Full paper (pdf) - CDC

mit dem öffentlichen Exponenten e potenziert. Es ergibt sich der Schlüsseltext
c, den der Empfänger mit seinem geheimen Exponenten d entschlüsseln kann:
c = m e
(mod N) und m = c d = (m e ) d = m ed = m 1 = m (mod N).
Durch die Interpretation der Nachricht m als natürliche Zahl kleiner als N ergibt
sich, daß die Bitlänge der Nachricht nicht länger als die des RSA-Moduln sein
kann. In der Tat verschlüsselt man längere Nachrichten dann auch mit einem
symmetrischen Verfahren und verschlüsselt nur den symmetrischen Schlüssel
(der je nach Verfahren zwischen 50 und 200 Bits lang ist) mit RSA. Außerdem
bietet es sich aus Sicherheitsgründen an, alle Nachrichten mit einigen Zufallsbits
auf eine feste Länge zu bringen (Padding), so daß unter anderem jede Nachricht
zu immer neuen Schlüsseltexten führt.
Neben Verschlüsselungen sind auch Signaturen möglich. Um eine Signatur
für eine Nachricht m zu erzeugen, die wieder als natürliche Zahl zwischen 1
und N − 1 angesehen wird, potenziert der Absender die Nachricht m mit seinem
privaten Exponenten d. Es ergibt sich eine Signatur s, von der mit dem
öffentlichen Schlüssel (e, N) überprüft werden kann, ob sie zu der Nachricht
gehörte:
s = m d
(mod N) und m = s e = (m d ) e = m de = m 1 = m (mod N).
Auch hier ist wieder anzumerken, daß Nachrichten üblicherweise größer sind
als die RSA-Moduln, so daß anstelle der Nachricht m nur eine Prüfsumme
h(m) signiert wird, die mithilfe einer kryptographischen Hashfunktion gewonnen
werden kann. Dadurch wird es allerdings unmöglich, aus der Signatur
die Nachricht zurückzugewinnen. Vielmehr muß die Nachricht zusammen mit
der Signatur übertragen werden. Ein Padding mit Zufallszahlen ist bei RSA-
Signaturen nicht angezeigt, so daß die Signatur ein deterministisches Verfahren
bleibt (dies ermöglicht die in den folgenden Abschnitten beschriebenen verteilten
RSA-Signaturen).
3.4 Einfaches RSA-Key-Sharing
Das RSA-Verfahren hat die erstaunliche Eigenschaft, daß es auf einem Problem
beruht, daß sehr einfach zu erklären, aber offenbar sehr schwer zu lösen ist.
Der größte Vorteil, der sich daraus ergibt, sind die sehr soliden Argumente für
die Sicherheit von RSA, die wesentlich besser fundiert sind als diejenigen für
weniger transparente Verfahren, wie etwa die symmetrische DES-Chiffre. Ein
anderer Vorteil ist die Möglichkeit, andere Kryptosysteme auf RSA aufzubauen,
zum Beispiel das in diesem Abschnitt vorgestellte RSA-Key-Sharing.
Schlüsselerzeugung Um einen geheimen RSA-Schlüssel (d, p, q) auf n Teilnehmer
aufzuteilen, die ihn dann nur gemeinsam verwenden können, wählt der
Geber für jeden Teilnehmer i zufällige Exponenten di aus der Menge {1 . . . (p −
1)(q − 1)}, deren Summe (modulo (p − 1)(q − 1)) wieder den eigentlichen Exponenten
d ergibt:
�
di = d (mod (p − 1)(q − 1)).
i
21