NL9220020A

NL9220020A - Algoritme voor een digitale handtekening.

Info

Publication number: NL9220020A
Application number: NL929220020A
Authority: NL
Original assignee: Us Commerce
Priority date: 1991-07-26
Filing date: 1992-07-24
Publication date: 1994-06-01
Also published as: WO1993003562A1; US5231668A; EP0596945A1; CA2111572A1; BR9206315A; SE9400103D0; JPH07502346A; AU2394492A; CA2111572C; FI940364A; SE9400103L; FI940364A0; HUT68148A; NO940258D0; NO940258L; HU9400228D0

Description

Algoritme voor een digitale handtekening.

ACHTERGROND VAN DE UITVINDING

1) Gebied van de uitvinding

Het gebied van deze uitvinding is gegevensintegriteit en in het bijzonder het genereren en verifiëren van een digitale handtekening voor een boodschap of gegevensbestand.

2) Achtergrond van de techniek

Wanneer een boodschap van de ene partij naar een andere wordt verzonden, kan het voor de ontvangende partij gewenst zijn vast te stellen of de boodschap onderweg is gewijzigd. Voorts kan de ontvangende partij zeker willen zijn van de bron van de boodschap. Het is in de stand van de techniek bekend om deze beide functies te verschaffen door middel van algoritmen voor digitale handtekeningen. Verschillende bekende algoritmen voor digitale handtekeningen zijn beschikbaar voor het verifiëren van de integriteit van een boodschap. Deze bekende algoritmen voor digitale handtekeningen kunnen ook worden gebruikt om aan een derde te bewijzen dat de boodschap werd ondertekend door de werkelijke voortbrenger.

Het gebruik van publieke-sleutelcryptografie om concretiseringen van deze algoritmen voor digitale handtekeningen te bereiken is ook in de techniek bekend. Diffie en Hellman beschrijven bijvoorbeeld het gebruik van publieke-sleutelcryptografie om een algoritme voor een digitale handtekening te krijgen in "New Directions in Cryptography", IEEE Transactions on Information Theory, vol. IT-22, blz. 472-492, 1976. Zie ook het Amerikaanse octrooischrift 4.200.770. Sindsdien zijn verschillende pogingen ondernomen om praktische publieke-sleutel-handtekeningtechnieken te vinden die berusten op de moeilijkheid bij het oplossen van bepaalde mathematische problemen om het wijzigen of vervalsen van een boodschap door niet daartoe gemachtigde partijen moeilijk te maken. Het Rivest-Shamir-Adleman-systeem berust bijvoorbeeld op de moeilijkheid bij het in factoren ontbinden van grote gehele getallen. Zie R.

Rivest, A. Shamir, en L. Adleman, "A Method for Obtaining Digital Signatures and Public Key Cryptosystems", Communications of the ACM, februari 1978, vol. 21, nr. 2, blz. 120-126, en het Amerikaanse octrooischrift nr. 4.405.829.

Taher ElGamal beschrijft een handtekeningschema in "A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms" in IEEE Transactions on Information Theory, vol. IT-31, nr. 4, juli 1985. Gemeend wordt dat dit systeem berust op de moeilijkheid bij het berekenen van discrete logaritmen over eindige velden. In het door Elgamal beschreven systeem betekent m een te ondertekenen document, waarbij 0 < m < p-1, waarin p een groot priemgetal is en a een primitief element mod p, beide bekend. In elk cryptografisch systeem gebaseerd op discrete logaritmen moet p zodanig worden gekozen dat p-1 ten minste één grote priemgetalfactor heeft. Indien p-1 slechts kleine priemgetalfactoren heeft, is het berekenen van de discrete logaritmen gemakkelijk. Het publieke bestand bestaat uit een publieke sleutel y = a- mod p (x = x) voor elke gebruiker, waarbij elke gebruiker een geheime x heeft, een groot priemgetal p en een primitief element a. Voor het ondertekenen van een document gebruikt gebruiker A een geheime sleutel voor het vinden van een handtekening voor m zodanig dat alle gebruikers de authenticiteit van de handtekening kunnen verifiëren door gebruik te maken van de publieke sleutel yA tezamen met α en p en niemand kan een handtekening vervalsen zonder de geheime xA te kennen.

De handtekening voor m is het paar (r,s), 0 < r,s < p-1, zodanig gekozen dat aan α- = y-r5· mod p Vergelijking (1) wordt voldaan (m = m; r = r; s = s).

Bij vele toepassingen is het gemakkelijk of noodzakelijk de boodschap online te ondertekenen. Het Rivest-Shamir-Adleman-systeem is echter duur voor ondertekening online. Het systeem volgens Elgamal maakt het echter mogelijk veel van de berekeningen uit te voeren voordat een koppeling tot stand wordt gebracht, aangezien gebruik wordt gemaakt van waarden die niet afhankelijk zijn van de boodschap m. Het online of gekoppeld genereren van een handtekening is derhalve zeer eenvoudig bij het systeem volgens Elgamal.

De ondertekeningsprocedure van de werkwijze volgens Elgamal omvat drie stappen. In de eerste stap wordt een willekeurig getal k gekozen zodanig dat k uniform tussen 0 en p-1 ligt en gcd(k,p-l) = 1. Vervolgens wordt r bepaald door de relatie

Vergelijking (2)

Gezien vergelijking (2) kan de relatie waaraan moet worden voldaan voor het bepalen van de handtekening voor de boodschap m, zoals weergegeven in vergelijking (1), worden geschreven als

Vergelijking (3)

Vergelijking (3) kan voor s worden opgelost door gebruik te maken van

Vergelijking (4)

Vergelijking 4 heeft een oplossing voor s mits k zodanig wordt gekozen dat gcd(k,p-l) = 1.

Bij de werkwijze volgens EIGamal is het gemakkelijk de authenticiteit van de handtekening (r,s) te verifiëren door beide zijden van vergelijking (1) te berekenen en vast te stellen dat zij gelijk zijn. De gekozen waarde van k mag nooit meer dan eenmaal worden gebruikt. Dit kan bijvoorbeeld worden gewaarborgd door een Data Encryption Standard-chip in de tel-lermodus te gebruiken als een cijferstroom voor het genereren van waarden van k.

Het is mogelijk twee typen pogingen tot kraken van het handtekeningschema volgens EIGamal te ondernemen. Het eerste type kraakpoging omvat pogingen die zijn ontworpen voor het terugwinnen van de geheime sleutel x. Het tweede type kraakpogingen omvat pogingen die zijn ontworpen voor het vervalsen van handtekeningen zonder het terugwinnen van x. Voor sommige van deze ondernomen kraakpogingen kan gemakkelijk worden aangetoond dat zij equivalent zijn aan het berekenen van discrete logaritmen over GF(p).

Bij het eerste type kraakpoging kan een indringer trachten t vergelijkingen van de vorm van vergelijking (4) op te lossen bij gegeven documenten {mi = 1, 2, ..., t} (i = i) tezamen met de bijbehorende handtekeningen {(ri,si): i = 1, 2, t). Er zijn echter t + 1 onbekenden bij dit systeem van vergelijkingen aangezien elke handtekening een andere waarde voor k gebruikt. Dit systeem van vergelijkingen is derhalve onderbepaald en het aantal oplossingen is groot. De reden is dat elke waarde van x een oplossing voor de ki oplevert, aangezien een systeem van lineaire vergelijkingen met een diagonale matrix van coëfficiënten wordt verkregen. Aangezien p-1 zo is gekozen dat ten minste één grote priem-getalfactor q aanwezig is, zou een mogelijk terugwinnen van x mod q een exponentieel aantal boodschap-handtekeningparen vereisen. Indien elke waarde voor k tweemaal wordt gebruikt bij het ondertekenen, dan is het systeem van vergelijkingen uniek bepaald en kan x worden teruggewonnen. Opdat het systeem volgens EIGamal veilig is, mag derhalve geen waarde voor k meer dan eenmaal worden gebruikt, zoals eerder werd opgemerkt.

Bij een andere kraakpoging van dit eerste type kan een indringer trachten vergelijkingen van de vorm van vergelijking (3) op te lossen. Dit is altijd equivalent met het berekenen van discrete logaritmen over GF(p), aangezien beide onbekenden x en k in de exponent verschijnen. Bij weer een andere kraakpoging van dit type kan een indringer trachten bepaalde lineaire afhankelijkheden tussen de onbekenden {k± = 1, 2, ..., t} te ontwikkelen. Dit is ook equivalent aan het berekenen van discrete logaritmen aangezien, indien ki = ck^ mod (p-1), dan geldt r± = mod p, en indien c kan worden berekend dan is het berekenen van discrete logaritmen gemakkelijk.

Bij het tweede type kraakpoging, het trachten handtekeningen te vervalsen zonder kennis van x, kan een vervalser ' trachten r en s te vinden, zodat aan vergelijking (1) wordt voldaan voor een document m. Indien r = a1 mod p is bepaald voor een willekeurig gekozen j dan is het berekenen van s equivalent aan het oplossen van een discreet logaritmeprobleem over GF(p).

Indien de vervalser eerst s bepaalt, dan kan r als volgt worden berekend:

Vergelijking (5)

Het oplossen van vergelijking (5) voor r kan minder moeilijk zijn dan het berekenen van discrete logaritmen. Gemeend wordt echter dat het oplossen van vergelijking (5) in polynome tijd niet uitvoerbaar is. Bij een andere mogelijke kraakpoging van het tweede type kan een vervalser trachten vergelijking (1) gelijktijdig voor r en s beide op te lossen. Gemeend wordt echter dat een doelmatig algoritme voor het uitvoeren daarvan niet bekend is.

Het handtekeningschema volgens EIGamal maakt ook een kraakpoging mogelijk, waarbij de indringer, die één echte handtekening (r,s) voor één boodschap m kent, andere echte handtekeningen (r,s) en boodschappen m kan genereren. Deze mogelijke kraakpoging, hoewel uitvoerbaar, maakt het echter niet mogelijk dat de indringer een willekeurige boodschap m ondertekent en breekt derhalve het systeem niet. Deze beperkte mogelijkheid tot het creëren van aanvaardbare boodschap-hand-tekeningparen kan worden vermeden door te vereisen dat m een bepaalde structuur heeft. Als alternatief kan dit worden vermeden door een eenrichtingsfunctie H op de boodschap m toe te passen voordat deze wordt ondertekend. Dit heeft tot gevolg dat een mogelijke vervalser onmogelijk een waarde van m kan bepalen welke overeenkomt met de H(m) welke werd ondertekend met behulp van de hierna beschreven methode. De vervalser moet in staat zijn een dergelijke m naar de controleur te verzenden indien de vervalsing als succesvol moet worden beschouwd.

Gegeven een handtekening (r,s) voor de echt ondertekende boodschap m, dan geldt

Gehele getallen A, B, en C worden door de vervalser willekeurig gekozen zodat (Ar - Cs) relatief primitief is voor p-1. De waarden van r', s', m· worden zo gekozen dat

Vervolgens wordt gesteld dat (r',s') de ondertekening van de boodschap m' vormt: Aan de verificatievergelijking zal wordei voldaan, aangezien

waarbij alle berekeningen mod p worden uitgevoerd.

In een bijzonder geval, waarbij wordt gesteld dat A = 0, kunnen verifieerbare handtekeningen (r'-s') worden gegenereerd met bijbehorende boodschappen m· zonder toegang tot enige handtekening:

Voor de deskundige zal derhalve duidelijk zijn dat het toe-passen van een eenrichtingsfunctie H op de boodschap m voorafgaande aan de ondertekening de algemene kraakpoging en kraakpogingen voor bijzondere gevallen dwarsboomt. Ook zal duidelijk zijn dat de functie H kan worden gebruikt voor het vormen van een samemvatting van lange boodschappen zodat de handtekeningfunctie niet herhaald behoeft te worden toegepast op segmenten van de volledige boodschap m. Dit leidt tot een verdere doelmatigheid.

Het Amerikaanse octrooischrift 4.995.082 van Schnorr, verleend op 19 februari 1991, getiteld "Method for Identifying Subscribers and for Generating and Verifying Electronic Signatures in a Data Exchange System”, verschaft een systeem waarbij communicatie en verificatie efficiënter is ten opzichte van ElGamal. Bovendien handhaaft het systeem volgens Schnorr de bijzonder doelmatige mogelijkheid tot online ondertekening. Bepaalde gewenste eigenschappen van ElGamal alsmede de uitgebreide ervaring en literatuur over het EIGamal-model zijn echter niet toepasbaar op het Schnorr-model.

Het is derhalve gewenst een systeem te verschaffen met doelmatige eigenschappen van Online ondertekening, communicatie en verificatie die vergelijkbaar zijn met het systeem volgens Schnorr, waarbij de compatibiliteit met het ElGamal-model en zijn analytische gereedschappen wordt gehandhaafd.

Het is in het bijzonder gewenst de complexe aard van de EIGamal-handtekeningvergelijking te behouden, welke een veilig gebruik van de eenvoudige uitdrukking H(m) mogelijk maakt in plaats van het vereenvoudigen van de handtekeningvergelijking ten koste van het vervangen van H(m) door H(a~ mod p,m).

SAMENVATTING VAN DE UITVINDING Een werkwijze wordt verschaft voor het genereren en verifiëren van een digitale handtekening van een boodschap m. Deze werkwijze vereist een paar bij elkaar behorende publieke en geheime sleutels (y en x) voor elke ondertekenaar, alsmede een paar publieke en geheime waarden (r en k) die voor elke boodschap worden gegenereerd door de ondertekenaar. De publieke waarde r wordt berekend volgens de regel r = (g^ mod p) mod q. Een waarde s wordt dan gekozen volgens de regel s = k_1(H(m) + xr) mod q, waarbij H een bekende conventionele hash-functie is. De boodschap m wordt vervolgens tezamen met de handtekening (r,s) verzonden. Wanneer het verzonden signaal wordt ontvangen, wordt een verificatieproces uitgevoerd. De ontvangen waarden van r en s worden beproefd om vast te stellen of zij congruent zijn met 0 mod q. Voorts wordt r beproefd om vast te stellen of deze gelijk is aan v mod q, waarbij v wordt berekend uit r, s, m en y. Voor echte handtekeningen geldt v - g- mod p.

KORTE BESCHRIJVING VAN DE TEKENING Fig. 1 en 2 tonen het algoritme voor een digitale handtekening volgens de onderhavige uitvinding.

Fig. 3 toont een algoritme voor hash-bewerking dat geschikt is voor toepassing in het algoritme voor een digitale handtekening volgens de fig. 1 en 2.

GEDETAILLEERDE BESCHRIJVING VAN DE UITVINDING In de fig. 1 en 2 is een algoritme 10 voor een digitale handtekening weergegeven. Bij het algoritme 10 voor een digitale handtekening worden de twee sleutels van een paar privé- en publieke sleutels respectievelijk gebruikt voor het genereren en verifiëren van digitale handtekeningen (r, s), die elk overeenkomen met een verzonden boodschap m. Bij gebruik van het algoritme 10 voor een digitale handtekening kan de houder van een privé-sleutel een digitale handtekening voor de boodschap m genereren, waarbij de boodschap m elke hoeveelheid gegevens kan bevatten. Een houder van de bijbehorende publieke sleutel kan dan de boodschap m ontvangen en de handtekening (r,s) verifiëren. Een indringer die de privé-sleutel niet kent, kan niet de handtekening (r, s) van de houder van de privé-sleutel voor een boodschap m genereren en handtekeningen (r, s) kunnen derhalve niet worden vervalst.

Een indringer kan derhalve ook niet een ondertekende boodschap m veranderen zonder de handtekening r, s ongeldig te maken.

Indien het algoritme 10 voor een digitale handtekening doelmatig moet worden gebruikt, zijn middelen vereist voor het verenigen van een publieke- en privé-sleutelpaar met elke ondertekenaar. Er moet een informatieverbinding zijn die de ondertekenaar met de bijbehorende publieke sleutel identificeert. Teneinde te waarborgen dat elke privé-sleutel of geheime sleutel wordt gehouden door het individu waarvan de identiteit is gebonden aan de bijbehorende publieke sleutel, moet deze verbinding worden gewaarmerkt door een wederzijds vertrouwde derde partij. Een waarmerkende autoriteit kan bijvoorbeeld papieren ondertekenen die de publieke sleutel van een gebruiker van het algoritme 10 voor een digitale handtekening bevat alsmede de identiteit van de gebruiker, teneinde een certificaat te vormen.

Het uitvoeren van het algoritme 10 voor een digitale handtekening volgens de onderhavige uitvinding begint in het startpunt 5. Een gebruiker van het algoritme 10 voor een digitale handtekening kiest eerst een geheime waarde van k zoals in blok 15 is getoond. De gekozen k is een geheim geheel getal dat wordt gegenereerd door de ondertekenaar voor elke boodschap m. De waarde van k wordt zo gekozen dat 0<k<q. De k van het algoritme 10 voor een digitale handtekening kan op willekeurige of pseudo-willekeurige wijze worden gegenereerd. Voor de deskundige zal duidelijk zijn dat het pseudo-willekeurig genereren van het gehele getal k op elke conventionele wijze kan plaatsvinden.

In blok 20 van het algoritme 10 voor een digitale handtekening wordt een bepaling uitgevoerd van gr- mod p. Het is in de techniek bekend de hoeveelheid van blok 20 te bepalen en deze hoeveelheid te verzenden. Deze hoeveelheid kan echter behoorlijk groot zijn. Derhalve wordt in blok 25 de hoeveelheid van blok 20 beperkt door een afbeelding van honderdzestig bits door een beperking met mod q als volgt

Teneinde r volgens vergelijking (6) te genereren, wordt de waarde g als volgt bepaald:

waarbij h een niet-nul zijnd geheel getal mod p is, zodat 22 (E-1)/3 niet congruent is aan 1 mod p. De waarde g kan gemeenschappelijk zijn voor alle gebruikers van het algoritme voor een 10 digitale handtekening. In vergelijking (6) is p een primitieve modulus, waarbij 2511<p<2512. De primitieve modulus p kan gemeenschappelijk zijn voor alle gebruikers van het algoritme 10 voor een digitale handtekening. De waarde q is een primitieve deler van (p-1), waarbij 2159«j<2160. q kan ook gemeenschappelijk zijn voor alle gebruikers van het algoritme 10 voor een digitale handtekening.

De uitvoering van het algoritme 10 voor een digitale handtekening gaat vervolgens naar blok 30 waar de hoeveelheid k_1 mod q wordt bepaald. Deze waarde zal nuttig zijn bij het bepalen van de handtekening voor transmissie binnen het systeem van het algoritme 10 voor een digitale handtekening. Voor de deskundige zal duidelijk zijn dat alle bewerkingen die binnen het algoritme 10 voor een digitale handtekening zijn uitgevoerd inclusief de berekening volgens blok 30 onafhankelijk zijn van de boodschap m. Deze berekeningen kunnen derhalve offline worden uitgevoerd, waardoor een aanmerkelijk verkorte online ondertekeningsprocedure mogelijk wordt gemaakt.

De uitvoering van het algoritme 10 voor een digitale handtekening gaat vervolgens naar blok 35, waarbij de boodschap m aan een hash-bewerking wordt onderworpen. Deze hash-bewerking van boodschap m uitgevoerd in blok 35 levert een uitvoer op van honderdzestig bits of minder, aangeduid door H(m). Er zijn vele conventionele algoritmen voor hash-bewerking in de stand van de techniek bekend, die geschikt zijn voor uitvoering van de hash-bewerking van de boodschap m volgens blok 35 van het algoritme 10. Voorts zal duidelijk zijn dat de boodschap waarop het algoritme voor hash-bewerking wordt uitgevoerd, zich in onversleutelde vorm kan bevinden.

Wanneer r en k”1 mod q worden bepaald volgens de vergelijkingen (6) en (7), kan de waarde van s voor de boodschap m worden bepaald volgens blok 40 van het algoritme 10 voor een digitale handtekening:

Vergelijking (8)

De oplossing van vergelijking (8) van blok 40 van het algoritme 10 voor een digitale handtekening leidt ook tot een geheel getal van 160 bits. De waarden r en s die aldus zijn bepaald in respectievelijk de blokken 25 en 40, vormen de handtekening (r,s) van de boodschap m. Zij worden tezamen met de boodschap m verzonden naar de ontvanger zoals in blok 45 is weergegeven. Het zal duidelijk zijn, dat m in onversleutelde vorm kan worden gevonden. De uitvoering van het algoritme 10 gaat dan verder via de van de bladzijde af wijzende verbinding 50.

Binnen het algoritme 10 voor een digitale handtekening wordt elke ondertekenaar voorzien van een geheime sleutel x, waarbij 0 < x < q. Een geheime sleutel x wordt vastgesteld voor alle boodschappen m die door een individuele gebruiker van het algoritme 10 worden verzonden. Voorts wordt een publieke sleutel y aan de gebruiker verstrekt die de geheime sleutel of geheime waarde x heeft, waarbij y = g- mod p. Voorafgaande aan het verifiëren van een handtekening (r,s) moeten de publieke sleutel y en de identiteit van de ondertekenaar die de bijbehorende geheime sleutel x bezit, op een geverifieerde wijze beschikbaar zijn aan de ontvanger, waarbij het uiteindelijke verificatiedoel is het kunnen bewijzen dat (r,s) oorspronkelijk werd gecreëerd door iemand die kennis had van de waarde van x welke overeenkomt met de bijzondere waarde van y. Indien x niet gecompromitteerd is, is deze ondertekenaar bekend als degene waarvan de identiteit is verbonden met de bijzondere y op een geverifieerde wijze. Voorts moet de ontvanger de globale waarden g, p en q kennen.

De uitvoering van het algoritme 10 gaat dan verder via verbinding 55 naar het startpunt 60. Na het ontvangen van de boodschap m volgens blok 65 tezamen met de beweerdelijke handtekening (r,s), moet de ontvanger in het systeem volgens de onderhavige uitvinding zowel de ontvangen r als de ontvangen s verifiëren. Het zal derhalve duidelijk zijn dat binnen het algoritme 10 voor een digitale handtekening de kernei g-mod p volgens de stand van de techniek gereduceerd mod q wordt en wordt verzonden, g- mod p wordt vervolgens teruggewonnen en geverifieerd binnen het algoritme 10. Bij het systeem volgens de onderhavige uitvinding kan g- mod p derhalve aan de ontvan-gerzijde worden gereconstrueerd in plaats van door de zender worden verzonden.

In de beslissingsruit 70 van algoritme 10 wordt derhalve bepaald of hetzij s hetzij r congruent aan 0 mod q is. Indien hetzij r hetzij s congruent is aan 0 mod q, dan gaat de uitvoering naar blok 115 en wordt de ontvangen handtekening (r,s) afgewezen door het algoritme 10 voor een digitale handtekening. Indien r en s niet congruent zijn aan 0 mod q, gaat de ontvanger door met verificatie van de ontvangen handtekening (r, s) zoals is weergegeven in het door een streeplijn aangeduide verificatiedeel 75.

Bij het binnentreden van het met een streeplijn aangeduide verificatieblok 75 wint het algoritme 10 voor een digitale handtekening g- mod p terug, zoals is aangegeven in het met een streeplijn aangeduide terugwinningsblok 80. Het is in de techniek bekend g- mod p terug te winnen na de ontvangst van een verzonden boodschap, omdat vele methoden volgens de stand van de techniek g- mod p uitzonden zonder enige reduce-ring voor de transmissie. Binnen het terugwinningsblok 80 worden de waarden u^ en u2 bepaald volgens blok 85. De waarden in blok 85 worden bepaald volgens ux = (H(m)) (s)"1 mod q en u2 = (r)(s)-1 mod g. Het bepalen van de waarden u^ en u2 maakt het mogelijk g- mod p te bepalen uit ux, u2 en y zoals in vergelijking (9) is aangegeven. Deze bepaling is weergegeven in blok 90. Voor de deskundige zal duidelijk zijn dat het op dit punt niet bekend is of de hoeveelheid die in blok 90 is teruggewonnen een echte cfi mod p is. De uitvoering van het algoritme 10 voor een digitale handtekening gaat echter verder op basis van de veronderstelling dat deze echt is en controleert deze veronderstelling .

Vergelijking (9)

Binnen het met een streeplijn aangeduide controleblok 95 wordt de teruggewonnen hoeveelheid g- mod p van vergelijking (9) gecontroleerd door eerst de waarde van w te bepalen zoals in blok 100 is aangegeven. De waarde van blok 100 wordt bepaald volgens w = v mod q. In de beslissingsruit 105 wordt bepaald of de ontvangen waarde van r gelijk is aan de mod q gereduceerde waarde van g- mod p, waarbij m, k, r en s voldoen aan de relatie volgens vergelijking (8) voor de gegeven waarde van y. Indien de bepaling van beslissing 105 bevestigend is, gaat de uitvoering naar verifieerblok 110 waar de handtekening (r,s) die in blok 65 is ontvangen, als geverifieerd wordt beschouwd door het algoritme 10 voor een digitale handtekening. Indien de bepaling van de beslissingsruit 105 negatief is, gaat de uitvoering naar het afwijsblok 115 waar de ontvangen handtekening (r,s) wordt afgewezen.

De veiligheid van het algoritme 10 voor een digitale handtekening is afhankelijk van het handhaven van de geheimhouding van privé-sleutels. Gebruikers van het algoritme 10 voor een digitale handtekening moeten derhalve maatregelen nemen tegen de onbevoegde openbaarmaking van hun privé-sleutels. Voorts moet de hash-functie H van blok 35, die wordt gebruikt voor het bepalen van de waarde van s, zo worden gekozen dat het rekenkundig onuitvoerbaar is een boodschap m te vinden, welke een bepaalde hash-waarde heeft. Op dezelfde wijze dient het rekenkundig onuitvoerbaar te zijn een paar verschillende boodschappen m te vinden die door de hash-functie op dezelfde waarde uitkomen.

In fig. 3 is het algoritme 150 voor hashbewerking weergegeven. Een conventioneel algoritme zoals het algoritme 150, kan bijvoorbeeld worden gevonden in R.L. Rivest, "The MD4 Message Digest Algorithm", Abstracts Crypto '90, blz. 281-291. Zoals eerder werd opgemerkt, vereisen de handtekening- en verificatieprocessen binnen het algoritme 10 voor een digitale handtekening een veilig algoritme voor hash-bewerking, dat een boodschap van willekeurige lengte als invoer ontvangt en een hash-waarde afgeeft met een lengte van honderzestig bits of minder. Het algoritme 150 voor hash-bewerking is geschikt voor het uitvoeren van de hash-functie van het algoritme 10 voor een digitale handtekening volgens blok 35. Voor de deskundige zal duidelijk zijn, dat ook andere conventionele hash-functies dan het algoritme 150 voor hash-bewerking kunnen worden gebruikt voor het uitvoeren van de hash-functie van blok 35 in het algoritme 10 voor een digitale handtekening.

De uitvoering van het algoritme 150 voor hash-bewerking gaat uit van blok 30 van het algoritme 10 voor een digitale handtekening en begint bij het startpunt 152. Het algoritme 150 voor hash-bewerking ontvangt dan als invoer een boodschap m van b bits waarop de hash-bewerking moet worden uitgevoerd, zoals in blok 153 is weergegeven en zorgt voor een boodschapoverzicht A, B, C, D als uitvoer. Het aantal bits b in de boodschap m die in het blok 153 wordt ontvangen, is een willekeurig niet-negatief geheel getal. De waarde b kan nul zijn en behoeft geen veelvoud van acht te zijn. Voorts kan b willekeurig groot zijn. De bits van de boodschap m kunnen als volgt worden beschreven:

De volgende stap van het algoritme 150 voor hash-bewerking is het aanvullen of verlengen van de boodschap m, zodat zijn lengte in bits congruent is met 448, mod 415, zoals aangegeven in het met een streeplijn aangeduide aanvulblok 155. De boodschap m wordt derhalve verlengd, zodat deze slechts vierenzestig bits korter is dan een veelvoud van vijf-honderdtwaalf bits lang. Het aanvullen van de boodschap m moet altijd worden uitgevoerd binnen het algoritme 150 voor hash-bewerking, zelfs indien de lengte van de boodschap m reeds congruent is aan 448 mod 512. In het geval dat de lengte van de boodschap m reeds congruent is aan 448 mod 512, worden vijfhonderdtwaalf bits toegevoegd aan het met een streeplijn aangeduide aanvulblok 155.

Bij het aanvullen van de boodschap m volgens aanvulblok 155 wordt een enkel bit met een waarde 1 toegevoegd aan de boodschap m zoals in blok 160 binnen aanvulblok 155 is aangegeven. Vervolgens worden voldoende nul-bits toegevoegd aan de boodschap m om de lengte in bits van de aangevulde boodschap m congruent te maken aan 448 mod 512, zoals in blok 165 is aangegeven. De aanvulbewerking volgens aanvulblok 155 is derhalve omkeerbaar, zodat verschillende invoeren verschillende uitvoeren opleveren. De aanvulbewerking van het met een streeplijn aangeduide aanvulblok 155 zou niet omkeerbaar zijn indien alleen nullen werden toegevoegd.

De uitvoering van het algoritme 150 voor hash-bewer-king gaat vervolgens naar blok 170, waar een voorstelling van b van vierenzestig bits wordt toegevoegd aan het resultaat van de toevoegbewerkingen van de blokken 160 tot 165. Het zal duidelijk zijn dat b de lengte van de boodschap m is voordat de aanvullende bits zijn toegevoegd volgens blokken 160, 165. Deze voorstelling van vierenzestig bits wordt als twee woorden van tweeëndertig bits, eerst het woord van de lage orde, toegevoegd. In het onwaarschijnlijke geval dat b groter is 264, worden alleen de vierenzestig bits van de lage orde toegevoegd in blok 170. In deze fase van de uitvoering van het algoritme 150 voor hash-bewerking, heeft de resulterende aangevulde boodschap een lengte welke een exact veelvoud is van vijfhonderdtwaalf bits. Dienovereenkomstig heeft deze aangevulde boodschap een lengte welke een exact veelvoud is van zestien woorden waarbij het duidelijk is dat elk woord tweeëndertig bits heeft. Laat M[u], 0 < u < N-1, de woorden van de boodschap aangeven, die het resultaat is van de bewerking in blok 170, waarbij N een veelvoud van zestien is.

De uitvoering van het algoritme 150 voor hash-bewerking gaat vervolgens naar het met een streeplijn aangeduide boodschapoverzichtblok 175 waarbij een buffer van vier woorden wordt gebruikt voor het berekenen van het boodschapoverzicht A, B, C, D. Elk van de vier woorden van het boodschapoverzicht A, B, C, D is een register van tweeëndertig bits. In blok 180 van het boodschapoverzichtblok 175 worden deze registers geïnitialiseerd op de hexadecimale waarden volgens tabel I, eerst de bytes van de lage orde.

Tabel I

Woord A: 01 23 45 67 Woord B: 89 ab cd ef Woord C: fe dc ba 98 Woord D: 76 54 32 10

Drie hulpfuncties, f^, f2, f3, worden vervolgens gedefinieerd volgens blok 185. De hulpfuncties f1# f2, f3 zijn weergegeven in tabel II. Elke hulpfunctie f2, f3 van tabel II ontvangt als invoer drie woorden X, Y, Z van tweeëndertig bits en levert als uitvoer één woord van tweeëndertig bits f1(X,Y,Z), f2(X,Y,Z) respectievelijk f3(X,Y,Z).

Tabel II

ί^Χ,Υ,Ζ) = XY V (-X)Z £2(X,Y,Z) = xyW xz V xz f3(X,Y,Z) = ΧΦΥ 0Z

Op elke bitpositie van de ingangswoorden X, Y, Z werkt de hulpfunctie f1 voorwaardelijk voor het toepassen van de voorwaarde: if X then Y else Z. Op elke bitpositie werkt de hulpfunctie f2 als een meerderheidsfunctie: indien ten minste twee van X, Y, Z een waarde één hebben, dan heeft f2 de waarde één op die bitpositie. De hulpfunctie f3 past per bit de exclusieve OF of pariteitsfunctie toe op elke bitpositie. Indien de bits van X, Y en Z onafhankelijk zijn en geen asymmetrische fout vertonen, dan is elke bit van (X, Y, Z) onafhankelijk en heeft geen asymmetrie. Op overeenkomstige wijze zijn de hulpfuncties f2 (X, Y, Z) en f3 (X, Y, Z) onafhankelijk en hebben geen asymmetrie indien de bits van X, Y en Z onafhankelijk zijn en geen asymmetrie vertonen.

Het algoritme 150 voor hash-bewerking initialiseert de lusinductievariabele n op nul in blok 186 en stelt vervol gens de huidige waarden van de reeks X[j] voor 0 < j < 15 in in blok 187 en voert een groep van drie ronden van hash-bewerkingen uit, zoals in de blokken 190, 195, 197 is weergegeven, waarbij reeks X[j] wordt bijgewerkt en drie ronden van hash-bewerkingen in totaal N/16 maal worden uitgevoerd. In de ronden twee en drie gebruikt het algoritme 150 voor hash-bewerking constanten. De constante van ronde twee is de vierkantswortel van twee en de constante van ronde drie is de vierkantswortel van drie. De waarden van deze constanten zijn met de cijfers van hoge order eerst in tabel III weergegeven.

Tabel III

Octaal Hex

Ronde 2 constante (f2) 013240474631 5A827999

Ronde 3 constante (f3) 015666365641 6ED9EBA1

Elk van de N/16 groepen van drie ronden begint met de uitvoering van de instructiereeks uit tabel IV volgens blok 185, waarbij de waarde van n de huidige uitgevoerde groep aangeeft. De groepen zijn met de index 0 tot (N/16)-l aangeduid.

Tabel IV

Stel X[J] op M[n*16+], voor j = 0, 1, ..., 15.

Bewaar A als AA, B als BB, C als CC, en D als DD.

Wanneer de uitvoering van het algoritme 150 voor hash-bewerking naar blok 190 gaat en ronde één van de hash-bewerking begint, geeft [A B C D i t] de bewerking A = (A + ^(Β,ΰ,ϋ) + X[i]) «< t. Voor de deskundige zal duidelijk zijn dat (A<«t) de waarde van tweeëndertig bits aangeeft die wordt verkregen door het circulair schuiven of roteren van A naar links over t bitposities. De bewerking die hierboven in het algemeen is aangeduid met [A B C D i t], vindt zestien maal plaats gedurende ronde één, waarbij de waarden die achtereenvolgens worden aangenomen door de operands A, B, C, D, i respectievelijk t in tabel V zijn gegeven.

Tabel V

[A B C D 0 3] [D A B C 1 7] [C D A B 2 11] [B C D A 3 19] [A B C D 4 3] [D A B C 5 7] [C D A B 6 11] [B C D A 7 19] [A B C D 8 3] [D A B C 9 7] [C D A B 10 11] [B C D A 11 19] [A B C D 12 3] [D A B C 13 7] [C D A B 14 11] [B C D A 15 19]

Wanneer de uitvoering naar blok 195 gaat, begint ronde twee van het algoritme 150 voor hash-bewerking. In ronde twee geeft [A B C D i t] de bewerking A = (A + f2(B,c,D) + X[i] + 5A827999) «< t aan. De direct hierboven met [A B C D i t] aangeduide bewerking vindt zestien maal plaats gedurende ronde twee, waarbij de waarden die achtereenvolgens worden aangenomen door de operands A, B, C, D, i respectievelijk t in tabel VI zijn gegeven.

Tabel VI [A B C D 0 3] [D A B C 4 5] [C D A B 8 9] [B C D A 12 13] [A B C D 1 3] [D A B C 5 5] [C D A B 9 9] [B C D A 13 13] [A B C D 2 3] [D A B C 6 5] [C D A B 10 9] [B C D A 14 13] [A B C D 3 3] [D A B C 7 5] [C D A B 11 9] [B C D A 15 13]

Wanneer de uitvoering naar blok 197 gaat, begint ronde drie van het algoritme 150 voor hash-bewerking. In ronde drie geeft [A B C D i t] de bewerking A = (A + f2(B,C,D) + X[i] + 6ED9EBA1) «< t aan. De direct hierboven met [A B C D i t] aangeduide bewerking vindt zestien maal plaats gedurende ronde drie, waarbij de waarden die achtereenvolgens worden aangenomen door de operands A, B, C, D, i respectievelijk t in tabel VII zijn gegeven.

Tabel VI [A B C D 0 3] [D A B C 8 9] [C D A B 4 11] [B C D A 12 15] [A B C D 2 3] [D A B C 10 9] [C D A B 6 11] [B C D A 14 15] [A B C D 1 3] [D A B C 9 9] [C D A B 5 11] [B C D A 13 15] [A B C D 3 3] [D A B C 11 9] [C D A B 7 11] [B C D A 15 15]

Nadat ronde drie is voltooid, gaat de uitvoering van het algoritme 150 voor hash-bewerking binnen blok 35 van het algoritme 10 voor een digitale handtekening naar blok 199, waar de volgende toevoegingen worden uitgevoerd:

A = A + AA

B = B + BB

C = C + CC

D = D + DD

Elk van de vier registers A, B, C, D welke tezamen uiteindelijk het overzicht van de ontvangende boodschap vormen, wordt geïncrementeerd met de waarde welke het had voordat de bepaalde groep werd gestart.

Het boodschapoverzicht dat wordt geproduceerd als de uitvoer van het algoritme 150 voor hash-bewerking binnen het algoritme 10 voor een digitale handtekening is derhalve het viervoud van waarden van A, B, C, D, verkregen in blok 199 na het bewerken van de laatste groep. De lusinductievariabele wordt geïncrementeerd in blok 201 en onderzocht in de beslis-singsruit 202. Indien de uitvoering niet voltooid is, wordt blok 187 opnieuw uitgevoerd. Anders gaat de uitvoering van het algoritme 150 naar het uitgangspunt 203.

Het zal voor de deskundige duidelijk zijn, dat bij bepaalde toepassingen meer dan honderdachtentwintig bits uitvoer vereist kan zijn. Dit kan bijvoorbeeld worden bewerkstelligd door twee systemen parallel te verschaffen, waarbij elk van de parallelle systemen het algoritme 150 voor hash-bewer-king uitvoert met geschikt gekozen constanten en geïnitiali-seerde registers, teneinde ten hoogste tweehonderdzesenvijftig bits totale uitvoer te geven.

Hoewel een uitvoeringsvoorbeeld dat een specificatie van parameterbereikbeperkingen omvat, voor het uitvoeren van de onderhavige uitvinding is beschreven en weergegeven, zal duidelijk zijn dat aanpassingen en wijzigingen kunnen worden aangebracht zonder buiten het kader van het wezen van de uitvinding te treden.

Claims

1. Werkwijze voor het genereren van een digitale handtekening (r,s) van een boodschap m in een systeem, waarbij informatie wordt verzonden en ontvangen door gebruikers van het systeem, omvattende de volgende stappen: (a) het verschaffen van een geheime waarde k die uniek is voor de boodschap m; (b) het verschaffen van een publieke waarde g; (c) het berekenen van de waarde r uitgaande van een primitieve modulus p en een waarde q die is gekozen als een primitieve deler van p-1 volgens de regel r = (gr- mod p) mod q; (d) het toepassen van een hash-transformatie H alleen op de boodschap m voor het genereren van een getransformeerde boodschap H(m); (e) het berekenen van de waarde s volgens de regel s = f(H{m)) waarbij de waarde s een functie is van m alleen via de getransformeerde boodschap H(m); en (f) het genereren van een signaal dat representatief is voor de digitale handtekening (r,s) in overeenstemming met de waarde r en de waarde s en het verzenden van het gegenereerde signaal.

2. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, waarbij stap (a) het willekeurig kiezen van de geheime waarde k omvat.

3. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, waarbij stap (b) het berekenen van de waarde g omvat uitgaande van een waarde h die elk niet-nul zijnde gehele getal kan zijn, zodanig dat h^"1^3· niet congruent is aan 1 mod p volgens de regel g = E mocj

4. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, waarbij stap (d) het transformeren van de boodschap m omvat door het toepassen van ppn ροητΗ nhti ncrstTansfm-mati p> u nn dp hnodsnhan m.

5. Geschrapt.

6. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, waarbij stap (e) voorts het berekenen van de waarde s omvat volgens de regel s = k_1 (H(m) + xr mod q waarbij de waarde x een geheime waarde is.

7. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, waarbij de stappen (a)-(c) worden uitgevoerd voorafgaande aan het bekend zijn van de boodschap m.

8. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 1, omvattende de stap van verzenden van een ondertekende boodschap die is gevormd uit de boodschap m en de digitale handtekening (r,s).

9. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 8, voorts omvattende de stappen: (g) het ontvangen van de verzonden ondertekende boodschap voorzien van een ontvangen digitale handtekening (r,s) met een ontvangen waarde r en een ontvangen waarde s; en (h) het verifiëren van de ontvangen digitale handtekening (r,s).

10. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 9, waarbij de stap (h) het reconstrueren van g- mod p uit stap (c) omvat voor het I. verschaffen van een teruggewonnen g- mod p.

11. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 10, omvattende de stap van het bepalen van een waarde v uitgaande van een waarde ux = (H(m)) (s)-1 mod q en een waarde u2 = (r) (s)”1 mod q volgens de regel v = (g)~ (y) — mod p waarbij de waarde y congruent is aan g- mod p en de waarde x een geheime waarde is.

12. Werkwijze voor het genereren van een digitale handtekening (r, s) volgens conclusie 11, omvattende de stap van het bepalen of de vastgestelde waarde v na reductie mod g hetzelfde is als de ontvangen waarde r.

13. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 12, voorts omvattende de stap van het bepalen dat de ontvangen digitale handtekening (r,s) is geverifieerd in responsie op het bepalen dat de vastgestelde waarde v na reductie mod q hetzelfde is als de ontvangen waarde r.

14. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 9, waarbij stap h voorts omvat het bepalen of de ontvangen waarde r congruent is aan 0 mod g.

15. Werkwijze voor het genereren van een digitale handtekening (r,s) volgens conclusie 9, waarbij de stap (a) voorts omvat het bepalen of de ontvangen waarde s congruent is aan 0 mod g.

16. Systeem voor het genereren van een digitale handtekening (r,s) van een boodschap m, waarbij informatie wordt verzonden en ontvangen door gebruikers van het systeem, voorzien van: een geheime waarde k die uniek is voor de boodschap m; een publieke waarde g; transformatiemiddelen voor het toepassen van een hash-transformatie op alleen de boodschap m voor het genereren van een getransformeerde boodschap H(m), middelen voor het berekenen van de waarde r uitgaande van een primitieve modulus p en een waarde g die is gekozen als een primitieve deler van p-1 volgens de regel r = (g- mod p) mod g; middelen voor het berekenen van de waarde s volgens de regel s = f(H(m)) waarbij de waarde s alleen via H(m) een functie is van de boodschap m; genereermiddelen voor het ontvangen van de berekende waarden van r en s en het genereren van een ondertekende bood- schap die is gevormd uit de boodschap m en de digitale handtekening (r,s) ,· en verzendmiddelen voor het verzenden van het gegenereerde signaal.

17. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, waarbij de geheime waarde k willekeurig is gekozen.

18. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, waarbij de publieke waarde g wordt berekend uitgaande van een waarde h die elk niet-nul zijnd geheel getal kan zijn, zodat h*E_1^a niet congruent is aan 1 mod p volgens de regel

19. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, waarbij de transformatiemiddelen in één richting werkzame transformatiemiddelen omvatten voor het transformeren van de boodschap m door het toepassen van een eenrichtingshash-transformatie op de boodschap m.

20. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, waarbij een waarde x een geheime waarde is en de waarde s wordt berekend volgens de regel

21. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, waarbij de waarden k, g en r worden bepaald onafhankelijk van de boodschap m.

22. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 16, voorts voorzien van: middelen voor het ontvangen van de verzonden ondertekende boodschap; en verifleermiddelen voor het verifiëren van de digitale handtekening (r,s).

23. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 22, waarbij de verifleermiddelen voorts zijn voorzien van middelen voor het reconstrueren k k van de g- mod p voor het verschaffen van een teruggewonnen g- mod p in de verifleermiddelen.

24. Systeem voor het genereren van een digitale handtekening (r#s) volgens conclusie 23, voorts voorzien van middelen voor het bepalen van een waarde v uitgaande van een waarde ux = (H(m)) (s)-1 mod q en een waarde u2 = (r) (s)-1 mod q volgens de regel

waarbij de waarde y congruent is aan g^ mod p en de waarde x een geheime waarde is.

25. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 24, voorts voorzien van middelen voor het bepalen of de vastgestelde waarde van v na reductie mod q hetzelfde is als de ontvangen waarde r.

26. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 25, voorts voorzien van middelen voor het bepalen of de handtekening (r,s) is geverifieerd in responsie op het bepalen dat de waarde v na reductie mod q hetzelfde is als de ontvangen waarde r.

27. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 22, waarbij de verifieer-middelen middelen omvatten voor het bepalen of de waarde r congruent is aan 0 mod q.

28. Systeem voor het genereren van een digitale handtekening (r,s) volgens conclusie 22, waarbij de verifleermiddelen middelen omvatten voor het bepalen of de waarde s congruent is aan 0 mod q.

29. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) van een boodschap m in een systeem waarbij informatie wordt verzonden en ontvangen door gebruikers van het systeem, omvattende de stappen van: (a) het verschaffen van een geheime waarde k die uniek is voor de boodschap m; (b) het verschaffen van een publieke waarde g; (c) het bepalen van een waarde uitgaande van een primitieve modulus p volgens de regel r = F(g- mod p) waarbij F een reductiefunctie is die onafhankelijk is van de boodschap ra; (d) het ontvangen van een ondertekende boodschap die is gevormd uit de boodschap m en de digitale handtekening (r,s); (e) het terugwinnen en isoleren van g- mod p in overeenstemming met de boodschap m; (f) het bepalen of de geïsoleerde g- mod p na reductie volgens de reductiefunctie F hetzelfde is als de ontvangen waarde r; (g) het bepalen of de handtekening (r,s) is geverifieerd in overeenstemming met de bepaling volgens stap (f) ; en (h) het genereren van een verificatiesignaal in overeenstemming met stap (g) en het verzenden van het veri-ficatiesignaal,

30. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 29, waarbij stap (b) het berekenen van de waarde g omvat, uitgaande van een waarde h die elk niet-nul zijnde gehele getal kan zijn, zodat hiE_1)/,a niet congruent is aan 1 mod p volgens de regel

waarbij de waarde q is gekozen als een primitieve deler van P-l·

31. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 29, waarbij stap a het willekeurig kiezen van de geheime waarde k omvat.

32. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, waarbij de reductiefunctie F reductie mod q omvat.

33. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, voorts omvattende de stap van het bepalen van een waarde v uitgaande van een waarde ux = (H(m)) (s)-1 mod q en een waarde u2 = (r)(s)”1 mod g volgens de regel

waarbij de waarde y congruent is aan g- mod p en de waarde x een geheime waarde is.

34. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, voorts omvattende de stap van het berekenen van de waarde r uitgaande van een primitieve modulus p volgens de regel

voorafgaande aan het bekend zijn van de boodschap m.

35. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 29, voorts omvattende de stap van het berekenen van de waarde s volgens de regel s = f(H(m)) waarbij H een hash-transformatie is voor het produceren van een getransformeerde boodschap H(m) en de waarde s alleen een functie van m is via de getransformeerde boodschap H(m).

36. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 35, omvattende de stap van het transformeren van de boodschap m door toepassing van een eenrichtingstransformatie H op de boodschap m.

37. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, voorts omvattende de stap van het berekenen van de waarde s volgens de regel

waarbij de waarde x een geheime waarde is.

38. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 37, omvattende de stap van het bepalen van k”1 voorafgaande aan het bekend zijn van de boodschap m.

39. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 29, waarbij de stappen (a)-(c) worden uitgevoerd voorafgaande aan het bekend zijn van de boodschap m.

40. Werkwijze voor het genereren en verifiëren van een digitale handtekening volgens conclusie 37, omvattende de verdere stap van het verzenden van een ondertekende boodschap die is gevormd uit een boodschap m en de digitale handtekening (r,s) uitgaande van de berekende waarde van s.

41. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, waarbij de stap (g) voorts omvat de stap van het bepalen van een verificatie in overeenstemming met het bepalen of de ontvangen waarde r congruent is aan 0 mod q.

42. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 30, waarbij stap (g) voorts omvat de stap van het bepalen van een verificatie in overeenstemming met het bepalen of de ontvangen waarde s congruent is aan 0 mod q.

43. Werkwijze voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 6, waarbij k-1 wordt bepaald voorafgaande aan het bekend zijn van de boodschap m.

44. Systeem voor het genereren en verifiëren van een digitale handtekening (r,s) volgens conclusie 20, waarbij k-1 wordt bepaald voorafgaande aan het bekend zijn van de boodschap m.

45. Systeem voor het genereren en verifiëren van een digitale handtekening (r,s) van een boodschap m, waarbij informatie wordt verzonden en ontvangen door gebruikers van het systeem, voorzien van een geheime waarde k die uniek is voor de boodschap m; een publieke waarde g; middelen voor het bepalen van de waarde r uitgaande 1. van een primitieve modulus p volgens de regel r = F(g- mod p) waarbij F een reductiefunctie is onafhankelijk van de boodschap m, middelen voor het ontvangen van een ondertekende boodschap die is gevormd uit de boodschap m en de digitale handtekening (r,s), middelen voor het terugwinnen en isoleren van g- mod p in overeenstemming met de boodschap m; vergelijkingsmiddelen voor het bepalen of de geïsoleerde g- mod p na reductie volgens de reductiefunctie F hetzelfde is als de ontvangen waarde r; verificatiemiddelen voor het bepalen of de handtekening r, s is geverifieerd in overeenstemming met de bepaling door de vergelijkingsmiddelen ; middelen voor het genereren van een verificatie-signaal in overeenstemming met de verificatie door de verifi-catiemiddelen; en middelen voor het verzenden van het verificatie- signaal.