Das RSA-Kryptosystem

Transkript

1 Copyright, Page 1 of 12 Das RSA-Kryptosystem Um dieses Dokument verstehen zu können benötigt der Leser nur grundlegende Kenntnisse der Algebra und ein gewisses mathematisches Verständnis. Notwendige Sätze werden erläutert und mit Beispielen verdeutlicht, insofern sollte es dem Leser keine Mühe bereiten den Gedankengängen zu folgen. 1.0 Motivation und Überblick Ein Kryptosystem ist ein grundsätzliches Verfahren der Datenverschlüsselung, wir werden beide Wörter synonym verwenden. Mathematiker haben die schöne Angewohnheit alles und jedes klassifizieren zu wollen. Folgerichtig kann man auch die Datenverschlüsselung in zwei grundsätzliche Verfahren aufgliedern, den - symmetrischen und den - asymmetrischen Kryptosystemen. Bei einer symmetrischen Datenverschlüsselung wird für die Verschlüsselung und die Entschlüsselung der gleiche Schlüssel eingesetzt. Damit lassen sich Nachrichten mit hoher Geschwindigkeit chiffrieren und dechiffrieren. Von Nachteil ist, dass der Schlüssel dem Empfänger übermittelt werden muss, womit ein Sicherheitsrisiko verbunden ist. Beispiele für symmetrische Verfahren sind DES, IDEA und RC4. Bei einer asymmetrischen Datenverschlüsselung (auch Public-Key-Verfahren genannt) werden verschiedene Schlüssel zum Ver- und Entschlüsseln verwendet. Zum Verschlüsseln dient der sog. öffentliche Schlüssel (engl. public key), der von einem potenziellen Empfänger ohne Geheimhaltung bekannt gegeben wird, zum Entschlüsseln der Privatschlüssel (engl. private key), der von seinem Besitzer sorgfältig verwahrt werden muss und auf den sonst niemand Zugriff haben darf. Der große Nachteil bei symmetrischen Kryptosystemen ist der große Vorteil bei den asymmetrischen Kryptosystemen, denn bei diesen Verfahren ist es nicht notwendig die Schlüssel vor einer geschützten Übertragung auszutauschen. Wenn man sich ein großes Netzwerk von N Teilnehmern vorstellt, in dem eine vertrauliche Kommunikation zwischen je zwei Teilnehmern realisiert werden soll, so hat die Symmetrie (beide Teilnehmer haben denselben Schlüssel) unmittelbare Konsequenzen: Jeder Teilnehmer muss (N-1) Schlüssel geheim halten, insgesamt müssen also O(N)=N 2 Schlüssel geheim gehalten werden. Kommt ein Teilnehmer hinzu, so müssen alle N Teilnehmer die Schlüsseldatei aktualisieren. Sender und Empfänger müssen einen gemeinsamen Schlüssel vereinbaren (insg. O(N)=N 2 mal). Sender und Empfänger müssen sich gegenseitig darin vertrauen, dass keiner den geheimen Schlüssel preisgibt. Aufgrund des quadratisch wachsenden Aufwands wären symmetrische Verfahren in der Praxis mit einem relativ hohen Verwaltungsaufwand verbunden. Es stellt sich also heraus, dass bei einem Public-Key-Kryptosystem jeder Teilnehmer T ein Paar von Schlüsseln hat: einen öffentlichen Schlüssel E=E T ( Encryption ) zur Verschlüsselung und einen privaten (geheimen) Schlüssel D=D T ( Decrypton ) zum Entschlüsseln. Natürlich ergibt diese Aufteilung in öffentlichen und privaten Schlüssel erst und nur dann einen Sinn, wenn man von dem öffentlichen Schlüssel nicht auf den privaten Schlüssel schließen kann. Also muss bei einem Public-Key-Verfahren gelten: Aus der Kenntnis des öffentlichen Schlüssels E T ist der private Schlüssel D T nicht zu erschließen.

2 Copyright, Page 2 of 12 Alle öffentlichen Schlüssel sind in einer allgemein zugänglichen Datei untergebracht, während die privaten Schlüssel gut gehütete Geheimnisse des Eigentümers sind bzw. sein sollten. Die wichtigsten Vertreter der Public-Key-Verfahren sind der RSA-Algorithmus, welcher hier näher untersucht wird, und die Diffie-Hellman- Schlüsselvereinbarung bzw. die ElGamal- Verschlüsselung, deren Arithmetik auf großen Zahlen beruht. Verschlüsselung Asymmetrische Verfahren haben auch Nachteile: Erstens gibt es im Vergleich zu den symmetrischen Verfahren nur sehr wenige Public-Key- Verschlüsselungsverfahren, deren Sicherheit zudem auf ähnlichen mathematischen Annahmen beruht. Wenn sich eines dieser Verfahren als unischer herausstellen sollte, kann man im Unterschied zu den symmetrischen Verschlüsselungsverfahren nicht so leicht auf eine Alternative zurückgreifen. Zweitens sind alle bis heute bekannten Verfahren zur asymmetrischen Verschlüsselung wegen der Arithmetik großer Zahlen sehr langsam, wohingegen sich die symmetrischen Verfahren sehr effizient implementieren lassen. Symmetrische Kryptosysteme vs. Asymetrische Kryptosysteme I.d.R. sehr gut Performance Nicht gut Sehr viele Anzahl Sehr wenige Kann sehr gut sein Sicherheit Sehr gut Ja Verschlüsselung O(n) = n 2 bei n Teilnehmern Vorheriger Schlüsselaustausch notwendig Typisches Einsatzgebiet Verwaltungsaufwand Nein Signaturen, Schlüsselaustausch O(n) = n bei n Teilnehmern Es stehen sich also zwei Verfahren (mit Vor- und Nachteilen) gegenüber, und frei nach Kant (Synthese!) versucht man in der Praxis die Vorteile beider Verfahren in sog. Hybridverfahren zu nutzen. Dabei wird zur Übermittlung eines symmetrischen Schlüssels ein asymmetrisches Verfahren benutzt. Beweisbar sichere Public-Key-Kryptosysteme sind bisher unbekannt. Üblicherweise kann man zeigen, dass z.b. die Berechnung des geheimen aus dem öffentlichen Schlüssel genauso schwer ist wie ein mathematisches Problem, etwa (Prim-)Faktorisierung einer großen Zahl n. Nachdem Whitfield Diffie und Martin Hellman eine Theorie zur Public-Key-Kryptographie veröffentlicht hatten, versuchten die drei Mathematiker Rivest, Shamir und Adleman, die Annahmen von Diffie und Hellmann zu widerlegen. Nachdem sie den Beweis bei verschiedenen Verfahren durchführen konnten, stießen sie schließlich auf eines, bei dem sie keinerlei Angriffspunkte fanden. Hieraus entstand das RSA- Kryptosystem. Das RSA-Kryptosystem ist ein asymmetrisches Kryptosystem, d. h. es verwendet verschiedene Schlüssel zum Ver- und Entschlüsseln. Das Verfahren wurde 1977 entwickelt. Seine Sicherheit beruht auf der Schwierigkeit große! Zahlen zu faktorisieren. Die Zerlegung einer Zahl in (mindestens zwei) (Prim-)Faktoren ist zumind. bei sehr großen Zahlen sehr aufwändig, während die Erzeugung einer Zahl durch Multiplikation zweier Primzahlen trivial ist. Wenn nun eine Nachricht einem Empfänger verschlüsselt zugeleitet werden soll, generiert dieser einen öffentlichen Schlüssel (durch die Mulitplikation zweier Primzahlen). Der Nachrichtenabsender verwendet diesen öffentlich bekanntgemachten Schlüssel, indem er damit seine Botschaft verschlüsselt. Nur der

3 Copyright, Page 3 of 12 Empfänger kann diese "decodieren", da nur er die Faktorisierung des von ihm erzeugten (öffentlichen) Schlüssels kennt. 2.0 Mathematische Grundlagen der Arithmetik und Zahlentheorie Folgender Satz sichert nicht nur die Existenz sondern auch die Eindeutigkeit der darin vorkommenden Zahlen q und r. Es wird sich zeigen, dass die Eindeutigkeit mindestens so wichtig ist, wie die Existenz. Satz 2.1: Seien a, b mit a 0. Dann gibt es eindeutig bestimmte ganze Zahlen q und r mit und 0 r< a. b = qa+r, Die Eindeutigkeit hängt übrigens wesentlich von der Bedingung 0 r< a ab. Angenommen, es sind Zahlenpaare (q,r) und (q,r ) 2 gegeben mit b = qa+r mit 0 r< a und b = q a+r mit 0 r < a. Setzen wir die Gleichungen gleich und formen etwas um, so ergibt sich qa+r = q a+r (q-q )a = r r. Also teilt a die Zahl r -r und da r als auch r zwischen 0 und a -1 liegen, liegt die Zahl r -r zwischen ( a -1) und a -1. Aufgrund der gegebenen Bedingungen kann a die Zahl (r-r ) jedoch nur dann teilen, wenn r -r = 0 gilt. Da a 0 gilt folgt damit unmittelbar die Identität r=r und damit q=q. Die Existenz wird nicht bewiesen. In vielen Fällen interessiert uns nicht so sehr der Divisor q, sondern vor allem der Rest r. Aus diesem Grund erhält der Rest eine spezielle Bezeichnung. Definition: Seien a und b ganze Zahlen mit a 0. Seien q und r die eindeutig bestimmten ganzen Zahlen mit b = qa +r und 0 r< a. Dann wird die Zahl r mit b mod a bezeichnet. Das bedeutet: b mod a ist eine Zahl, und zwar die kleinste nichtnegative Zahl r, so dass b-r durch a teilbar ist. Wir können auch schreiben b= qa + (b mod a). Eine eng damit verwandte Definition ist die folgende. Definition: Seien a und b ganze Zahlen, und sei m eine positive ganze Zahl. Wir schreiben a b [mod m], wenn m die Zahl (b-a) teilt.

4 Copyright, Page 4 of 12 Dabei wird a b [mod m] gelesen als a ist kongruent zu b, modulo m. Die Zahl m wird der Modulus genannt. Um diese beiden Definitionen in Zusammenhang zu bringen, teilen wir a und b durch m mit Rest: Wir erhalten a=qm+r und b=q m+r, wobei q und q ganze Zahlen sind und r und r wieder die entsprechende Ungleichung von oben erfüllen. Bemerkung: Es gilt a b [mod m] r=r. Definition: Wenn wir a durch a mod m ersetzen, sagen wir, dass a reduziert wird modulo m. (a) 8 mod 3 = 5, d.h. wir reduzieren 8 modulo 3. (b) 2 mod 5 = 3 (c) Für jede natürliche Zahl a, mit a<b gilt a mod b = a. Zu (b) sei angemerkt, dass die Bedingung 0 r < a nicht vergessen werden darf, d.h. r bzw. a mod b ist positiv! Es sei erwähnt, dass mit Hilfe der Modulo-Rechnung als Verknüpfung ein bedeutender Ring, nämlich der Ring /n definiert werden kann. Die zugrunde gelegte Menge der Restklassen R:={0,,n-1} ist endlich. Im Folgenden notieren wir die natürliche Zahl größten gemeinsamen Teiler zweier ganzer Zahlen a und b (die nicht beide 0 sind) mit ggt(a, b). Erinnerlich berechnet man den ggt(a,b) mit Hilfe des euklidischen Algorithmus. Wir berechnen den ggt(4711, 1024) mit dem euklidischen Algorithmus: 4711 = ggt(4711, 1024)=ggT(1024, 615) 1024 = ggt(1024, 615)=ggT(615, 409) 615 = ggt(615, 409)=ggT(409, 206) 409 = ggt(409, 206)=ggT(206, 203) 206 = ggt(206, 203)=ggT(203, 3) 203 = ggt(203, 67)=ggT(3, 2) 3 = ggt(3, 2)=ggT(2, 1) 2 = ggt(2, 1)=ggT(1, 0)= 1. Die Zahlen 4711 und 1024 sind teilerfremd. Ferner nennen wir zwei ganze Zahlen a und b teilerfremd, falls ihr ggt(a, b)=1 ist, insbesondere ist jede ganze Zahl a \{p i } (i ) zu einer beliebigen Primzahl p teilerfremd. Sei a=210 und b= Die ganzen Zahlen, die a und b teilen sind T:={-14, -7, -2, -1, 1, 2, 7, 14}. Die negativen Zahlen kommen als ggt nicht in Frage. Die Zahl 14 ist positiv, teilt 210 und und wird von allen Teilern von 210 und 2002 geteilt. Es ist also ggt(210, -2002)=ggT(-2002, 210)=14. Wie bereits öfter erwähnt kommt den Primzahlen beim RSA-Algorithmus eine entscheidende Rolle zu, deshalb untersuchen wir zunächst die natürlichen Zahlen etwas genauer:

5 Copyright, Page 5 of 12 Definition: Eine natürliche Zahl p > 1 heißt Primzahl, wenn sie genau zwei positive Teiler hat, nämlich 1 und p. Die erste und einzige gerade Primzahl ist 2, weitere Primzahlen sind dann bspw. 3; 5; 7; 11; 13; 17; 19; 23; 29; 31; 37; 41; 43; 47; 53. Definition: Eine zusammengesetzte Zahl n ist eine natürliche Zahl aus der Menge \( P {0,1}). Satz 2.1: (Zusammengesetzte Zahlen) Sei a \ ( P {0,1}). Dann hat a einen Primteiler. Wir führen Induktion über a. Für a = 2 ist die Behauptung richtig, denn 2 ist prim. Wir nehmen nun a > 2 an. Ist a P, so ist nichts zu zeigen. Wir können also annehmen, dass a nicht prim ist, d.h. a ist zusammengesetzt. Es existiert also eine Zahl b mit 1 < b < a und b a. Nach Induktionsvoraussetzung hat b einen Primteiler, welcher dann auch Primteiler von a ist (da b a). Die Primzahlen, die in einer solchen Produkt-Darstellung von n auftreten, heißen Primfaktoren der Zahl n, die Produktdarstellung selbst heißt Primfaktorzerlegung. Mit Ausnahme der Zahlen 0 und 1, welche gerade die neutralen Elemente der Verknüpfungen Addition bzw. Multiplikation sind, ist jede natürliche Zahl entweder eine Primzahl oder zusammengesetzt. Die ersten 10 zusammengesetzten Zahlen und ihre Primfaktorzerlegungen sind: 4=2 2 6=2 3 8=2 3 9=3 2 10=2 5 12= =2 7 15=3 5 16=2 4 18=2 3 2 Wie aus der Zahlentheorie bekannt, kann jede natürliche Zahl n>1 in seine Primfaktoren zerlegt werden. Satz 2.2: (Hauptsatz der elementaren Zahlentheorie) Jede natürliche Zahl a > 1 kann als Produkt von Primzahlen geschrieben werden. Bis auf die Reihenfolge ist diese Primfaktorzerlegung eindeutig. Wir beschränken uns auf den Beweis der Existenz einer Primfaktorzerlegung. Wir führen Induktion über a, für a = 2 ist die Behauptung richtig, sei also a > 2. Nach Satz 2.1 hat a einen Primteiler p. Ist a = p, so sind wir fertig. Wir können also wieder annhemen, dass a zusammengesetzt ist. Es existiert also wieder eine natürliche Zahl b, welche a teilt. Also muss a \ {0,1} sein diese Zahl besitzt nach Induktionsvoraussetzung eine Zerlegung in Primfaktoren, b womit die Existenz einer Zerlegung von a gezeigt ist.

6 Copyright, Page 6 of 12 Wenn n>1 ist, gibt es mindestens eine Primzahl, die n teilt. Ist n eine Primzahl, so existiert genau eine Primzahl, welche n teilt, nämlich n selbst. Dagegen ist n ein Vielfaches einer Primzahl, so ist n eine zusammengesetzte Zahl. Die Sicherheit des RSA-Algorithmus beruht auf dem Problem der Faktorisierung einer (großen) zusammengesetzten Zahl. Man nutzt also dabei aus, dass es leicht ist, Zahlen zu multiplizieren, dass man aber keinen Algorithmus kennt, der effizient die Primfaktorzerlegung einer beliebigen Zahl angeben kann. Weiterhin wäre die Sicherheit des RSA-Algorithmus nicht gewährleistet, gäbe es nur endlich viele Primzahlen (warum?). Einer der wichtigsten Sätze über Primzahlen, und gleichzeitig einer der ältesten und damit ersten Sätze der Mathematik ist der Folgende: Satz 2.3: (Anzahl Primzahlen) Es gibt unendlich viele Primzahlen. Anders ausgedrückt: Die Folge der Primzahlen endet nie, es gibt keine größte Primzahl. Für eine beliebige endliche Menge {p 1,, p r } von Primzahlen sei n:=p 1 p 2 p r +1 und p ein Primteiler von n. Eigentlich müsste nun gelten, dass p in {p 1,, p r } liegt, da angeblich alle Primzahlen in einer endlichen Menge liegen. Dies kann jedoch nicht sein, da p von allen p i verschieden ist, denn ansonsten müsste n p 1 p 2 p r teilen und die 1, was offenbar nicht möglich ist. Widerspruch zur Voraussetzung, dass des endlich viele Primzahlen gibt. Der eben geführte Beweis ist ein absoluter Klassiker und wohl einer der ersten mathematischen Beweise die jemals geführt wurden. Im Buch der Beweise kann man die schönsten Beweise (insgesamt 6 verschiedene Versionen) zu diesem Satz finden. Man kann die Frage nach der Anzahl der Primzahlen noch konkretisieren: Wie viele Primzahlen existieren, welche kleiner oder gleich einer natürlichen Zahl x sind? Satz 2.4: (Primzahlsatz) Es gilt π (x) x ln(x). Das bedeutet: Die Anzahl der Primzahlen kleiner oder gleich x ist ungefähr x/ln(x). Der Beweis ist viel zu aufwendig, dass er in diesem Dokument Platz finden würde. Ein Ergebnis, welches besagt, dass im Durchschnitt jede ln(x)-te Zahl kleiner oder gleich x eine Primzahl ist. Es ist klar, dass also die Wahrscheinlichkeit eine Primzahl zu treffen mit steigenden Werten immer kleiner wird, da ln(x) eine monoton wachsende Funktion ist. Dies hat zur Folge, dass die Primzahlen nach oben hin immer dünner werden. Lemma 4.1 (Vielfachsummendarstellung von Bézout): Seien a, b und sei d:=ggt(a,b). Dann gibt es ganze Zahlen a und b mit Insbesondere gilt : d = aa + bb. Wenn a und b teilerfremd sind, d.h. 1=ggT(a,b), gibt es ganze Zahlen a und b mit 1 = aa +bb.

7 Copyright, Page 7 of 12 Um diese Erkenntnisse zu festigen, werden wir vor dem eigentlichen Beweis einige Beispiele betrachten: Es ist der ggt(8,5)=1. Mit a =2 und b =-3 folgt 1 = 2 8+(-3) 5. Wir bemerken: Wenn a und b positiv sind, dann muss eine der Zahlen a, b negativ sein. Den Beweis kann man relativ einfach und sehr konstruktiv führen. Sei ohne Einschränkung a 0. Falls b=q 1 a mit q 1, so ist a =ggt(a, b). Dann sind t=0 und s=1 oder s=-1 die gesuchten Zahlen. Anderenfalls führen wir den Euklidischen Algorithmus durch und erhalten die Gleichung: b = q 1 a+r 1, 0<r 1 < a a = q 2 r 1 +r 2, 0<r 2 < r 1 r 1 = q 3 r 2 +r 3, 0<r 3 < r 2 r n-2 = q n r n-1 +r n, 0<r n < r n-1 r n-1 = q n+1 r n Obiges Lemma verrät noch nicht, wie man die Zahlen a und b konkret ausrechnen kann. Dies ist mit dem sog. erweiterten euklidischen Algorithmus möglich. Wir wollen uns dieses Verfahren an einem Beispiel klar machen. Sei etwa a=35 und b=101. Das Verfahren besteht aus zwei Großschritten. Der erste Schritt besteht darin, mit Hilfe des euklidischen Algorithmus den ggt von a und b zu berechnen: 101 = ggt(101, 35)= ggt(35, 31) 35 = ggt(35, 31)= ggt(31, 4) 31 = ggt(31, 4)= ggt(4, 3) 4 = ggt(4, 3)= ggt(3, 1) 3 = ggt(3, 1)= ggt(1, 0)=1 Im zweiten Schritt gehen wir jetzt vom ggt aus und dröseln die obigen Gleichungen von unten nach oben der Reihe nach auf. Stellen wir obige Gleichungen auf der linken Seite um, so erhalten wir = = = = 1 und daraus kann man durch wiederholte Substitution gewinnen: 1 = = 4-1 (31-7 4) 1 = Nach der Substitution ist es entscheidend, dass man die gemeinsamen Faktoren zusammenfasst und erst dann weiter substituiert. Dies ist nun in jedem weiteren Schritt notwendig. 1 = ( ) 1 = Schließlich fassen wir die 31 als Rest der ersten Gleichung auf und erhalten durch Einsetzen:

8 Copyright, Page 8 of 12 1 = -9 ( ) = = Der erweiterte euklidische Algorithmus liefert also die Werte a =26 und b =-9. Aus dem Lemma von Bézout folgt eine Aussage, die v.a. in der Algebra von großem Nutzen sein wird. Satz: (Modulare Inverse) Seien a und n teilerfremde positive Zahlen. Dann gibt es eine ganze Zahl a {1, 2,, n-1} mit aa 1 (mod n). Man nennt a die modulare Inverse bez. der Multiplikation von a modulo n. Da ggt(a, n)=1 ist, existieren nach dem Lemma von Bézout ganze Zahlen a und n mit aa +nn =1. Wenn wir diese modulo n lesen, ergibt sich aa =1 mod n. Es ist ggt(26, 7) = 1, deshalb folgt mit dem Lemma von Bézout, dass es ganze Zahlen a bzw. b gibt, so dass gilt: 1 = 26a + 7b Setzen wir a :=3 und b :=-11, so erhalten wir in der Tat die Vielfachsummendarstellung 1 = (-11) = 78-77=1. Nun müssen wir diese Gleichung nur noch mod lesen, dann erhalten wir: 1 = 7(-11) mod 26 1 = -77 mod 26, da für ganzes k 26k mod 26 = 0 ist. D.h. -11=15 mod 26 ist das modulare Inverse zu Konkrete Anwendung des RSA-Kryptosystems Bob möchte Alice die Nachricht M:= BN (Kennzeichen der Stadt Bonn) über einen nicht sicheren Kanal zukommen lassen, ohne, dass ein Dritter diese Nachricht lesen kann. Der private Schlüssel der Empfängerin Alice wird mit d A bezeichnet, den öffentlichen Schlüssel notieren wir mit e A. Entsprechend betiteln wir den privaten Schlüssel von Bob mit d B und den Öffentlichen mit e B. Zunächst zeigen wir, wie Alice Ihren privaten und öffentlichen Schlüssel generiert. Dazu geht Sie in folgenden Schritten vor: 1. Alice wählt zufällig (und stochastisch unabhängig) zwei (große) Primzahlen p und q

9 Copyright, Page 9 of Alice berechnet n=pq und ϕ (n):=(p-1)(q-1). 3. Alice berechnet einen Verschlüsselungs-Exponenten e es muss gelten ggt(e, ϕ (n)) = Alice berechnet einen Entschlüsselungs-Exponenten d, wobei d gerade das modulare Inverse von e ist. 5. Alice veröffentlicht das Paar (n, e) und hält das Tupel (pq=n, d) als privaten Schlüssel geheim. Nun also hat Alice Ihre Schlüssel erzeugt und Bob ist in die Lage versetzt Ihr eine verschlüsselte Nachricht M zukommen zu lassen. Der Text wird in das numerische Äquivalent übersetzt, bspw: BN Die Verschlüsselung der Nachricht M ergibt sich durch Berechnung von S:= M e mod n. Die Entschlüsselung der Nachricht M ergibt sich durch Potenzieren mit d, also M = S d mod n. 4.0 Mathematische Grundlagen des RSA-Kryptosystems Um RSA-Kryptosystem vollständig beschreiben zu können, benötigen wir ein klein wenig mehr Mathematik, insbesondere einen Satz des schweizer Mathematikers Leonhard Euler ( ) über eine Eigenschaft der natürlichen Zahlen. Der RSA-Algorithmus stellt eine Anwendung des Satzes von Euler bzw. des kleinen Satzes von Fermat dar. Um diesen jedoch formulieren zu können benötigen wir die so genannte eulersche ϕ -Funktion. Definition: Für n sei der Wert der eulerschen ϕ -Funktion gegeben durch ϕ (n) = {a : 1 a n, ggt(a,n)=1 }. In Worten könnte man die eulersche ϕ -Funktion wie folgt definieren: Für eine natürliche Zahl n definieren wir den Funktionswert ϕ (n) als die Anzahl der zu n teilerfremden (d.h. ggt(a, n) = 1) natürlichen Zahlen, die nicht größer als n sind. Ein Beispiel wird dieser scheinbar schwierigen Funktion leben einhauchen. Wir berechnen einige Funktionswerte der ϕ -Funktion: ϕ (1) = 1, ϕ (2) = 1, ϕ (3) = 2, ϕ (4) = 2, ϕ (5) = 4, ϕ (6) = 2 und ϕ (15) = 8. ϕ (4) = 2, da gilt ggt(1, 4)=ggT(3,4)=1. Insgesamt sind also 2 natürliche Zahlen kleinergleich 4 teilerfremd zu 4. Insbesondere gilt folgender Satz 4.1: (Multiplikative Funktion) Die eulersche ϕ -Funktion ist multiplikativ. Sind die natürlichen Zahlen n und m teilerfremd (d.h. ggt(n,m)=1), so gilt die Funktionsgleichung: f(mn)=f(m)f(n)

10 Copyright, Page 10 of 12 Ein Beweis ist recht umfangreich, wir verweisen deshalb auf das Skript Mathematische Grundlagen der Kryptographie von Frau Prof. Dr. Luise Unger, Satz 4.4.5, o.a. Bemerkungen: (i) Für jede Primzahl p gilt: ϕ (p) = (p-1). (ii) Für jede natürliche Potenz einer Primzahl p gilt: ϕ (p n ) = p n-1 (p-1). (iii) r νk Hat man die Primfaktorzerlegung von m= p k k verschiedene Primzahlen, νk ), so ist r νk ϕ (m) = ϕ ( pk ) νk 1 = pk ( pk 1) k= 1 r k= 1 k= 1. D.h. will man den Funktionswertes ϕ (m) einer beliebigen natürlichen Zahl m bestimmen, so ist es notwendig vorher die Primfaktorzerlegung zu bestimmen. Nun also kommen wir zum zentralen Satz des Dokumentes und der entscheidenden Folgerung, welche uns verrät, warum der RSA-Algorithmus funktioniert. Satz 4.2: (Kleiner Satz von Fermat) Sei p eine Primzahlen, und sei a mit ggt(a, p)=1. Dann gilt a p-1 mod p = 1 p (a p-1-1) Der kleine Satz von Fermat kann mit dem Satz von Euler bewiesen werden, denn Satz 4.2 ist ein Speziall dieses Satzes. Wir erinnern uns nochmals an die Verschlüsselung und Entschlüsselung der Nachricht M: Verschlüsselung: Entschlüsselung: S:= M e M = S d S d = (M e ) d = M ed. Nun müssen wir uns noch daran erinnern, dass d nach Voraussetzungen- das modulare Inverse zu e ist, genauer gilt: ed mod ϕ (n) = ed mod(p-1)(q-1) = 1. Der Wert ed ist also in der Restklasse 1 von k ϕ (n)+1 und deshalb gilt auch / ϕ(n) enthalten. Deshalb ist ed ein Vielfaches von ed mod ϕ (n) = [k ϕ (n)+1] mod ϕ (n) = [k(p-1)(q-1)+1] mod ϕ (n). Nun ist klar, warum der nun folgende Satz beweist, dass die Entschlüsselung funktioniert. Folgerung 4.3: (RSA) Seien p und q zwei verschiedene Primzahlen, und sei m eine natürliche Zahl pq. Dann gilt für jede natürliche Zahl k: M k(p-1)(q-1)+1 mod pq = M.

11 Copyright, Page 11 of 12 Wir zeigen die Behauptung in zwei Schritten. Zunächst beweisen wir, dass - M k(p-1)(q-1)+1 mod p = M und - M k(p-1)(q-1)+1 mod q = M unter obigen Voraussetzungen gilt. Die Behauptung M k(p-1)(q-1)+1 mod pq = M folgt dann durch Zusammenführung beider Gleichungen, dies erledigen wir im dritten Schritt. Schritt p: M k(p-1)(q-1)+1 = M M k(p-1)(q-1) Potenzregel: x a+1 = x x a = M (M (p-1) ) k(q-1) Potenzregel: x ab = (x a ) b = M (M (p-1) ) k(q-1) An dieser Stelle halten wir kurz inne, und erinnern uns an die Aussage des kleinen fermat schen Satzes. Dieser proklamiert, dass für eine Primzahl p und eine natürliche Zahl M, welche stets teilerfremd sein müssen, die Zahl a p-1 geteilt durch p stets den Rest 1 ergibt. Es gilt offensichtlich ggt(m, p)=1 (warum?). Teilen wir also unsere letzte Gleichung durch p so erhalten wir: = M 1 k(q-1) mod p kleiner Satz von Fermat = M mod p 1 a = (a mal) = 1 Schritt q: Dieser Schritt verläuft analog zu Schritt p. Tausche in Schritt p überall p mit q fertig. Schritt n=pq: In diesem Schritt führen wir nun die gewonnen Erkenntnisse zusammen. Dazu sei h:= k(p-1)(q-1)+1, dann gilt - M h mod p = M und - M h mod q = M. Addieren wir -M zu beiden Gleichungen, so folgt daraus - (M h mod p) M = 0 und - (M h mod q) M = 0. Diese Gleichung sagt aus, dass bei einer Division mit p bzw. q der Rest 0 überbleibt, wenn man nach Division M zur entstandenen Gleichung addiert. D.h. im Umkehrschluss, dass p (M h M) und q (M h M). Die beiden Primzahlen p und q teilen also dieselbe Zahl. Da p und q verschiedene Primzahlen sind, muss dann auch ihr Produkt pq die Zahl z teilen. Wenn wir das wieder zurückübersetzen, erhalten wir die Aussage (M h M) mod pq = 0 M h mod pq = M. Wir fassen also zusammen: Erzeugung der Schlüssel des Empfängers (Alice): 1. Alice wählt sich zufällig zwei große Primzahlen p und q. Dies ist nach dem Primzahlsatz (2.4) mit effizient möglich. 2. Daraus berechnet Alice das Produkt n=pq und ϕ (n)=(p-1)(q-1). 3. Alice wählt zufällig den Verschlüsselungs-Exponenten e, so dass gilt ggt(e, n)=1. Auch diese Berechnung ist effizient möglich.

12 Copyright, Page 12 of Alice stellt den öffentlichen Schlüssel (n, e) zur Verfügung. 5. Alice erzeugt den Entschlüsselungs-Exponenten d, dabei muss d gerade das Inverse [modulo n] sein. Zur Berechnung verwenden wir den erweiterten euklidischen Algorithmus, welcher auf dem Lemma von Bézout basiert. 6. Alice bewahrt ihren privaten Schlüssel (pq=n, d). Chiffrierung der Nachricht M durch den Absender (Bob): 1. Erzeugung des numerischen Äquivalents. 2. Berechnung von: S:= M e, wobei e gerade der Verschlüsselungs-Exponent von Alice ist. Dechiffrierung der Nachricht S durch den Empfänger (Alice): 1. Berechnung von: S d = (M e ) d = M ed. 2. Zurückübersetzung des numerischen Äquivalents. Weiterhin viel Spaß mit der Mathematik!