DE2843583A1

DE2843583A1 - Verfahren und vorrichtung zum entschluesseln verschluesselter nachrichten

Info

Publication number: DE2843583A1
Application number: DE19782843583
Authority: DE
Inventors: Martin E Hellman; Ralph C Merkle
Original assignee: Leland Stanford Junior University
Current assignee: Leland Stanford Junior University
Priority date: 1977-10-06
Filing date: 1978-10-05
Publication date: 1979-05-10
Also published as: US4218582A; FR2405532B1; GB2006580A; SE7810478L; AU4041878A; FR2405532A1; IT1099780B; JPS5488703A; ES474539A1; SE439225B; IT7828508A0; CH634161A5; BE871039A; AU519184B2; DE2843583C2; GB2006580B; JPS5950068B2; NL7810063A; CA1128159A

Description

BESCHREIBUNG-

Die Erfindimg bezieht sich auf kryptographische Verfahren und Vorrichtungen.

Kryptographische Systeme bzw. Verfahren und Vorrichtungen werden in großem Umfang verwendet, um die Geheimhaltung und Echtheit von Nachrichten, Meldungen und dgl. zu gewährleisten, die über unsichere Kanäle weitergegeben werden. Ein Geheimhaltungssystem hat die Aufgabe, zu verhindern, daß unbefugte Personen Informationen aus Nachrichten entnehmen, die mittels eines unsicheren Kanals übermittelt werden, um dem Absender einer Nachricht Gewähr dafür zu geben, daß die Nachricht nur von dem gewünschten Empfänger gelesen v/erden kann. Ein Authentisierungssystem hat die Aufgabe, die unbefugte Eingabe von Nachrichten in einen unsicheren Kanal unmöglich zu machen und dem Empfänger die Gewähr zu geben, daß die empfangene Nachricht von einem legitimierten Absender stammt.

909819/0603

Gegenwärtig bestehen die Maßnahmen zum Authentisieren von Nachrichten in den meisten Fällen darin, daß jeder Nachricht ein Authentisierungsmuster angefügt wird, das nur dem Absender und dem vorgesehenen Empfänger bekannt ist, und daß die betreffende Kombination verschlüsselt wird. Diese Maßnahmen bieten einen Schutz dagegen, daß es einer unbefugten mithörenden Person möglich ist, neue und in der richtigen Weise authentisierte Nachrichten zu fälschen, wenn vorher nicht auch der benutzte Ziffernschlüssel gestohlen worden ist. Jedoch besteht nur ein geringer Schutz gegen die Gefahr des Entstehens von Streitigkeiten; beispielsweise kann der Absender eine in der richtigen Weise authentisierte Nachricht absenden und danach die Absendung der Nachricht leugnen und fälschlicherweise den Empfänger dafür verantwortlich machen, daß er unbefugt gehandelt hat. Umgekehrt ist es möglich, daß der Empfänger nicht genehmigte Maßnahmen trifft, daß er eine an sich selbst gerichtete Nachri ent fälscht und dann fälschlicherweise den Absender für die betreffenden Maßnahmen verantwortlich macht. Diese Gefahr des Entstehens von Streitigkeiten ergibt sich aus dem Fehlen geeigneter Einrichtungen zum Erstellen von Quittungen, mittels welcher man beweisen könnte, daß eine bestimmte Nachricht durch einen bestimmten Absender einem bestimmten Empfänger zugeleitet worden ist.

Bei den bekannten kryptographischen Systemen ergibt sich eine der größten Schwierigkeiten daraus, daß es für den Absender und den Empfänger erforderlich ist, einen Ziffernschlüssel über einen zugriffssicheren Kanal auszutauschen, zu dem unbefugte Personen keinen Zugang haben. Um einen solchen Ziffernschlüssel auszutauschen, wird der Austausch häufig dadurch bewirkt, daß der Schlüssel vorher über einen zuverlässigen Kanal übermittelt wird, z.B. einen privaten Kurier oder mit eingeschriebener Post; diese zugriffssicheren Kanäle arbeiten jedoch gewöhnlich langsam, und ihre Bonutzung ist kostspielig.

909819/0603

In "Multiuser Cryptographic Techniques", AFIPS - Conference Proceedings, Bd. 45, S. 109-112 vom 8. Juni 1976 schlagen Diffie et al die Benutzung eines Kryptosystems mit einem öffentlichen Schlüssel vor, bei dem es möglich ist, auf die Benutzung eines zugriffssicheren Kanals zu verzichten, da die vom Absender verwendeten Verschlüsselungsinformationen öffentlich bekannt sind. Ferner wird dargelegt, auf welche Weise es ein Kryptosystem mit öffentlichem Schlüssel ermöglichen würde, mit einem Authentisierungssystem zu arbeiten, mittels dessen eine von der Nachricht abhängige, nicht verfälschbare digitale Unterschrift erzeugt wird. Diffie schlägt vor, zwei Schlüssel E und D zu benutzen, um eine Nachricht zu verschlüsseln und danach zu entschlüsseln, so daß es sich bei dem Schlüssel E um eine öffentlich zugängliche Information handelt, während der Schlüssel D durch den vorgesehenen Empfänger geheimgehalten wird. Zwar wird der Schlüssel D durch den Schlüssel E bestimmt, doch ist es unmöglich, den Schlüssel D aus dem Schlüssel E zu berechnen. Diffie stellt fest, daß es plausibel ist, ein solches Kryptosystem mit öffentlichem Schlüssel zu entwerfen, das es einem Benutzer ermöglichen würde, eine Nachricht zu verschlüsseln und sie dem beabsichtigten Empfänger zuzuleiten, wobei es jedoch nur diesem beabsichtigten Empfänger möglich sein würde, die Nachricht zu entschlüsseln. Zwar erläutert Diffie die Plausibilität des Aufbaus solcher Systeme, doch führt er weder den Beweis, daß sich Kryptosysteme mit öffentlichem Schlüssel in Gebrauch befinden, noch gibt er ein brauchbares System an.

Diffie liefert drei Plausibilitätsargumente für die Existenz eines mit einem öffentlichen Schlüssel arbeitenden Kryptosystems. Hierzu gehören die Verwendung einer Matrix, der Gebrauch einer Maschinensprache und die Anwendung einer logischen Abbildung. Zwar ist es bei einem Matrixsystem möglich, mit Matrizen zu arbeiten, bezüglich welcher es

909819/0603

sich nachweisen läßt, daß man praktisch eine nicht zumutbare Zeit für die kryptoanalytische Behandlung, d.h. zum Berechnen des Schlüssels D aus dem Schlüssel E, "benötigen würde, wenn man bekannte Verfahren anwendet, doch ermangelt es dem Gebrauch von Matrizen der praktischen Anwendbarkeit, da die benötigten Matrizen enorme Abmessungen erhalten maßten. Zwar wird ferner der Gebrauch einer Maschinensprache sowie die Anwendung einer logischen Abbildung vorgeschlagen, doch werden keine Angaben darüber gemacht, auf welche Weise solche Systeme so ausgebildet werden können, daß für die Entschlüsselung nachweisbar eine zu lange Zeit benötigt würde.

Ferner führt Diffie ein Verfahren ein, bei dem ule vorgeschlagenen Kryptosystem mit öffentlichem Schlüssel angewendet werden, und das es dem Empfänger ermöglichen würde, die Authentizität einer Nachricht leicht nachzuprüfen, bei dem jedoch der Empfänger daran gehindert wird, scheinbar authentische Nachrichten zu erzeugen. Zwar beschreibt Diffie ferner ein Protokoll, nach dem gearbeitet werden soll, um bei dem vorgeschlagenen Kryptosystem mit öffentlichem Schlüssel eine Authentisierung zu erhalten, doch beruht das Authentisierungsverfahren auf der Existenz eines Kryptosystems mit öffentlichem Schlüssel, für das Diffie allerdings keine Vorschläge macht.

Der Erfindung liegt die Aufgabe zugrunde, es authorisierten Teilnehmern einer Unterhaltung (Unterhaltungsteilnehrner) zu ermöglichen, sich privat zu unterhalten, obwohl einer nicht authorisierten Person (Horcher) der gesamte Nachrichtenverkehr zugänglich ist. Ferner soll es die Erfindung einem einen unsicheren Kanal benutzenden Unterhaltungsteilnehmer ermöglichen, die Identität eines anderen Unterhaltungsteilnehmers festzustellen. Weiterhin soll es durch die Erfindung ermöglicht werden, für einen Empfänger, der einen unsicheren Kanal benutzt, eine Quittung zu erstellen,

909819/0603

um zu beweisen, daß über einen bestimmten Sender eine bestimmte Nachricht zu dem Empfänger übermittelt v/orden ist. Hierbei soll es dem Empfänger ermöglicht werden, auf leichte Weise die Authentizität einer Nachricht zu prüfen, doch soll der Empfänger daran gehindert werden, eine scheinbar authentische Nachricht zu erzeugen.

Zur Lösung dieser Aufgabe sind durch die Erfindung ein Verfahren und eine Vorrichtung geschaffen v/orden, die einen zugriffssicheren Verkehr über einen unsicheren Kanal dadurch ermöglichen, daß ein rechnerisch zugriffssicheres Kryptogramm übermittelt wird, bei dem es sich um eine öffentlich bekannte Transformation der durch den Sender übermittelten Nachricht handelt. Die weiter unten beschriebene Ausführungsform der Erfindung unterscheidet sich von den bis jetzt vorgeschlagenen Kryptosystemen mit öffentlichem Schlüssel, wie sie in "Multiuser Cryptographic Techniques" beschrieben sind, dadurch, daß es sich nicht nur zur praktischen Anwendung eignet, sondern daß es mit Hilfe bekannter Verfahren nachweisbar unmöglich ist, eine Umkehrung durchzuführen.

Gemäß der Erfindung erzeugt ein Empfänger einen geheimen Entzifferungsschlüssel sowie einen öffentlichen Verschlüsselungsschlüssel derart, daß sich der geheime Entζifferungsschlüssel nur unter Schwierigkeiten aus dem öffentlichen Verschlüsselungsschlüssel oder Code erzeugen läßt. Der Sender verschlüsselt eine zu übermittelnde Nachricht dadurch, daß er die Nachricht mit dem öffentlichen Verschlüsselungscode transformiert, wobei sich die Transformation zur Verschlüsselung der Nachricht leicht durchführen läßt, wobei es jedoch schwierig ist, eine Umkehrung ohne Benutzung des geheimen Entschlüsselungscodes durchzuführen. Die verschlüsselte Nachricht wird dann vom Sender zum Empfänger übermittelt. Der Empfänger entschlüsselt die verschlüsselte Nachricht dadurch, daß er die Verschlüsselungstransformation mit Hilfe des geheimen Entschlüsselungscodes umkehrt.

909819/0803

Bei einer zweiten Ausführungsform eines Verfahrens und einer Vorrichtung nach der Erfindung ist es möglich, mit Hilfe eines Senders die Identität eines autorisierten Empfängers zu authentisieren. Der aüthorisierte Empfänger erzeugt einen geheimen Entschlüsselungscode und einen öffentlichen Verschlüsselungscode derart, daß sich der geheime Entschlüsselungscode nur unter Schwierigkeiten aus dem öffentlichen Verschlüsselungscode erzeugen läßt. Der Sender verschlüsselt eine zu übermittelnde Nachricht dadurch, daß die Nachricht mit Hilfe des öffentlichen Verschlüsselungscodes transformiert wird, wobei sich die Transformation zur Verschlüsselung der Nachricht leicht durchführen läßt, wobei es jedoch schwierig ist, ohne Benutzung des geheimen Entschlüsselungscodes eine Umkehrung durchzuführen. Die verschlüsselte Nachricht wird dann vom Sender zum Empfänger übermittelt. Der Empfänger entschlüsselt die verschlüsselte Nachricht durch Umkehren der Verschlüsselungstrans formation unter Benutzung des geheimen Entschlüsselungscodes. Die Identität des Empfängers wird gegenüber dem Sender dadurch authentisiert, daß es dem Empfänger möglich ist, die verschlüsselte Nachricht zu entziffern.

Eine weitere Ausführungsform des Verfahrens und der Vorrichtung nach der Erfindung ermöglicht es, eine Quittung für eine übermittelte Nachricht zu erstellen. Hierbei erzeugt ein Sender einen geheimen Schlüssel und einen öffentlichen Schlüssel derart, daß sich der geheime Schlüssel nur unter Schwierigkeiten aus dem öffentlichen Schlüssel erzeugen läßt. Dann erstellt der Sender eine Quittung dadurch, daß er eine Darstellung der übermittelten Nachricht mit Hilfe des geheimen Schlüssels transformiert, wobei sich die Transformation zur Erzeugung der Quittung nur unter Schwierigkeiten durchführen läßt, wenn der geheime Schlüssel nicht zur Verfügung steht, wobei jedoch eine Umkehrung mit Hilfe des öffentlichen Schlüssels leicht möglich ist. Die

909819/0603

Quittung wird dann vom Sender zum Empfänger übermittelt. Der Empfänger bewirkt eine Umkehrung der Transformation mit Hilfe des öffentlichen Schlüssels, so daß man eine Darstellung der übermittelten Nachricht aus der Quittung erhält, und um die Quittung gültig zu machen, wird die Ähnlichkeit der Darstellung der übermittelten Nachricht mit der tatsächlich übermittelten Nachricht verglichen.

Ausführungsbeispiele der Erfindung werden im folgenden anhand schematischer Zeichnungen näher erläutert. Es zeigt:

Fig. 1 ein Blockschaltbild eines Kryptosystems mit öffentlichem Schlüssel, das geeignet ist, ein gegen rechnerische Eingriffe gesichertes Kryptogramm über einen nicht zugriffssicheren Kanal zu übermitteln;

Fig. 2 ein Blockschaltbild einer Verschlüsselungseinrichtung zum Umwandeln einer Nachricht in einen Zifferntext bei dem Kryptosystem nach Fig. 1;

Fig. 3 ein Blockschaltbild eines Multiplizierers zum Durchführen modularer Multiplikationen bei der Entschlüsselungseinrichtung nach Fig. 7, der Potenzier einrichtung nach Fig. 10 und dem mit einem öffentlichen Schlüssel arbeitenden Generator nach Fig. 11;

Fig. 4 die Schaltung einer Addiereinrichtung zum Durchführen von Additionen bei der Verschlüsselungseinrichtung nach Fig. 2, der Multipliziereinrichtung nach Fig. 3 und dem mit öffentlichem Schlüssel arbeitenden Generator nach Fig. 11;

Fig. 5 die Schaltung eines Komparators zum Durchführen von Größenvergleichen bei der Entschlüsselungseinrichtung nach Fig. 2, der Multipliziereinrichtung

909819/0603

nach Fig. 3, der Entschlüsse lungs einrichtung nach Fig. 7> der Dividiereinrichtung nach Fig. 8 und der alternativen Entschlüsselungseinrichtung nach Fig. 9;

Fig. 6 die Schaltung einer Subtraktionseinrichtung zum Durchführen von Subtraktionen bei der Multipliziereinrichtung nach Fig. 3, der Entschlüsselungseinrichtung nach Fig. 7 und der Dividiereinrichtung nach Fig. 8;

Fig. 7 ein Blockschaltbild einer Entschlüsselungseinrichtung zum Entschlüsseln eines Schlüsseltextes zur Umwandlung in eine Nachricht bei dem Kryptosystem mit öffentlichem Schlüssel nach Fig. 1;

Fig. 8 ein Blockdiagramm einer Dividiereinrichtung zum Durchführen von Divisionen bei der Einrichtung nach Fig. 7 und der alternativen Entschlüsselungseinrichtung nach Fig. 9;

Fig. 9 ein Blockschaltbild einer alternativen Entschlüsseleinrichtung zum Umwandeln eines Schlüsseltextes in eine Nachricht bei dem Kryptosystem mit öffentlichem Schlüssel nach Fig. 1;

Fig. 10 eine Potenziereinrichtung zum Potenzieren verschiedener Zahlen mit verschiedenen Exponenten nach der Moduloarithmetik bei der alternativen Entschlüsseleinrichtung nach Fig. 9 und dem Generator nach Fig. 11;

Fig. 11 einen mit öffentlichem Schlüssel arbeitenden Generator zum Erzeugen des öffentlichen Verschlüsselungs, codes bei dem Kryptosystem nach Fig. 1;

9098 19/060

Fig. 12 ein Fließbild des Algorithmus des logarithmischen Wandlers nach Fig. 11 für den Fall, daß ρ - 1 eine Potenz von 2 ist; und

Fig. 13 ein Fließbild des Algorithmus zum Berechnen der Koeffizienten (b.) der Reihe

n- -1

i <- i x(mod p. ) = Σ b. pV

¹ d0 ³ ^χ

wenn bei dem logarithmischen Wandler nach Fig. 11 der Ausdruck 0<b. <p_i - 1 gilt, wobei p-1 nicht eine Potenz von 2 ist.

In Fig. 1 ist ein Kryptosystem mit öffentlichem Schlüssel dargestellt, bei dem sämtliche Nachrichten über einen nicht zugriffssicheren Kanal 19 übermittelt werden, z,B. über eine Fernsprechleitung. Die Übermittlung erfolgt über den ungesicherten Kanal 19 zwischen einem Sender 11 und einem Empfänger 12 unter Benutzung von Sender-Empfänger-Einheiten 31 und 32, bei denen es sich um Modems, z.B. solche der Bauart Bell 201, handeln kann. Dem Sender 11 wird eine unverschlüsselte Nachricht bzw. eine Klartextnachricht X eingegeben, die zu dem Empfänger 12 übermittelt werden soll. Zu dem Sender 11 und dem Empfänger 12 gehören eine Schlüsseleinrichtung 15 und eine Entschlüsseleinrichtung 16 zum Verschlüsseln bzw. Entschlüsseln von Informationen unter dem Einfluß eines Verschlüsse lungs co des E, der in der Leitung E erscheint, sov/ie eines reziproken Entschlüsselungscodes D, der in der Leitung D erscheint. Die Einrichtungen 15 und 16 bewirken eine umgekehrte Transformation, wenn ihnen die entsprechenden Codes E und D eingegeben werden. Diese Codes können sich z.B. aus einer Folge von zufällig gewählten Buchstaben oder Ziffern zusammensetzen. Die Verschlüsselungseinrichtung 15 verwandelt durch eine Verschlüsselung die Klar-

909819/0603

textnachricht X und eine verschlüsselte Nachricht oder einen Schlüsseltext S, der durch den Sender 11 über den ungesicherten Kanal 19 übermittelt wird; der Schlüsseltext S wird von dem Empfänger 12 empfangen und durch die Entschlüsse !einrichtung 16 entschlüsselt, so daß man wiederum die Klartextnachricht X erhält. Gemäß Fig. 1 ist angenommen, daß eine unbefugte Person bzw. ein Horcher 13 vorhanden ist, dem ein Schlüsselgenerator 23 und eine Entschlüsseleinrichtung 18 zur Verfügung stehen, und der Zugang zu dem ungesicherten Kanal 19 hat, so daß er dann, wenn er Kenntnis von dem Entschlüsselungscode hätte, den Schlüsseltext S entschlüsseln könnte, um die Klartextnachricht X zu erhalten.

Bei dem hier beschriebenen Ausführungsbeispiel wird von der Schwierigkeit Gebrauch gemacht, die sich aus dem sog. Tornisterproblem ("knapsack problem") ergibt. Eine einfache Erläuterung ergibt sich, wenn man einen eindimensionalen Tornister mit der Länge S und einen Vektor a annimmt, der η Stäbe mit der Länge a^, a₂ ... a_n enthält; das Tornisterproblem besteht dann darin, einen Ergänzungssatz von Stäben zu finden, der den Tornister vollständig ausfüllt, wenn ein solcher Ergänzungssatz existiert. Eine äquivalente Aufgabe besteht darin, einen binären η-Vektor χ aus Nullen und Einsen derart zu finden, daß S = a * χ ist, wenn ein solcher x-Wert existiert; ein den Vektoren beigefügter Stern bezeichnet ein inneres Produkt, während er bei skalaren Größen eine normale Multiplikation bezeichnet.

Eine angenommene Lösung χ läßt sich leicht bei höchstens η Additionen prüfen; soweit gegenwärtig bekannt, erfordert das Auffinden einer Lösung eine Anzahl von Operationen, die mit η exponentiell zunimmt. Ein lückenloses Ausprobieren zum Auffinden einer Lösung bei sämtlichen 2ⁿ möglichen Werten für χ ist auf rechnerischem Wege unmöglich, wenn η größer ist als 100 oder 200. Eine Aufgabe wird als rechnerisch undurchführbar betrachtet, wenn ihre Kosten im Hinblick auf

909819/0603

die Größe des zu benutzenden Speichers oder die. Rechenzeit zwar einen endlichen Wert haben, jedoch jeden ausführbaren Wert überschreiten; dies trifft z.B. für den Fall zu, daß mit Hilfe bekannter Rechenverfahren und Rechengeräte Operationen durchgeführt werden müßten, deren Anzahl in der

"3O
Größenordnung von etwa 10 liegt.

Aus der Theorie ergibt sich die Schwierigkeit des Tornisterproblems, denn es handelt sich um ein NP-geschlossenes Problem, das daher eines der schwierigsten Rechenprobleme bei einem kryptographischen System bildet, (siehe z.B. A. V. Aho, J.E. Hopcraft und J.D. Ullman, "The Desin. and Analysis of Computer Algorithms", Reading, Ma., Addison-Wesley, 1974, S. 363-404.) Der Schwierigkeitsgrad richtet sich jedoch nach der Wahl von a. Ist a = (1, 2, 4, ... 2^ⁿ~ ', bedingt die Lösung für χ das Auffinden der binären Darstellung von S. Wenn etwas weniger trivial ausgedrückt für alle Werte von i der Ausdruck

a. > £ a₃ (D

gilt, läßt sich χ ebenfalls leicht finden: X_n = 1, wenn und nur wenn ^s>a_n, und bei i = n-1, n-2, . und nur wenn der nachstehende Ausdruck

nur wenn ^s>a_n, und bei i = n-1, n-2, ... 1, ist x_± = 1, wenn

^s - Σ ^χα * ^ad * ^ai ⁽²⁾

j = i+1
gilt.

Wenn man zuläßt, daß die Komponenten von x ganzzahlige Werte zwischen O und 1 annehmen, kann man die vorstehende Bedingung (1) durch _ . _Ί i-1 _ ersetzen, und es ist mög-

τ-1 ^J

J-' _n

lieh, x. als ganzzahligen Teil von (S- Σ ¹ j=i

909819/0603

zurückzugewinnen. Die Gleichung (2) zum Feststellen des Wertes von x^, wenn x. als binärer Wert vorliegt, entspricht dieser Regel für 1=1.

Bei einem Tornister mit einer Falltür handelt es sich um eine Anordnung, bei der es eine sorgfältige Wahl von a dem Konstrukteur ermöglicht, leicht eine Lösung für jeden Wert von χ zu finden, bei der es jedoch für jede andere Person unmöglich ist, die Lösung zu finden. Im folgenden v/erden zwei Verfahren zum Konstruieren von Tornistern mit Falltüren beschrieben, doch wird zunächst auf ihre Verwendung bei einem mit öffentlichem Schlüssel arbeitenden Kryptosystem der in Fig. 1 dargestellten Art eingegangen. Der Empfänger 12 erzeugt einen Falltürtornister-Vektor a und überführt diesen entweder in eine öffentliche Kartei oder übermittelt ihn zu dem Sender 11 über den ungesicherten Kanal 19. Der Sender 11 stellt die Klartextnachricht X als einen Vektor χ mit η Nullen und Einsen dar, er berechnet S = a * x, und er übermittelt S zum Empfänger 12 über den ungesicherten Kanal 19. Der Empfänger 12 kann S für χ lösen, doch ist es für den Mithörer 13 unmöglich, S für χ zu lösen.

Bei einem Verfahren zum Erzeugen von Falltürtornistern arbeitet der Schlüsselgenerator 22 mit Zufallszahlen, die durch die Schlüsselquelle 26 erzeugt werden, um zwei große ganze Zahlen m und w zu wählen, so daß v; nicht modulo-mumkehrbar ist, d.h. daß m und w keine gemeinsamen Faktoren außer 1 haben. Beispielsweise kann die Schlüsselquelle einen Zufallszahlengenerator enthalten, der aus rauschstarken Verstärkern, z.B. Operationsverstärkern der Bauart Fairchild u 709 aufgebaut ist und einen Polaritätsdetektor aufweist. Dem Schlüsselgenerator 22 wird ein Tornistorvektor a'zugeführt, der die Gleichung (1) befriedigt und daher eine Lösung der Gleichung S' = a¹ + χ ermöglicht, und er

909819/0603

verwandelt den leicht zu lösenden Tornistervektor a¹ in einen Falltürtornister-Vektor a entsprechend der folgenden Gleichung:

a. = w * a^!. mod m (3)

Der Vektor a wirkt als öffentlicher Verschlüsselungscode E in der Leitung E und entweder einer öffentlichen Kartei eingegeben oder über den ungesicherten Kanal 19 zum Sender übermittelt. Der Verschlüsselungscode E wird hierdurch sowohl für den Sender 11 als auch für den Mithörer 13 zugänglich. Beim Sender 11 wird der Verschlüsselungscode E, der gleich a ist, verwendet, um den Schlüsseltext S aus der Klartextnachricht X zu erzeugen, die durch den Vektor χ dargestellt wird, und zwar dadurch, daß zugelassen wird, daß S = a * χ ist. Da jedoch a^ pseudozufällig verteilt sein kann, ist es dem Mithörer 13, der a, jedoch nicht w oder m kennt, praktisch unmöglich, ein Tornisterproblem zu lösen, bei dem a eine Rolle spielt, um die gewünschte Nachricht χ zu erhalten.

Die Entschlüsseleinrichtung 16 des Empfängers 12 erhält w$ m und a¹ als geheimen Entschlüsselungscode D, so daß sie leicht die nachstehende Berechnung ausführen kann.

S^! = 1/w * S mod m (4)

= 1/w*Sx.* a_± mod m (5)

= 1/w * £ x_± * w * aj mod m (6)

= Σ.^ * a| mod m (7)

Wählt man m so, daß

m > £a| (8)

909819/0603

ergibt sich aus Gleichung (7), daß S¹ gleich Ux₁ * ^ai ' in der Ganzzahlarithmetik und gleich mod m ist. Dieser Tornister läßt sich leicht für χ lösen, wobei χ gleichzeitig die Lösung für das schwierigere Falltürtornister-Problem S = a * χ ist. Dem Empfänger 12 ist es daher möglich, die Klartextnachricht X zurückzugewinnen, die durch den binären Vektor χ dargestellt ist. Jedoch ist es möglich, dafür zu sorgen, daß sich das Falltürtornister-Problem, vor das sich der Mithörer 13 gestellt sieht, rechnerisch nicht lösen läßt, so daß es dem Mithörer nicht möglich ist, sich die Klartextnachricht X zugänglich zu machen.

Um diese Gedankengänge zu verdeutlichen, wird im folgenden ein Beispiel behandelt, bei dem η gleich 5 ist. Wählt man m = 8443, a' = (171, 196, 457, 1191, 2410) und w = 2550, erhält man a = (5457, 1663, 216, 6013, 7439). Wählt man χ = (0, 1,-0, 1, 1), berechnet die Schlüsseleinrichtung 15 den Wert S = 1663 + 6013 + 7439 = 15115. Die Entschlüsseleinrichtung 16 arbeitet mit dem Algorithmus von Euclid (siehe z.B. D. Knuth "The Art of Computer Programming", Bd. II, Addison-Wesley, 1969, Reading, Ma.), um 1/w = 3950 zu berechnen, um dann die nachstehende Rechnung auszuführen

S¹ = 1/w * S mod m (9)

= 3950 * 15115 mod 8443 = 3797

Da S¹ größer ist als a'r, bestimmt die Entschlüsseleinrichtung 17, daß Xc = 1. Dann bestimmt sie unter Benutzung der Gleichung (2) für den Vektor a», daß x^ = 1, x, = 0, X₂ = 1, X₁ = 0 oder χ = (0,1, 0, 1, 1) ist, wobei es sich hierbei auch um die richtige Lösung für S = a * χ handelt.

Für den Mithörer 13, der die Werte von m, w oder a' nicht kennt, ist es sehr schwierig, eine Lösung für χ aus S = a * χ

909819/0603

zu erhalten, und zwar auch dann, wenn er das Verfahren zum Erzeugen des Falltürtornister-Vektors a kennt. Diese Aufgabe läßt sich dadurch undurchführbar machen, daß man für n, m, w und a' größere Wert wählt. Die genannte Aufgabe läßt sich noch weiter erschweren, indem man die Reihenfolge der Werte von a. verwürfelt und jedem Wert von a. verschiedene zufällig gewählte Vielfache hinzufügt.

Das vorstehende Beispiel hat einen äußerst kleinen Umfang und soll lediglich das angewendete Verfahren veranschaulichen. Wenn man mit η = 100 arbeitet, wobei es sich um die untere Grenze des Bereichs handelt, der bei Systemen mit hohem Sicherheitsgrad gegenwärtig angewendet wird, d.h. wenn man einen vernünftigeren Wert ansetzt, liegt es nahe,

201 m annähernd gleichmäßig aus den Zahlen zwischen 2 + 1

202

und 2 - 1 zu wählen, d.h. a^' gleichmäßig aus dem Bereich (1,2 ) zu wählen, ap' gleichmäßig aus dem Bereich (2¹⁰⁰ + 1, 2 * 2¹⁰⁰) zu wählen, a₃« gleichmäßig aus dem Bereich 3 x 2 ¹⁰° + 1, 4 * 2¹⁰⁰) usw. zu wählen, und daß a_±« gleichmäßig aus ((2ⁱ~¹-1) * 2¹⁰⁰ + 1, 2¹"¹ * 2¹⁰⁰) gewählt wird; ferner kann man w' gleichmäßig aus (2, m-2) wählen und dann durch den größten gemeinsamen Teiler von (w¹, m) teilen, so daß man w erhält.

Die Wahl dieser Werte gewährleistet, daß die Gleichung (8) befriedigt wird, und daß der Mithörer 13 mit mindestens 2 Möglichkeiten für jeden Parameter zu rechnen hat, so daß es ihm nicht möglich ist, sämtliche Möglichkeiten auszuprobieren.

Die Schlüsseleinrichtung 15 ist in Fig. 2 dargestellt. Die Folge von ganzen Zahlen a^, a£> ... a wird sequentiell synchron mit der sequentiellen Darstellung der Nullen und Einsen von x^ , x₂, ... X_n zugeführt. Das S-Register 41 wird zunächst auf Null gesetzt. Wenn χ. = 1, werden der Inhalt

909819/0603

41 des S-Registers und a. durch den Addierer 42 addiert, und das Ergebnis wird dem S-Register 41 eingegeben. Ist X₄ = O, bleibt der Inhalt des S-Registers 41 unverändert. In beiden Fällen wird i durch i + 1 ersetzt, bis i = η gilt, womit die Schlüsseloperation abgeschlossen ist. Das i-Register wird anfänglich auf Null gesetzt, und der Inhalt wird nach jedem Arbeitszyklus der Schlüsseleinrichtung um erhöht. Um den Inhalt des i-Registers 43 zu erhöhen, kann man entweder den Addierer 42 oder einen speziellen Aufwärtszähler benutzen. Bei dem vorstehend genannten Bereich von Werten können das S-Register 41 und das i-Register 43 beide durch einen einzigen mit direktem Zugriff arbeitenden Speicher für 1024 Bits, z.B. einen solchen der Bauart Intel 2102, gebildet werden. Der Aufbau des Addierers 42 wird weiter unten näher erläutert. Auch der Aufbau eines !Comparators 44, der benötigt wird, um i und η zu vergleichen und festzustellen, wann der Schlüsselvorgang beendet ist, wird im folgenden näher erläutert.

Zu dem Schlüsselgenerator 22 gehört ein Modulo-m-Multiplizierer, wie er z.B. in Fig. 3 dargestellt ist; dieser Multiplizierer dient zum Erzeugen von a^^ = w * a^¹ mod m. Die beiden zu multiplizierenden Zahlen w und a^' werden den W- und A'-Registern 51 und 52 eingegeben, während m dem M-Register 53 eingegeben wird. Das Produkt w * a.' modulo m wird in dem P-Register 54 erzeugt, das anfänglich auf Null gesetzt wird. Hat k, die Zahl der Bits in der binären Darstellung von m, den Wert 200, können alle vier Register durch einen einzigen mit direktem Zugriff arbeitenden Speicher für 1024 Bits, z.B. einen solchen der Bauart Intel 2102, gebildet sein. Der in Fig. 3 dargestellte Aufbau beruht auf der Tatsache, daß wa.' mod m = w_a. · mod m + 2 w.,a. '

k 1 mod m + 4 v^a^' mod m + ... + 2 ^wk_i^ai' ^{mod m is-fc}·

Um w mit a.' zu multiplizieren, sind das am weitesten rechts stehende Bit, welches w_Q des W-Registers 51 enthält, den Wert

909819/0603

1 hat, wird der Inhalt des A'-Registers 53 zum Inhalt des P-Registers 54 durch den Addierer 55 addiert. Ist w = O, bleibt der Inhalt des P-Registers 54 unverändert. Dann v/erden die Inhalte der M- und P-Register durch den Komparator 56 verglichen, um festzustellen, ob der Inhalt des P-Registers 54 größer als m oder gleich m ist, d.h. dem Inhalt des M-Registers 53 ist. Wenn der Inhalt des P-Registers 54 größer ist als m oder gleich m, subtrahiert die Subtrahiereinrichtung 57 m vom Inhalt des P-Registers 54 und gibt die Differenz dem P-Register 54 ein; ist die Differenz kleiner als m, bleibt das P-Register 54 unverändert.

Nunmehr wird der Inhalt des !«/-Registers 5I um eine Bitstelle nach rechts verschoben, und eine Null wird auf der linken Seite zugeführt, so daß der Inhalt den Wert ^^wk-1 ^wk 2 *·* ^W2^1 ^arm-^-^mm'^i woraufhin w für die Berechnung von 2 W₁a' mod m bereit ist. Die Größe 2a' mod m wird zu diesem Zweck dadurch berechnet, daß mit Hilfe des Addierers 55 die Größe a¹ zu sich selbst addiert wird, wobei der Komparator 56 dazu dient, festzustellen, ob das Ergebnis 2a^T kleiner ist als m, und wobei die Subtrahiereinrichtung 57 dazu dient, m von 2a¹ abzuziehen, wenn das Ergebnis nicht kleiner ist als m. Das Ergebnis 2a¹ mod m wird dann im A¹-Register 52 gespeichert. Dann wird wie zuvor das am weitesten rechts stehende Bit des W-Registers 5I, das w^ enthält, geprüft, woraufhin sich der beschriebene Vorgang wiederholt.

Dieser Vorgang wird höchstens k-mal wiederholt oder bis das W-Register 51 nur Nullen enthält, woraufhin wa¹ modulo m im P-Register 54 gespeichert v/ird.

Als Beispiel für diese Rechenoperationen wird im folgenden die Aufgabe der Berechnung von 7x7 modulo 23 behandelt. Nachstehend sind die aufeinander folgenden Inhalte der ¥-, A'-und P-Register angegeben, aus denen sich die Lösung für 7x7=3 modulo 23 ergibt.

909819/0803

i ¥ (in binärer Form) A¹ P

0 00111 7 0

1 00011 14 0+7=7

2 00001 5 7 + 14 = 21

3 00000 10 21 + 5 = 3 mod 23

Fig. 4 zeigt den Aufbau eines Addierers 42 bzv/. 55 zum Addieren von zwei Zahlen ρ und ζ mit k Bits. Diese Zahlen werden dem Addierer in Form einzelner Bits eingegeben, wobei das Bit der niedrigsten Größenordnung zuerst eingegeben wird, und das Verzögerungselement wird zunächst auf 0 eingestellt. Die Verzögerung repräsentiert das binäre Übertragbit. Das UND-Gatter 61 bestimmt, ob das Übertragbit eine 1 sein soll, auf der Grundlage, daß p. und ζ. beide den Wert 1 haben, und das UND-Gatter 62 bestimmt, ob das Übertragbit eine 1 sein muß, auf der Basis der Tatsache, daß das vorherige Übertragbit eine 1 war, und daß eine der Größen p. und z. den Wert 1 haben. Wenn eine dieser beiden Bedingungen zugrifft, liefert das Gatter 63 das Ausgangssignal 1, das eine Übertragung zur nächsten Stufe anzeigt. Die beiden Exklusiv-ODER-Gatter 64 und 65 bestimmen das i-te Bit der Summe s. als die Modulo-2-Summe von p. und z^ und das Übertragbit aus der vorausgehenden Stufe. Die Verzögerungseinrichtung 66 speichert das vorausgehende Übertragbit. Bei diesen Gattern und der Verzögerungseinrichtung kann man z.B. die unter den Bezeichnungen SN7400, SN7404 und SN7474 erhältlichen Schaltkreise verwenden.

Fig. 5 zeigt den Aufbau eines !Comparators 44 bzv;. 56 zum Vergleichen zweier Zahlen ρ und m. Die beiden Zahlen werden in Form einzelner Bits eingegeben, wobei das Bit der höchsten Ordnung als erstes zugeführt v/ird. Wenn keiner der beiden Ausgänge p<m und p>m getriggert worden ist, nachdem die letzten Bits p_Q und m eingegeben wurden, gilt ρ = m. Die erste Triggerung eines der Ausgänge p<m und p>m bewirkt, daß die Vergleichsoperation beendet wird. Die beiden UND-Gatter 71 und 72 weisen jeweils einen invertierenden Eingang

909819/0603

auf, wie es in Fig. 5 jeweils durch einen Kreis angedeutet ist. Die Schaltkreise SN7400 und SN7404 liefern sämtliche benötigten logischen Schaltkreise.

Fig. 6 zeigt den Aufbau einer Subtrahiereinrichtung 57 zum Subtrahieren zweier Zahlen. Da die gemäß Fig. 3 zu subtrahierenden Zahlen stets eine nicht negative Differenz ergeben, brauchen negative Differenzen nicht berücksichtigt zu werden. Die größere Zahl, d.h. der Minuend, wird mit ρ bezeichnet, während die kleinere Zahl, d.h. der Subtrahend, mit m bezeichnet wird. Beide Zahlen ρ und m werden der Sübtrahiereinrichtung 57 seriell eingegeben, wobei das Bit der niedrigsten Ordnung zuerst eingegeben wird. UND-Gatter 81 und 83, ein ODER-Gatter 84 und ein exklusives ODER-Gatter 82 stellen fest, ob ein Borgen (negativer Übertrag) stattfindet. Ein Borgen erfolgt, wenn entweder p· = 0 und m. = 1 oder p. = m., und wenn beim vorausgehenden Stadium ein Borgen stattgefunden hat. Die Verzögerungseinrichtung 85 speichert den vorausgegangenen Zustand des Borgens. Das i-te Bit der Differenz, d.h. d^, wird als die Exklusiv-ODER- bzw. als Modulo-2-Differenz von p., m. und dem Borgebit berechnet. Das Ausgangssignal des Exklusiv-ODER-Gatters 82 bildet die Modulo-2-Differenz zwischen p^ und m_i, und das Exklusiv-ODER-Gatter 86 übernimmt die Modulo-2-Differenz hieraus zusammen mit dem vorausgegangen Borgbit. Diese Gatter und die Verzögerungseinrichtung können z.B. durch die Schaltkreise SN7400, SN7404 und SN7474 gebildet sein.

Die Entschlüsseleinrichtung 16 ist in Fig. 7 dargestellt. Ihr werden der Schlüsseltext S und der Entschlüsselcode zugeführt, der aus w, m und a¹ besteht, und sie hat die Aufgabe, χ zu berechnen.

Um χ zu berechnen, werden zuerst w und m einem Modulo-m-Inverter 91 eingegeben, der w mod m berechnet. Dann wird dar Modulo-m-Hultiplizierer 92 benutzt, um S^! = \~ S mod η zu berechnen. Gemäß den Gleichungen (7) und (8) gilt die

909819/0803

Gleichung S¹ = a' * χ, die sich leicht für χ lösen läßt. Der Komparator 93 vergleicht dann S¹ mit a · und entscheidet, daß χ = 1 ist, wenn S¹^ a ^f und daß χ = 0, wenn S'< a_n«. Ist X_n = 1, wird S' durch die Größe S· - a » ersetzt, die durch die Subtrahiereinrichtung 94 berechnet wurde. Ist X_n= 0, bleibt S¹ unverändert. Der Rechenvorgang wird für a ^' und ^_n-1 wiederholt und fortgesetzt, bis χ berechnet ist. Das j-Register 95 wird anfänglich auf η eingestellt, und nach jedem Stadium des Entschlüsselvorgangs wird der Inhalt um 1 verkleinert, bis j = 0, wodurch der Rechenvorgang beendet und die Berechnung von χ angezeigt wird. Man kann entweder die Subtrahiereinrichtung oder einen Abwärtszähler benutzen, um den Inhalt des j-Registers 95 zu verkleinern. Der Komparator 96 kann benutzt werden, um den Inhalt des j-Registers 95 mit Null zu vergleichen und zu bestimmen, wann der Rechenvorgang beendet werden soll. Weitere Einzelheiten des Modulo-m-Multiplizierers 92 sind aus Fig. 3 ersichtlich; der Komparator ist mit weiteren Einzelheiten in Fig. 5 dargestellt, und Fig. 6 zeigt weitere Einzelheiten der Subtrahiereinrichtung 94. Der Modulo-m-Inverter 91 kann auf einer bekannten erweiterten Version des Algorithmus von Euclid basieren. (Siehe z.B. D. Knuth,"The Art of Computer Programming", Bd. II, Addison-Wesley, I969, Reading, Ma., S. 302 und S. 315, Aufgabe 15). Gemäß der Beschreibung von Knuth b.enötigt man in der Praxis sechs Register, einen Komparator, eine Dividiereinrichtung und eine Subtrahiereinrichtung. Mit Ausnahme der Dividiereinrichtung sind alle diese Einrichtungen bereits beschrieben worden.

Fig. 8 zeigt Einzelheiten einer Einrichtung zum Dividieren einer ganzen Zahl durch eine andere ganze Zahl v, um einen Quotienten q und einen Rest r so zu berechnen, daß 0 < r <■ ν - 1 ist. Zuerst v/erden u und ν in Form binärer Zahlen dem U-Register 101 bzw. dem V-Register 102 eingegeben. Dann wird v, d.h. der Inhalt des V-Registsrs, nach links vsr-

909819/0603

schoben, bis bei v_k_,j eine 1, d.h. das am weitesten links stehende Bit des V-Registers 102 erscheint. Dieser Rechenvorgang läßt sich mit Hilfe des Komplements von v_k ^ durchführen, um den Verschiebungsregler eines Schieberegisters, z.B. eines solchen der Bauart Signetics 2533, zu betätigen, das anfänglich auf Null gesetzt wurde. Der Inhalt des Aufwärts/Abwärts-Zählers 103 ist gleich der um 1 verminderten Anzahl der in dem Quotienten enthaltenen Bits.

Nach dieser Einleitung des- Rechenvorgangs wird ν als Inhalt des V-Registers 102 mit dem Inhalt des U-Registers 101 durch den Komparator 104 verglichen. Ist ν kleiner als u, ist q , d.h. das höchstwertige Bit des Quotienten, gleich 0, und u bleibt unverändert. Ist ν kleiner oder gleich u, ist q = 1, und u wird durch den ¥ert u - ν ersetzt, der durch die Subtrahiereinrichtung 105 berechnet wird. In beiden Fällen wird ν um ein Bit nach rechts verschoben, und der Vergleich, ob ν größer ist als u, wird v/iederholt, um q «., d.h. das nächste Bit des Quotienten, zu berechnen.

Dieser Rechenvorgang wird wiederholt, wobei der Inhalt des Aufwärts/Abwärts-Zählers 103 nach jedem Rechenschritt um 1 verkleinert wird, bis der Viert 0 erreicht ist. Sobald dies geschehen ist, ist der Quotient vollständig, und der Rest r befindet sich im U-Register 101.

Als Beispiel sei das Dividieren von 14 durch 4 behandelt, wobei man q=3 und r=2 erhält, und wobei k=4 die Größe des Registers bezeichnet. Da u = 14 = 1110 und ν = 4 = 0100 in binärer Schreibweise ist, wird der Inhalt des V-Registers 101 nur einmal nach links verschoben, so daß man ν = 1000 erhält. Nach dieser Einleitung des Rechenvorgangs zeigt es sich, daß ν < u, so daß das erste Bit q^ des Quotienten den Wert 1 hat, und daß u durch u-v ersetzt wird; ν wird daduch ersetzt, daß ν um ein Bit nach rechts verschoben wird, und

909819/0603

der Aufwärts/Abwärts-Zähler 103 wird auf den Wert 0 gebracht. Hierdurch wird angezeigt, daß das letzte Bit u_Q des Quotienten berechnet wird, und daß sich nach dem soeben beschriebenen Rechenschritt der Rest r im U-Register befindet. Die nachstehende Folge von Registerinhalten erleichtert die Verfolgung dieser Rechenoperationen.

U	V	Zähler	q
1110	1000	1	1
0110	0100	0	1
0010		Ende

Es ist ersichtlich, daß q = 11 in binärer Form dem Ausdruck q = 3 gleichwertig ist, und daß r = 0010 in binärer Form dem Ausdruck r = 2 gleichwertig ist.

Bei einem weiteren Verfahren zum Erzeugen eines Falltürtornister-Vektors a wird von der Tatsache Gebrauch gemacht, daß sich ein multiplikativer Tornister leicht lösen läßt, wenn die Vektoreinträge relative Primzahlen sind. Nimmt man an, daß a' = (6, 11, 35, 43, 169), und daß ein Teilprodukt P = 2838, läßt sich leicht zeigen, daß P = 6 * 11 * 43, da 6, 11 und 43 die Größe P gleichmäßig unterteilen, was für 35 und I69 nicht gilt. Um einen multiplikativen Tornister und einen additiven Tornister zu verwandeln, verwendet man Logarithmen. Damit man für beide Vektoren brauchbare Werte erhält, werden die Logarithmen über GF(m), d.h. das endliche Galois-Feld mit m Elementen verwendet, wobei m eine Primzahl ist. Es ist auch möglich, Werte von m zu verwenden, die keine Primzahlen sind, doch werden die Rechenvorgänge hierbei etwas schwieriger.

Im folgenden wird ein kleines Beispiel behandelt. Wählt man n=4, m=257, a'= (2, 3, 5, 7) und die Basis der Logarithmen als b = 131, erhält man a = (80, 183, 81, 195). Dies entspricht I3I⁸⁰ = 2 mod 257, I31¹⁸³ = 3 mod 257 usw. Das Auffinden von Logarithmen über GF(m) ist relativ einfach, wenn

909819/0603

- 28 m-1 nur kleine Primfaktoren enthält.

Wenn man der Entschlüsseleinrichtung 16 den Wert S = 183 + 81 ss 264 zuführt, arbeitet sie mit dem Entschlüsselungscode D, der sich aus m, a' und b zusammensetzt, um die folgende Berechnung durchzuführen:

S' = b^S mod m (10)

= 131^26Zf mod 257 = 15
= 3*5

_f0 j. |1 * fO - a^j &2 a^

Dies bedeutet, daß χ = (0, 1, 1, 0). Der Grund hierfür besteht darin, daß

¹ ^x (12)

= Jta_±' ^x mod m (13)

Es ist jedoch erforderlich, daß

IEa₁^ m (14)

i = 1

um zu gewährleisten, daß K&^^{1 x} mod m gleich 3Ta^¹ ■*- bei arithmetischer Schreibweise für die ganzen Zahlen ist.

Der Mithörer 13 kennt den Verschlüsselungscode E, der durch den Vektor a gebildet wird, doch kennt er nicht den Entschlüsselungscode D, so daß er vor einer rechnerisch nicht durchführbaren Aufgabe steht.

Bei dem vorstehenden Beispiel handelte es sich wiederum um ein kleines Beispiel, das lediglich zur Veranschaulichung

909819/0603

des Verfahrens dienen soll. Wählt man η « 100, wenn jeder Wert von a^¹ eine zufällig gewählte Primzahl mit 100 Bits ist, würde m annähernd eine Länge von 10 000 Bits erhalten, um zu gewährleisten, daß die Gleichung (14) befriedigt wird. Zwar ist eine Datenerweiterung im Verhältnis von 100:1 in manchen Anwendungsfällen akzeptabel, z.B. bei der gesicherten CodeVerteilung über einen ungesicherten Kanal, doch ist es wahrscheinlich nicht erforderlich, daß ein Gegner bezüglich des Wertes a>· in diesem Ausmaß unsicher ist. Es ist sogar möglich, die ersten η Primzahlen für a.' zu verwenden; in diesem Fall könnte man m auf eine Länge von bis zu 730 Bits verkürzen, wenn η = 100, und hierbei würde die Bedingung der Gleichung (14) immer noch erfüllt. Somit besteht immer noch die Möglichkeit eines Vergleichs zwischen der Sicherheit und der Datenerweiterung.

Bei dieser Ausführungsform ist die Schlüsseleinrichtung in der gleichen Weise aufgebaut, wie es in Fig. 2 gezeigt und vorstehend beschrieben ist. Die Entschlüsseleinrichtüng 16 der zv/eiten Aus führungs form ist in Fig. 9 dargestellt. Der Schlüsseltext S und Teile des Entschlüsselungscodes D, und zwar b und m, werden durch den Potenzierer 111 verwendet, um P = b mod m zu berechnen. Gemäß den Gleichungen (12) bis (14) und dem beschriebenen Beispiel ist P ein Teilprodukt von (a^), das ebenfalls einen Teil des Entschlüsselungscodes D bildet. Die Dividiereinrichtung 112 teilt P durch a^ für i = 1, 2, ... η und führt nur den Rest r^ dem Komparator 113 zu. Ist r. = 0, wird P durch a.' gleichmäßig verteilt, und x^^ = 1. Ist r^ J= 0, ist x^ = 0. Die Dividiereinrichtung 112 kann in der aus Fig. 8 ersichtlichen, bereits beschriebenen Weise aufgebaut sein. Der Komparator 113 kann der anhand von Fig. 5 gegebenen Beschreibung entsprechen, doch gibt es wirtschaftlichere Einrichtungen für den Vergleich mit 0.

909819/0603

Der Potenzierer 111 zum Potenzieren von b mit S-modulo-m kann als elektronische Schaltung nach Fig. 10 aufgebaut sein. In Fig. 10 ist der anfängliche Inhalt von drei Registern 121, 122 und 123 angegeben. Die binäre Darstellung von S(S^₁, ^sk„2 ·** ^s1^s0^ ^wird- ^dem S-Regi^s"ter 121 eingegeben; dem R-Register 122 wird der Wert 1 eingegeben, und die binäre Darstellung von b wird dem B-Register 123 entsprechend i=0 eingegeben. Die Anzahl der Bits k in jedem Register ist gleich der kleinsten ganzen Zahl, so daß 2 > m. Ist k = 200, können alle drei Register durch einen einzigen mit direktem Zugriff arbeitenden Speicher für 1024 Bits, z.B. der Bauart Intel 2102, gebildet sein. Der Aufbau des Multiplizierers 124 zum Multiplizieren zweier. __. Zahlen modulo m wurde bereits anhand von Fig. 3 beschrieben.

Wenn gemäß Fig. 10 das Bit der niedrigen Ordnung, welches Sq des S-Registers 121 enthält, gleich 1 ist, werden die Inhalte des R-Registers 122 und des B-Registers 123 modulo m multipliziert, und das Produkt, das ebenfalls eine Größe mit k Bits ist, ersetzt den Inhalt des R-Registers 122. Ist s_Q = 0, bleibt der Inhalt des R-Registers 122 unverändert. In beiden Fällen wird der Inhalt des B-Registers 123 dem Multiplizierer 124 zweimal eingegeben, so daß das Modulo-m-Quadrat des Inhalts des B-Registers 123 berechnet wird. Dieser Wert b^{i2±+1) ersetzt den Iniialt des} B-Registers 123. Der Inhalt des S-Registers 121 wird um ein Bit nach rechts verschoben, und auf der linken Seite wird eine 0 eingesetzt, so daß der Inhalt jetzt ^Osir_-]^sv 2* * *^S2^S1 ^^s*·

Das Bit der niedrigen Ordnung, das S₁ aus dem S-Register 121 enthält, wird geprüft. Ist es gleich 1, werden wie zuvor die Inhalte des R-Registers 122 und des B-Registers 123 " modulo-m-multipliziert, und das Produkt ersetzt den Inhalt des R-Registers 122. Ist das Bit der niedrigen Ordnung gleich

909819/0603

O, bleibt der Inhalt des R-Registers 122 unverändert. In beiden Fällen wird der Inhalt des B-Registers 123 durch das Modulo-m-Quadrat des vorherigen Inhalts ersetzt. Der Inhalt des S-Registers 121 wird um ein Bit nach rechts verschoben, und am linken Ende wird eine 0 eingesetzt, so daß sich der Inhalt 00s, .,, s, _o...s,s₉ ergibt.

Diese Rechenvorgänge werden fortgesetzt, bis das S-Register

121 nur Nullen enthält; an diesem Punkt wird der Wert von b modulo m im R-Register 122 gespeichert.

Dieses Verfahren wird durch das folgende Beispiel erläutert. Wählt-man m = 23, findet man k=5 aus 2^k > m. Ist b = 7 und S = 18, erhält man b^s = 7¹⁸ = 1628413597910449 = 23(70800591213497) + 18, so daß b^s modulo m gleich 18 ist. Dieses einfache, jedoch langwierige Verfahren zum Berechnen von b^s modulo m wird als Prüfverfahren verwendet, um zu zeigen, daß das Verfahren nach Fig. 10 das richtige Ergebnis liefert. Nachstehend sind die Inhalte' des R-Registers

122 und des B-Registers 123 in dezimaler Form angegeben, um das Verständnis zu erleichtern.

i	S (in binärer Form)	R	B
0	10010	1	7
1	01001	1	3
2	00100	3	9
3	00010	3	12
4	00001	3	6
5	00000	18	13

Die mit i=0 bezeichnete Reihe entspricht den ursprünglichen Inhalten der verschiedenen Register, d.h. S = 18, R = 1 und B = b = 7.Da, wie oben erläutert, das rechtsbündige Bit im S-Register 121 gleich 0 ist, bleibt der Inhalt des R-Registers 122 unverändert, der Inhalt des B-Registers

909819/0803

Y/ird durch das Modulo-23-Quadrat des vorherigen Inhalts (7² = 49 = 2 χ 23 + 3 = 3 modulo 23) ersetzt, der Inhalt des S-Registers 121 wird um ein Bit nach rechts verschoben, und der Rechenvorgang wird fortgesetzt. Nur wenn i = 1 bzw. 4 ist, ist das rechtsbündige Bit im S-Register 121 gleich 1, so daß nur beim Übergang von i von 1 auf 2 und beim Übergang von i von 4 auf 5 der Inhalt des R-Registers 122 durch RB modulo m ersetzt wird. Ist i = 5, ist S = 0, so daß der Rechenvorgang abgeschlossen ist und sich das Ergebnis 18 im R-Register 122 befindet.

Es sei bemerkt, daß das gleiche Ergebnis 18 hier wie bei

18
der einfachen Berechnung von 7 modulo 23 gewonnen wird, daß sich jedoch hier niemals große Zahlen ergeben.

Um das Rechenverfahren verständlich zu machen, sei bemerkt, daß das B-Register 123 die ¥erte b, b², b^, b⁸ und b¹⁶ enthält, wenn i = 0, 1, 2, 3 bzw. 4, und daß b¹⁸ = bⁱ⁶b² ist, so daß nur diese beiden Werte multipliziert zu werden brauchen.

Einzelheiten des bei der zweiten Ausführungsform verwendeten Schlüsselgenerators 22 sind in Fig. 11 dargestellt. In der Quelle 131 wird eine Tabelle von η kleinen Primzahlen p. erzeugt und gespeichert, wobei es sich bei dieser Quelle um einen Festwertspeicher, z.B. einen solchen der Bauart Intel 2316E, handeln kann. Die Schlüsselquelle 26 erzeugt in der schon beschriebenen Weise Zufallszahlen e^. Die kleinen Primzahlen aus der Quelle 131 werden jeweils mit einem anderen Exponenten potenziert, der durch eine Zufallszahl e_i aus der Schlüsselquelle 26 repräsentiert wird; dies geschieht mit Hilfe des Potenzierers 132, um P₁ ^- für i = 1 bis η zu erzeugen. Der Multiplizierer 133 berechnet dann das Produkt sämtlicher Werte von ρ_Ί·^Θΐ, das durch Ep.⁰¹ dargestellt werden. Das Produkt sämtlicher Werte ρ ^ ¹J

909819/0603

η e.

7ΐ ρ- wird dann durch den Addierer 134 um 1 erhöht, um den Potenzwert von m zu erhalten. Ist es erwünscht, daß m eine Primzahl ist, kann man den Potenzwert von m auf seine Primzahleigenschaft mit Hilfe des Primzahlprüfers 135 prüfen.

Primzahlprüfer zum Feststellen, ob eine Zahl m eine Primzahl ist, wenn die Fakturisierung von m-1 "bekannt ist, wie es hier der Fall ist, wo

η e.

m-1 = % p. , sind in der Fachliteratur beschrieben, i 1 ^x

(Siehe z.B. D. Knuth, "The Art of Computer Programming", Bd. II, Seminumerical Algorithms, S. 347-48). Wie dort beschrieben, benötigt der Primzahlenprüfer 135 nur eine Ein*· richtung zum Erheben verschiedener Zahlen zu verschiedenen Potenzen modulo m, wie es in Fig. 10 gezeigt ist. Wenn es sich zeigt, daß ein Potenzwert von m eine Primzahl ist, wird m durch den Generator nach Fig. 11 für den öffentlichen Schlüssel als variable Größe m ausgegeben. Die Elemente a.' des Vektors a¹ können dann so gewählt werden, daß es sich um die η kleinen Primzahlen P₁ aus der Quelle 131 handelt.

Die Basis b der Logarithmen wird dann durch die Schlüsselquelle 26 als Zufallszahl gewählt.

Die Elemente des Vektors a werden durch den logarithmischen Wandler 136 nach Fig. 11 als Logarithmen zur Basis b der Elemente des a'-Vektors über GF(m) berechnet. Der Aufbau und die Wirkungsweise eines solchen logarithmischen Wandlers 136 sind nachstehend erläutert.

Wenn ρ eine Primzahl ist, gilt bekanntlich

z^p"¹ = 1 (mod p), 1 < ζ < p~¹ (15)

Daher werden arithmetische Operationen bei dem Exponenten modulo p-1 und nicht modulo ρ durchgeführt. Dies bedeutet,

909819/0603

z^x = ₂x(modp-1) _(modp)

Dies gilt für alle ganzen Zahlen x.

Der Algorithmus zum Berechnen von Logarithmen mod ρ wird am besten verständlich, wenn man zuerst den Sonderfall P = 2ⁿ+1 betrachtet. Es stehen die Werte oc, ρ und y zur Verfugung, wobei oc ein primitives Element von GF(p) darstellt, und χ muß so gefunden werden, daß y = ^x(mod p). Man kann annehmen, daß 0 < χ <_ p-2, da χ = p-1 von χ = 0 nicht zu unterscheiden ist.

Ist ρ = 2ⁿ+1, läßt sich χ leicht ermitteln, indem man die binäre Reihe (bg, ... b ^) von χ bestimmt.

Das niedrigstv/ertige Bit b von χ wird dadurch ermittelt, daß y mit (p-1)/2 = 2ⁿ potenziert wird, und daß die nachstehende Regel angewendet wird.

Diese Tatsache ergibt sich, wenn man feststellt, daß dann, wenn oc primitiv ist, die folgende Gleichung gilt:

- -1 (mod p) (18) und daß daher

(p-1)/2 _{= (0<}*)(P-1)/2 _{= (-1)}x _{(mod p)}

Das nächste Bit in der Erweiterung von χ wird dann dadurch bestimmt, daß man die Gleichung

= y O6~^bo = oc^xl (mod p) (20)

909819/0603

gelten läßt, wobei

n-1 - i=1 ^Di

Offensichtlich ist X^ nur dann ein Vielfaches von 4, wenn Td-J = 0. Ist Td^ = 1, ist x^ durch 2, jedoch nicht durch 4 teilbar. Bei der Fortsetzung der vorstehenden Schlußfolgerungen ergibt sich

:⁽P-¹)^/4(mod p) J ¹ (22)

1-1, b. = 1

Die übrigen Bits von χ werden auf ähnliche Weise ermittelt. Dieser Algorithmus ist in Fig. 12 in einem Fließbild zusammengefaßt.

Um dieses Fließbild verständlich zu machen, sei bemerkt, daß für den Anfang der i-ten Schleife die folgenden Gleichungen

m« (p-D/2ⁱ⁺¹ (23)

und . _x>

ζ = oi * (mod ρ) (24)

gelten, in denen

n-1 .

x. = Z b.2³ (25)

¹ G=i °

Wenn man ζ mit m potenziert, erhält man somit

^{i 2} = (-I)^b± (mod ρ) (26)

909819/0603

so daß ζ = 1 (mod ρ), und zwar nur dann, wenn b. = 0, und daß z^m = -1 (mod p) ist, wenn b. = 1.

Als Beispiel wird im folgenden der Fall betrachtet, daß ρ = 17 = 2 + 1. Dann ist ot= 3 primitiv, wogegen o£= 2 nicht primitiv ist, da 2⁸ = 256 = 1 (mod 17). Ist y = 10 gegeben, berechnet der Algorithmus χ in der nachstehenden Weise; hierzu sei bemerkt, daß ß = x~ =6 ist, da 3x6= 18= 1, mod 17.

i Z ß m W O 10 6 8 16

1	9	2	4	16	1
2	1	4	2	1	0
3	1	16	1	1	0
4		1	1/2

Auf diese Weise ergibt sich, daß χ = 2° + 2 =3. Dies ist richtig, da a? = 3³ = 27 = 10 (mod 17).

Nunmehr wird dieser Algorithmus verallgemeinert und bei beliebig gewählten Primzahlen ρ angewendet. Als Primzahlenfekturisierung von p-1 wird der Ausdruck

ⁿ1 ⁿ2 ⁿk P - 1 = P₁ ¹P₂ ... p_k , Pi<Pi₊₁ (27)

gewählt, indem die Werte von p. klare Primzahlen und die Werte von n^ positive ganze Zahlen sind. Die Werte von χ (mod p.ⁿⁱ) werden für i = 1, ... k bestimmt, und die Ergebnisse werden mit Hilfe des chinesischen Resttheorems kombiniert, so daß man die Gleichung

k n.

χ (mod % p. ) = χ (mod p-1) = χ (28) i1 ^x

909819/0603

erhält, da O <£ χ <. p-2. Das chinesische Resttheorem kann mit Rechenoperationen der Form 0(k log₂p) und Bits der Form 0(k log₂p) im Speicher durchgeführt werden. Hierbei wird eine Modulo-p-Multiplikation als eine Rechenoperation gezählt.

Im folgenden wird eine Erweiterung bzv/. Reihe für χ (mod p^ ] betrachtet.

η. J" ό

χ (mod p. ^x) = L· b .p, (29)

¹ -i_n J ^x

Hierin ist 0 < b . < p. -1.

Um den niedrigstwertigen Koeffizienten b zu ermitteln, wird y mit (p-O/PjL potenziert.

^ oc(P-¹>^x/Pi = γ* = (_Ti)^b° (mod p). (30) Hierin ist

r_± = (P-¹>/Pi (mod p) (3D

d.h. eine primitive p.-te Wurzel aus 1. Somit gibt es nur P₁ mögliche Werte für y^^p~ '^Ρχ (mod p), und der resultierende Wert bestimmt b unzweideutig.

n. Um die nächste Ziffer b₁ in der Reihe für χ (mod P₁ ) auf der Basis P₁ zu ermitteln, wird die Gleichung

z = y.ot ° =oC^X1(mod p) (32)

gewählt; hierin ist

909819/0603

X₁ = I₁ b _dp_±3 (33)

2 Durch Potenzieren von ζ mit (p-1)/p_i erhält man jetzt

_i) ^bi _{(mod p)} .₍₃₄₎ (34)

Wiederumg gibt es nur ρ ^ mögliche Werte von z^^p~ ''^i , und dieser Wert bestimmt b₁. Dieses Verfahren wird fortgesetzt, um sämtliche Koeffizienten b. zu ermitteln.

Das in Fig. 13 gegebene Fließbild faßt den Algorithmus zum Berechnen der Koeffizienten b. der Reihe (29) zusammen. Dieser Algorithmus wird k-mal benutzt, um χ (mod p. i ) für i = 1, 2, ... k zu berechnen, und diese Ergebnisse werden nach dem chinesischen Resttheorem kombiniert, so daß man χ erhält. Die Funktion g^w) in Fig. 13 ist durch die folgende Gleichung bestimmt:

g,· (w)
f_± ^x = w (mod p), (Kg₁Cw)^p₁-I (35)

hierin ist y. durch die Gleichung (31) bestimmt.

Wenn alle Primfaktoren (P₁)? = 1 von p-1 klein sind, lassen sich die Funktionen g^w) leicht als Tabellen darstellen, und die Berechnung eines Logarithmus über GF(p) erfordert 0(log2P) Rechenoperationen und nur einen minimalen Speicheraufwand für die Tabellen für g_i(w). Das vorherrschende rechnerische Erfordernis ist die Berechnung von w = zⁿ, für die man O(log₉p) Rechenoperationen benötigt. Diese Schleife wird k ^

^ n^-mal durchlaufen, und wenn alle Werte von p. klein sind, i1 ^x ^x

909819/0603

hat £ η. annähernd den Wert log₉p. Wenn p-1 nur kleine i=1 ^x ^

Primfaktoren enthält, ist es daher leicht möglich, Logarithmen über GF(p) zu berechnen.

Als Beispiel sei der Fall betrachtet, daß p=19, =2 und

2
y=1O. Dann ist p-1 = 2·3 und p^=2, n,j=1, p₂=3 und n₂=2. Um x(mod p^ 1) = x(mod 2) zu berechnen, ist es erforderlich, y(P-1)/Pi ₌ 0,9 _ _{512 =} -is (_m0(ä 19) _{so 2U} berechnen, daß b^=1 und χ (mod 2) =2=1, d.h. daß χ ungeradzahlig ist. Hierauf wird erneut nach dem Fließbild in Fig. 13 für p„ β 3 n- = 2 wie folgt vorgegangen, wobei ß=10, da 2 χ 10 = 20 = 1 mod 19; ferner gilt γ₂ = °° = 7 und

7° = 1, 7¹ = 7 sowie 7² = 11 (mod 19), so daß man g₂(i)=0, g₂(7) = 1 und g₂(11) = 2 erhält.

Z	B	η	ϋ	W	b
10	10	6	0	11	2
12	12	2	1	11	2
18	18	2/3	2

so daß χ (mod p₂ ) = χ (mod 9) = 2*3° + 2·3 = 8 ist.

Die Tatsache, daß χ (mod 2) = 1 und daß χ (mod 9) = 8, bedeutet, daß χ (mod 18) = 17. (Es ist entweder möglich, das chinesische Resttheorem anzuwenden oder sich klar zu machen, daß x=8 oder x=8+9=17 ist und daß nur 17 ungeradzahlig ist.) Bei einer Prüfung läßt sich feststellen, daß 2¹⁷=131 072=10 (mod 19) ist, so daß y= oc^x (mod p) gilt.

Es ist ersichtlich,daß man als logarithmischen Wandler einen mod-p-Inverter benötigt, um ß = O-~ (mod p) zu berechnen. Wie erwähnt, ist dies möglich, wenn man die erweiterte Form des Algorithmus von Euclid anwendet, der die Benutzung der Dividiereinrichtung nach Fig. 8, des Multipli-

909819/0603

zierers nach Fig. 3 und des !Comparators nach Fig. 5 bedingt. In Verbindung mit dem logarithmischen Wandler wird auch die Dividiereinrichtung nach Fig. 8 benötigt, um aufeinander folgende Werte von η zu berechnen, sowie der Addierer nach Fig. 4 zum Vergrößern von j, der Modulo-p-Potenzierer nach Fig. 10 zum Berechnen von ¥ und ß 3 sowie zur Vorberechnung der Tabelle für g-(W), der Modulo-p-Multiplizierer nach Fig. 3 zum Berechnen aufeinander folgender Werte von Z sowie der Komparator nach Fig. 5 zum Feststellen, wann j = IL. Der Betrieb des logarithmischen Wandlers nach dem chinesischen Resttheorem erfordert nur die Benutzung von Einrichtungen, die bereits beschrieben wurden, und zwar des Multiplizierers nach Fig. 3 und eines Modulo-m-Inverters.

Bei dem zuerst genannten Verfahren zum Erzeugen eines Falltürtornister-Vektors wurde ein sehr schwieriges Tornisterproblem, bei dem ein Vektor a eine Rolle spielt, in ein sehr einfaches und leicht zu lösendes Tornisterproblem verwandelt, bei dem die Größe a' verwendet wird, und zwar mit Hilfe der nachstehenden Transformation:

a.' = 1/w * a. mod m (36)

Ein Tornisterproblem mit der Größe a konnte gelöst werden, da es sich in ein anderes Tornisterproblem verwandeln ließ, das für die Größe a¹ gilt, und das lösbar war. Es sei jedoch bemerkt, daß es keine Rolle spielt, weshalb Tornisterprobleme für.-die Größe a¹ lösbar sind. Statt die Forderung zu stellen, daß a¹ die Gleichung (1) befriedigt, könnte man somit fordern, daß sich a^! in ein anderes Tornisterproblem umwandeln läßt, das für a" gilt, wobei die nachstehende Transformations gleichung angewendet wird.

_ai» = 1/w¹ * a_±' mod m« (37)

909819/0603

Hierin befriedigt a" die Gleichung (1), oder die Aufgabe läßt sich auf andere Weise leicht lösen. Nachdem die Transformation zweimal durchgeführt worden ist, erweist es sich nicht als schwierig, die Transformation ein drittes Hai durchzuführen; vielmehr ist ersichtlich, daß man diesen Rechenvorgang beliebig oft schrittweise durchführen kann.

Bei jeder weiteren Transformation wird der Aufbau des öffentlich bekannten Vektors a ständig weiter verdunkelt. Praktisch wird das einfach Tornisterproblem dadurch verschlüsselt, daß wiederholt eine Transformation angewendet wird, bei welcher der grundsätzliche Aufbau des Problems erhalten bleibt. Bei dem Endergebnis a handelt es sich offensichtlich um eine Sammlung von Zufallszahlen. Hierbei wird die Tatsache, daß sich das Problem leicht lösen läßt, völlig unerkennbar gemacht.

Der ursprüngliche, leicht zu lösende Tornistervektor kann beliebigen Bedingungen entsprechen, z.B. der Gleichung (1), die gev/ährleistet, daß sich eine Lösung leicht finden läßt. Beispielsweise könnte es sich um ein multiplikatives Falltürtornister-Problem handeln. Auf diese Weise ist es möglich, beide Falltürtornister-Verfahren zu einem einzigen Verfahren zu kombinieren, bei dem sich die Lösung vermutlich noch schwerer finden läßt.

Es ist wichtig, die Wachsturnsgeschwindigkeit von a zu berücksichtigen, denn sie bestimmt die Datenerweiterung, die sich bei der Übermittlung des n-dimensionalen Vektors χ als der größere Wert S ergibt. Die Wachsturnsgeschwindigkeit richtet sich nach dem Verfahren zum Wählen der Zahlen, doch wird bei einem sich in vertretbaren Grenzen haltenden Aufbau, bei dem η = 100, jeder Wert a^ höchstens um 7 Bits größer sein als der entsprechende Wert a.¹, jeder Wert von a.' wird um höchstens 7 Bits größer sein als a^" usw. Jede

909819/0603

der aufeinander folgenden Transformationsstufen vergrößert den Umfang des Problems nur um einen kleinen festen Betrag. Wird die Transformation 20-mal wiederholt, werden jedem Wert von a_i höchstens 140 Bits hinzugefügt. Wenn anfänglich jeder Wert von a_i z.B. 200 Bits enthält, brauchen diese Werte nach 20 Transformationsstufen nur 340 Bits zu enthalten. Der Tornistervektor wird dann für η = 100 höchstens einen Umfang von 100 * 340 = 34 Kilobits haben.

Die gebräuchlichen digitalen Authentisiereinrichtungen bieten zwar einen Schutz gegen unbefugte Dritte bzw. gegen Fälschungen, doch ermöglichen sie es nicht, Streitigkeiten zwischen dem Sender 11 und dem Empfänger 12 bezüglich der Frage zu schlichten, welche Nachricht, wenn überhaupt, abge.-.-sandt wurde. Eine wahre bzw. echte digitale Unterschrift wird auch als Quittung bezeichnet, da sie es dem Empfänger 12 ermöglicht, nachzuweisen, daß ihm über den Sender 11 eine bestimmte Nachricht M übermittelt wurde. Um solche Quittungen zu erzeugen, kann man Falltürtornister in der nachstehend beschriebenen Weise anwenden.

Wenn jede Nachricht M innerhalb eines großen festen Bereichs ein inverses Bild χ hätte, könnte man dieses Bild verwenden, um Quittungen zu erstellen. Hierbei erzeugt der Sender 11 Tornistervektoren b¹ und b derart, daß b' ein geheimer Schlüssel ist, z.B. ein leicht zu lösender Tornistervektor, und daß b ein öffentlicher Schlüssel ist, wie er sich aus der nachstehenden Beziehung ergibt:

bj, = w■ * b_± ^f mod m (38)

Der Vektor b wird dann entweder in eine öffentliche Kartei eingebracht oder zum Empfänger 12 übermittelt. Hat der Sender 11 die Absicht, eine Quittung für die Nachricht M zu erzeugen, würde er χ so berechnen und übermitteln, daß

909819/0603

b * χ = M. Der Sender 11 erzeugt χ für die gewünschte Nachricht M dadurch, daß das leicht zu lösende Tornisterproblem gelöst wird.

M¹ = 1/w * M mod m (39)

= 1/w * Ex₁ * b_± mod m (40)

= 1/w * £x^ * w * b. ^! mod m (41)

- E^₁ * "bjL* mod m (42)

Der Empfänger 12 könnte leicht M aus χ berechnen, und er könnte durch Prüfen eines Datum/Zeit-Feldes (oder einer anderen Redundanz in M) feststellen, ob die Nachricht M authentisch war. Da es dem Empfänger 12 nicht möglich v/äre, ein solches χ zu erzeugen, weil hierfür b* erforderlich ist, das nur dem Sender 11 zur Verfügung steht, bewahrt der Empfänger 12 den Wert χ als Beweis dafür auf, daß die Nachricht M durch den Sender 11 übermittelt wurde.

Man kann dieses Verfahren zum Erzeugen von Quittungen so abändern, daß es sich auch dann anwenden läßt, wenn die Dichte der Lösungen, d.h. der Anteil von Nachrichten M zwischen 0 und Hb., <*ie Lösungen für b * χ = M aufweisen, kleiner ist als 1, vorausgesetzt, daß dieser Bruchteil nicht zu klein ist. Die Nachricht M wird als Klartext gesendet oder in der beschriebenen Weise verschlüsselt, wenn ein Mithören durch einen Horcher zu befürchten ist, und hierbei wird eine Folge von miteinander in Beziehung stehenden Einweg-Funktionen Y₁ = F^(M), y₂ = F₂(M) ... berechnet. Der Sender 11 sucht dann ein inverses Bild χ für Y₁, y₂ usw. zu erhalten, bis ein solches Bild gefunden wird, welches dem entsprechenden χ für M als Quittung nachgestellt wird. Der Empfänger 12 berechnet M¹ = b * χ und prüft, daß M' = y_± wobei i innerhalb eines annehmbaren Bereichs liegt.

909819/0603

Die Folge von Einweg-Funktionen kann dem folgenden einfachen Ausdruck entsprechen:

F₁(M) = F(M) + i (43)

= F(M + i) (44)

Hierin ist F(*) eine Einweg-Funktion. Es ist erforderlich, daß der Bereich von F(^x) mindestens 2 Werte hat, um "beim Bestehen einer Fälschungsabsicht alle Probierversuche zum Scheitern zu bringen.

Es ist auch möglich, die Nachricht und die Quittung zu einer einzigen Meldungs- und Quittungsangabe zu kombinieren. Wenn der annehmbare Bereich für i zwischen 0 und 2"-1 liegt, und wenn die Nachricht eine Länge von J Bits hat, kann eine einzige Zahl mit einer Länge von J + I Bits sowohl die Nachricht als auch i darstellen. Der Sender 11 führt eine Prüfung bezüglich einer Lösung für b * χ = S für jeden der 2 Vierte von S durch, die sich ergeben, wenn z.B. die ersten J Bits von S gMch der Nachricht gesetzt v/erden, und wenn die letzten I Bits von S unabhängig bzw. nicht beschränkt sind. Die erste solche Lösung χ wird zum Empfänger 12 als Nachrichtenquittung übermittelt. Der Empfänger 12 gewinnt S zurück, indem er das innere Produkt des öffentlichen Schlüssels b und die Nachrichten-Quittung-Kombination χ berechnet und die ersten J Bits von S zurückbehält, die auf diese Weise gewonnen wurden. Die Authentizität der Nachricht erhält ihren Gültigkoitsbcweis durch das Vorhandensein einer geeigneten Redundanz in der Nachricht, entweder einer natürlichen Redundanz, wenn die Nachricht in einer natürlichen Sprache, z.B. der englischen Sprache, ausgedrückt ist, oder durch eine künstliche Redundanz, z.B. die Beifügung eines Datum/Zeit-Feldes zu der Nachricht.

909819/0603

~ 45 -

Der Begriff "Redundanz" wird hier im Sinne der Informationstheorie (Claude E. Shannon, "The Mathematical Theory of Communication", Bell System Technical Journal, Bd. 27, S. 379 und S. 623, 1940) und der Komplexitätstheorie (Gregory J. Chaitin, "On the Length of Programs for Computing Finite Binary Sequences", Journal of the Association for Computing Machinery, Bd. 13, S. 547, 1966) verwendet, um die Struktur (Abweichung von der vollständigen Zufälligkeit und Unvorhersehbarkeit) einer Nachricht zu messen. Eine Nachrichtenquelle weist nur dann keine Redundanz auf, wenn alle Schriftzeichen mit der gleichen Wahrscheinlichkeit auftreten. Wenn es möglich ist, die Zeichen der Nachricht mit einer über der Zufälligkeit liegenden Erfolgsrate zu raten, weist die Quelle eine Redundanz auf, und die Rate, mit v/elcher ein hypothetischer Fehler sein Vermögen anwachsen lassen kann, ist das quantitative Maß der Redundanz.(Thomas M. Cover und Roger C. King, "A Convergent Gambling Estimate of the Entropy of English", Technical Report Nr. 22,Statistics Department, Stanford University, 1. November 1976). Jedem Menschen ist es ohne weiteres möglich, eine Nachricht dadurch gültig zu machen, daß eine Redundanzprüfung durchgeführt wird, z.B. dadurch, daß festgestellt wird, ob die Nachricht in einem grammatisch richtigen Englisch abgefaßt ist. Durch Simulieren der Spielsituation ist es mit Hilfe einer Maschine möglich, festzustellen, ob eine Nachricht: die Redundanz aufweist, welche der beanspruchten Quelle zukommt.

Es stehen zahlreiche Verfahren zur Verfügung, um diese Ausführungsform der Erfindung zu verwirklichen. Ein Teil des Entzifferungsschlüssels D könnte öffentlich bekannt sein, statt geheimgehalten zu werden, vorausgesetzt, daß der Teil von D, der nicht öffentlich zugänglich ist, den Mithörer daran hindert, die Klartextnachricht X zurückzugev/innen.

909819/0603

Bei der vorstehend beschriebenen Ausführungsform lassen sich Abänderungen vornehmen. Beispielsweise ist es in manchen Anwendungsfällen vorteilhaft, dafür zu sorgen, daß der i-te Empfänger des Systems einen Falltürtornister-Vektor a^¹'' in der beschriebenen Weise erzeugt, und daß der Vektor oder eine abgekürzte Darstellung des Vektors einer öffentlichen Kartei bzw. einem Adressbuch eingegeben wird. Wenn dann ein Absender den Wunsch hat, einen zugriffssicheren Kanal festzulegen, benutzt er a^·¹' als Ve rs chlüs se lungs code zur Übermittlung der Nachricht zum i-ten Empfänger. Der hierbei erzielte Vorteil besteht darin, daß es dem i-ten Empfänger dann, wenn er seine Identität gegenüber dem System durch die Benutzung seines Führerscheins, eines Fingerabdrucks o.dgl. nachgewiesen hat, möglich ist, seine Identität gegenüber dem Sender dadurch nachzuweisen, daß er befähigt ist, Daten zu entschlüsseln, die mit dem Verschlüsselungscode a^·¹' verschlüsselt worden sind. Es sei bemerkt, daß solche und andere Abänderungen bei den beschriebenen Ausführungsbeispielen ebenfalls in den Bereich der Erfindung fallen.

909819/0603

Claims

P*.TE,v|TANWÄLT£

SCHIFF ν. FÜNER STREHL SCHÜBEL-HOPF EBBINGHAUS FINCK

MARIAHILFPLATZ 0. & 3, MÜNCHEN BO

KARU LUDWIG SCHIFF

DIPL. CHEM. DR. ALEXANDER V. FÜNER

DIPL. ING. PETER STREHL

DIPL. CHEM. DR. URSULA SCHÜBEL-HOPF

DIPL. ING. DIETER EBBINGHAUS

DR. INS. DIETER FINCK

TELEFON (OBS) 4Β·2ΟΒ4

TELEX 5-23 66B AURO D

TELEGRAMME AUROMARCPAT MÜNCHEN

THE BOARD OF TRUSTEES OF THE DEA-14348

LELAND STANFORD JUNIOR UNIVERSITY 5· Oktober 1978

Verfahren und Vorrichtung zum Entschlüsseln verschlüsselter Nachrichten

PATENTANSPRÜCHE

Λ J Vorrichtung zum Entschlüsseln einer verschlüsselten Nachricht, die über einen nicht gesicherten Nachrichtenübertragungskanal empfangen wird, welcher einen Eingang aufweist, dem die verschlüsselte Nachricht zugeführt wird, die mittels einer Verschlüsselungstransformation verschlüsselt wird, bei welcher eine geheimzuhaltende Nachricht unter Benutzung eines öffentlichen Verschlüsselungscodes transformiert v/ird, wobei einem weiteren Eingang ein geheimer Entschlüsselungscode zugeführt wird, und wobei ein Ausgang zum Erzeugen der Nachricht vorhanden ist, g e -

909819/0603

ORIGINAL INSPECTED

kennzeichnet durch zum Umkehren der Verschlüsselungstransformation dienende Einrichtungen mit einem Eingang zum Zuführen der verschlüsselten Nachricht, einem weiteren Eingang zum Zuführen des geheimen Entschlüsselungs codes und einem Ausgang zum Erzeugen der Umkehrung der verschlüssalten Nachricht sowie Einrichtungen zum Erzeugen der Nachricht mit einem Eingang zum Zuführen der Umkehrung der verschlüsselten Nachricht und einem Ausgang zum Erzeugen der Nachricht, wobei es auf rechnerischem Wege unmöglich ist, den geheimen Entschlüsselungscode aus dem öffentlichen Verschlüsselungscode zu erzeugen, und wobei es unmöglich ist, die Verschlüsselungstransforination auf rechnerischem Wege umzukehren, ohne daß der geheime Entschlüsselungscode zur Verfügung steht.
2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zu den Einrichtungen zum Umkehren der VerSchlüsselungstransformation Einrichtungen zum Berechnen von

S¹ = 1/w * S mod m

gehören, daß zu den Einrichtungen zum Erzeugen der Nachricht Einrichtungen gehören, mittels welcher x. gleich dem ganzzahligen Teil von

[S' - X χ * a./1/a.'

gesetzt wird, wobei i = n, n-1,...1, wobei m und w große ganze Zahlen sind und w modulo-m-umkehrbar ist, wobei S' die Umkehrung der verschlüsselten Nachricht S ist, die durch die Verschlüsselungstransformation

S = a * χ

definiert ist, wobei die Nachricht als n-dimensionaler Vektor χ dargestellt wird, bei dem jedes Element x. eine ganze Zahl zwischen 0 und 1 ist, wobei 1 eine ganze Zahl ist, wobei der öffentliche Verschlüsselungscode durch einen n-dimensionalen Vektor a dargestellt wird, dessen Elemente a durch die Gleichung

a.. = (w * a.» mod m) + km (mit i = 1, 2, .. .n)

909819/0603

ORIGINAL INSPECTED

wobei k und η ganze Zahlen sind und sich der geheime Entschlüsselungscode aus m, w und a¹ zusammensetzt, wobei a¹ ein n-dimensionaler Vektor ist, dessen Elemente für i = 1, 2, ... η durch den Ausdruck

'> 1 T a

0=1

bestimmt sind.
3. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß zu den Einrichtungen zum Umkehren der Verschlüsselungstransformation Einrichtungen zum Berechnen von

S' = b^S mod m

gehören, und daß zu den Einrichtungen zum Erzeugen der Nachricht Einrichtungen gehören, die dazu dienen, X₁ nur dann gleich 1 zu setzen, wenn der Quotient S'/a^ eine ganze Zahl ist, und x^ gleich 0 zu setzen, wenn dieser Quotient keine ganze Zahl ist, wobei b und m große ganze Zahlen sind und m eine Primzahl ist, so daß

m> % a.'
i=1 ^x

wobei η eine ganze Zahl ist und sich der geheime Entschlüsselungscode aus b, m und a¹ zusammensetzt, wobei a¹ ein n-dimensionaler Vektor ist, bei dem jedes Element a.' eine relative Primzahl ist, und wobei S¹ die Umkehrung der verschlüsselten Nachricht S ist, die durch die Verschlüsselungstransformation

. S = a * χ

definiert ist, wobei die Nachricht als n-dimensionaler Vektor χ dargestellt wird, bei dem jedes Element x^ eine 0 oder eine 1 ist, und wobei der öffentliche Verschlüsselungscode durch den n-dimensionalen Vektor a dargestellt wird, dessen Elemente a durch die Gleichung

a_± = log^ a^ mod m (für i = 1,2,...n) definiert sind.

909819/0603
4. Vorrichtung zum Verschlüsseln einer Nachricht, die über einen ungesicherten Nachrichtenübertragungskanal übermittelt werden soll, der einen Eingang zum Zuführen einer geheimzuhaltenden Nachricht aufweist, ferner einen weiteren Eingang zum Zuführen eines öffentlichen Verschlüsselungscodes sowie einen Ausgang zum Erzeugen der verschlüsselten Nachricht, gekennzeichnet durch Einrichtungen zum Empfangen der Nachricht und zum Umwandeln der Nachricht in eine Vektordarstellung der Nachricht, Einrichtungen zum Empfangen des öffentlichen Verschlüsselungscodes und zum Umwandeln des öffentlichen Verschlüsselungscodes in eine Vektordarstellung desselben sowie Einrichtungen zum Erzeugen der verschlüsselten Nachricht durch Berechnen des inneren Produktes der Vektordarstellung der Nachricht und der Vektordarstellung des öffentlichen Verschlüsselungscodes mit einem Eingang zum Aufnehmen der Vektordarstellung der Nachricht, einem weiteren Eingang zum Aufnehmen der Vektordarstellung des öffentlichen Verschlüsselungscodes und einem Ausgang zum Erzeugen der verschlüsselten Nachricht.
5. Verfahren für den zugriffssicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenübertragungskanal derjenigen Art, bei welcher eine Nachricht von einem Sender zu einem Empfänger übermittelt wird, dadurch gekennzeichnet , daß bei dem Empfänger ein geheimer Entschlüsselungscode erzeugt wird, daß bei dem Empfänger ein öffentlicher Entschlüsselungscode derart erzeugt wird, daß es unmöglich ist, auf rechnerischem Wege den geheimen Entschlüsselungscode aus dem öffentlichen Verschlüsselungscode zu erzeugen, daß der öffentliche Verschlüsselungscode von dem Empfänger zu dem Sender übermittelt wird, daß die Nachricht und der öffentliche Verschlüsselungscode bei dem Sender empfangen werden, daß eine verschlüsselte Nachricht durch eine Verschlüsselungstransformation derart erzeugt wird, daß es unmöglich ist, die Verschlüsselungstransformation

909819/0603

derart erzeugt wird, daß es unmöglich ist, die Verschlüsselungstransformation auf rechnerischem Wege umzukehren, ohne daß der geheime Entschlüsselungscode zur Verfügung steht, daß die verschlüsselte Nachricht von dem Sender zu dem Empfänger übermittelt wird, und daß die verschlüsselte Nachricht und der geheime Entschlüsselungscode durch den Empfänger empfangen v/erden, und daß die verschlüsselte Nachricht mit Hilfe des geheimen Entschlüsselungscodes transformiert wird, um die Nachricht zu erzeugen.
6. Verfahren nach Anspruch 5> dadurch gekennzeichnet, daß die Identität des Empfängers gegenüber dem Sender durch die Fähigkeit des Empfängers, die verschlüsselte Nachricht zu entschlüsseln, authentisiert wird.
7. Verfahren für die zugriffssichere Übermittlung von Nachrichten über einen ungesicherten Nachrichtenübertragungskanal derjenigen Art, bei welcher eine Nachricht von einem Sender zu einem Empfänger übermittelt wird, dadurch gekennzeichnet/, daß am Standort des Senders ein geheimer Schlüssel erzeugt wird, daß am Standort des Senders ein öffentlicher Schlüssel derart erzeugt wird, daß es unmöglich ist, auf rechnerischem Wege den geheimen Schlüssel aus dem öffentlichen Schlüssel zu erzeugen, daß die Nachricht und der geheime Schlüssel am Standort des Senders empfangen werden, daß eine Nachrichtenquittung derart erzeugt wird., daß es unmöglich ist, die Nachrichtenquittung auf rechnerischem Wege aus dem öffentlichen Schlüssel zu erzeugen, daß der öffentliche Schlüssel und die Nachrichtenquittung von dem Sender zu dem Empfänger übermittelt werden, daß der öffentliche Schlüssel und die Nachrichtenquittung am Standort des Empfängers empfangen v/erden, daß die Nachrichtenquittung mit dem öffentlichen Schlüssel transformiert wird, um eine transformierte Nachrichtenquittung zu erzeugen und daß die transformierte Nachrichtenquittung durch eine Redundanzprüfung auf ihre Gültigkeit geprüft wird.

9098 1 9/0603