Das RSA-Verfahren - Einsatz von Standardalgorithmen in der Kryptologie

Transkript

1 Das RSA-Verfahren - Einsatz von Standardalgorithmen in der Kryptologie 2 Verschlüsseln durch modulares Rechnen modulares Addieren modulares Multiplizieren modulares Potenzieren Verschlüsselung mit öffentl. Schlüssel (d, m) z (z + d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z + e) % m Verschlüsselung mit öffentl. Schlüssel (d, m) z (z * d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z * e) % m Verschlüsselung mit öffentl. Schlüssel (d, m) z (z ** d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z ** e) % m Zielsetzung: Am Beispiel kryptologischer Verfahren Relevanz von Algorithmen erkennen Bedeutung schneller Algorithmen erleben Standardalgorithmen kennen lernen

2 3 Orientierung Im folgenden soll das RSA-Verfahren genauer untersucht werden. Dabei sollen insbesondere die algorithmischen Grundlagen analysiert werden. Die mathematischen Aspekte werden kurz angesprochen, aber nicht weiter vertieft. Die Vorgehensweise folgt einem Vorschlag von Witten und Schulz, der in den folgenden Artikeln beschrieben wird: H. Witten, R.-H. Schulz: RSA & Co. in der Schule, Teil1. LOG IN 140 S. 45 ff. H. Witten, R.-H. Schulz: RSA & Co. in der Schule, Teil2. LOG IN 143 S. 50 ff. 4 Verschlüsseln mit modularer Addition

3 5 Den Anfang macht Caesar PYLZFOWBNQCYBUVNCBLGYCH YAYBYCGMWBLCZNYHNTCZYLN VDOYH FDHVDU A B C D E F G H I J K L M N O P Q R S T U V W X Y Z D E F G H I J K L M N O P Q R S T U V W X Y Z A B C Quelltext: SALVECAESAR Schlüssel: D Geheimtext: VDOYHFDHVDU 6 Caesar-Verfahren mit Zahlen Umwandlung von Zeichen in Zahlen A 00 B 01 Z 25 A#S#T#E#R#I#X 00#18#19#04#17#08#23 Verarbeitung von Zahlen (0 + 3) % 26 = 3 (18 + 3) % 26 = 21 (23 + 3) % 26 = 0 00#18#19#04#17#08#23 03#21#22#07#20#11#00 Verarbeitung von Zahlen (3 + 23) % 26 = 0 ( ) % 26 = 18 (0 + 23) % 26 = 23 03#21#22#07#20#11#00 00#18#19#04#17#08#23 Decodierung: Umwandlung von Zahlen in Zeichen A 00 B 01 Z 25 00#18#19#04#17#08#23 A#S#T#E#R#I#X

4 7 Modulares Rechnen - Addition Es ist jetzt 14 Uhr. In 22 Stunden gibt es wieder Mittagessen = 12 Uhrenaddition: ( ) % 24 = 36 % 24 = 12 %: Rest bei der ganzzahligen Division Bsp.: 12 % 4 = 0; 12 % 5 = 2; 12 % 17 = 12 Verarbeitung von Zahlen Verarbeitung von Zahlen (0 + 3) % 26 = 3 (18 + 3) % 26 = 21 (23 + 3) % 26 = 0 (3 + 23) % 26 = 0 ( ) % 26 = 18 (0 + 23) % 26 = 23 00#18#19#04#17#08#23 03#21#22#07#20#11#00 03#21#22#07#20#11#00 00#18#19#04#17#08#23 8 Caesar-Variationen Umwandlung von Zeichen in Zahlen A 01 B 02 Z 26 A#S#T#E#R#I#X Verarbeitung von Zahlen (d, m) = (9, 30) Verarbeitung von Zahlen (e, m) = (21, 30) Decodierung: Umwandlung von Zahlen in Zeichen (1 + 9) % 30 = 10 (19 + 9) % 30 = 28 (24 + 9) % 30 = 3 ( ) % 30 = 1 ( ) % 30 = 19 (3 + 21) % 30 = 24 A 01 B 02 Z 26 10#28#01#16#29#20#03 10#28#01#16#29#20#03 A#S#T#E#R#I#X

5 9 Caesar-Variationen Blocklänge: 2 AA 0101 AB 0102 ZZ 2626 AS#TE#RI#X 0119#2005#1809#24 (d, m) = (2102, 3000) (e, m) = (898, 3000) Decodierung: Blocklänge: 2 ( ) % 3000 = 2221 ( ) % 3000 = 1107 ( ) % 3000 = 119 ( ) % 3000 = 2005 AA 0101 AB 0102 ZZ #2005#1809# #1107#911# #1107#911# #2005#1809# #2005#1809#24 AS#TE#RI#X 10 Aufgabe Blocklänge: 2 AA 0101 AB 0102 ZZ 2626 DO#MS#PE#YE#R (d, m) = (567, 2911) (e, m) = (2344, 2911) Decodierung Blocklänge: 2 AA 0101 AB 0102 ZZ 2626

6 11 Aufgabe A 01 B 02 Z 26 (d, m) = (99, 411) (e, m) = 103#114#112#107#114#105 Decodierung Blocklänge: 2 A 01 B 02 Z Additives Chiffrierverfahren Blocklänge: 2 AA 0101 AB 0102 ZZ 2626 AS#TE#RI#X 0119#2005#1809#24 (d, m) = (2102, 3000) (e, m) = (898, 3000) z (z + d) % m 0119#2005#1809#24 z < m m > maxcode 2221#1107#1010#2126 z (z + e) % m 2221#1107#1010#2126 (d + e) % m = #2005#1809#24 Decodierung: Blocklänge: 2 AA 0101 AB 0102 ZZ #2005#1809#24 AS#TE#RI#X

7 13 Additives Chiffrierverfahren Blocklänge: 2 b z eindeutige Codierung von Zeichenblöcken AS#TE#RI#X 0119#2005#1809#24 (d, m) = (2102, 3000) (e, m) = (898, 3000) z (z + d) % m 0119#2005#1809#24 z < m m > maxcode 2221#1107#1010#2126 z (z + e) % m 2221#1107#1010#2126 (d + e) % m = #2005#1809#24 Decodierung Blocklänge: 2 z b Decodierung als Umkehrung der Codierung 0119#2005#1809#24 AS#TE#RI#X 14 Additives Chiffrierverfahren Korrektheit: Die Entschlüsselung macht die Verschlüsselung rückgängig: z (z + d) % m ((z + d) % m + e) % m = (z + (d + e) % m) % m = z % m = z (d, m) = (2102, 3000) (e, m) = (898, 3000) z (z + d) % m 0119#2005#1809#24 m ist größer als die maximale Codezahl 2221#1107#1010#2126 z (z + e) % m 2221#1107#1010#2126 d + e = m 0119#2005#1809#24 Sicherheit: Das "additive" Chiffrierverfahren ist nicht sicher, da man aus dem öffentlichen Schlüssel sofort den privaten Schlüssel bestimmen kann.

8 15 Prinzip von Kerckhoff Die Sicherheit eines Kryptosystems darf nicht von der Geheimhaltung des Algorithmus abhängen. Die Sicherheit darf sich nur auf die Geheimhaltung des Schlüssels gründen. Vgl. A. Beutelspacher: Kryptologie. Vieweg 1996 Das Prinzip wurde erstmals formuliert im Buch "La cryptographie militaire" von Jean Guillaume Hubert Victor Francois Alexandre Auguste Kerckhoffs van Nieuwenhof (1835 bis 1903). Sicherheit: Das "additive" Chiffrierverfahren erfüllt nicht das Prinzip von Kerckhoff. 16 Verschlüsseln mit modularer Multiplikation

9 17 Multiplikatives Chiffrierverfahren b z eindeutige Codierung von Zeichenblöcken A#S#T#E#R#I#X (d, m) = (7, 30) (e, m) = (13, 30) z < m z (z * d) % m 07#13#20#05#06#03#18 z (z * e) % m 07#13#20#05#06#03#18 (d * e) % m = 1 Decodierung z b Decodierung als Umkehrung der Codierung A#S#T#E#R#I#X 18 Aufgabe b z eindeutige Codierung von Zeichenblöcken C#A#E#S#A#R (d, m) = (7, 30) (e, m) = (13, 30) Decodierung z < m z (z * d) % m z (z * e) % m (d * e) % m = 1 z b Decodierung als Umkehrung der Codierung

10 19 Aufgabe (d, m) = (12, 35) (e, m) = Decodierung b z eindeutige Codierung von Zeichenblöcken z < m z (z * d) % m z (z * e) % m 9#36#15#5#8#3#20#14#3 (d * e) % m = 1 z b Decodierung als Umkehrung der Codierung 20 Modulares Inverses Zwei Zahlen a, b heißen modular invers zueinander bzgl. des Moduls m genau dann, wenn gilt: (a * b) % m = 1. Bsp.: (7 * 13) % 30 = 1. Also: 13 ist das modulare Inverse zu 7 bzgl. des Moduls m = 30. Beachte: Wenn a und m teilerfremd sind, dann existiert das modulare Inverse von a bzgl. m. (d, m) = (7, 30) (e, m) = (13, 30) z (z * d) % m z < m; ggt(d, m) = 1 07#13#20#05#06#03#18 z (z * e) % m 07#13#20#05#06#03#18 (d * e) % m = 1 Das multiplikative Chiffrierverfahren funktioniert nur, wenn man zwei Zahlen d und e findet mit (d * e) % m = 1.

11 21 Aufgabe Untersuchen Sie, zu welchen der folgenden Zahlen d es ein modulares Inverses e bzgl. des Moduls 12 gibt: d = 2 d = 3 d = 4 d = 5 d = 6 d = 7 d = 8 d = 9 d = 10 d = Korrektheit Korrektheit: Die Entschlüsselung macht die Verschlüsselung rückgängig: z (z * d) % m ([(z * d) % m] * e) % m = (z * [(d * e) % m]) % m = (z * 1) % m = z (d, m) = (7, 30) (e, m) = (13, 30) z (z * d) % m z < m; ggt(d, m) = 1 07#13#20#05#06#03#18 z (z * e) % m 07#13#20#05#06#03#18 (d * e) % m = 1 Beispiel: Verschlüsseln: 9 (9 * 7) % 30 Entschlüsseln: (9 * 7) % 30 ([(9 * 7) % 30] * 13) % 30 = [(9 * 7) * 13)] % 30 = [9 * (7 * 13)] % 30 = (9 * [(7 * 13) % 30]) % 30 = (9 * 1) % 30 = 9

12 23 Aufgabe Der Korrektheitsnachweis nutzt einige Regeln zum Rechnen mit modularer Multiplikation aus, u. a.: (a % m) * (b % m) = ((a % m) * b) % m = (a * b) % m 24 Sicherheit Sicherheit: Die Sicherheit des multiplikativen Chiffrierverfahrens hängt davon ab, ob man zur Zahl d aus dem öffentlichen Schlüssel das modulare Inverse e bzgl. m bestimmen kann. (d, m) = (7, 30) (e, m) = (13, 30) z (z * d) % m z < m; ggt(d, m) = 1 07#13#20#05#06#03#18 z (z * e) % m 07#13#20#05#06#03#18 (d * e) % m = 1

13 25 Bestimmung des modularen Inversen Ein naiver Ansatz besteht darin, der Reihe nach alle Zahlen durchzuprobieren, bis man das gewünschte Ergebnis gefunden hat. def modinvnaiv(d, m): gefunden = False e = 1 while not gefunden: if (d*e)%m == 1: gefunden = True else: e = e + 1 return e 26 Praktisch unbrauchbarer Algorithmus Für größere Zahlen ist der naive Algorithmus unbrauchbar. Für die unten gezeigten Zahlen benötigt ein Rechner länger, als das Universum alt ist. Beispiel: d = 49 m = modinvnaiv(d, m) Um (= 10 7 ) Zahlen durchzuprobieren, benötigt ein Rechner derzeit etwas 10s. Da das erwartete Ergebnis eine 54-stellige Zahl ist, wird der Rechner eine Zeit benötigen, die in der Größenordnung von s liegt. Dies sind mehr als Jahre. Bedenkt man, dass das Universum ein Alter von etwa Jahre hat, dann zeigt sich, wie ungeeignet das naive Vorgehen ist.

14 27 Bestimmung des modularen Inversen Mit Hilfe der Ausgaben des erweiterten euklidischen Algorithmus lässt sich das modulare Inverse bestimmen: Beispiel 1: modinv(41, 192) Beachte: ggt(41, 192) = 1. Das modulare Inverse von 41 bzgl. 192 kann bestimmt werden. Der Algorithmus von Bachet liefert zu den Eingaben (41, 192) die Ausgabe (1, 89, -19). Also: 1 = 89*41 + (-19)*192 Also: (89*41) % 192 = (1 - (-19)*192) % 192 = (1 + 19*192) % 192 = 1 Also: modinv(41, 192) = 89 Beispiel 2: modinv(17, 192) Beachte: ggt(17, 192) = 1. Das modulare Inverse von 17 bzgl. 192 kann bestimmt werden. Der Algorithmus von Bachet liefert zu den Eingaben (17, 192) die Ausgabe (1, -79, 7). Also: 1 = (-79)*17 + 7*192 Also: *17 = ( )*17 + 7*192 Also: *17-7*192 = 113*17 Also: (113*17) % 192 = (1 + 10*192) % 192 = 1 Also: modinv(17, 192) = 113 Beispiel 3: modinv(320, 884) Beachte: ggt(320, 884) = 4 > 1. Es gibt kein modulares Inverses von 320 bzg Sicherheit Sicherheit: Das "multiplikative" Chiffrierverfahren ist nicht sicher, da man aus dem öffentlichen Schlüssel mit Hilfe des erweiterten euklidischen Algorithmus den privaten Schlüssel recht schnell bestimmen kann. (d, m) = (7, 30) (e, m) = (13, 30) z (z * d) % m z < m; ggt(d, m) = 1 07#13#20#05#06#03#18 z (z * e) % m 07#13#20#05#06#03#18 (d * e) % m = 1

15 29 Sicherheit Sicherheit: Das "multiplikative" Chiffrierverfahren ist nicht sicher, da man aus dem öffentlichen Schlüssel mit Hilfe des erweiterten euklidischen Algorithmus den privaten Schlüssel recht schnell bestimmen kann. Die "Unsicherheit" basiert hier also darauf, dass man ein schnelles Verfahren gefunden hat, um das modulare Inverse einer Zahl zu bestimmen. 30 Verschlüsseln mit modularem Potenzieren

16 31 Verschlüsseln d. modulares Rechnen modulares Addieren modulares Multiplizieren modulares Potenzieren Verschlüsselung mit öffentl. Schlüssel (d, m) z (z + d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z + e) % m Verschlüsselung mit öffentl. Schlüssel (d, m) z (z * d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z * e) % m Verschlüsselung mit öffentl. Schlüssel (d, m) z (z ** d) % m Entschlüsselung mit privat. Schlüssel (e, m) z (z ** e) % m 32 Verschlüsseln d. modulares Potenzieren b z eindeutige Codierung von Zeichenblöcken A#S#T#E#R#I#X (d, m) = (13, 77) (e, m) = (37, 77) z (z ** d) % m z < m 01#61#69#26#46#58#52 z (z ** e) % m 01#61#69#26#46#58#52 (d * e) % φ(m) = 1 Decodierung z b Decodierung als Umkehrung der Codierung A#S#T#E#R#I#X

17 33 Schlüsselerzeugung Vorbereitung: Wähle zwei verschiedene Primzahlen p und q. Berechne m = p*q. Berechne φ(m) = (p-1)*(q-1). Wähle eine Zahl d, die teilerfremd zu φ(m) ist. Berechne e so, dass (d*e) % φ(m) = 1 ist. ("Vernichte p, q, φ(m).") Schlüssel: Der öffentliche Schlüssel ist (d, m). Der private Schlüssel ist (e, m). Beispiel: p = 7; q = 11 m = 77 φ(m) = 60 z. B. d = 13 e = 37 (13, 77) (37, 77) 34 Aufgabe b z eindeutige Codierung von Zeichenblöcken A#S#T#E#R#I#X (d, m) = (13, 77) (e, m) = (37, 77) Decodierung z (z ** d) % m z < m z (z ** e) % m (d * e) % φ(m) = 1 z b Decodierung als Umkehrung der Codierung

18 35 Aufgabe (d, m) = (7, 55) (e, m) = Decodierung b z eindeutige Codierung von Zeichenblöcken z (z ** d) % m z < m z (z ** e) % m 28#25#02#25#04#07 (d * e) % φ(m) = 1 z b Decodierung als Umkehrung der Codierung 36 Korrektheit des RSA-Verfahrens Behauptung: Seien (d, m) und (e, m) ein öffentlicher und zum RSA- Verfahren. Sei z eine natürliche Zahl mit z < m. Dann gilt: (z d % m) e % m = z (d, m) = (13, 77) (e, m) = (37, 77) z (z ** d) % m z < m 01#61#69#26#46#58#52 z (z ** e) % m 01#61#69#26#46#58#52 (d * e) % φ(m) = 1

19 37 Korrektheit des RSA-Verfahrens Behauptung: Seien (d, m) und (e, m) ein öffentlicher und zum RSA- Verfahren. Sei z eine natürliche Zahl mit z < m. Dann gilt: (z d % m) e % m = z Beweis: Nach den Vorgaben zur Schlüsselerzeugung gilt: m = p q; ϕ(m) = (p-1) (q-1); (d e) % ϕ(m) = 1. Da (d e) % ϕ(m) = 1, gibt es eine natürliche Zahl k mit d e = k ϕ(m) + 1. Nach dem Satz (s. u.) gilt dann (z k ϕ(m) + 1 ) % m = z. Hiermit folgt jetzt: (z d % m) e % m = (z d ) e % m = (z d e ) % m = (z k ϕ(m) + 1 ) % m = z Satz Seien p und q Primzahlen. Dann gilt für alle natürlichen Zahlen z und alle natürlichen Zahlen k: z k(p-1)(q-1)+1 % (pq) = z 38 Sicherheit des RSA-Verfahrens Bedingung: Die Sicherheit hängt davon ab, ob man in angemessener Zeit den Bestandteil m des öffentlichen Schlüssels in seine Primfaktoren zerlegen kann. Vorbereitung: Wähle zwei verschiedene Primzahlen p und q. Berechne m = p*q. Berechne φ(m) = (p-1)*(q-1). Wähle eine Zahl d, die teilerfremd zu φ(m) ist. Berechne e so, dass (d*e) % φ(m) = 1 ist. ("Vernichte p, q, φ(m).") Schlüssel: Der öffentliche Schlüssel ist (d, m). Der private Schlüssel ist (e, m). Beispiel: p = 7; q = 11 m = 77 φ(m) = 60 z. B. d = 13 e = 37 (13, 77) (37, 77)

20 39 Sicherheit des RSA-Verfahrens Sicherheit: Bis heute gibt es keine schnellen Algorithmen, um eine Zahl in ihre Primfaktoren zu zerlegen. Das RSA-Verfahren ist bei groß gewählten Primzahlen recht sicher, da man aus dem öffentlichen Schlüssel den privaten Schlüssel bisher nicht in angemessener Zeit bestimmen kann. 40 Aufgabe Gibt es eigentlich genug Primzahlen in der gewünschten Größenordnung? Untersuchen Sie, wie viele Primzahlen es bis zu einer gegebenen Zahl x gibt.

21 41 Informationen Gibt es genug Primzahlen in der gewünschten Größenordnung? Für eine gegebene Zahl x gibt es ungefähr x/ln(x) Primzahlen, die kleiner als x sind. Man wählt heute Primzahlen, die mit mindestens 512 Bit dargestellt werden. Das sind Zahlen in der Größenordnung Da /ln(2 512 ) etwa die Größenordnung hat (das ist eine Zahl mit 150 Dezimalstellen), sollten genügend Primzahlen für die Verschlüsselung zur Verfügung stehen. Wie bestimmt man große Primzahlen? Zur Bestimmung großer Primzahlen geht man wie folgt vor. Man erzeugt eine Zufallszahl im gewünschten Größenbereich und testet, ob es sich um eine Primzahl handelt. Solche Primzahltests kann man sehr schnell mit geeigneten Verfahren durchführen. Da es sehr viele Primzahlen im gewünschten Bereich gibt (s. o.), muss man nicht in der Regel allzu viele Zahlen testen. 42 Fazit Algorithmen spielen bei der Entwicklung von Chiffriersystemen eine große Rolle. Im Fall des RSA-Verfahrens benötigt man einerseits gute Algorithmen, um das Verfahren überhaupt effizient durchführen zu können (z. B. schnell ein modulares Inverses bestimmen; schnell eine modulare Potenz bestimmen). Andererseits ist das Verfahren so angelegt, dass bestimmte Operation mit den bisher bekannten Algorithmen mit vertretbarem Rechenaufwand nicht durchgeführt werden können.

22 43 Literaturhinweise Folgende Materialien wurden hier benutzt: H. Witten, R.-H. Schulz: RSA & Co. in der Schule, Teil1. LOG IN 140 S. 45 ff H. Witten, R.-H. Schulz: RSA & Co. in der Schule, Teil2. LOG IN 143 S. 50 ff K. Merkert: