SE439225B - Anordning for dechiffrering av ett chiffrerat meddelande, vilket mottages over en oskyddad kommunikationskanal, anordning for chiffrering av ett meddelande, som skall sendas over en oskyddad kommunikationskanal, samt se - Google Patents

Description

'7810478-3 lO 33 2 nyckeln sändes i förväg över en sådan skyddad kanal som en privat kurir eller med rekommenderat brev. Dessa skyd- dade kanaler är vanligen långsamma och dyrbara.

I "Multiuser Cryptographic Techniques", Diffie et al, AFIPS - Conference Proceedings, Volym 45, sid. 109-112, 8 juni 1976 föreslås idén med ett kryptosystem med offent- lig eller allmänt känd nyckel,vilket system skulle eli- minera behovet av en skyddad kanal genom att sändarens nycklingsinformation gjordes allmänt känd. Vidare före- slås det, att ett sådant kryptosystem med känd nyckel skulle tillåta ett äkthetsbevisningssystem, vilket gene- rerar ett oförfalskbart meddelande i beroende av en digi- tal signatur. I ovannämnda artikel framlägges idén om att använda två nycklar E och D för chiffrering respektive dechiffrering av ett meddelande på så sätt, att E är all- mänt tillgänglig information, medan D hålles hemlig av den avsedde mottagaren. Ehuru vidare D är bestämd av E, är det omöjligt att beräkna D ur E. En konstruktion av ett sådant kryptosystem med känd nyckel framställes som rim- lig i nämnda artikel, vilket system skulle tillåta en användare att chiffrera ett meddelande och sända det till den avsedde mottagaren, medan enbart den avsedde mottaga- ren skulle kunna dechiffrera det. Ehuru konstruktion av sådana system framställes som rimliga i ovannämnda artikel, framlägges inget som helst bevis för att kryptosystem med känd nyckel existerar och ej heller framlägges något de- monstrationssystem.

I ovannämnda artikel framlägges tre sannolika skäl för förekomsten av ett kryptosystem med känd nyckel, näm- ligen en matrislösning, en maskinspråkslösning samt en logisk kartläggningslösning, ehuru matrislösningen kan utformas med matriser, vilka kräver en bevisligen omöjlig kryptoanalytisk tid (dvs beräkning av D ur E) under an- vändning av kända metoder, uppvisar matrislösningen brist på praktisk användbarhet som följd av de enorma dimen- sionerna hos de erforderliga matriserna. Maskinspråkslös- ningen och den logiska kartläggningslösningen föreslås också men inget sätt visas hur de skall konstrueras på så- 7810478-3 3 dant sätt, att de skulle kräva bevisligen omöjlig krypto- analytisk tid. ' I ovannämnda artikel införes också ett de föreslagna kryptosystemen med känd nyckel användande förfarande, vil- ket skulle tillåta mottagaren att lätt verifiera äktheten- i ett meddelande men hindra honom att alstra synbarligen äkta meddelanden. Ett protokoll beskrives, vilket skall följas för uppnående av äkthetsbevisning med det föreslag- na kryptosystemet med känd nyckel. Äkthetsbevisningsför- farandet förutsätter emellertid existensen av ett krypto- system med känd nyckel, vilken existens nämnda artikel ej har visat.

Ett ändamål med uppfinningen är följaktligen att till- låta bemyndigade parter i ett samtal (samtalsparter)attsam- tala under sekretess, även om en obemyndigad part (smyg- lyssnare) uppsnappar hela kommunikationen.

Ett annat ändamål med föreliggande uppfinning är att låta en samtalspart på en oskyddad kanal äkthetsbevisa en annan samtalsparts identitet.

Ett annat ändamål med föreliggande uppfinning är att åstadkomma ett kvitto för en mottagare på en oskyddad' kanal för att bevisa att ett särskilt meddelande sändes till mottagaren av en särskild sändare. Ändamålet är att låta mottagaren enkelt verifiera äktheten hos ett med- delande men hindra mottagaren att alstra skenbart äkta meddelanden.

En åskådliggjord utföringsform av föreliggande upp- finning beskriver ett sätt och en anordning för att kommu- nicera skyddat över en oskyddad kanal genom att förmedla ett beräkningsmässigt skyddat kryptomeddelande, vilket utgör en allmänt känd transformering av det av sändaren sända meddelandet. Den åskådliggjorda utföringsformen skiljer sig från tidigare lösningar på kryptosystem med känd nyckel, såsom beskrivna i "Multiuser Cryptographic Techniques", genom att den är både praktisk att realisera och bevisligen omöjlig att invertera under användning av kända metoder.

Enligt föreliggande uppfinning alstrar en mottagare 78l0478~š 4 en hemlig dechiffreringsnyckel samt en allmänt till- gänglig chiffreringsnyckel på så sätt, att den hemliga dechiffreringsnyckeln är svår att generera ur den kända chiffreringsnyckeln. Sändaren chiffrerar ett meddelande, som skall förmedlas, genom att transformera meddelandet med den kända chiffreringsnyckeln, varvid den för chiffre- ring av meddelandet använda transformationen är lätt att utföra men svår att invertera utan den hemliga dechiffre- ringsnyckeln. Det chiffrerade meddelandet förmedlas sedan från sändaren till mottagaren. Mottagaren dechiffrerar det chiffrerade meddelandet genom att invertera chiffrerings- transformationen med den hemliga dechiffreringsnyckeln.

En annan åskådliggjord utföringsform av uppfinning- en beskriver ett sätt och en anordning för att låta en sändare bevisa äktheten i en bemyndigad mottagares identi- tet. Den bemyndigade mottagaren alstrar en hemlig de- chiffreringsnyckel och en allmänt tillgänglig chiffrerings- nyckel på så sätt, att den hemliga dechiffreringsnyckeln är svår att generera ur den allmänna chiffreringsnyckeln.

Sändaren chiffrerar ett meddelande, som skall förmedlas, genom att transformera meddelandet med den kända chiffre- ringsnyckeln, varvid den för chiffrering av meddelandet använda transformationen är lätt att utföra men svår att invertera utan den hemliga dechiffreringsnyckeln. Det chiffrerade meddelandet sändes sedan från sändaren till mottagaren. Mottagaren dechiffrerar det chiffrerade med- delandet genom att invertera chiffreringstransformationen med den hemliga dechiffreringsnyckeln. Äktheten i motta- garens identitet bevisas för sändaren av mottagarens för- måga att dechiffrera det chiffrerade meddelandet.

En annan åskådliggjord utföringsform av föreliggande uppfinning beskriver ett sätt och en anordning för att åstadkomma en kvittering av ett förmedlat meddelande.

En sändare genererar en hemlig nyckel och en allmänt till- gänglig nyckel på så sätt, att den hemliga nyckeln är svår_ att generera ur den kända nyckeln. Sändarenïgenererar se- dan en kvittering genom att transformera en representa- tion av det förmedlade meddelandet med den hemliga nyckeln, 7810478-3 varvid den för generering av kvitteringen använda trans- formationen är svår att utföra utan den hemliga nyckeln och lätt att invertera med den kända nyckeln. Kvitteringen förmedlas sedan från sändaren till mottagaren. Mottagaren inverterar transformationen med den kända nyckeln för er- hållande av representationen av det förmedlade meddelandet ur kvitteringen och bekräftar kvitteringen genom att jäm- föra representationen av det förmedlade meddelandet med det förmedlade meddelandet.

Uppfinningen skall beskrivas närmare i det följande under hänvisning till medföljande ritningar. Fig. l är ett blockschema över ett kryptosystem med känd nyckel, vilket överför ett beräkningsmässigt skyddat kryptomed- delande över en oskyddad kommunikationskanal. Fig. 2 är ett blockschema över en chiffreringsanordning för chiffre- ring av ett meddelande till chiffertext i kryptosystemet med känd nyckel enligt fig. l. Fig. 3 är ett blockschema över en multiplicerare för utförande av modulära multipli- ceringar i dechiffreringsanordningen enligt fig. 7, exponentiatorn i fig. 10 och generatorn för den kända nyckeln i fig. ll. Fig. 4 är ett detaljerat kretsschema över en adderare för utförande av additioner i chiffre- ringsanordningen i fig. 2, multipliceraren i fig. 3 och generatorn för den kända nyckeln i fig. ll. Fig. 5 är ett detaljerat kretsschema över en komparator för utförande av storleksjämförelser i chiffreringsanordningen i fig. 2, multipliceraren i fig. 3, dechiffreringsanordningen i fig. 7, divideraren i fig. 8 och den alternativa dechiffre- ringsanordningen i fig. 9. Fig. 6 är ett detaljerat krets- schema över en subtraherare för utförande av subtraktion i multipliceraren i fig. 3, dechiffreringsanordningen i fig. 7 och divideraren i fig. 8. Fig. 7 är ett blockschema för dechiffrering av en i kryptosystemet med känd över en dechiffreringsanordning chiffertext till ett meddelande nyckel enligt fig. 1. Fig. 8 är ett blockschema över en dividerare för utförande av division i inverteraren i fig. 7 och den alternativa dechiffreringsanordningen i fig. 9.

Fig. 9 är ett blockschema över en alternativ dechiffrerings~ 78104734» 6 anordning för dechiffrering av en chiffertext till ett meddelande i kryptosystemet med känd nyckel enligt fig. 1.

Fig. 10 är en exponentiator för att upphöja olika tal till olika potenser i moduloaritmetik i den alternativa de- chiffreringsanordningen i fig. 9 och generatorn för den kända nyckeln i fig. ll. Fig. ll är en generator för gene- rering av den kända chiffreringsnyckeln i kryptosystemet enligt fig. 1. Fig. 12 är ett flödesschema för algoritmen för den logaritmiska omvandlaren i fig. ll, när p-l är en potens av 2. Fig. 13 är ett flödesschema för algoritmen för beräkning av koefficienterna {bj} i utvecklingen: ni i x(mod pi ) = Z b. p där 0 i bj 1 pi - 1, i den logaritmiska omvandlaren i fig. 1l,när p-l ej är en potens av 2.

I fig. 1, vartill hänvisas, visas ett kryptosystem med allmänt känd nyckel, i vilket system alla överföringar sker via en oskyddad kommunikationskanal 19, exempelvis en telefonledning. Kommunikation sker på den oskyddade kanalen 19 mellan en sändare ll och en mottagare 12 under användningen sändar-mottagarenheter 31 och 32, vilka kan vara modemer av exempelvis typen Bell 201. Sändaren ll har ett ochiffrerat meddelande eller klartextmeddelande X, som skall förmedlas till mottagaren 12. Sändaren ll och mottagaren 12 innefattar en ohiffreringsanordning 15 respektive en dechiffreringsanordning 16 för chiffrering och dechiffrering av information under inverkan av en chiffreringsnyckel E på en ledning E och en reciprok de- chiffreringsnyckel D på en ledning D. Chiffrerings~ och dechiffreringsanordningarna 15 och 16 realiserar inversa transformationer, när de tillföres de motsvarande nycklarna E och D. Nycklarna kan exempelvis vara en följd av slump- mässigt valda bokstäver eller siffror. Chiffreríngsanord- ningen 15 chiffrerar klartextmeddelandet X till ett chiff- rerat meddelande eller en chiffertext S, vilken av sändaren ll sändes över den oskyddade kanalen 19, varvid chiffer~ 7810478-3 7 texten S mottages av mottagaren 12 och dechiffreras av dechiffreringsanordningen 16 för erhållande av klartext- meddelandet X. En obemyndigad part eller smyglyssnare l3 antages ha en nyckelgenerator 23 och en dechiffrerings- anordning 18 samt har tillgång till den oskyddade kanalen 19, så att om han kände till dechiffreringsnyckeln D han skulle kunna dechiffrera chiffertexten S för erhållande av klartextmeddelandet X.

Det exemplifierande systemet utnyttjar svårigheten i det s k Éränselproblemet" ("knapsack problem“). Förut- satt en endimensionell ränsel av en längd S samt en vektor Ä, bestående av n stavar av längderna al, a2,...., an, in- nebär ränselproblemet enkelt uttryckt att finna en del- mängd av stavarna, vilken delmängd exakt fyller ränseln, om en sådan delmängd existerar. Ekvivalent uttryckt skall en binär n-vektor x av 0:or och lzor sökas på så sätt, att S = a * x, om ett sådant 2 existerar (* tillämpad på vek- torer betecknar skalärprodukten och tillämpad på skalärer betecknar den vanlig multiplikation).

En förmodad lösning É kan lätt kontrolleras genom högst n additioner, men att finna en lösning kräver såvitt man vet ett antal operationer, vilket antal växer exponen- tiellt med n. En omfattande sökning genom försök med alla 2n möjliga š är beräkningsmässigt ogörlig, om n är större än 100 eller 200. En uppgift betraktas som beräkningsmäs- sigt ogörlig eller omöjlig, om kostnaden för den, mätt antingen genom den använda mängden minne eller genom be- räkningstiden, är ändlig men omöjligt stor, exempelvis av storleksordningen ungefär 10 operationer med existe- rande beräkningsmetoder och -utrustning.

Teorin antyder svårigheten i ränselproblemet på grund av att det är ett "NP-komplett" problem och därför är ett av de mest svåra beräkningsproblemen av kryptografisk na- tur (se exempelvis A.V. Aho, J.E. Hopcraft och J.D. Ullman, The Design and Analysis of Computer Algorithms, Reading, Ma.; Addison-Wesley, 1974, sid. 363-404). Dess svårighets- grad är emellertid beroende av valet av Ä. Om šfär(l, 2, 4, ..., 2(n_l)), så är en lösning med av- ?a1o47e-a 8 seende på š ekvivalent med att finna den binära represen- tationen av S. Något mindre trivialt, om för alla i gäller: i-1 a. > E a. (1) 1 .

J=l 3 så kan § lätt finnas: xn = 1 om och endast om S 2 an, och för i = n-l, n-2, ..., 1, xi = 1, om och endast om n S - l xj * aj Z ai (2) 3=i+l Om komponenterna av § tillåtes antaga heltalsvärden mellan i-l 0 och 2, så kan villkoret (l) ersättas med ai > Z E aj fi=1 n och x. kan återvinnas som heltalsdelen av (S - X x.*a.)/a.. 1 l j=i+1 3 3 1 Ekvation (2) för utvärdering av xi, när xi är binärvärt, är ekvivalent med denna regel för ß = l.

En "falluckeränsel" är en sådan där omsorgsfullt val av É låter konstruktören lätt finna lösningen för varje § men där varje annan hindras att finna lösningen. Två me- toder skall beskrivas för konstruktion av falluckeränslar, men först skall en beskrivning lämnas av deras användning i ett kryptosystem, såsom det i fig. l visade, med allmänt tillgänglig nyckel. Mottagare l2 genererar en fallucke- ränselvektor Ä och placerar den i ett allmänt tillgängligt register eller sänder den till sändaren ll över den oskyd- dade kanalen 19. Sändaren ll representerar klartextmeddelan- det X som en vektor § av n 0:or och lzor, beräknar S = E * É och sänder S till mottagaren l2 över den oskyd- dade kanalen 19. Mottagaren 12 kan lösa S för É, men det är ogörligt för smyglyssnaren 13 att lösa S med avseende på É. ' Vid ett sätt att generera falluckeränslar använder nyckelgeneratorn 22 slumptal, vilka alstras av en nyckel- källa 26, för val av tvâ stora heltal m och w på så sätt, att w är inverterbar modulo m (dvs så att m och W ej har några gemensama faktorer med undantag för 1). Nyckel- '30 7810478-3 9 källan 26 kan exempelvis innehålla en slumptalsgenerator, vilken är realiserad av brusrika förstärkare (t ex opera- tionsförstärkare av typen Fairchild u 709) med en polari- tetsdetektor. Nyckelgeneratorn 22 tillföres en ränsel- vektor š', vilken uppfyller ekvation (l) och därmed till- låter lösning av S' = E' * É, och transformerar den lätt lösta ränselvektorn a' till falluckeränselvektorn a via relationen (3) â.= l w * ai' modulo m Vektorn E tjänstgör som den kända chiffreringsnyckeln E på ledningen E och placeras antingen i ett allmänt register eller sändes över den oskyddade kanalen 19 till sändaren ll.

Chiffreringsnyckeln E är därmed gjord tillgänglig för både sändaren ll och smyglyssnaren 13. Sändaren ll använder chiffreringsnyckeln E, som är lika med E, för att alstra chiffertexten S ur klartextmeddelandet X, representerat av vektorn š, varvid får gälla S = E * É. Eftersom ai kan vara pseudoslumpmässigt fördelat kan smyglyssnaren 13, som känner till Ä men ej w eller m, ogörligen lösa ett ränselproblem, som inbegriper E, för erhållande av det önskade meddelandet É.

Dechiffreringsanordningen l6 i mottagaren 12 till- föres w, m och E' som sin hemliga dechiffreringsnyckel D och kan lätt beräkna: S' = l/w * S modulo m l/w * Zxi * ai modulo m l/w * Zxi * w * ai' modulo m (4) (5) (6) (7) ll = Xx. * a.' modulo m 1 i Om m väljes så att m > Zai' (3) så medför (7) att S' är lika med Zxi * ai' i heltals- aritmetik liksom modulo m. Denna ränsel löses lätt för É, som också utgör lösningen på det svårare falluckeë ränselproblemet S = Ä * É. Mottagaren l2 har därför för- måga att återvinna klartextmeddelandet X, representerat som den binära vektorn É. Smyglyssnarens 13 falluckeränsel- problem kan emellertid göras beräkningsmässigt ogörligt att 78¶0478~š lösa, varigenom smyglyssnaren 13 hindras att återvinna klartextmeddelandet X.

För att göra dessa idéer tydligare lämnas ett åskåd- liggörenae exempe1, 1 vi1ket n = 5. om m = 8443, E' = (111, 196, 457, 1191, 2410) och w = 2550 så gäller att a = (5457, 1663, 216, 6013, 7439). Om E = (0, l, 0, l, 1) är givet så beräknar chiffreringsanordningen 15 S = 1663 + 60l3 + 7432 = l5ll5, Dechiffreringsanordningen 16 använder Euklides algoritm (se exempelvis D Knuth, The Art of Computer Programming, volym II, Addison-Wesley l969, Reading, Ma.) för beräkning av l/w = 3950 och beräknar sedan: S" = l/w * S modulo m (9) = 3950 * l5ll5.modulo 8443 = 3797 På grund av S' > a5' fastställer dechiffreringsanordningen l6 att X5 stämmer den sedan att x4 = l, x3 = O, xz = 1, xl = 0 eller x = (0, l, 0, l, l), vilket också är den rätta lösningen = l. Under användning av (2) för vektorn E' be- på S = E * ä.

Smyglyssnaren l3, som ej känner till m, w eller É', har stora svårigheter att lösa É i S = Ä * É trots att han känner till den använda metoden för alstring av fall- luckeränselvektorn E. Hans uppgift kan göras ogörlig genom val av större värden för n, m, w och E". Hans uppgift kan kompliceras ytterligare genom omkastning av ordningen på nämnda ai och genom addering av olika slumpmässigt valda multipler av m till vart och ett av nämnda ai.

Det givna exemplet var extremt litet till storleken och enbart avsett att åskådliggöra tekniken. Med använd- ning av n = 100 (som för närvarande är den undre änden av det användbara området för system med hög säkerhet) som ett mer rimligt värde föreslås det att m väljes ungefär likformigt bland talen mellan 2201 + l och 2202 - l, att al' väljes likformigt i intervalleïošl, 2 ), aïäoaz' väljes likformigt i intervallet (2 + 1, 2 * 2 ), ett a3“ väijee iikfermigt 1 intervallet (3 - 2l°° + 1, 4 * 2109), och att ai' väljes likformigt i intervallet 7810478~3 11 * 2100 (2, m-2) och sedan divideras ((21-l_i) * 2100 + lr 21-1 likformigt i intervallet ), samt att w' väljes med den största gemensamma divisorn av (w', m) för erhål- lande av w.

Dessa val säkerställer att (8) är uppfylld och att 00 en tjuvlyssnare 13 har åtminstone 21 möjligheter för varje parameter och därmed ej kan gå igenom alla.

Chiffreringsanordningen 15 är visad i fig. 2. Se- kvensen av heltal al, a2,... an presenteras sekvensiellt synkront med den sekvensiella presentationen av 0:or och 1:or i xl, x2,... xn. S-registret 41 är från början inställt på noll. Om xi = 1 adderas S-registrets 41 inne- håll och ai av en adderare 42 och resultatet placeras i S-registret 41. Om xi = 0 lämnas innehållet i S-registret 41 oförändrat. I vartdera fallet ersättes i med i + 1, tills i = n, i vilket fall chiffreringsoperationen är klar. Ett i-register 43 är från början inställt på noll och stegas fram med l efter varje chiffreringsanordnings- cykel. Antingen adderaren 42 eller en särskild uppåträkna- re kan användas för att stega fram i-registrets 43 inne- håll. Med det ovan föreslagna värdeområdet kan både S- och i-registren 41 och 43 erhållas i ett enda direktaccess- minne (RAM) om 1024 bitar, såsom Intel 2102. Realisering- en av adderaren 42 kommer att beskrivas i detalj längre fram liksom realiseringen av en komparator 44, vilken er- fordras för att jämföra i och n för att fastställa när chiffreringsoperationen är klar.

Nyckelgeneratorn 22 innefattar en multiplicerare modulo m, som den i fig. 3 framställda, för alstring av 8.: J. multipliceras, inmatas i ett W-register 51 respektive ett A'-register 52 och m inmatas i ett M-register 53.

W * ai' modulo m. De två talen w och ai', som skall Produkten w * ai' modulo m kommer att alstras i ett P-register 54, som från början är inställt på noll. Om k, dvs antalet bitar i den binära representationen av m, är 200, så kan alla fyra registren erhållas ur ett enda direktaccessminne om 1024 bitar, såsom Intel 2102. Rea- liseringen i fig. 3 grundar sig på det förhållandet, att ïâïüßfä-š 12 Wai' modulo m = woai' modulo m + 2 wla2“ modulo m + 4 wzai' modulo m + ... + 2k_l wk_lai' modulo m.

Om biten längst till höger, vilken bit innehåller wo i W-registret 51, är l, så adderas innehållet i A'-re- gistret 51 till P-registret 54 av adderaren 55 för multi- Om w = 0, så ändras ej P-registret 0 54. Sedan jämföres M- och P-registerinnehållen av kompa- plicering av w med ai'. ratorn 56 för fastställande av huruvida P-registrets 54 innehåll är större än eller lika med m, dvs innehållet i M-registret 53. Om P-registrets 54 innehåll är större än eller lika med m, så subtraherar subtraheraren 57 m från innehållet i P-registret 54 och placerar skillnaden i P-registret 54. Om nämnda innehåll är mindre än m så ändras ej P-registret 54.

Därnäst skiftas W-registrets 51 innehåll en bit åt höger och en 0 skiftas in från vänster, så att detta registers innehåll blir 0wk_l wk_2 ... wzwl, så att w är klar för beräkning av Zwla' modulo m. Storheten 2a' mo- dulo m beräknas för detta ändamål genom användning av adderaren 55 för addering av a' till sig själv, varvid komparatorn 56 användes för att fastställa huruvida re- sultatet 2a' är mindre än m och subtraheraren 57 användes för att subtrahera m från 2a', om resultatet ej är mindre än m. Resultatet 2a' modulo m lagras sedan i A'-registret 52. W-registrets 51 bit längst till höger, vilken bit in- nehâller wi, granskas sedan på samma sätt som tidigare och förloppet upprepas. _ Detta förlopp upprepas maximalt k gånger eller till dess att W-registret 51 innehåller enbart 0:or, vid vil- ken tidpunkt wa' modulo m finns lagrad i P-registret 54.

Som ett exempel på dessa operationer betraktas pro- blemet att beräkna 7 - 7 modulo 23. Följande steg visar de successiva innehållen i W-, A'-ochP-registren, vilka resulterar i svaret 7 - 7 = 3 modulo 23. 7810478-5 13 i W (binärt) A' P 0 00111 7 0 l 00011 14 0 + 7 = 7 2 00001 5 7 + 14 + 21 3 00000 10 21 + 5 = 3 module 23 Fig. 4 framställer en realisering av en adderare 42 eller 55 för addering av två tal p och z om k bitar. Talen presenteras en bit i sänder för anordningen, varvid lägre ordningens bitar presenteras först, och ett fördröjnings- element är från början inställt på 0. (Fördröjningen representerar den binära överföringsbiten.) En OCH-grind 61 bestämmer huruvida överföringsbiten skall vara en l på grundval av att pi och zi båda är l, och en OCH-grind 62 fastställer huruvida överföringsbiten skall vara en l på grundval av om den föregående överföringsbiten var en l och en av pi eller zi är l. Om ettdera av dessa två villkor är uppfyllt, har en ELLER-grind 63 en utsignal 1, som anger en överföringsbit till det nästa steget. Två EXELLER-grindar 64 och 65 bestämmer den i:te biten i summan si som summan av pi, zi och överföringsbiten från det föregående steget modulo 2. En fördröjningsenhet 66 lagrar den föregående överföringsbiten. Typiska komponenter för realisering av dessa grindar och fördröjningsenheten är SN7400, SN7404 och SN7474.

Fig. 5 framställer en realisering av en komparator 44 eller 56 för jämförelse av två tal p och m. De tvâ talen presenteras en bit i sänder med högsta ordningens bit först. Om varken utgången pm har utlösts efter det att de sista bitarna po och mo har presenterats, så gäller p = m. Den första triggningen av antingen utgången pm bringar jämförel- seoperationen att upphöra. Två OCH-grindar 71 och 72 har vardera en inverterad ingång (angiven med en cirkel vid ingången). En SN7400 och SN7404 åstadkommer samtliga erfordrade logikkretsar.

Fig. 6 åskådliggör en realisering av en subtraherare 57 för subtrahering av två tal. På grund av att de i fig. 3 subtraherade talen alltid ger en icke-negativ skillnad 78”3@478~š 14 finns det inget behov av att bekymra sig om negativa skillnader. Det större talet, minuenden, betecknas p och det mindre talet, subtrahenden, betecknas m. Både p och m presenteras serievis för subtraheraren 57 med den lägsta ordningens bit först. OCH-grindar 8l och 83, en ELLER-grind 84 och en EXELLER-grind 82 fastställer huruvida "lån" (negativ överföring) skall ske. En lånef överföring sker, om antingen pi = = l eller Pi :m1 0 och m. i samt lån inträffade i det föregående steget.

'En fördröjningsenhet 85 lagrar det föregående lånetill- ståndet. Den i:te biten i skillnaden, dvs di, beräknas som EXELLER-skillnaden eller skillnaden modulo 2 av pi,. mi och lånebiten. Utsignalen från EXELLER-grinden 82 ger skillnaden modulo 2 mellan pi och mi och EXELLER-grin- den 86 bildar skillnaden modulo 2 av detta resultat med den föregående lånebiten. Typiska komponenter för reali¿ sering av dessa grindar och fördröjningsenheten är SN7400, SN7404 och SN7474.

Dechiffreringsanordningen 16 är framställd i fig. 7.

Den tillföres chiffertexten S och dechiffreringsnyckeln, som består av w, m och š', samt måste beräkna E.

För beräkning av š matas först w och m in till en inverterare 91 modulo m, vilken beräknar w_l modulo m.

Anordningen använder sedan en multiplicerare 92 modulo m för beräkning av S' = w_l S modulo m. Såsom angivet i ekvationerna (7) och (8) gäller S' = löses för š. En komparator 93 jämför sedan S' med an' och fastställer att xn = l, om S' 1 an', och att xn = 0, om S” < an”. Om xn = l, ersättes S' med S' - an', beräk- = 0, är S' oförändrat. ä' ff EE, som lätt nat av en subtraherare 94. Om xn Förloppet upprepas för an_l' och xn_l och fortsätter till dess att x är beräknad. Ett j-register 95 är från början inställt på n och stegas ned med l efter varje steg i dechiffreringsförloppet, tills j=0 erhålles, var- vid förloppet stoppas och É är beräknat. Antingen sub- traheraren 94 eller en nedåträknare kan användas för att minska innehållet i j~registret 95. En komparator 96 kan användas för att jämföra innehållet i j-registret 95 med 0 7810478-3 för att fastställa när förloppet skall stoppas. Multi- pliceraren 92 modulo m är visad i detalj i fig. 3, kompa- ratorn 93 är visad i detalj i fig. 5 och subtraheraren 94 är visad i detalj i fig. 6. Inverteraren 91 modulo m kan grundas på en välkänd utvecklad version av Euklides algo- ritm. (Se exempelvis D Knuth: The Art of ComputerProgramm- ing, volym II, Addison-Wesley, 1969, Reading, Ma., sid. 302 och sid 315, problem 15.) Såsom beskrivet i denna referens kräver en realisering sex register, en komparator, en dividerare och en subtraherare. Alla dessa don har re- dan beskrivits i detalj med undantag för divideraren.

Fig. 8 visar detaljerna i en anordning för att divi- dera ett heltal u med ett annat heltal v för beräkning av en kvot q och en rest r, varvid Oírív - 1. Först matas u och v, representerade som binära tal, in i ett U-register 101 respektive ett V-register 102. Sedan skiftas v, dvs' innehållet i V-registret 102, åt vänster till dess att en l uppträder i vk_l, biten längst till vänster i V-registret 102. Detta förlopp kan utföras genom användning av komple- mentet till vk_l för att driva skiftstyrningen på ett skiftregister, såsom Signetics 2533, vilket från början var inställt på noll. Innehållet i en reversibel räknare 103 är lika med antalet bitar i kvoten minus ett.

Efter denna igångsättning jämföras v, dvs innehållet i V-registret 102, med innehållet i U-registret l0l av en komparator 104. Om v>u, så är qn, dvs den mest signifi- kanta biten i kvoten, 0 och u lämnas oförändrat. Om víu, så gäller qn = l och u ersättes av u-v, såsom beräknat av subtraheraren 105. I vartdera fallet skiftas v en bit åt höger och jämförelsen v>u upprepas för beräkning av qn_l, dvs den nästa biten i kvoten.

Detta förlopp upprepas, varvid den reversibla räkna- ren 103 stegas ned med 1 efter varje iteration, tills den innehåller talet noll. Härvid är kvoten färdig och resten r finns i U-registret 101.

Som ett exempel betraktas att dividera 14 med 4 för erhållande av q=3 och r=2, varvid k=4 är registerstorleken.- Eftersom u=l4=lll0 och v=4=0l00 i binär form, skiftas 7s¶@47s-3 16 V-registret 101 åt vänster enbart en gång för åstad- kommande av v = 1000. Efter denna begynnelseâtgärd fram- kommer det, att v í u, varför den första kvotbiten ql = 1 och u ersättes med u-v, varefter v ersättes med v skiftat åt höger en bit och den reversibla räknaren 103 minskas till noll. Detta signalerar att den sista kvotbiten go håller på att beräknas och att efter den förestående iterationen resten r finns i U-registret. Följande re- gisterinnehållssekvens hjälper till att följa dessa opera- tioner.

U V räknare i 1110 1000 1 u 1 0110 0100 0 1 0010 -- stopp -- Det framgår att q = ll i binär form och är ekvivalent med q = 3 samt att r = 0010 i binär form och är ekvivalent med r = 2.

En annan metod att alstra en falluckeränselvektor É utnyttjar det förhållandet, att en multiplikativ ränsel enkelt löses, om vektoringångsvärdena är relativa prim- tal. Om Ä" = (6, ll, 35, 43, 169) och en partiell produkt p = 2838 är givna, så är det lätt att fastställa att P = 6 * 11 * 43, eftersom 6, ll och 43 går jämnt upp i P, medan 35 och 169 ej gör det. En multiplikativ ränsel transformeras till en additiv sådan genom bildande av logaritmer. För att få båda vektorerna att antaga rimliga värden tages logaritmerna över GF(m), dvs det (ändliga) Galois-fältet med m element, där m är ett primtal. Det är också möjligt att använda icke-primtalsvärden av m, men de operationerna är något svårare.

Ett litet exempel är åter till hjälp. Förutsatt att n = 4, m = 257, ä' = (2, 3, 5, 7) och att iogaritmbasen b l3l så erhålles Ä = (80, 183, 81, 195). Med andra ord är 13180 = 2 module 257; 131183 = 3 moaulo 257; etc. Au; finna logaritmer över GF(m) är relativt lätt om m-1 har enbart små primtalsfaktorer. i Om nu dechiffreringsanordningen l6 tillföres 7810478-3 17 S = 183 + 81 = 264, använder den dechiffreringsnyckeln D, som består av m, E' och b, för att beräkna: S S' = b modulo m _ (l0) = 131264 modulo 257 = 15 :31-5 = al|0 * azul * a3|l * a4.l vilket medför att É = (0, 1, 1, 0). Detta beror på att: bs = b(Eai * Xi) I (11) = ¶ b(ai * Xi) ' (12) X1 = ¶ ai' 1 modulo m (13) Det är emellertid nödvändigt att: : ap' < m (14) i=1 L för säkerställande av att ¶ai' Xi modulo m är lika med ¶ai' xt 1 heltalsaritmetik.

Smyglyssnaren 13 känner till chiffreringsnyckeln E, som utgöres av vektorn E, men känner ej till dechiffrerings- nyckeln D och står inför ett beräkningsmässigt ogörligt problems Det lämnade exemplet var åter litet och enbart avsett för att åskådliggöra tekniken. Om med utgångspunkt från n = l00 varje ai' är ett slumpmässigt primtal om 100 bitar, så skulle m vara tvunget att vara ungefär 10000 bitar långt för säkerställande av att (14) är uppfyllt. Ehuru en data- expansion l00:l är godtagbar i vissa tillämpningar (t ex fördelning av en skyddad nyckel över en oskyddad kanal), är det sannolikt ej nödvändigt för en motståndare att va- ra så oviss beträffande ai'. Det är till och med möjligt att använda de första n primtalen för ai', i vilket fall m skulle kunna vara så litet som 730 bitar långt, när n = 100, och fortfarande uppfylla villkoret (14). Det finns följaktligen en viss möjlig utbytbarhet mellan så- kerhet och dataexpansion. vs1047s~s 18 I denna utföringsform har chiffreringsanordningen 15 samma form som visats i fig. 2 och beskrivits ovan. De- chiffreringsanordningen 16 i den andra utföringsformen är visad i detalj i fig. 9. Chiffertexten S och en del av dechiffreringsnyckeln D, nämligen b och m användes av en exponentiator lll för beräkning av P = bs modulo m. Såsom angivet i ekvationerna (12) - (14) och i exemplet utgör P en partialprodukt av {ai}, som också utgör del av de- chiffreringsnyckeln D. En dividerare ll2 dividerar P med ai' för i = 1, 2,... n och lämnar enbart resten ri till en komparator 113. Om ri = 0 så går ai' jämnt upp i P och xi = 1. Om ri # 0, så gäller xi ='0. Divideraren 112 kan realiseras på det sätt som visats i detalj i fig. 8 och beskrivits ovan. Komparatorn ll3 kan realiseras på det sätt som visats i detalj i fig. 5 och beskrivits ovan, men mer effektiva anordningar finns för att utföra jäm-_ förelse med noll.

Exponentiatorn lll för att höja b till potensen S modulo m kan realiseras i en sådan elektronisk krets som. den i fig. 10 visade. Fig. 10 visar begynnelseinnehållet i tre register 121, 122 och 123. Den binära representa- tionen av S (sk_l sk_2 ... slso) inmatas i S-registret 121, en 1 inmatas i R-registret 122 och den binära represen- tationen av b inmatas i B-registret 123, motsvarande i = 0.

Antalet k bitar i varje register är det minsta heltal, för vilket 2k 1 m. Om k = 200 så kan alla tre registren erhållas ur ett enda direktaccessminne om 1024 bitar, så- som Intel 2102. Realiseringen av en multiplicerare 124 för multiplicering av två tal modulo m har beskrivits i detalj i samband med fig. 3.

Om i fig. 10 den lägsta ordningens bit, innehållande so, i S-registret 121 är lika med l, så multipliceras 7 R-registrets 122 och B-registrets 123 innehåll modulo m och produkten, som också är en storhet om k bitar, ersätter innehållet i R-registret 122. Om so = 0, så lämnas R-re- gistrets 122 innehåll oförändrat. I vartdera fallet in- matas sedan B-registrets 123 innehåll två gånger i multi- pliceraren 124, så att kvadraten av B-registrets 123 inne- 7810478-3 19 (ii +9 håll beräknas modulo m. Detta värde b ersätter innehållet i B-registret 123. S-registrets 121 innehåll skiftas en bit åt höger och en O skiftas in från vänster, så att dess innehåll nu blir 0sk_lsk_2... szsl.

Den lägsta ordningens bit, som nu innehåller sl, i S-registret 121 granskas. Om den är lika med l, så mul- tipliceras liksom tidigare R-registrets 122 och B-regist- rets 123 innehåll modulo m och produkten ersätter inne- hållet i R-registret 122. Om den lägsta ordningens bit är lika med 0, så lämnas R-registrets 122 innehåll oföränd- rat. I vartdera fallet ersättes B-regístrets 123 innehåll med kvadraten av det tidigare innehållet modulo m. S-re- gistrets 121 innehåll skiftas en bit åt höger och en 0 skiftas in från vänster, så att dess innehåll nu blir 00 ...s s sk-15k-2 3 2' Detta förlopp fortsätter till dess att S-registret 121 innehåller enbart 0:or, varvid värdet av bs modulo m är lagrat i R-registret 122.

För att följa detta förlopp är ett exempel till hjälp.

Förutsatt att m = 23 så fås k = 5 ur 2 1 m. Om b = 7 och S = 18, så är bs = 718 = l6284l35979l0449 = 23(708005912l3497) + 18, varför bs modulo m är lika med 18. Denna rättframma men arbetssamma metod att be- räkna bs modulo m användes som en kontroll för att visa att metoden i fig. 10, visad nedan, ger det korrekta re- sultatet. R-registrets 122 och B-registrets 123 inne- håll är visade i detalj för att underlätta förståelsen. i S (binärt) R B 0 10010 1 7 1 01001 1 3 2 00100 3 9 3 00010 3 12 4 00001 3 6 00000 18 13 0 motsvarar begynnelseinnehållet i varje re- b = 7. På grund av Raden i = gister, nämligen S = 18, R = l och B = att biten längst till höger i S-registret 121 är en 0, 781Û478~5 lämnas såsom beskrivits ovan R-registrets l22 innehåll oförändrat, varefter B-registrets 123 innehåll ersättes med kvadraten modulo 23 av dess föregående innehåll (72 = 49 = 2 ° 23 + 3 = 3 modulo 23), S-registrets l2l innehåll skiftas en bit åt höger och förloppet upprepas.

Enbart när i = l och 4 är biten längst till höger i S-registret l2l lika med l, varför enbart vid övergång från i = l till 2 och från i = 4 till 5 är R-registrets l22 innehåll ersatt med RB modulo m. När i = 5 så är S = 0, varför förloppet är slutfört och resultatet 18 finns i R-registret 122.

Det påpekas att samma resultat, nämligen 18, erhölls härvid som vid den rättframma beräkningen av 718 modulo 23 men att här inga stora tal blev följden.

Ett annat sätt att förstå förloppet är att lägga mär- ke till att B-registret l23 innehåller b, bz, b4, bg och 1016, när i = o, 1, z, 3 resp 4 samt att b” = blöbz, så att enbart dessa två värden behöver multipliceras.

Den i den andra utföringsformen använda nyckel- generatorn 22 är visad i detalj i fig. ll. En tabell över n små primtal pi är skapad och lagrad i en källa l3l, som kan vara ett sådant läsminne som Intel 23l6E. Såsom beskrivits ovan alstrar nyckelkällan 26 slumptal ei. De små primtalen från källan l3l höjes vartdera till en sär- skild potens, representerad av ett slumptal ei från nyckelkällan 26 av en exponentiator 132 för alstring av pieí för i = l, 2... n. Enemultiplicerare 133 beräknar sedan produkten av alla pi 1, vilket kan representeras n e. e. n ei som ¶pi 1. Produkten av alla pi 1, dvs ¶pi , ökas sedan med ett av en adderare 134 för alstring av det potentiella värdet av m. Om det är önskvärt att m är ett primtal, kan det potentiella värdet av m testas för fastställande huru- vida det är ett primtal av en primtalstestare 135.

Primtalstestare för testning av huruvida ett tal m är ett primtal, när uppdelningen i faktorer av m-l är e n . känd (som i detta fall m-l = ¶ p. 1), är väldokumentera-, i=1 1 7810478-3 21 de i litteraturen. (Se exempelvis D Knuth: The Art of Computor Programming, volym II, Seminumerical Algorithms, sid. 347-48.) Såsom beskrivet i denna referens kräver primtalstestaren l35 enbart ett medel för att upphöja olika potenser modulo m, såsom beskrivet i fig. 10. När ett po- tentiellt värde på m befinnes vara ett primtal, matas det ut av generatorn för den kända nyckeln i fig. ll såsom variabeln m. Vektorns a' element ai' kan sedan väljas att vara de n små primtalen pi från källan 131.

Basen b till logaritmerna väljes sedan som ett slump- tal av nyckelkällan 26.

Elementen i vektorn Ä beräknas av en logaritmisk omvandlare 136 som logaritmerna till basen b av elementen i vektorn Ä' över GF(m). Den logaritmiska omvandlarens 136 arbetssätt och struktur beskrives nedan.

Det är välkänt att om p är ett primtal så gällerz' ZP* = 1 (module p), 1 _<_ z i p* (15) Exponenträkning sker följaktligen modulo p-1 och ej modulo p. Med andra ord gäller: zx = zx(m°dul° P_l) (modulo p) W' (16) för alla heltal x.

Algoritmen för beräkning av logaritmer modulo p förstås lättast genom att specialfallet p = 2n + 1 först betraktas. Givna är a, p och y, där u är ett ursprung- ligt element i GF(p), och måste finna ett sådant x, att y = ax (modulo p). Vi kan antaga O 5 x 5 p-2, eftersom x = p-l ej kan särskiljas från x = 0.

När p = 2n + l, bestämmes x lätt genom att den binära utvecklingen {bo,..., bn_l} av x finnes. Den minst signi- fikanta biten bo i x bestämmes genom att y upphöjes till (p-l)/2 = 2n_l samt att följande regel tillämpas: _ +l, b = 0 y(P 1)/2 (modulo p) = O - -l, bo = 1 (17) Detta förhållande är upprättat genom notering av att eftersom a primitivt: 7810478-5 22 u(p_l)/2 = -1 (modulo p) _ (18) och därmed: y(P'1)/2 = («*)(P'1)/2 = <-1)* (module P) (19) Den nästa biten i utvecklingen av x bestämmes genom att låta: 'b X1 z = y a o = a (modulo p) (20) där n-l i xl = Z bi2 (21) .=l Uppenbarligen är xl en multipel av 4, om och endast om b = 0. Om bl = l, så är xl delbar med 2 men,ej med 4. 1 Samma resonemang som tidigare ger: _ +1 b, = o z och Xi z = a (modulo 9) - (24) där n-l . x. = 2 b.23 (25) 1 ._. 3 _ 3-1 Genom att således upphöja z till m erhålles: i Zm = a(Xim) = a[(P-1)/2] (Xi/2 ) = xi/21 bi = (-l) = (-1) (modulo p) (26) så att zm = l (modulo p), om och endast om bi = 0, och 7810478-3 23 zm = -l (modulo p), om och endast om bi = 1.

Som ett exempel betraktas p = 17 = 24 + 1. Då gäller att a = 3 är primitivt (a = 2 är det ej på grund av att 28 = 256 = l modulo 17). Om y = 10 är givet beräknar algo- ritmen x på följande sätt (lägg märke till att B = x_l = 6, eftersom 3 - 6 = 18 = l modulo 17); i Z B m W bi 0 10 6 8 16 1 l 9 2 4 16 l 2 l 4 2 1 0 3 la 16 l l 0 4 1 1/2 Det framkommer således att x = 20 + 21 = 3. Detta är korrekt, eftersom a3 = 33 = 27 = 10 (modulo 17).

Denna algoritm generaliseras nu till godtyckliga primtal p. Låt 1 2 nk P - 1 = p? p? pk , pi<1>i+l (27) vara primtalsfaktorerna i p~l, där pi är olika prâmtal och ni är positiva heltal. Värdet av x (modulo pi i) kommer att bestämmas för i = l, ..., k och resultaten kombineras via det "kinesiska" restteoremet för erhållande aVå k ni x (modulo ¶ pi ) i=l eftersom 0 i x i p-2. Det kinesiska restteoremet kan rea- liseras i 0(k logzp) operationer och 0(k logzp) minnes- bitar. (En multiplikation modulo p räknas som en = x (modulo p-l) = x (28) operation.) n_ Följande utveckling av x (modulo pi 1) betraktas: x (modulo o.ni) = :i_1b.p.j (29) ~i ' 3 i j=0 där oíbjípi-l.

Den minst signifikanta koefficienten bo bestämmes genom att y upphöjes till (p-1)/pi: 781Û478~3 24 yíp-1)/pi = “(9-l)x/pi = Yix = bo = (Yi) (modulo p) (30) där Y = a(p_l)/Pi (modulo p) (31) i är en primitiv pi:te rot till ett. Det finns därför endast pi möjliga värden på y(p_l)Pi (modulo p) och det resulterande värdet bestämmer bo entydigt.

Den nästa siffran bl i utvecklingen med basen pi n av x (modulo pi i) bestämmes genom att låta _ -bo _ x; Z ~ y ° G - G (modulo p) (32) där ni-l _ X1 == EE bjpi] (33) J=l Genom att nu upphöja z till (p-l)/piz erhålles: z(p-1)/P12 = atp-1)-X1/Pig = Yix*/Pi = = (yiybl (modulo p) (34) (p-1)/P12 och detta värde bestämmer bl. Detta förfarande fortsättes Det finns åter endast pi möjliga värden av z för bestämning av alla koefficienterna b..

Flödesschemat i fig. 13 sammanfattar algoritmen för beräkning av koefficienterna (b.) i utvecklingen (29).

Denna algoritm användes k gånger för beräkning av x (modulo p.ni) för i = 1,2, ... k, och dessa resultat kom- bineras genom det kinesiska restteoremet för erhållande av x. Funktionen gi(w) i fig. l3 är definierad genom gi (w) Yi = w (modulo 9), 0 § gi(w) i pi-1 (35) där vi är definierad i ekvation (31).

Om alla primtalsfaktorerna {pi}ï=l i p-1 är små, så är funktionerna gi(w) lätta att realisera som tabeller 7810478~3 och en beräkning av en logaritm över GF(p) kräver 0(1og2p)2 operationer och endast minimalt minne för gi(w)-tabellerna. Det dominerande beräkningskravet är beräkningen w = zn, som kräver 0(log2p) operationer. k Denna slinga genomgås Z ni gånger, och om alla pi är fi=l k små så är 2 ni ungefär lika med logzp. När p-l har en- J'=l bart små primtalsfaktorer, är det således möjligt att lätt beräkna logaritmer över GF(p).

Som ett exempel betraktas p = 19, a = 2 och y = 10.

Då gäller p-l = 2 - 32 och pl = 2, nl = 1, p2 = 3 och 1 _ “1 ' nz = 2. Beräkningen av x (modulo pl ) = x-(modulo 2) in- begriper beräkning av y(p_l)/P1 = ag = 512 = 18 (mo- . aulo 19), varför bl = 1, och X (moau1° 2) = 2° = 1 (avs x är udda). Därefter genomgås flödesschemat i fig. 13 än en gång för p2 = 3, nz = 2 på följande sätt (ß6= 10, eftersom 2 ' 10 = 20 = 1 modulo 19, vidare YZ = a = 7 och 70 = 1, 71 = 7 och 12 = 11 (modulo 19), varför g2(1) = 0, g2(7) = 1 och g2(11) = 2): Z B n j W bj 10 6 o 11 2 12 12 1 11 1s 18 2/3 2 så att X (modulo pznz) = X (modu1o 9) = 2 - 3° + 2 - 31 = a. 1 och att x (mo- Med kännedom om att x (modulo 2) dulo 9) = 8 så erhålles x (modulo 18) = 17. (Antingen kan det kinesiska restteoremet användas eller inser man att x = 8 eller x = 8 + 9 = 17, varav enbart 17 är udda.) Som en kontroll finner man att 217 = 131072 = 10 (mo- dulo 19), varför y = ax (modulo p) gäller.

Det framgår, att den logaritmiska omvandlaren kräver en inverterare modulo p för beräkning av B = a-1 (mo- dulo p). Såsom redan påpekats kan detta uppnås under an- 7s1o47s~s 26 vändning av den utvidgade formen av Euklides algoritm, som kräver användningen av divideraren i fig. 8, multi- pliceraren i fig. 3 och komparatorn i fig. 5. Den loga- ritmiska omvandlaren kräver också divideraren i fig. 8 (för beräkning av successiva värden av n), adderaren i fig. 4 (för framstegning av j), exponentiatorn modulo p i fig. 10 (för beräkning av W och ßbj och för förberäk- ning av tabellen över Gi(w)), multipliceraren modulo p i fig. 3 (för beräkning av successiva värden av Z) och komparatorn i fig. 5 (för bestämning när j = Ni). Den logaritmiska omvandlarens användning av det kinesiska restteoremet kräver enbart anordningar, vilka redan har beskrivits (multipliceraren i fig. 3 och en inverterare modulo m).

Enligt det första sättet att a1stra«en fallucke- ränselvektor transformerades ett mycket svårt ränsel- problem, innefattande en vektor É, till ett mycket enkelt och lättlöst ränselproblem, innefattande en vek~ tor É', medelst transformationen: ai' = 1/w * ai modulo m (36) En vektorn É innefattande ränsel kunde lösas på grund av att den var transformerbar till en annan, vektorn E' innefattande ränsel, vilken var lösbar. Det skall påpekas att det ej spelar någon roll varför ränslar, innefattande a', är lösbara. I stället för att kräva att Ä' uppfyller (1) skulle man i stället således kunna kräva att E' var transformerbar till ett annat ränselproblem, innefattande ä", genom transformationen: ai" = l/w' * ai' modulo m' (37) där š" uppfyller (l) eller på annat sätt är lätt att lösa.

Efter att ha utfört transformationen två gånger är det inget problem att utföra den en tredje gång och i själva verket är det klart, att detta förfarande kan itereras så ofta som man önskar.

För varje successiv transformation blir strukturen i den allmänt kända vektorn Ä alltmer höljd i dunkel. 7810478-3 27 I själva verket krypteras det enkla ränselproblemet genom upprepad tillämpning av en transformation, som bevarar problemets grundläggande struktur. Det slutliga resultatet É framträder som en samling slumpmässiga tal. Det förhål- lande att problemet är lättlösligt har helt fördunklats.

Den ursprungliga ränselvektorn, som är lätt att lösa, kan uppfylla vilket som helst villkor, såsom (1), vilket säkerställer att den är lätt att lösa. Den skulle exempel- vis kunna vara en multiplikativ falluckeränsel. Det är på detta sätt möjligt att kombinera båda falluckeränsel- metoderna i en enda metod, vilken troligen är svårare att knäcka.

Det är betydelsefullt att tillväxttakten för Ä be- aktas, eftersom denna takt bestämmer den dataexpansion som är inbegripen vid överföring av den n-dimensionella vektorn § som den större storheten S. Tillväxttakten be- ror på sättet för val av talen, men vid en "rimlig" rea- lisering med n = 100 kommer varje ai att högst vara 7 bitar större än motsvarande ai', varje ai' högst att vara 7 bi- tar större än ai", etc. Varje suècessivt steg i transfor- mationen kommer att öka problemets storlek med enbart ett litet, bestämt belopp. Om transformationen upprepas 20 gånger, kommer detta att högst tillföra 140 bitar till varje ai. Om varje ai till en början var 200 bitar långt, så skulle de endast behöva vara 340 bitar långa efter steg. Ränselvektorn för n = 100 kommer då att ha en största storlek på 100 * 340 = 34 kilobit. vanliga digitala äkthetsbevisare skyddar mot. för- falskningar av tredje part men kan ej användas för att lösa tvister mellan sändaren ll och mottagaren 12 be- träffande vilket meddelande, om något, som sändes. En sann, digital signatur benämnes även en kvittering på grund av att den låter mottagaren 12 bevisa att ett särskilt meddelande M sändes till mottagaren av sändaren ll. Falluckeränslar kan användas för att alstra sådana kvitteringar på följande sätt.

Om varje meddelande M i något stort, fixerat område hade en invers bild É, så skulle det kunna användas för 'ïâlßßflösš 28 åstadkommande av kvitteringar. Sändaren ll skapar ränsel- vektorer E' och b på så sätt, att b' är en hemlig nyckel, såsom en lättlöst ränselvektor, och É är en allmänt till- gänglig nyckel, såsom erhållen via relationen bi = w * bi' modulo m (Bd) Vektorn É placeras sedan i ett allmänt register eller sändes den till mottagaren 12. När sändaren ll önskar åstadkomma en kvittering för meddelandet M, skulle sända- ren ll beräkna och sända É på så sätt, att E * š = M.

Sändaren ll skapar § för det önskade meddelandet M genom att lösa det lättlösta ränselproblemet: M' = 1/w * M modulo m (39) = l/w * :Xi += bi modulo m ' . (40) = l/w * Zxi * w * bi' modulo m ' (41) = Zxi * bi' modulo m r (42) Mottagaren 12 kunde lätt beräkna M ur É och genom att kontrollera ett data/tidsfält (eller någon annan redun- dans i M) fastställa att meddelandet M var äkta. På grund av att mottagaren l2 ej skulle kunna alstra ett sådant É, eftersom det kräver b', som enbart sändaren ll äger, sparar mottagaren l2 É som bevis för att sändaren ll sände meddelandet M.

Detta sätt att generera kvitteringar kan modifieras att fungera, när tätheten av lösningar (bråkdelen av med- delanden M mellan 0 och Zbi, som har lösningar på b * x = M) är mindre än l, förutsatt att den ej är allt- för liten. Meddelandet M sändes i klartextform eller krypteras på ovan beskrivet sätt, om smyglyssning är ett problem, och en följd av relaterade envägsfunktioner yl = Fl(M), yz = F2(M),... beräknas. Sändaren ll söker sedan framtaga en invers bild x för yl, y2,... till.dess att en finnes och kopplar sedan ihop det motsvarande 2 med M som en kvittering. Mottagaren 12 beräknar M' = É * É och kontrollerar att M' = yi, där i ligger inom något godtagbart område. 7819478--3 29 Följden av envägsfunktioner kan vara så enkel som: Fi(M) F(M) + i (43) eller Fi(M) F(M + i) (44) där F(*) är en envägsfunktion. Det är nödvändigt att området för F(*) har åtminstone 2100 värden för att gäcka förfalskningsförsök genom gissning och kontroll.

Det är också möjligt att kombinera meddelandet och kvitteringen som en enda meddelande-kvitteringspost. Om det godtagbara området för i ligger mellan 0 och 21-1 samt meddelandet är J bitar långt, så kan ett enda tal, som är J + I bitar långt, representera både meddelandet och i. Sändaren ll kontrollerar en lösning É * É å S för vart och ett av de 21 värden av S som erhålles när exempelvis de första J bitarna i S sättes lika med meddelandet och de sista I bitarna i S är obundna. Den första lösningen É av detta slag'överföres till mottagaren 12 såsom med- delandet-kvitteringen. Mottagaren l2 âtervinner S genom att beräkna den skalära produkten av den allmänt tillgäng- liga nyckeln É och meddelande-kvitteringskombinationen š och kvarhåller ae första J bitarna i s, erhållet på så sätt. Meddelandets äkthet bekräftas av förekomsten av passande redundans i meddelandet, antingen naturlig redundans, om meddelandet uttryckes på ett naturligt språk, såsom engelska, eller konstgjord redundans, såsom tillägget av ett datum-tidsfält i meddelandet.

Redundans användes här i informationsteorins [Claude E Shannon, "The Mathematical Theory of Communication", Bell System Technical Journal, volym 27, sid 379 och 623, l948] och komplexitetsteorins [Gregory J Chaitin "On the Length of Programs for Computing Finite Binary Sequences", Journal of the Association for Computing Machinery, volym 13, sid. 547, 1966] mening för mätning av strukturen (av- vikelse från fullständig slumpmässighet och oförutsägbar- het) i ett meddelande. En källa för meddelanden uppvisar ingen redundans, enbart om alla tecken uppträder med samma 78194784: sannolikhet. Om det är möjligt att gissa tecknen i med- delandet i bättre utsträckning än med rent slumpmässig framgång, uppvisar källan redundans och takten, i vilken en hypotetisk spelare kan få sin förmögenhet att växa, är det kvantitativa måttet på redundans. [Thomas M Cover' and Roger C King, “A Convergent Gambling Estimate of the Entropy of English", Technical Report #22, Statistics Department, Stanford University, 1 november 1976.] Män- niskor kan lätt bekräfta ett meddelandes giltighet genom utförande av en redundanskontroll (exempelvis fastställa huruvida meddelandet utgör grammatikaliskt korrekt engel- ska). Genom att simulera spelsituationen är det möjligt för en maskin att bekräfta giltigheten av huruvida ett meddelande uppvisar den för en uppgiven källa tillämpliga redundansen.

Det finns många sätt att realisera denna form av uppfinningen. En del av dechiffreringsnyckeln D skulle kunna vara allmän kunskap snarare än hemlig sådan, förut- satt att den undanhållna delen av D hindrar smyglyssnaren 13 att återvinna klartextmeddelandet X.

Variationer på den ovan beskrivna utföringsformen är möjliga. I vissa tillämpningar kommer det exempelvis att visa sig värdefullt att låta den i:te mottagaren i syste- met alstra en falluckeränselvektor É(i) placera vektorn eller en förkortad representation av vektorn i ett allmänt tillgängligt register eller en katalog. En sändare; som önskar upprätta en skyddad kanal, (i) enligt ovan samt kommer då att använda Ä som chiffreringsnyckel för sändning till den i:te mottagaren. Fördelen är den att den i:te mottagaren, när han väl har bevisat sin identi- tet för systemet genom användning av sitt körkort, sitt fingeravtryck, etc, kan bevisa sin identitet för sändaren genom sin förmåga att dechiffrera data, vilka krypterats med hjälp av chiffreringsnyckeln É(i).

Claims (7)

1. 0 15 20 25 7810478-3 ål PATENTKRAV l. Anordning för dechiffrering av ett chiffrerat meddelande, vilket mottages över en oskyddad kommunika- tionskanal, vilken anordning har en ingång kopplad att mottaga det chiffrerade meddelandet, vilket är chiffre- rat medelst en chiffreringstransformation, i vilken ett meddelande, som skall hållas hemligt,transformeras med en känd chiffreringsnyckel, har en annan ingång kopplad att mottaga en hemlig dechiffreringsnyckel samt har en utgång för alstring av meddelandet, k ä n n e t e c k- n a d av organ för invertering av chiffreringstransfor- mationen, vilka organ har en ingång kopplad att mottaga det chiffrerade meddelandet, en annan ingång kopplad att mottaga den hemliga dechiffreringsnyckeln samt en utgång för alstring av inversen till det chiffrerade meddelandet, samt organ för alstring av meddelandet, vilka organ har en ingång kopplad att mottaga inversen till det chiffre- rade meddelandet och en utgång för alstring av meddelan- det, varvid den hemliga dechiffreringsnyckeln är beräk- ningsmässigt ogörlig att alstra ur den kända chiffre- ringsnyckeln samt chiffreringstransformationen är beräk- ningsmässigt ogörlig att invertera utan den hemliga de- chiffreringsnyckeln.

2. Anordning enligt patentkravet 1, k ä n n e- t e c k n a d därav, att organen för invertering av chiffreringstransformationen innefattar organ för be- räkning av S' = 1/w * S modulo m samt att organen för alstring av meddelandet innefattar organ för att sätta xi lika med heltalsdelen av n [S' - 2 xj * ai']/ai' för i = n,n-1,... l j=i+1 där m och w är stora heltal och w är ínverterbar modulo m, och där S' är inversen av det chiffrerade meddelandet S, som är definierat genom chiffreringstransformationen Vâïüåïâmå 3 2 s=š=~šš där meddelandet är representerat som en n-dimensionell vektor §, i vilken varje element xi är ett heltal mellan 0 och ß, varvid L är ett heltal, och där den kända chiff- reringsnyckeln är representerad som en n-dimensionell vektor Ä, varvid elementen i Ä är definierade genom ai = (W * aj' modulo m) + km för i = l,2,...n där k och n är heltal och den hemliga dechiffrerings- nyckeln är m, w och š', där E' är en n-dimensionell vektor, vars element är definierade genom i-l ai' > ß l_ aj för i = l,2,...n. 3-1

3. Anordning enligt patentkravet l, k ä n n e- t e c k n a d därav, att organen för invertering av chiffreringstransformationen innefattar organ för be- räkning av S' = bs modulo m och att organen för alstring av meddelandet innefattar organ för att sätta xi = l, om och endast om kvoten S'/ai är ett heltal, och sätta xi = 0, om kvoten S'/ai ej är ett heltal, där b och m är stora heltal och m är ett sådant primtal, att n m > ¶ a.' i=1 1 där n är ett heltal och den hemliga dechiffreringsnyckeln är b, m och ä', där Ä' är en n-dimensionell vektor, i vilken varje element ai' är ett relativt primtal, och där S“ är inversen av det chiffrerade meddelandet S, som är definierat genom chiffreringstransformationen S = a * x * där meddelandet är representerat som en n-dimensionell vektor §, i vilken varje element xi är 0 eller l, och den kända chiffreringsnyckeln är representerad som den n-dimensionella vektorn E, vars element är definierade 10 15 20 25 30 35 7810478-3 53 genom ai = logbai' modulo m för i = l,2,...n.

4. Anordning för chiffrering av ett meddelande, som skall sändas över en oskyddad kommunikationskanal, vilken anordning har en ingång kopplad att mottaga ett meddelande, som skall hållas hemligt, en annan ingång kopplad att mot- taga en känd chiffreringsnyckel samt en utgång för alstring av det chiffrerade meddelandet, k ä n n e t e c k n a d av organ för mottagning av meddelandet och omvandling av detta till en vektor, som representerar meddelandet, organ för mottagning av den kända chiffreringsnyckeln och omvand- ling av denna till en vektor, som representerar den kända chiffreringsnyckeln, samt organ för alstring av det chiff- rerade meddelandet genom beräkning av skalärprodukten av den meddelandet representerande vektorn och den kända _ chiffreringsnyckeln representerande vektorn, vilka organ har en ingång kopplad att mottaga den meddelandet repre- senterande vektorn, en annan ingång kopplad att mottaga den kända chiffreringsnyckeln representerande vektorn och en utgång för alstring av det chiffrerade meddelandet.

5. Sätt för skyddad kommunikation över en oskyddad kommunikationskanal av den typ som förmedlar ett med- delande från en sändare till en mottagare, k ä n n e- t e c k n a t av åtgärderna att alstra en hemlig de- chiffreringsnyckel vid mottagaren, att alstra en känd chiffreringsnyckel vid mottagaren på så sätt, att den hemliga dechiffreringsnyckeln är beräkningsmässigt ogör- lig att generera ur den kända chiffreringsnyckeln, att sända den kända chiffreringsnyckeln från mottagaren till sändaren, att mottaga meddelandet och den kända chiffre- ringsnyckeln vid sändaren och alstra ett chiffrerat med- delande genom en sådan chiffreringstransformation som är beräkningsmässigt ogörlig att invertera utan den hemliga dechiffreringsnyckeln, att sända det chiffrerade med- delandet från sändaren till mottagaren samt att mottaga det chiffrerade meddelandet och den hemliga dechiffre- ringsnyckeln vid mottagaren och transformera det chiffre- rade meddelandet med den hemliga dechiffreringsnyckeln 7ßlßffié7â~š U1 10 15 20 34 för generering av meddelandet.

6. Sätt enligt patentkravet 5, k ä n n e t e c k n a t av åtgärden att bestyrka mottagarens identitet för sända- ren genom mottagarens förmåga att dechiffrera det chiffre- rade meddelandet.

7. Sätt för skyddad kommunikation över en oskyddad kommunikationskanal av den typ, som förmedlar ett meddelande från en sändare till en mottagare, k ä n n e t e c k n a t av åtgärderna att alstra en hemlig nyckel vid sändaren, att alstra en känd nyckel vid sändaren på så sätt, att den hemliga nyckeln är beräkningsmässigtogörlig att generera ur den kända nyckeln, att mottaga meddelandet och den hemliga nyckeln vid sändaren och alstra en med- delande-kvittering på_så sätt, att att meddelande-kvitte- ringen är beräkningsmässigt ogörlig att generera ur den kända nyckeln, att sända den kända nyckeln och meddelande- kvitteringen från sändaren till mottagaren, att vid motta- garen mottaga den kända nyckeln och meddelande-kvitte- ringen samt transformera meddelande-kvitteringen med den kända nyckeln för generering av en transformerad meddelande-kvittering samt att bekräfta giltigheten av den transformerade meddelande-kvitteringen genom kon? troll med avseende på redundans.