Elliptische Kurven in der Kryptographie

Transkript

1 Elliptische Kurven in der Kryptographie Sandro Schugk und Günther Nieß 25. Januar 2007

2 Inhalt Motivation Elliptische Kurven über R Elliptische Kurven über Z p Elliptische Kurven über K Kryptoanalyse Fazit

3 Motivation asymmetrisches Verfahren 1985 von Neal Koblitz und Victor S. Miller zeitgleich entwickelt sicherer und schneller darauf aufbauende Krypto-Systeme: hyperelliptisch Torus basierend

4 Elliptische Kurven über R

5 Elliptische Kurven über R 10 y 2 = x y 2 = x y 2 = x 3 3 x y 2 = x 3 4 x

6 Elliptische Kurven über R Definition Seien a, b R Konstanten, so dass 4a b 2 0 gilt. Eine nicht-singuläre elliptische Kurve ist die Lösungsmenge (x, y) R 2 der Gleichung y 2 = x 3 + ax + b zusammen mit dem Punkt im Unendlichen O.

7 Elliptische Kurven über R Beispiele für singuläre elliptische Kurven 10 y 2 = x 3 10 y 3 = x 2 3 x

8 Addition 10 5 Q R P (2.35, 1.86) Q ( 0.1, 0.836) R (3.89, 5.62) R (3.89, 5.62) 0 5 P R

9 Addition P + Q = R mit P = (x 1, y 1 ), Q = (x 2, y 2 ) und R = (x 3, y 3 ) Gerade g aus Punkten P und Q bestimmen g(x) = mx + n, m = y 2 y 1 x 2 x 1, n = y 1 mx 1 in Kurvengleichung einsetzen und lösen Punkt R bestimmen x 3 m 2 x 2 + (a 2mn)x + b n 2 = 0 x 3 = m 2 x 1 x 2 y 3 = m(x 1 x 3 ) y 1

10 Verdoppeln 10 5 R P P (2, 2.65) R ( 1.11, 2.64) R ( 1.11, 2.64) 0 5 R

11 Verdoppeln P + P = 2P = R mit P = (x 1, y 1 ), R = (x 3, y 3 ) und y 1 0 Tangentengleichung finden 2y dy dx = 3x 2 + a Punkt R bestimmen m = 3x a 2y 1 x 3 = m 2 x 1 x 2 y 3 = m(x 1 x 3 ) y 1

12 Verdoppeln P + P = 2P = O mit P = (x 1, 0) 10 P (2.81, 0) 5 0 P

13 Inverses 10 P + ( P) = O 5 P 0 5 P

14 Gruppengesetze Abgeschlossenheit Assoziativität P + Q = R (P + Q) + R = P + (Q + R) neutrales Element inverses Element Kommutativität P + O = P P + ( P) = O P + Q = Q + P

15 Elliptische Kurven über Z p Definition Sei p > 3 ein Primzahl. Die elliptische Kurve y 2 = x 3 + ax + b über Z p ist die Menge alle Lösungen (x, y) Z 2 p zur Kongruenz y 2 x 3 + ax + b (mod p) zusammen mit dem Punkt im Unendlichen O. Dabei sind a, b Z p Konstanten, so dass 4a b 2 0 (mod p) gilt.

16 Gruppenoperation P + Q = R mit P = (x 1, y 1 ), Q = (x 2, y 2 ) und R = (x 3, y 3 ) x 3 = m 2 x 1 x 2 y 3 = 1 x 3 ) y 1 m(x { m = (y 2 y 1 )(x 2 x 1 ) 1, P Q (3x1 2 + a)(2y 1) 1, P = Q Sonderfall y 2 = y 1 P + Q = O

17 Beispiel y 2 = x 3 + x + 6 über Z 11 x x 3 + x + 6 (mod 11) quad. Rest y 0 6 no 1 8 no 2 5 yes 4,7 3 3 yes 5,6 4 8 no 5 4 yes 2,9 6 8 no 7 4 yes 2,9 8 9 yes 3,8 9 7 no 10 4 yes 2,9

18 Beispiel: ElGamal-Verschlüsselung α = (2, 7) 2α = (5, 2) 3α = (8, 3) 4α = (10, 2) 5α = (3, 6) 6α = (7, 9) 7α = (7, 2) 8α = (3, 5) 9α = (10, 9) 10α = (8, 8) 11α = (5, 9) 12α = (2, 4) a = 1, b = 6, p = 11 Bob s Schlüssel α = (2, 7), β = (7, 2) s = 7 (privat) Alice: x = (10, 9), k = 3 y 1 = 3(2, 7) = (8, 3) y 2 = (10, 9) + 3(7, 2) = (10, 9) + (3, 5) = (10, 2)

19 Beispiel: ElGamal-Entschlüsselung α = (2, 7) 2α = (5, 2) 3α = (8, 3) 4α = (10, 2) 5α = (3, 6) 6α = (7, 9) 7α = (7, 2) 8α = (3, 5) 9α = (10, 9) 10α = (8, 8) 11α = (5, 9) 12α = (2, 4) Bob empfängt: y = ((8, 3), (10, 2)) x = (10, 2) 7(8, 3) = (10, 2) (3, 5) = (10, 2) + (3, 6) = (10, 9)

20 Beispiel: Diffie-Hellman-Schlüsselvereinbarung Alice Bob einigen sich p = 149 a = 5, b = 6 G = (66, 34) r = 71 E = 142 zufällig s a = 18 s b = 69 öffentlich W a = s a G = (27, 56) W b = s b G = (66, 115) tauschen W b W a gemeinsames k k = s a W b = (27, 93) k = s b W a = (27, 93)

21 Parameter zusammengefasst allgemein: E elliptische Kurve a, b Koeffizienten a und b p Größe zugrundeliegender Primzahlkörper Z p G Generatorpunkt auf der elliptischen Kurve r Ordnung des Punktes G, r muss prim sein Schlüssel: s privat W öffentlich erzeugt durch: W = s G

22 Skalare Multiplikation von Punkten Beispiel: n = 25 P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P + P 2P + 2P + 2P + 2P + 2P + 2P + 2P + 2P + 2P + 2P + 2P + 2P + P 4P + 4P + 4P + 4P + 4P + 4P + P 8P + 8P + 8P + P 16P + 8P + P 1 16P + 1 8P + 0 4P + 0 2P + 1 1P = 25P

23 Skalare Multiplikation von Punkten Für beliebiges n Binärdarstellung n = [b z b z 1... b 1 b 0 ] n P = b z [b z ] P + b z 1 [0b z ] P b 1 [00... b 1 0] P + b 0 [ b 0 ] P benötigte Operationen z Additionen für b z [b z ] P z Additionen für den Rest 2z Addition maximal für n 2 z

24 Punktkompression Problemstellung: Ein Punkt P = (x, y) wird durch 2n Bits dargestellt Die öffentliche Parameter (E ab, q, G, sg) = (a, b, q, G, W ) benötigen mehr als 6n Bits zur Repräsentation Lösung: Punktkompression als Funktion K : E \ {0} Z q Z 2, (x, y) (x, y mod 2 ) Für E(Z p ) mit p > 3 sind zwei elliptische Kurven isomorph, wenn gilt: u Z q : u a = a und u 2 b = b. Das Kryptosystem (a, b, q, G, W ) benötigt ungefähr 3n Bits.

25 Homogene Weierstraß Gleichung Definition: Sei K ein Körper und F (X, Y, Z) ein homogenes Polynom der Form F (X, Y, Z) = Y 2 Z + a 1 XYZ + a 3 YZ 2 X 3 a 2 X 2 Z a 4 XZ 2 a 6 Z 3 mit a 1, a 2, a 3, a 4, a 6 K, dann bezeichnen wir die Gleichung F (X, Y, Z) = 0 Y 2 Z + a 1 XYZ + a 3 YZ 2 = X 3 + a 2 X 2 Z + a 4 XZ 2 + a 6 Z 3 als homogene Weierstraß-Gleichung.

26 Singularität bei elliptischen Kurven Definition: Sei F (X, Y, Z) = 0 eine homogene Weierstraß Gleichung über dem Körper K, dann heißt sie singulär, wenn an einem Punkt alle Ableitungen verschwinden. Das heißt, wenn ein Punkt P = (x, y, z) K 3 existiert, bei dem gilt F F (x, y, z) = 0, X F (x, y, z) = 0, Y (x, y, z) = 0. Z Punkt im Unendlichen: Ist die Weierstraß-Gleichung nicht singulär, so folgt für Z = 0, daß die Lösungsmenge die Form 0 = (0, k, 0) für k K hat. Diese Menge nennt man Punkt im Unendlichen.

27 Elliptische Kurve über K Affine Weierstraß Gleichung: Eine Gleichung der Form Y 2 + a 1 XY + a 3 Y = X 3 + a 2 X 2 + a 4 X + a 6 mit a 1, a 2, a 3, a 4, a 6 K, heißt affine Weierstraß Gleichung. Elliptische Kurve über dem Körper K: Die Lösungsmenge L(K) K 2 einer nicht singulären affinen Weierstraß Gleichung bildet mit dem Punkt im Unendlichen eine elliptische Kurve: E(K) = L(K) {0}

28 Äquivalenz der Definitionen Elliptische Kurven über Z p m mit p 2: Die Funktion ϕ : E(K) E(K) mit ( (x, y) x, y a 1 2 x a ) 3 2 transformiert die affine Weierstraß Gleichung in die Form y 2 = x 3 + b 2 x 2 + b 4 x + b 6. Elliptische Kurven über Z p m mit p 2, 3: Die Funktion ψ : E(K) E(K) mit ( ) x 3b2 (x, y) , y transformiert die Gleichung von oben in die Form y 2 = x 3 + ax + b.

29 Ordnung einer elliptischen Kurven Satz von Hasse: Sei E eine elliptische Kurve über Z p (p Primzahl, p > 3) dann bezeichnet man als #E die Anzahl der Punkte auf E und es gilt: p p #E p p. Berechnung: Schoof-Algorithmus Laufzeit von O ( (log p) 8).

30 Kryptoanalyse bei elliptischen Kurven Klassische Verfahren: Brute-Force-Methode (Enumerationsverfahren) Babystep-Giantstep-Algorithmus Pollard-ρ-Methode Pollard-λ-Methode Pohling-Hellman-Verfahren Spezielle Algorithmen: Supersinguläre Kurven (MOV-Algorithmus) Anomale Kurven (SSSA-Algorithmus) = Index-Calculus-Algorithmus schlägt fehl

31 Parameter des Kryptosystems Grundkörper: Z p mit der Primzahl p N Z 2 m mit der natürlichen Zahl m N Härte des kryptographischen Systems Speicherbedarf Elliptische Kurve: Parameter a, b Z q bestimmen die elliptische Kurve. Generatorpunkt G E(Z q ) Schlüssel privater Schlüssel s Z q. öffentlicher Schlüssel W = s G.

32 Klassische Verfahren Brute Force: privater Schlüssel s muß groß sein. Babystep-Giantstep-Methode: Platzbedarf von O( n) n = ord(g) = min{n N : ng = 0} muß groß sein. Pollard-ρ und Pollard-λ-Methode: Laufzeit von O( n) Algorithmus parallelisierbar Pohling-Hellman-Verfahren Reduziert das Problem auf die Untergruppen von < G > n = ord(g) muß großen Primteiler haben.

33 MOV/Frey-Rück Methode Algorithmus Input: P, Q E(Z q ), der Ordnung r, so daß Q = λp. Output: Diskreter Logarithmus λ von Q zur Basis P. 1. Konstruiere einen Körper Z q k, so daß r (q k 1). 2. Finde einen Punkt S E(Z q ), so daß e(p, S) ζ 1 e(p, S). 4. ζ 2 e(q, S). 5. Finde λ, so daß ζ1 λ = ζ 2 in Z q k. 6. Gebe λ aus.

34 Spezielle Methoden Menezes, Okamoto und Vanstone (MOV) Verfahren, bzw. Frey-Rück-Methode Das ECDLP lässt sich auf DLP in Z q k zurückführen n (q k 1) für alle 1 k log(p) 2 Algebraisch-Geometrische Methode (Semaev/Rück) Zahlentheoretische Methode (Satoh/Araki/Smart) n = ord(g) darf nicht p = char(z q ) teilen

35 Index Calculus Methode Verfügbar für Z p Benötigt eine Faktorbasis B = {P 1, P 2,..., P B } B N ist obere Schranke. P B ist ein freier Erzeuger: x N : xg = a 1x P 1 + a 2x P a Bx P B Zwei Herangehensweisen: 1. (E, +) gehört zur Klasse der Gruppen über Funktionskörper 2. Untersuchen der Gruppe E(Q) und die Punkte in die Restklassen überführen (x mod q, y mod q ). Xedni Calculus Algorithmus von J. Silverman ist nicht praktisch anwendbar

36 Kryptographisch geeignete Kurven / Parameter Zusammenfassung: Der private Schlüssel s N darf nicht klein sein. Die Anzahl der Punkte muß einen großen Primteiler haben. #E(Z q ) = n d, n > ist Primzahl #E(Z q ) = n d, n p q k 1 mod n für 1 k log(p) 2 Für E(Z p m) mit m > 1 ist a, b Z p Quantenrechner dürfen nicht verfügbar sein

37 Schlüssellänge ECC Empfohlene Schlüssellänge der NIST: Symm. Algorithmus RSA und Diffie-Hellman ECC Faktor 80 Bits 1024 Bits 160 Bits Bits 2048 Bits 224 Bits Bits 3072 Bits 256 Bits Bits 7680 Bits 348 Bits Bits Bits 512 Bits 30 Benötigte Rechenzeit mit der Pollard-ρ Methode: q #E(Z q ) MIPS Jahre , , ,

38 Fazit Mit Hilfe elliptischer Kurven kann ein Public-Key-Kryptosystem gebildet werden. Asymmetrisches Verfahren Es ist schwer für zwei bekannte Punkte G, W E(K) den Wert s K zu berechnen, bei dem gilt W = s G Überprüfen der gewählten Parameter Beste Attacke besitzt eine Laufzeit der Ordnung O( n) Geringe Schlüssellänge Einsatz für Smartcards Effizient für große Schlüssellänge

39 Quellen Elaine Barker, William Barker, William Burr, William Polk, and Miles Smid: Recommendation for Key Management Part 1: General National Institute of Standarts and Technologie (NIST), 2006 Ian Blake, Gadiel Seroussi, Nigel Smart: Elliptic Curves in Cryptography. Cambridge University Press, 1999 Ian Blake, Gadiel Seroussi, Nigel Smart: Advances in Elliptic Curve Cryptography. Cambridge University Press, 2005 Certicom Corp.: Elliptic Curve Cryptography Tutorial. Stand: Neal Koblitz: Algebraic Aspects of Cryptography. Springer-Verlag, 1998

40 Thomas Laubrock: Krypto-Verfahren basierend auf elliptischen Kurven - HTML-Tutorial mit JavaTM-Applet Diplomarbeit an der Fachhochschule Dortmund, Alfred J. Menezes: Elliptic Curve Public Key Cryptosystems. 3rd Edition, Kluwer Academic Publishers, 1996 Joseph H. Silverman: The Arithmetic of Elliptic Curves. Springer-Verlag, 1986 Douglas R. Stinson: Cryptography: Theory and Practice. 2nd Edition, Chapman & Hall/CRC, 2002 Dr. Anette Werner: Elliptische Kurven in der Kryptographie. Springer-Verlag, 2002 Rainer Wilmink: Elliptic Curve Cryptosystems Diplomarbeit an der Universität Bielefeld, rwilmink/, 1999