Zufallsprimzahlen und eine Revolution in der Kryptographie Stefan Edelkamp

Transkript

1 Zufallsprimzahlen und eine Revolution in der Kryptographie Stefan Edelkamp Fakultät für Mathematik und Informatik Universität of Bremen

2 Übersicht des Vortrags 1 Einfache Kryptosysteme 2 Einmalschlüssel 3 Ringe und Körper 4 Randomisierter Primzahltest 5 Geheime Botschaften und RSA Edelkamp Einfache Kryptosysteme 2

3 Verschlüsselung Transposition: Skytale: Caesar-Chiffre: Substitution: Edelkamp Einfache Kryptosysteme 2

4 Dechiffrierung durch Häufigkeitsanalyse Edelkamp Einfache Kryptosysteme 3

5 Übersicht des Vortrags 1 Einfache Kryptosysteme 2 Einmalschlüssel 3 Ringe und Körper 4 Randomisierter Primzahltest 5 Geheime Botschaften und RSA Edelkamp Einmalschlüssel 4

6 Visuelle Kryptographie [Moni Noar and Adi Shamir 1994] Edelkamp Einmalschlüssel 4

7 Zufallsrauschen [Moni Noar and Adi Shamir 1994] Edelkamp Einmalschlüssel 5

8 Überlagerung [Moni Noar and Adi Shamir 1994] Edelkamp Einmalschlüssel 6

9 Kodierung Edelkamp Einmalschlüssel 7

10 Übersicht des Vortrags 1 Einfache Kryptosysteme 2 Einmalschlüssel 3 Ringe und Körper 4 Randomisierter Primzahltest 5 Geheime Botschaften und RSA Edelkamp Ringe und Körper 8

11 Ein Campus T-Shirt 5 9 = 1 Edelkamp Ringe und Körper 8

12 Rückseite in Z 11 Edelkamp Ringe und Körper 9

13 Restklassen Z n = {0, 1, 2,..., n 1} n prim Z n Körper Addition, Subtraktion, Vertauschung, Klammerung, eindeutiges multiplikatives Inverses,... {a 0, a 1, a 2,..., a (n 1)} = {0, 1, 2,..., (n 1)} Beweis Annahme nein, dann a b = a c mit b c (in Z n ), also a (c b) = x n (in Z), alle a, b, c < n. Widerspruch zu n prim und Eindeutigkeit der Primfaktorzerlegung von x, a und (c b). Edelkamp Ringe und Körper 10

14 (Kleiner) Satz von Fermat n prim a n 1 = 1 für alle a 0 (in Z n ) Beweis: (n 1) = a 1 a 2... a (n 1) = a n 1 ( (n 1)) a 1 = a n 2 in Z n. Beispiel: 5 1 = 5 9 = ((5 2 ) 2 ) 2 5 = 9. Edelkamp Ringe und Körper 11

15 Satz von Euler φ(n) Anzahl teilerfremde Zahlen von n. n = pq, p, q prim, ggt (p, q) = 1, dann φ(n) = (p 1)(q 1) Satz von Euler ggt (a, n) = 1 a φ(n) = 1 (in Z n ) Beweis: Z n Menge multiplikativ modulo n invertierbarer Elemente r 1 r 2,..., r φ(n) r 1 r 2... r φ(n) = a r 1 a r 2... a r φ(n) = a φ(n) (r 1 r 2... r φ(n) ) Beispiel: a φ(n) = 1 (in Z n ) = ((7 4 ) 55 ) 7 2 = 9 (in Z 10 ). Edelkamp Ringe und Körper 12

16 Erlaubtes und Unerlaubtes n erlaubt, falls n und (n 1)/2 ungerade Satz Sei n erlaubt. Dann 1 n prim a (n 1)/2 = ±1 für alle a 0 2 n nicht prim a (n 1)/2 = ±1 für höchstens die Hälfte aller a 0 Beweis, Teil 1: Sei b = a (n 1)/2 in Z n. Dann also b = ±1. (b 1)(b + 1) = b 2 1 = a n 1 1 = 0 Edelkamp Ringe und Körper 13

17 Quadratwurzeln x Quadratwurzel, falls x 2 = a, bzw. ( x) 2 = a ±x einzigen Quadratwurzeln von a (in Z n, n prim). Es gilt: a (n+1)/4 = (x 2 ) (n+1)/4 = x (n 1)/2 x = ±x Beispiel in Z 11 : 6 kein Quadrat, da 6 (n+1)/4 = 6 3 = 7, Quadrat, da 5 (n+1)/4 = 5 3 = 4, 4 2 = 5 Edelkamp Ringe und Körper 14

18 Übersicht des Vortrags 1 Einfache Kryptosysteme 2 Einmalschlüssel 3 Ringe und Körper 4 Randomisierter Primzahltest 5 Geheime Botschaften und RSA Edelkamp Randomisierter Primzahltest 15

19 Chinesischer Restsatz n = p q, mit p und q prim folgt Beispiel = 13 in Z 77 : Z n Z p Z q Mit 77 = 7 11 gilt: (5, 7) (4, 5) = (6, 2) Nur möglich, falls n = p q bekannt Satz Sei n erlaubt. Dann 1 n prim a (n 1)/2 = ±1 für alle a 0 2 n nicht prim a (n 1)/2 = ±1 für höchstens die Hälfte aller a 0 Beweis, Teil 2 (für n = p q):. Idee: Ersetze Z n durch Z p Z q Die beiden Zahlen ±1 entsprechen (1, 1) und ( 1, 1). Edelkamp Randomisierter Primzahltest 15

20 Gute und schlechte Zahlenpaare (a 1, a 2 ) in Z p Z q gut, falls (a 1, a 2 ) (n 1)/2 = (1, 1) oder (a 1, a 2 ) (n 1)/2 = ( 1, 1) Ist (a 1, a 2 ) gut, dann ist ( a 1, a 2 ) schlecht, da (a 1, a 2 ) (n 1)/2 = (1, 1) oder (a 1, a 2 ) (n 1)/2 = ( 1, 1) gilt. Z p Z q zerfällt somit in Teilmengen {(a 1, a 2 ), (a 1, a 2 )}, von denen mindestens ein Element schlecht ist. Edelkamp Randomisierter Primzahltest 16

21 Statistischer Primzahltest (für erlaubte n, [Miller/Rabin, 1976, Solovay/Strassen, 1977]) 1 Wähle Zufallszahlen a 1,..., a k in {1,..., n 1} 2 Berechne a (n 1)/2 i in Z n 3 Falls alle a (n 1)/2 i = ±1 entscheide n prim, ansonsten n nicht prim Falls n prim, dann Entscheidung richtig Falls n nicht prim, dann Entscheidung mit W keit < 1/2 k falsch. Annahme: Primalität kann effizient entschieden werden, aber Faktorisierung n = p q (n 1000, p, q 500 Stellen), nicht. Edelkamp Randomisierter Primzahltest 17

22 Übersicht des Vortrags 1 Einfache Kryptosysteme 2 Einmalschlüssel 3 Ringe und Körper 4 Randomisierter Primzahltest 5 Geheime Botschaften und RSA Edelkamp Geheime Botschaften und RSA 18

23 Einfaches Kryptosystem Darmstadt (DA), Bremen (HB) wollen kommunizieren, Dortmund (DO) hört alles mit. Geheimnis sei x 1 DA bildet n = p q, sendet n zu HB 2 HB bildet x 2 in Z n und sendet es zu DA 3 DA berechnet Wurzeln, eine ist x in Z n Kenntnisstand DA kennt x 2 und n = p q, kann x berechnen HB kennt n und x DO weiß n,x 2 aber kann x nicht berechnen. Verallgemeinerungen führen zu dem RSA-Verfahren und PGP. Edelkamp Geheime Botschaften und RSA 18

24 RSA [Rivest, Shamir, Adlemann, 1977] φ(n) = (p 1)(q 1), p, q prim, e teilerfremd zu φ(n) d invers zu e (in Z φ(n) ), mittels Euklidischen Algorithmus ggt (a, b) = ggt (b, a%b), ggt (b, 0) = b (rückwärts) berechnet e d + k φ(n) = 1 = ggt (e, φ(n)) Verschlüsselung (e öffentlicher Schlüssel): c = m e (in Z n ) Entschlüsselung (d privater Schlüssel): m = c d (in Z n ) Schnelle Exponentiation: c d = c d/2 c d/2 oder c d = c c d 1 Edelkamp Geheime Botschaften und RSA 19

25 Korrektheit RSA Nach dem Satz von Euler gilt: de = 1 (in Z φ(n) ) und (m d ) e = m de = m 1+kφ(n) = m (m φ(n) ) k = m 1 k = m (in Z n ). (m e ) d = m ed = m 1+kφ(n) = m (m φ(n) ) k = m 1 k = m (in Z n ). Edelkamp Geheime Botschaften und RSA 20

26 PGP [Phil Zimmermann, 1991] Edelkamp Geheime Botschaften und RSA 21