Lösung 11 - CDC - Technische Universität Darmstadt

TECHNISCHE UNIVERSITÄT DARMSTADT
FACHGEBIET THEORETISCHE INFORMATIK
PROF. JOHANNES BUCHMANN
FATEME SHIRAZI
Einführung in die
Kryptographie
WS 2013/2014
11. Lösungsblatt — 17.01.2014
P1 Hashfunktionen
Sei f : → , x → x − ⌊x⌋. Dabei ist ⌊·⌋ die sogenannte floor function, die einer reellen Zahl x die eindeutig bestimmte
ganze Zahl z mit 0 ≤ x − z < 1 zuordnet, z.B. ⌊ 7⌋ = 2. Betrachten Sie die Hashfunktion
h : {0, 1} ∗ → {0, 1} ∗ , k → ⌊10 · f (k · 3)⌋
hierbei werden die Bitstrings mit den durch sie dargestellten nicht negativen ganzen Zahlen identifiziert.
(a) Bestimmen Sie das Bild von h, d.h. alle Funktionswerte, die h(k) annehmen kann.
Lösung. Das Bild der Funktion f liegt in jedem Fall im halboffenen Intervall [0, 1[. Somit liegen die Werte der
Funktion x → 10f (x) in [0, 10[. Daraus folgt, dass die Bildmenge von h die Menge {0, 1, 2, . . . , 9} ist.
(b) Wie viele Funktionswerte h(k) müssen Sie höchstens untersuchen um eine Kollision zu finden?
Kollision von h an.
Geben Sie eine
Lösung. Da die Anzahl der Elemente von der Bildmenge 10 ist, muss bei 11 verschiedenen Auswertungen von h
mindestens eine Kollision auftreten. Probiert man systematisch die Werte 0, 1, . . . durch und speichert die Hashwerte,
so tritt erstmalig bei h(3) = h(7) = 1 eine Kollision auf.
P2 EC Karten PINs
Angenommen, die 4 stelligen PINs für EC Karten werden unabhängig gleichverteilt gewählt. Wie viele Personen müssen
sich versammeln, damit die Wahrscheinlichkeit, dass mindestens 2 von ihnen die gleiche PIN haben, mindestens 1 ist? 2
Lösung. Wir wenden das Geburtstagsparadoxon an. Es ist n = 10 4 . Wir brauchen also k ≥ (1+ 1 + 8 ∗ 10 4 ∗ ln(2))/2 ≈
118, 2. Somit müssen sich 119 Personen versammeln, damit die Wahrscheinlichkeit, dass mindestens 2 von ihnen die
gleiche PIN haben, mindestens 1 ist. 2
P3 Hashfunktionen aus Kompressionsfunktionen
(a) Wir bilden die Hashfunktion h nach dem in der Vorlesung vorgestellten Verfahren aus der Kompressionsfunktion
g : {0, 1} 8 → {0, 1} 4 , g(k||x) = k ⊕ x. Bestimmen Sie den Hashwert der Nachricht
m = 10101101011.
Lösung. Wir stellen zunächst fest, dass g : {0, 1} 8 → {0, 1} 4 , und somit der Parameter r = 4 ist. Um aus m
einen Bitstring zu erhalten, dessen Länge von r geteilt wird, ergänzen wir m von links mit einer Null. An diesem
String wird 0000 angehängt. Die Originallänge von m ist 11 ∈ und hat die Binärdarstellung 1011, welche wir zu
10011011 ergänzen. Wir erhalten somit den Bitstring 010101101011000010011011. Wir setzen nun H 0 = 0000
und bestimmen die H i nacheinander:
Damit ist h(m) = 1010.
i H i
1 0101
2 0011
3 1000
4 1000
5 0001
6 1010
1

(b) Ist die Hashfunktion von (a) Kollisionresistenz? Begründen Sie Ihre Antwort.
Lösung. Nein, eine sichere Hashfunktion muss mindestens 160 Bit lang sein und diese Hashfunktion ist nur 4 Bit
lang.
H1 Konstruktion von Hashfunktionen
Erläutern Sie die Konstruktion einer Hashfunktion aus einer Kompressionsfunktion für r = 1.
Lösung. Wir können hier z.B. eine neue Kompressionsfunktion g ′ konstruieren mit r = 2, indem wir die Kompressionsfunktion
g mit r = 1 mehrfach anwenden. Angenommen die Funktion g : {0, 1} n+1 → {0, 1} n bildet Eingaben
x = (x 1 . . . x n+1 ) auf Ausgaben y = (y 1 . . . y n ) ab. Wir konstruieren eine Kompressionsfunktion g ′ : {0, 1} n+2 → {0, 1} n
mit g ′ (x) = g(g(x 1 . . . x n+1 )||x n+2 ). Somit können wir auf die Konstruktion für r = 2 zurückgreifen.
Es bleibt zu zeigen, dass g ′ ebenfalls kollisionsresistent ist. Angenommen es gibt x, x ′ mit x ≠ x ′ sodass g ′ (x) = g ′ (x ′ )
ist. Dann ist g(g(x 1 . . . x n+1 )||x n+2 ) = g(g(x ′ 1 . . . x ′ n+1 )||x ′ n+2 ). Ist x n+2 ≠ x ′ n+2
, dann haben wir eine Kollision von g bei
ihrer 2. Anwendung. Ist x n+2 = x ′ n+2
, dann unterscheiden wir zwei Fälle:
1. Ist g(x 1 . . . x n+1 ) ≠ g(x ′ 1 . . . x ′ n+1
), dann haben wir eine Kollision von g bei ihrer 2. Anwendung.
2. Ist g(x 1 . . . x n+1 ) = g(x ′ 1 . . . x ′ n+1
), dann haben wir eine Kollision von g bei ihrer 1. Anwendung.
In allen Fällen haben wir einen Widerspruch zur Kollisionsresistenz von g. Gibt es also in g ′ eine Kollision, so muss es
diese Kollision ebenfalls schon in der 1. oder 2. Anwendung von g gegeben haben. Daher ist g ′ auch kollisionsresistent.
2