Elementare Zahlentheorie und Kryptographie

c) Für jeden anderen muß es praktisch unmöglich sein, zu einer gegebenen
Nachrischt eine gültige Unterschrift von X zu erzeugen.
d) Jedermann (nicht nur der Empfänger) soll in der Lage sein, für ein Paar
(m, S) zu entscheiden, ob S eine zu m passende Signatur von X ist oder
nicht. Der Empfänger soll nach dem Dialog jedem (z.B. einem Gericht)
beweisen können, daß X die Nachricht m unterschrieben an ihn geschickt
hat. Insbesondere soll das elektronische Unterschreiben von Verträgen
ermöglicht werden.
Sei (G, g) eine Einweggruppe, l = ord(g) und b = floor(log 2 (l)) die (ungefähre)
Bitlänge von l. Ein üblicher Wert könnte (b = 160 oder b = 300 sein.) In
der Praxis wird üblicherweise ein Hash-Wert der Nachricht unterschrieben. Das
führt dazu, daß die Unterschrift immer die selbe (vielleicht ein paar hundert
Bit) Länge hat, selbst wenn die Nachricht sehr groß ist.
Sei h : {0, 1} ∗ → {0, · · · , 2 b } eine Hash-Funktion. h ordnet also jedem (evtl.
sehr langen) Bitvektor einen Kontrollwert (man sagt auch “Hash” oder “Fingerprint”)
h(x) zu, dessen Bitlänge b ist.
Wir verlangen, daß h die folgenden Eigenschaften hat.
a) h(x) ist aus x schnell berechenbar.
b) h ist eine Einweg-Funktion: Es ist praktisch unmöglich zu y ∈ {0, · · · , 2 b }
ein x mit h(x) = y zu finden.
c) h ist kollisionsresistent: Es ist praktisch unmöglich, zwei Bitvektoren x 1 ≠
x 2 mit h(x 1 ) = h(x 2 ) zu finden.
Gängige Hashfunktionen sind MD4, MD5, SHA1, WHIRLPOOL, RIPE-MD.
Die Konstruktion von Hashfunktionen ist ein interessantes Thema; wir können
aus Zeitgründen nicht näher darauf eingehen.
Sei bv : G → {0, 1} ∗ eine leicht berechenbare Injektion. Eine solche Abbildung
wird ohnehin gegeben sein, wenn man G auf dem Rechner realisiert: Die Elemente
von G werden dann ohnehin intern als Bitvektor gespeichert. Für γ ∈ G
sei h ′ (γ) = h(bv(γ)).
Wir fassen zusammen:
Für einen Bitvektor m ∈ {0, 1} ∗ ist h(x) ein b-Bit-Hash.
Für ein Element γ ∈ G der Einweggruppe ist h ′ (x) ein b-Bit-Hash.
Die Daten (G, g), l = ord(g), b, h und h ′ sind öffentlich bekannt. Wir
gehen wieder von einer Gruppe von Usern aus. Wie in den beiden vorigen Abschnitte
wählt jeder User X zufällig ein d X ∈ {2, · · · , ord(g)−1} (nicht zu klein)
und berechnet E X := g d X
∈ G.
d X bleibt geheim (nur User X kennt d X ) und E X wird öffentlich gemacht.
Vgl. das erste Beispiel in Abschnitt 5.3
79