Vorbereitendes Material Mathematikturnier 2011: Restklassen und Kryptographie

Transkript

1 Vorbereitendes Material Mathematikturnier 2011: Restklassen und Kryptographie

2 Vorwort Dieses Jahr ist Kryptographie das Thema des Nachmittagswettbewerbs Sum of Us innerhalb des Mathematikturniers. Dieser Text enthält die vorbereitenden Materialien, die du brauchst, um erfolgreich an diesem Wettkampf teilzunehmen. Während des Turniers arbeitest du mit deinem Team an der Aufdeckung eines Geheimplans. Ihr übernehmt die Rolle eines Kryptoteams auf der Suche nach dem Geheimnis. Du wirst sehen, dass die mathematischen Werkzeuge, die das vorliegende Material zur Vorbereitung liefert, äußerst nützlich sein werden. Diese Seiten sind in erster Linie für das kommende Mathematikturnier gedacht, bei dem es vor allem um die Ehre und weniger um Preise geht. Das vorbereitende Material vermittelt dir aber darüber hinaus auch ein Bild davon, was man mit Mathematik in diesem Fall Zahlentheorie so alles machen kann. Das Material in dieser Broschüre wird anhand von Beispielen und Übungen veranschaulicht. Wir raten dir dringend, die Übungen zu bearbeiten, denn Übung macht den Meister auch in der Mathematik. Auf der Website können die Antworten eingesehen werden. Wenn du noch Fragen zum Material hast, dann kannst du uns unter kontaktieren. Die Verfasser Wouter Castryck, Johannes Nicaise, Frederik Vercauteren; KU Leuven, Department of Mathematics Übersetzung Christiane Demary, Saskia Deuker Überarbeitung der deutschen Version Stephan Berendonk, Stefan Heilmann, Helmut Teschke; Seminar für Mathematik und ihre Didaktik, Universität zu Köln ii

3 1 Einleitung 1.1 Ursprung Das Wort Kryptographie stammt aus dem Griechischen und bedeutet Geheimschrift (κρυπτ óς = kryptós = verborgen; γράϕω = gráfo = schreiben). Es hat sich gezeigt, dass die Geheimhaltung von Berichten überall und zu jeder Zeit wichtig war. Der Wettstreit zwischen denen, die die Codes erfinden und jenen, die sie entschlüsseln, dauert schon einige Jahrtausende und hat in verschiedenen Situationen den Lauf der Geschichte beeinflusst. Anfangs waren die benutzten Methoden nicht mehr als Spitzfindigkeiten, die zu transparent oder zu unpraktisch waren, um länger in Gebrauch zu bleiben. So berichtet der Geschichtsschreiber Herodot von einem Sklaven, auf dessen kahlgeschorenem Kopf eine Botschaft eintätowiert wurde, um dann mit nachgewachsenen Haaren feindliches Gebiet zu durchqueren. Später entwickelten die Griechen systematischere Methoden, um Berichte in Geheimschrift zu übersetzen. Die bekannteste dieser Methode ist die Benutzung einer Skytale. Das ist ein zylindrischer Stab, um den ein Streifen Pergament gewickelt werden kann. Indem man horizontal auf das aufgewickelte Pergament schreibt und es danach abwickelt, erhält man einen Text in Geheimschrift. Der Empfänger muss dann den Pergamentstreifen nur noch um eine Skytale desselben Durchmessers wickeln, um den ursprünglichen Bericht lesen zu können. Abbildung 1: Eine Skytale. Das ist der Anfang einer Historie voller unterhaltsamer Details und Intrigen, die aber auch viel spannende Mathematik enthält. Des Weiteren wird die folgende Terminologie benutzt. 1.2 Terminologie Eine systematische Methode, um Berichte zu verschlüsseln, nennt man Kryptosystem oder Schlüssel. Das Übertragen eines Berichts in die Geheimschrift wird verschlüsseln genannt. Das Zurückübersetzen einer Geheimbotschaft in einen lesbaren Bericht nennt man entschlüsseln. 1

4 1.3 Der Substitutionsschlüssel Historisch gesehen ist der Substitutions- oder Ersetzungsschlüssel das erste Kryptosystem, das sich als wichtig für die Entwicklung der modernen Kryptographie herausstellte. In seinen Grundzügen stammt es von Julius Cäsar. Um mit seinen Generälen zu kommunizieren, ersetzte er jeden Buchstaben durch den dritten darauffolgenden des Alphabets: So wird A D, B E, C F,..., W Z, X A, Y B, Z C. ALEA IACTA EST zu DOHD LDFWD HVW. Allgemein kann man so die Buchstaben des Alphabets in jede beliebige Reihenfolge bringen, zum Beispiel RBDKOMQNAYUEHXZCJLPVSITFWG. (1.1) Ein Bericht wird dann dadurch verschlüsselt, dass man systematisch A durch den ersten Buchstaben dieser Reihe ersetzt, B durch den zweiten, C durch den dritten, usw. Basierend auf dieser Reihenfolge (1.1) wird ALEA IACTA EST zu REOR ARDVR OPV. Der Empfänger macht den Bericht dann wieder lesbar, indem er die Substitution umkehrt, also die Buchstaben wieder zurückvertauscht. Das moderne am Substitutionsschlüssel ist, dass dabei ein deutlicher Unterschied zwischen dem System bzw. der Methode selbst (Substitution) und einer zusätzlichen geheimen Zutat (die Reihenfolge der Buchstaben) besteht. Ein naiver Feind, der einen verschlüsselten Bericht abfängt, muss, falls er weiß, dass die Botschaft mithilfe von Substitution verschlüsselt worden ist, alle möglichen Buchstabenreihenfolgen ausprobieren. Und das sind 26! = Angenommen das Ausprobieren einer Reihenfolge dauere eine halbe Minute, dann würde dies ungefähr Jahre dauern. Dies ist der wichtigste Unterschied zur griechischen Skytale. Wenn der Feind nämlich weiß, dass die Botschaft mit einer Skytale verschlüsselt worden ist, dann muss er lediglich eine sehr begrenzte Anzahl an Möglichkeiten auszuprobieren. Aufgabe Der Satz THE QUICK BROWN FOX JUMPS OVER THE LAZY DOG enthält alle Buchstaben des Alphabets mindestens einmal und es gibt für diesen Satz somit 26! Verschlüsselungsmöglichkeiten unter der Substitutionsmethode. Wie viele mögliche Verschlüsselungen erhält man mit der Skytale? Hierbei fassen wir auch die Leerzeichen als Zeichen auf. 2

5 1.4 Schlüssel Im Folgenden wird stets davon ausgegangen, dass das verwendete Kryptosystem sowohl Freund als auch Feind kennen. Dies nennt man nach dem niederländischen Kryptographen Auguste Kerckhoffs aus dem 19. Jahrhundert das Prinzip von Kerckhoffs. Ein geheimer Schlüssel ist eine kurze Information (Zutat), die zusätzlich benötigt wird und die sowohl dem Sender als auch dem Empfänger bekannt ist. Der Schlüsselraum ist die Menge aller verwendbarer geheimer Schlüssel. 1.5 Sicherheit Ein Kryptosystem wird als sicher angesehen, wenn einem Angreifer nicht viel anderes übrig bleibt, als alle Schlüssel aus dem Schlüsselraum nacheinander auszuprobieren. Der Schlüsselraum der Substitutionsmethode ist die Menge aller Permutationen des Alphabets. Für heutige Kryptosysteme wird ein Schlüsselraum von rund 2 80 Schlüsseln empfohlen (Zum Vergleich: 26! 2 88 ). Mehr und mehr wird zum neuen Standard, womit eine sehr große Sicherheitsmarge erreicht wird. 1.6 Den Substitutionsschlüssel knacken Bisher sind wir von einem naiven Feind ausgegangen, welcher mehrere Milliarden mal die Lebenszeit des ganzen Universums brauchen würde, um den Substitutionsschlüssel zu knacken. Ein etwas intelligenterer Feind kann die Sache allerdings viel effektiver angehen, sodass der Substitutionsschlüssel heutzutage offenkundig als unsicher gilt. Das hängt mit der ungleichen Verteilung der Buchstaben des Alphabets in der deutschen Sprache (oder einer beliebigen anderen bekannten Sprache) zusammen. In einem ausreichend langen Durchschnittstext in deutscher Sprache sind zum Beispiel gut 17% der Buchstaben ein e. An zweiter Stelle steht das n mit einem Anteil von knapp 10%, gefolgt von ungefähr 7,5% i s. Wenn man nun eine Geheimschrift in Händen hält, bedeutet das, dass der Buchstabe, der am häufigsten vorkommt, mit großer Wahrscheinlichkeit die Verschlüsselung des Buchstabens e ist. Der zweithäufigste Buchstabe ist dann wahrscheinlich ein n und so weiter. Diese Methode nennt man Häufigkeitsanalyse und sie wurde bereits im 9. Jahrhundert (n. Chr.) durch den arabischen Wissenschaftler Al-Kindi beschrieben. Je länger der zu entschlüsselnde Text ist, desto besser trägt die Statistik zur Entschlüsselung bei und desto einfacher wird diese. Man stelle sich zum Beispiel vor, dass der Geheimdienst folgenden Bericht abgefangen hätte. YKTZZTF DGKUTF XD IQSW FTXF WTOD LEISGLL OEI BTKRT YQXLTFR WKGFMTDXTFMTF RQWTO IQWTF 3

6 Häufigkeit der Buchstaben der deutschen Sprache a b c d e g f h i j k l m n o p q r s t u v w x y z in Prozent Abbildung 2: Daten aus Beutelspacher, Kryptologie (1988). Wie man sieht, kommt der Buchstabe T dreizehnmal vor und F achtmal. Damit führen sie die Statistik an. Deshalb spekuliert man darauf, dass dies jeweils die Verschlüsselungen von E und N sind und man erhält die folgende teilweise Entschlüsselung. E EN EN NE N E E E EN N E EN EN E EN Logischerweise rät man nun weiter, dass es sich beim fünften Wort um NEUN handeln könnte. Also wäre X die Verschlüsselungen von U, was zu folgendem Text führt. E EN EN U NEUN E E E U EN N E UEN EN E EN Der Rest des Puzzles sei dem Leser überlassen. Auch wenn sich die erratene Entschlüsselung ab und zu als falsch herausstellt, sollte es klar geworden sein, dass die Entschlüsselung des Textes definitiv keine Jahre dauern würde. 4

7 1.7 Inhalt dieses Vorbereitungsmaterials Im Laufe dieses Textes werden einige modernere und fortschrittlichere Kryptosysteme unter die Lupe genommen werden. Diese Systeme beruhen oft auf fundamentalen Erkenntnissen der Mathematik, genauer gesagt der Zahlentheorie. Ein wichtiger Teil dessen ist das sogenannte Rechnen mit Kongruenzen und Restklassen, dem Paragraph 2 gewidmet ist. In den darauffolgenden Abschnitten werden verschiedene kryptographische Methoden erläutert, die auf dieser Arithmetik basieren. 1.8 Über die Beweise in diesem Text Für manche Ergebnisse der Zahlentheorie wird in diesem Text auch ein Beweis angeführt. Diese Beweise können zusätzliche Einsichten in die Theorie bieten, aber sie sind nicht per se notwendig, um den Rest zu verstehen oder die Aufgaben lösen zu können. Sie sind vielmehr für diejenigen gedacht, die sich genauer mit der Materie beschäftigen wollen. Die Beweise von Satz und Satz sind jedoch wichtig, weil sie praktische Methoden zur Berechnung bestimmter Zahlen beinhalten. Diese Methoden werden in den Beispielen und dargestellt. 1.9 Einige Grundbegriffe Seien x, y und d ganze Zahlen. d heißt Teiler von x, wenn es eine ganze Zahl q gibt mit x = dq. Wenn d ein Teiler von x ist, dann ist d auch ein Teiler von ax für alle ganzen Zahlen a. Wenn d ein Teiler von x und y ist, dann ist d auch ein Teiler von ax + by für alle ganzen Zahlen a und b. Wenn e ein Teiler von d ist und d ein Teiler von x, dann ist e auch ein Teiler von x. Man beachte, dass hier die Teilbarkeit auf der Menge der ganzen Zahlen betrachtet wird. 2 hat also die Teiler 1, -1, 2, -2. Seien x und y nun nicht beide gleich Null. Der größte gemeinsame Teiler von x und y, ggt(x, y), ist die größte natürliche Zahl, die sowohl x als auch y teilt. x und y heißen teilerfremd (relativ prim), wenn ihr größter gemeinsamer Teiler 1 ist. Dass bedeutet, dass -1 und 1 die einzigen ganzen Zahlen sind, die sowohl x als auch y teilen. Eine natürliche Zahl p heißt Primzahl, wenn sie genau zwei (verschiedene) positive Teiler hat nämlich 1 und p. (Damit ist 1 keine Primzahl.) 5

8 2 Rechnen mit Kongruenzen und Restklassen 2.1 Die Zeiger der Uhr Mit Kongruenzen rechnen wir jeden Tag, ohne es zu bemerken, insbesondere wenn wir mit Uhrzeiten rechnen. Nehmen wir an, dass es gerade fünf Uhr nachmittags ist. In Sydney ist es acht Stunden später. Wie spät ist es dort in diesem Moment? Eine kleine Rechnung zeigt, dass es in Sydney jetzt ein Uhr morgens ist. Wie genau sind wir zu diesem Ergebnis gekommen? Wir haben zu fünf Uhr den Zeitunterschied von acht Stunden addiert: = 13. Weil unsere Uhr die Zeit in Abschnitte von zwölf Stunden aufteilt, ziehen wir 12 von 13 ab, so dass wir ein Ergebnis zwischen 0 und 12 bekommen. Also = 1. Wir sagen, dass kongruent ist zu 1 modulo 12. Wir notieren dies folgendermaßen mod 12. Solch ein Ausdruck heißt eine Kongruenz, wobei hier 12 der Modul der Kongruenz ist. In Boston ist es sechs Stunden früher als in Köln. Zu diesem Zeitpunkt ist es dort also 11 Uhr Mittags, denn 5 6 = 1, und wenn man zu 1 die Zahl 12 addiert, erhält man 11. Wir sagen darum, 5 6 ist kongruent zu 11 modulo 12. Oft arbeiten wir mit anderen Kongruenzen als 12. Wenn du eine Digitaluhr benutzt, mit einer 24 Stunden Anzeige, dann rechnest du mit Stunden modulo 24. Wenn heute Freitag ist und du wissen willst, welcher Wochentag in vier Tagen ist, dann rechnest du modulo 7, usw Kongruenzen und Restklassen Wir machen aus dieser Beobachtung jetzt eine allgemeine Definition. Im Folgenden notieren wir mit m immer eine positive ganze Zahl. Definition Seien x und y ganze Zahlen. Wir definieren: x ist kongruent zu y modulo m, wenn m die ganze Zahl x y teilt. Wir schreiben dies abgekürzt in der Form und nennen m den Modul der Kongruenz. x y mod m. Die Kongruenzrelation hat einige interessante Eigenschaften: (1) Jede ganze Zahl x ist kongruent zu sich selbst modulo m, also x x mod m für alle x. (2) Wenn x y mod m, dann ist auch y x mod m, denn wenn m die Differenz x y teilt, dann teilt m auch y x = (x y). 6

9 (3) Wenn x y mod m und y z mod m, dann ist auch x z mod m. Dies kannst du selbst als Übung beweisen. Man nennt eine Relation mit diesen Eigenschaften auch Äquivalenzrelation. Für jede ganze Zahl x notieren wir mit x die Menge aller ganzen Zahlen, die kongruent zu x modulo m sind. Das ist also die Menge x = {x, x m, x + m, x 2m, x + 2m,...}. Wir nennen x die Restklasse von x modulo m. Jedes Element der Restklasse x heißt ein Repräsentant von x. Die oben stehenden Eigenschaften der Kongruenzrelation haben folgende Konsequenzen: Alle Elemente einer Klasse x sind kongruent zueinander modulo m. Wenn y eine zweite ganze Zahl ist, dann ist x = y genau dann, wenn x und y kongruent modulo m sind. Andernfalls sind x und y disjunkt (das heißt, dass diese Mengen eine leere Schnittmenge besitzen). Eine ganze Zahl a ist genau dann ein Repräsentant von x, wenn a = x. Jede Restklasse x modulo m hat genau einen Repräsentanten c in der Menge {0, 1,..., m 1}; hierbei ist c der Rest der ganzzahligen Division von x durch m daher der Name Restklasse. Man beachte, dass für den Rest c immer 0 c < m gelten muss. Wenn wir eine Restklasse aufschreiben, dann wählen wir als Repräsentanten oft das Element c. Beispiel: Wenn m = 7, dann gilt 23 = oder 9 = ( 2) Daher schreiben wir meist 2 an Stelle von 23, und 5 an Stelle von 9. Die Menge Z der ganzen Zahlen ist also die Vereinigung der (disjunkten) Restklassen 0, 1,..., m 1. Beispiel: Sei m = 2. Dann gibt es zu diesem Modul die beiden Restklassen 0 und 1 mit und es ist Z = = {0, 2, 2, 4, 4,...} und 1 = {1, 1, 3, 3, 5, 5,...} Die Menge aller Restklassen modulo m bezeichnen wir mit also in obigem Beispiel Z 2 = {0, 1}. Z m = {0, 1,..., m 1}, Diese Definition scheint kompliziert: Z m ist eine Menge, deren Elemente selbst Mengen sind. Es ist oft praktischer, Z m einfach als Menge aus den Zahlen 0, 1,..., m 1 zu betrachten. Der Strich über den Zahlen ist die Notation für die Elemente von Z m. Er deutet an, dass wir mit diesen Elementen auf besondere Weise rechnen müssen; dies wird im folgenden Abschnitt erklärt. 7

10 Beispiel (Kongruenzen auf deiner Bankkarte). Eine gültige belgische Bankrechnungsnummer besteht aus einer zehnstelligen Zahl G (mit einem Strich nach den ersten drei Ziffern), gefolgt von einem Strich und einer zweistelligen Kontrollnummer; zum Beispiel: Die Kontrollnummer ist das eindeutige Element in {1,..., 97}, dass kongruent zu G modulo 97 ist. Die Kontrollzahl ist also genau der Rest von G geteilt durch 97. Ist der Rest 0, nimmt man die Kontrollnummer 97, da 97 0 mod 97. Im obigen Beispiel ist 16 der Rest von geteilt durch 97, da = Die Kontrollnummer wird hinzugefügt, um zu überprüfen, ob die Rechnungsnummer richtig eingegeben wird, wenn man zum Beispiel eine Überweisung tätigen will. Wenn man genau eine Ziffer falsch eingibt, ist die Kontrollnummer nicht mehr korrekt; das System signalisiert dann, dass man einen Fehler gemacht hast. Wenn man mehr als einen Fehler macht, kann es passieren, dass dies durch die Kontrollnummer nicht aufgedeckt wird. 2.3 Rechnen mit Kongruenzen und Restklassen Satz Seien x, x, y, y ganze Zahlen mit x x mod m und y y mod m. Dann gelten die folgenden Eigenschaften: (1) x + y x + y mod m, (2) x y x y mod m, (3) x y x y mod m. Beweis. Wir beweisen nur die Eigenschaft (3), die anderen kannst du selbst als Übung zeigen. Wir wissen, dass x x und y y teilbar durch m sind. Das heißt, dass ganze Zahlen a und b existieren, so dass x = x + am und y = y + bm. Durch die Multiplikation der Gleichungen erhalten wir x y = (x + am)(y + bm) = xy + (bx + ay + abm)m. Hierbei ist bx + ay + abm eine ganze Zahl und damit ist x y xy durch m teilbar, d.h. x y x y mod m. Satz ist sehr wichtig, da es hierdurch möglich wird, Operationen auf Restklassen zu definieren anstatt auf ganzen Zahlen. Definition Wie definieren die Operationen +, und auf der Menge Z m durch x + y = x + y, x y = x y, x y = x y, 8

11 für alle ganzen Zahlen x und y. Beachte, dass diese Operationen wohldefiniert sind in folgendem Sinn: wenn x und y ganze Zahlen sind mit x = x und y = y, dann garantiert Satz 2.3.1, dass x + y = x + y, x y = x y, x y = x y. Das Ergebnis der Operationen in Definition hängt also nicht von der Wahl der Repräsentanten x und y ab. Konkreter bedeutet das, dass wir mit Elementen von Z m = {0, 1,..., m 1} auf folgende Weise rechnen: Um die Summe, die Differenz oder das Produkt zweier Elemente x und y aus Z m zu berechnen, führen wir die entsprechende Operation mit den ganzen Zahlen x und y durch; anschließend fügen wir zum Ergebnis ein ganzes Vielfaches von m zu, so dass wir ein Element z aus {0,..., m 1} erhalten. Das Ergebnis unserer Operation ist das Element z aus Z m. Beispiel Nehmen wir an, dass der Modul m gleich 6 ist. Dann gilt 2 9 = 7 = 5. Um das Produkt von 2 3 zu bestimmen, rechnest du: 2 3 = 6 = 0. Wenn wir ausrechnen wollen, müssen wir nicht erst das Produkt ausrechnen. Es genügt 122 = 2 und 6001 = 1 zu erkennen, da 120 und 6000 durch 6 teilbar sind. Damit gilt = 2 1 = 2. Aufgabe Berechne die folgenden Ausdrücke modulo 5: 2 + 3, 3 4, Unsere Operationen auf Restklassen haben die folgenden Eigenschaften: Satz (1) Das Element 0 ist ein neutrales Element der Addition und 1 ist das neutrale Element für die Multiplikation, d.h. für alle ganzen Zahlen x gilt x + 0 = 0 + x = x und x 1 = 1 x = x. (2) Für jede ganze Zahl x gibt es eine eindeutige Restklasse w, so dass x+w = w+x = 0, nämlich w = x. Wir notieren diese Restklasse auch mit x. (3) Die Addition von Restklassen ist assoziativ und kommutativ, das heißt x+(y+z) = (x + y) + z Und x + y = y + x für alle ganzen Zahlen x, y und z. Analog gelten diese Eigenschaften für die Multiplikation. (4) Die Multiplikation von Restklassen ist distributiv bezüglich der Addition, das heißt: für alle ganzen Zahlen x, y und z. x (y + z) = x y + x z 9

12 Diese Eigenschaften resultieren aus den entsprechenden Eigenschaften der Addition und Multiplikation von ganzen Zahlen. Wahrscheinlich würdest du beim Rechnen mit Restklassen diese Eigenschaften spontan anwenden, ohne weiter darüber nachzudenken. Aufgabe Zeige, dass eine natürliche Zahl x genau dann durch 9 teilbar ist, wenn die Quersumme von x durch 9 teilbar ist. Hinweis: Schreibe x als x = c 0 + c c k 10 k mit c 1,..., c m aus {0,..., 9}, und berechne die Restklasse von x modulo 9. Aufgabe Bei einem perfect shuffle mischst du zwei Hälften eines Kartenspiels wie einen Reißverschluss miteinander. Wenn du die Karten am Anfang mit 0, 1,..., 51 nummerierst, so liegen sie nach einem perfect shuffle in der Reihenfolge 0, 26, 1, 27, 2, 28,..., 25, 51. Wieviele perfect shuffles musst du mindestens durchführen, bis die Karten wieder in der selben Reihenfolge liegen wie zu Beginn? Hinweis: Rechne modulo Der Euklidische Algorithmus und der Satz von Bézout-Bachet Um 300 vor Christus beschrieb der berühmte alexandrinische Mahematiker Euklid in einem seiner Werke einen Algorithmus, der den größten gemeinsamen Teiler zweier natürlichen Zahlen bestimmt. Wir veranschaulichen diesen Algorithmus anhand eines Beispiels. Beispiel Wir wollen den größten gemeinsamen Teiler von 34 und 14 bestimmen. Wir verwenden hierbei Euklids Division (= ganzzahlige Division mit Rest) von 34 durch 14: 34 = Hier ist 2 der Quotient der Division und 6 der Rest. Wir wiederholen diese Operation mit 14 und 6: 14 = Anschließend teilen wir 6 durch den neuen Rest 2: 6 = 3 2. Jetzt ist der Rest gleich 0, mit andern Worten: 2 ist ein Teiler von 6. Hieraus kann man folgern, dass 2 (der letzte Rest ungleich Null) der größte gemeinsame Teiler von 34 und 14 ist; wir werden dies später noch genauer zeigen. Beachte, dass der Algorithmus immer nach einer begrenzten Anzahl von Schritten endet, da in jedem Schritt der Rest kleiner wird, so dass wir letztendlich bei Null enden. Durch die genauere Untersuchung des Euklidischen Algorithmus können wir ein neues Resultat beweisen, den Satz von Bézout-Bachet. Dieser Satz ist von großer Bedeutung für die Zahlentheorie. 10

13 Satz (Bézout-Bachet). Seien x und y zwei natürliche Zahlen, nicht beide null, und d der größte gemeinsame Teiler von x und y. Dann existieren ganze Zahlen a und b, so dass ax + by = d. Beweis. Wir nehmen an, dass x > y (sonst vertauschen wir einfach x und y ) und y 0 (sonst ist ggt(x, y) = x, dann wäre nichts zu beweisen) sind. Wir setzen r 0 = x und r 1 = y. Jetzt verwenden wir den Euklidischen Algorritmus. Das Ergebnis ist eine Liste von Divisionen mit Rest. r 0 = q 1 r 1 + r 2 r 1 = q 2 r 2 + r 3. r n = q n+1 r n+1 + r n+2 wobei der letzte Rest r n+2 gleich 0 ist. Wegen r n = q n+1 r n+1 ist r n+1 ein Teiler von r n. Weil r n 1 = q n r n + r n+1 ist, ist r n+1 auch ein Teiler von r n 1. Indem wir so weiter unsere Liste entlanggehen, sehen wir schließlich, dass r n+1 auch r 0 = x und r 1 = y teilt. Indem wir diese Divisionen leicht umschreiben, erhalten wir folgende Gleichungen: r 2 = r 0 q 1 r 1 r 3 = r 1 q 2 r 2 = q 2 r 0 + (q 1 q 2 + 1)r 1 r 4 = r 2 q 3 r 3 = (q 2 q 3 + 1)r 0 (q 1 + q 1 q 2 q 3 + q 3 )r 1. r n+1 = r n 1 q n r n = ar 0 + br 1 mit ganzen Zahlen a und b. Aus der letzten Gleichung folgt, dass jeder gemeinsame Teiler von r 0 = x und r 1 = y auch ein Teiler von r n+1 sein muss. Wir haben schon gesehen, dass r n+1 selbst ein Teiler von x und y ist. Darum können wir folgern, dass r n+1 gleich dem größten gemeinsamen Teiler d von x und y ist. Wir erhalten somit d = ax + by, und das ist genau das, was wir beweisen wollten. Der Beweis des Satzes liefert uns ein Verfahren, um den größten gemeinsamen Teiler d und die Koeffizienten a und b in obigem Satz genau zu bestimmen. Wir nennen diese Methode den Erweiterten Euklidischen Algorithmus. 11

14 In Beispiel kann man sehen, wie der Algorithmus in einer konkreten Situation arbeitet. Die Koeffizienten a und b im Satz von Bézout-Bachet sind nicht eindeutig bestimmt, da alle ganzen Zahlen a = a + ky/d und b = b kx/d mit k Z die Gleichung a x + b y = d. erfüllen. (Man überlege sich, warum dies so ist.) Beispiel Wir wenden den Euklidischen Algorithmus an auf x = 31 und y = 22. Wir führen zuerst den klassischen Euklidischen Algorithmus durch: 31 = , 22 = , 9 = , 4 = Der größte gemeinsame Teiler von 31 und 22 ist also 1. Jetzt schreiben wir diese Liste um, wie in dem Beweis von Satz 2.4.2: 9 = 31 22, 4 = = , 1 = = Wir erhalten so, dass ggt(31, 22) = 1 = wie auch für k Z ggt(31, 22) = 1 = (5 + 22k) 31 + ( 7 31k) 22. Es ist praktisch, diese Berechnungen in einer Tabelle aufzuschreiben: = = = = = Aufgabe Finde den größten gemeinsamen Teiler von 202 und 142 und schreibe ihn in der Form a b 142 mit ganzen Zahlen a und b. Wir besprechen jetzt einige wichtige Folgen des Satzes von Bézout-Bachet. 12

15 2.5 Primfaktorzerlegung Lemma (Lemma von Euklid). Seien x und y ganze Zahlen und sei p eine Primzahl. Wenn p das Produkt xy teilt, dann muss p auch x oder y teilen. Beweis. Nehmen wir an, dass p die Zahl x nicht teilt. Dann sind x und p teilerfremd, denn die einzigen natürlichen Teiler von p sind 1 und p. Nach dem Satz von Bézout- Bachet gibt es ganze Zahlen a und b, so dass 1 = ax + bp. Da p ein Teiler von xy ist, gibt es eine ganze Zahl t mit xy = tp. Dann ist p auch ein Teiler von y = (ax + bp) y = axy + bpy = (at + by) p. Die folgende Aussage ist eine der wichtigsten Eigenschaften der natürlichen Zahlen. Ein großer Teil der Zahlentheorie basiert auf diesem Satz. Darum wird er Fundamentalsatz der elementaren Zahlentheorie genannt. Dieses Ergebnis steht im wesentlichen auch schon in Euklids Werken, obwohl dieser eine andere Formulierung gebraucht hat. Satz (Fundamentalsatz der elementaren Zahlentheorie). Jede natürliche Zahl x > 1 kann als ein Produkt von Primzahlenpotenzen geschrieben werden: x = p α p αr r, (2.1) wobei p 1,..., p r Primzahlen und α 1,..., α r natürliche Zahlen sind. Wir nehmen bei dieser Schreibweise an, dass p 1 < p 2 < < p r und dass die Exponenten sind. Mit dieser Annahme ist diese Schreibweise auch eindeutig. Wir nennen sie die Primfaktorzerlegung von x. Beweis. Es ist nicht schwer zu sehen, dass wir jede natürliche Zahl x > 1 als ein Produkt von Primzahlen schreiben können. Wir beweisen dies mit Vollständiger Induktion über x. Wenn x = 2, dann ist x schon prim, man muss nichts mehr beweisen, da 2 = 2 1. Nehmen wir nun an, dass x > 2 und dass wir jede natürliche Zahl x mit 2 x x 1 als Produkt von Primzahlen schreiben können. Wenn x prim ist, müssen wir nichts mehr beweisen. Wenn dem nicht so ist, können wir x als y z schreiben, wobei y und z natürliche Zahlen, die immer kleiner als x sind, sind. Nach unserer Induktionsbehauptung können wir y und z als Produkte von Primzahlen schreiben. Wenn wir diese Ausdrücke zusammenfassen, erhalten wir die Darstellung von x als ein Produkt von Primzahlen. Jetzt zeigen wir, dass die Schreibweise (2.1) eindeutig ist. Sei p eine Primzahl und α die größte natürliche Zahl, so dass p α ein Teiler von x ist. Wenn α = 0, dann ist p α = 1 und damit p kein Teiler von x; die Primzahl p kann dann nicht in der Zerlegung (2.1) vorkommen. Wenn α > 0 muss p nach dem Lemma von Euklid ein Teiler einer der Primzahlen p 1,..., p r sein und gleich einem p i mit i {1,..., r}. Da p α i i ein Teiler von x ist 13

16 und wir α so groß wie möglich gewählt haben, muss α i α sein. Da p α ein Teiler von x ist, ist auch p α α i ein Teiler von x/p α i i. Aber x/p α i i ist ein Produkt von Primzahlen, die ungleich p sind; es folgt somit aus dem Lemma von Euklid, dass p kein Teiler von x/p α i i sein kann, so dass α = α i sein muss. Das zeigt, dass die Zerlegung (2.1) eindeutig ist; die Primzahlen p 1,..., p r sind genau die Primzahlen, die x teilen und für jedes i ist α i die größte natürliche Zahl, so dass p α i i ein Teiler von x ist. Folgerung Zwei ganze Zahlen sind genau dann teilerfremd, wenn sie keinen gemeinsamen Primteiler haben. Aufgabe Seien x, y und z ganze Zahlen, x und y seien teilerfremd. Zeige die folgenden Eigenschaften. (1) Wenn x und z teilerfremd sind, dann sind auch x und yz teilerfremd. (2) Das Produkt xy ist genau dann ein Teiler von z, wenn x und y Teiler von z sind. (3) Die Zahl x ist genau dann ein Teiler von z, wenn x ein Teiler von yz ist. Aufgabe Seien p und q verschiedene Primzahlen. Bestimme die Anzahl der Teiler von x = p 8 q 13. Aufgabe Sei n eine natürlich Zahl, so dass n + 1 keine Primzahl ist und auch nicht das Quadrat einer Primzahl. Zeige, dass n + 1 ein Teiler von n! ist. 2.6 Der chinesische Restsatz Satz (Chinesischer Restsatz 1 ). Seien m 1,..., m r positive ganze Zahlen. Ferner seien diese Zahlen paarweise teilerfremd, d.h. ggt(m i, m j ) = 1 für alle Elemente i, j {1,..., r} mit i j. Für alle ganzen Zahlen x 1,..., x r existiert dann eine ganze Zahl x, so dass x x i mod m i (2.2) für jedes i {1,..., r}. Die ganzen Zahlen y, die auch diese Kongruenz erfüllen, sind genau die Elemente der Restklasse von x modulo m = m 1... m r. Beweis. Sei m = m 1... m r. Für jedes i {1,..., r} sind die ganzen Zahlen m i und m/m i teilerfremd, da jeder Primteiler von m/m i ein Teiler von einem der Faktoren m j mit j i sein muss und m i und m j keinen gemeinsamen Primteiler haben. Nach dem Satz von Bézout-Bachet können wir ganze Zahlen a i und b i mit a i m i + b i m/m i = 1 finden. Wir setzen x = x 1 b 1 m/m x r b r m/m r. 1 Dieser Satz wurde schon im 4. Jahrhundert nach Christus in Sun Zis Handbuch der Arithmetik von dem chinesischen Mathematiker Sunzi aufgeschrieben. 14

17 Für jedes i {1,..., r} ist m i ein Teiler von x x i = x 1 b 1 m/m x i (b i m/m i 1) + + x r b r m/m r, weil m i ein Teiler von m/m j für alle j i und auch ein Teiler von b i m/m i 1 = a i m i. ist. Die Zahl x erfüllt also die Kongruenz (2.2), für alle i {1,..., r}. Es ist klar, dass jede Zahl y in derselben Restklasse von x modulo m auch all diese Kongruenzen erfüllt, da y x teilbar durch m ist und somit durch die Moduln m i. Wir müssen jetzt nur noch beweisen, dass wir so alle Lösungen gefunden haben. Nehmen wir an, dass y eine ganze Zahl ist mit y x i mod m i für alle i. Dann ist y x mod m i für alle i. Da die Moduln m i paarweise teilerfremd sind, finden wir durch die mehrmalige Anwendung von Übung heraus dass m ein Teiler von y x sein muss. Also gehört y zu der Restklasse von x modulo m. Der chinesische Restsatz ist ein starkes Ergebnis: Um die Restklasse einer ganzen Zahl x modulo m 1... m r zu bestimmen, genügt es, die Restklassen von x modulo der Zahlen m 1,..., m r zu kennen. Beispiel Die ganzen Zahlen x, die die Kongruenzen { x 2 mod 13 x 0 mod 7 erfüllen, sind genau die Elemente der Restklasse modulo 13 7 = = {28, 119, 63, 210, 154,...} 2.7 Einheiten in Z m Sei m eine positive ganze Zahl. Satz Sei x eine ganze Zahl. Die Zahlen x und m sind genau dann teilerfremd, wenn eine ganze Zahl y exisitiert, so dass in Z m gilt. x y = 1 Ist dies der Fall, so ist die Restklasse y eindeutig. Wir nennen diese Restklasse das inverse Element von x und bezeichnen es mit x 1. Wenn x ein Inverses hat, dann nennen wir x eine Einheit in Z m und nennen x eine Einheit modulo m. Die Menge der Einheiten in Z M bezeichnen wir mit Z m und nennen Z m prime Restklassengruppe modulo m. 15

18 Beweis. Seien x und y ganze Zahlen mit x y = 1. Das bedeutet, dass m ein Teiler von xy 1 ist. Jeder gemeinsame Teiler d von x und m teilt also sowohl x als auch xy 1. Dann muss d auch ein Teiler von xy sein und somit von xy (xy 1) = 1. Daraus folgt, dass d nur 1 oder 1 sein kann, und somit ggt(x, m) = 1. Jetzt zeigen wir die umgekehrte Implikation. Nehmen wir an, dass x eine ganze Zahl ist mit ggt(x, m) = 1. Nach dem Satz von Bézout-Bachet existieren dann ganze Zahlen a und b, so dass ax + bm = 1. Der Modul m muss dann wegen ein Teiler von ax 1 sein. Also oder mit anderen Worten: x a = 1. ax 1 = bm ax 1 mod m, Wenn c eine ganze Zahl ist, so dass ebenfalls x c = 1 ist, dann gilt aufgrund der Kommutativität und Assoziativität der Multiplikation: c = (x a) c = (x c) a = a. Das inverse Element a von x ist also eindeutig (sofern es existiert). Dieser Beweis zeigt, wie du das inverse Element von x bestimmen kannst: es ist die Restklasse des Koeffizienten a von x, den du mit dem erweiterten euklidischen Algorithmus bestimmen kannst. Beispiel Wir wissen jetzt aus Beispiel 2.4.3, dass 7 = 24 das inverse Element von 22 in Z 31 ist, da 7 22 = mod 31. Aufgabe Sind die folgenden Zahlen Einheiten in Z 35? Wenn ja, berechne ihre Inverse. 5, 6, 8, 34. Aufgabe Zeige die folgenden Eigenschaften: (1) Wenn r und s Einheiten in Z m sind, dann ist auch rs eine Einheit in Z m. (2) Wenn r eine Einheit in Z m ist und u und v Elemente aus Z M, so dass ru = rv, dann muss u = v sein. Beachte, dass die zweite Eigenschaft nicht gilt, wenn r keine Einheit ist: so ist 2 3 = 0 = 2 0 in Z 6, wobei

19 Aufgabe Seien x und y natürliche Zahlen, x habe die beiden Endziffern 13 und x y die beiden Endziffern 52. Zeige, dass die Zahl y auf 04 enden muss. Wir stellen uns nun folgende Frage: Wie viele Elemente enthält Z m? Mit anderen Worten: Wieviele Elemente in {0,..., m 1} sind eine Einheit modulo m? Aus Satz wissen wir, dass dies genau die Elemente der Menge E m = {x {0,..., m 1} ggt(x, m) = 1} sind. Die Anzahl der Elemente von E m notieren wir mit ϕ(m). Diese Zahl wird Euler- Zahl von m genannt, ϕ heißt Eulersche ϕ-funktion. In einer etwas handlicheren nicht so algebraischen Notation: ϕ(m) ist die Anzahl der zu m teilerfremden Zahlen aus {1, 2, 3,..., m}. Beispiel Die Euler-Zahl ϕ(1) ist gleich 1, denn der größte gemeinsame Teiler von 0 und 1 ist 1, so dass E 1 = {0}. Die Euler-Zahl ϕ(6) ist gleich 2, denn E 6 = {1, 5}. Wir stellen jetzt eine praktische Formel auf, die es uns ermöglicht ϕ(m) zu berechnen. Lemma Seien m und n positive ganze Zahlen und m und n teilerfremd. Dann gilt ϕ(mn) = ϕ(m) ϕ(n). Beweis. Sei x ein Element aus {0,..., mn 1}. Aus dem chinesischen Restsatz folgt, dass x vollständig durch seine Restklassen modulo m und n bestimmt wird: für jedes a {0,..., m 1} und jedes b {0,..., n 1} existiert genau ein Element x {0,..., mn 1}, so dass x a mod m und x b mod n. Zusätzlich ist x genau dann teilerfremd zu mn, wenn a teilerfremd zu m und b teilerfremd zu n ist. Das kann man folgendermaßen sehen: Die gemeinsamen Primteiler von x und mn sind genau die Primzahlen p, die x teilen und auch m oder n auf Grund des Lemmas von Euklid. Wenn aber p ein Teiler von m ist, dann teilt p auch x genau dann, wenn p ein Teiler von a ist. Dann können wir a schreiben als a = x + km mit k Z. Die gemeinsamen Primteiler von x und m sind also genau die gemeinsamen Primteiler von a und m. Diese Eigenschaft gilt analog für x, b und n. ϕ(mn) ist also gleich der Anzahl der Elemente aus der Produktmenge {a {0,..., m 1} ggt(a, m) = 1} {b {0,..., n 1} ggt(b, n) = 1}. Der erste Faktor in diesem Produkt hat genau ϕ(m) Elemente, der zweite ϕ(n). Wir können deshalb sagen, dass ϕ(mn) = ϕ(m) ϕ(n). 17

20 Satz Sei m > 1 eine ganze Zahl mit der Primfaktorzerlegung m = p α 1 1 p αr r. Dann gilt ϕ(m) = (p 1 1)p α (p r 1)p αr 1 r. Beweis. Wir betrachten zunächst den (einfachen) Fall r = 1. Dann ist m = p α, wobei p eine Primzahl und α eine natürliche Zahl (d.h. > 0) ist. Anstatt jetzt die Anzahl der zu p α teilerfremden Zahlen zu bestimmen, ermitteln wir alle natürlichen Zahlen aus {0, 1, 2, 3,..., p α 1}, die nicht zu p α teilerfremd sind. Dies sind die Vielfachen von p, also 0, p, 2p, 3p,..., (p α 1 1)p und somit p α 1 viele. Somit sind p α p α 1 Zahlen aus 0, 1, 2, 3,..., p α teilerfremd zu p α und es gilt ϕ(p α ) = (p 1)p α 1. Die allgemeine Formulierung für ϕ(m) folgt dann direkt aus Lemma Aufgabe Beweise Satz direkt für den Fall, dass m ein Produkt von zwei verschiedenen Primzahlen p und q ist: Zähle die Elemente von {0,..., m 1}, die nicht teilerfremd zu m sind. 2.8 Der Satz von Euler und der kleine Satz von Fermat Satz (Satz von Euler). Sei m eine positive ganze Zahl, a eine ganze Zahl, a und m seien teilerfremd. Dann gilt Beweis. Seien a ϕ(m) 1 mod m. r 1,..., r ϕ(m) die Einheiten in Z m. Aus Übung folgt, dass {r 1,..., r ϕ(m) } = {a r 1,..., a r ϕ(m) }. Wenn wir alle Elemente in jeder dieser Mengen miteinander multiplizieren, erhalten wir r 1... r ϕ(m) = a ϕ(m) r 1... r ϕ(m). Übung besagt dann, dass oder anders gesagt: a ϕ(m) = 1, a ϕ(m) 1 mod m. 18

21 Folgerung (Kleiner Satz von Fermat 2 ). Wenn p eine Primzahl ist und a eine ganze Zahl, die nicht durch p teilbar ist, dann gilt Für alle ganzen Zahlen b gilt also a p 1 1 mod p. b p b mod p. Beweis. Die erste Behauptung ist ein besonderer Fall der Kongruenz von Euler, da ϕ(p) = p 1. Wenn wir beide Seiten dieser Kongruenz mit a multiplizieren, dann erhalten wir a p a mod p. Die zweite Behauptung müssen wir nur noch beweisen, wenn p ein Teiler von b ist. In dem Fall gilt b p b 0 mod p. Folgerung Sei m eine positive ganze Zahl, a eine ganze Zahl, a und m seien teilerfremd. Sind x und y natürliche Zahlen mit x y mod ϕ(m), dann gilt auch a x a y mod m. Beweis. Wir dürfen annehmen, dass x < y, sonst vertauschen wir x und y. Dann ist y = x + ϕ(m)q, wobei q eine natürliche Zahl ist. Aus dem Satz von Euler folgt dann a y = a x (a ϕ(m) ) q a x mod m. Beispiel Wir wollen den Rest von 3 50 nach Division durch 35 bestimmen. Aus Satz ergibt sich, dass ϕ(35) = 4 6 = 24. Außerdem sind 3 und 35 teilerfremd. Wir können Folgerung darum auf die folgende Weise anwenden: 50 2 mod 24, 2 Wir nennen Folgerung den kleinen Satz von Fermat,um ihn vom berühmten großen Satz von Fermat zu unterscheiden. Dieser sagt das Folgende: wenn x, y, z und n natürliche Zahlen sind, so dass x n + y n = z n und n > 2, dann muss x oder y gleich 0 sein. Dieses Ergebnis, von Fermat 1637 formuliert, auch als Fermatsche Vermutung berühmt, wurde erst 1994 von dem britischen Mathematiker Andrew Wiles bewiesen. Der Beweis benutzt tiefe Ergebnisse aus der Zahlentheorie und der Geometrie. 19

22 so dass mod 35. Der Rest der Division von 3 50 durch 35 ist also 9. Aufgabe Sei n > 1 eine natürliche Zahl. Zeige, dass 7 (2n) mit der Ziffer 1 und 2 (2n) + 1 mit der Ziffer 7 endet. Was sind die letzten beiden Ziffern von 39 (412011)? 2.9 Erzeugende Elemente in Z p Satz Sei p eine Primzahl. Dann existiert ein Element g in Z p, so dass Z p = {g, g 2,..., g p 1 = 1}. Solch ein Element heißt erzeugendes Element (Generator) von Z p. Man beachte:ist g ein erzeugendes Element von Z p, dann gilt g i g j für alle i j mit i, j, {1,..., p 1}, da wir wissen, dass Z p genau ϕ(p) = p 1 Elemente enthält. Der Beweis dieser Eigenschaft übersteigt den Rahmen dieses Textes. Wir können ihn aber anhand eines Beispiels veranschaulichen. Beispiel Das Element 2 ist ein erzeugendes Element von Z 5. Die aufeinander folgenden Potenzen von 2 sind 2 1 = 2, 2 2 = 4, 2 3 = 8 = 3, 2 4 = 16 = 1. Das Element 4 ist kein erzeugendes Element von Z 5. In den folgenden Abschnitten besprechen wir verschiedene Verschlüsselungsverfahren, die auf der Zahlentheorie basieren und insbesondere auf dem Rechnen mit Kongruenzen. 3 Von Vigenère bis AES 3.1 Die Vigenère-Verschlüsselung Wir sahen in Paragraph 1.6, dass die Ersetzungschiffrierung relativ einfach mithilfe der Häufigkeitsanalyse geknackt werden kann stellt Giovanni Belaso ein alternatives Kryptosystem vor, dass die Probleme der Ersetzungschiffrierung aufzulösen schien. Dieses wurde von dem französischen Diplomaten Blaise de Vigenère aufgegriffen. Seitdem wird dieses Verfahren die Vigenère-Verschlüsselung genannt. Die Vigenère-Verschlüsselung gebraucht ein Codewort. Das kann zum Beispiel das Wort TURNIER 20

23 sein. Um einen Satz, zum Beispiel ALEA IACTA EST zu verschlüsseln schreiben wir darunter eine Zeile mit fortlaufenden Kopien des Codeworts. Eventuell muss dabei die letzte Kopie abgekürzt werden: A L E A I A C T A E S T T U R N I E R T U R N I. Ein Buchstabe der zweiten Zeile bestimmt nun, um wieviele Plätze im Alphabet der Buchstabe darüber verschoben wird. Wir identifizieren dafür die Buchstaben des Alphabets mit den Restklassen aus Z 26, bzw. dessen Repräsentanten. Das A steht für die Klasse 0 bzw. den Repräsentanten 0, das B für die 1 bzw. 1, das C für die 2 bzw 2,..., das Z für 25 bzw. 25. Wir ersetzen dann die Buchstaben der Nachricht und die des Codeworts durch die entsprechenden Restklassen aus Z 26 bzw. deren Repräsentanten. Anschließend addieren wir beide Zeilen modulo 26 miteinander. Das Ergebnis ist eine Folge von Elementen aus Z 26, die wir wiederum in eine Folge von Buchstaben umwandeln. Diese Buchstabenfolge ist die verschlüsselte Nachricht. In unserem Beispiel ersetzen wir die obige Zuordnung durch (jeweils überstrichen) Wenn wir die beiden Zeilen addieren erhalten wir, mit anschließender Umwandlung in Buchstaben: T F V N Q E T M U V F B. Der Satz ALEA IACTA EST hat also TFVN QETMU VFB als Vigenère-Verschlüsselung mit dem Codewort TURNIER. Man entschlüsselt, indem man die Folge des Codewortes wieder von dem verschlüsselten Text abzieht. Wie du siehst wird der Buchstabe A im obenstehenden Text als T, N und E verschlüsselt. Das macht einen Angriff mit statistischen Verfahren wie in Paragraph 1.6 auf den ersten Blick wertlos. Aufgabe Die Caesar-Verschlüsselung ist ein spezieller Fall der Vigenère-Verschlüsselung. Was ist das zugehörige Codewort? Aufgabe Der Text GVZZG BY SE ist mit der Vigenère-Verschlüsselung verschlüsselt, mit dem Codewort Wie lautet die ursprüngliche Nachricht? FERMAT 21

24 Lange Zeit war man der Meinung, die Vigenère-Verschlüsselung sei nicht zu knacken. Sie bekam sogar den Beinamen le chiffre indéchiffrable (die nicht entzifferbare Verschlüsselung). In der Mitte des 19. Jahrhunderts hatte dieses Märchen ein Ende. Friedrich Kasiski publizierte eine Methode, um die Verschlüsselung zu knacken mit der Bedingung, dass der Text lang genug ist. (a) Wenn wir die Länge eines Codeworts kennen, ist die Vigenère-Verschlüsselung einfach zu knacken. Wenn wir z.b. wissen, dass das Codewort aus acht Buchstaben besteht, können wir den 1., den 9., den 17., den 25.,.... Buchstaben des verschlüsselten Text zusammen betrachten. Da diese Buchstaben alle um den selben Abstand verschoben sind, schätzen wir den ersten Buchstaben mit Hilfe einer statistischen Analyse. Analog finden wir den zweiten Buchstaben, indem wir den 2., den 10., den 18., den 26.,.... verschlüsselten Buchstaben zusammen betrachten, und so weiter. (b) Der traditionelle Angriff besteht darin, das in (a) beschriebene Verfahren für die Länge 1, die Länge 2 usw. anzuwenden, bis man eine sinnvolle Entschlüsselung gefunden hat. Oft kann die Länge im voraus geschätzt werden, indem man nach auffallenden wiederkehrenden Buchstabenfolgen guckt. Der Abstand zwischen zweier solcher Sequenzen ist mit großer Sicherheit ein Vielfaches der Länge des Codeworts. Wenn wir einige solcher Vielfachen aufspüren, dann ist die Länge des Codeworts ziemlich wahrscheinlich der größte gemeinsame Teiler dieser Vielfachen. Die folgenden 100 Jahre wurden durch viele kryptographische Aktivitäten geprägt. Die zwei Weltkriege sind daran nicht unbeteiligt. Arthur Zimmermann, Staatssekretär im deutschen Außenministerium, schickte 1917 eine verschlüsselte Nachricht an den Botschafter in Washington, DC. Darin wird dieser aufgefordert, die Vereinigten Staaten und Mexiko gegeneinander aufzuhetzen. Auf diese Art hoffte Zimmermann, dass die Amerikaner mit ihren eigen Konflikten zu beschäftigt sind, um sich in den 1. Weltkrieg einzumischen. Die Nachricht wurde aber abgefangen und entschlüsselt und hatte den umgekehrten Effekt: Die Vereinigten Staaten erklärten Deutschland den Krieg und der erste Weltkrieg, der zu diesem Zeitpunkt festgefahren war, beschleunigte sich wieder. Ein Jahr später war der Krieg beendet. Während das Zimmermanntelegramm eher eine amateurhafte Dummheit war, mit der man keinen Geheimdienst überlisten konnte, war Kryptographie während des zweiten Weltkriegs von wachsender Bedeutung. Durch den zunehmenden Einsatz von Flugzeugen und U-Booten war der Äther voll von geheimen Berichten. Bei den Deutschen waren die meisten Nachrichten mit Hilfe der Enigma verschlüsselt. Das war eine Schreibmaschine, die in den 1910er Jahren entwickelt worden ist und den eingetippten Text automatisch in eine Geheimschrift umwandelte. Vor dem Gebrauch der Enigma mussten mehrere Parameter physikalisch eingestellt werden (Verdrahtung, Startpositionen der Rotoren). Diese Einstellungen dienten als Geheimschlüssel und wechselten täglich. Die Enigma schien unknackbar, aber die britischen Dienste probierten es dennoch hartnäckig. Hartnäckig 22

25 ist noch untertrieben. Auf dem Höhepunkt war ein Team von Männern und Frauen rund um die Uhr damit beschäftigt, die deutschen Nachrichten abzufangen, aufzuschreiben und zu untersuchen. Die Untersuchung übernahm ein Team von Mathematikern, an deren Spitze der brilliante Alan Turing stand. Schließlich gelang ihnen die Entschlüsselung, aufbauend auf früheren Durchbrüchen des polnischen Mathematiker Marian Rejewski im Auftrag des polnischen Geheimdienstes. Die Enigma war ein weit verbreitetes Gerät und die Deutschen waren sich bewusst, dass die Briten auch über Exemplare verfügten. Auch wenn das nicht bedeutete, dass die Briten die zugehörigen geheimen Einstellungen kannten. Trotzdem benutzten die Deutschen zur Vorsorge für besonders geheime Nachrichten eine komplexere Ausführung des Geräts: den Lorenz-Geheimschreiber. Auch dieser wurde schließlich durch die Briten geknackt. Sie konnten sogar einen Geheimschreiber nachbauen, ohne je einen gesehen zu haben! Das alles spielte zweifelsfrei eine Schlüsselrolle im zweiten Weltkrieg. Die alliierten Truppen waren bei der entscheidenden Landung in der Normandie sehr sicher, dass die Deutschen in die entsprechende Falle laufen würden. 3.2 Um bei den Entschlüsselungen weiterzukommen, entwickelte das Team um Turing die aller ersten digitalen Computer: Colossus I und Colossus II. Nach dem Ende des zweiten Weltkrieges wurden die Colossus-Computer vernichtet. 3.3 Die Fehlbarkeit der Enigma wurde bereits in den 30er Jahren vom polnischen Geheimdienst unter der Leitung von Marian Rejewski festgestellt. Nach dem Einmarsch der Deutschen in Polen im Jahr 1939 veröffentlichte Rajewski seine Entdeckung gegenüber seinen französischen und britischen Kollegen. Es ist nicht ganz klar, in welchem Maße dies die Geschichte beeinflusst hat. 3.4 Zu dieser fantastischen Geschichte gehören aber auch weniger schöne Randbemerkungen. Nach Ende des Weltkrieges hielten die Briten ihre Leistungen geheim (bis in die 70er Jahre). So beherrschte das Vereinigte Königreich ihre eigenen Kolonien auch mit Hilfe von Enigma-Geräten. Auch gegenüber Alan Turing, waren sie nicht besonders menschlich. Der homosexuelle Turing wurde nach dem Krieg verpflichtet, sich chemisch kastrieren zu lassen; 1954 beging er Selbstmord bot die britische Regierung für diese Taten ihre Entschuldigung an. 23

26 3.5 Die 70er Jahre: Eine entscheidende Zeit Wegen verschiedener Gründe sind die 70er Jahre ein absoluter Wendepunkt für die Kryptographie. Einer der Gründe ist die Veröffentlichung der kompletten Enigma-Geschichte. Die Techniken, die Turing und seine Kollegen entwickelt hatten, fanden so ihren Weg in die akademische Gesellschaft und veränderten das Antlitz der Kryptographie. Ein zweiter Grund ist die Einführung eines Standards durch die amerikanische Regierung, um Nachrichten zu verschlüsseln, der Data Encryption Standard (DES). Viele Wissenschaftler vertrauten dem DES jedoch nicht. Der Schlüsselraum war immer noch ziemlich klein (2 56 mögliche Schlüssel) und man fürchtete, dass die Behörden eine Hintertür eingebaut hatten, wodurch sie das System selbst knacken könnten. Der Verdacht erwies sich als unbegründet, aber die intensive Analyse von DES ist von großem Wert für die Kryptographie geblieben. Heute kann DES in weniger als einem Tag geknackt werden. Varianten dieser Verschlüsselung werden aber immer noch benutzt. Die meisten Bankautomaten berufen sich auf 3DES (im Wesentlichen drei Kopien des DES, mit einem Schlüsselraum der Größe = ). Die Lehren, die aus dem DES gezogen wurden, führten zu einem neuen Kryptosystem, dass 2002 ins Leben gerufen wurde, der Advances Encryption Standard (AES). Er basiert auf dem Rijndael-Algorithmus, von den aus Leuven stammenden Ingenieuren Joan Daemen und Vincent Rijmen. Heute gilt AES als internationaler Standard. Er hat einen Schlüsselraum der Größe Ein dritter und vielleicht der wichtigste Grund ist die Entdeckung von Methoden, um auf eine öffentliche Art Schlüssel oder ganze geheime Nachrichten zu tauschen. Diese bilden das Endziel dieses Textes, wir besprechen sie in den folgenden Abschnitten. 4 Sicherer Schlüsselaustausch 4.1 Ein grundlegendes Problem bei allen bisher besprochenen Kryptosystemen, inklusive DES und AES, ist das Austauschen von geheimen Schlüsseln zwischen dem Sender und dem Empfänger. Wenn beide Parteien sich nicht physisch treffen können, ist dies eine heikle Angelegenheit. Den deutschen Angestellten wurde während des zweiten Weltkriegs monatlich ein Kalender geschickt, in dem die geheimen Enigma-Einstellungen für jeden Tag des folgenden Monat standen. Mindestens einmal wurde so ein Büchlein vom britischen Geheimdienst abgefangen. Ein anderes Kryptosystem für den Austausch der geheimen Schlüssel zu verwenden, verschiebt das Problem nur. Von vorn herein ist es überhaupt nicht deutlich, dass es eine Lösung dieses Problems gibt. Es war eine absolute Überraschung, als Whitfield Diffie 24

27 und Martin Hellman 1976 eine Methode vorstellten, die geheime Schlüsselaustausche möglich macht. Ihre Methode benutzt das Rechnen mit Kongruenzen. 4.2 Vom Schlüssel zur Restklasse modulo p Ein geheimer Schlüssel ist in der Praxis immer mit einer natürlichen Zahl x zu identifizieren, für die gilt 0 x < S wobei S die Größe des Schlüsselraumes ist. Bei der Ersetzungschiffrierung kann eine Buchstabenfolge wie in (1.1) als eine Zahl zwischen 0 und 26! 1 betrachtet werden, wenn man alle möglichen Buchstabenfolgen alphabetisch ordnet. Umgekehrt gibt jede natürliche Zahl zwischen 0 und 26! 1 die Anleitung für solch eine Buchstabenreihenfolge. Bei AES ist der geheime Schlüssel eine Reihenfolge von 128 Nullen und Einsen: Diese kann man als die binäre Schreibweise einer natürlichen Zahl zwischen 0 und betrachten. Umgekehrt gibt jede natürliche Zahl zwischen 0 und die Anleitung für einen AES-Schlüssel. Anders gesagt können wir einen Schlüssel also als einen Rest modulo S betrachten. Das sichere Austauschen solch eines Restes ist genau das, was das unten beschriebene Diffie- Hellmanprotokoll macht. In der Praxis arbeiten Diffie und Hellman aber modulo einer Primzahl p, die größer als S ist (oft eine Primzahl aus mindestens 1024 binären Ziffern). Das Ergebnis des Diffie-Hellmanprotokolls ist eine Restklasse x modulo p, die nur die zwei Parteien kennen, die einen Schlüssel absprechen wollen. Aus dieser Restklasse x, die als ein Rest 0 x < p dargestellt werden kann, kann dann der Schlüssel durch die Berechnung von x modulo S einfach abgeleitet werden. In der Praxis wird dieser letzte Schritt durch das hashen der Restklasse ersetzt. Es würde zu weit führen, wenn wir hier auf dieses Hashen näher eingehen, das Prinzip bleibt sowieso dasselbe. 4.3 Das Finden einer großen Primzahl p Wie eben schon gesagt, will man eine Primzahl p mit ungefähr tausend binären Ziffern verwenden. Mit den heutigen Mitteln der Informatik und der Mathematik ist es kein Problem, in einem Bruchteil von Sekunden solch eine Primzahl zu finden. Grob gesagt prüft man wiederholt eine zufällige Zahl der richtigen Größenordnung, bis man eine Primzahl findet. Dafür müssen (1) wir über einen schnellen Test verfügen, der prüft, ob eine gegebene Zahl prim ist oder nicht; solch einen Test gibt es wirklich, aber eine Beschreibung der Methode geht über den Rahmen dieser Schrift; 25