Full paper (pdf) - CDC

Schlüsselerzeugung Um ein ElGamal-Schlüsselpaar zu erzeugen, wählt der
Schlüsselgenerator eine Primzahl p und bestimmt eine Primitivwurzel g aus
(Z/pZ) ∗ (dies ist ein Element aus (Z/pZ) ∗ , dessen Potenzen die ganze Gruppe
(Z/pZ) ∗ erzeugen). Dann wählt er zufällig und gleichverteilt den geheimen Exponenten
a aus {1 . . . p − 2} und berechnet den öffentlichen Schlüssel (p, g, A)
mit
A = g a
(mod p).
Die Größe von p bestimmt die Sicherheit des Verfahrens. Es muß unmöglich
gemacht werden, diskrete Logarithmen in (Z/pZ)zu berechnen. Zur Zeit gelten
1024-Bit-Schlüssel als hinreichend sicher.
Schlüsselverwendung Wie beim RSA-Verfahren können auch ElGamal-Schlüssel
für zwei unterschiedliche Operationen, nämlich Verschlüsselung und Signatur
herangezogen werden. Im Unterschied zu RSA sind hierbei jedoch zwei verschiedene
Algorithmen anzuwenden.
Um eine Nachricht m für den Empfänger mit dem öffentlichen Schlüssel
(p, g, A) zu verschlüsseln, wählt der Absender eine Zufallszahl b ∈R {1 . . . p − 2}
und berechnet
B = g b
(mod p).
Anschließend wird die Nachricht als Zahl zwischen 1 und p−1 interpretiert und
es ergibt sich der Schlüsseltext (B, c) mit
c = A b m (mod p).
Der Empfänger kann die Nachricht unter Verwendung seines geheimen Exponenten
a entschlüsseln:
B p−1−a c = B −a c = g b(−a) A b m = g −ab g ab m = m (mod p).
Genau wie bei der RSA-Verschlüsselung wird man lange Nachrichten zunächst
symmetrisch verschlüsseln und nur den symmetrischen Schlüssel mit ElGamal
übermitteln. Im Gegensatz zu RSA ist die ElGamal-Verschlüsselung durch die
Wahl von b randomisiert, so daß ein Padding mit Zufallszahlen nicht notwendig
ist (die Sicherheit des Verfahrens beruht übrigens darauf, daß bei jeder
Verschlüsselung ein neues b gewählt wird).
Um eine Signatur für die Nachricht m zu erzeugen, benutzt der Absender
mit dem privaten Schlüssel (p, g, a) eine kryptographische Hashfunktion, die
die Nachricht auf einen Wert h(m) zwischen 1 und p − 2 abbildet. Anschließend
wählt er eine Zufallszahl k ∈R {1 . . . p − 2} mit ggT(k, p − 1) = 1 und berechnet
das Inverse k −1 von k modulo p − 1 sowie
r = g k
(mod p) und s = k −1 (h(x) − ar) (mod p − 1).
Die Signatur ist das Paar (r, s). Bei der Verifikation kann mit dem öffentlichen
Schlüssel (p, g, A) überprüft werden, ob gilt
A r r s = g h(x)
(mod p).
In diesem Fall handelt es sich um eine gültige Signatur, denn
A r r s = g ar g kk−1 (h(x)−ar) = g ar−ar+h(x) = g h(x)
30
(mod p).