Full paper (pdf) - CDC

Schlüsselverwendung Es stellt sich wieder das Problem der Berechnung der
Lagrange-Koeffizienten
λi,Λ = � l
l − i .
l∈Λ\{i}
Ähnlich wie beim Verfahren aus Abschnitt 3.5.1 kann man diese Berechnungen
über den ganzen Zahlen durchführen, wenn man den Ausdruck mit
L = (n − 1)! zu
λ ′ i,Λ = Lλi,Λ = L �
l∈Λ\{i}
l
∈ Z
l − i
erweitert (in der Originalarbeit [Sho00] ist L = n!, aber auch hier genügt wieder
L = (n−1)!). Mit diesen modifizierten Koeffizienten kann man zwar nicht direkt
den Exponenten d rekonstruieren, aber zumindest
Ld ≡ �
λ ′ i,Λdi (mod p ′ q ′ ).
i∈Λ
Die von jedem Teilnehmer durchgeführte Berechnung ist
si = m 2Ldi ∈ QN
und liefert ein Element aus QNzurück, wobei allerdings vorausgesetzt wird, daß
die Nachricht m aus (Z/NZ) ∗stammt. Diese zusätzliche Forderung gegenüber
dem normalen RSA-Verfahren ist allerdings keine wirkliche Einschränkung, da
fast alle Elemente aus (Z/NZ)ebenfalls in (Z/NZ) ∗liegen. Wenn man ein m aus
(Z/NZ)\(Z/NZ) ∗ findet, so gilt ggT(m, N) �= 1 und man hat N faktorisiert.
Bei digitalen Signaturen kann das Problem ebenfalls nicht auftreten, da die
Hashwerte von Nachrichten kürzer sind als die Bitlängen von p und q.
Neben den Teilberechnungen si erzeugen die Teilnehmer der Rekonstruktion
mithilfe der Verifikationsschlüssel noch einen Korrektheitsbeweis. Bevor
wir diesen Schritt erläutern, wollen wir jedoch zeigen, wie die si zu einem s
kombiniert werden können, so daß gilt se = m (damit hätten wir eine gültige
RSA-Signatur, oder analog eine Entschlüsselung). Zur Kombination berechnen
wir
Das Endergebnis ist dann
wie die Rechnung
s = w a m b
w = �
i∈Λ
s 2λ′ i,Λ
i
= m 4L2 d
(mod N).
(mod N) mit a(4L 2 ) + be = 1,
s e = w ae m be = m 4L2 dae m be = m 4L 2 a(de)+be = m a(4L 2 )+be = m (mod N)
zeigt (die Exponenten a und b existieren, da ggT(e, L) = 1, weil e > n eine
Primzahl ist).
Mit dem Korrektheitsbeweis können die Teilnehmer nachweisen, daß der
diskrete Logarithmus von s 2 i zur Basis m4L der gleiche ist wie der diskrete
28