás során a 186 egységben a hurok gerjesztő változót képező n értékét 0-ra állítjuk, ezt követően pedig a 186 egységben beállítjuk az áramértékeket, amelyek az X(j) jelsorozatra vonatkoznak, ahol 0 < j < 15, és elvégzünk a 190, 195 és 197 egységekben egy-egy tömörítési lépést, ahol az X[j] jelsorozat felfrissítésre kerül, és a három menetes adattömörítés Ν/16-szor történik meg összeségében. A második és a harmadik körben az eljárás során konstans értékeket használunk. A második körnek a konstans értéke kettő négyzetgyöke, a harmadik körnek a konstans értéke pedig háromnak a négyzetgyöke. Ezeknek a konstansoknak az értékei, amelyek először igen nagy digit számúak, láthatók a III. táblá zatban.

• · oktál

2. kör konstansa (V2) 013240474631

3. kör konstansa (V3) 015666365641 * · · · · · • · · · · · ···· · · »·«·· • ···♦ ·· .

hexál

5A827999 6ED9EBA1

III. Táblázat

A három tömörítési lépés minden egyes N/16-os lépése azzal kezdődik, hogy a IV. táblázatban megadott utasítás sort elvégzi a rendszer, ahogyan ez a 180 egységnél fel van tüntetve, és ahol az n jelenti az éppen feldolgozandó jelsorozatot. A jelsorozatok 0 - (N/16)-l jelölésűek.

Állítsd X[j] - M[n*16+j], j = 0, 1, ......... 15.

Mentsd A-t AA-ként, B-t BB-ként, C-t CC-ként és D-t DD-ként.

IV. Táblázat

A tömörítési eljárási lépés következő egysége a 190 egység, amelynél az első tömörítési lépést végezzük el, és ahol [A B C D i t] azt a műveletet jelöli, hogy A = (A + fl(B,C,D) + X[i]) «< t. A szakember számára nyilvánvaló, hogy a (A <« t) olyan 32 bites értéket jelent, amelyet azáltal érünk el, hogy az A értéket cirkulálva eltoljuk vagy elforgatjuk balra t bit helyzetekbe. Ez a művelet általánosságban [A B C D i t]-ként jelölhető, és azt jelenti, hogy 16-szor megy végbe egy körben, és az értékeket az A, B, D, i és t operandusoknak az alábbi V. táblázatban megadott sorrendje adja.

[A	B	C	D	0	3]
[D	A	B	C	1	7]
[C	D	A	B	2	11]
[B	C	D	A	3	19]
[A	B	C	D	4	3]
[0	A	B	C	5	7]
[C	D	A	B	6	11]
[B	C	D	A	7	19]
[A	B	C	D	8	3]
[D	A	B	C	9	7]
[C	D	A	B	10	11]
[B	C	D	A	11	19]
[A	B	C	D	12	3]
[D	A	B	C	13	7]
[C	D	A	B	14	11]
[B	C	D	A	15	19]

V. Táblázat

A következő egység a 190 egység kimenetén elhelyezkedő 195 egység, ahol a második tömörítési lépés megy végbe. A második tömörítési lépésben az [A B C D i t] egy olyan műveletet jelent, ahol A = (A + f₂(B,C,D) + X[i] + 5A827999) «< t. Az itt megjelölt műveleteket a második lépésben 16-szor végezzük el, és a VI. táblázatban adjuk meg az A, B, C, D, i értékeit, valamint a t értékét, ahogy azok sorrendben az egyes lépésekben egymás után helyezkednek el.

* · · · · β * · · · · · • · · · · · · ···· ♦ · · ·«·« * »··· ♦· ·

[A	B	C	D	0	3]
[D	A	B	C	4	5]
[C	D	A	B	8	9]
[B	C	D	A	12	13]
[A	B	C	D	1	3]
[D	A	B	C	5	5]
[C	D	A	B	9	9]
[B	C	D	A	13	13]
[A	B	C	D	2	3]
[D	A	B	C	6	5]
[C	D	A	B	10	9]
[B	C	D	A	14	13]
[A	B	C	D	3	3]
[D	A	B	C	7	5]
[C	D	A	B	11	9]
[B	C	D	A	15	13]

VI. Táblázat

A következő 197 egységben a harmadik tömörítési lépés történik, ebben a 197 egységben az [A B C D i t] egy olyan műveletet jelent, ahol A = (A + f₃(B,C,D) + X[i] + 6ED9EBA1) <<< t. Ezt a műveletet is 16-szor végezzük el, és az egyes A B C D i és t értékeinek a sorrendjét az egymás utáni lépésekben a VII. táblázat adja meg.

• · · • · • · · • · · · · • · ·

[A	B	C	D	0	3]
[D	A	B	C	84	9)
[C	D	A	B	4	11]
[B	C	D	A	12	15]
[A	B	C	D	2	3]
[D	A	B	C	10	9]
[C	D	A	B	6	11]
[B	C	D	A	14	15]
[A	B	C	D	1	3]
[D	A	B	C	9	9]
[C	D	A	B	5	11]
[B	C	D	A	13	15]
[A	B	C	D	3	3]
[D	A	B	C	11	9]
[C	D	A	B	7	11]
[B	C	D	A	15	15]

VII. Táblázat

Azt követően tehát, hogy a 150 folyamatábra szerint elvégeztük a tömörítést a 10 digitális jelfeldolgozó rendszer 35 egységére vonatkozóan, a következő lépés, amely a 199 egységben történik, az, ahol a következő műveleteket végezzük el:

A = A + AA

B = B + BB

C + CC

D = D + DD

Ily módon tehát mind a négy A, B, C és D regiszter, amelyek a vett jelnek a végső tömörített formáját adja, azzal az értékkel növelve, amelyet a művelet elején beállítottunk.

A 10 digitális jelfeldolgozó eljáráson belül a 150 folyamatábra kimeneteként létrehozott tömörített üzenet tehát a 199 egységnek a legutolsó lépését követő A, B, C és D értékére egy egyenletrendszert ad meg. A 199 egység kimenete egy 201 egységre van csatlakoztatva, ahol a hurok gerjesztő változóval van az érték megnövelve. A következő lépésben a 202 egységben ellenőrzés történik. Amennyiben az ellenőrzés során azt tapasztalják, hogy a jel nem megfelelő, úgy az itt megjelenő jelet a 180 egység bemenetére vezetjük vissza, ha azonban megfelelő, úgy a 203 kimeneten megjelenik a 150 folyamatábrán bemutatott eljárás során feldolgozott jelsorozat.

Nyilvánvaló az is, hogy vannak olyan esetek, amikor a kimeneten 128 bitnél több jelre van szükség. Ezt úgy érhetjük el például, hogy két rendszert párhuzamosan kapcsolunk, mindegyikben elvégezzük a tömörítési lépést, megfelelően megválasztott konstansokkal és megfelelően indított regiszterekkel, és így legfeljebb 256 bites kimenetet nyerhetünk.

A találmány szerinti megoldást egy példakénti foganatosítás i módjával mutattuk be, az eljárás azonban más módon, a találmány lényegét tükrözően is megvalósítható.

Claims

Szabadalmi igénypontok

1. Eljárás m üzenet jelből digitális jel (r,s) létrehozására egy olyan rendszerben, ahol a rendszer felhasználója által az információs jel továbbítása és vétele történik, azzal jellemezve, hogy:

(a) minden egyes m üzenethez egy arra jellemző titkosító k értéket rendelünk, (b) hozzárendelünk egy nyilvános, üzemi g értéket, (c) és egy r értéket határozunk meg p prím szám, és egy kiválasztott q érték segítségével, amely a (p-1) prím osztója az alábbiak szerint:

r = (gfc mód p) mód q (d) az m üzenethez mindenkor egy csak hozzá tartozó tömörítő H függvényt rendelünk, amelynek segítségével az m üzenetet H(m) jellé alakítjuk, (e) kiszámítunk egy s értéket, ahol s = f(H(m)), és ahol s m üzenet függvénye, amely azonban csak a H(m) átalakított üzenet jelből határozható meg, továbbá (f) a digitális jelnek megfelelő (r,s) jelet hozunk létre a fent említett r és s jelek segítségével, és ezt követően továbbítjuk az így létrehozott jelet.
2. Az 1. igénypont szerinti eljárás, azzal jellemezve, hogy az (a) lépésben a titkosító k értéket véletlenszerűen választjuk ki.
3. Az 1. igénypont szerinti eljárás, azzal jellemezve, hogy a (b) lépésben a g értékét egy olyan h érték segítségével választjuk ki, amely bármilyen nem-nulla egész szám lehet, úgy, hogy h(P^_1)/ű nem felel meg 1 mód p-nek, és a g értékét az alábbiak szerint határozzuk meg:

g = h(P^-1)/⁽l mód p.
4. Az 1. igénypont szerinti eljárás, azzal jellemezve, hogy a (d) lépésben egy olyan további lépést végzünk el, hogy az m üzenet jelet egy egyirányú H függvény segítségével alakítjuk át.

5. Az 1. igénypont szerinti eljárás, azzal jellemezve, hogy az (e) lépésében az s értéket az alábbiak szerint határozzuk meg: s = k^-1 (H(m) + xr) mód q ahol x a titkosító kulcs 6. Az 1. igénypont értéke. szerinti eljárás, azzal jellemezve, hogy az (a) , (b) , (c) lépéseket az m üzenet jel ismerete nélkül végezzük el. 7. Az 1. igénypont szerinti eljárás, azzal jellemezve,

hogy az m üzenet jelet az m üzenet jel segítségével képezett digitális jelként (r, s) továbbítjuk.
8. A 7. igénypont szerinti eljárás, azzal jellemezve, hogy az átvitt üzenet jelet, amely tartalmazza a

g) vett r és s jelet is magába foglaló digitális jelet • ·

- 31 (r,s), vesszük, majd

h) a vett digitális jelet (r,s) hitelesítjük és ellenőrizzük.
9. A 8. igénypont szerinti eljárás, azzal jellemezve, hogy a (h) lépés egy további olyan lépést is tartalmaz, amikor a g^ mód p jelet, amely (c) lépésben jelenik meg, visszaállítjuk és a visszaállított g^ mód p jelet hozzuk létre.
10. A 9. igénypont szerinti eljárás, azzal jellemezve, hogy u₄ = (H(m))(s)^_1 mód q, valamint az u₂ = (r)(s)^-1 mód q képlet segítségével egy v értéket állapítunk meg az alábbiak szerint:

v = (g)^ul (y)^u2 mód p ahol az y megegyezik a g^x mód p-vel, és ahol az x a titkosító kód értéke.
11. A 10. igénypont szerinti eljárás, azzal jellemezve, hogy megállapítjuk azt, hogy az ott meghatározott v érték mód g redukció után ugyanaz-e, mint a vett r érték.
12. A 11. igénypont szerinti eljárás, azzal jellemezve, hogy tartalmaz egy olyan lépést, és meghatározzuk, hogy a vett digitális jel (r, s) ellenőrizve lett-e azt követően, hogy a v értékénél megnéztük azt, hogy a redukció mód g után megegyezik-e az r értékkel.
13. A 8. igénypont szerinti eljárás, azzal jellemezve, hogy a (h) lépésben azt is meghatározzuk, hogy a vett jel r értéke megegyezik-e a 0 mód q-val.
14. A 8. igénypont szerinti eljárás, azzal jellemezve, • · · · · · • · · 9· 9 * · f · » »· •· 9 · » ««·«·«

- 32 hogy a (h) lépésben meghatározzuk azt, hogy a vett s érték megegyezik-e a 0 mód q-val.
15. Elrendezés m üzenet jelből digitális jel (r,s) létrehozására, és egy adott rendszeren történő továbbítására és vételére, azzal jellemezve, hogy tartalmaz egy az m üzenethez titkosító k értéket rendelő elemet, egy azt nyilvános kóddal (g) ellátó elemet, továbbá egy olyan átalakítót, amely csak az adott üzenethez tartozó tömörítő átalakítást végez, és létrehoz egy H(m) jelet, továbbá tartalmaz egy olyan elemet, amelynek segítségével az r értékét egy p prím szám, egy kiválasztott q érték, amely p-1 prím osztója alapján az alábbiak szerint határozzuk meg:

r = (g^ mód p) mód q tartalmaz továbbá egy olyan elemet, amely s értéket határoz meg s = f (H) (m) alapján, és ahol az s értéke csak a H(m) függvénnyel létrehozott m üzenetnek a függvénye, tartalmaz továbbá a kiszámolt r és s értékeket vevő, és az m üzenet jelből, és a digitális jelből (r,s) kijelölt üzenetet létrehozó elemet, továbbá az ily módon létrehozott jelet továbbító elemet.
16. A 15. igénypont szerinti rendszer, azzal jellemezve, hogy tartalmaz egy, a titkosító k értéket véletlenszerűen kiválasztó elemet.

• ·♦ • * · · · *

1 · · ·· » · ···· « ♦ <··«·· ♦ ··*« ·♦ ·
17. A 15. igénypont szerinti elrendezés, azzal jellemezve, hogy a nyilvános g értéket egy h értékből meghatározó és kiszámoló elemet tartalmaz, amely h érték bármilyen nemnulla egész szám lehet úgy, hogy hÍP^-1)/^ nem egyezik meg 1 mód p-vel, és a g értéket az alábbiak szerint határozzuk meg:

g = h(P~¹)/^<3 mód p.
18. A 15. igénypont szerinti elrendezés, azzal jellemezve, hogy tartalmaz egy olyan átalakítót, amely az m üzenet jelet együttesen alakítja át úgy, hogy egy egyirányú tömörítő függvényt (H) alkalmaz az m üzenethez.
19. A 15. igénypont szerinti rendszer, azzal jellemezve, hogy tartalmaz egy x kulcsot titkos kódként kezelő, és s értéket az alábbiak szerint meghatározó elemet:

s = k^-1 (H(m) + xr) mód q.
20. A 15. igénypont szerinti elrendezés, azzal jellemezve, hogy tartalmaz egy, a k, g és r értékeket az m üzenet jeltől függetlenül meghatározó elemet.
21. A 15. igénypont szerinti elrendezés, azzal jellemezve, hogy tartalmaz egy, a továbbított jelet vevő elemet, valamint a digitális jelet (r, s) ellenőrző és hitelesítő elemet.
22. A 21. igénypont szerinti elrendezés, azzal jellemezve, hogy az ellenőrző és hitelesítő elrendezés egy a g^kmód p jelet újra helyreállító, és helyreállított g^ mód p jelet az elrenőrző elrendezésben létrehozó elemet.
23. A 22. igénypont szerinti elrendezés, azzal jelle- mezve, hogy tartalmaz egy v értéket az = (H(m))(s)^-1 mód q és u₂ = (r) (s)^-1 mód q függvény alapján és v = (g)^u2) (y)^u2 mód p szerint meghatározó elemet, ahol y megfelel g^x mód p-nek, és x a titkos kulcs.
24. A 23. igénypont szerinti elrendezés, azzal jellemezve, hogy tartalmaz egy olyan elemet, amely meghatározza, hogy a v-nek az értéke a mód q redukció után megegyezik-e a vett r értékkel.
25. A 24. igénypont szerinti elrendezés, azzal jellemezve, hogy tartalmaz egy olyan elemet, amely meghatározza, hogy a digitális jel (r, s) azt követően ellenőrizve lett-e, hogy meghatároztuk azt, hogy a v értéke a mód q redukció után megegyezett az r értékkel.
26. A 21. igénypont szerinti elrendezés, azzal jellemezve, hogy az ellenőrző elrendezés tartalmaz egy olyan elrendezést, amellyel meghatározzuk, hogy r megfelel-e 0 mód q-nak.
27. A 21. igénypont szerinti elrendezés, azzal jellemezve, hogy a hitelesítő elrendezés tartalmaz egy olyan elemet, amelyben meghatározzuk, hogy s értéke azonos-e 0 mód q-val.
28. Eljárás egy m üzenet jel digitális jellé (r,s) történő átalakítására és ellenőrzésére egy adatátviteli rendszerben, ahol a felhasználó továbbítja és veszi az adatokat, azzal jellemezve, hogy (a) minden egyes m üzenethez egy arra jellemző titko-

- 35 sító k értéket rendelünk, (b) hozzárendelünk egy nyilvános, üzemi g értéket, (c) és az r értéket a p prím szám, és egy kiválasztott g érték segítségével, amely a (p—1) prím osztója az alábbiak szerint határozzuk meg:

r = (gk mód p) mód q (d) mindenkor csak az adott m üzenethez tartozó tömörítő H függvényt rendelünk m üzenethez, amelynek segítségével az m üzenetet H(m) jellé alakítjuk,

(e) kiszámítunk egy s értéket s = f(H(m)), ahol az s az m üzenet függvénye, amely azonban csak a H(m) átalakított üzenet jelből határozható meg, továbbá (f) a digitális jelnek megfelelő (r,s) jelet hozunk létre a fent említett r és s jelek segítségével, és ezt követően továbbítjuk az így létrehozott jelet, az átvitt üzenet jelet, amelyet tartalmaz a vett r és s jelből álló digitális jel (r,s), vesszük, majd a vett digitális jelet (r,s) hitelesítjük és ellenőrizzük.
29. A 28. igénypont szerinti eljárás, azzal jellemezve, hogy a (b) lépésben a g értékét egy olyan h érték segítségével választjuk ki, amely bármilyen nem-nulla egész szám lehet, úgy, hogy h(P^_1)/q nem felel meg 1 mód p-nek, és a g értékét az alábbiak szerint határozzuk meg:

g = h(P^-1)/q mód p, • · · · * ♦ • · ♦ ♦· · · ···· · · · 4··« • ···♦ · ahol q úgy van megválasztva, hogy egy prím osztója legyen p1-nek.
30. A 28. igénypont szerinti eljárás, azzal jellemezve, hogy az (a) lépésben a titkosító k kulcsot véletlenszerűen választjuk ki.
31. A 29. igénypont szerinti eljárás, azzal jellemezve, hogy a redukciós F függvény redukció mód q-t tartalmazza.
32. A 31. igénypont szerinti eljárás, azzal jellemezve, hogy ui = (H(m)) (s)^-1 mód q, valamint az u₂ = (r) (s)^-1 mód q képlet segítségével egy v értéket állapítunk meg az alábbiak szerint:

v = (g)^ul (y)^u2 mód p ahol az y megegyezik a g^x mód p-vel, és ahol az x a titkosító kód értéke.
33. A 29. igénypont szerinti eljárás, azzal jellemezve, hogy r értékét úgy határozzuk meg, hogy figyelembe veszünk θ9Υ P prím modulust, és az r értékét az alábbiak szerint határozzuk meg:

r = (g^k mód p) mód q, és ezt az m üzenet ismerete nélkül határozzuk meg.
34. A 28. igénypont szerinti eljárás, azzal jellemezve, hogy s értékét az s = f(H(m)) alapján határozzuk meg, ahol H egy olyan tömörítő függvény, amelynek segítségével üzenetet mint átalakított H(m) üzenetet hozzuk létre, és s már átalakított H(m) üzenetnek lesz csak a függvénye.
35. A 34. igénypont szerinti eljárás, azzal jellemezve, hogy az m üzenet jelet egy egyirányú H függvény segítségével ···· «··« • · · « •·* • · · ··«·<«« :

• ···· alakítjuk át.
36. A 29. igénypont szerinti eljárás, azzal jellemezve, hogy s értékét az alábbiak szerint határozzuk meg:

s = k^-1 (H(m) + xr) mód q ahol x a titkos kulcs értéke.
37. A 36. igénypont szerinti eljárás, azzal jellemezve, hogy k^-1 értékét az m üzenet ismeretét megelőzően határozzuk meg.
38. A 28. igénypont szerinti eljárás, azzal jellemezve, hogy az a-c) lépéseket a üzenet ismerete előtt végezzük el.
39. A 28. igénypont szerinti eljárás, azzal jellemezve, hogy m digitális jelként (r, s) képzett jelet azt megelőzően továbbítjuk, hogy s értékét meghatároznánk.
40. A 29. igénypont szerinti eljárás, azzal jellemezve, hogy a (g) lépésben az ellenőrzés során meghatározzuk azt, hogy a vett érték megegyezik-e 0 mód q-val.
41. A 29. igénypont szerinti eljárás, azzal jellemezve, hogy az ellenőrzés során meghatározzuk azt, hogy a vett s jel megegyezik-e 0 mód q-val.
42. Az 5. igénypont szerinti eljárás, azzal jellemezve, hogy k~ értékét m üzenet ismeretét megelőzően határozzuk meg.
43. A 19. igénypont szerinti eljárás, azzal jellemezve, hogy k^_1 értéket az m üzenet ismerete előtt határozzuk meg.
44. Elrendezés m üzenet jelnek egy digitális jellé (r,

s) történő átalakítására és ellenőrzésére, ahol a felhasználó által történik az adás és a vétel, azzal jellemezve, hogy a rendszer tartalmaz egy minden egyes m üzenethez jellemző titkosító k kulcsot rendelő elemet, egy nyilvános g értéket rendelő elemet, valamint egy olyan elemet, amellyel egy olyan r értéket határozunk meg egy p prím számból, ahol r = F(g^ mod p), és ahol F az m üzenet jeltől független redukciós függvény, továbbá tartalmaz egy elemet, amely az m üzenet jellel képezett digitális jel (r, s) üzenetet veszi, tartalmaz egy olyan elemet, amely az m üzenet jellel összhangban a jelet újra visszaállítja és szigeteli, éspedig j^k mod p szerint, tartalmaz egy összehasonlító elemet, amellyel meghatározzuk, hogy a leválasztott g^k mod p az F függvény szerinti redukció után megegyezik-e az r értékkel, ezt követően tartalmaz egy olyan elemet, amely ellenőrző szerepet lát el, és meghatározza azt, hogy az r,s jel az összehasonlításnak megfelelően ellenőrzésre került-e, továbbá egy az ellenőrző jelet az ellenőrző egységben létrehozó elemet, valamint a hitelesített és ellenőrző jelet adó elemet.