Full paper (pdf) - CDC

3.8 ElGamal-Key-Sharing
Wie wir gesehen haben, sind ElGamal-Verschlüsselungen und -Signaturen randomisierte
Berechnungen, in die jeweils eine Zufallszahl eingeht. Die Verschlüsselung
ist eine Public-Key-Operation, so daß ein Key-Sharing auf sie keinen Einfluß
hat. Zur Signatur allerdings wird der private Schlüssel (beziehungsweise
die privaten Schlüsselteile) benötigt, so daß die Erzeuger der Teilsignaturen
untereinander kommunizieren müssen, um sich auf die Zufallszahl zu einigen.
Da wir uns in dieser Arbeit nur mit Protokollen beschäftigen wollen,
die keine Interaktion der Teilnehmer erforderlich machen, werden wir verteilte
ElGamal-Signaturen (und andere, davon abgeleitete Signaturen, beispielsweise
DSA) nicht besprechen und verweisen auf die Literatur [GJKR96].
Genau wie beim nicht-redundanten RSA-Key-Sharing ist es sehr einfach
möglich, den geheimen Exponenten a in beliebig viele Summanden ai mit �
i ai =
a (mod p − 1) zu zerlegen, die dann unabhängig voneinander zur Berechnung
von Teilentschlüsselungen verwendet werden können:
Bi = B −ai (mod p) und c �
Bi = Bc = m (mod p).
Beim Versuch, das Shamir-Verfahren direkt auf ElGamal-Exponenten zu
übertragen, stößt man wie beim RSA-Verfahren erneut auf das Problem, daß
sich die Exponenten in einer nicht-primen Restgruppe bewegen, in diesem Fall
(Z/(p − 1)Z) (die Ordnung dieser Gruppe muß zwar im Gegensatz zum RSA-
Verfahren nicht geheim gehalten werden, aber das ändert nichts daran, daß sich
gewisse Elemente nicht invertieren lassen). Es gibt verschiedene Vorschläge, wie
dieses Problem umgangen werden kann. Man kann das ElGamal-Verfahren in
anderen Zahlkörpern durchführen, etwa (Z/pZ)mit p = 2 l und p − 1 prim,
ein anderes Secret-Sharing-Verfahren anwenden [DF90] oder ähnlich wie im
Pedersen-Verfahren aus Abschnitt 2.3.1 in einer primen Untergruppe Gq von
(Z/pZ) ∗ rechnen [Ped91]. Wir verwenden hier letztere Vorgehensweise.
Wenn die Primzahl p sich als p = mq + 1 darstellen läßt, wobei q ebenfalls
eine Primzahl ist, dann läßt sich das ElGamal-Verfahren wie folgt abwandeln:
Das Element g wird nicht mehr so gewählt, daß es die gesamte Gruppe
(Z/pZ) ∗ erzeugt, sondern lediglich eine Untergruppe Gq mit q Elementen. Infolge
dessen bewegen sich die auftretenden Exponenten nur noch in der (kleineren,
aber ebenfalls primen) Gruppe (Z/qZ), so daß man im Exponenten nicht mehr
modulo p − 1 rechnen muß, sondern modulo q rechen kann (in der Basis muß
weiterhin modulo p gerechnet werden). Auf diese Weise kommt man mit kleineren
Exponenten aus (das wird beim DSA-Verfahren ausgenutzt) und kann auch
das Shamir-Verfahren direkt verwenden.
Schlüsselerzeugung Der Schlüsselgenerator wählt zwei Primzahlen p und q
mit p = mq+1 und bestimmt eine Element g aus (Z/pZ) ∗ mit Ordnung q (dieses
Element erzeugt eine Untergruppe Gq von (Z/pZ) ∗ ). Dann wählt er zufällig und
gleichverteilt den geheimen Exponenten a aus {1 . . . q − 1} und berechnet den
öffentlichen Schlüssel (p, q, g, A) mit
A = g a
31
i
(mod p).