DE2843583C2

DE2843583C2 - Verfahren für den zugriffsicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenübertragungskanal

Info

Publication number: DE2843583C2
Application number: DE2843583A
Authority: DE
Inventors: Martin E. Stanford Calif. Hellman; Ralph C. Palo Alto Calif. Merkle
Original assignee: Leland Stanford Junior University
Current assignee: Leland Stanford Junior University
Priority date: 1977-10-06
Filing date: 1978-10-05
Publication date: 1982-06-03
Also published as: GB2006580B; AU4041878A; BE871039A; JPS5488703A; FR2405532B1; US4218582A; IT1099780B; SE7810478L; JPS5950068B2; IT7828508A0; AU519184B2; CA1128159A; NL7810063A; ES474539A1; DE2843583A1; GB2006580A; SE439225B; FR2405532A1; CH634161A5

Description

j-f+l

gesetzt wird, wobei ι = η, w-1, . . . 1, wobei m und M' große ganze Zahlen sind und w modulo-m-umkehrbar ist, wobei S die Umkehrung der verschlüsselten Nachricht 5 ist, die durch die Verschlüsselungstransformation

S = ä*x

definiert ist, wobei die Nachricht als w-dimensionaler Vektor χ dargestellt wird, bei dem jedes Element χ,- eine ganze Zahl zwischen 0 und / ist, wobei / eine ganze Zahl ist, wobei der öffentliche Verschlüsselungscode durch einen n-dimensionalen Vektor a dargestellt wird, der sen Elemente α durch die Gleichung

a, = (w* a,moam) + km
(mit/ = 1,2,...W),

wobei k und η ganze Zahlen sind und sich der geheime Entschlüsselungscode aus m, w und a' zusammensetzt, wobei ä ein w-dimensionaler Vektor ist, bestimmt sind.

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zum Umkehren der Verschlüsselungstransformation

S' = b^smoam

berechnet wird, und daß zum Erzeugen der Nachricht x,nur dann gleich / gesetzt wird, wenn der Quotient S'la, eine ganze Zahl ist, und x, gleich 0 gesetzt wird, wenn dieser Quotient keine ganze Zahl ist, wobei b und m große ganze Zahlen sind und m eine Primzahl ist, so daß

a)

wobei η eine ganze Zahl ist und sich der geheime Entschlüsselungscode aus b, m und c' zusammensetzt, wobei α ein n-dimensionaler Vektor ist, bei dem jedes Element a, eine relative Primzahl ist, und wobei S' die Umkehrung der verschlüsselten Nachricht S ist, die durch die Verschlüsselungstransformation

S = d*x

definiert ist, wobei die Nachricht als n-dimensionaler Vektor χ dargestellt wird, bei dem jedes Element x, eine 0 oder eine 1 ist, und wobei der öffentliche Verschlüsselungscode durch den n-dimensionalen Vektor α dargestellt wird, dessen Elemente α durch die Gleichung

^ai ~ l°8i> o, mod m
(fur;= 1,2 η)

definiert sind.

Die Erfindung bezieht sich auf ein Verfahren für den zugriffsicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenübertragungskanal zwischen Sender und Empfänger.

Kryptographische Verfahren und Vorrichtungen werden in großem Umfang verwendet, um die Geheimhaltung und Echtheit von Nachrichten, Meldungen u. dgl. zu gewährleisten, die über unsichere Kanäle

bo weitergegeben werden. Ein Geheimhaltungssystem hat die Aufgabe, zu verhindern, daß unbefugte Personen Informationen aus Nachrichten entnehmen, die mittels eines unsicheren Kanals übermittelt werden, um dem Absender einer Nachricht Gewähr dafür zu geben, daß

es die Nachricht nur von dem gewünschten Empfänger gelesen werden kann. Ein Authentisierungssystem hat die Aufgabe, die unbefugte Eingabe von Nachrichten in einen unsicheren Kanal unmöglich zu machen und dem

Empfänger die Gewähr zu geben, daß die empfangene Nachricht von einem legitimierten Absender stammt

Gegenwärtig bestehen die Maßnahmen zum Authentisieren von Nachrichten in den meisten Fällen darin, daß jeder Nachricht ein Authentisienuigsmuster angefügt wird, das nur dem Absender und dem vorgesehenen Empfänger bekannt ist, und daß die betreffende Kombination verschlüsselt wird. Diese Maßnahmen bieten einen Schutz dagegen, daß es einer unbefugten mithörenden Person möglich ist, neue und m der richtiger Weise authentisierte Nachrichten zu fälschen, wenn vorher nicht auch der benutzte Ziffernschlüssel gestohlen worden ist Jedoch besteht nur ein geringer Schutz gegen die Gefahr des Entstehens von Streitigkeiten; beispielsweise kann der Absender eine in der richtigen Weise authentisierte Nachricht absenden und danach die Absendung der Nachricht leugnen und fälschlicherweise den Empfänger dafür verantwortlich machen, daß er unbefugt gehandelt hat. Umgekehrt ist es möglich, daß der Empfänger nicht genehmigte Maßnahmen trifft, daß er eine an sich selbst gerichtete Nachricht fälscht und dann fälschlicherweise den Absender für die betreffenden Maßnahmen verantwortlich macht. Diese Gefahr des Entstehens von Streitigkeiten ergibt sich aus dem Fehlen geeigneter Einrichtungen zum Erstellen von Quittungen, mittels welcher man beweisen könnte, daß eine bestimmte Nachricht durch einen bestimmten Absender einem bestimmten Empfänger zugeleitet worden ist.

Bei den bekannten kryptographischen Systemen ergibt sich eine der größten Schwierigkeiten daraus, daß es für den Absender und den Empfänger erforderlich ist, einen Ziffernschlüssel über einen zugriffsicheren Kanal auszutauschen, zu dem unbefugte Personen keinen Zugang haben. Um einen solchen Ziffernschlüssel y, auszutauschen, wird der Austausch häufig dadurch bewirkt, daß der Schlüssel vorher über einen zuverlässigen Kanal übermittelt wird, z. B. einen privaten Kurier oder mit eingeschriebener Post; diese zugriffsicheren Kanäle arbeiten jedoch gewöhnlich langsam, und ihre Benutzung ist kostspielig.

In »Multiuser Cryptographic Techniques«, AFlPS- - Conference Proceedings, Bd. 45, S. 109-112, vom 8. Juni 1976, schlagen Diffie et al. die Benutzung eines Kryptosystems mit einem öffentlichen Schlüssel vor, bei dem es möglich ist, auf die Benutzung eines zugriffsicheren Kanals zu verzichten, da die vom Absender verwendeten Verschlüsselungsinformationen öffentlich bekannt sind. Ferner wird dargelegt, auf welche Weise es ein Kryptosystem mit öffentlichem Schlüssel ermöglichen würde, mit einem Authentisierungssystem zu arbeiten, mittels dessen eine von der Nachricht abhängige, nicht verfälschbare digitale Unterschrift erzeugt wird. Diffie schlägt vor, zwei Schlüssel £und D zu benutzen, um eine Nachricht zu verschlüsseln und danach zu entschlüsseln, wobei es sich bei dem Schlüssel E um eine öffentlich zugängliche Information handelt, während der Schlüssel D durch den vorgesehenen Empfänger geheimgehalten wird. Zwar wird der Schlüssel D durch den Schlüssel £ bestimmt, doch ist es bo unmöglich, den Schlüssel D aus dem Schlüssel E zu berechnen. Diffie stellt fest, daß es plausibel ist, ein solches Kryptosystem mit öffentlich zugänglichem Schlüssel zu entwerfen, das es einem Benutzer ermöglichen würde, eine Nachricht zu verschlüsseln und sie dem beabsichtigten Empfänger zuzuleiten, wobei es jedoch nur diesem beabsichtigten Empfänger möglich sein würde, die Nachricht zu entschlüsseln. Zwar erläutert Diffie die Plausibilitct des Aufbaus solcher Systeme, doch führt er weder den Beweis, daß sich Kryptosysteme mit öffentlichem Schlüssel in Gebrauch befinden, noch gibt er ein brauchbares System an.

Diffie liefert drei Plausibilitätsargumente für die Existenz eines mit einem öffentlich zugänglichen Schlüssel arbeitenden Kryptosystems. Hierzu gehören die Verwendung einer Matrix, der Gebrauch einer Maschinensprache und die Anwendung einer logischen Abbildung. Zwar ist es bei einem Matrixsystem möglich, mit Matrizen zu arbeiten, bezüglich welcher es sich nachweisen läßt, daß man praktisch eine nicht zumulbare Zeit für die kryptoanalytische Behandlung, d. h. zum Berechnen des Schlüssels D aus dem Schlüssel E, benötigen würde, wenn man bekannte Verfahren anwendet doch ermangelt es dem Gebrauch von Matrizen der praktischen Anwendbarkeit da die benötigten Matrizen enorme Abmessungen erhalten müßten. Zwar wird ferner der Gebrauch einer Maschinensprache sowie die Anwendung einer logischen Abbildung vorgeschlagen, doch werden keine Angaben darüber gemacht auf welche Weise solche Systeme so ausgebildet werden können, daß für die Entschlüsselung nachweisbar eine zu lange Zeit benötigt würde.

Ferner führt Diffie ein Verfahren ein, bei dem die vorgeschlagenen Kryptosysteme mit öffentlich zugänglichem Schlüssel angewendet werden und das es dem Empfänger ermöglichen würde, die Authentizität einer Nachricht leicht nachzuprüfen, bei dem jedoch der Empfänger daran gehindert wird, scheinbar authentische Nachrichten zu erzeugen. Zwar beschreibt Diffie ferner ein Protokoll, nach dem gearbeitet werden soll, um bei dem vorgeschlagenen Kryptosystem mit öffentlichem Schlüssel eine Authentisierung zu erhalten, doch beruht das Authentisierungsverfahren auf der Existenz eines Kryptosystems mit öffentlichem Schlüssel, für das Diffie allerdings keine Vorschläge macht.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren für den zugriffsicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenübertragungskanal zwischen Sender und Empfänger anzugeben, das es autorisierten Teilnehmern einer Unterhaltung ermöglicht, sich privat zu unterhalten, obwohl einer nicht autorisierten Person der gesamte Nachrichtenverkehr zugänglich ist.

Diese Aufgabe wird erfindungsgemäß durch die im Patentanspruch 1 beschriebenen Maßnahmen gelöst.

Bevorzugte Weiterbildungen und Ausgestaltungen des erfindungsgemäßen Verfahrens sind Gegenstand der Patentansprüche 2 bis 4.

Ausführungsbeispiele der Erfindung werden im folgenden anhand schematischer Zeichnungen näher erläutert Es zeigt

F i g. 1 ein Blockschaltbild eines Kryptosystems mit öffentlich zugänglichem Schlüssel, das geeignet ist, ein gegen rechnerische Eingriffe gesichertes Kryptogramm über einen nicht zugriffsicheren Kanal zu übermitteln,

Fig. 2 ein Blockschaltbild einer Verschlüsselungseinrichtung zum Umwandeln einer Nachricht in einen Zifferntext bei dem Kryptosystem nach Fig. 1,

F i g. 3 ein Blockschaltbild eines Multiplizierers zum Durchführen modularer Multiplikationen bei der Entschlüsselungseinrichtung nach F i g. 7, der Potenziereinnchturig nach Fig. 10 und dem mit einem öffentlichen Schlüssel arbeitenden Generator nach F i g. 11,

Fig.4 die Schaltung einer Addiereinrichtung zum Durchführen von Additionen bei der Verschlüsselung*-

einrichtung nach Fig. 2, der Multipliziereinrichiung nach F i g. 3 und dem mit öffentlich zugänglichem Schlüssel arbeitenden Generator nach Fi g. 11,

F i g. 5 die Schaltung eines Komparators zum Durchführen von Größen vergleichen bei der Entschlüsselungseinrichtung nach Fi g. 2, der Multipliziereinrichtung nach Fig.3, der Entschlüsselungseinrichtung nach F i g. 7, der Dividiereinrichtung nach Fig. 8 und der alternativen Entschlüsselungseinrichtung nach F i g. 9,

Fig.6 die Schaltung einer Subtraktionseinrichtung /.um Durchführen von Subtraktionen bei der Multipliziereinrichtung nach Fig.3, der Entschlüsselungseinrichtung nach F i g. 7 und der Dividiereinrichtung nach F i g. 8,

F i g. 7 ein Blockschaltbild einer Entschlüsselungseinrichtung zum Entschlüsseln eines Schlüsseltextes zur Umwandlung in eine Nachricht bei dem Kryptosystem mit öffentlichem Schlüssel nach F i g. 1,

Fig. 8 ein Blockdiagramm einer Dividiereinrichtung zum Durchführen von Divisionen bei der Einrichtung nach Fig. 7 und der alternativen Entschlüsselungseinrichtung nach F i g. 9,

Fig.9 ein Blockschaltbild einer alternativen Emschlüsseleinrichtung zum Umwandeln eines Schlüsseltextes in eine Nachricht bei dem Kryptosystem mit öffentlichem Schlüssel nach Fig. 1,

Fig. 10 eine Potenziereinrichtung zum Potenzieren verschiedener Zahlen mit verschiedenen Exponenten nach der Moduloarithmetik bei der alternativen Entschlüsseleinrichtung nach F i g. 9 und dem Generator nach Fig. 11,

F i g. 11 einen mit öffentlich zugänglichem Schlüssel arbeitenden Generator zum Erzeugen des öffentlichen Verschlüsselungscodes bei dem Krvptosystem nach Fig. 1,

F i g. 12 ein Fließbild des Algorithmus des logarithmischen Wandlers nach Fig. 11 für den Fall, daß p— 1 eine Potenz von 2 ist, und

Fig. 13 ein Fließbild des Algorithmus zum Berechnen der Koeffizienten (b) der Reihe

= V _hni

wenn bei dem logarithmischen Wandler nach F i g. 11 der Ausdruck 0 <£,</?,—1 gilt, wobei p—\ nicht eine Potenz von 2 ist.

In F i g. 1 ist ein Kryptosystem mit öffentlich zugänglichem Schlüssel dargestellt bei dem sämtliche Nachrichten über einen nicht zugriffsicheren Kanal 19 übermittelt werden, z. B. über eine Fernsprechleitung. Die Übermittlung erfolgt über den ungesicherten Kanal 19 zwischen einem Sender 11 und einem Empfänger 12 unter Benutzung von Sender-Empfänger-Einheiten 31 und 32. Dem Sender 11 wird eine unverschlüsselte Nachricht bzw. eine Klartextnachricht X eingegeben, die zu dem Empfänger 12 übermittelt werden solL Zu dem Sender 11 und dem Empfänger 12 gehören eine Verschlüsselungseinrichtung 15 bzw. eine Entschlüsseleinrichtung 16 zum Verschlüsseln bzw. Entschlüsseln von Informationen unter dem Einfluß eines Verschlüsselungscodes E der in der Leitung E erscheint, sowie eines reziproken Entschlüsselungscodes D, der in der Leitung D erscheint Die Einrichtungen 15 und 16 bewirken eine umgekehrte Transformation, wenn ihnen die entsprechenden Codes E und D eingegeben werden. Diese Codes können sich z. B. aus einer Folge von zufällig

gewählten Buchstaben oder Ziffern zusammensetzen. Die Verschlüsselungseinrichtung 15 verwandelt durch eine Verschlüsselung die Klartextnachricht X in eine verschlüsselte Nachricht oder einen Schlüsseltext 5, der durch den Sender 11 über den ungesicherten Kanal 19 übermittelt wird; der Schlüsseltext S wird von dem Empfänger 12 empfangen und durch die tintschlüsseleinrichtiing 16 entschlüsselt, so daß man wiederum die Klanextnachricht X erhält. Gemäß F i g. 1 ist angenommen. daß eine unbefugte Person bzw. ein Horcher 13 vorhanden ist, dem ein Schlüsselgenerator 23 und eine Entschlüsseleinrichtung !8 zur Verfügung stehen, und der Zugang zu dem ungesicherten Kanal 19 hat, so daß er dann, wenn er Kenntnis von dem Entschlüsselungscode hätte, den Schlüsseltext S entschlüsseln und die Klartextnachricht .Verhalten könnte.

Bei dem nitr beschriebenen Ausführungsbeispiel wird von der Schwierigkeit Gebrauch gemacht, die sich aus dem sogenannten Tornisterproblem (»knapsack problem«) ergibt. Fine einfache Erläuterung ergibt sich, wenn man einen eindimensionalen Tornister mit der Länge 5 und einen Vektor a annimmt, der η Stäbe mit der Länge a\, ai ... a„ enthält; das Tornisterproblem besteht dann darin, einen Ergänzungssatz von Stäben zu finden, der den Tornister vollständig ausfüllt, wenn ein solcher Ergänzungssatz existiert. Eine äquivalente Aufgabe besteht darin, einen binären /7-Vektor χ aus Nullen und Einsen derart zu finden, daß S- a * χ ist, wenn ein solcher λ-Wert existiert; ein den Vektoren beigefügter Stern bezeichnet ein inneres Produkt, während er bei skalaren Größen eine normale Multiplikation bezeichnet.

Eine angenommene Lösung χ läßt sich leicht bei höchstens η Additionen prüfen; soweit gegenwärtig bekannt, erfordert das Auffinden einer Lösung eine Anzahl von Operationen, die mit η exponentiell zunimmt. Ein lückenloses Ausprobieren zum Auffinden einer Lösung bei sämtlicher. 2" möglichen Werten für χ ist auf rechnerischem Weg unmöglich, wenn η größer ist als 100 oder 200. Eine Aufgabe wird als rechnerisch undurchführbar betrachtet, wenn ihre Kosten im Hinblick auf die Größe des zu benutzenden Speichers oder die Rechenzeit zwar einen endlichen Wert haben, jedoch jeden ausführbaren Wert überschreiten; dies trifft z. B. für den Fall zu, daß mit Hilfe bekannter Rechenverfahren und Rechengeräte Operationen durchgeführt werden müßten, deren Anzahl in der Größenordnung von etwa 10³⁰ liegt.

Aus der Theorie ergibt sich die Schwierigkeit des Tornisterproblems, denn es handelt sich um ein NP-geschlossenes Problem, das daher eines der schwierigsten Rechenprobleme bei einem kryptographischen System bildet (siehe z. B. A. V. Aho. J. E. Hopcraft und J. D. Ullman, »The Design and Analysis of Computer Algorithms«, Reading, Ma, Addison-Wesley, 1974, S. 363-404). Der Schwierigkeitsgrad richtet sich jedoch nach der Wahl von a. ist a=(l, 2, 4,... Κ"-^χ\ bedingt die Lösung für χ das Auffinden der binären Darstellung von 5. Wenn etwas weniger trivial ausgedrückt für alle Werte von /der Ausdruck

(D

y-l

gilt, läßt sich χ ebenfalls leicht finden: x„ = 1, wenn und nur wenn SS a_m und bei / = n—1, n-2, 1, ist

X₁= 1, wenn und nur wenn der nachstehende Ausdruck

(2)

Wenn man zuläßt, daß die Komponenten von χ ganzzahlige Werte zwischen 0 und 1 annehmen, kann man die vorstehende Bedingung (1) durch

a, > I Σ "j

J-I

ersetzen, und es ist möglich, x. als ganzzahligen Teil von

S-

a, = w* α] mod m

(3)

Der Vektor a wirkt als öffentlich zugänglicher Verschlüsselungscode E in der Leitung E und wird entweder einer öffentlich zugänglichen Kartei eingegeben oder über den ungesicherten Kanal 19 zum Sender übermittelt Der Verschlüsselungscode .E wird hierdurch sowohl für den Sender 11 als auch für den Mithörer 13 zugänglich. Beim Sender 11 wird der Verschlüsselungscode E, der gleich a ist, verwendet, um den Schlüsseltext S aus der Klartextnachricht X zu erzeugen, die durch den Vektor χ dargestellt wird, und zwar dadurch, daß zugelassen wird, daß S= a* χ ist. Da jedoch a, pseudozufällig verteilt sein kann, ist es dem Mithörer 13, der a, jedoch nicht woder m kennt, praktisch unmöglich, ein Tornisterproblem zu lösen, bei dem a eine Rolle spielt, um die gewünschte Nachricht λ-zu erhalten.

Die Entschlüsselungseinrichtung 16 des Empfängers 12 erhält w, mund a'als geheimen Entschlüsselungscode D, so daß sie leicht die nachstehende Berechnung ausführen kann.

zurückzugewinnen. Die Gleichung (2) zum Feststellen des Wertes von x_h wenn x, als binärer Wert vorliegt, entspricht dieser Regel für /= 1.

Bei einem »Tornister mit Falltür« handelt es sich um eine Anordnung, bei der es eine sorgfältige Wahl von a dem Konstrukteur ermöglicht, leicht eine Lösung für jeden Wert von χ zu finden, bei der es jedoch für jede andere Person unmöglich ist, die Lösung zu finden. Im folgenden werden zwei Verfahren zum Konstruieren von Tornistern mit Falltüren beschrieben, doch wird zunächst auf ihre Verwendung bei einem mit öffentlichen Schlüssel arbeitenden Kryptosystem der in F i g. 1 dargestellten Art eingegangen. Der Empfänger 12 erzeugt einen Falltürtomister-Vektor a und überführt diesen entweder in eine öffentliche Kartei oder übermittelt ihn zu dem Sender 11 über den ungesicherten Kanal 19. Der Sender 11 stellt die Klartextnachricht X als einen Vektor χ mit η Nullen und Einsen dar, er berechnet S= a * χ, und er übermittelt 5 zum Empfänger 12 über den ungesicherten Kanal 19. Der Empfänger 12 kann 5 für χ lösen, doch ist es für den Mithörer 13 unmöglich, S für χ zu lösen.

Bei einem solchen Verfahren arbeitet der Schiüsselgenerator 22 mit Zufallszahlen, die durch die Schlüsselquelle 26 erzeugt werden, um zwei große ganze Zahlen m und w zu wählen, so daß w nicht modulo-m-umkehrbar ist d. h., daß m und w keine gemeinsamen Faktoren außer 1 haben. Beispielsweise kann die Schlüsselquelle 26 einen Zufallszahlengenerator enthalten, der aus rauschstarken Verstärkern, z. B. Operationsverstärkern der Bauart Fairchild μ 709, aufgebaut ist und einen Polaritätsdetektor aufweist Dem Schlüsselgenerator 22 wird ein Tornistervektor a 'zugeführt, der die Gleichung (1) befriedigt und daher eine Lösung der Gleichung S'=a'+x ermöglicht und er verwandelt den leicht zu lösenden Tornistervektor a' in einen Vektor a entsprechend der folgenden Gleichung:

S' = \lw*SmoAm

= 1/w*

= ^x', a, mourn
Wählt man m so, daß

(8)

ergibt sich aus Gleichung (7), daß 5'gleich Σ*/* ^a' ^m der Ganzzahlarithmetik und gleich mod m ist. Dieser Tornister läßt sich leicht für χ lösen, wobei χ gleichzeitig die Lösung für das schwierigere Falltürtornister-Problem 5= a * χ ist. Dem Empfänger 12 ist es daher möglich, die Klartextnachricht -Yzurückzugewinnen, die durch den binären Vektor χ dargestellt ist. Jedoch ist es möglich, dafür zu sorgen, daß sich das Falltürtornister-Problem, vor das sich der Mithörer 13 gestellt sieht, rechnerisch nicht lösen läßt, so daß es dem Mithörer nicht möglich ist, sich die Klartextnachricht X zugänglich zu machen.

Um diese Gedankengänge zu verdeutlichen, wird im folgenden ein Beispiel behandelt, bei dem η gleich 5 ist. Wählt man m=8443, a'=(171, 196, 457,1191, 2410) und w=2550, erhält man a=(5457, 1663, 216, 6013, 7439). Wählt man x=(0, 1, 0, 1, 1), berechnet die Verschlüsselungseinrichtung 15 den Wert S= 1663 + 6013 + 7439 = 15 115. Die Entschlüsselungseinrichtung 16 arbeitet mit dem Algorithmus von Euclid (siehe z. B. D. Knuth, »The Art of Computer Programming«, Bd. II, Addison-Wesley, 1969, Reading Ma.), um Mw= 3950 zu berechnen, um dann die nachstehende Rechnung auszuführen:

S' = \/w*Smodm

= 3950* 15115 mod 8443
= 3797

(9)

Da 5'größer ist als a 's, bestimmt die Entschlusseleinrichtung 17, daß As=I. Dann bestimmt sie unter Benutzung der Gleichung (2) für den Vektor a', daß Xt= 1, X₃=O, X₂= 1, Xi =0 oder x=(0,1,0,1,1) ist wobei es sich hierbei auch um die richtige Lösung für S= a * χ handelt

Für den Mithörer 13, der die Werte von m, woder a' nicht kennt ist es sehr schwierig, eine Lösung für χ aus 5= a * χ zu erhalten, und zwar auch dann, wenn er das Verfahren zum Erzeugen des Vektors a kennt Diese Aufgabe läßt sich dadurch undurchführbar machen, daß man für n, m, wund a 'größere Wert wählt Die genannte Aufgabe läßt sich noch weiter erschweren, indem man die Reihenfolge der Werte von a, verwürfelt und jedem

Wert von a, verschiedene, zufällig gewählte Vielfache hinzufügt.

Das vorstehende Beispiel hat einen äußerst kleinen Umfang und soll lediglich das angewendete Verfahren veranschaulichen. Wenn man mit n= 100 arbeitet, wobei es sich um die untere Grenze des Bereiches handelt, der bei Systemen mit hohem Sicherheitsgrad gegenwärtig angewendet wird, d. h., wenn man einen vernünftigeren Wert ansetzt, liegt es nahe, m annähernd gleichmäßig aus den Zahlen zwischen 2?⁰¹ +1 und 2^2m—-\ zu wählen, d. h., a\ gleichmäßig aus dem Bereich (1,2¹⁰⁰) zu wählen, a₂' gleichmäßig aus dem Bereich (2¹⁰⁰+1, 2 * 2¹⁰⁰) zu wählen, a-ϊ gleichmäßig aus dem Bereich (3χ2^ιου+1, 4 * 2¹⁰⁰) usw. zu wählen, und daß a/ gleichmäßig aus [(2'-'-l)*2^l0O+l, 2'-¹*2^10fl] gewählt wird; ferner kann man ungleichmäßig aus (2, m-2) wählen und dann durch den größten gemeinsamen Teiler vuii \w', m) teilen, so daß man w erhält.

Die Wahl dieser Werte gewährleistet, daß die Gleichung (8) befriedigt wird und daß der Mithörer 13 mit mindestens 2¹⁰⁰ Möglichkeiten für jeden Parameter zu rechnen hat, so daß es ihm nicht möglich ist, sämtliche Möglichkeiten auszuprobieren.

Die Verschlüsselungseinrichtung 15 ist in Fig.2 dargestellt. Die Folge von ganzen Zahlen a\, a->, ... a„ wird sequentiell synchron mit der sequentiellen Darstellung der Nullen und Einsen von x_u xl ... Xn zugeführt. Das S-Register 41 wird zunächst auf Null gesetzt. Wenn *, = 1, werden der Inhalt 41 des 5-Registers und a, durch den Addierer 42 addiert, und das Ergebnis wird dem S-Register 41 eingegeben. 1st Ar₁ = O, bleibt der Inhalt des S-Registers 41 unverändert. In beiden Fällen wird /durch /+1 ersetzt, bis i=n gilt, womit die Schlüsseloperation abgeschlossen ist. Das /-Register wird anfänglich auf Null gesetzt, und der Inhalt wird nach jedem Arbeitszyklus der Schlüsseleinrichtung um 1 erhöht. Um den Inhalt des /-Registers 43 zu erhöhen, kann man entweder den Addierer 42 oder einen speziellen Aufwärtszähler benutzen. Bei dem vorstehend genannten Bereich von Werten können das S-Register 41 und das /-Register 43 beide durch einen einzigen, mit direktem Zugriff arbeitenden Speicher für 1024 Bits, z.B. einen solchen der Bauart Intel 2102, gebildet werden. Der Aufbau des Addierers 42 wird weiter unten näher erläutert. Auch der Aufbau eines Komparators 44, der benötigt wird, um ; und η zu vergleichen und festzustellen, wann der Schlüsselvorgang beendet ist, wird im folgenden näher erläutert.

Zu dem Schlüsselgenerator 22 gehört ein Modulo-m-Multiplizierer, wie er z. B. in F i g. 3 dargestellt ist; dieser Multiplizierer dient zum Erzeugen von a,— w*a! mod m. Die beiden zu multiplizierenden Zahlen w und a/ werdep den W und Λ Registern 51 und 52 eingegeben, während m dem M-Register 53 eingegeben wird. Das Produkt w * a/ modulo m wird in dem P-Register 54 erzeugt, das anfänglich auf Null gesetzt wird. Hat k, die Zahl der Bits in der binären Darstellung von nj, den Wert 200, können alle vier Register durch einen einzigen, mit direktem Zugriff arbeitenden Speicher für 1024 Bits, z. B. einen solchen der Bauart Intel 2102, gebildet sein. Der in Fig.3 dargestellte Aufbau beruht auf der Tatsache, daß

enthält, den Wert 1 hat, wird der Inhalt des A -Registers 53 zum Inhalt des P-Registers 54 durch den Addierer 55 addiert. Ist ηό = 0, bleibt der Inhalt des P-Registers 54 unverändert. Dann werden die Inhalte der M- und P-Register durch den Komparator 56 verglichen, um festzustellen, ob der Inhalt des P-Registers 54 größer als m oder gleich m ist, d. h., dem Inhalt des M-Registers 53 ist. Wenn der Inhalt des P-Registers 54 größer ist als m oder gleich m. subtrahiert die Subtrahiereinrichtung 57 in vom Inhalt des P-Registers 54 und gibt die Differenz dem P-Register 54 ein; ist die Differenz kleiner als m. bleibt das P-Register 54 unverändert.

Nunmehr wird der Inhalt des IV-Registers 51 um eine Bitstelle nach rechts verschoben, und eine Null wird auf der linken Seite zugeführt, so daß der Inhalt den Wert 0iva_iiv*_2 ... HW₁ annimmt, woraufhin w für die Berechnung von 2uij' mod m bereit ist. Die Größe 2a'modm wird zu diesem Zweck dadurch berechnet. daß mit Hilfe des Addierers 55 die Größe a' zu sich selbst addiert wird, wobei der Komparator 56 dazu dient festzustellen, ob das Ergebnis 2a' kleiner ist als m, und wobei die Subtrahiereinrichtung 57 dazu dient, m von 2a'abzuziehen, wenn das Ergebnis nicht kleiner ist als m. Das Ergebnis 2a'mod m wird dann im .4'-Register 52 gespeichert. Dann wird wie zuvor das am weitesten rechts stehende Bit des H-Registers 51. das ηί enthält, geprüft, woraufhin sich der beschriebene Vorgang wiederholt.

Dieser Vorgang wird höchstens jt-mal wiederholt oder bis das W-Register 51 nur Nullen enthält. woraufhin ua'modulo m im P-Regisier 54 gespeichert wird.

Als Beispiel für diese Rechenoperationen wird im folgenden die Aufgabe der Berechnung von 7x7 modulo 23 behandelt. Nachstehend sind die aufeinanderfolgenden Inhalte der W-. A'- und P-Register angegeben, aus denen sich die Lösung für 7 χ 7 = 3 modulo 23 ergibt.

	O	H (in binä	A'	ρ	0	= 7
411	1	rer Form			0 + 7	= 21
■>> 2	0011!	1	•7+14	= 3 mod 23
3	00011	14	21+5
00001	5
00000	10

F i g. 4 zeigt den Aufbau eines Addierers 42 bzw. 55 zum Addieren von zwei Zahlen ρ und ζ mit k Bits. Diese Zahlen werden dem Addierer in Form einzelner Bits eingegeben, wobei das Bit der niedrigsten Größenord-

iiVaoam

W, mod m = w₀

+ 4 w₂aimod m +... + l^k~ ist.

Um w mit a/ zu multiplizieren, sind das am weitesten rechts stehende Bit welches w₀ des W-Registers 51 •»uiT* zuerst eir^e^eben wird un^ Has Vpi-Töir
ment wird zunächst auf 0 eingestellt. Die Verzögerung repräsentiert das binäre Übertragbit. Das UND-Gatter 61 bestimmt, ob das Obertragbit eine 1 sein soll, auf der Grundlage, daß p/und z, beide den Wert 1 haben, und das UND-Gatter 62 bestimmt, ob das Übertragbit eine 1 sein muß, auf der Basis der Tatsache, daß das vorherige Obertragbit eine 1 war, und daß eine der Größen p, und Zi den Wert 1 haben. Wenn eine dieser beiden Bedingungen zutrifft, liefert das Gatter 63 das Ausgangssignal 1, das eine Übertragung zur nächsten Stufe anzeigt Die beiden Exklusiv-ODER-Gatter 64 und 65 bestimmen das /-te Bit der Summe s, als die Modulo-2-Summe von p,und z.und das Übertragbit aus der vorausgehenden Stufe. Die Verzögerungseinrichtung 66 speichert das vorausgehende Ubertragbit

F i g. 5 zeigt den Aufbau eines !Comparators 44 bzw. 56 zum Vergleichen zweier Zahlen ρ und m. Die beiden Zahlen werden in Form einzelner Bits eingegeben, wobei das Bit der höchsten Ordnung als erstes zugeführt wird. Wenn keiner der beiden Ausgänge ρ < m und p> m getriggert worden ist, nachdem die letzten Bits pu und /Do eingegeben wurden, gilt p=m. Die erste Fig. 3 zu subtrahierenden Zahlen stets eine nicht negative Differenz ergeben, brauchen negative Differenzen nicht berücksichtigt zu werden. Die größere Zahl, d. h. der Minuend, wird mit ρ bezeichnet, während die kleinere Zahl, d. h. der Subtrahend, mit m bezeichnet wird. Beide Zahlen ρ und m werden der Subtrahiereinrichtung 57 seriell eingegeben, wobei das Bit der niedrigsten Ordnung zuerst eingegeben wird. UND- ι Gatter 81 und 83, ein ODER-Gatter 84 und ein exklusives ODER-Gatter 82 stellen fest, ob ein Borgen (negativer Übertrag) stattfindet. Ein Borgen erfolgt, wenn entweder p,=0 und m,= 1 oder p,= m, und wenn beim vorausgehenden Stadium ein Borgen stattgefunden hat. Die Verzögerungseinrichtung 85 speichert den vorausgegangenen Zustand des Borgens. Das /-te Bit der Differenz, d. h. d_h wird als die Exklusiv-ODER- bzw. als Modulo-2-Differenz von p_k m, und dem Borgebit berechnet. Das Ausgangssignal des Exklusiv-ODER-Gatters 82 bildet die Modulo-2-Differenz zwischen p, und m„ und das Exklusiv-ODER-Gatter 86 übernimmt die Modulo-2-Differenz hieraus zusammen mit dem vorausgegangenen Borgbit.

Die Entschlüsselungseinrichtung 16 ist in Fig. 7 dargestellt. Ihr werden der Schlüsseltext S und der Entschlüsselcode zugeführt, der aus w. mund a'besteht; sie hat die Aufgabe, χ zu berechnen.

Um χ zu berechnen, werden zuerst w und m einen Modulo-m-Inverter 91 eingegeben, der h- ' mod m berechnet. Dann wird der Modulo-m-Multiplizierer 92 benutzt, um 5'= w~ ¹S mod m zu berechnen. Gemäß den Gleichungen (7) und (8) gilt die Gleichung S'= a' * χ, die sich leicht für χ lösen läßt. Der Komparator 93 vergleicht dann 5'mit a„' und entscheidet, daß X_n= 1 ist, wenn S'> a„' und daß X_n=O, wenn S'<a_n. Ist A_n=I, wird S' durch die Größe S'—a„' ersetzt, die durch die Subtrahiereinrichlung 94 berechnet wurde. Ist A_n = O, bleibt S' unverändert. Der Rechenvorgang wird für a_n-{ und A_n-; wiederholt und fortgesetzt, bis χ berechnet ist. Das /Register 95 wird anfänglich auf η eingestellt, und nach jedem Stadium des Entschlüsselvorgangs wird der Inhalt um 1 verkleinert, bis y=0, wodurch der Rechenvorgang beendet und die Berechnung von α angezeigt wird. Man kann entweder die Subtrahiereinrichtung 94 oder einen Abwärtszähler benutzen, um den Inhalt des /Registers 95 zu verkleinern. Der Komparator 9fi kann benutzt werden, um den Inhalt des/Registers 95 mit Null zu vergleichen und zu bestimmen, wann der Rechenvorgang beendet werden soll. Weitere Einzelheiten des Modulo-m-Multiplizierers 92 sind aus F i g. 3 ersichtlich; der Komparator 93 ist mit weiteren Einzelheiten in Fig.5 dargestellt, und F i g. 6 zeigt weitere Einzelheiten der Subtrahiereinrichtung 94. Der Modulo-m-Inverter 91 kann auf einer bekannten erweiterten Version des Algorithmus von Euclid basieren. (Siehe z.B. D. Knuth, »The Art of Computer Programming«, Bd. II, Addison-Wesley, 1969, Reading, Ma, S. 302 und S. 315, Aufgabe 15.) Gemäß der Beschreibung von Knuth benötigt man in der Praxis sechs Register, einen Komparator, eine Dividiereinrichtung und eine Subtrahiereinrichtung. Mit Ausnahme der Dividieremrichtung sind alle diese Einrichtungen bereits Triggerung eines der Ausgänge p<m und p> m bewirkt, daß die Vergleichsoperation beendet wird. Die beiden UND-Gatter 71 und 72 weisen jeweils einen invertierenden Eingang auf, wie es in Fig. 5 jeweils

■"> durch einen Kreis angedeutet ist.

Fig. 6 zeigt den Aufbau einer Subtrahiereinrichtung 57 zum Subtrahieren zweier Zahlen. Da die gemäß beschrieben worden.

Fig. 8 zeigt Einzelheiten einer Einrichtung zum

Ii Dividieren einer ganzen Zahl durch eine andere ganze Zahl v, um einen Quotienten q und einen Rest r so zu berechnen, daß 0 < r < v— 1 ist. Zuerst werden u und ν in Form binärer Zahlen dem {/-Register 101 bzw. dem V-Register 102 eingegeben. Dann wird v, d. h. der Inhalt

> des V-Registers, nach links verschoben, bis bei va_; eine 1, d.h. das am weitesten links stehende Bit des V-Registers 102 erscheint. Dieser Rechenvorgang läßt sich mit Hilfe des Komplements von v^-i durchführen, um den Verschiebungsregler eines Schieberegisters,

ο z. B. eines solchen der Bauart Signetics 2533, zu betätigen, das anfänglich auf Null gesetzt wurde. Der Inhalt des Aufwärts/Abwärts-Zählers 103 ist gleich der um 1 verminderten Anzahl der in dem Quotienten enthaltenen Bits.

ι Nach dieser Einleitung des Rechenvorgangs wird ν als Inhalt des V-Registers 102 mit dem Inhalt des {/-Registers 101 durch den Komparator 104 verglichen. Ist ν kleiner als u, ist q„, d. h. das höchstwertige Bit des Quotienten, gleich 0. und u bleibt unverändert. Ist ν

;<i kleiner oder gleich u, ist q„= 1, und u wird durch den Wert u— versetzt, der durch die Subtrahiereinrichtung 105 berechnet wird. In beiden Fällen wird ν um ein Bit nach rechts verschoben, und der Vergleich, ob ν größer ist als u, wird wiederholt, um q_n-i, d. h. das nächste Bit

<-- des Quotienten, zu berechnen.

Dieser Rechenvorgang wird wiederholt, wobei der Inhalt des Aufwärts/Abwärts-Zählers 103 nach jedem Rechenschritt um 1 verkleinert wird, bis der Wert 0 erreicht ist. Sobald dies geschehen ist, ist der Quotient

4(1 vollständig, und der Rest r befindet sich im {/-Register 101.

Als Beispiel sei das Dividieren von 14 durch 4 behandelt, wobei man q=3 und r=2 erhält und wobei k=4 die Größe des Registers bezeichnet. Da U= 14 = 1110 und v=4 = 0100 in binärer Schreibweise ist, wird der Inhalt des V-Registers 101 nur einmal nach links verschoben, so daß man v=1000 erhält. Nach dieser Einleitung des Rechenvorgangs zeigt es sich, daß ν < u, so daß das erste Bit c?i des Quotienten den Wert 1

ν hat, und daß u durch u—v ersetzt wird: ν wird dadurch ersetzt, daß ν um ein Bit nach rechts verschoben wird, und der Aufwärts/Abwärts-Zähler 103 wird auf den Wert 0 gebracht. Hierdurch wird angezeigt daß das letzte Bit uo des Quotienten berechnet wird und daß sich nach dem soeben beschriebenen Rechenschritt der Rest r im {/-Register befindet Die nachstehende Folge von Registerinhalten erleichtert die Verfolgung dieser Rechenoperationen.

U V Zähler q.

1110	1000	1	1
0110	0100	0	1
⁶⁵ 0010	_	Ende

Es ist ersichtlich, daß c/=ll in binarer Form dem Ausdruck <7=3 gleichwertig ist und daß r=00!0 in

binärer Form dem Ausdruck r= 2 gleichwertig ist

Bei einem weiteren Verfahren zum Erzeugen eines Falltürtornister-Vektors a wird von der Tatsache Gebrauch gemacht, daß sich ein multiplikativer Tornister leicht lösen läßt, wenn die Vektoreingänge relative Primzahlen sind. Nimmt man an, daß a'=(6,11, 35, 43, 169) und daß ein Teilprodukt /»=2838, läßt sich leicht zeigen, daß P= 6* 11 *43, da 6, 11 und 43 die Größe P gleichmäßig unterteilen, was für 35 und 169 nicht gilt Um einen multiplikativen Tornister und einen additiven Tornister zu verwandeln, verwendet man Logarithmen. Damit man für beide Vektoren brauchbare Werte erhält, werden die Logarithmen über CF(m), d. h. das endliche Galois-Feld, mit m Elementen verwendet wobei m eine Primzahl ist Es ist auch möglich, Werte von m zu verwenden, die keine Primzahlen sind, doch werden die Rechenvorgänge hierbei etwas schwieriger.

Im folgenden wird ein kleines Beispiel behandelt Wählt man /7=4, /7?=257, a'=(2,3,5, 7) und die Basis der Logarithmen als b = 131, erhält man a = (80,183,81,195). Dies entspricht 131⁸⁰=2 mod 257, 131¹⁸³ = 3 mod 257 usw. Das Auffinden von Logarithmen über GF(m) ist relativ einfach, wenn m— 1 nur Kleine Primfaktoren enthält

Wenn man der Entschlüsselungseinrichtung 16 den Wert S= 183 + 81 =264 zuführt, arbeitet sie mit dem Entschlüsselungscode D, der sich aus m, a' und b zusammensetzt, um die folgende Berechnung durchzuführen:

5" = b^smodm (10)

= 131²⁶⁴ mod 257
= 15
= 3*5

.0 .1. .0

= α,*α₂*α4

Dies bedeutet, daß χ = (0, 1, 1, 0). Der Grund hierfür besteht darin, daß

(H)
(12)
(13)

Es ist jedoch erforderlich, daß
ffa,<m

um zu gewährleisten, daß na'", mod m gleich na'", bei arithmetischer Schreibweise für die ganzen Zahlen ist

Der Mithörer 13 kennt den Versr.hlüsselungscode E, der durch den Vektor a gebildet wird, doch kennt er nicht den Entschlüsselungscode D, so daß er vor einer rechnerisch nicht durchführbaren Aufgabe steht.

Bei dem vorstehenden Beispiel handelte es sich wiederum um ein kleines Beispiel, das lediglich zur Veranschaulichung des Verfahrens dienen soll. Wählt man π =100, wenn jeder Wert von al eine zufällig gewählte Primzahl mit 100 Bits ist, würde m annähernd eine Länge von 10 000 Bits erhalten, um zu gewährleisten, daß die Gleichung (14) befriedigt wird. Zwar ist eine Datenerweiterung im Verhältnis von 100:1 in manchen Anwendungsfällen akzeptabel, z. B. bei der gesicherten Codeverteilung über einen ungesicherten Kanal, doch ist es wahrscheinlich nicht erforderlich, daß ein Gegner bezüglich des Wertes aj in diesem Ausmaß unsicher ist Es ist sogar möglich, die ersten π Primzahlen für a/ zu verwenden; in diesem Fall könnte man m auf eine Länge von bis zu 730 Bits verkürzen, wenn /J=IOO, und hierbei würde die Bedingung der Gleichung (14) immer noch erfüllt Somit besteht immer noch die Möglichkeit eines Vergleichs zwischen der

ι ο Sicherheit und der Datenerweiterung.

Bei dieser Ausführungsform ist die Verschlüsselungseinrichtung 15 in der gleichen Weise aufgebaut wie es in Fig.2 gezeigt und vorstehend beschrieben ist Die Entschlüsselungseinrichtung 16 der zweiten Ausführungsform ist in Fig.9 dargestellt Der Schlüsseltext S und Teile des Entschlüsselungscodes D, und zwar b und /n, werden durch den Potenzierer 111 verwendet, um P= 0^s mod m zu berechnen. Gemäß den Gleichungen (12) bis (14) und dem beschriebenen Beispiel ist Pein Teilprodukt von fa), das ebenfalls einen Teil des Entschlüsselungscodas D bildet Die Dividiereinrichtung 112 teilt Pdurch al für /=1, 2,... η und führt nur den Rest /·, dem Komparator 113 zu. 1st /·,=0, wird P durch a/ gleichmäßig verteilt, und *,= 1. Ist ηΦΟ, ist Af₁=O. Die DividiereinrichMng 112 kann in der aus Fig.8 ersichtlichen, bereits beschriebenen Weise aufgebaut sein. Der Komparator 113 kann der anhand von F i g. 5 gegebenen Beschreibung entsprechen, doch gibt es wirtschaftlichere Einrichtungen für den Vergleich mit 0.

Der Potenzierer 111 zum Potenzieren von b mit S-modulo-m kann als elektronische Schaltung nach Fig. 10 aufgebaut sein. In Fig. 10 ist der anfängliche Inhalt von drei Registern 121, 122 und 123 angegeben. Die binäre Darstellung von S(Sk\, s*-2... S\So) wird dem S-Register 121 eingegeben; dem R-Register 122 wird der Wert 1 eingegeben, und die binäre Darstellung von b wird dem B-Register 123 entsprechend /= 0 eingegeben. Die Anzahl der Bits k in jedem Register ist gleich der kleinsten ganzen Zahl, so daß 2*> m. Ist k= 200, können alle drei Register durch einen einzigen mit direktem Zugriff arbeitenden Speicher für 1024 Bits gebildet sein. Der Aufbau des Multiplizierers 124 zum Multiplizieren zweier Zahlen modulo m wurde bereits anhand von F i g. 3 beschrieben.

Wenn gemäß F i g. 10 das Bit der niedrigen Ordnung, welches ro des 5-Registers 121 enthält, gleich 1 ist, werden die Inhalte des R-Registers 122 und des B- Registers 123 modulo m multipliziert, und das Produkt, das ebenfalls eine Größe mit A: Bits ist, ersetzt den Inhalt des Ä-Registers 122. Ist * = 0, bleibt der Inhalt des Ä-Registers 122 unverändert In beiden Fällen wird der Inhalt des ß-Registers 123 dem Multiplizierer 124 zweimal eingegeben, so daß das Modulo-/n-Quadrat des Inhalts des ß-Registers 123 berechnet wird. Dieser Wert W²'+') ersetzt den Inhalt des ß-Registers 123. Der Inhalt des 5-Registers 121 wird um ein Bit nach rechts verschoben, und auf der linken Seite wird eine 0 eingesetzt, so daß der Inhalt jetzt Ost- iS*-2 · · · S2*i ist

Das Bit der niedrigen Ordnung, das S\ aus dem

bo S-Register 121 enthält, wird geprüft Ist es gleich 1, werden wie zuvor die Inhalte des Α-Registers 122 und des ß-Registers 123 modulo-m-multipliziert, und das Produkt ersetzt den Inhalt des Λ-Registers 122. Ist das Bit der niedrigen Ordnung gleich 0, bleibt der Inhalt des

b5 Λ-Registers 122 unverändert. In beiden Fällen wird der Inhalt des ß-Registers 123 durch das Modulo-m-Quadrat des vorherigen Inhalts ersetzt. Der Inhalt des S-Registers 121 wird um ein Bit nach rechts verschoben,

und am linken Ende wird eine O eingesetzt, so daß sich der Inhalt 0Os* -1,s*-2..-S3S2 ergibt.

Diese Rechenvorgänge werden fortgesetzt, bis das S-Register 121 nur Nullen enthält; an diesem Punkt wird der Wert von 0^s modu'o m im /?-Register 122 gespeichert

Dieses Verfahren wird durch das folgende Beispiel erläutert. Wählt man τη = 23, findet man JSr= 5 aus2*>m. Ist b= 7 und S= 18, erhält man

b^s = 7¹⁸ = 1628413597910449

= 23(70800591213497)+ 18,

so daß & modulo m gleich 18 ist. Dieses einfache, jedoch langwierige Verfahren zum Berechnen von t? modulo m wird als Prüfverfahren verwendet, um zu zeigen, daß das Verfahren nach Fig. 10 das richtige Ergebnis liefert. Nachstehend sind die Inhalte des ^-Registers 122 und des B-Registers 123 in dezimaler Form angegeben, um das Verständnis zu erleichtern.

/	S (in binärer	R	1	H
	Torrn)		1
0	10010	3	7
1	01001	3	3
2	00100	3	9
3	00010	18	12
4	00001	6
5	00000	13

Primzahlen aus der Quelle 131 werden jeweils mit einem anderen Exponenten potenziert, der durch eine Zufallszahl e, aus der Schlüsselquelle 26 repräsentiert wird; dies geschieht mit Hilfe des Potenzierers 132, um pf_t für /= 1 bis η zu erzeugen. Der Multiplizierer 133 berechnet dann das Produkt sämtlicher Werte von pf_h das durch

Die mit /=0 bezeichnete Reihe entspricht den ursprünglichen Inhalten der verschiedenen Register, d.h. 5=18, R= \ und ß=b = 7. Da, wie oben erlauten, das rechtsbündige Bit im 5-Register 121 gleich 0 ist. bleibt der Inhalt des /^-Registers 122 unverändert, der Inhalt des ß-Registers 123 wird durch das Modulo-23-Quadrat des vorherigen Inhalts

(72 = 49 = 2 χ 23 + 3 = 3 modulo 23)

ersetzt, der Inhalt des 5-Registers 121 wird um ein Bit nach rechts verschoben, und der Rechenvorgang wird fortgesetzt. Nur wenn /'= 1 bzw. 4 ist. ist das rechtsbündige Bit im 5-Register 121 gleich 1. so daß nur beim Übergang von / von 1 auf 2 und beim Übergang von /von 4 auf 5 der Inhalt des /^-Registers 122 durch RB modulo m ersetzt wird. 1st /=5, ist 5=0. so daß der Rechenvorgang abgeschlossen ist und sich das Ergebnis 18 im R-Register 122 befindet.

Es sei bemerkt, daß das gleiche Ergebnis 18 hier wie bei der einfachen Berechnung von 7^l!t modulo 23 gewonnen wird, daß sich jedoch hier niemals große Zahlen ergeben.

Um das Rechenverfahren verständlich zu machen, sei bemerkt, daß das ß-Register 123 die Werte b, b-\ b⁴. b^H und b^lb enthält, wenn /=0, 1. 2, 3 bzw. 4. und daß h^ = b^lbb² ist, so daß nur diese beiden Werte multipliziert zu werden brauchen.

Einzelheiten des bei der zweiten Ausführungsform verwendeten Schlüsselgenerators 22 sind in Fig. 11 dargestellt. In der Quelle 131 wird eine Tabelle von η kleinen Primzahlen />,· erzeugt und gespeichert, wobei es sich bei dieser Quelle um einen Festwertspeicher handeln kann. Die Schlüsselquelle 26 erzeugt in der schon beschriebenen Weise Zufallszahlen c. Die kleinen dargestellt werden. Das Produkt sämtlicher Wert;

TT p

wird dann durch den Addierer 134 um 1 erhöht, um den Potenzwert von m zu erhalten. 1st es erwünscht, daß m eine Primzahl ist, kann man den Potenzwert von m auf seine Primzahleigenschaft mit Hilfe des Primzahlprüfers 135 prüfen.

Primzahlprüfer zum Feststellen, ob eine Zahl m eine Primzahl ist, wenn die Fakturisierung von m- 1 bekannt ist, wie es hier der Fall ist, wo

--1 = Up'·

sind in der Fachliteratur beschrieben. (Siehe z. B. D. Knuth, »The Art of Computer Programming«, Bd. II, Seminumerical Algorithms. S. 347 —48.) Wie dort beschrieben, benötigt der Primzahlenprüfer 135 nur eine Einrichtung zum Erheben verschiedener Zahlen zu verschiedenen Potenzen modulo m, wie es in Fig. 10 gezeigt ist. Wenn es sich zeigt, daß ein Potenzwert von m eine Primzahl ist, wird m durch den Generator nach Fig. 11 für den öffentlichen Schlüssel als variable Größe m ausgegeben. Die Elemente a, des Vektors a' können dann so gewählt werden, daß es sich um die η kleinen Primzahlen p, aus der Quelle 131 handelt.

Die Basis b der Logarithmen wird dann durch die Schlüsselquelle 26 als Zufallszahl gewählt.

Die Elemente des Vektors a werden durch den logat ithmischen Wandler 136 nach F i g. 11 als Logarithmen zur Basis b der Elemente des a'-V'ktors über GF(m) berechnet. Der Aufbau und die Wirkungsweise eines solchen logarithmischen Wandlers 136 sind nachstehend erläutert.

Wenn ρ eine Primzahl ist, gilt bekanntlich

= l(mod/7),l ^7<

(15)

Daher werden arithmetische Operationen bei dem Exponenten modulo />-1 und nicht modulo ρ durchgeführt. Dies bedeutet, daß

'(mod/))

(16)

Dies gilt für alle ganzen Zahlen x.

Der Algorithmus zum Berechnen von Logarithmen mod ρ wird am besten verständlich, wenn man zuerst den Sonderfall p—2"⁴ ' betrachtet. Es stehen die Werte P und y zur Verfügung, wobei tx ein primitives Element von CF(p)darstellt, und ν muß so gefunden werden, daß \ = "(mod p). Man kann annehmen, daß 0<.\<p-2. da

χ=ρ— 1 von χ=0 nicht zu unterscheiden ist.

Ist p=2"+l, läßt sich χ leicht ermitteln, indem man die binäre Reihe (bo,... b_n-1) von ^bestimmt

Das niedrigstwertige Bit bo von χ wird dadurch ermittelt, daß ymit (p- l)/2 = 2"-' potenziert wird, und daß die nachstehende Regel angewendet wird.

gegeben, berechnet der Algorithmus χ in der nachstehenden Weise; hierzu sei bemerkt, daß 0 = *-' =6 ist, da 3x6=18 = 1, mod 17.

y^^un(modp) =

■ -l./>o- 1

(17)

Diese Tatsache ergibt sich, wenn man feststellt, daß dann, wenn α primitiv ist, die folgende Gleichung gilt:

(18)

(19)

;'	Z	ß	in	W	A/
0	10	6	8	16	1
1	9	2	4	16	1
2	1	4	2	1	0
3	1	16	1	1	0
4		1	'/2

und daß daher

y/>-i)/2 = (_ff.v)</>-i)/2 _ (_l)^v(modp)

Das nächste Bit in der Erweiterung von χ wird dann dadurch bestimmt, daß man die Gleichung

Auf diese Weise ergibt sich, daß χ=2° +2" =3. Dies ist richtig, da α³ = 3³ = 27 = 10 (mod 17).

Nunmehr wird dieser Algorithmus verallgemeinert und bei beliebig gewählten Primzahlen ρ angewendet Als Primzahlenfekturisierung von p—\ wird der Ausdruck

ζ = ya'^h" = a^M(mod/>)

gelten läßt, wobei
„-1

(20)

(21)

-I = pVp?...pK,P,<P,+ \

(27)

gewählt, indem die Werte von p, klare Primzahlen und die Werte von n, positive ganze Zahlen sind. Die Werte von χ (mod p"') werden für / = 1,... Ar bestimmt, und die Ergebnisse werden mit Hilfe des chinesischen Resttheorems kombiniert, so daß man die G!eichung

Offensichtlich ist x, nur dann ein Vielfaches von 4, wenn b_t =0. Ist b\ = 1, ist X\ durch 2, jedoch nicht durch 4 teilbar. Bei der Fortsetzung der vorstehenden Schlußfolgerungen ergibt sich

-^(/>ll/4(mod )=

(22)

Die übrigen Bits von χ werden auf ähnliche Weise ermittelt. Dieser Algorithmus ist in Fig. 12 in einem Fließbild zusammengefaßt.

Um dieses Fließbild verständlich zu machen, sei bemerkt, daß für den Anfang der /-ten Schleife die folgenden Gleichungen

xjmod JIp"; | = x(modp-l) = χ (28)

ι- I

erhält, da 0<x<p—2. Das chinesische Resttheorem kann mit Rechenoperationen der Form OfAr Iog2/?) und Bits der Form 0(k\og2p) im Speicher durchgeführt werden. Hierbei wird eine Modulo-p-Multiplikation als eine Rechenoperation gezählt. _v

Im folgenden wird eine Erweiterung bzw. Reihe für χ (mod pi",) betrachtet.

x(moup") =

(29)

j =■- u

m = (p-\)/2'*^]
und

ζ = a^x>{moap)
gelten, in denen

it-1

_χ _ y £ 2>

(23)

(24)

(25)

Hierin ist 0 ^ bj^p, -1.

Um den niedrigstwertigen Koeffizienten b_a zu ermitteln, wird y mit (/?-l)/p, potenziert.

■-,0 Hierin ist

= y* = (y,)¹»(modp) (30)

(mod p)

(31)

Wenn man ζ mit m potenziert, erhält man somit

z"' = α¹*'"» = a""^u'² ■ (χ,Ιΐ) = ₍-l)V2' = (-DMmod,) . (26)

so daß z"= 1 (mod p), und zwar nur dann, wenn ö, = 0, und daß ^= -1 (mod pjist, wenn b,= \.

Als Beispiel wird im folgenden der Fall betrachtet, daß p=17 = 2⁴ + l. Dann ist a = 3 primitiv, wogegen λ = 2 nicht Drimitiv ist,da 2⁸ = 256 = 1 (mod 17). Ist y= 10

₆o d.h. eine primitive p,-te Wurzel aus 1. Somit gibt es nur P₁ mögliche Werte rüry^MI//)' (mod p), und der resultierende Wert bestimmt b_ü unzweideutig.

^{Um die} nächste Ziffer ft, in der Reihe für χ (mod p"') auf der Basis p, zu ermitteln, wird die Gleichung

= ^y' ^a

gewählt; hierin ist

⁽³²⁾

(33)

j-\

Durch Potenzieren von ζ mit (p-\)/pj erhält man jetzt

(34)

Wiederum gibt es nur/»,mögliche Werte von zfp-
und dieser Wert bestimmt b\. Dieses Verfahren wird fortgesetzt, um sämtliche Koeffizienten bj zu ermitteln.

Das in Fig. 13 gegebene Fließbild faßt den Algorithmus zum Berechnen der Koeffizienten bj der Reihe (29) zusammen. Dieser Algorithmus wird jt-mal benutzt, um χ (mod pf) für /= 1, 2, ... k zu berechnen, und diese Ergebnisse werden nach dem chinesischen Restheorem kombiniert, so daß man χ erhält. Die Funktion g{w) in Fig. 13 ist durch die folgende Gleichung bestimmt:

yf·«¹··' = w(modp\0<g,(w)^p-\

(35)

hierin ist y, durch die Gleichung (31) bestimmt.

Wenn alle Primfaktoren (pjl·= 1 von p-1 klein sind, lassen sich die Funktionen g(w) leicht als Tabellen darstellen, und die Berechnung eines Logarithmus über GF(p) erfordert O(log2p)² Rechenoperationen und nur einen minimalen Speicheraufwand für die Tabellen für g(w). Das vorherrschende rechnerische Erfordernis ist die Berechnung von w=z", für die man 0(\og2p) Rechenoperationen benötigt. Diese Schleife wird

Σ «,-mal

/» 1

durchlaufen, und wenn alle Werte von p, klein sind, hat

annähernd den Wert Iog2p. Wenn p-\ nur kleine Primfaktoren enthält, ist es daher leicht möglich, Logarithmen über GF(p)zn berechnen.

Als Beispiel sei der Fall betrachtet, daß p= 19, =2 und /=10. Dann ist p-1 =2 · 3² undpi =2, η ι = I₁ P₂ = 3 und n₂ = 2. Um χ (mod p\ ⁿ\) — χ (mod 2) zu berechnen, ist es erforderlich,

/P-IVp₁ =«9 = 512 = 18(mod 19)

so zu berechnen, daß fei = 1 und χ (mod 2) = 2° = 1, d. h. daß χ ungeradzahlig ist. Hierauf wird erneut nach dem Fließbild in F i g. 13 für P₂ = 3 /7₂ = 2 wie folgt vorgegangen, wobei ^= 10, da 2 χ 10 = 20= 1 mod 19; ferner gilt y₂ = ίχ6 ₌ 7 _unc] 7° = 1, 7'=7 sowie 7²=11 (mod 19), so daß man#(l) = 0,gJJ)= 1 undgi\ 1) = 2 erhält.

10	10	6
12	12	2
18	18

11

so daß χ (mod ρΛ) = χ (mod 9) = 2 · 3°+2 · 3'=8 ist.

Die Tatsache, daß χ (mod 2) = 1 und daß χ (mod 9) = 8, bedeutet, daß χ (mod 18)= 17.(Es ist entweder möglich, das chinesische Resttherorem anzuwenden oder sich klar zu machen, daß x=8 oder x=8+ 9= 17 ist und daß nur 17 ungeradzahlig ist) Bei einer Prüfung läßt sich feststellen, daß 2¹⁷=131 072 = 10 (mod 19) ist, so daß

Es ist ersichtlich, daß man als logarithmischen Wandler einen mod-p-Inverter benötigt, um /? = ac-> (mod p) zu berechnen, wie erwähnt, ist dies möglich, wenn man die erweiterte Form des Algorithmus von

ίο Euclid anwendet, der die Benutzung der Dividiereinrichtung nach F i g. 8, des Multiplizierers nach F i g. 3 und des Komparator nach Fig.5 bedingt. In Verbindung mit dem logarithmischen Wandler wird auch die Dividiereinrichtung nach F i g. 8 benötigt, um aufeinanderfolgende Werte von π zu berechnen, sowie der Addierer nach Fig.4 zum Vergrößern von j, der Modulo-p-Potenzierer nach Fig. 10 zum Berechnen von Wund /?*,■ sowie zur Vorberechnung der Tabelle für g(W), der Modulo-p-Multiplizierer nach Fig.3 zum Berechnen aufeinanderfolgender Werte von Z sowie der Komparator nach Fig.5 zum Feststellen, wann j- Nj. Der Betrieb des logarithmischen Wandlers nach dem chinesischen Resttheorem erfordert nur die Benutzung von Einrichtungen, die bereits beschrieben wurden, und zwar des Multiplizierers nach F i g. 3 und eines Modulo-m-Inverters.

Bei dem zuerst genannten Verfahren zum Erzeugen eines Falltürtornister-Vektors wurde ein sehr schwieriges Tornislerprobiem, bei dem ein Vektor a eine Rolle

jo spielt, in ein sehr einfaches und leicht zu lösendes Tornisterproblem verwandelt, bei dem die Größe a' verwendet wird, und zwar mit Hilfe der nachstehenden Transformation:

a, = l/w*e,-modffi

(36)

Ein Tornisterproblem mit der Größe a konnte gelöst werden, da es sich in ein anderes Tornisterproblem verwandeln ließ, das für die Größe a' gilt, und das lösbar war. Es sei jedoch bemerkt, daß es keine Rolle spielt, weshalb Tornisterprobleme für die Größe a' lösbar sind. Statt die Forderung zu stellen, daß a' die Gleichung (1) befriedigt, könnte man somit fordern, daß sich a' in ein anderes Tornisterproblem umwandeln läßt, das für a" gilt, wobei die nachstehende Transformationsgleichung angewendet wird.

d, = 1/H»'*ajmodm'

(37)

-,o Hierin befriedigt a" die Gleichung (1), oder die Aufgabe läßt sich auf andere Weise leicht lösen. Nachdem die Transformalion zweimal durchgeführt worden ist, erweist es sich nicht als schwierig, die Transformation ein drittes Mal durchzuführen; vielmehr ist ersichtlich, daß man diesen Rechenvorgang beliebig oft schrittweise durchführen kann.

Bei jeder weiteren Transformation wird der Aufbau des öffentlich bekannten Vektors a ständig weiter verdunkelt. Praktisch wird das einfache Tornisterpro-

bo blem dadurch verschlüsselt, daß wiederholt eine Transformation angewendet wird, bei welcher der grundsätzliche Aufbau des Problems erhalten bleibt. Bei dem Endergebnis a handelt es sich offensichtlich um eine Sammlung von Zufallszahlen. Hierbei wird die Talsache, daß sich das Problem leicht lösen läßt, völlig unerkennbar gemacht.

Der ursprüngliche, leicht zu lösende Tornistervektor kann beliebigen Bedingungen entsprechen, z. B. der

Gleichung (1), die gewährleistet, daß sich eine Lösung leicht finden läßt. Beispielsweise könnte es sich um ein multiplikatives Falltürtornister-Problem handeln. Auf diese Weise ist es möglich, beide Falltürtornister-Verfahren zu einem einzigen Verfahren zu kombinieren, bei dem sich die Lösung vermutlich noch schwerer finden läßt.

Es ist wichtig, die Wachstumsgeschwindigkeit von a zu berücksichtigen, denn sie bestimmt die Datenerweiterung, die sich bei der Übermittlung des n-dimensionalen Vektors λ- als der größere Wert S ergibt. Die Wachstumsgeschwindigkeit richtet sich nach dem Verfahren zum Wählen der Zahlen, doch wird bei einem sich in vertretbaren Grenzen haltenden Aufbau, bei dem /ι= 100, jeder Wert a,höchstens um 7 Bits größer sein als der entsprechende Wert al, jeder Wert von al wird um höchstens 7 Bits größer sein als al' usw. Jede der aufeinanderfolgenden Transformationsstufen vergrößert den Umfang des Problems nur um einen kleinen festen Betrag. Wird die Transformation 20mal wiederholt, werden jedem Wert von a, höchstens 140 Bits hinzugefügt. Wenn anfänglich jeder Wert von a, z. B. 200 Bits enthält, brauchen diese Werte nach 20 Transformationsstufen nur 340 Bits zu enthalten. Der Tornistervektor wird dann für n= 100 höchstens einen Umfang von 100 χ 340 = 34 Kilobits haben.

Die gebräuchlichen digitalen Authentisiereinrichtungen bieten zwar einen Schutz gegen unbefugte Dritte bzw. gegen Fälschungen, doch ermöglichen sie es nicht, Streitigkeiten zwischen dem Sender 11 und dem Empfänger 12 bezüglich der Frage zu schlichten, welche Nachricht, wenn überhaupt, abgesandt wurde. Eine wahre bzw. echte digitale Unterschrift wird auch als Quittung bezeichnet, da sie es dem Empfänger 12 ermöglicht, nachzuweisen, daß ihm über den Sender 11 eine bestimmte Nachricht M übermittelt wurde. Um solche Quittungen zu erzeugen, kann man Falltürtornister in der nachstehend beschriebenen Weise anwenden.

Wenn jede Nachricht M innerhalb eines großen festen Bereichs ein inverses Bild χ hätte, könnte man dieses Bild verwenden, um Quittungen zu erstellen. Hierbei erzeugt der Sender 11 Tornistervektoren fe'und //derart, daß ft'cin geheimer Schlüssel ist, z. B. ein leicht zu lösender Tornistervektor, und daß b ein öffentlicher Schlüssel ist, wie er sich aus der nachstehenden Beziehung ergibt:

b = n*/i modm

(38)

M = \/w*Mmodm

]modm

xJ 6, modm

(39)
(40)
(41)
(42)

Der Empfänger 12 konnte leicht M aus χ berechnen, und er könnte durch Prüfen eines Datum/Zeit-Feldes (oder einer anderen Redundanz in M) feststellen, ob die Nachricht M authentisch war. Da es dem Empfänger 12 nicht möglich wäre, ein solches χ zu erzeugen, weil

Der Vektor b wird dann entweder in eine öffentlich zugängliche Kartei eingebracht oder zum Empfanget 12 übermittelt. Hat der Sender 11 die Absicht, eine Quittung für die N achricht M zu erzeugen, würde er χ so berechnen und übermitteln, daß b * x=M Der Sender 11 erzeugt χ für die gewünschte Nachricht M dadurch, daß das leicht zu lösende Tornisterproblem gelöst wird.

hierfür b' erforderlich ist, das nur dem Sender 11 zur Verfügung steht, bewahrt der Empfänger 12 den Wert a als Beweis dafür auf, daß die Nachricht M durch den Sender 11 übermittelt wurde.

Man kann dieses Verfahren zum Erzeugen von Quittungen so abändern, daß es sich auch dann anwenden läßt, wenn die Dichte der Lösungen, d. h. der Anteil von Nachrichten M zwischen 0 und £b„ die Lösungen für b* x=M aufweisen, kleiner ist als 1, vorausgesetzt, daß dieser Bruchteil nicht zu klein ist. Die Nachricht M wird als Klartext gesendet oder in der beschriebenen Weise verschlüsselt, wenn ein Mithören durch einen Horcher zu befürchten ist, und hierbei wird eine Folge von miteinander in Beziehung stehenden Einweg-Funklionen y\ = Fy(M), yi = Fi(M)... berechnet. Der Sender 11 sucht dann ein inverses Bild χ für y_u y₂ usw. zu erhalten, bis ein solches Bild gefunden wird, welches dem entsprechenden * für M als Quittung nachgestellt wird. Der Empfänger 12 berechnet M'—b* χ und prüft, daß M'=yl, wobei /innerhalb eines annehmbaren Bereichs liegt.

Die Folge von Einweg-Funktionen kann dem folgenden einfachen Ausdruck entsprechen:

F₁[M) = F[M) +i

F₁[M) = F[M+D

(43)

(44)

Hierin ist F(*) eine Einweg-Funktion. Es ist erforderlich, daß der Bereich von F(*) mindestens 2100 Werte hat, um beim Bestehen einer Fälschungsabsicht alle Probierversuche zum Scheitern zu bringen.

Es ist auch möglich, die Nachricht und die Quittung zu einer einzigen Meldungs- und Quittungsangabe zu kombinieren. Wenn der annehmbare Bereich für / zwischen 0 und 2'- 1 liegt, und wenn die Nachricht eine Länge von / Bits hat, kann eine einzige Zahl mit einer Länge von ]+l Bits sowohl die Nachricht als auch / darstellen. Der Sender 11 führt eine Prüfung bezüglich einer Lösung für b* A = SfUr jeden der 2' Werte von S durch, die sich ergeben, wenn z. B. die ersten / Bits von S gleich der Nachricht gesetzt werden, und wenn die letzten / Bits von 5 unabhängig bzw. nicht beschränkt sind. Die erste solche Lösung Α-wird zum Empfänger 12 als Nachrichtenquittung übermittelt. Der Empfänger 12 gewinnt 5 zurück, indem er das innere Produkt des öffentlichen Schlüssels b und die Nachrichten-Quittung-Kombination χ berechnet und der ersten J Bits von S zurückbehält, die auf diese Weise gewonnen wurden. Die Authentizität der Nachricht erhält ihren Gültigkcitsbewciä durch das Vorhandensein einer geeigneten Redundanz in der Nachricht in einer natürlichen Sprache, z. B. der englichen Sprache, ausgedrückt ist, oder durch eine künstliche Redundanz, z. B. die Beifügung eines Datum/Zeit-Feldes zu der Nachricht

Der Begriff »Redundanz« wird hier im Sinne dei Informationstheorie (Claude E. Shannon, »The Mathematical Theory of Communication«, Bell Systerr Technical Journal, Bd. 27, S. 379 und S. 623, 1948) unc der Komplexitätstheorie (Gregory J. Chaitin, »On th< Length of Programs for Computing Finite Binan Sequences«, Journal of the Association for Computing Machinery, Bd. 13, S. 457, 1966) verwendet, um die Struktur (Abweichung von der vollständigen Zufällig keit und Unvorhersehbarkeit) einer Nachricht zi messen. Eine Nachrichtenquelle weist nur dann kein( Redundanz auf, wenn alle Schriftzeichen mit de gleichen Wahrscheinlichkeit auftreten. Wenn es möglicl

ist, die Zeichen der Nachricht mit einer über der Zufälligkeit liegenden Erfolgsrate zu raten, weist die Quelle eine Redundanz auf, und die Rate, mit welcher ein hypothetischer Fehler sein Vermögen anwachsen lassen kann, ist das quantitative Maß der Redundanz. (Thomas M. Cover und Roger C. King, »A Convergent Gambling Estimate of the Entropy of English«, Technical Report Nr. 22, Statistics Department, Stanford University, 1. November 1976.) Jedem Menschen ist es ohne weiteres möglich, eine Nachricht dadurch gültig zu machen, daß eine Redundanzprüfung durchgeführt wird, z. B. dadurch, daß festgestellt wird, ob die Nachricht in einem grammatisch richtigen Englisch abgefaßt ist. Durch Simulieren der Spielsituation ist es mit Hilfe einer Maschine möglich, festzustellen, ob eine Nachricht die Redundanz aufweist, welche der beanspruchten Quelle zukommt.

Es stehen zahlreiche Verfahren zur Verfügung, um diese Ausführungsform der Erfindung zu verwirklichen. Ein Teil des Entzifferungsschlüssels D könnte öffentlich bekannt sein, statt geheimgehalten zu werden, vorausgesetzt, daß der Teil von D, der nicht öffentlich zugänglich ist, den Mithörer 13 daran hindert, die Klartextnachricht A'zurückzugewinnen.

Bei der vorstehend beschriebenen Ausführungsform lassen sich Abänderungen vornehmen. Beispielsweise ist es in manchen Anwendungsfällen vorteilhaft, dafür zu sorgen, daß der /-te Empfänger des Systems einen Falltürtornister-Vektor a>'> in der beschriebenen Weise erzeugt, und daß der Vektor oder eine abgekürzte Darstellung des Vektors einer öffentlichen Kartei bzw. einem Adreßbuch eingegeben wird. Wenn dann ein Absender den Wunsch hat, einen zugriffssicheren Kanal festzulegen, benutzt er sf'i als Verschlüsselungscode zur Übermittlung der Nachricht zum /-ten Empfänger. Der hierbei erzielte Vorteil besteht darin, daß es dem /-ten Empfänger dann, wenn er seine Identität gegenüber dem System durch die Benutzung seines Führerscheins, eines Fingerabdrucks od. dgl. nachgewiesen hat, möglich ist, seine Identität gegenüber dem Sender dadurch nachzuweisen, daß er befähigt ist, Daten zu entschlüsseln, die mit dem Verschlüsselungscode af'i verschlüsselt worden sind.

Hier/u ~i Matt

Claims

Patentansprüche:

1. Verfahren für den zugriffsicheren Nachrichtenverkehr über einen ungesicherten Nachrichtenüber- i ti agungskanal zwischen Sender und Empfänger, dadurch gekennzeichnet, daß im Empfänger ein öffentlicher Verschlüsselungscode erzeugt wird, daß im Empfänger ein auf den öffentlichen Verschlüsselungscode bezogener, geheimer Ent- i» schlüsselungscode erzeugt wird, der auf rechnerischem Weg nicht aus dem öffentlichen Verschlüsselungscode herleitbar ist, daß der öffentliche Verschlüsselungscode vom Empfänger zum Sender übermittelt wird, daß die Nachricht am Sender mit dem öffentlichen Verschlüsselungscode verschlüsselt wird, daß die verschlüsselte Nachricht durch eine Verschlüsselungstransformation derart erzeugt wird, daß es unmöglich ist, die Verschlüsselungstransformation auf rechnerischem Weg umzukeh- ren, ohne daß der geheime Entschlüsselungscode zur Verfügung steht, daß die verschlüsselte Nachricht vom Sender zum Empfänger übermittelt wird und daß die verschlüsselte Nachricht am Empfänger mit Hilfe des geheimen Entschlüsselungscodes transfor- 2> miert wird, um die Nachricht zu erzeugen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Identität des Empfängers gegenüber dem Sender durch die Fähigkeit des Empfängers, die verschlüsselte Nachricht zu entschlüsseln, authentisiert wird.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zum Umkehren der Verschlüsselungstransformation

S' = \/w*Smodm
(* = Vektorprodukt)

berechnet wird, daß zum Erzeugen der Nachricht x, gleich dem ganzzahligen Teil von dessen Elemente für / = 1, 2,... η durch den Ausdruck