Full paper (pdf) - CDC

�
P
s = m si (mod N).
i∈Λ
3.6 Verifizierbares RSA-Key-Sharing
Das in Abschnitt 3.5 vorgestellte Verfahren verfügt über zwei Nachteile, nämlich
den fehlenden Sicherheitsbeweis und die fehlende Möglichkeit, die von den Teilnehmern
abgegebenen Berechnungsergebnisse zu verifizieren. Beide Mängel sind
in einem von Victor Shoup vorgeschlagenen Verfahren nicht anzutreffen (für
den Sicherheitsbeweis verweisen wir auf die Originalarbeit [Sho00]). Es erzeugt
ebenfalls normale RSA-Signaturen und -Entschlüsselungen, ohne Interaktionen
zwischen den Teilnehmern zu benötigen. Allerdings setzt das Verfahren spezielle
RSA-Moduln voraus und die Teilschlüssel und die damit durchzuführenden
Berechnungen lassen sich (im Gegensatz zu unserem Vorschlag aus Abschnitt
3.5.2) nicht in normale RSA-Implementierungen einbetten.
Schlüsselerzeugung Der Geber bestimmt zwei zufällige Primzahlen p und
q, die der zusätzlichen Eigenschaft genügen, daß p = 2p ′ + 1 und q = 2q ′ + 1
für zwei weitere Primzahlen p ′ und q ′ (Man nennt solche Primzahlen p und q
starke Primzahlen). Dadurch ergibt sich der RSA-Modul N = pq. Den öffentlichen
Exponenten e wählt der Geber als beliebige Primzahl e > n. Für den
Sicherheitsbeweis ist es wichtig, daß alle Teilberechnungen nicht über der ganzen
Gruppe (Z/NZ)ausgeführt werden, sondern nur über den Quadraten aus
(Z/NZ) ∗ . Die Quadrate aus (Z/NZ) ∗ bilden eine zyklische Untergruppe QNder
Ordnung p ′ q ′ , so daß die Exponenten für Elemente aus QNmodulo p ′ q ′ gerechnet
werden können. Folglich wird der private Exponent d auch derart bestimmt,
daß de = 1 (mod p ′ q ′ ) gilt (und nicht modulo (p − 1)(q − 1)). Für diesen Exponenten
d wird nun wie beim Shamir-Verfahren ein Polynom
f(x) = d + a1x + . . . + at−1x t−1
(mod p ′ q ′ ) mit ai ∈R {1 . . . p ′ q ′ − 1}
konstruiert. Wir stellen fest, daß hier nicht über einem Primkörper gerechnet
wird, so daß nicht alle Elemente invertierbar sind. Es wird sich aber zeigen, daß
das Verfahren keine Invertierungen benötigt.
Sei nun L(N) die Bitlänge von N und L1 die Bitlänge der Ausgabe einer
kryptographischen Hashfunktion (also beispielsweise 160). Für jeden Teilnehmer
wählt der Geber die Teilschlüssel di zufällig aus der Menge
di ∈R {x : 0 ≤ x < 2 L(n)+L1 , x ≡ f(i) (mod p ′ q ′ )}.
Um die Berechnungen der Teilnehmer später verifizieren zu können, wählt
der Geber weiterhin ein v ∈R QN (also ein invertierbares Quadrat aus (Z/NZ))
und bestimmt für jeden Teilnehmer i dessen Verifikationsschlüssel vi = v di ∈
QN.
Der öffentliche Schlüssel ist (e, N), der geheime Anteil von Teilnehmer i ist
di. Dazu kommen die (öffentlichen) Verifikationsschlüssel v und vi.
27