NL8200475A - Snelle, binnen werkelijke-tijd werkende cryptografie met openbare versleuteling. - Google Patents

Description

ίν· Λ VO 3045

Titel: Snelle, binnen werkelijke-tijd werkende cryptografie met openbare versleuteling.

De onderhavige uitvinding heeft betrekking op het als cryptografie aangeduide gebied van de techniek en meer in het bijzonder op cryptografische stelsels met openbare versleuteling.

In data-transmissienetwerken is het veelal nodig om opgeslagen 5 en uitgezonden data tegen afname of interceptie door onbevoegden of , afluisteraars, te beveiligen. Door cryptografie wordt de voor data-privacy benodigde bescherming geboden. Echter geldt dat wegens een verhoogde gecompliceerdheid van het ontcijferingsproces de transmissiesnelheid voor vercijferde data-berichten afneemt naarmate de graad 10 van privacy die is vereist toeneemt.

Een heden ten dage veelvuldig toegepast type van cryptografisch stelsel waarbij dit conflict tussen de tegenstrijdige begrippen privacy en data-transmissiesnelheid zich voordoet is het cryptografische stelsel met openbare versleuteling en in het bijzonder het stelsel 15 waarbij gebruik wordt gemaakt van een "valdeur-rugzakvercijfering".

In dit verband wordt verwezen naar het Amerikaanse octrooischrift 4.218.582.

Cryptografische stelsels met publieke versleuteling bieden aan bevoegde gebruikers een TOor privëgebruik geschikt communicatiemiddel 20 zelfs alhoewel onbevoegden al de communicatie kunnen onderscheppen.

Wegens de gecompliceerdheid van de vercijfering zijn de data-transmissie-snelheden · voor dergelijke cryptografische stelsels met publieke versleuteling beperkt gebleven tot kleiner dan enige kilobits per seconde. Als zodanig is cryptografie met publieke versleuteling slechts attrac-25 tief voor lage-snelheidtransmissie van data en gecodeerde spraak.

Een cryptografisch stelsel met publieke versleuteling en waarin een "valdeur-rugzakvercijfering” is toegepast, kan volgens een aspect van de uitvinding snel en binnen werkelijke-tijd werken,. door toepassing van een ontvanger die een ontvangen vercijferd bericht verder 30 vercijferd met gebruikmaking van een privé-vercijferingssleutel.

Eet dubbel vercijferde bericht wordt hierna met gebruikmaking van een privé-ontcijferingssleutel ontcijferd tot het oorspronkelijke bericht.

De privé-vercijferingssleutel is gerelateerd aan twee hele getallen, 8200475 * > -2- die met de privé-ontcijferingssleutel worden gebruikt om de publieke vercijferingssleutel af te leiden.

Ter nadere toelichting van de uitvinding zullen in het onderstaande specifieke en illustratieve uitvoeringsvormen daarvan worden 5 beschreven met verwijzing naar de tekening, waarin: fig. 1 een blokschema geeft van een cryptografisch stelsel met publieke versleuteling,* fig. 2 een blokschema geeft van een vercijferingsinrichting, die is ingericht volgens de onderhavige uitvinding en kan worden 10 toegepast in het in fig. 1 weergegeven stelsel; fig. 3 een meer gedetailleerd blokschema geeft van een sleutel-generator 20 zoals weergegeven in fig. 2; fig. 4 een gedetailleerd blokschema geeft van een vercijferingsinrichting 21 zoals weergegeven in fig. 2; en v 15 fig. 5 een gedetailleerd blokschema geeft van een vercijferings inrichting 22 zoals weergegeven in fig. 2.

Fig. 1 geeft een cryptografisch stelsel met publieke versleuteling. Het cryptografische stelsel (dat in het volgende zal worden aangeduid als "cryptostelsel") omvat ten minste twee deelnemers die op 20 een of andere wijze met elkaar kunnen communiceren over een niet-

beveiligd kanaal. De twee deelnemers zijn in het algemeen aangeduid als zender en bevoegde ontvanger. Een mogelijke derde deelnemer wordt in het algemeen aangeduid als een onbevoegde ontvanger, ofwel een afluisteraar. In een zender die een vercijferingsinrichting 1 en een 25 zender-ontvanger 2 omvat wordt een publieke vercijferingssleutel H

gebruikt om een n-bit data-bericht D te coderen tot een k-bit bericht S^, waarin k > n. Het vercijferde bericht wordt hierna via het niet-beveiligde kanaal 3 uitgezonden. Een bevoegde ontvanger waarvan deeluitmaken een zender-ontvanger 4, een ontcijferingsinrichting 5,

30 een sleutelgenerator 6 en een sleutelbron 7, ontcijferd het bericht S

II

tot het oorspronkelijke databericht D. Bovendien is de bevoegde ontvanger in staat om de publieke vercijferingssleutel H afkomstig van een privé-ontcijferingssleutel Ë teweeg te brengen, alsook twee locaal gegenereerde hele getallen M en W. Een derde deelnemer van dit crypto-35 stelsel is een afluisteraar 8, met andere woorden een onbevoegde ontvanger die een ontcijferingsinrichting 9 en een sleutelgenerator 10 cmvat.

8200475 3 * -3-

De afluisteraar 8 onderschept alle communicatie tussen de zender en de bevoegde ontvanger. Na zowel het bericht S , alswel de publieke

H

vercijferingssleutel H te hebben verkregen, tracht de afluisteraar 8 de privacy van de communicatie tussen de zender en de bevoegde ont-5 vanger te doorbreken doordat hij tracht de inhoud van het databericht D te bepalen,

De rol van elke in het bovenstaande beschreven deelnemer, alsook de werking van crypto-stelsels met publieke versleuteling zijn meer gedetailleerd beschreven in het bovenvermelde Amerikaanse octrooi 10 alsook in de volgende literatuurplaatsen: W, Diffie e.a.,.

"Multiuser Cryptographic Techniques", gepubliceerd in AFIPS-Conference Proceedings, Vol. 45, (juni 1976), blz. 104; W. Diffie e.a., "New Directions in Cryptography", gepubliceerd in IEEE Transactions on Information Theory, Vol. IT-22, No. 6 (november 1976), blz. 644; en 15 A. Shamir e.a., "On the Security of the Merkle-Hellman Cryptographic Scheme", gepubliceerd in IEEE Transactions on Information Theory,

Vol. IT-26, No. 3, (mei 1980), blz. 339. Voor een meer volledige en theoretische verhandeling van cryptografie met publieke versleuteling en de Merkle-Hellman (valdeur)-rugzakvercijfering zij naar de boven-20 vermelde publicaties verwezen.

Alhoewel de volgende beschrijving in hoofdzaak betrekking heeft op de bevoegde ontvanger en meer in het bijzonder op een in fig. 2 weergegeven ontcijferingsinrichting die een geschikte vervanging is voor de ontcijferingsinrichting 5, wordt in het onderstaande met ver-25 wijzing naar fig. 1 tevens informatie gegeven betreffende de "valdeur-rugzakvercijfering" teneinde bepaalde aspecten van de onderhavige uitvinding nader te verduidelijken..

Crypto-stelsels met publieke versleuteling zijn gebaseerd op het gebruik van valdeur-rugzakfuncties. Een valdeur-rugzakfunctie α 30 is een publiek bekende vercijferingsprocedure die de volgende eigenschappen bezit; (i) α * (a(D)) =.D, waarin a(D) en a *(D) respectievelijk vercijfe-ring en ontcijferingsprocedures voorstellen, ' (ii) er bestaan efficiënte methodes om zowel α alswel α * te 35 berekenen, en (iii) het is rekenkundig niet mogelijk om uitgaande van een volledige kennis van α, α * te ontdekken.

8200475

* V

-4-

Rekenkundig onmogelijk wil zeggen eindige, echter onaanvaardbaar grote kosten voor het verrichten van een taak, waarbij de kosten dan zijn afgemeten naar de grootte van de benodigde geheugenruimte, of de tijd die nodig is om de vereiste berekeningen uit te voeren.

5 Met betrekking tot de in fig. 1 weergegeven uitvoeringsvorm geldt dat de bevoegde ontvanger de publieke vercijferingssleutel H (valdeur-rugzakfunctie) genereert en deze functie uitzendt naar de zender. In het algemeen is H een vector van natuurlijke getallen (h., ...,h ). - l n 10 Het data-bericht D wordt uitsluitend vercijferd met H, d..i.

de publieke vercijferingssleutel. De vercijfering wordt uitgevoerd in de vercijferingsinrichting 1, waarbij een n-bit data-bericht D en de publieke vercijferingssleutel H als een scalair produkt worden gecombineerd. Dat wil zeggen S is gelijk aan D . H. Het vercijferde

H

15 bericht S wordt vervolgens door de zender-ontvanger 2 via het niet-beveiligde kanaal 3 uitgezonden.

Het vercijferde bericht S0 wordt ontvangen door de zender-ontvanger 4 van de bevoegde ontvanger, alsook door een afluisteraar 8. Uitsluitend de bevoegde ontvanger is in staat om het bericht S_ te 20 ontcijferen aangezien de bevoegde ontvanger de enige is die gerechtigd is tot het bezit van informatie omtrent de constructie van H.

De afluisteraar 8, zijnde een niet-bevoegde ontvanger, staat voor een aanzienlijk moeilijker taak dan. de bevoegde ontvanger. De afluisteraar 8 heeft slechts kennis omtrent de publieke vercijferings- 25 sleutel H en het vercijferde bericht S dat afkomstig is van de zender.

Ξ

Uitgaande van deze twee delen van publieke informatie moet afluisteraar 8 een twee-waardige vector D met (d^,...,d ) zien te vinden zodanig dat geldt, sh ‘ i ·ά · (ii i=l

Vastgesteld is dat het ontcijferen van het vercijferde bericht S , 30 welk probleem bekend staat als het "rugzakprobleem" voor de afluisteraar 8 rekenkundig onmogelijk'is, vooropgesteld dat de publieks vercijferingssleutel H juist is gestructureerd.

8200475 ί £· -5-

Voor de bevoegde ontvanger is het ontcijferen van het vercij-

ferde bericht S rekenkundig niet-omnogelijk, wegens een verborgen H

structuur die is ingebed in de publieke steutel H. Voor de afluisteraar 8 is het moeilijk deze structuur te ontdekken aangezien H verschijnt 5 als een n-voud van willekeurige getallen. De structuur van de publieke vercijferingssleutel H stelt een bevoegde ontvanger echter in staat om vercijferde berichten met behulp van een doelgerichte methode en onder toepassing van een "valdeur" te ontcijferen.

De publieke vercijferingssleutel H is structureel gebaseerd op 10 een super aangroeiende reeks. Een rugzak-cijfer E dat een vector ____,en) van n natuurlijke getallen is, is een super aangroeiende reeks indien geldt dat i-1 e. > > e., voor elke i = 1,... ,n i ** j j=l

Zulks betekent dat elk element e_^ groter is dan ^de som van zijn voorafgaande elementen. Het rugzak-cijfer E kan niet warden gebruikt als 15 een valdeur-rugzakfunctie die publiekelijk kan worden verdeeld, aange- zien elk willekeurig vercijferd bericht S , £ SE - Σ , (2) i=l

eenvoudigweg wordt ontcijferd door achtereenvolgens in het rugzakcijfer E

aanwezige elementen af te trekken van het vercijferde bericht S .

£

Zie in dit verband bijvoorbeeld R. Merkle e.a., "Hiding information 20 and Signatures in Trapdoor Knapsacks", gepubliceerd in IEEE

Transactions on Information Theory, Vol. IT-24, No. 5 (september 1978),. biz. 524. Aangezien de super aangroeiende structuur van E de afluisteraar 8 in staat zou stellen om het vercijferde bericht S bijzonder gemakkelijk te ontcijferen, wordt het rugzakcijfer E door de bevoegde 25 ontvanger tegen publikatie beveiligd, hetgeen wordt aangeduid als een privé-ontcij feringssleutel.

8200475 -6-

Teneinde de structuur van een privé-ontcijferingssleutel E in een publieke vercijferingssleutel H te verbergen, is reeds voorgesteld dat een bevoegde ontvanger een modulus M en een vermenigvuldiger W via een sleutelbron 7 genereert. Deze twee gehele getallen 5 voldoen aan de volgende relaties: n (i) M > , en i=t (ii) gcd (M,W) = 1. , waarin gcd de grootste gemene delerfunctie voorstelt. De relatie (ii) vereist dat de gehele getallen M en W met betrekking tot elkaar ondeelbaar zijn, zodat daarmee het bestaan is verzekerd van een -1 multiplicatieve inversie W voor W-modulus M of W (modulus M).

10 In plaats van het publiceren van de privé-ontcijferingssleutel E, publiceerd de bevoegde ontvanger de publieke vercijferingssleutel H die in de sleutelgenerator 6 als volgt wordt gegenereerd:

Ik = e^ . W(mod M), voor e'lke i = l,...,n . (3)

De reden om in vergelijking (3) in plaats van e^ gebruik te maken van en-i+l is eenvou^9we9' ^eze dat zulks ertoe bij draagt dat het data-15 bericht D met de juiste volgorde d^,...,d binnen werkelijke-tijd wordt hersteld. Aldus geldt dat d^ de eerste data-berichtbit is die wordt aangeboden aan de ingang van de zich in cfe zender bevindende . vercijferingsinrichting en die vanaf de uitgang van de zich in de bevoegde ontvanger bevindende ontcijferingsinrichting uitgaat. Met 20 kennis van modulus M, de vermenigvuldiger W en de privé-ontcijferingssleutel E is de bevoegde ontvanger in staat om op eenvoudige wijze het vercijferde bericht S in de ontcijferingsinrichting 5 te ont- H -1 cijferen. De ontcijfering wordt gerealiseerd door W , d.i. de valdeur, op de volgende wijze te gebruiken: S = S . W_1 mod M . (4).

E H

8200475 '9 * -7-

Zulks betekent dat door een scalaire vermenigvuldiging van het vercijferde bericht S_ met het valdeur-gehele getal W ^ en door een reductie van het produkt met modulus M, het k-bitbericht S wordt ge-

Cl transformeerd in een p-bitbericht S . Zoals in het voorafgaande is 5 beschreven kan het bericht S eenvoudigweg worden ontcijferd tot een

E

n-bitdatabericht D door elementen achtereenvolgens af te trekken van de privé-ontcijferingssleutel E.

In het algemeen geldt dat in crypto-stelsels met publieke versleuteling van de soort zoals weergegeven in fig. 1, de valdeur W 1 10 rechtstreeks wordt vermenigvuldigd met het vercijferde bericht S .

H -1

Aangezien het typerend is dat de binaire voorstellingen van zowel W

alswel S meerdere honderden bits lang zijn, zal de hierbij betrokken H

vermenigvuldigingsprocedure bijzonder veel tijd in beslag nemen.

Een dergelijke vermenigvuldiging wordt volledig vermeden bij de onder-15 havige uitvinding zoals deze is geïllustreerd in de fig. 2 t/m 5 doordat. het vercijferde bericht S_ een extra vercijfering ondergaat met behulp van de privé-vercijferingssleutel A. Een dergelijke vercijfering vindt binnen werkelijke-tijd plaats aangezien elke bit van het bericht S_ vanaf de zender-ontvanger 4 wordt ontvangen. De werksnelheid en 20 daarmee de'data-transmissiesnelheid zijn slechts begrensd-door voort-plantingsvertragingen, toegangstijden en de bedrijfsprestaties van de logische ketens die bij het implementeren van de uitvinding worden gebruikt.

In fig. 2 is een schema weergegeven van een ontcijferings-25 inrichting die in plaats van de ontcijferingsinrichting 5 kan worden gebruikt, en waardoor bepaalde aspecten van de uitvinding worden geïllustreerd. De in figi 2 weergegeven ontcijferingsinrichting bevat een sleutelgenerator 20, een vercijferingsinrichting 21 en een ontcijferingsinrichting 22. Aangenomen is dat het vercijferde bericht 30 S is voor te stellen als een binaire vector (s s , ) waarin s . de minst betekenisvolle bit in deze voorstelling is. Een dik- H, 1

getrokken lijn die in de figuur is aangeduid door S stelt een pad voor waarlangs digitale informatie in parallelvorm kan worden overgedragen; een dun-getrokken lijn zoals die welke is aangeduid door S

H

35 geeft een pad aan waarlangs digitale informatie in serievorm kan .worden overgedragen.

82 0 0 4 75............... ; “ - % ί -8-

Ιη de sleutelgenerator 20 wordt de privé-vercijferingssleutel A

gegenereerd als een vector (a , ...,a ) van k natuurlijke getallen,

1 K

waarbij de volgende relatie geldt: i-1 -1 ai = 2 W (mod M), voor elke i = l,...,k . (5) 5 Wanneer elk element a^ van de privé-vercijferingssleutel A wordt gegenereerd wordt dit samen met modulus M overgedragen naar de vercij-feringsinrichtingv21. De overdracht van het van de privé-vercijferingssleutel deel uitmakende element a^ vindt in synchronisme plaats met elke bit van het bericht S^. Wanneer elke bit in het bericht de 10 ontcijferingsinrichting volgens fig. 2 binnenkomt, is de vercijferings-inrichting 21 werkzaam om het vercijferde bericht S verder te vercijfe-ren onder gebruikmaking van de privé-vercijferingssleutel A en wel als volgt: k S_ = Y a. s_ . , E ï H,i (6) i=l 0

10 waarin s het k -element en de meest betekenisvolle bit van de' a / iC

binaire voorstelling van het vercijferde bericht S , voorstelt.

H

Het dubbel vercijferde bericht S^, wordt vervolgens modulo-M gereduceerd tot het bericht S dat wordt uitgezonden naar de ontcijferings-

" E

inrichting 22. Hierbij geldt dat: 15 S = S (mod M) (7)

E E

Het bericht S bevat p-bits, waarbij geldt dat n < p < k.

De ontcijferingsinrichting 22 herstelt het data-bericht D door de n van de privé-vercijferingssleutel deel uitmakende elementen e^

achtereenvolgens af te trekken van het bericht S . Het data-bericht D

E

20 wordt in serievorm aan de uitgang van de ontcijferingsinrichting 22 afgegeven.

Fig. 3 geeft een meer gedetailleerd schema van de sleutelgenerator 20. De sleutelgenerator 20 omvat een inverter 30, een klok- 82 0 0 4 7 5............

-9- signaalbron 31, een schuifregister 32 en een reductiemodulo-M-keten 33 voor het genereren van een privé-vercijferingssleutel A zoals gedefinieerd in de vergelijking (6).

De vermenigvuldiger W en de grootheid modulus M worden als 5 ingangssignalen aangeboden aan de sleutelgenerator 20. De inverter 30 bepaalt onder toepassing van het algoritme van Euclides de valdeur W 1. Voor een beschrijving van het algoritme van Euclides wordt bijvoorbeeld verwezen naar D. Knuth, "The Art of Computer Programming",

Vol. XI (Reading, MA: Addison-Esley, 1969) en E. Berlekamp, 10 "Algebraic Coding Theory", (New York: McGraw-Hill, 1968), biz. 15.

De valdeur/W wordt vervolgens volledig ingeladen in het schuifregis ter 32.

Het schuifregister 32 is een parallel-ingang, parallel-uitgang-schuifregister met p + k - 1 trappen. De in het register 32 opgeslagen 15 bits worden bij elke puls van het signaal CLK1 zoals afkomstig van de kloksignaalbron 31 over één trap naar links geschoven naar de naastliggende bogere-oxdëtrap. Bij een eerste puls van het signaal CLK1 wordt 'de valdeur W in eerste aanleg opgéslagen' in de p minst betekenisvolle trappen van het register 32 en de. k-1 meest betekenisvolle trap-20 pen zijn bezet met binaire nullen. De inhouden van het register 32 worden vervolgens modulo-M gereduceerd in de reductiemodulo-M-keten 33 teneinde het element a^ van de privé-vercijferingssleutel te vormen.

Voor een beschrijving van technieken voor het modulo-M reduceren wordt ·. verwezen naar Yaohan Chu, "Digital Computer Design and Fundamentals", 25 (New York: McGraw-Hill, 1962), Secties 1-9. Het element a^ van de privé-vercijferingssleutel wordt als uitgangssignaal vanaf de keten 33 van de sleutelgenerator 20 tezamen met de grootheid modulus M toege- ; voerd aan de vercijferingsinrichting 21.

Bij elke volgende puls van het signaal CLKl, worden de inhouden 30 van het schuifregister 32 over één trap geschoven naar een meer betekenisvolle trap en in de minst betekenisvolle trap wordt een nul in- ‘ gevoerd. De reductiemodulo-M-keten 33 genereert vervolgens elk van de opeenvolgende elementen t/m van de privé-vercijferingssleutel op de in het voorafgaande beschreven wijze. Al de k-elementen a^ 35 waarbij i = l,...,k van de privé-vercijferingssleutel, worden gegenereerd na een totaal van k-klokpulsen van het signaal CLKl.

82 0 0 4 75 -----;-’--! 4 yt w -10-

Vanzelfsprekend kunnen al de elementen van de sleutelgenerator 20 met uitzondering van de kloksignaalbron 31 worden vervangen door een teller en een uitsluitend afleesbaar geheugen dat elk afzonderlijk element van de privé-vercijferingssleutel A bevat. De voor dit uit-5 sluitend afleesbaar geheugen vereiste opslagcapaciteit moet ruimte bieden aan een aantal k van p-bitwoorden. De privé-vercijferingssleutel A kan uit het uitsluitend afleesbaar geheugen worden onttrokken met behulp van de teller en wel door bij elke puls van het· signaal CLK1 een plaats in het uitsluitend afleesbaar geheugen te adresseren, 10 achtereenvolgens gaande vanaf de plaats 1 (a^) naar de plaats k (a^). Een dergelijke uitvoering werkt sneller dan die welke is weergegeven in fig. 3, aangezien de werksnelheid slechts een functie is van de geheugentoegangstijd van het uitsluitend afleesbaar geheugen. Voor de uitvoering met het uitsluitend afleesbaar geheugen is het verder ver-15 eist dat elk sleutelelement a^ slechts eenmaal voorafgaande aan het gebruik behoeft te worden bepaald, in plaats van eenmaal voor elke keer dat het wordt gebruikt, zoals het geval is bij de uitvoeringsvorm volgens fig. 3.

Zoals in fig. 4 is weergegeven omvat de vercijferingsinrichting 20 21 een -transmissiepoortconfiguratie 40, een accumulator 41 en een reductiemodulo-M-keten 42. In responsie op privé-vercijferingssleutel A en de grootheid modulus M is de vercijferingsinrichting 21 werkzaam om het vercijferde bericht S te transformeren in een ander vercijferd ;

bericht S . Het bericht S is in feite dubbel vercijferd aangezien E E

25 daarin zijn vervat de publieke vercijferingssleutel H die werd gebruikt voor het genereren van S , alsook de privé-vercijferingssleutel A die 5 werd verkregen gedurende de vercijferingsoperatie in de inrichting 21., Door deze extra vercijfering bij het proces te betrekken, dat wil zeggen gebruik te maken van de privé-vercijferingssleutel A, is het 30 mogelijk dat een crypto-stelsel met publieke versleuteling zijn werksnelheid alsook de data-transmissiesnelheid kan verhogen tot ten minste 10 Mbps.

De transmissiepoortconfiguratie 40 is een configuratie van p-transmissiepoorten. De configuratie 40 is onder het bestuur van de 35 afzonderlijke bits in het bericht SH werkzaam om de uitzending van elk element a^ van de privé-vercijferingssleutel A naar de accumulator 41 ofwel te doen plaatsvinden, ofwel te verhinderen.

82 0 0 4 7 5 “ -3 -11-

Voor elke van het bericht S deel uitmakende bit s . die gelijk is 5 H, i aan een binaire een, wordt het bijbehorende element a^ van de privé- vercijferingssleutel via de configuratie 40 uitgezonden. Voor elke van het bericht S_ deel uitmakende bit s„ ./ die gelijk is aan een n H,i 5 binaire nul wordt uitzending via de configuratie 40 van de bijbehorende a^, verhinderd.

De van de privé-vercijferingssleutel deel uitmakende elementen a^ die via de configuratie 40 zijn uitgezonden worden bij elkaar opgeteld in de accumulator 41. De breedte van de accumulator 41 is groot 10 genoeg om een som met δ-bitposities voor te stellen, waarin δ het «te

kleinste gehele getal groter dan p + log„k, voorstelt. Het bericht S

is aan de uitgang van de accumulator 41 in parallelvorm beschikbaar nadat al de bits S . in het vercijferde bericht S zijn ontvangen.

Η, 1 H

Op deze plaats is het nuttig om door een illustratief voorbeeld 15 de werking van de configuratie 40 en de accumulator 41 nader te verduidelijken. Verondersteld is dat het bericht S een uit tweewaardige

H

elementen samengestelde vector is (1, 0, 1, 1, 1) en dat de privé- vercijferingssleutel een vector is (176, 61, 122,· 244, 82) die in decimale notatie is weergegeven. Uit de volgende tabel blijkt de wijze 20 waarop bericht S wordt gegenereerd; £

i S a. UITGANG INHOUD

3,1 1 CONFIGURATIE 40 ACCUMULATOR 41 0 - - ' - 0 ' 1 1 176 176 176 2 0 61 0 176 25 3 1 122 122 298 4 1 244 244 542

5 1 82 82 624 = S

E

Vanzelfsprekend wordt het bericht S voorgesteld door een binaire vector £ * (0, 0, 0, 1, 1, 1, 0, 0, 1), waarbij de meest links gelegen nul de 30 minst betekenisvolle bit van S_ voorstelt.

- E

Nadat het bericht S door de accumulator 41 is teweeggebracht, £ wordt het overgedragen naar de reductiemodulo-M-keten 42. De keten 42

A

is aangepast aan de δ-bits in S en is wat uitvoering betreft eguiva- £ i lent aan de reductiemodulo-M-keten 33 die in het voorafgaande werd 82 0 0 4 75------*---:- * tr -12- beschreven. In feite wordt het bericht S door'de keten 42 gefilterd £ ~ zodanig dat al de modulo-M-componenten uit het bericht S„ zijn ver- £ wijderd. De keten 42 genereert het bericht S dat compatibel is met £ de modulus M van de vercijferingsinrichting 22. Het bericht S bevat £ 5 p-bits en vertoont de volgende structuur, S = A . STT (mod M) , (8)

E H

waarin . teken duidt op een scalair produkt van de grootheden A en S_ en S„ is voorgesteld als een binaire vector (s_ s_ . ).

HM Η11 H ^ iC

Zoals is weergegeven in fig. 5 omvat de ontcijferingsinrichting 10 22 een trekker 50 en een comparator 51. Zoals in het voorafgaande werd beschreven is de ontcijferingsinrichting 22 werkzaam om elk van de elementen e^ van de privé-ontcijferingssleutel achtereenvolgens af te trekken van het bericht S„ teneinde het data-bericht D te herstellen. De opeenvolging van aftrekbewerkingen wordt begonnen bij het van de 15 privé-ontcijferingssleutel deel uitmakende element en met de grootste waarde. Het element e^ is het laatste element van de privé-ontcijferingssleutel dat moet worden afgetrokken.

Aan het begin van het proces waarbij opeenvolgende aftrekbewerkingen worden uitgevoerd, bevat de aftrekker 50 een binaire 20 representatie van het bericht SE> De comparator 51 reageert op het bericht S en op het van de privé-ontcijferingssleutel deel uitmakende £ element e^. De comparator 51 vergelijkt de waarde van met de waarde van e en beslist ofwel dat d. een binaire een is, indien S_ groter

is dan of gelijk is aan e^, ofwel dat d^ een binaire nul is, indien SE

25 kleiner is dan e . Wanneer d^ een binaire een is begint de aftrek- inrichting 50 een operatie waarbij e van S wordt afgetrokken.

Het resultaat van deze aftrekoperatie wordt hierna in de comparator 51 vergeleken met de waarde van en_^· Door dit proces te herhalen worden de data-berichtbits d^ gegenereerd op basis van elke e^ en elk vol- 30 gend aftrekresultaat in de aftrekinrichting 50, totdat uiteindelijk de data-berichtbit d is hersteld.

n

Ter illustratie van de in het voorafgaande beschreven aspecten van de uitvinding wordt in het onderstaande een toelichtend voorbeeld behandeld waarbij is verondersteld dat, 8200475 -13- Λ V ψ D = (1, Ο, Ο, 1, Ο, 1, 1,1), Ε = (1, 2, 4, 8, 17, 35, 68, 142), Μ = 291 en W = 176.

-1

De valdeur W is bepaald als zijnde 167. De publieke vercijferings-5 sleutel H, die is gedefinieerd in vergelijking (3) is gelijk aan H = (257, 37, 49, 82, 244, 122, 61, 176).

Volgens vergelijking (5) vertoont de privé-vercijferingssleutel A de volgende vorm, A = (167, 43, 86, 172, 53, 106, .212, 133, 266, 241).

10 Het vercijferen van het data-bericht D met de publieke ver- cijferingssleutel H is in de onderstaande tabel geïllustreerd: DATA-BERICHT PUBLIEKE SLEUTEL ELEMENTAIRE PRODUKTEN i (d±) (h±) (d h ) 1 1 257 257 15 2 0 37 .. 0* 3 0 49 0 41 82 82 50 244 '0 6 1 122 122 20 7 1 61 .61 8 1 .176 176

’ 698 =SH

In binaire notatie voorgesteld wordt het bericht S overge-dragen naar de ontcijferingsinrichting zoals weergegeven in fig. 2, en wel in de volgende vorm, SH = (0, 1, 0, 1, 1, 1, 0, 1, 0, 1).

25 Vervolgens bepaalt de vercijferingsinrichting 21 het bericht SE als volgt: 9 82 0 0 4 7 5 ------------:-:-- -14- VERCIJFERD PRIVE-SLEUTEL UITGANG- INHOUD- 1 BERICHT, s . (a.) CONFIGURATIE 40 ACCUMULATOR 41

5/ X X

10 167 0 0 2 1 43 43 43 5 3 0 86 0 43 4 , 1 172 172 215 5 1 53 53 268 6 1 106 106 374 7 0 212 0 374 10 8 1 133 133 507 9 0 266 0 507 10 1 241 241 748 =

E

Vanzelfsprekend wordt het bericht ^modulo-291 gereduceerd door de keten 42 teneinde het bericht S gelijk te doen zijn aan 166.

£ 15 Opeenvolgende aftrekoperaties worden door de in fig. 5 weer gegeven uitvoeringsvorm als volgt uitgevoerd:" INHOUD- PRIVE-SLEUTEL UITGANG- i AFREKENINR. 50 (e . ,, COMPARATOR 51 n-i+1) 1 166 142 1 20 2 24 68 . 0 3 24 35 0 4 . 24 17 -1 5 7 8 0 * 6 ' 7 4 1 '· 25 7 3 2 1 8 1 11 • 9 0 - .

Aldus is de ontcijfering van het bericht S tot het data-bericht D volledig en correct.

30 De in het voorafgaande beschreven uitvoeringsvormen zijn uit sluitend als illustratief voor een toepassing van het principe van de onderhavige uitvinding bedoeld. Door de gemiddelde vakman op dit gebied kunnen talrijke andere uitvoeringsvormen worden ontworpen zon- -15- der het kader van de uitvinding te verlaten. Het bericht of het data-bericht D kunnen bijvoorbeeld worden voorgesteld met behulp van een van 2 afwijkend grondgetal. Indien het bericht S is voorgesteld

H

als ternair signaal (grondgetal =3) is het voor de transmissiepoort-5 configuratie 40 vereist dat deze ten aanzien van elk element a^ van de privé-vercijferingssleutel een blokkering, een transmissie, of een additieve inversie uitvoert. Andere soortgelijke varianten die voor de gemiddelde vakman op dit gebied duidelijk zijn, zijn nodig om een aanpassing te verkrijgen voor.een ander van 2 afwijkend grondgetal.

10 Tevens is het mogelijk om de sleutelgenerator 20 uit te voeren als een soort van iteratief type met een p + -1-trapsschuifregister als het register 32 dat elk uitgangssignaal a^ bevat vanaf de reductiemodulo-M-keten 33 in de p meest betekenisvolle trappen bij opeenvolgende klok-pulsen van het signaal CLKl.

; ' 8 2 0 0 4 75 ‘

Claims (5)

1. Ontvanger voor een cryptografisch stelsel met publieke versleuteling (fig. 1) dat de mogelijkheid biedt om beveiligd te communiceren over een niet-beveiligd communicatiekanaal (3) onder toepassing van een publieke "rugzak"-vercijferingssleutel (H), een daarmee gerela- 5 teerde privé-ontcijferingssleutel (E) waarvoor geldt dat het rekenkundig onmogelijk is «dat deze wordt afgeleid uit de publieke "rugzak·1--vercijferingssleutel, eerste en tweede grootheden (M, W) die met betrekking tot elkaar en de privé-ontcijferingssleutel zijn gerelateerd volgens voorgescheven criteria, omvattende middelen die zijn ingericht 10 om een eerste vercijferd bericht te transformeren in een data-bericht (D), met het kenmerk, dat de ontvanger is voorzien van middelen (20), die in responsie op de eerste en tweede grootheden een privé-vercijfe-ringssleutel (A) genereren, tweede vercijferingsmiddelen (21) voor het onder gebruikmaking van de privé-vercijferingssleutel transformeren 15 van het eerste vercijferde bericht (S ) in een tweede vercijferd H bericht (S ), en ontcijferingsmiddelen (22) voor het onder gebruik-making van de privé-ontcijferingssleutel transformeren van het tweede vercijferde bericht in het data-bericht (D).

2. Ontvanger volgens conclusie 1, met het kenmerk, dat de eerste 20 grootheid een modulus M is, de tweede grootheid een vermenigvuldiger W is, de privé-vercijferingssleutel een k-dimensionale vector van afzonderlijke elementen (a^,___,a^) die zijn voorgesteld als natuurlijke getallen, is, en de privé-vercijferingssleutel genererende middelen zijn voorzien van inverterende middelen (30) die in responsie op de -1 25 tweede grootheid een multiplicatieve inverse W daarvoor genereren, en middelen (32, 33) die in responsie op de multiplicatieve geïnverr ^ teerde, alsook op de modulus M, elk afzonderlijk? van de privé- vercijferingssleutel deel uitmakend element genereren volgens een voorgeschreven criterium, zodanig dat geldt i— 1 — 1 30. a^ = 2 W (modulo M) voor i = 1, 2,...,k.

3. Ontvanger volgens de conclusies 1 of 2, met het kenmerk, dat hst eerste vercijferde bericht een k-dimensionele vector is van afzonlijke elementen die zijn voorgesteld door binaire getallen S , s .) nf 1 r φ . . , rifiZ en van de tweede vercijferingsmiddelen (21) deel uitmaken middelen 35 (40, 41), die in responsie op afzonderlijke elementen van het eerste TTÜTO ^‘: ~ ’ : -17- vercijferde bericht en op afzonderlijke elementen van de privé-vercijferingssleutel, volgens een voorgeschreven kriter turn een ver-cijferd bericht S_ genereren zodanig dat J2i - k S = V a.s ., en filtermiddelen (42) die in responsie op de eerste E *- x H, 1 i=l 5 grootheid het vercijferde bericht filteren teneinde het tweede vercijferde bericht Sp te genereren.

4. Ontvanger volgens conclusie 3, met het kenmerk, dat de eerste grootheid is gegeven als een modulus M en de filtermiddelen (42) zijn uitgevoerd in de vorm van een reductiemodulo-M-keten die is ingericht 10 om het tweede vercijferde bericht S volgens een voorgeschreven E ^ criterium te genereren en wel als volgt S = S (modulo-M).

5. Ontvanger volgens conclusie 4, met het kenmerk, dat van de tweede vercijferingsmiddelen deel uitmaken middelen (40), die in responsie op elk afzonderlijk element van het eerste vercijferde r 15 bericht de transmissie van elk corresponderend element van de privé-vercijferingssleutel naar keuze blokkeren, en een accumulator (41) voor het sommeren van afzonderlijke vanaf de keuzegewijs blokkerende middelen afkomstige elementen van de privé-vercijferingssleutel, A teneinde het vercijferde bericht S te genereren. 52 0 0 4 75-------------------. -