Kap. 8: Speziell gewählte Kurven

Transkript

1 Stefan Lucks 8: Spezielle Kurven 82 Verschl. mit Elliptischen Kurven Kap. 8: Speziell gewählte Kurven Zur Erinnerung: Für beliebige El. Kurven kann man den Algorithmus von Schoof benutzen, um die Anzahl ihrer Punkte zu bestimmen. In diesem Kapitel: 1. Wie kann man Elliptische Kurven so wählen,dass man die Anzahl ihrer Punkte leicht angeben kann? 2. Welche besonderen Risiken geht man dabei ein?

2 Stefan Lucks 8: Spezielle Kurven 83 Verschl. mit Elliptischen Kurven Beispiel: Sei E(ZZ 31 ) gegeben durch die Weierstraßgleichung y 2 = x 3 x. Vorüberlegung: Ist 1 ein Quadrat mod 31? (mod31), also nein! ( ) 1 Legendre-Symbol: = Nach dieser Vorüberlegung können wir E(ZZ 31 ) ausrechnen ( Tafel): E(ZZ 31 ) = ( ) x 3 x 31

3 Stefan Lucks 8: Spezielle Kurven 84 Verschl. mit Elliptischen Kurven 8.1: Supersinguläre Kurven Kap. 8.1: Supersinguläre Kurven Definition 20 Eine Elliptische Kurve E über einem Körper K heisst supersingulär, falls die Charakteristik von K den Werte E(F ) 1 teilt. Beispiel: E(ZZ 31 ): E(ZZ 31 ) = 32. Die Charakteristik von ZZ 31 ist (was wohl?). Also ist E(ZZ 31 ) supersingulär.

4 Stefan Lucks 8: Spezielle Kurven 85 Verschl. mit Elliptischen Kurven 8.1: Supersinguläre Kurven Weitere Beispiele Theorem 21 Für alle Elliptischen Kurven E(ZZ p ) mit p prim, und p 3 mod 4, die durch y 2 = x 3 x gegeben sind, gilt E(ZZ p ) = p + 1. Beweis-Skizze: Für alle Primz. p 3 mod 4 ist 1 kein Quadrat mod p. Rest des Beweises analog zum Beispiel E(ZZ 31 ).

5 Stefan Lucks 8: Spezielle Kurven 86 Verschl. mit Elliptischen Kurven 8.1: Supersinguläre Kurven Kriterium für Supersingularität Theorem 22 Sei p 5 und E(ZZ p ) eine Elliptische Kurve, definiert durch y 2 = x 3 + ax + b mit Koeffizienten a, b ZZ p. E(ZZ p ) ist genau dann supersingulär, wenn der Koeffizient von x p 1 in dem Polynom gleich Null ist. (x 3 + ax + b) (p 1)/2.

6 Stefan Lucks 8: Spezielle Kurven 87 Verschl. mit Elliptischen Kurven 8.1: Supersinguläre Kurven Beispiel Sei p prim. Sei E(ZZ p ) gegeben durch y 2 = x 3 + x. Unter welchen Umständen ist E(ZZ p ) supersingulär? ( Tafel)

7 Stefan Lucks 8: Spezielle Kurven 88 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Kap. 8.2: Paarungsbasierte Angriffe Betrachte eine El. Kurve E(ZZ p ), mit p prim, p 5. Sei P E(ZZ p ) ein Element von primer Ordnung q (Aufgabe: Diskrete Logarithmen in E(ZZ p ) zur Basis P). Definiere den Einbettungsgrad k als die kleinste natürliche Zahl mit p k 1 mod q. Die Gruppe ZZ p hat eine Untergruppe G k ZZ p der k Ordnung q, d.h., für alle g G gilt g q 1 mod p k. Sei τ : P G eine Permutation, die ein Gruppenisomorphismus zwischen P und G sowie effizient berechenbar ist. Wenn Diskrete Logarithmen in G leicht wären, wie könnten wir dann unsere Aufgabe lösen?

8 Stefan Lucks 8: Spezielle Kurven 89 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Weil- und Tate-Paarung Die Weil- und die Tate-Paarung sind Abbildungen π : P P G. Gegeben X, Y P, kann man effizient π(x, Y ) ZZ p k berechnen. Nebenbedingung für die Weil-Paarung: q kein Teiler von p 1.

9 Stefan Lucks 8: Spezielle Kurven 90 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Eigenschaften der Weil- und Tate-Paarung bilinear: π(x + Y, Z ) = π(x, Z ) π(y, Z ) alternierend: π(x, Y ) = π(y, X) 1 nicht-entartet: Wenn für alle Y P die Gleichung π(x, Y ) = 1 erfüllt ist, dann ist X = 0. Mit Hilfe von π kann man einen effizienten Gruppenisomorphismus τ : P G realisieren. MOV Algorithmus (Menezes, Okamoto, Vanstone): Benutze τ und berechne Diskreten Logarithmus in ZZ p k (Laufzeit subexponentiell in p k.) Was bedeutet das für die Sicherheit Elliptischer Kurven?

10 Stefan Lucks 8: Spezielle Kurven 91 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Beispiel-Anwendung des MOV Angriffs Sei q n := E(ZZ p ) = p + 1. (Derartige Kurven gibt es, Satz 21.) Dann ist der Einbettungsgrad k = 2 ( Tafel)! Folgerung: Wenn man derartige (supersinguläre) Kurven einsetzt, muss man p so groß wählen, dass das Berechnen Diskreter Logarithmen mod p 2 praktisch unmöglich ist. Gilt das für alle supersingulären Elliptischen Kurven?

11 Stefan Lucks 8: Spezielle Kurven 92 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Die Sicherheit supersingulärer Elliptischer Kurven Theorem 23 Für alle supersingulären Elliptischen Kurven ist der Einbettungsgrad k 6. (Ohne Beweis)

12 Stefan Lucks 8: Spezielle Kurven 93 Verschl. mit Elliptischen Kurven 8.2: Paarungsbas. Angriffe Bemerkungen zum Einbettungsgrad 1. Es gibt auch Kurven, die nicht supersingulär sind, und einen kleinen Einbettungsgrad haben. 2. Wenn man q bzw. E(ZZ p ) kennt, kann man leicht überprüfen, ob E(ZZ p ) einen kleinen Einbettungsgrad hat. 3. Zufällige Kurven haben mit hoher Wahrscheinlichkeit einen großen Einbettungsgrad.

13 Stefan Lucks 8: Spezielle Kurven 94 Verschl. mit Elliptischen Kurven 8.3: SmartASS Kap. 8.3: Der SmartASS Angriff auf anormale Kurven Drei unabhängige Arbeiten von vier Autoren (Smart, Araki, Satoh, Semaev). E(ZZ p ) heist anormal, falls E(ZZ p ) = p. Sei P E(ZZ p ) ein Element von primer Ordnung q = p (Aufgabe: Diskrete Logarithmen in E(ZZ p ) zur Basis P). Es gibt einen effizient berechenbaren Gruppenisomorphismus σ : P ZZ p. Damit kann man die Aufgabe effizient lösen. (Wie?)

14 Stefan Lucks 8: Spezielle Kurven 95 Verschl. mit Elliptischen Kurven 8.4: Zusammenfassung Kap. 8.4: Zusammenfassung Die Anzahl E(ZZ p ) der Punkte einer Elliptischen Kurve ist wesentlich für deren Sicherheit. Es ist natürlich wichtig, dass E(ZZ p ) einen hinreichend großen Primteiler hat, das genügt aber nicht! Kurven E(ZZ p ) mit E(ZZ p ) = p sind total unsicher. Kurven E(ZZ p ) mit einem geringen Einbettungsgrad sind unsicher, wenn man die Sicherheitsparameter (vor allem die Größe von p) wie für beliebige Kurven wählt. Stattdessen muss man p größer wählen auf Kosten der Performance von Ver- und Entschlüsselung. Supersinguläre Kurven haben immer einen kleinen Einbettungsgrad.