Full paper (pdf) - CDC

heimgehalten werden, da die Chiffre F nur der Randomisierung von p ′ gilt.
Falls p ′ kein gültiger RSA-Klartext für die Recovery-Chiffre ist (es muß gelten
p ′ < NR), so wird der Schlüssel K um eins weitergezählt (K ← K + 1) und
p ′ wird erneut berechnet. Diese zweite Funktion der Chiffre F vermeidet das
häufige Suchen nach geeigneten Primzahlen p und senkt so die Rechenzeit. Erst
nach einer bestimmten Anzahl an Iterationen B1 wird abgebrochen und das
Verfahren neu gestartet (mit der Suche nach einem neuen p).
Sobald ein gültiges p ′ gefunden wurde, wird dieses mit dem Backup-Schlüssel
verschlüsselt. Von dem entstehenden Schlüsseltext c = (p ′ ) eR (mod NR) wird
nun erneut durch die symmetrische Chiffre F mit anfänglichem Schlüssel K
eine Reihe von Kandidaten c ′ für die obere Hälfte von N erzeugt (jeweils durch
Weiterzählen von K). Testweise wird jeder Kandidat c ′ durch Konkatenation
mit zufälligen Bits auf die doppelte Länge gebracht. Die entstehende Zahl wird
durch p geteilt (Ganzzahldivision ohne Rest), falls dabei eine Primzahl q entsteht,
setzt man N = pq und hat damit einen RSA-Modulus erhalten, dessen
obere Hälfte aus dem Chiffretext c ′ besteht (aufgrund von Übertragsbits und
dem fehlenden Rest bei der Ganzzahldivision kann die obere Hälfte NL = c ′ (−1)
auch um eine Einheit zu niedrig sein). Hierzu werden mehrere Versuche notwendig
sein, allerdings aufgrund des Primzahltheorems nicht allzu viele. Die
Chiffre F erzeugt ohne großen Rechnenaufwand eine gewisse Anzahl randomisierter
Kandidaten. Auch hier muß das Verfahren erst bei einer vorgegebenen
Iterationsschranke B2 neu gestartet werden (mit einem neuen p).
Zur Verdeutlichung der Funktionsweise der Suche nach N wollen wir ein kleines
und stark vereinfachtes Beispiel geben. Wir wollen einen RSA-Schlüssel mit
6 Dezimalstellen erzeugen, wobei der Primfaktor p den umgekehrt gelesenen ersten
drei Ziffern des Moduln N entspricht. Zufällig entnehmen wir aus der Primzahltabelle
die Kandidaten p ∈ {271, 953, 647, 443, 751, 337, 607, 823, 523, 107}
und ” verschlüsseln“ sie zu c ′ ∈ {172, 359, 746, 344, 157, 733, 706, 328, 325, 701}.
Unser erster Versuch führt zu 172512 (die letzten drei Ziffern zufällig ergänzt),
ganzzahlige Division durch 271 ergibt 636, keine Primzahl. Aber schon im dritten
Versuch gelangen wir zu 746357, also p = 647, q = 1153 und N = 745991
(wobei der angesprochene Übertragsfehler aufgetreten ist). Von den zehn Kandidaten
führten drei zum Erfolg (davon zwei mit Übertragsfehler).
Wenn auf diese Weise passende N, p und q gefunden wurden, kann man den
öffentlichen Exponenten e frei wählen (solange ggT(e, (p − 1)(q − 1)) = 1 gilt)
und den dazugehörigen privaten Exponenten d mit dem erweiterten Euklidschen
Algorithmus berechnen.
Um den Schlüssel wiederherzustellen, betrachtet der Recovery-Operator die
obere Hälfte des Moduln N als Schlüsseltext c ′ der Chiffre F . Da er nicht genau
wissen kann, welcher der Kandidaten c ′ zum Erfolg geführt hat (der symmetrische
Schlüssel K wurde dabei jeweils weitergezählt), entschlüsselt er c ′ für
jedes mögliche K (deren Zahl durch die Iterationsschranke B2 begrenzt ist)
und erhält damit eine Reihe denkbarer RSA-Schlüsseltexte c, die er mit seinem
Recovery-Schlüssel zu einer Menge von möglichen p ′ entschlüsseln kann.
Auch hier muß er wieder die symmetrische Chiffre F mit den B1 möglichen
Schlüsseln K anwenden, solange bis er einen Primfaktor p von N entschlüsseln
konnte. Konnte kein p gefunden werden, muß er aufgrund des möglichen Übert-
42