Proof of Knowledge for Factorization & Fair Encryption of ElGamal/RSA Keys

Transkript

1 R. Fschln/15. Februar 000 Proof of Knowledge for Factorzaton & Far Encrypton of ElGamal/RS Keys G. Poupard und J. Stern [PS99a, PS99b] haben auf dem Lumny-Workshop enen (kurzen) Proof-of-Knowledge für de Faktorserung enes RS-Moduls vorgestellt und als Bausten für en Far-Encrypton-Schema für ElGamal- und RS-Schlüssel engesetzt. 1. Proof of Knowledge for Factorzaton Se N en belebger n-bt-modul, dessen Faktorserung dem Prover P bekannt st. Zel st en (nteraktver, Zero-Knowledge-) Proof-of-Knowledge für de Faktorserung. De bshergen Protokolle baserten auf der Beobachtung, dass de Bestmmung enes Prmfaktors bzw. de Faktorserung von N äquvalent zum Wurzelzehen modulo N st. Der neue nsatz von G. Poupard und J. Stern [PS99a, PS00] geht auf ene Beobachtung n [HSS93] zurück. Für enen zufällgen RS-Modul N st de Ordnung von z R Z N bs auf enen polynomellen ntel größt möglch (genauer en polynomeller Bruchtel von ϕ(n)bzw.λ(n)). Der dskrete Logarthmus von 1 z N z N ϕ(n) z N ord(z) (mod N) zur Bass z st klen und lefert über ord(z) bzw.ϕ(n) de Faktorserung von N. Im Proof-of-Knowledge-Protokoll von G. Poupard und J. Stern bewest P mt Graults Varante [G91, PS98] desschnorr-protokolls, dass er den dskreten Logarthmus von z N zur Bass z für zufällge z 1,...,z K R Z N kennt. Der Bewes der Completeness st elementar. Im Fall enes ehrlchen Provers P glt für =1,...,K: x z r z r+en en (z e ) ϕ(n) z r+e(n ϕ(n)) en } {{ } 1 z y en (mod N). Zu beachten st, dass de ntwort des Provers P de zusätzlche Bedngung y [0,)erfüllen muss. Des st mt hoher Wahrschenlchket n ener Runde gegeben, wenn B (N ϕ(n)) st. Da wr das Protokoll l-mal wederholen, glt [PS00, Theorem 4]: Theorem 1.1 (Completeness). Se lb (N ϕ(n)) vernachlässgbar. Dann besteht P das Protokoll mt überwältgender Wahrschenlchket. 1 Es glt z ϕ(n) z ord(z) 1 1 1(modN). Be Graults Varante st der Modul statt ener Prmzahl en RS-Modul N, ferner modulo-reduzert der Prover aus Effzenzgründen (und um kene Informatonen über ϕ(n) preszugeben) sene ntwort ncht.

2 bbldung 1. Proof of Knowledge for Factorzaton Prover P z 1,...,z K R Z N Verfer V Führe l-mal folgendes Protokoll aus Wähle r R [0,). Se x := z r x mod N für =1,...,K Se y := r + e(n ϕ(n)) 1,...,x K e y Wähle e R [0,B) Überprüfe y [0,) und z y Ne (mod N) für =1,...,K. x! Falls en betrügerscher Prover P zwe Challenges e und e für dasselbe Commtment x 1,...,x K mt y bzw. y korrekt beantworten kann, glt für =1,...,K z y Ne z y Ne (mod N). Der Wert λ 0 := (y y ) N(e e )erfüllt z λ 0 1 (mod N) für =1,...,K. Mt Hlfe der üblchen Rewnd-Technk zegt man [PS00, Lemma 1]: Lemma 1.. Se <Nund P en betrügerscher Prover, der das Protokoll mt Wahrschenlchket δ := 1/B l + ɛ für ɛ>0 besteht. Dann exstert en probablstscher lgorthmus, der mt Wahrschenlchket größer als 1 6 ɛ δ en λ 0 (0,+ NB] mt z λ 0 1 (mod N) für 1 K berechnet. De erwartete Laufzet st klener als 1 ɛ P. Falls enes der z ene große Ordnung hat (m Idealfall z.b. de maxmale Ordung λ(n)), so können wr nach enem Resultat von Mller 3 mt Hlfe von λ 0 den Modul N faktorseren [PS00, Theorem 5]: Theorem 1.3 (Soundness). Se <N, l log B =Ω(n), K =Ω(n) und log =poly(n). ngenommen, en betrügerscher Prover P besteht n Polynomalzet das Protokoll mt ncht vernachlässgbarer Wahrschenlchket. Dann exstert en probablstscher Polynomalzet- lgorthmus, der N mt überwältgender Wahrschenlchket faktorsert. Das Protokoll st statstsch zero-knowledge, wenn de Challenges jewels nur aus enem polynomell großen Berech gezogen werden [PS00, Theorem 6]: Theorem 1.4 (Zero-Knowledge). Se lb (N ϕ(n)) vernachlässgbar und lb = poly(n). Dann st das Protokoll statstsch zero-knowledge. 3 Es gbt enen Polynomalzet-lgorthmus, der be Engabe enes ganzzahlgen Velfaches von λ(n) de Faktorserung von N berechnet.

3 . Far-Encrypton von ElGamal-Schlüsseln 3 Mt Hlfe ener Kollsons-resstenten Hashfunkton H 1 kann de Kommunkaton gesenkt werden, ndem statt (x 1,...,x K ) nur der Hashwert H 1 (x 1,...,x K ) übertragen wrd. Mt der Fat-Shamr-Heurstk stellt das Paar (e, y) mt 0 e<b,0 y<und ( e = H N, z1,...,z K,H 1 (z y Ne 1 mod N,...,z y Ne K mod N) ). für zwe Hash-Funktonen H 1,H m Random-Oracle-Modell enen ncht-nteraktven Proofof-Knowledge der Faktorserung dar.. Far-Encrypton von ElGamal-Schlüsseln Be Far-Encrypton soll neben dem Bestzer des gehemen Schlüssels auch ene Trusted- Party n der Lage sen, den Cphertext entschlüsseln zu können (Recovery). Jeder soll sch überzeugen können, dass en anderer Telnehmer der Trusted-Party de Recovery-Möglchket enräumt. Von. Young und M. Yung [YY98] stammtenelösung, de man auf der Standard-Infrastruktur des ElGamal-Publc-Key-Systems aufsetzen kann. llerdngs verwendet das System neffzente, doppelte Exponentatonen und erlaubt kene klare Trennung zwschen Zertfzerung der Schlüssel und Recovery..1. Verfahren. Das neue Verfahren G. Poupard und J. Stern [PS99b] hat hngegen dese Egenschaften. Jeder Telnehmer wählt enen Secret-Key s und publzert: Senen Publc-Key Y. Den Scret-Key verschlüsselt mt dem Publc-Key der Trusted-Party: Γ := E(s). Enen (nteraktven) 4 Bewes, dass der Plantext zu Γ glech dem gehemen Schlüssel s st. Betrachten wr den Fall enes ElGamal-Schlüssels, als Verschlüsselung E wählen wr Pallers determnstsches Verfahren [Pa99]: Se p =q + 1 ene starke Prmzahl und g Z p en Element der Ordnung p 1. Der geheme ElGamal-Schlüssel st s [0,p), der öffentlche Schlüssel Y := g s mod p. Se N en quadrerter RS-Modul, λ := λ(n),g Z en Element der Ordnung N λn und Γ := E(s) :=G s mod N. ls Bewes, dass de Verschlüsselung far st, fügen wr enen nteraktven Bewes für log G (Γ mod N )=log g (Y mod p) zu. En Zero-Knowledge-Bewes der Glechhet schetert jedoch an den unterschedlchen Gruppen. Man zegt stattdessen, dass σ und τ aus vorgegebenen Berechen mt G σ Γ τ G sτ (mod N ) (1) g σ Y τ g sτ (mod p) exsteren. Wr wollen das Paar (σ, τ) als (smultanen) dophantschen Logarthmus von Γ zur Bass G und von Y zur Bass g bezechnen: 4 Mt Hlfe der Fat-Shamr-Heurstk kann man den Bewes m Random-Oracle-Modell ncht-nteraktv machen.

4 4 Def nton.1 (Dophantscher Logarthmus). Seen, B N und G en Generator. En Paar (σ, τ) mt σ (, +) und τ ( B, +B) heßt dophantscher Logarthmus von Γ zur Bass G, fallsg σ =Γ τ. bbldung. Proof-of-Knowledge für dophantschen Logarthmus Prover P Γ:=G s mod N Verfer V Secret: s [0,S) G Z N mt Ordnung λn Führe l-mal folgendes Protokoll aus Wähle r R [0,). Se x := G r mod N Se y := r + es x e y Wähle e R [0,B) Überprüfe y [0,) und G y /Γ e! x (mod N ). bbldung zegt enen nteraktven Proof-of-Knowledge für dophantsche Logarthmen baserend auf Graults Varante [G91, PS98] desschnorr-protokolls. Das Protokoll st statstsch zero-knowledge, wenn lbs vernachlässgbar und lb =poly(n) st. Besteht der Prover das Protokoll, so glt Γ e G y x 1 G y r (mod N) mt y, r [0,) und e [0,B). Durch de Wahl σ := y r und τ := e hat der Prover gezegt, dass σ (, +) und τ ( B, +B) mtg σ =Γ τ exsteren. Um zu bewesen, dass Γ zur Bass G und Y zur Bass g bede den glechen dophantschen Logarthmus haben, also Glechung (1), führen wr das Protokoll smultan aus. Satz.. Protokoll 3 st en Proof-of-Knowledge für s. Besteht der Prover P das Protokoll, exstert ene Lösung σ (, +) und τ ( B, +B) zu G σ Γ τ (mod N ) g σ Y τ (mod p). Für vernachlässgbares lbs und lb =poly(n) st das Protokoll statstsch zero-knowledge... Key-Recovery. Ist der Bestzer des gehemen Schlüssels n der Lage, das Protokoll 3 zu bestehen, soll de Trusted-Party den gehemen ElGamal-Schlüsselermttelnkönnen. Jedermankannschdannüberzeugen, ob en anderer Telnehmer der Trusted-Party de Recovery- Möglchket enräumt. Zu zegen blebt, dass de Trusted-Party aus

5 . Far-Encrypton von ElGamal-Schlüsseln 5 bbldung 3. Bewes für ElGamal-Key-Recovery-Möglchket Prover P Y := g s mod p Verfer V Secret-Key: s [0,S) Γ := G s mod N Wähle r R [0,). Se x 1 := g r mod p Führe l-mal folgendes Protokoll aus Se x := G r mod N x 1,x Se y := r + es e y Wähle e R [0,B) Überprüfe y [0,), g y /Y e! x 1 (mod p), G y /Γ e! x (mod N ). Der Hnterlegung Γ des gehemen Schlüssels 5 und dem Wssen der Exstenz von σ (, +) und τ ( B, +B) mt G σ (mod N ) Γ τ den gehemen Schlüssel s rekonstrueren kann. Wr setzen für das Recovery voraus, dass, B mt der zusätzlchen Bedngung N B gewählt werden. Um den gehemen Schlüssel s zu rekonstrueren, dekodert de Trusted-Party m ersten Schrtt Γ. Se γ der Plantext, also Γ = G γ mod N. Wr haben: Γ λ G γλ (mod N ). Es exsteren ferner σ (, +), τ ( B, +B) mtg σ Γ τ G λσ G λγτ (mod N ). (mod N ). lso: Wel G de Ordnung λn hat, erhalten wr λ(σ γτ) 0 (mod λn) und schleßlch: () σ γτ 0 (mod N). De Trusted-Party verwendet [ ] Gtter-Redukton, um σ, τ zu fnden, welche de Bedngung () σ erfüllen. Der Vektor 0 legt m Gtter τ L := L ([ ] N, 0 [ ]) γ. 1 5 Im Idealfall st Γ := E(s). Der Proof-of-Knowledge aus Protokoll 3 gewährlestet aber ncht, dass Γ := E(s) glt.

6 6 von Rang, dessen kürzester, ncht-trvvaler Vektor bezüglch der Norm [ ] ( ) v1 := v1 + v B se [ σ0 τ 0 v ]. Desen kann man effzent mttels Gauß-lgorthmus berechnen. Wr haben: λ 1 (L) = [ σ0 τ 0 ] [ ] σ = σ τ + Folglch glt σ 0 < und τ 0 < B = B. Wegen γτ σ 0 (mod N) γτ 0 σ 0 0 (mod N) glt γττ 0 σ 0 τ (mod N) und γτ σ (mod N), also ( ) τ B < + =. (3) σ 0 τ στ 0 (mod N). us der Voraussetzung N B und der bschätzung σ 0 τ στ 0 σ 0 τ + σ τ 0 < B + B = B erhalten wr, dass Glechung (3) auch über Z glt, d.h. σ 0 τ = στ 0,also σ 0 τ 0 = σ τ.wel[ σ 0 τ 0 ] T der kürzeste, ncht-trvale Gttervektor st, snd σ 0 und τ 0 telerfremd. Folglch glt σ 0 = σ d und τ 0 = τ d mt d := ggt(σ, τ) < τ <B. Um den gehemen ElGamal-Schlüssel s zu rekonstrueren, hat de Trusted-Party zuerst Γ dekodert und enen kürzesten, ncht-trvalengttervektorenesgttersvomrangermttelt. Deser lefert σ 0,τ 0 0. Wegen und p 1=q glt: g σ Y τ g xτ (mod p) (4) τs σ (mod q). Da dese Kongruenz ene Lösung hat, folgt ggt(τ,q) σ. Wel ggt(σ, τ) < B und B nur polynomell groß st, glt ggt(τ,q) {1, } und de Lösung s [0, q) der Kongruenz (4) st gegeben als s = σ 0 τ 1 0 mod q oder s { (σ 0 τ 1 0 mod q),q+(σ 0 τ 1 0 mod q) }. De Trusted-Party erhält den gehemen ElGamal-Schlüssel.

7 3. Far-Encrypton von RS-Schlüsseln 7 3. Far-Encrypton von RS-Schlüsseln Das Far-Encrypton-Verfahren von G. Poupard und J. Stern [PS99b] st auch für das RS-Kryptosystem zu verwenden. Be enem RS-System wrd de Faktorserung des Moduls N, genauer der Wert N ϕ(n), hnterlegt. De Hnterlegeung gescheht we be den ElGamal- Schlüsseln mt Pallers determnstsches Verfahren [Pa99]. Jeder Telnehmer kodert mt dem öffentlchen Schlüssel (G, N T ) der Trusted-Party Γ:=E(N ϕ(n)) := G N ϕ(n) (mod NT). bbldung 4 zegt den nteraktven Bewes, dass der Trusted-Party de Recovery-Möglchket engeräumt wrd. bbldung 4. Bewes für RS-Key-Recovery-Möglchket Prover P z 1,...,z K R Z N Verfer V Secret-Key: ϕ(n) Γ := G N ϕ(n) mod NT Führe l-mal folgendes Protokoll aus Wähle r R [0,). Se x := G r mod N T und x := z r mod N für =1,...,K x, Se y := r + e(n ϕ(n)) x 1,...,x K e y Wähle e R [0,B) Überprüfe y [0,), x! G y /Γ e (mod N T ) und z y Ne (mod N) für =1,...,K. x! Satz 3.1. Protokoll 4 st en Proof-of-Knowledge für ϕ(n). Besteht der Prover P das Protokoll, exstert ene Lösung σ (, +) und τ ( B, +B) zu G σ Γ τ (mod NT) z σ Nτ 1 (mod N). für =1,...,K.Für vernachlässgbares lbs zero-knowledge. und lb =poly(n) st das Protokoll statstsch Mttels Gtter-Redukton fndet de Trusted-Party en L 0 := σ 0 Nτ 0, für das glt ggt(l 0,λ(N)) <B. us desem Wert st n asymptotsch B Schrtten en Velfaches von

8 8 λ(n) zu ermtteln. Mt Mllers effzentem lgorthmus kann de Trusted-Party dann de Faktorserung von N berechnen.

9 Lteraturverzechns [BR93] [G91] [HSS93] [Pa99] [PS98] [PS99a] M. Bellare und P. Rogaway: Random Oracles are Practcal: a Paradgm for Desgnng Effcent Protocols, Frst CM Conference on Computer and Communcaton Securty, CM Press, pp. 6 73, M. Grault: Self-certfed Publc Keys, Proceedngs Eurocrypt 91, Sprnger Lecture Notes n Computer Scence, Band 547, Seten , 199. J. Håstad,.W. Schrft und. Shamr: The Dscrete Logarthm Modulo a Composte Hdes O(n) Bts, Journal of Computer and System Scence, Band 47, Seten , P. Paller: Publc-Key Cryptosystems Based on Composte Degree Resduosty Classes, Proceedngs Eurocrypt 99, Sprnger Lecture Notes n Computer Scence, Band 159, Seten 3 8, G. Poupard und J. Stern: Securty nalyss of a Practval On the Fly uthentcaton and Sgnature Scheme, Proceedngs Eurocrypt 98, Sprnger Lecture Notes n Computer Scence, Band 1403, Seten 4 436, G. Poupard und J. Stern: Far Encrypton: Short Proof of Knowledge of Factorzaton, Folen zum Vortrag auf dem Lumny-Workshop. [PS99b] G. Poupard und J. Stern: Far Encrypton of RS Keys, Folen zum Vortrag auf dem Lumny- Workshop. [PS00] G. Poupard und J. Stern: Short Proofs of Knowledge for Factorng, Proceedngs PKC 000, erschent als Sprnger Lecture Notes n Computer Scence. [S91] C.P. Schnorr: Effcent Sgnature Generaton by Smart Cards, Journal of Cryptology, Band 4(3), Seten , [YY98]. Young und M. Yung: uto-recoverable tuo-certfable Cryptosystems, Proceedngs Eurocrypt 98, Sprnger Lecture Notes n Computer Scence, Band 1403, Seten 17 31,