DE60028645T2

DE60028645T2 - Vorrichtung und Verfahren zur Verteilung von Dokumenten

Info

Publication number: DE60028645T2
Application number: DE60028645T
Authority: DE
Inventors: Xin Los Angeles Wang
Original assignee: Contentguard Holdings Inc
Current assignee: Contentguard Holdings Inc
Priority date: 1999-04-06
Filing date: 2000-04-06
Publication date: 2006-10-12
Anticipated expiration: 2020-04-07
Also published as: ES2265826T3; DE60028645D1; US7356688B1; EP1043864A2; ATE330391T1; EP1043864A3; EP1043864B1

Description

Die Erfindung bezieht sich auf kryptografische Verfahren, und, insbesondere, auf Systeme und Verfahren, um effizient verschlüsselte Dokumente an eine große Anzahl von Empfängern zu verteilen.
Eine der wichtigsten Auflagen, die die weite Verteilung digitaler Dokumente über den elektronischen Handel behindern, ist das derzeitige Fehlen eines Schutzes der gewerblichen Rechte von Inhaber des Inhalts während der Verteilung und der Verwendung solcher digitalen Dokumente. Bemühungen, um dieses Problem zu lösen, sind als "Intellectual Property Rights Management" ("IPRM"), "Digital Property Rights Management" ("DPRM"), "Intellectual Property Management" ("IPM"), "Rights Management" ("RM") und "Electronic Copyright Management" ("ECM") bezeichnet worden.
Ein Dokument, für das der Ausdruck hier verwendet wird, ist irgendeine Einheit an Informationen, die einer Verteilung oder einer Übertragung unterworfen werden, einschließlich, allerdings nicht darauf beschränkt, Korrespondenz, Bücher, Magazine, Journale, Zeitungen, andere Papiere, Software, Fotografien und andere Bilder, Audio- und Video-Clips, und andere Multimedia-Darstellungen. Ein Dokument kann in gedruckter Form auf Papier, als digitale Daten auf einem Speichennedium, oder in irgendeiner anderen bekannten Art und Weise auf einer Vielzahl von Medien vorliegen.
In der Welt der gedruckten Dokumente wird eine Arbeit, die durch einen Autor geschaffen ist, gewöhnlich an einen Verleger geliefert, der formatiert und zahlreiche Kopien der Arbeit druckt. Die Kopien werden dann über einen Verteiler zu Buchläden oder anderen Verkaufsläden gesendet, von denen die Kopien durch Endbenutzer erworben werden.
Während die niedrige Qualität einer Kopie und die hohen Kosten einer Verteilung von gedrucktem Material als Abwehrmittel für ein illegales Kopieren der meisten gedruckten Dokumente gedient haben, ist es bis jetzt einfach gewesen, nicht geschützte, elektronische Dokumente zu kopieren, zu modifizieren und weiter zu verteilen. Dementsprechend ist ein bestimmtes Verfahren zum Schützen elektronischer Dokumente notwendig, um es schwerer zu machen, sie illegal zu kopieren. Dies wird als ein Abwehrmittel für ein Kopie ren gerade dann dienen, wenn es noch möglich ist, zum Beispiel Hardcopies von gedruckten Dokumenten zu erstellen und sie in der alt bewährten Art und Weise zu duplizieren.
Mit gedruckten Dokumenten ist ein zusätzlicher Schritt eines Digitalisierens des Dokuments, bevor es elektronisch weiter verteilt wird, vorhanden; dies dient als ein Abwehrmittel. Allerdings ist weit verbreitet erkannt worden, dass keine praktikable Art und Weise vorhanden ist, um Leute daran zu hindern, nicht autorisierte Verteilungen von elektronischen Dokumenten innerhalb derzeitiger Rechen- und Kommunikationssysteme für allgemeine Zwecke, wie beispielsweise Personal Computer, Workstations und anderer Vorrichtungen, die über Local Area Networks (LANs), Intranet und das Internet verbunden sind, vornehmen. Viele Versuche, auf einer Hardware basierende Lösungen zu schaffen, um ein nicht autorisiertes Kopieren zu verhindern, haben sich als nicht erfolgreich erwiesen.
Zwei Grundschemata sind entwickelt worden, um zu versuchen, das Dokumentenschutz-Problem zu lösen: sichere Container und zuverlässige bzw. gesicherte Systeme. Ein "sicherer Behälter" (oder einfach ein verschlüsseltes Dokument) bietet eine Art und Weise, um die Dokumenten-Inhalte verschlüsselt zu halten, bis ein Satz Autorisierungsbedingungen erfüllt ist und einige Copyright-Punkte honoriert sind (z.B. Bezahlung für die Benutzung). Nachdem die verschiedenen Bedingungen und Punkte mit dem Dokumenten-Provider verifiziert sind, wird das Dokument zu dem Benutzer in klarer Form freigegeben. Kommerzielle Produkte, wie beispielsweise Cryptolopes von IBM und Digiboxes von InterTrust, fallen in diese Kategorie. Es ist klar, dass die Maßnahme über den sicheren Behälter eine Lösung bereitstellt, um das Dokument während der Lieferung über unsichere Kanäle zu schützen, allerdings stellt dies keinen Mechanismus bereit, um zu verhindern, dass legitimierte Benutzer das klare Dokument erhalten und dann dieses unter Verletzung des gewerblichen Schutzes der Inhaltseigner verwendet und weiter verteilt.
Kryptografische Mechanismen werden typischerweise verwendet, um Dokumente zu verschlüsseln (oder "Verschlüsselungseinrichtung°), die dann verteilt werden und öffentlich gespeichert werden und schließlich privat durch autorisierte Benutzer entschlüsselt werden. Dies schafft eine Grundform eines Schutzes während einer Dokumentenlieferung von einem Dokumentenverteiler zu einem beabsichtigten Benutzer über ein öffentliches Netzwerk, ebenso wie während einer Dokumentenspeicherung auf einem unsicheren Medium.
Bei der Maßnahme über das "geschützte System" ist das gesamte System dafür verantwortlich, die nicht autorisierte Benutzung und Verteilung des Dokuments zu verhindem. Das Aufbauen eines geschützten Systems bringt gewöhnlich das Einführen einer neuen Hardware, wie beispielsweise eines sicheren Prozessors, eines sicheren Speichers und sicherer Gestaltungsvorrichtungen, mit sich. Dies erfordert auch, dass alle Softwareanwendungen, die auf einem gesicherten System laufen, dahin zertifiziert sind, dass sie gesichert sind. Während ein Aufbauen eines manipulierungs-sicheren, gesicherten Systems noch eine reale Herausforderung für existierende Technologien ist, vermitteln derzeitige Markttrends, dass offene und nicht gesicherte Systeme, wie beispielsweise PC's und Workstations, die dominanten Systeme werden, die dazu verwendet werden, um auf copyright-geschützte Dokumente zuzugreifen. In diesem Sinne sind existierende Rechenumgebungen, wie beispielsweise PC's und Workstations, die mit populären Betriebssystemen (z.B. Windows und UNIX) und Gestaltungsanwendungen (z.B. Microsoft Word) ausgestattet sind, nicht gesicherte Systeme und können nicht ohne wesentliches Ändern deren Architekturen sicher gemacht werden.
Dementsprechend muss man, obwohl bestimmte, gesicherte Komponenten angewandt werden können, damit fortfahren, auf verschiedenen unbekannten und nicht gesicherten Elementen und Systemen zu arbeiten. Bei solchen Systemen werden häufig, gerade wenn von ihnen erwartet wird, dass sie sicher sind, unerwartete Unzulänglichkeiten und Schwächen vorgefunden und ausgenutzt.
Ein bestimmter Punkt entsteht in dem Zusammenhang einer Dokumentenverteilung, wie dies allgemein vorstehend beschrieben ist. In dem traditionellen Modell einer Dokumentenverteilung handhaben der Autor des Inhalts und der Verleger typischerweise nicht die Verteilung; einer gesonderten Stelle, die Erfahrung mit der Verteilung hat, wird diese Verantwortlichkeit übertragen. Weiterhin ist, während es möglich ist, ein Dokument (unter Verwendung von Standardtechniken) zu verschlüsseln, so dass mehrere Empfänger dieses entschlüsseln können, nicht allgemein zum Zeitpunkt bekannt, zu dem eine Arbeit erzeugt wird, wer die letztendlichen Benutzer sein werden. Es macht für den Verteiler Sinn, zu bestimmen, wer die Endbenutzer sein werden, und das Dokument dorthin so, wie dies erforderlich ist, zu verteilen. Wenn, wie in einem traditionellen Modell, die ursprüngliche Arbeit eines Schriftstellers zu einem Verleger und einem Verteiler in klarer Form gesendet wird, ist dies ein Punkt einer Verwundbarkeit in Bezug auf die Arbeit.
Ein ähnliches Problem entsteht in Büroumgebungen, in denen es, zum Beispiel, häufig erwünscht ist, anzugeben, was verschiedentlich als ein Dokument-Agent, ein Surrogat oder ein Delegierter bezeichnet wird. In dieser Situation ist es oftmals nützlich, in der Lage zu sein, einem administrativen Assistenten oder einer Sekretärin das Recht zu geben, ein bestimmtes Dokument, das nicht direkt für diese Person bestimmt ist, zu entschlüsseln.
Unter Betrachtung dieses Problems in einem weiteren Sinne werden, in einer vernetzten Umgebung, Nachrichten oftmals zu Empfängern, die andere sind als ursprünglich beabsichtigt, zugeführt werden. Wenn eine Nachrichten-Vertraulichkeit von Belang ist und verschlüsselte Nachrichten weitergeführt werden, ist es äußerst wünschenswert, irgend jemandem zu erlauben, diese Nachrichten, anstelle des anderen, zu entschlüsseln. Genauer gesagt wird angenommen, dass Bob derjenige ist, der eine bestimmte Nachricht lesen muss, die zu Anfang für Alice verschlüsselt ist. Eine triviale Lösung ist diejenige, dass Alice einfach hier einen Verschlüsselungsschlüssel an Bob offenlegt, so dass Bob diesen verwenden kann, um selbst die Nachricht zu entschlüsseln. Dies erfordert, dass Alice Bob völlig vertraut, was allerdings nicht für Alice akzeptierbar sein kann. Eine andere Art und Weise, um diese Aufgabe vorzunehmen, ist diejenige, dass Alice zuerst die Nachricht entschlüsseln muss, sie dann erneut für Bob verschlüsseln muss und schließlich die neu verschlüsselte Nachricht zu Bob senden muss, so dass er diese entschlüsseln kann. Obwohl die Nachricht-sicher kommuniziert wird, ist diese Lösung weniger effizient, da sie zwei Verschlüsselungs- und einen Entschlüsselungsvorgang erfordert, damit Bob die Nachricht erhält. Noch wichtiger ist, in einigen Situationen, eine solche Lösung einer erneuten Verschlüsselung weder anwendbar noch erwünscht. Zum Beispiel kann Alice keinen Zugang zu der verschlüsselten Nachricht haben, da sie durch deren Urheber direkt zu Bob für eine Kommunikationseffektivität und unter anderen Betrachtungen geschickt werden kann. Auch kann eine Entschlüsselung der verschlüsselten Nachricht in eine klare Version, auch wenn nur für eine kurze Zeit, ein wesentlicher Verwundungspunkt sein.
Dementsprechend wäre es erwünscht, ein Verschlüsselungs/Entschlüsselungs-System zu haben, das die Fähigkeit unterstützt, das Recht, Nachrichten zu decodieren, zu übertragen. Ein solches System würde einem Delegierten ermöglichen, im Wesentlichen die Wiederverschlüsselung einer Nachricht für die Benutzung durch eine andere Partei, ohne zuerst die originale Nachricht zu entschlüsseln, zu authorisieren. Es wäre auch hier zu nützlich, dass dies möglich ist, ohne dass der Delegierte jemals im Besitz der verschlüsselten Nachricht gewesen ist.
Wie das Recht, von einem Schlüssel-Inhaber zu einem anderen in einer sicheren und effizienten Art und Weise zu verschlüsseln, zu übertragen ist, ist Gegenstand einer Proxy-Verschlüsselung. Einige spezifische Proxy-Verschlüsselungs-Schemata sind in neuerer Zeit vorgeschlagen worden, um Nachrichten, die für einen Schlüssel verschlüsselt sind, in Nachrichten, die für einen anderen verschlüsselt sind, umzuwandeln, ohne geheime Entschlüsseiungsschlüssel und originale Nachrichten an die Öffentlichkeit freizugeben. Mambo und Okamoto haben verschiedene private, nicht-kommutative, nachrichten-unabhängige Proxy-Verschlüsselungs-Schemata eingeführt. Blaze und Strauss haben ein öffentliches, kommutatives, nachrichten-unabhängiges Proxy-Verschlüsselungs-Schema eingeführt.
In dieser Offenbarung wird sich demselben, allgemeinen Problem zu Anfang zugewandt, allerdings in einem allgemeineren Zusammenhang von Codier-Schemata. Codier-Schemata, die in dieser Offenbarung betrachtet sind, unterscheiden sich von Verschlüsselungs-Schemata oder Krypto-Systemen dahingehend, dass sie nicht notwendigerweise irgendwelche zu einer Sicherheit in Bezug stehenden Erfordernisse haben müssen. Für ein Codier-Schema, das ein Verschlüsselungs-Schema ist, ist es notwendig, dass ein Lauscher, unter Sehen einer codierten Nachricht, nicht in der Lage sein sollte, entweder die originale Nachricht oder den Schlüssel, der dazu verwendet ist, die Nachricht zu codieren, zu bestimmen. Ein Arbeiten mit Codier-Schemata macht es möglich, Anwendungen mit einer geringen Sicherheit, allerdings einer hohen Ausführungseffektivität, aufzubauen, wie beispielsweise eine effiziente, massive Dokumentenverteilung und Aktualisierung eines Chiffriertextes mit neuen Schlüsseln, um langzeit-verschlüsselte Nachrichten zu schützen. In dieser Offenbarung ist eine Klasse von Codier-Schemata definiert, und verschiedene Beispiel-Schemata sind angegeben. Ein Prozess, mit dem neue Schemata unter Verwendung von existierenden solchen aufgebaut werden können, ist hier auch offenbart.
Einige mehr formale Proxy-Verschlüsselungs-Schemata werden dann angegeben. Ein Proxy-Verschlüsselungs-Schema ist ein Verschlüsselungs-Schema, das einem bezeichneten Schlüssel-Halter ermöglicht, Nachrichten anstelle eines anderen Schlüssel-Halters zu entschlüsseln. Diese Offenbarung führt zwei neue Proxy-Verschlüsselungs- Schemata basierend auf dem bekannten EIGamal Schema, mit verbesserten Funktionalitäten gegenüber existierenden Proxy-Verschlüsseiungs-Schemata, ein. Sie sind in dem Sinne öffentlich, dass auf Proxy bezogene Informationen und Transfonmationen sicher für die Öffentlichkeit gemacht werden können, und gleichzeitig nicht kommunikativ im Hinblick auf Vertrauensbeziehungen unter eingebundenen Schlüsselhaltern gemacht werden können. Anwendungen von diesen neuen Schemata für eine massive Dokumentenverteilung und einen Dateischutz werden auch angegeben.
Die Grundidee bei den Verfahren, die in dieser Offenbarung angegeben ist, ist wie folgt: damit Alice das Recht, zu decodieren, auf Bob übertragen kann, erzeugt Alice einen Übertragungsschlüssel t für Bob. Mit dem Übertragungsschlüssel t kann Bob die Nachricht, die zu Anfang für Alice codiert ist, erneut verschlüsseln und kann sie darauf folgend unter Verwendung seines eigenen Schlüssels entschlüsseln. Sehr ähnlich zu einer Proxy-Verschlüsselung wird die Übertragung in einer solchen Art und Weise durchgeführt, dass der Übertragungsschlüssel nicht explizit die Decodier-Schlüssel von entweder Alice oder Bob, oder die originale Nachricht, freigibt.
Wie das Recht, zu entschlüsseln, von einem Schlüssel-Halter zu einem anderen in sicheren und effizienten Arten und Weisen zu delegieren ist, ist Gegenstand einer Proxy-Verschlüsselung. Ganz aktuell sind einige spezifische Proxy-Verschlüsselungs-Schemata vorgeschlagen worden, um Nachrichten, verschlüsselt für einen Schlüssel, in Nachrichten, verschlüsselt für einen anderen, ohne geheime Entschlüsselungsschlüssel und originale Nachrichten an die Öffentlichkeit freizugeben, vorgeschlagen worden. Mambo und Okamoto haben drei Proxy-Verschlüsselungs-Schemata für EIGamal und RSA Verschlüsselungs-Schemata beschrieben. M. Mambo und E. Okamoto, "Proxy crpytosystems: Delegation of the power to decrypt ciphertexts, "IEICE Trans. on Fundamentals", Vol. E80-A, No. 1, Seiten 5463 (1997). Für die Situation, die vorstehend erwähnt ist, haben deren Schemata eine bessere Rechenleistung gegenüber dem Wiederverschlüsselungs-Schema, erfordern allerdings aus Sicherheitsgründen das Vorhandensein des originalen Schlüsselhalters Alice in der Nachrichtenumwandlung. Weiterhin helfen die Schemata selbst nicht dabei zu spezifizieren, wer der Schlüsselhalter ist, und dass Alice wünscht, das Recht zum Verschlüsseln dorthin zu delegieren. Das Schema, das durch Blaze und Strauss vorgeschlagen ist, besitzt andererseits nicht diese Nachteile. Es ist eine Modifikation des EI-Gamal Verschlüsselungs-Schemas. M. Blaze und M. Strauss, "Proxy Cryptography", Draft, AT&T Research Labs, ftp://ftp.research.att.com/dist/mab/proxy.ps (Mai 1997). Ein sich sehr deutlich zeigendes Merkmal des Schemas nach Blaze und Strauss ist dasjenige, dass es ein Kommunizieren von auf zu einem Proxy in Bezug stehenden Informationen und Durchführen der Nachrichten-Konversion in der Öffentlichkeit zulässt. Allerdings führt es ein ernsthafteres Problem ein: es ist in dem Sinne kommutativ, dass Bob in der Lage ist, einen Entschlüsselungsschlüssel von Alice zu erhalten. Dieser Typ einer Kommutativität macht das Proxy-Verschlüsselungs-Schema veraltet, da das gesamte Schema gut vereinfacht werden kann, um den Schlüssel von Alice an Bob zu geben und Bob eine Entschlüsselung vornehmen zu lassen. Ein anderer Punkt (nicht notwendigerweise ein Problem), der durch dieses Schema hervorgerufen wird, ist derjenige, dass, wenn einmal Bob das Entschlüsselungsrecht durch Alice erteilt worden ist, er alle Nachrichten, die ursprünglich für Alice bestimmt sind, entschlüsseln kann. Diese Nachrichten-Abhängigkeit kann in einigen Fällen, wie beispielsweise einer Selbst-Delegierung, nützlich sein, ist allerdings nicht in vielen praktischen Anwendungen erwünscht, wo der Halter des Verschlüsselungs-Schlüssels wünscht, auswählen zu können, für welche Nachrichten die delegierte Entschlüsselung zugelassen ist.
Es ist die Aufgabe der vorliegenden Erfindung, ein verbessertes Verfahren zum Verschlüsseln von Dokumenten zur Verteilung zu einem ausgewählten Empfänger zu schaffen, das die Fähigkeit, das Recht, das Dokument zu decodieren, unterstützt.
Diese Aufgabe wir durch den Gegenstand des unabhängigen Anspruchs 1 gelöst. Bevorzugte Ausführungsformen sind durch die Gegenstände der abhängigen Ansprüche definiert.
Dementsprechend beseitigen die Proxy-Verschlüssefungs-Schemata gemäß der vorliegenden Erfindung, die öffentlich und nicht kommutativ sind, einige der Nachteile anderer, bekannter Kryptosysteme.
In dieser Offenbarung werden zwei neue Proxy-Verschlüsselungs-Schemata eingeführt. Sie basieren alle auf dem EIGamal Verschlüsselungs-Schema mit öffentlichem Schlüssel und besitzen eine vergleichbare, rechenmäßige Funktionsweise. Im Wesentlichen haben sie die folgenden, erwünschten Merkmale der existierenden Schemata beibehalten: (i) öffentlich: das Vorhandensein des Halters des ursprünglichen Schlüssels ist nicht erforderlich, nachdem Proxy-Informationen erzeugt sind, und auf ein Proxy in Bezug stehende Informationen und Operationen können in der Öffentlichkeit kommunizert und durchgeführt werden; (ii) nicht-kommutativ: Schlüssel-Halter müssen sich gegenseitig nicht in Bezug auf deren Privat-Entschlüsselungs-Schlüssel trauen; und (iii) beschränkt: der Schlüssel-Halter, an den das Recht zum Entschlüsseln delegiert ist, wird spezifiziert, und die Proxy-Information (Schlüssel) ist nachrichten-abhängig.
Schließlich wird ein Delegieren des Rechts, Nachrichten zu entschlüsseln, dann in dem Zusammenhang mit dem Cramer-Shoup Kryptosystem beschrieben, das einige Vorteile gegenüber anderen Systemen trägt.
Diese und andere Merkmale und Vorteile der vorliegenden Erfindung sind aus den Figuren ersichtlich, wenn sie in dem Abschnitt "Detaillierte Beschreibung der Erfindung" beschrieben werden.
1 zeigt ein Blockdiagramm eines elektronischen Dokumenten-Verteüungssystems, das für eine Betriebsweise gemäß der Erfindung geeignet ist;
2 zeigt ein Blockdiagramm, das die Codiervorgänge darstellt, die dann durchgeführt werden, wenn die Autorität, eine Nachricht zu entschlüsseln, in einem Verfahren, das zum Verständnis der Erfindung nützlich ist, delegiert wird;
3 zeigt ein Flussdiagramm, das die allgemeinen Schritte darstellt, die beim Transformieren einer codierten Nachricht zum Codieren durch einen anderen durchgeführt werden;
4 zeigt ein Blockdiagramm, das schematisch die Parteien darstellt, die in einem System, das für das Delegieren der Autorität, Nachrichten zu entschlüsseln, angepasst ist, eingebunden sind;
5 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einem generischen Proxy-Verschlüsselungs-Schema durchgeführt werden;
6 zeigt ein Flussdiagramm, das die Schritte darstellt, die beim Verschlüsseln und Entschlüsseln einer Nachricht, gemäß dem EIGamal Kryptosystem, durchgeführt werden;
7 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einem bekannten, auf EIGamal basierenden Proxy-Verschlüsselungs- und -Entschlüsselungs-Schema, vorgeschlagen von Mambo und Okamoto, durchgeführt werden;
8 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einem bekannten, auf EIGamal basierenden Proxy-Verschlüsselungs- und -Entschlüsselungs-Schema, vorgeschlagen von Blaze und Strauss, durchgeführt werden;
9 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einer ersten Ausführungsform eines auf EIGamal basierenden Proxy-Verschlüsselungs- und -Entschlüsselungs-Schema, das zum Verständnis der Erfindung nützlich ist, durchgeführt werden;
10 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einer zweiten Ausführungsform eines auf EIGamal basierenden Proxy-Verschlüsselungs- und -Entschlüsselungs-Schema, das zum Verständnis der Erfindung nützlich ist, durchgeführt werden;
11 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einem Dokumenten-Verteilungs-Schema gemäß der Erfindung durchgeführt werden;
12 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einem Datei-Schutz-Schema, das zum Verständnis der Erfindung nützlich ist, durchgeführt werden;
13 zeigt ein Flussdiagramm, das die Schritte darstellt, die beim Verschlüsseln und Entschlüsseln einer Nachricht entsprechend dem Cramer-Shoup Kryptosystem durchgeführt werden; und
14 zeigt ein Flussdiagramm, das die Schritte darstellt, die in einer Ausführungsform eines auf Cramer-Shoup basierenden Proxy-Verschlüsselungs- und -Entschlüsselungs-Schemas gemäß der Erfindung durchgeführt werden.
Die Figuren werden vollständiger in der nachfolgenden, detaillierten Beschreibung der Erfindung erläutert.
Die Erfindung wird nachfolgend unter Bezugnahme auf detaillierte, erläuternde Ausführungsformen beschrieben. Es wird ersichtlich werden, dass die Erfindung in einer breiten Vielfalt von Formen ausgeführt werden kann, wobei einige davon sehr unterschiedlich gegenüber solchen der offenbarten Ausführungsformen sind. Demzufolge sind die spezifischen, strukturellen und funktionalen Details, die hier offenbart sind, nur repräsentativ und beschränken nicht den Schutzumfang der Erfindung.
1 stellt ein funktionales Modell auf oberstem Niveau für ein System für die elektronische Verteilung von Dokumenten dar, das, wie vorstehend definiert ist, eine Korrespondenz, Bücher, Magazine, Journale, Zeitungen, andere Papier, Software, Audio- und Video-Clips, und andere Multimedia-Darstellungen umfassen kann.
Ein Autor (oder Verleger) 110 erzeugt einen originalen Inhalt 112 eines Dokuments und leitet ihn zu einem Verteiler 114 zur Verteilung weiter. Obwohl es nicht vorgesehen ist, dass der Autor auch Dokumente direkt verteilen kann, ohne eine andere Partei, wie beispielsweise einen Verleger, einzubinden, ist die Aufteilung der Arbeit, die in 1 angegeben ist, effizienter, da sie dem Autor/Verleger 110 ermöglicht, sich auf die Erstellung des Inhalts zu konzentrieren, und nicht auf die mechanischen und banalen Funktionen, die durch den Verteiler 114 übernommen werden. Weiterhin würde eine solche Aufteilung dem Verteiler 114 ermöglichen, Ökonomien im Maßstab durch Zuordnen einer Anzahl von Autoren und Verlegern zu realisieren (einschließlich des dargestellten Autors/Verlegers 110).
Der Verteiler bzw. Zwischenhändler 114 führt dann einen modifizierten Inhalt 116 zu einem Benutzer 118 weiter. In einem typischen, elektronischen Verteilermodell stellt der modifizierte Inhalt 116 eine wieder verschlüsselte Version des originalen, verschlüsselten Inhalts 112 dar; der Verteiler 114 entschlüsselt zuerst den originalen Inhalt 112 und verschlüsselt ihn dann wieder mit dem öffentlichen Schlüssel des Benutzers 118; dieser modifizierte Inhalt 116 wird nur für einen einzelnen Benutzer 118 kundenspezifisch angepasst. Der Benutzer 118 ist dann in der Lage, seinen privaten Schlüssel zu verwenden, um den modifizierten Inhalt 116 zu entschlüsseln und den originalen Inhalt 112 zu sehen.
Eine Bezahlung 120 für den Inhalt 112 wird von dem Benutzer 118 zu dem Verteiler 114 über eine Verrechnungsstelle 122 weitergeleitet. Die Verrechnungsstelle 122 sammelt Anforderungen von dem Benutzer 118 und von anderen Benutzern, die ein bestimmtes Dokument sehen möchten. Die Verrechnungsstelle 122 sammelt auch Bezahlungsinformationen, wie beispielsweise Rechnungs-Transaktionen, Kreditkarten-Transaktionen oder andere, bekannte, elektronische Zahlungs-Schemata, und führt die gesammelten Bezahlungen des Benutzers als einen Bezahlungsbetrag 124 zu dem Verteiler 114 weiter. Natürlich wird erwartet, dass die Verrechnungsstelle 122 einen Anteil der Bezahlung 120 des Benutzers erhalten wird. Der Verteiler 114 wiederum erhält einen Anteil des Bezahlungsbetrags 124 und führt eine Bezahlung 126 (einschließlich Lizenzgebühren) zu dem Autor und Verleger 110 weiter. In einer Ausführungsform dieses Schemas erwartet der Verteiler 114 ein Bündel von Benutzeranforderungen für ein einzelnes Dokument, bevor es irgendwohin abgeschickt wird. Wenn dies vorgenommen wird, kann ein einzelnes Dokument mit einem modifizierten Inhalt 116 für eine Entschlüsselung durch alle anfordernden Benutzer erzeugt werden. Diese Technik ist ausreichend im Stand der Technik bekannt.
Dabei wird zu jedem Zeitpunkt, zu dem der Benutzer 118 ein Dokument anfordert (oder benutzt), eine Verrechnungsnachricht 128 zu einem Audit-Server 130 geschickt. Der Audit-Server 130 stellt sicher, dass jede Anforderung durch den Benutzer 118 zu einem Dokument passt, das durch den Verteiler 114 geschickt ist; Berechnungsinformationen 131 werden durch den Audit-Server 130 direkt von dem Verteiler 114 empfangen. Irgendwelche Unstimmigkeiten werden über einen Report 132 zu der Verrechnungsstelle 122 übertragen, die dann die Bezahlungsbeträge 124, die an den Verteiler 114 gestellt wer den, einstellen kann. Dieses Bezahlungsschema ist vorhanden, um die Möglichkeit eines Betrugs bei diesem Verteilungsmodell für elektronische Dokumente herabzusetzen, ebenso wie irgendwelche zeitabhängigen Benutzungserlaubnisse zu handhaben, die zu Bezahlungen führen können, die, in Abhängigkeit von der Dauer oder einem anderen Umfang der Benutzung, variieren.
Das vorstehende Modell für einen elektronischen Handel von Dokumenten, das in 1 dargestellt ist, ist heutzutage üblich. Wie im Detail nachfolgend dargestellt werden wird, ist es ebenso bei dem System und dem Verfahren, das hier für die Verteilung von selbstschützenden Dokumenten angegeben ist, anwendbar.
Proxy-Codier-Schemata
Zur Einfachheit werden zu Anfang hier Codier-Schemata des folgenden Typs betrachtet. Ein Codiersystem besteht aus vier Komponenten: (i) einem Nachrichten-Raum X, der eine Zusammenstellung von möglichen Nachrichten ist, (ii) einem Schlüssel-Raum K, der ein Satz von möglichen Schlüsseln ist, (iii) einer rechenmäßig effizienten Codiertransformation: E.KxX?X und (iv) einer rechenmäßig effizienten Decodiertransformation D:KxX?X. Für jedes k ∊ K sind die Codiertransformation E_k:X?X und die Decodiertransformation D_k:X?X Injektions-(eins-zu-eins)-Auflistungen auf X, und sie erfüllen, dass für jede Nachricht x ∊ X gilt Dk(Ek(x)) = x.
Sicherlich können solche definierten Codier-Schemata auf mehrere Arten und Weisen variiert werden, um einen weiteren Bereich von solchen abzudecken. Eine ist diejenige, den Raum codierter Nachrichten von der einen der originalen Nachrichten zu unterscheiden, und die andere ist diejenige, zu berücksichtigen, dass Schlüssel, die zum Codieren und Decodieren verwendet werden, unterschiedlich sind. Im Hinblick auf eine Kryptografie sind die Codier-Schemata, die nachfolgend betrachtet werden, im Wesentlichen Privatschlüssel- (oder genauer gesagt symmetrische), endomorphe Kryptosysteme.
Solche definierten Codier-Schemata besitzen einige vorteilhafte Eigenschaften. Unter Vorgabe eines Codier-Schemas (X, K, E, D) ist jede Codiertransformation und deren entsprechende Decodiertransformation eine inverse Transformation zueinander; das bedeutet, dass, für jedes k ∊ K, gilt Dk = (Ek)–1 und Ek = (Dk)–1
Falls X ein finiter Satz ist, ist jede Codier- oder Decodiertransformation nur eine Permutation auf X.
Klassische Verschlüsselungs-Schemata mit symmetrischem Schlüssel sind Codier-Schemata. Hier sind einige davon.
XOR Schema X. In diesem Schema ist der Nachrichtenraum X der Satz B_n aller n-Bit-Binär-Folgen für eine bestimmte ganze Zahl n > 0, und so ist der Schlüssel-Raum K. Die Zahl von möglichen Nachrichten und die Zahl von möglichen Schlüsseln sind beide 2ⁿ. Für Jede Nachricht x und jeden Schlüssel k ist das Codieren y = Ek(x) = x ⨁ kund das Decodieren der Nachricht y ist x = Dk(y) = y ⨁ kwobei ⨁ die Bit-weise XOR- (Exklusiv-Oder)-Operation darstellt.
Multiplikatives Schema M. Eine Nachricht in diesem Schema ist ein Element in X = Z_n = {0, 1, ..., n – 1} für eine bestimmte ganze Zahl n > 0. Ein Schlüssel ist auch ein Element a in Z_n, erfüllt allerdings gcd(a, n) = 1, wobei die "gcd" Funktion den größten, gemeinsamen, ganzzahligen Teiler der zwei Argumente spezifiziert. Das bedeutet, dass der Schlüssel-Raum K aus den Elementen in der multiplikativen Gruppe Z * / n = {α ∊ Z_n|gcd(α, n) = 1} besteht. Das Codieren einer Nachricht x mit einem Schlüssel a ist y = Ea(x) = ax(mod n)und das Decodieren einer Nachricht y mit einem Schlüssel a ist x = Da(y) = a–1y(mod n),wobei a^–1 das multiplikative Inverse von a moduio n ist; das bedeutet a^–1 ist ein Element in Z_n, so dass aa^–1(mod n) = a^–1a(mod n) = 1 gilt. Es ist anzumerken, dass die Be dingung auf a, gcd(a, n) = 1, verwendet wird, um zu garantieren, dass a das Inverse a^–1 besitzt. Es ist bekannt, dass die Zahl von solchen a's gleich zu dem Wert der Euler-Phi-Funktion ist.
die Prim-Zerlegung von n ist. So ist die Zahl von Schlüsseln in dem Schema M ϕ (n). Verschiebungs-Schema S. Nachrichten und Schlüssel des Verschiebungs-Schemas sind alle Elemente in Z_n = {0, 1, ..., n – 1} für eine bestimmte ganze Zahl n > 0; das bedeutet, X = K = Z_n. Demzufolge sind die Zahl der Nachrichten und die Zahl von Schlüsseln in dem Verschiebungs-Schema alle gleich zu n. Um eine Nachricht x mit einem Schlüssel b zu codieren, berechnet man y( = Eb(x) = x + b (mod n)und um eine Nachricht y mit b zu decodieren, berechnet man x = Db(y) = y – b (mod n).
Substitutions-Schema P. Dieses Schema ist auch über X = Z_n definiert. Allerdings besteht der Schlüssel-Raum K = Π_n aus allen Permutationen von Elementen in Z_n. Demzufolge ist die gesamte Anzahl von Schlüsseln n!. Für jede Permutation p ∊ Π_n ist das Codieren y = Ep(x) = p(x),während das Decodieren x = Dp(y) = p–1(y),ist, wobei p^–1 die inverse Permutation von p ist.
Es sollte angemerkt werden, dass die multiplikativen und Verschiebungs-Schemata spezielie Fälle des Substitutions-Schemas sind, die nur ϕ(n) und n von n! möglicher Permutationen von n Elementen, jeweils, umfassen.
Neue Codier-Schemata können durch Kombinieren von Existierenden konstruiert werden. Eine Art und Weise ist diejenige, deren "Produkt" zu bilden. Es wird angenommen, dass S und S' zwei Codier-Schemata mit demselben Nachrichten-Raum X sind. Das Produkt von S und S', bezeichnet mit S × S', besitzt denselben Nachrichten-Raum X. Ein Schlüssel des Produkt-Schemas besitzt die Form (k, k'), wobei k und k' Schlüssel von S und S', jeweils, sind. Die Codier- und Decodiertransformationen des Produkt-Schemas sind wie folgt definiert: für jeden Schlüssel (k, k') ∊ K E(k,k')(X) = Ek'(Ek(x))und D(k,k')(x) = Dk'(D'k(c)).
Das bedeutet, dass die Nachricht x zuerst mit E_k codiert wird, und die erhaltene Nachricht dann "erneut codiert" wird mit E_k'. Ein Decodieren ist ähnlich, wird allerdings in der umgekehrten Reihenfolge vorgenommen.
Es ist einfach zu prüfen, dass der Produktaufbau immer assoziativ ist: (S × S') × Sⁿ = S × (S' × Sⁿ). Falls ein Codier-Schema S herangezogen wird, um das Produkt mit sich selbst zu bilden, erhält man das Schema S × S, bezeichnet mit S². Wenn das n-fache Produkt genommen wird, wird das sich ergebende Schema, bezeichnet mit Sⁿ, als iteriertes Codier-Schema bezeichnet.
Eine einfaches Beispiel, um die Definition von Produkt-Codier-Schemata darzustellen, ist wie folgt:
Affines Schema A. Dieses Schema ist auch über X = Z_n definiert. Ein Schlüssel des affinen Schemas ist ein Paar von ganzen Zahlen (a, b) in Z_n, wobei gcd(a, n) = 1 gilt. Die Codiertransformation ist y = E(a,b)(x) = (ax + b) (mod n)und die Decodier-Transformation ist x = D(a,b)(y) = a–1(y – b) (mod n)wobei a^–1 das modulare Inverse von a modulo n ist. Diese Transformationen des Typs ax + b werden gewöhnlich als affine Transformationen bezeichnet, demzufolge der Name affines Schema. Es ist anzumerken, dass sich das Schema A auf das multiplikative Schema M reduziert, wenn b = 0 gilt, und auf das Verschiebungs-Schema S, wenn a = 1 gilt. Demzufolge sind M und S spezielle Fälle von A. Andererseits ist A deren Produkt M x S. Wie zuvor gesehen werden kann, ist ein Schlüssel in dem multiplikativen Schema M ein Element α ∊ Z * / n; die entsprechende Codier-Transformation ist E_a(x) = ax (mod n). Ein Schlüssel in dem Verschiebungs-Schema ist ein Element b ∊ Z_n , und die entsprechende Codier-Transformation ist E_b(x) = x + b (mod n). Demzufolge besitzt ein Schlüssel in dem Produkt-Schema M × S die Form (a, b) ∊ Z * / n × Z_n, und dessen Codierung ist E(a,b)(x) = Eb(Ea(x)) = ax + b (mod n)
Dies ist präzise die Definition einer Codier-Transformation in dem affinen Schema. Ähnlich ist die Decodier-Transformation in dem affinen Schema die Zusammensetzung der Decodier-Transformationen der Verschiebungs- und multiplikativen Schemata.
Die Aufgabe einer Übertragung des Rechts, um Nachrichten in irgendeinem gegebenen Codier-Schema (X, K, E, D) zu decodieren, kann wie folgt angegeben werden. Für irgendeine gegebene Nachricht x ∊ X und für Schlüssel k, k' ∊ K, umwandeln in einer bestimmten effizienten Art und Weise der codierten Nachricht y = E_k(x) unter Verwendung des Schlüssels k in die codierte Nachricht y' = E_k'(x) unter Verwendung des Schlüssels k', so dass die neue Nachricht y' korrekt unter Verwendung des Schlüssels k' decodiert werden kann. Falls dies erreicht werden kann, ist das so, dass das Recht, die Nachricht y zu decodieren, von dem Schlüssel-Halter von k zu dem Schlüssel-Halter von k' übertragen oder delegiert worden ist.
2 stellt die Transformation π 210 dar, die benötigt wird, um die Aufgabe zu lösen. Die dicken Linien 212, 214 und 216, die Transformationen E_k, π und D_k', jeweils, darstellen, bilden eine Sequenz von Schritten, die eine Nachricht x mit einem Schlüssel k codiert, die codierte Nachricht in die andere eine, codiert mit einem anderen Schlüssel k', umwandelt, und die Nachricht unter Verwendung des Schlüssels k' decodiert. Die dünnen Linien 218 und 220, die die Transformationen E_k' und D_k, jeweils, darstellen, zeigen andere, mögliche Codier- und Decodier-Operationen, die durchgeführt werden können.
In vielen Fällen ist der Schlüssel-Raum K eines Codier-Schemas nicht nur ein Satz. Ausgestattet mit einer bestimmten Operation "^." kann K eine bestimmte, mathematische Struktur besitzen. Zum Beispiel können die Schlüssel-Räume aller beispielhafter Schemata, die in dem vorherigen Abschnitt angegeben sind, mit bestimmten Operationen ausgestattet werden, um mathematische Gruppen zu werden. Tabelle 1 nachfolgend stellt einige dieser Operationen dar, wobei ° für den Kompositions-Operator von Permutationen steht, und *: (Z–n × Zn) × (Z–n × Zn) → Z–n × Zn definiert ist als (a,b)*(a',b') = (a'a(mod n), a'b + b'(mod n)).
Tabelle 1
Wenn der Schlüssel-Raum K eines Codier-Schemas (X, K, E, D) eine Gruppe mit einer bestimmten Operation "^." ist, können die Codier- und Decodier-Transformationen eindeutig durch die Schlüssel bestimmt werden. Dies tritt dann auf, wenn der Schlüssel-Raum K isomorph, als eine Gruppe, zu den Transformationsgruppen E = {E_k|k ∊ K} und D = {D_k|k ∊ K}, gebildet durch Codier- und Decodier-Transformationen, auf dem Nachrichten-Raum X, ist; das bedeutet, für irgendein k, k' ∊ K,
wobei ° der Kompositions-Operator der Transformationen ist, der, zum Beispiel, definiert ist als Ek oEk'(x) = Ek'(Ek(x))für alle x ∊ X.
Es kann leicht geprüft werden, dass alle Schemata, die in Tabelle 1 vorstehend angegeben sind, über einen Schlüssel bestimmt sind. Über einen Schlüssel bestimmte Codier-Schemata lassen eine systematische Art und Weise zu, das Recht, Nachrichten zu decodieren, von einem Schlüssel-Halter auf einen anderen zu übertragen. Mit dem Isomorphismus zwischen dem Schlüssel-Raum und den Transformationsgruppen kann die Komposition der decodierenden Transformation mit einem Schlüssel k und der codierenden Transformation mit einem anderen Schlüssel k' dann als die Codier-Transformation angesehen werden, die durch den zusammengesetzten Schlüssel k^–1·k bestimmt ist. Es wird angenommen, dass (X, K, E, D) ein über einen Schlüssel bestimmtes Codier-Schema ist. Es wird angenommen, dass y = E_k(x) die codierte Version der Nachricht x ∊ X mit dem Schlüssel x ∊ K ist. Das Recht, die codierte Nachricht von x zu decodieren, kann von dem Schlüssel-Halter von k zu dem Schlüssel-Halter von k' in dem Zwei-Stufen-Algorithmus, der in 3 dargestellt ist, übertragen werden.
Zuerst wird ein Übertragungsschlüssel t = k^–1·k erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungs-Schlüsselt entsprechend zu y' = E_t(y) codiert (Schritt 312).
Der Algorithmus ist dank der Eigenschaft des Schlüssel-Raums, der isomorph zu den Codier- und Decodier-Transformations-Gruppen ist, korrekt. Die Korrektheit kann veriflziert werden wie folgt:
Die Allgemeingültigkeit des Algorithmus macht ihn unmittelbar dazu geeignet, die Übertragungsschritte für die Beispiel-Schemata, die vorstehend angegeben sind, abzuleiten. Wie wiederum 3 zeigt, und für das XOR Schema X über B_n, um y = E_k(x) zu y' = E_k'(x) umzuwandeln, wird zuerst ein Übertragungsschlüssel t = k ⨁ k' erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungsschlüssel t entsprechend zu y' = y ⨁ t codiert (Schritt 312).
Für das multiplikative Schema M über Z * / n, um y = E_a(x) zu y' = E_a'(x) umzuwandeln, wird zuerst ein Übertragungsschlüssel t = a'a^–1 (mod n) erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungsschlüssel t entsprechend zu y' = ty (mod n) codiert (Schritt 312).
Für das Verschiebungs-Schema S über Z_n wird, um y = E_b(x) zu y' = E_b'(x) umzuwandeln, zuerst ein Übertragungsschlüssel t = b' – b (mod n) erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungsschlüssel t entsprechend zu y' = y + t (mod n) codiert (Schritt 312).
Für das Substitutions-Schema P über Π_n wird, um y = E_p(x) zu y' = E_p'(x) umzuwandeln, zuerst ein Übertragungsschlüssel t = p^–1 ° p' erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungsschlüssel t entsprechend zu y' = t(y) codiert (Schritt 312).
Wie nachfolgend beschrieben wird, ist es auch möglich, das Recht zu übertragen, Produkt-Schemata von einer nicht nur mittels Schlüssel bestimmten Codierung, sondern auch von kommutierenden Schemata, zu decodieren. Um kommutierende Schemata zu definieren, ist es notwendig, Codier-Schemata zu charakterisieren, die im Wesentlichen äquivalent sind. Es wird angenommen, dass S = (X, K, E, D) und S' = (X, K', E', D) zwei Codier-Schemata mit demselben Nachrichten-Raum X sind. S ist dasjenige, das zu S' äquivalent ist, bezeichnet mit S ≡ S', falls dort eine bijektive (eins-zu-eins und weiter) Auflistung h: K → K' vorhanden ist, so dass für jede Nachricht x ∊ X und für jeden Schlüssel k ∊ K, Ek(x) = E'h(k) (x)und Dk(x) = D'h(k) (x). gilt.
Es ist deutlich, dass die Schema-Äquivalenz-Relation ≡ eine Äquivalenz-Relation ist; das bedeutet, sie erfüllt, für irgendeines der Codier-Schemata S, S', S'', dass das folgende gilt: (i) S ≡ S; (ii) S ≡ S' impliziert S' ≡ S; und (iii) S ≡ S' und S' ≡ S'' impliziert S ≡ S''. Demzufolge bilden äquivalente Codier-Schemata eine Äquivalenz-Klasse dahingehend, dass jedes Schema in der Klasse weder eine größere noch eine geringere Funktionalität als irgendein anderes in der Klasse liefert.
Die Schema-Äquivalenz-Relation ermöglicht, Codier-Schema auf verschiedene Arten und Weisen zu charakterisieren. Ein Codier-Schema S ist dasjenige, das idempotent ist, falls S² ≡ S gilt. Viele der Codier-Schemata sind idempotent, einschließlich der XOR, multiplikativen, Verschiebungs-, Substitutions- und affinen Schemata. Falls ein Schema S idempotent ist, dann ist dabei kein Punkt bei der Benutzung des Produkt-Schemas S² vorhanden, da es einen zusätzlichen Schlüssel erfordert, allerdings keine größere Funktionalität liefert.
Eine andere Charakterisierung in Bezug auf Codier-Schemata, die die Schema-Äquivalenz-Relation ≡ verwenden, ist diejenige von kommutierenden Schemata. Zwei Codier-Schemata S und S' sind solche, um zu kommutieren, falls S × S' ≡ S' × S gilt. In trivialer Weise kommutiert irgendein Schema mit sich selbst. Ein nicht so triviales Beispiel ist dasjenige des multiplikativen Schemas M und des Verschiebungs-Schemas S. Um zu sehen, dass sie kommutieren, d.h. M × S ≡ S × M, kann man die Gleichungen Eb(Ea(x)) = ax + b (mod n)und Ea(Eb(x)) = ax + ab (mod n);vergleichen und herausfinden, dass die Auflistung h : KS × KM → KM × KS definiert durch h(b, a) = (a, a–1b (mod n))das Produkt S × M isomorph zu dem Produkt M × S macht.
Produkt-Schemata von mittels Schlüsseln bestimmten und kommutierenden Codier-Schemata erfreuen sich einer systematischen Art und Weise einer Übertragung des Rechts, um Nachrichten zu decodieren. Es wird angenommen, dass S₁ × S₂ das Produkt-Schema von zwei mittels Schlüssel bestimmten und kommutierenden Codier-Schemata ist. Es wird angenommen, dass h = (h₁, h₂): K₂ × K₁ → K₁ × K₂ die Auflistung ist, die S₂ × S₁ isomorph zu S₁ × S₂ macht, wobei h₁:K₂ × K₁ → K₁ und h₂:K₂ × K₁ → K₂ gilt. Zuerst ist zu beobachten, dass das Produkt-Schema auch mittels Schlüssel bestimmt ist; der Produkt-Schlüssel-Raum K₁ × K₂ ist eine Gruppe in Bezug auf die Operation *, definiert durch (k1,k2)*(k'1 ,k'2 ) = (k1·h1(k2,k'1 ), h2(k2,k'1 )·k'2 ).
Dies kommt daher, dass
Nun kann das Recht, die codierte Nachricht von x zu decodieren, von dem Schlüssel-Halter von k zu dem Schlüssel-Halter eines anderen Schlüssels k' in dem Zwei-Stufen-Algorithmus, dargestellt in 3, übertragen werden. Zuerst wird ein Übertragungsschlüssel t = (h₁(k –1 / 2,k –1 / 1·k ' / 1),h₂(k –1 / 2,k –1 / 1·k')·k ' / 2) erzeugt (Schritt 310). Dann wird die Nachricht mit dem Übertragungsschlüssel t entsprechend zu y' = E_t(y) codiert (Schritt 312). Die Korrektheit des Übertragungs-Algorithmus wird durch die folgende Gleichung verifiziert:
wobei der letzte Teil einfach unter Verwendung des Schlüssels k' = (k ' / 1,k ' / 2) decodiert werden kann.
Das Verfahren wird am besten mit dem folgenden Beispiel dargestellt, das den affinen Chiffrierer A über Z_n anwendet. Da A = M × S gilt und M und S mittels Schlüssel bestimmte, kommutierende Schemata sind, gilt das Verfahren, das vorstehend beschrieben ist, für das affine Schema. Wie zuvor zu sehen ist, ist es die Auflistung h(b, a) = (a, ab), die S × M isomorph zu S × M macht. Demzufolge gilt h₁(b, a) = a und h₂(a, b) = ab (mod n). Der Übertragungsschlüssel t von (a, b) zu (a', b') kann abgeleitet werden als t = (h1(b–1,a–1·a'),h2(b–1,a–1·a')·b') = (a'·a–1,h2(b–1,a–1·a') + b') = (a'·a–1,(a'·a–1)b–1 + b') = (a'a–1,–a'a–1 + b')
Dann wird, um y unter Verwendung des zweiten Schlüssels (a', b') zu decodieren, zuerst ein Übertragungsschlüssel
erzeugt (Schritt 310). Dann wird die Nachricht unter Verwendung des Übertragungsschlüssels t entsprechend zu y' = t₁y + t₂ (mod n) codiert (Schritt 312).
Die Verfahren, die hier zum Übertragen des Rechts, um Nachrichten zu decodieren, angegeben sind, sind transitiv. Dies bedeutet, dass zwei sequenzielle Übertragungen von Alice auf Bob und dann von Bob auf Carol äquivalent zu einer direkten Übertragung von Alice zu Carol sind. Es ist wichtig anzumerken, dass, in jedem der Beispiel-Schemata, ein Übertragungsschlüssel auch ein Schlüssel des Schemas ist.
Dementsprechend können zwei Übertragungsschlüssel, die in den zwei sequenziellen Übertragungen verwendet sind, kombiniert werden, um einen Übertragungsschlüssel für die direkte Übertragung zu bilden. Es wird das affine Schema als ein Beispiel herangezogen. Es wird angenommen, dass k = (a b), k' = (a', b) und k'' = (a'', b'') die Schlüssel für Alice, Bob und Carol, jeweils, sind. Dann sind die Übertragungsschlüssel t = (a'a^–1,–a'a^–1 b + b') von Alice zu Bob, t' = (a''a'^–1, –a''a'^–1b' + b'') von Bob zu Carol, und t'' = (a''a^–1,–a''a^–1 b' + b'') von Alice zu Carol sind. Es ist einfach zu verfizieren, dass die Zusammensetzung von t und t' als Schlüssel in dem affinen Schema zu t'' führt: t·t' = (t'1 t1,t'1 t2 + t'2 ) = (aa''a'–1)(a'a–1),(aa''a'–1)(–a'a–1b + b') + (aa''a'–1b' + b'')) = (aa''a–1,–a''a–1b + b'') = t''
Mit anderen Worten ist die Zusammensetzung von sequenziellen Übertragungen des Rechts, um Nachrichten zu decodieren, speicherlos; alle Zwischenübertragungen werden nicht in der gesamten Übertragen wiedergegeben werden.
Es sollte auch angemerkt werden, dass, für die Schemata X, M und S, der Schritt eines Erzeugens des Übertragungsschlüssels äquivalent zu "Decodieren" von k' mit k ist. Demzufolge ist die Berechnung, die bei der Übertragung benötigt wird, dieselbe wie diejenige, die bei dem Verfahren des Decodierens und des erneuten Decodierens für diese Schemata verwendet wird. Man kann denken, dass das neue Verfahren keine Verbesserung in Bezug auf seine Effektivität darstellt, allerdings ist herausgefunden worden, dass der Übertragungsschlüssel nachrichten-unabhängig ist und demzufolge nur einmal berechnet werden muss. Wenn sich die Zahl von Nachrichten m, die in die Übertragung eingebunden ist, erhöht, wird dieses Merkmal die Berechnung, die durch das Verfahren eines erneuten Codierens erforderlich ist, um die Hälfte verkürzen. Weiterhin fehlen dem Übertragungsschlüssel t keine nützlichen Informationen über die Schlüssel k und k' und eine Übertragung, die entsprechend den Verfahren, die hier angegeben sind, durchgeführt wird, wird nicht die Nachricht x ergeben. Diese Verhältnisse gestalten das vorgeschlagene Verfahren angreifbar, wenn die Sicherheit der Nachricht x und der Decodier-Schlüssel k und k' ein Punkt während einer Übertragung ist.
Eine typische System-Konfiguration, die dazu geeignet ist, die Verfahren, die unter Bezugnahme auf 3 beschrieben sind, auszuführen (und in weiterem Detail nachfolgend beschrieben sind), ist in 4 dargestellt. Dabei sind drei relevante Parteien in den meisten Proxy-Verschlüsselungs-Anwendungen vorhanden. Ein Encryptor 410, ein Geber A 412 und ein Nehmer B 414. Wie erkannt werden wird, werden die Verschlüsselung, die Entschlüsselung und andere Verarbeitungsvorgänge, die in der Erfindung durchgeführt werden, durch einen Prozessor (416, 418, 420) unter der Kontrolle jeder Partei erleichtert. Jeder Prozessor ist mit einem Speicher (422, 424, 426) für eine Datenspeicherung und mit einer Kommunikations-Schnittstelle (428, 430, 432), geeignet dazu, Nachrichten zu senden und zu empfangen, ausgestattet.
Proxy-Verschlüsselungs-Schemata
Der Rest der Offenbarung, die auf mehr formale Proxy-Verschlüsselungs-Schemata gerichtet ist, im Gegensatz zu Codier-Schemata, ist wie folgt organisiert. Zuerst wird ein generisches Proxy-Verschlüsselungs-Schema beschrieben und entsprechend verschiedener Kriterien charakterisiert. Die verschiedenen, folgenden Absätze legen eine Notation fest, die durch die Beschreibung hinweg verwendet werden wird, und werden an das EIGamal Verschlüsselungs-Schema mit öffentlichem Schlüssel erinnern. Für den Zweck eines Vergleichs listet diese Beschreibung dann zwei existierende Proxy-Verschlüsselungs-Schemata auf und prüft deren Eigenschaften im Vergleich zu der vorliegenden Erfindung. Details über die zwei neuen Proxy-Verschlüsselungs-Schemata werden dann eingeführt, zusammen mit deren Sicherheits- und Funktionsanalyse. Anwendungen dieser neuen Schemata auf eine massive Dokumenten-Verteilung und einen Dateischutz werden nachfolgend angegeben.
Wie in der Einleitung angegeben ist, ist das Ziel einer Proxy-Verschlüsselung dasjenige, das Verschlüsselungsrecht von einem auf einen anderen in einer sicheren und effizienten Art und Weise zu delegieren. Für die Diskussion, die folgt, ist es passend, die Rollen der Parteien, die in einer Proxy-Verschlüsselung vorhanden sein können, zu definieren. Die zwei wichtigsten Rollen sind solche eines Gebers und eines Nehmers. Ein Geber ist ein ursprünglicher Schlüssel-Halter verschlüsselter Nachrichten, der es wünscht, das Entschlüsselungsrecht an irgend jemand anderen zu delegieren. Ein Nehmer ist ein Schlüssel-Halter, der angegeben ist, um eine Entschlüsselung anstelle eines Gebers vorzunehmen, und arbeitet demzufolge als ein Entschlüsseiungs-Proxy des Gebers. In dem motivierenden Beispiel in der Einleitung ist Alice der Geber, während Bob der Nehmer ist. Andere Rollen können einen Encryptor umfassen, der ein solcher ist, der ursprünglich Nachrichten für den Geber verschlüsselt, und einen Facilitator, der dabei helfen kann, bestimmte Nachrichtenverarbeitungsaufgaben durchzuführen, wie beispielsweise Transformieren von Nachrichten, die für den Geber verschlüsselt sind, in Nachrichten, die für den Nehmer verschlüsselt sind. Sicherlich es nicht notwendig, dass alle diese Rollen durch unterschiedliche Parteien gespielt werden. Zum Beispiel kann eine Partei Rollen für den Geber und den Facilitator spielen, wie in den Mambo- und Okamoto-Schemata, die nachfolgend diskutiert sind.
Mit diesen Rollen vorhanden ist ein Proxy-Verschlüsselungs-Schema nur eine Beschreibung darüber, wie ein Nehmer, möglicherweise mit einer gewissen Hilfe von einem Facilitator, einem Nehmer das Recht erteilt, Nachrichten, die ursprünglich durch einen Encryptor für den Nehmer erzeugt sind, zu entschlüsseln. Ein Proxy-Verschlüsseiungs-Schema kann aus vier allgemeinen Schritten bestehen: Nachrichten-Verschlüsselung, Proxy-Schlüssel-Erzeugung, Proxy-Transformation und Nachrichten-Entschlüsselung. Diese Schritte werden in weiterem Detail nachfolgend, unter Bezugnahme auf 5, beschrieben werden.

1. Nachrichten-Verschlüsselung E: Der Encryptor erzeugt eine verschlüsselte Nachricht unter Verwendung des Verschlüsselungsschlüssels des Gebers und führt sie zu dem Geber zu (Schritt 510).
2. Proxy-Erzeugung π. Um das Entschlüsselungs-Recht an den Nehmer zu delegieren, erzeugt der Geber einen Proxy-Schlüssel π als einen Commitment-Token, der dem Nehmer ermöglicht, die Nachricht, verschlüsselt für den Geber, zu entschlüsseln (Schritt 512).
3. Proxy-Transformationen Π: Wenn notwendig, führt der Facilitator eine Proxy-Transformation Π, möglicherweise unter Verwendung des Proxy- Schlüssels π, durch, um die Nachricht, verschlüsselt für den Geber, in eine Nachricht, verschlüsselt für den Nehmer, umzuwandeln (Schritt 514).
4. Nachrichten-Entschlüsselung D: Unter Empfang der transformierten Nachricht und möglicherweise des Proxy-Schlüssels π entschlüsselt der Nehmer die Nachricht (Schritt 516).

Dementsprechend sollte beobachtet werden, dass das allgemeine Schema vorstehend die zwei unmittelbaren Lösungen für eine Proxy-Verschlüsselung, die in der Einleitung erwähnt ist, abdeckt. Das Schema für eine erneute Verschlüsselung ist ein spezieller Fall, bei dem der Geber (Alice) auch der Facilitator ist, der tatsächlich die Nachricht entschlüsselt und sie dann für den Nehmer (Bob) verschlüsselt, und das Proxy π kann als eine Zusammenstellung eines Entschlüsselungs-Schlüssels des Gebers und eines Verschlüsselungs-Schlüssels des Nehmers angesehen werden, der nur durch den Geber und nicht durch den Nehmer verwendet wird. Das Schema eines Weiterführens des Entschlüsselungs-Schlüssels des Gebers zu dem Nehmer ist ein anderer spezieller Fall dieses allgemeinen Schemas, wobei der Proxy-Schlüssel der Entschlüsselungs-Schlüssel ist und die Proxy-Transformationen die Identitäts-Transformation ist.
Allerdings sind nicht alle Schemata, die von dem allgemeinen solchen abgeleitet werden können, als Proxy-Verschlüsselungs-Schemata qualifiziert. Intuitiv muss ein Proxy-Verschlüsselungs-Schema bestimmte Grunderfordernisse, nämlich Delegation, Sicherheit, Transitivität und Funktionsweise, wie dies nachfolgend beschrieben ist, erfüllen.
Delegation. Um sicherzustellen, dass, an dem Ende des Nachrichten-Entschlüsselungs-Schritts, der Nehmer in der Lage ist, die originale Nachricht korrekt wieder herzustellen, muss die folgende Gleichung für irgendeine Nachricht m gelten: D(Π{E(m,eA),π),dB,π) = m,wobei E(m,e) eine Verschlüsselungs-Funktion der Nachricht m unter dem Verschlüsselungs-Schlüssel e ist, D(c,d,π) eine entsprechende Entschlüsselungs-Funktion einer verschlüsselten Nachricht c unter dem Entschlüsselungs-Schlüssel d ist und möglicherweise eines Proxy-Schlüssels π ist, Π(c,π) die Proxy-Funktion ist, die die verschlüsselte Nachricht c entsprechend zu dem Proxy-Schlüssel π umwandelt, und e_A, e_B, d_A und d_B die Verschlüsselungs- und Entschlüsselungs-Schlüssel des Gebers A und des Nehmers B, jeweils, sind.
Zusätzlich zu der Richtigkeit vorstehend sollte die Funktionalität einer Delegation garantiert sein. In einer Form bedeutet dies, dass, nachdem der Proxy-Schlüssel ausgegeben ist und die Proxy-Transformation abgeschlossen ist, der Schritt einer Nachrichten-Entschlüssetung keine privaten Informationen von dem Geber erfordern sollte, und er sollte nur durch den Nehmer ausgeführt werden. In einer anderen Form ist dies äquivalent zu einer Unbestreitbarkeit der Delegation von dem Geber; das bedeutet, dass, wenn einmal der Proxy-Schlüssel erzeugt ist und eine Proxy-Transformation durchgeführt ist, der Geber nicht in der Lage sein sollte, die Delegation zu verweigern, ohne Suchen nach anderen Mitteln, wie beispielsweise verhindern, dass der Nehmer den Proxy-Schlüssel erhält und die transformierte Nachricht empfängt. Als eine Folge dieser Funktionalität kann der Entschlüsselungs-Schlüssel des Gebers mit dem Entschlüsselungs-Schlüssel des Nehmers und möglicherweise dem Proxy-Schlüssel, der die Fähigkeit beibehält, die Nachricht zu entschlüsseln, zerstört werden. (Dies ist in der Datei-Schutz-Anwendung später im Abschnitt 6. nützlich).
Sicherheit. Letztendlich ist ein Proxy-Verschlüsselungs-Schema auch ein Verschlüsselungs-Schema, zumindest von dem Standpunkt des Nehmers aus gesehen. Die Einführung von Proxy-Schlüsseln und Transformationen muss in keinster Weise die Sicherheit und die Privatsphäre der Verschlüsselung beeinträchtigen. Demzufolge sollte es zumindest rechenmäßig schwer für eine nicht autorisierte, dritte Partei sein, die originale Nachricht und die Entschlüsselungs-Schlüssel des Gebers und des Nehmers von öffentlich erhältlichen Informationen wieder herzustellen.
Weiterhin sollte ein Fälschen gültiger Proxy-Schlüssel durch irgendeine nicht vertrauensvolle Partei schwer sein. Es muss klar sein, dass deshalb die Erzeugung des Proxy-Schlüssels π eine Kenntnis zumindest des Entschlüsselungs-Schlüssels des Gebers erfordert; ansonsten ist das unterlegende Verschlüsselungs-System nicht sicher.
Transitivität. Natürlich sollte die Proxy-Beziehung transitiv sein. Nachdem der Geber das Verschlüsselungsrecht delegiert, sollte der Nehmer in der Lage sein, als ein neuer Geber zu arbeiten, um das Recht weiter zu einem anderen Nehmer, nur durch Folgen desselben Schemas, zu delegieren. Weiterhin sollte es für irgend jemanden möglich sein, sagen wir für den ersten Geber, das Recht direkt zu einem neuen Nehmer durch Kombinieren aller Zwischen-Proxy-Schlüssel in einen Proxy-Schlüssel und durch Zusammensetzen aller darauf folgender Proxy-Transformationen in eine Transformation zu delegieren.
Funktionsweise. Da das Schema für eine erneute Verschlüsselung eine intuitive, unmittelbare Lösung für eine Proxy-Verschlüsselung ist und sie die vorstehende Delegation erfüllt, sollten Sicherheits- und Transitivitäts-Erfordernisse irgendeines praktisch nützlichen Proxy-Verschlüsselungs-Schemas keine Verschlechterung in der rechenmäßigen Funktionsweise haben, wenn mit dem Schema für eine erneute Verschlüsselung verglichen wird.
Proxy-Verschlüssungs-Schemata können entsprechend deren Anwendungserfordernissen variieren. Sie können entsprechend vielen Aspekten kategorisiert werden. Offensichtliche solche umfassen, ob sie auf einem öffentlichen Schlüssel oder einem privaten Schlüssel basieren und ob deren Sicherheitsmaßnahmen perfekt in den Informationen in einem theoretischen Sinne sind oder dass sie sich gegen einige rechenmäßigen Probleme auflehnen. Die folgenden Aspekte beziehen sich auf die Proxy-Verschlüsselung und die Transformation.
Vertraulichkeit. Während die Sicherheit von Nachrichten und Entschlüsselungs-Schlüsseln verstärkt werden muss, kann die Sicherheit von Proxy-Schlüsseln und von Proxy-Transformationen, ein zwingendes Erfordernis sein. Ein Schema wird als öffentlich dann bezeichnet, wenn Proxy-Schlüssel, die es erzeugt, veröffentlicht werden können, ohne deren Sicherheits- und Proxy-Transformationen, die in nicht sicheren Umgebungen angewandt werden, zu beeinträchtigen; ansonsten ist das Schema privat. In einem privaten Schema muss, wenn ein Proxy-Schlüssel von dem Geber zu dem Facilitator und dem Nehmer übertragen wird, Sorge dafür getragen werden, den Proxy-Schlüssel in Bezug auf eine Offenbarung zu stützen. Als eine Folge muss die Proxy-Transformation, die den Proxy-Schlüssel verwendet, ebenso privat vorgenommen werden.
Kommutativität. Im Hinblick auf Nachrichten muss dem Nehmer nicht konditional durch den Geber vertraut werden, da eine Proxy-Verschlüsselung per Definition dem ersteren ermöglicht, anstelle des letzteren zu entschlüsseln. Allerdings kann das Vertrauensmodell für dessen private Informationen unterschiedlich sein. Ein Proxy-Verschlüsselungs-Schema ist dann kommutativ, wenn der Geber und der Nehmer ein Vertrauen zueinander in Bezug auf deren private Schlüssel haben; ansonsten ist es nicht kommutativ. Ein kommutatives Beispiel ist dasjenige, dass der Proxy-Schlüssel so erzeugt ist, dass irgendeiner des Gebers und des Nehmers den Entschlüsselungs-Schlüssel des anderen von diesem erhalten kann. Immer wenn dies der Fall ist, kann der Proxy- Verschlüsselungs-Mechanismus zu einem Schlüssel-Austausch-Protokoll vereinfacht werden, das dem Nehmer ermöglicht, den Entschlüsseiungs-Schlüssel des Gebers zu verwenden, um die verschlüsselten Nachrichten direkt zu entschlüsseln.
Allgemeingültigkeit. In vielen Fällen wünscht der Geber, den Umfang des delegierten Entschlüsselungs-Rechts zu beschränken. Oftmals umfassen beabsichtigte Beschränkungen, dass der Proxy-Schlüssel nur durch einen bezeichneten Nehmer verwendet werden kann, dass der Proxy-Schlüssel nur auf eine spezifische Nachricht anwendbar ist, oder dass die Proxy-Informationen durch einen spezifischen Facilitator angewandt werden können. Zum Beispiel wäre es, wenn ein Proxy-Verschlüsselungs-Schema in einigen Anwendungen, wie beispielsweise Schlüssel-Hinterlegung, verwendet wird, ideal, dass Proxy-Schlüssel unabhängig von Nachrichten sind, auf die sie angewandt werden. Allerdings kann es, für eine gelegentliche Delegation, wie beispielsweise eine sichere Spezifizierung einer Nachfolgeschaft im Willen einer bestimmten Person, äußerst erwünscht sein, dass ein Proxy-Schlüssel nur auf eine bezeichnete Partei (z.B. einem Enkel), anwendbar auf eine spezifische Nachricht (z.B. einen bestimmten Teil des Willens), und möglicherweise verwendet in der Proxy-Transformation durch eine bestimmte Partei (ein Anwalt), beschränkt sein.
Entartung. Ein Proxy-Verschlüsselungs-Schema sollte sich, wenn es in der extremen Situation verwendet wird, in der der Geber und der Nehmer eine selbe Person mit einem selben Verschlüsselungs-Schlüssel sind, auf ein reguläres Verschlüsselungs-Schema reduzieren, ohne irgendwelche Komplikationen einzuführen (wie beispielsweise nicht triviale Proxy-Schlüssel und Transformationen, und das Erfordernis eines zusätzlichen Facilitators).
Wie nachfolgend dargestellt werden wird, sind die Schemata nach Mambo und Okamoto privat und nicht kommutativ. Proxy-Schlüssel in deren Schemata können entweder von einer Nachricht unabhängig oder abhängig sein, sind allerdings nicht auf die bezeichneten Nehmer beschränkt. Das Schema nach Blaze und Strauss ist sogar gegensätzlich: es ist öffentlich, allerdings kommutativ, und seine Proxy-Schlüssel sind von einer Nachricht unabhängig, allerdings eindeutig dem bezeichneten Nehmer zugeordnet. Im Vergleich dazu sind die Schemata gemäß der Erfindung, wie sie hier angegeben sind, öffentlich und nicht kommutativ, und deren Proxy-Schlüssel sind von einer Nachricht abhängig und auf bezeichnete Nehmer beschränkt.
Proxy-Verchlüsselung unter Verwendung des EIGamal Kryptosystems
Da Proxy-Verschlüsselungs-Schemata, die nachfolgend in dieser Beschreibung diskutiert sind, alle auf diskreten Logarithmen in multiplikativen Gruppen basieren, wird eine formale Einstellung, die für alle diese Verschlüsselungs-Schemata üblich sind, hier angewandt. Die Angabe, die hier verwendet wird, beruft sich auf das EIGamal Verschlüsselungs-Schema. Verschlüsselungs-Schemata, die auf diskreten Logarithmen basieren, sind besonders aufgrund deren technischer Vorteile gegenüber Schemata vom RSY-Typ und deren natürlicher Verallgemeinerungen auf viele, finite Gruppen, wie beispielsweise elliptische Kurven-Gruppen, gegenüber finiten Feldern, vorteilhaft.
Wie vorstehend angegeben ist, wird hier, für irgendeine natürliche Zahl n, Z_n = {0, 1, ..., n – 1}, der Ring von ganzen Zahlen modulo n bezeichnen, und Z * / n = {(m ∊ Z_n|gcd(m, n) = 1} wird die multiplikative Gruppe von Z_n bezeichnen. Es ist anzumerken, dass dann, wenn n eine Primzahl ist, Z * / n = {1, ..., n – 1} gilt. Für modulo n und eine Zahl a, die eine relative Primzahl zu n ist, wird hier a^–1 als das multiplikative Inverse von a modulo n bezeichnet; das bedeutete, dass a^–1 das Element ist, das aa^–1 ≡ 1 (mod n) erfüllt.
Ein Element a von Z * / p ist dasjenige, das in der Größenordnung von m liegt, wenn die Zahl seiner Potenz modulo n m ist. Ein Generator g von Z ist, falls er existiert, ein Element in der Größenordnung |Z * / n| (die Größe von Z * / n); in diesem Fall ist Z * / n eine zyklische Gruppe. Wenn n eine Primzahl ist, ist jedes Element von Z * / n, mit Ausnahme von 1, ein Generator von Z * / n .
Es wird hier angenommen, dass Z * / n eine zyklische Gruppe mit einem Generator g ist. Der diskrete Logarithmus eines Elements x zu der Basis g, bezeichnet als log_gx, ist eine eindeutige, ganze Zahl a, 0 ≤ a ≤ n – 1, so dass x = g^a (mod n) gilt. Das Problem des diskreten Logarithmus ist dasjenige, dass, unter Vorgabe einer Primzahl p, ein Generator g von Z * / p und ein Element x ∊ Z * / p die ganze Zahl a, 0 ≤ a ≤ p – 2, finden, so dass g^a ≡ x (mod p) gilt.
Ein sehr eng damit in Bezug stehendes Problem ist das Diffie-Hellman Problem: unter Vorgabe einer Primzahl p, eines Generators g von Z * / p und Elementen g^a (mod p) und g^b (mod p), Finden von g^ab (mod p). Das Problem des diskreten Logarithmus ist min destens so schwierig wie das Diffie-Hellman Problem, da irgendeine Lösung für das erstere Problem dazu verwendet werden kann, das letztere Problem zu lösen.
Das EIGamal Verschlüsselungs-Schema, dargestellt in 6, ist teilweise auf einem diskreten Logarithmus basierend, ein Kryptosystem für einen öffentlichen Schlüssel, vorgeschlagen durch EIGamal, für sowohl eine Verschlüsselung als auch eine digitale Signatur. Siehe T. EIGamal, "A.public key cryptosystem and a signature sheme based on discrete logarithm", IEEE Trans. on Information Theory, Vol. 31, Seiten 465–472 (1985).
Wie nun 6 im Detail zeigt, ist ein EIGamal Schema durch Einrichten von zwei öffentlichen Parametern p und g eingestellt (Schritt 610), wobei p eine Primzahl (typischerweise 512 Bits in der Länge) ist, so dass p – 1 einen großen (typischerweise 160 Bit) Primzahlfaktor q (z.B. p = 2q + 1) besitzt und g ein Generator in Z_p ist. Ein Privat-Schlüssel für einen Benutzer wird durch gleichförmiges Auswählen einer Zufallszahl α ∊ Z_p–1, eingestellt. Deren in Bezug stehender, öffentlicher Schlüssel wird als α = g^a (mod p) berechnet (Schritt 614). Der Benutzer veröffentlicht α und hält a geheim.
Um eine Nachricht m, die zu einem Benutzer A geschickt wird, mit einem öffentlichen Schlüssel α zu verschlüsseln, wird eine Zufallszahl k ∊ Z * / p–1, gleichförmig ausgewählt (Schritt 616) und ein Paar von Zahlen (r,s), die zusammen die verschlüsselte Nachricht darstellen, die zu A gesendet werden soll, wird wie folgt berechnet (Schritt 618): r = gk (mod p) und s = mαk' (mod p).
Um die Nachricht (r, s) zu entschlüsseln, stellt der Empfänger A die Nachricht m wieder her (Schritt 620) unter Berechnen von m = s(ra)–1(mod p).
Es ist anzumerken, dass die Auswahl der öffentlichen Parameter dazu vorgesehen ist, eine Gleichung g^p–1 (mod p) = 1 (kleines Theorem nach Fermat) einzurichten. Diese Parameter sollten authentisch für alle Benutzer bekannt sein. Sie können beispielsweise durch eine bestimmte, vertrauenswürdige Stelle ausgewählt werden. Auch stellt die Art und Weise, in der der private Schlüssel a ausgewählt wird, sicher, dass das Inverse a^–1 von a modulo p – 1 existiert und eindeutig ist.
Im Gegensatz zu dem RSA-Verschlüsselungs-Schema mit öffentlichem Schlüssel ist das EIGamal Schema nicht deterministisch, da die verschlüsselte Nachricht auch von der Zufallszahl k abhängt. Tatsächlich ist sie in der Art ähnlich zu dem Diffie-Hellman Schlüssel-Austausch-Protokoll; der Schlüssel, eingerichtet zwischen dem Sender und dem Empfänger zum Verschlüsseln und Entschlüsseln der Nachricht m, ist g^ak (mod p) von r = g^k (mod p) (Teil der verschlüsselten Nachricht) und α = g^a (mod p) (der öffentliche Schlüssel von A). Allerdings beruht die Sicherheit des EIGamal Verschlüsselungs-Schemas auf der Widerspenstigkeit des Problems des diskreten Logarithmus und des Diffie-Hellman Problems. Bis heute hat die Praxis beim Suchen optimaler Logarithmen für das Problem des diskreten Logarithmus keine effiziente (Polynom-Zeit) Lösung gefunden. Es ist ähnlich zu der Situation für das ganzzahlige Faktorisierungs-Problem, auf dem die Sicherheit des RSA Schemas basiert. Weiterhin ist auch gezeigt worden; dass, für einige Primzahlen p, eine Lösung des diskreten Logarithmus-Problems zumindest so schwer wie ein Lösen des Faktorisierungsproblems einer selben Größe ist. Dies impliziert, dass für diese ps das EIGamal Schema mindestens so sicher wie das RSA Schema ist.
Erst kürzlich sind mehrere Proxy-Verschlüsselungs-Schemata vorgeschlagen worden. Alle diese Schemata folgen dem generischen Proxy-Verschlüsselungs-Schema beim Delegieren des Entschlüsselungs-Rechts: der Verschlüsseler sendet eine verschlüsselte Nachricht zu dem Geber A, der dann das Entschlüsselungsrecht zu dem Empfänger B durch Erzeugen des Proxy-Schlüssels delegiert und, nachdem die Proxy-Transformation abgeschlossen ist, entschlüsselt der Empfänger B schließlich die Nachricht. Zwei repräsentative und bekannte Proxy-Verschlüsselungs-Schemata sind nachfolgend angegeben: eines von Mambo und Okamoto und das andere von Blaze und Strauss, wobei beide davon Variationen des EIGamal Schemas sind. Da sie dieselbe Schema-Einstellung wie das EIGamal Schema haben, ist die Einstellung (siehe Schritte 610–614 der 6 vorstehend) aus der Darstellung weggelassen.
Mambo und Okamoto haben drei Proxy-Verschlüsselungs-Schemata vorgeschlagen: zwei basieren auf dem EIGamal Schema und das andere basiert auf dem RSA Schema. Das eine, das in 6 dargestellt und nachfolgend beschrieben ist, basiert auf EIGamal und teilt seine Grundmerkmale mit den anderen zwei Schemata.
Unter Bezugnahme nun auf 7 wird, unter Vorgabe einer Nachricht m, die zu einem Geber A mit einem öffentlichen Schlüssel α gesendet werden soll, die Nachricht m durch gleichförmiges Auswählen einer Zufallszahl k ∊ Z * / p–1, (Schritt 710) und Berechnen eines Paars von Zahlen (r, s), die die verschlüsselte Nachricht darstellen (Schritt 712), wie folgt verschlüsselt: r = gk (mod p) und s = mαk (mod p).
Um das Entschlüsselungs-Recht an einen Nehmer B zu delegieren, erzeugt der Geber einen Proxy-Schlüssel π durch gleichförmiges Auswählen einer Zufallszahl α ∊ Z * / p–1, (Schritt 714) und durch Berechnen π = aa' (mod (p – 1)) Schritt 716). Dann führt A den Proxy-Schlüssel π zu B (Schritt 718) in einer sicheren Art und Weise (z.B. durch Verschlüsseln davon mit dem öffentlichen Schlüssel von B) zu und hält den Wert von a' privat.
Um B zu ermöglichen, die Nachricht zu entschlüsseln, berechnet A r' = r^α–1 (mod p), wobei α'^–1 das multiplikative Inverse von a' modulo p – 1 ist (Schritt 720). Das Paar (r', s) ist die transformierte, verschlüsselte Nachricht, die zu B gesendet werden soll.
Unter Empfang der transformierten Nachricht (r', s) und des Proxy-Schlüssels π entschlüsselt B die Nachricht m (Schritt 722) durch Berechnen von m = s(r'^π)^–1 (mod p). Dieses Proxy-Verschlüsselungs-Schema verwendet die Verschlüsselungs- und Entschlüsselungs-Komponenten des EIGamal Schemas, mit der Ausnahme, dass der private Schlüssel von B durch den Proxy-Schlüssel π ersetzt wird. Dies ist korrekt, da, wenn π verwendet wird, um die transformierte Nachricht (r', s) zu entschlüsseln, das Folgende gilt: s((r')π)–1 (mod p) = s(raa'a'–1)–1 (mod p) = mgka(gka)–1 (mod p) = m.
Die Sicherheit dieses Schemas wird unter zwei Aspekten evaluiert. Die Komplexität für irgend jemanden, einschließlich des Nehmers B, um den privaten Schlüssel a des Gebers A basierend auf allen verfügbaren Informationen aufzudecken, ist dieselbe wie für jemanden zum Lösen des Problems des diskreten Logarithmus. Die Schwierigkeit für irgend jemanden, gerade mit dem Proxy-Schlüssel, um A zu personifizieren, um die verschlüsselte Nachricht zu transformieren (d.h. um (r', s) zu erzeugen), ist dieselbe wie für jemanden, um das Diffie-Hellman Problem zu lösen.
Dieses Schema besitzt einige, sehr ansprechende Merkmale. Zuerst beruht seine Sicherheit darauf, dass es schwer für B ist, den privaten Schlüssel von A wieder herzustellen. In diesem Sinne ist kein Erfordernis für A vorhanden, B zu vertrauen, und demzufolge ist das Schema nicht kommutativ. Als zweites ist der Proxy-Schlüssel π, der erzeugt ist, nachrichten-unabhängig. B kann ihn verwenden, um alle Nachrichten, transformiert durch A, zu entschlüsseln. Als drittes erfüllt dieses Schema das Transitivitäts-Erfordernis. Unter Empfangen sowohl des Proxy-Schlüssels π als auch der transformierten Nachricht (r',s) kann der delegierte Benutzer B weiterhin das Proxy zu einem anderen Benutzer C, durch Behandeln von π als den privaten Schlüssel a und (r', s) als (r, s) und durch Wiederholen der Proxy-Erzeugung und der Transformation behandeln. Als viertes erfordert das Schema einen geringeren, rechenmäßigen Aufwand als das Schema für eine erneute Verschlüsselung.
Allerdings besitzt ein Ausführen einer Proxy-Verschlüsselung in der Art und Weise dieses Schemas verschiedene Nachteile. Als erstes enthält der Proxy-Schlüssel keine Informationen über den delegierten Nehmer B; er ist nur von dem privaten Schlüssel des Gebers A abgeleitet. Weiterhin muss die Nachrichten-Entschlüsselung, die durch B durchgeführt ist, nicht der private Entschlüsselungs-Schlüssel von B sein. Demzufolge kann die Nachricht durch irgend jemanden wieder hergestellt werden, der den Proxy-Schlüssel und die verschlüsselte Nachricht erhält, um sie zu halten, nicht notwendigerwieise B. Demzufolge kann B irgend jemanden fragen, die Nachricht durch direktes Weiterführen der Proxy-Informationen zu entschlüsseln. In vielen Fällen ist dies nicht erwünscht; A sollte in der Lage sein, den Schlüssel-Halter zu spezifizieren, der anstelle von A arbeitet.
Als zweites muss der Proxy-Schlüssel π geheim zwischen A und B sein und muss von A zu B in einer sicheren Art und Weise gesendet werden. Als eine Folge von π, das keine Informationen von B enthält, und wobei (r', s) möglicherweise in der Öffentlichkeit kommuniziert werden, ist das sich ergebende π im Wesentlichen gleich zu einem Offenlegen der Nachricht.
Als drittes muss die Proxy-Transformation durch A durchgeführt werden. Der Wert a', der bei dieser Transformation verwendet ist, ist für A ein Geheimnis, und er ist vital, um zu verhindern, dass B den Entschlüsselungs-Schlüssel a von A kennt.
Kurz gesagt ist das Schema nicht kommutativ und nachrichten-unabhängig, aber privat und nicht fähig, den bezeichneten Geber zu spezfizieren.
Blaze und Strauss haben ein anderes Proxy-Verschlüsselungs-Schema für einen öffentlichen Schlüssel beschrieben. Wie in 8 gesehen werden kann, ist das Schema in der Struktur ähnlich zu einer EIGamal Verschlüsselung, allerdings mit Parametern, die verwendet sind, unterschiedlich und dem Inversen des Geheimnisses, das verwendet wird, um die Nachricht wieder herzustellen.
Nun wird sich 8 in größerem Detail zugewandt, wo eine Nachricht m, die zu einem Geber A mit einem öffentlichen Schlüssel α gesendet werden soll, wobei die Nachricht m durch gleichförmiges Auswählen einer Zufallszahl k ∊ Z_p–1 (Schritt 810) und durch Berechnen eines Paars von Zahlen (r,s), das die verschlüsselte Nachricht darstellt, verschlüsselt wird (Schritt 812) wie folgt: r = mgk(mod p)und s = αk (mod p).
Um das Entschlüsselungs-Recht zu dem Nehmer B zu delegieren, erzeugt der Geber A einen Proxy-Schlüssel π durch Erhalten des privaten Verschlüsselungs-Schlüssels b von B (Schritt 814) und durch Berechnen von π = a^–1b(mod(p – 1)) (Schritt 816), wobei a^–1 das Inverse des privaten Schlüssels a von A modulo p – 1 ist. Der Proxy-Schlüssel π kann öffentlich gemacht werden.
Um den Proxy-Schlüssel π zu verwenden, um eine Nachricht (r, s), verschlüsselt für A, zu einer Nachricht, verschlüsselt für B, umzuwandeln, berechnet der Facilitator (nicht notwendigerweise A, da der Proxy-Schlüssel π öffentlich ist) s' = s^π (mod p) (Schritt 818). Das Paar (r,s') stellt die transformierte, verschlüsselte Nachricht dar, die dann zu B gesendet werden kann.
Um die transformierte Nachricht zu entschlüsseln, berechnet B m = r(s'^b–1)^–1(mod p) (Schritt 820), wobei b der private Schlüssel von B ist und b^–1 das Inverse von b modulo p – 1 ist.
Das Schema ist korrekt, da in der Nachrichten-Verschlüsselung gilt s'b–1 = gk (mod p)und m = r(gk)–1 (mod p).
Das Schema ist dahingehend sicher, dass die Nachricht m und die geheimen Schlüssel a und b nicht von den verschlüsselten Nachrichten und den öffentlichen Schlüsseln wieder hergestellt werden können. Weiterhin beeinträchtigt ein Veröffentlichen des Proxy-Schlüssels weder die Nachricht m noch die geheimen Schlüssel a und b. Genauer gesagt ist das Problem eines Wiederherstellens bzw. Zurückgewinnens von m aus den öffentlichen Informationen (α, β, r, s, π, s') so schwer wie das Diffie-Hellman Problem.
Im Gegensatz zu dem vorherigen Schema macht es das letzte Sicherheitsmerkmal unnötig, den Proxy-Schlüssel π privat zu haften. Demzufolge kann der Geber A öffentlich π zu irgend jemanden (Facilitator) senden, um die Proxy-Transformation durchzuführen, oder kann ihn einfach veröffentlichen. Weiterhin erfordert das Schema nicht irgend etwas geheimes von A, um die Proxy-Transformation auszuführen, und demzufolge ermöglicht es irgend jemandem, dem vertraut wird oder nicht, die Transformation durchzuführen, und beseitigt demzufolge die Notwendigkeit für A, ebenso wie für B, bei der Transformation präsent zu sein.
Auch ist, im Gegensatz zu dem vorigen Schema, kein Unterschied zu dem Benutzer B zwischen einer Entschlüsselung einer regulär verschlüsselten Nachricht und einer Verschlüsselung einer proxy-transformierten Nachricht vorhanden. Dieses elegante Merkmal ermöglicht dem Benutzer B, alle ankommenden, verschlüsselten Nachrichten gleich zu behandeln. Tatsächlich ist es für einen nicht vertrauensvollen Facilitator oder Server möglich, die Proxy-Transformation durchzuführen und dann die Nachricht zu dem Nehmer B weiterzuführen.
Im Hinblick auf diese wünschenswerten Merkmale ist dieses Schema kommutativ; die eingebundenen Schlüssel-Halter A und B müssen sich gegenseitig bilateral trauen. B kann einen geheimen Schlüssel a von A (durch Multiplizieren des Proxy-Schlüssels mit b^–1) lernen. Zusätzlich ist der Proxy-Schlüssel auch nachrichten-unabhängig, wie dies der Fall in dem vorherigen Schema ist, das B das Recht überträgt, alle Nachrichten, verschlüsselt für den privaten Schlüssel a von A, zu entschlüsseln. Dementsprechend ist dieses Schema öffentlich und nachrichten-unabhängig, allerdings kommutativ.
Zwei Proxy-Verschlüsselungs-Schemata gemäß der Erfindung werden hier angegeben und dann in Bezug auf deren Sicherheit, Kommutativität und Funktionsweise analysiert. Ähnlich dem Privat-Proxy-Schema sind sie nicht kommutativ, und gleichzeitig unterstützen sie öffentliche Proxy-Schlüssel und Transformationen in der Art und Weise, wie dies das kommutative Proxy-Schema tut. Allerdings unterscheiden sie sich von den privaten und kommutativen Schemata dahingehend, dass sie nachrichten-unabhängig sind. Weiterhin ist deren gesamte Funktionsweise besser als das auf EIGamal basierende Schema für eine erneute Verschlüsselung.
Wiederum teilen diese Schemata gemeinsam dieselbe Schema-Einstellung des EIGamal Schemas und sie nehmen an, dass ein Geber A das Entschlüsselungs-Recht an einen Nehmer B delegiert.
Um zu verstehen, wie das EIGamal Schema in einem Proxy-Verschlüsselungs-Schema anzuwenden ist, ist es hilfreich, einige Details des EIGamal Schemas zu prüfen. Es sollte angemerkt werden, dass die r Komponente der verschlüsselten Nachricht m von dem privaten Schlüssel a des Nehmers A und dem öffentlichen Schlüssel α unabhängig ist. Da s = mα^k (mod p) = mg^ka (mod p) gilt, wird α nur in der s Komponenten verwendet, und a wird implizit in dem Exponenten von s eingebettet. Demzufolge ist es für die Proxy-Transformation schwierig, die Nachricht, verschlüsselt für A, in die Nachricht, verschlüsselt für B, durch Entfernen des privaten Schlüssels a von A von s und Ersetzen davon gegen den privaten Schlüssel b von B umzuwandeln. Um zu verhindern, dass B den privaten Schlüssel a von A erhält, muss die Funktion, um den Proxy-Schlüssel zu erzeugen, in irgendeiner Weise "one-way" sein. Tatsächlich kann dies mit der Hilfe der Zufalls-Zahl k wie folgt erreicht werden: π = gk(b–a) (mod p).
Demzufolge sollte die Proxy-Transformation, die die Nachrichtenumwandlung vervollständigt, ähnlich wie folgt aussehen: s' = sπ(mod p) = mgkagk(b–a)(mod p) = mgkb (mod p).
Die vorstehende Diskussion führt zu dem Schema in 9. Sie zeigt, dass der Proxy-Schlüssel und die Transformation das Sicherheitserfordernis erfüllen und die erwünschten öffentlichen und nicht-kommutativen Merkmale liefert.
Wie nun 9 zeigt, wird, unter Vorgabe einer Nachricht m, die zu einem Geber A mit einem öffentlichen Schlüssel α geschickt werden soll, die Nachricht m durch gleichförmiges Auswählen einer Zufallszahl k ∊ Z * / p–1, (Schritt 912) und Berechnen eines Paars Zahlen (r, s), die die verschlüsselte Nachricht darstellen (Schritt 910), wie folgt verschlüsselt: r = gk (mod p) und s = mαk (mod p).
Um das Entschlüsselungs-Recht an einen Nehmer B zu delegieren, erzeugt der Geber A einen Proxy-Schlüssel π durch Erhalten eines authentischen Entschlüsselungs-Schlüssels b von B (Schritt 914) und durch Berechnen von π = r^b–a (mod p) (Schritt 916).
Die Nachricht wird von (r, s) zu (r, s') durch Berechnen von s' = sπ (mod p) transformiert (Schritt 918). Die Nachricht m wird dann durch B von (r, s') durch Berechnen von m = s'(r^b)^–1(mod p) entschlüsselt (Schritt 920).
Es ist deutlich, dass dieses Schema die Nachrichten-Verschlüsselungs- und -Entschlüsselungs-Schritte des EIGamas Schemas verwendet. Es ist korrekt, dass die Nachricht m aus s'(rb)–1 (mod p) = sπ(rb)–1 (mod p) = mgakgk(b–a)(gkb)–1 (mod p) = mwieder hergestellt werden kann.
Ein schönes Merkmal dieses Schemas ist dasjenige, dass nicht nur reguläre und proxy-verschlüsselte Nachrichten für den Empfänger B unterschiedlich erscheinen, sondern dass auch das Schema mit dem EIGamal Schema übereinstimmt, wenn A und B derselbe Benutzer mit demselben Schlüssel sind; in diesem Fall ist der Proxy-Wert π gleich zu 1 und die Proxy-Transformation ist die identische Information.
Es ist einfach zu sehen, dass das Schema transitiv ist. Unter Empfangen der proxytransformierten Nachricht kann der Nehmer B ähnlich des Gebers A arbeiten, um weiter das Entschlüsselungsrecht zu, beispielsweise, einem anderen Nehmer C zu erteilen, indem der Proxy-Erzeugungs-Schritt mit den Schlüsseln b und c anstelle von a und b delegieren wird.
Auch erfordert, ähnlich dem kommutativen Schema, der Proxy-Erzeugungs-Schritt die privaten Schlüssel von sowohl A als auch B, um den Proxy-Schlüssel π zu erzeugen. Als eine Alternative kann dieser Schritt durch irgend jemanden ausgeführt werden, dem durch sowohl A als auch B vertraut wird. Wie vorstehend angeführt ist, wird der private Schlüssel von A definitiv benötigt, da ansonsten irgend jemand einen Proxy-Schlüssel ausgeben kann, um die Nachricht wieder herzustellen, und das unterlegende Verschlüsselungs-Schema ist nicht sicher. Um einen privaten Schlüssel b von B einzurichten und zu kommunizieren, können viele Schlüssel-Austausch-Protokolle, wie beispielsweise der Diffie-Hellman Schlüssel-Austausch, verwendet werden. Wie in weiterem Detail nachfolgend dargestellt ist, ist in einigen praktischen Anwendungen das Erfordernis des Schlüssels b entweder kein Problem oder kann gelockert werden.
Allerdings macht es, im Gegensatz zu dem privaten und kommutativen Schema, dieses Schema dem Nehmer B nicht einfach, Nachrichten, verschlüsselt für A, andere als beabsichtigt, zu verschlüsseln. Es ist klar, dass der Proxy-Schlüssel π einen Teil von Informationen enthält, die für die verschlüsselte Nachricht m spezifisch sind, nämlich die Zufalls-Zahl k. In diesem Sinne ist das Proxy-Schema nachrichten-abhängig. Weiterhin ist das Schema nicht in dem Sinn kommutativ, dass es schwer für B ist, den privaten Schlüssel a von A aufzudecken. Diese Tatsache, zusammen mit der Funktionsweise des Schemas, wird nach Präsentieren des nächsten Schemas angegeben.
Es ist anzumerken, dass, in dem vorherigen Schema, die Proxy-Transformation nur die s Komponente der verschlüsselten Nachricht austauscht. Da s der Teil ist, der tatsächlich die Informationen über die Nachricht m führt, kann das Schema nicht effizient sein, wenn m eine sehr lange Nachricht ist. Zum Beispiel würde der Proxy-Schlüssel, der erzeugt ist, so lang wie die Nachricht sein, und die Bemühung und der Aufwand, der in der Proxy-Transformation aufgebracht wird, würde linear in Bezug auf die Länge der gesamten Nachricht sein.
Das Schema, das in 10 angegeben ist, tendiert dazu, diese Situation zu verbessern. Es verwendet den Nachrichten-Verschlüsselungs-Schritt des kommutativen Schemas, in dem die Nachricht m von s zu r verschoben wird. Dessen Proxy-Schlüssel und Transformation haben nun keine direkte Abhängigkeit von der Nachricht m.
Wie in 10 dargestellt ist, wird, unter Vorgabe einer Nachricht m, die zu einem Geber A mit einem öffentlichen Schlüssel α geschickt werden soll, die Nachricht m durch gleichförmiges Auswählen einer Zufalls-Zahl k ∊ Z * / p–1 (Schritt 1010) und Berechnen eines Paars von Zahlen (r, s), die die verschlüsselte Nachricht darstellen (Schritt 1012), wie folgt verschlüsselt: r = mgk (mod p) und s = αk (mod p).
Um das Entschlüsselungs-Recht an einen Nehmer B zu delegieren, erzeugt der Geber A einen Proxy-Schlüssel π durch Erhalten des authentischen Entschlüsselungs-Schlüssels b von B (Schritt 1014) und durch Berechnen von n = (s^a–1)^b–a(mod p) (Schritt 1016), wobei a^–1 das Inverse von a modulo p – 1 ist.
Die Nachricht wird von (r, s) zu (r, s') durch Berechnen von s' = sπ(mod p) transformiert (Schritt 1018). Die Nachricht m wird dann durch B von (r, s') durch Berechnen von m = r(s'^b–1)^–1(mod p) berechnet (Schritt 1020), wobei b^–1 das Inverse von b modulo p – 1 ist.
Dieses Schema ist korrekt, da
Andere Eigenschaften dieses Schemas können in derselben Art und Weise wie das vorherige Schema verifiziert werden.
Aufgrund deren Ähnlichkeit in ihrer Art wird nur das erste der zwei neuen Schemata in diesem Abschnitt in Bezug auf dessen Sicherheit und Nicht-Kommutativität analysiert. Nahezu dieselbe Diskussion kann für das zweite Schema vorgenommen werden. Zusätzlich berücksichtigt, obwohl das erste Schema (ebenso wie das zweite Schema) transitiv ist und dessen Sicherheit mehr als zwei Schlüssel-Halter involvieren kann, die Analyse, die angegeben ist, nur einen Fall mit zwei Schlüssel-Haltern; der allgemeine Fall ist auch ähnlich. Zur Deutlichkeit der Darstellung wird der Ausdruck "(mod p)" in diesem Unterabschnitt weggelassen werden; das Auftreten davon sollte deutlich aus dem Zusammenhang hervorgehen.
Es wird daran erinnert, dass, anders als die Schema-Parameter (p, g), die öffentlichen Informationen, die von dem Schema verfügbar sind, umfassen α = ga, β = gb, r = gk, s = mgak, π = gk(b–a), s' = mgbk.
Aus den Gründen, die nachfolgend angegeben sind, ist das Schema rechenmäßig sicher. Es ist schwer, die Nachricht m und die Geheimschlüssel a und b von den öffentlichen Informationen wieder herzustellen, vorausgesetzt, dass die Probleme nach Diffie-Hellman und des diskreten Algorithmus schwer zu lösen sind. Da ein Proxy-Schlüssel einen Teil der öffentlichen Informationen ist, impliziert dies, dass eine Veröffentlichung davon weder die Nachricht noch die geheimen Schlüssel beeinträchtigt. Eine Folge hiervon ist diejenige, dass es auch schwer für irgend jemanden ist, einen gültigen Proxy-Schlüssel in einer systematischen Art und Weise zu fälschen. Darüber hinaus ist das Schema so dargestellt, dass es nicht kommutativ in dem Sinne ist, dass es sogar mit dem privaten Schlüssel von B noch schwieriger ist, den privaten Schlüssel von A wieder herzustellen. Falls der Proxy-Schlüssel tatsächlich durch eine dritte Partei, der durch sowohl A als auch B getraut wird, erzeugt ist, impliziert diese Tatsache, dass es für B nicht notwendig ist, auch A in irgendeiner Weise zu vertrauen. Dies ist eine wesentliche Verbesserung gegenüber dem kommutativen Schema.
Weiterhin sind, wie vorstehend angegeben ist, die Proxy-Verschlüsselungs-Schemata der Erfindung effizienter als ein erneutes Verschlüsseln einer Nachricht. Das Nachfolgende in Tabelle 2 ist die Funktionsweise von zwei Proxy-Verschlüsselungs-Schemata gemäß der Erfindung, die hier beschrieben sind, verglichen mit dem Schema einer erneuten Verschlüsselung unter Verwendung des EIGamal Algorithmus, im Hinblick auf den Umfang einer Berechnung, den sie erfordern. In Tabelle 2 sind die Zahlen von Multiplikations-Operationen, Exponenzial-Operationen und Inversionen, alle mit modulo p durchgeführt, für diese Schemata aufgelistet.
Tabelle 2
Es ist anzumerken, dass die gesamte Anzahl von Operationen für eine erneute Verschlüsselung unter Verwendung des EIGamal Schemas zweimal die Anzahl von Operationen für eine einzelne EIGamal Verschlüsselung und Entschlüsselung ist, da die Nachricht zuerst verschlüsselt werden muss, dann entschlüsselt werden muss, dann wieder verschlüsselt werden muss, dann wieder entschlüsselt werden muss. Weiterhin kann die Berechnung in dem zweiten Schema durch (i) Vor-Berechnung des Inversen a^–1 und b^–1 in dem Schema-Einstellungs-Schritt und (ii) durch Multiplizieren der zwei exponenziellen Komponenten (modulo (p – 1)) in dem Proxy-Erzeugungs-Schritt anstelle der Verwendung von zwei Exponenten-Bildungen optimiert werden. Der zweite Satz von Zahlen unter dem zweiten Schema ergibt sich aus dieser Optimierung. Insgesamt haben die erfindungsgemäßen Proxy-Verschlüsseiungs-Schemata, die hier angegeben sind, eine bessere Funktionsweise als das einfache, auf EIGamal basierende Schema einer erneuten Verschlüsselung.
Anwendungen
Öffentliche und nicht-kommutative Proxy-Verschlüsselungs-Schemata stellen einen Verschlüsselungs-Mechanismus zum Umsetzen eines weiten Bereichs von Anwendungen bereit. Eine umfangreiche Dokumenten-Verteilung und ein Dateischutz sind zwei Verschlüsselungs-Motivationen für diese Offenbarung. Diese Anwendungen entsprechen zwei typischen Situationen für eine Proxy-Verschlüsselung. Die erstere bezieht sich auf den Fall, bei dem der Geber derjenige ist, der die Nachricht zuerst verschlüsselt, während der letztere selbst delegierend ist, wobei der Geber und der Nehmer derselbe Schlüssel-Halter, allerdings mit unterschiedlichen Schlüsseln, sind.
Wiederum ist anzumerken, dass sich das Dokument auf irgendeine digitale Datei, deren Inhalt ein Text, Grafiken, Audio, Video, ausführbare oder sogar Multi-Media sind, bezieht. Gewöhnlich ist ein Dokument in der Größe groß, sogar nach einer Kompression. Da Algorithmen mit öffentlichem Schlüssel dazu tendieren, sehr langsam zu werden, wenn sie mit herkömmlichen Algorithmen mit privatem Schlüssel verglichen werden, wie beispielsweise DES, IDEA und RC4, und Algorithmen mit privatem Schlüssel das Einrichten von geheimen Schlüsseln erfordern, um damit zu beginnen, ist die praktikabelste Maßnahme, für eine umfangreiche und sichere Verteilung von Dokumenten über Netzwerke, diejenige, die Verschlüsselungs-Mechanismen mit privatem Schlüssel und öffentlichem Schlüssel zu kombinieren. Typischerweise wird ein effizienter Privat-Schlüssel-Algorithmus dazu verwendet, das Dokument unter Verwendung eines zufällig erzeugten Schlüssels, bezeichnet als Sitzungs-Schlüssel, zu verschlüsseln, und der öffentliche Schlüssel für jeden Dokumentenempfänger wird dazu verwendet, diesen Sitzungsschlüssel zu verschlüsseln. Empfänger verwenden deren private Schlüssel, um den geheimen Sitzungs-Schlüssel wieder herzustellen, und verwenden ihn dann, um das Dokument zu entschlüsseln.
Tatsächlich besitzt die vorstehende Dokumenten-Verteilungs-Maßnahme den Geschmack einer Proxy-Verschlüsselung; der Besitzer verschlüsselt das Dokument zuerst unter Verwendung eines Privat-Schlüssel-Schemas und erteilt dann das Entschlüsselungs-Recht, unter Anforderung, an seinen Empfänger über ein Schema eines öffentlichen Schlüssels. Es stellt sich heraus, dass irgendeines der zwei neuen Proxy-Verschlüsselungs-Schemata verwendet werden kann, um die besten Merkmale der Maßnahme zu einem einzelnen, normalen Verschlüsselungs-Schema zu kombinieren.
Es wird das zweite Schema, das vorstehend angegeben ist (10), zum Beispiel, herangezogen. Zwei Beobachtungen ergeben sich. Zuerst kann die Komponente r der verschlüsselten Nachricht unter Verwendung eines Privat-Schlüssel-Verschlüsselungs-Schemas mit K = g^k(mod p) als der geheime Sitzungsschlüssel erzeugt werden. Dementsprechend kann die Nachricht m in dem Nachrichten-Entschlüsselungs-Schritt durch deren entsprechender Privat-Schlüssel-Entschlüsselung unter Verwendung des Geheim-Sitzungs-Schlüssels K'= s^rb–1 (mod p) = K wieder hergestellt werden. Tatsächlich ist das Geheim-Schlüssel-Verschlüsselungs-Schema, das in dem Schema verwendet ist, r = E_K(m) = mK(mod p) für eine Verschlüsselung und m = D_K'(r) = rK'^–1(mod p) für eine Entschlüsselung. Ein anderes, einfaches Beispiel ist das Verschlüsselungs-Schema, das auf einem Bit-weisen XOR(⨁)basiert. In diesem Fall kann die Berechnung von r und m ersetzt werden durch r = Ek(m) = m ⨁ Kund m = DK(r) = r ⨁ K.
Mit Sicherheit können anspruchsvollere Privat-Schlüssel-Verschlüsselungs-Schemata, wie beispielsweise DES und Triple-DES, eingesetzt werden, wenn eine strengere Sicherheit benötigt wird.
Die zweite Beobachtung ist diejenige, dass dann, wenn ein Geber A derjenige ist, der die Nachricht m verschlüsselt, dann A die Zufalls-Zahl k privat halten kann und den öffentlichen Schlüssel β = g^b (mod p) von B, anstelle des privaten Schlüssels b von B, verwenden kann, um den Proxy-Schlüssel zu erzeugen: π = (βα –1)k (mod p)wobei α der öffentliche Schlüssel von A ist. Dies beseitigt das Erfordernis für einen privaten Schlüssel von b von B (oder einen Schlüssel-Austausch zwischen A und B), und impliziert, dass B nicht A in irgendeiner Weise vertrauen muss.
Diese zwei Beobachtungen führen zu dem Dokumenten-Verteilungs-Schema, das in 11 dargestellt ist, das auf dem zweiten Proxy-Verschlüsselungs-Schema gemäß der Erfindung, die vorstehend angegeben ist (und in Verbindung mit 10), beruht. In dem Schema wird ein Privat-Schlüssel-Verschlüssungs-Schema verwendet, um die Nachricht nur einmal für alle Empfänger zu verschlüsseln, während ein weniger nützlicher Proxy-Schlüssel-Bereich verwendet wird, um eine kleine Menge an Informationen – der Sitzungs-Schlüssel -, einmal für jeden Empfänger kundenspezifisch angepasst, zu ver schlüsseln. Ein vorteilhaftes Merkmal dieses Schemas ist dasjenige, dass das verschlüsselte Dokument in einer öffentlich zugänglichen Aufbewahrungsstelle gespeichert werden kann, und die Proxy-Transformation kann durch den Dokumenten-Eigner A, den Empfänger B oder die Aufbewahrungsstelle, wo das Dokument physikalisch gespeichert ist, in Abhängigkeit von den Erfordernissen realer Dokumenten-Management-Verteilungssysteme durchgeführt werden.
Wie nun 11 zeigt, wird das Schema in derselben Art und Weise wie ein Standard-EIGamal-Schema (siehe 6, beschrieben vorstehend) eingestellt. Zusätzlich wird ein symmetrisches Privat-Schlüssel-Verschlüsselungs-Schema ausgewählt (Schritt 1110). Dessen Verschlüsselungs-Funktion ist m → E_K(m) und dessen Entschlüsselungs-Funktion ist r → D_K(r), wobei K ein bestimmter Privatschlüssel ist.
Um ein Dokument m zu verschlüsseln, wählt ein Besitzer A eine gleichförmige Zufallszahl k ∊ Z_p–1 (Schritt 1112) aus und berechnet einen Sitzungs-Schlüssel K = g^k(mod p) (Schritt 1114). Das verschlüsselte Dokument (r, s) wird dann wie folgt berechnet: r = EK(m)und s = Ka (mod p)(Schritt 1116), wo a ein privater Schlüssel von A ist. A hält das Paar (s, k) privat. Unter Anforderung von einem Empfänger B nach dem verschlüsselten Dokument (r, s), erhält A zuerst einen authentischen, öffentlichen Schlüssel β von B (Schritt 1118) und sucht k von dem Paar (s, k) auf (Schritt 1120). A berechnet dann π_B = β^ks^–1(mod p) (Schritt 1122), wobei s^–1 das Inverse von s modulo p ist, als den Proxy-Schlüssel für B.
Das Dokument wird dann durch Berechnen von s' = sπ_B (mod p) (Schritt 1124) transformiert; das Paar (r, s') stellt das transformierte Dokument, kundenspezifisch angepasst für B, dar.
Um das kundenspezifische Dokument (r, s') zu entschlüsseln und das originale Dokument m aufzusuchen, stellt B zuerst den Sitzungsschlüssel durch Berechnen von K = s'^b–1 (mod p) her (Schritt 1126), wobei b^–1 das Inverse von b modulo p – 1 ist. Dann wird das Dokument selbst durch Berechnen von m = D_K(r) entschlüsselt (Schritt 1128).
Wie vorstehend beschrieben ist, ist eine Anpassung der vorliegenden Erfindung auch auf eine Datei-Schutz-Anwendung anwendbar. Gewöhnlich umfasst ein Dateischutz in unsicheren Systemen, wie beispielsweise Laptops und einer vernetzten Hardware, eine Langzeitverschlüsselung von Dateien. Demzufolge müssen Verschlüsselungsschlüssel, die für eine Datei-Verschlüsselung verwendet werden, eine viel längere Lebensdauer als deren Kommunikations-Gegenstücke haben. Während ein primärer Langzeit-Geheimschlüssel eines Benutzers eine grundsätzliche Darstellung einer Netzwerk-Identität des Benutzers sein kann, besteht dabei eine Gefahr dahingehend, dass er beeinträchtigt werden könnte, wenn er für viele Dateien über eine Langzeitperiode verwendet wird. Wenn der primäre Schlüssel verlorengeht oder gestohlen wird, werden nicht nur die Inhalte der Dateien, die damit verschlüsselt sind, offenbart, sondern der Benutzer verliert auch persönliche Informationen basierend auf dem Schlüssel, wie beispielsweise Kreditkartenkonto, Sozialversicherungsnummer, usw.. Deshalb ist es oftmals bevorzugt, ein Online-Verfahren zu verwenden, bei dem ein neuer Entschlüsselungs-Schlüssel von dem primären Schlüssel zu jedem Zeitpunkt abgeleitet wird, zu dem eine Datei verschlüsselt werden muss und auf einer regulären Basis aktualisiert wird.
Mit den Proxy-Verschlüsselungs-Schemata, die hier angegeben sind, können neue Entschlüsselungs-Schlüssel erzeugt werden und konstant über eine Selbst-Delegation, um sie frisch zu halten, aktualisiert werden. Wenn einmal ein neuer Schlüssel erzeugt ist und ein entsprechender Proxy-Schlüssel erzeugt ist, kann der alte Geheimschlüssel zerstört werden, wobei der neue Schlüssel und der Proxy-Schlüssel die Fähigkeit beibehalten, die Datei zu entschlüsseln.
12 stellt ein Datei-Schutz-Schema dar, das eine Smart-Card verwendet, um Entschlüsselungs-Schlüssel zu speichern und zu aktualisieren. Es basiert wiederum auf dem zweiten Proxy-Verschlüsselungs-Schema, das hier angegeben ist, wie dies in 10 dargestellt ist.
Wie in 12 dargestellt ist, wählt, um eine Datei m zu verschlüsseln, ein Prozessor, der in einer Smart-Card eingebettet ist, eine Zufalls-Zahl k ∊ Z * / p–1 (Schritt 1210) aus und berechnet r = mgk (mod p)und s = (gk)a (mod p).(Schritt 1212), wobei a der private Schlüssel der Smart-Card ist. Das Paar (r, s) stellt die Datei m in einer verschlüsselten Form dar.
Immer wenn es notwendig oder erwünscht ist, zum Beispiel alle paar Wochen oder nach einer vorbestimmten Anzahl von Dokumenten-Zugriffen, erzeugt die Smart-Card eine andere, gleichförmige Zufalls-Zahl a' ∊ Z * / p–1, (Schritt 1214) und berechnet S' = (s^a–1)^a')(mod p) (Schritt 1216), wobei a^–1 das multiplikative Inverse von a modulo p – 1 ist. Die verschlüsselte Datei (r,s) wird dann gegen (r,s') ersetzt (Schritt 1218), und der Entschlüsselungs-Schlüssel a wird gegen einen neuen Entschlüsselungs-Schlüssel a' ersetzt (Schritt 1220). Diese Schritte 1214–1220 können so viele Male, wie dies erwünscht ist, wiederholt werden.
Um die originale Datei m von deren verschlüsselter Version (r, s) wieder herzustellen, verwendet der Prozessor auf der Smart-Card den spätesten Entschlüsselungs-Schlüssel a, um m = rs^a–1 (mod p) zu berechnen (Schritt 1222).
Es ist anzumerken, dass der Datei-Verschlüsselungs-Schritt mit irgendeinem Geheim-Schlüssel, den er erzeugt, starten kann, nicht notwendigerweise mit dem privaten Schlüssel der Smart-Card.
Ein Halten der verschlüsselten Dateien aktuell durch Aktualisieren von verschlüsselten Verschlüsselungs-Daten mit einem Teil von mittels der Smart-Card erzeugten Informationen, hilft dabei, einzelne, nützliche Kopien von geschützten Dateien beizubehalten. Dies liefert, in einem gewissen Sinne, ebenso einen Kopie-Schutz. Weiterhin macht eine Nicht-Kommutativität des Schemas frühere Kopien der Datei nutzlos, da die entsprechenden Geheiminformationen, die in der Smart-Card gespeichert sind, geändert worden sind (und vorzugsweise zerstört worden sind).
Proxy-Verschlüsselung unter Verwendung des Cramer Shoup Kryptosystems
Obwohl die vorstehenden Beispiele und Algorithmen alle verschiedene Adaptionen des EIGamal Kryptosystems einsetzen, sollte angemerkt werden, dass andere Kryptosysteme auch durch ein Schema gemäß der Erfindung angepasst werden können.
Zum Beispiel ist das Kryptosystem mit öffentlichem Schlüssel nach Cramer-Shoup ^ein in neuerer Zeit vorgeschlagenes Kryptosystem, das das erste, praktische System mit öffentlichem Schlüssel ist, um nachweisbar immun gegen einen adaptiv ausgewählten Chiffriertext-Angriff zu sein. Siehe R. Cramer und V. V. Shoup, "A Practical Public Key Cryptosystem Provably Secure against Adaptive Chosen Ciphertext Attack", Proceedings of CRYPTO '98, Springer Verlang LNCS, vol. 1462, Seiten 13–25 (1998). Der adaptive, ausgewählte Chiffriertext-Angriff nimmt an, dass der Angreifer Entschlüsselungen irgendwelcher ausgewählter Chiffriertexte, andere als den Ziel-Chiffriertext, erhalten kann. Zum Beispiel nimmt, wenn der Ziel-Chiffriertext, für den der Klartext gewünscht ist, c ist, dann der Angreifer an, dass er Zugriff auf ein "Decryption Oracle" haben muss, das irgendeinen Chiffriertext, mit Ausnahme von c, entschlüsseln wird, einschließlich, zum Beispiel, c + 1, 4c, usw.. RSA und EIGamal fallen einfach bei dieser Art eines Angriffs. Ein unterschiedlicher, allerdings äquivalenter, Gedanke einer Sicherheit gegen aktive Angriffe wird als Nicht-Formbarkeit (non-malleability) bezeichnet; allerdings sind bekannte, nicht formbare Systeme nicht praktisch.
Angegeben nachfolgend in 13 ist eine Beschreibung einer hash-freien Version des Cramer-Shoup Kryptosystems, wobei die Sicherheit davon strikt auf dem Diffie-Hellman Entscheidungsproblem für eine wahlweise Gruppe basiert. Danach wird in zwei unterschiedlichen Situationen dargestellt werden, wie das Recht zu delegieren ist, in einem Cramer-Shoup Schema zu entschlüsseln.
Unter Bezugnahme zunächst auf 13 wird das System durch Auswählen von G als eine Gruppe einer Anforderung q eingestellt, wobei q groß ist (Schritt 1310). Das System nimmt an, dass Klartext-Nachrichten Elemente von G sind (oder als solche codiert werden können ), und Chiffrteitext-Nachrichten Elemente von G⁴ = G × G × G × G sind; das bedeutet, dass eine Chiffriertext-Nachricht viermal so lang wie deren entsprechende Klartext-Nachricht ist.
Ein gutes Beispiel der Gruppe G ist die Untergruppe der Ordnung q in dem multiplikativen Satz Z * / p für eine bestimmte, große Primzahl p = 2q + 1. In diesem Fall kann eine Nachricht m von dem Satz {1, ..., q} durch Quadrieren deren modulo p "codiert werden", was zu einem Element in G führt, und die Nachricht m kann von diesem Codieren durch Berechnen der eindeutigen Quadratwurzel deren Codier-modulo p, in dem Satz {1, ..., q} wieder hergestellt werden.
Ein Schlüssel wird wie folgt erzeugt. Zuerst werden Zufallselemente g₁, g₂ ∊ G ausgewählt (Schritt 1312) und Zufallselemente x₁, x₂, y₁₁, y₁₂, y₂₁, y₂₂, y₃₁, y₃₂, z ∊ Z_q, werden ausgewählt (Schritt 1314). Als nächstes werden Gruppen-Elemente
sind berechnet (Schritt 1316). Der öffentliche Schlüssel wird dann so berechnet, dass er (g₁,g₂,c,d₁,d₂,d₃,h) ist (Schritt 1318), und der Privat-Schlüssel wird berechnet, so dass er (x₁, x₂, y₁₁, y₁₂, y₂₁, y₂₂, y₃₁, y₃₂, Z) ist (Schritt 1320).
Unter Vorgabe einer Nachricht m ∊ G beginnt das Verschlüsselungsverfahren durch Auswählen von r ∊ Z_q unter Zufall (Schritt 1322). Dann wird der Chiffriertext (u₁,u₂,e, v) wie folgt berechnet (Schritt 1324):
Unter Vorgabe des Chiffriertextes (u₁,u₂,e, v) testet der entsprechende Entschlüsselungs-Algorithmus zuerst, wenn
(Schritt 1326). Falls nicht, wird die Bemühung der Entschlüsselung abgewiesen (Schritt 1328). Ansonsten wird die Nachricht m als m = e|u z / 1; berechnet (Schritt 1330).
Die Korrektheit eines Kryptosystems kann durch Prüfen verifiziert werden, so dass die Entschlüsselung einer Verschlüsselung einer Nachricht die Nachricht ergibt. In diesem Fall gilt u₁ = g r / 1 und u₂ = g r / 2, wenn man
hat. In ähnlicher Weise gilt
Deshalb wird, für den gültigen Chiffriertext, der Text, der in dem Entschlüsseiungs-Algorithmus durchgeführt ist, durchgelassen werden.
Die Sicherheit dieses Kryptosystems beruht auf der Schwierigkeit beim Lösen des Diffie-Hellman Entscheidungsproblems. Ein Algorithmus, der das Diffie-Hellman Entscheidungsproblem löst, ist ein statistischer Test, der effektiv die folgenden zwei Verteilungen unterscheiden kann: (a) Zufalls-Quadruples (g₁,g₂,u₁,u₂) ∊ G⁴, und (b) Zufalls-Quadruples (g₁,g₂,u₁,u₂) ∊ G⁴, wobei g₁, g₂ zufällig sind und u₁ = g r / 1 und u₂ = g r / 2 für einige, zufällige r ∊ Z_q sind.
In Bezug zu dem Diffie-Hellman Entscheidungsproblem sind das Diffie-Hellman Problem (unter Vorgabe von g, g^x und g^y wird g^xy berechnet), und das diskrete Logarithmus-Problem (unter Vorgabe von g und g^x, wird x berechnet). Mit der polynominalen Zeit kann das Diffie-Hellman Entscheidungsproblem auf das Diffie-Hellman Problem reduziert werden, das wiederum auf das Problem des diskreten Algorithmus reduziert wird. Es ist diese Beziehung zwischen den drei Problemen, die zu der Möglichkeit führt, das Recht, für das Cramer-Shoup System zu entschlüsseln, zu delegieren.
Es wird angenommen, dass irgend jemand wünscht, das Recht zu entschlüsseln, von einem Delegierer (Alice, A) zu einem Delegierten (Bob, B) zudelegieren. Es wird angenommen, dass Alice den öffentlichen Schlüssel (g₁,g₂,c,d₁,d₂,d₃,h) und den privaten Schlüssel (x₁, x₂, y₁₁, y₁₂, y₂₁, y₂₂, y₃₁, y₃₂, Z) besitzt und dass Bob den öffentlichen Schlüssel (g'₁,g'₂,c',d'₁,d'₂,d'₃,h') und den privaten Schlüssel (x'₁, x'₂, y'₁₁, y'₁₂, y'₂₁, y_'22, y'₃₁, y'₃₂, Z') besitzt.
Es wird daran erinnert, dass für eine gegebene Klartext-Nachricht m ∊ G, die Chiffriertext-Nachricht, für den Delegierten A, M = (u₁,u₂,e, v) ist, wobei u₁ = g r / 1, u₂ = g r / 2, e = h^rm, und
gilt. Ähnlich ist, wenn die Nachricht direkt für den Delegierten B verschlüsselt ist, die Chiffriertext-Nachricht M' = (u'₁,u'₂,e', v'), wobei
wobei r' auch eine Zufalls-Zahl von Z_q ist, gilt. Es ist weiterhin anzumerken, dass
gilt.
Basierend auf den Ideen, die vorstehend angegeben sind, um das Recht, zu entschlüsseln, von A zu B zu delegieren, umfasst ein Erzeugen eines Übertragungsschlüssels π, wobei dieser Übertragungsschlüssel dazu verwendet wird, M in M' zu transformieren. Nachfolgend wird angenommen, dass die Komponenten g'₁, g'₂ des öffentlichen Schlüssels von B identisch zu den Komponenten g₁,g₂ des öffentlichen Schlüssels von A sind (analog zu den Parametern des EIGamal Systems, das vorstehend beschrieben ist). Auch wird angenommen, dass die Zufalls-Zahl r' dieselbe wie r ist. Unter diesen zwei Annahmen sind die Elemente u'₁,u'₂ der Chiffriertext-Nachricht von B dieselben wie die Elemente u₁,u₂ der Chiffriertext-Nachricht von A.
Wie nun 14 zeigt, wird das System durch Auswählen von G als eine Gruppe einer Prime-Ordnung q eingestellt, wobei q groß ist (Schritt 1410). Dann wird, wie vorstehend, ein Schlüssel wie folgt erzeugt. Zuerst werden Zufallselemente g₁, g₂ ∊ G ausgewählt (Schritt 1412), und Zufallselemente x₁, x₂, y₁₁, y₁₂, y₂₁, y₂₂, y₃₁, y₃₂, z ∊ Z_q, werden ausgewählt (Schritt 1414). Als nächstes werden die Gruppenelemente
berechnet (Schritt 1416).
Der öffentliche Schlüssel wird dann so berechnet, dass er (g₁, g₂, c, d₁, d₂, d₃, h) ist (Schritt 1418), und der private Schlüssel wird so berechnet, dass er (x₁, x₂, y₁₁, y₁₂, y₂₁, y₂₂, y₃₁, y₃₂, Z) ist (Schritt 1420).
Unter Vorgabe einer Nachricht m ∊ G beginnt das Verschlüsselungsverfahren durch Auswählen von r ∊ Z_q unter Zufall (Schritt 1422). Dann wird der Chiffriertext (u₁,u₂,e, v) wie folgt berechnet (Schritt 1424):
Wenn der Privatschlüssel von B zum Erzeugen des Übertragungsschlüssels π verfügbar ist, wird dieser Schlüssel erhalten (Schritt 1426), und dann kann π wie folgt berechnet werden (Schritt 1428):
Die Chiffriertext-Transformation ist dann
Dies transformiert den Chiffriertext (u₁,u₂,e,v) zu (u₁,u₂,e',v') (Schritt 1430).
Der Empfänger/Delegierte ist dann in der Lage, den transformierten Chiffriertext (u₁,u₂,e',v') zu entschlüsseln. Wie vorstehend testet der Entschlüsselungs-Algorithmus zuerst, ob
gilt (Schritt 1432). Falls nicht, wird die Bemühung der Entschlüsselung zurückgewiesen (Schritt 1434). Ansonsten wird die Nachricht m als m = e'|u' z' / 1 berechnet (Schritt 1436).
In dem Fall, in dem nur der öffentliche Schlüssel des Delegierten B zum Delegieren des Rechts, zum Entschlüsseln der Nachricht zu dem Delegierer A zu B, verwendet werden kann, muss man sichern und die Zufalls-Zahl r verwenden, die zu Anfang bei der Verschlüsselung der Nachricht für A verwendet ist. Dies kann ein Problem dort sein, wo die Partei, um den Übertragungsschlüssel zu erzeugen, nicht A ist, und kann nicht dort ein Problem sein, wenn die Partei tatsächlich A ist. In jedem Fall kann, wenn er verfügbar ist, der Übertragungsschlüssel π unter Verwendung des öffentlichen Schlüssels von B wie folgt erzeugt werden: π = (ε, θ, δ1, δ2, δ3)wobei
ε = e'|e = (g z' / 1/g z / 1)^r = (h'|h)^r
θ = c'^r|c^r = (c'|c)^r
δ₁ = d' r / 1|(d r / 1 = (d ' / 1|d₁)^r
δ₂ = d' r / 2|(d r / 2 = (d ' / 2|d₂)^r
δ₁ = d' εr / 3|(d εr / 3 = (d ε / 3|d₃)^r
Die Proxy-Transformation ist dann
Es ist einfach, in jedem Fall, zu verifizieren, dass der Delegierte B seinen eigenen, privaten Schlüssel verwenden kann, um den Chiffriertext (u'₁,u'₂,e',v'), transformiert durch die Verfahren, die vorstehend angegeben sind, zu entschlüsseln. Da die Mechanismen, die hier auf dem Kryptosystem nach Cramer-Shoup verwendet sind, dieselben wie solche sind, die vorstehend bei den Kryptosystemen ähnlich EIGamal verwendet sind, sind sie öffentlich und nicht kommutativ unter der Annahme, dass das Diffie-Hellman Problem und das Problem des diskreten Logarithmus schwierig zu lösen sind.
Wie vorstehend beschrieben ist, wird es, obwohl die üblichen, Verschlüsselungs-Schemata mit öffentlichem Schlüssel mit der Proxy-Verschlüsselungs-Fähigkeit verstärkt werden, möglich, eine flexibel ausgelegte Entschlüsselung zu unterstützen. Diese Beschreibung hat zwei öffentliche und nicht kommutative Proxy-Verschlüsselungs-Schemata angegeben, die die Vorzüge der existierenden Schemata besitzen und bei denen deren Nachteile beseitigt sind. Die neuen Schemata sind so dargestellt worden, dass sie direkte Anwendungen bei einer umfangreichen Dokumentenverteilung und einem Dateischutz haben. Die Grundidee dieser neuen Schemata ist auch bei Kryptosystemen anderer Typen angewandt worden, wie beispielsweise ein Cramer-Shoup Kryptosystem, was sie zu Proxy-Verschlüsselungs-Schemata verbessert.
Während die verschiedenen Aspekte der vorliegenden Erfindung unter Bezugnahme auf verschiedene Aspekte und deren Ausführungsformen beschrieben worden sind, sind solche Ausführungsformen, die anhand eines Beispiels angegeben sind, in keinster Weise einschränkend. Die vorstehende, detaillierte Beschreibung der Erfindung ist zum Zwecke der Erläuterung und Beschreibung angegeben worden. Es ist nicht beabsichtigt, dass sie erschöpfend ist oder die Erfindung auf die präzise Form, die offenbart ist, beschränkt, und offensichtlich sind viele Modifikationen und Variationen unter Berücksichtigung der vorstehenden Lehre möglich. Die beschriebenen Ausführungsformen wurden ausgewählt, um am besten die Prinzipien der Erfindung und deren praktische Anwendungen zu erläutern, um dadurch Fachleute auf dem betreffenden Fachgebiet in die Lage zu versetzen, am besten die Erfindung in den verschiedenen Ausführungsformen und mit verschiedenen Modifikationen, wie sie für die bestimmte Verwendung, die vorgesehen ist, geeignet sind, zu verwenden.

Claims

Verfahren zum Verschlüsseln eines ursprünglichen Dokumentes zur Verbreitung zu einem ausgewählten Empfänger, welcher aus einer Vielzahl von möglichen Empfängern ausgewählt wurde, wobei das Verfahren die folgenden Schritte umfasst: Verschlüsseln (1116; 1424) des ursprünglichen Dokumentes mit einem Session-Schlüssel, um ein verschlüsseltes Dokument zu erzeugen; Auswählen (1112; 1422), durch einen Geber, eines zufälligen Elementes, wobei das zufällige Element für den Geber privat ist; Erzeugen (1122; 1428) eines Proxy-Schlüssels, durch den Geber, basierend auf einem öffentlichen Schlüssel, welcher zu dem ausgewählten Empfänger korrespondiert und auf dem zufälligen Element; und Umwandeln (1124; 1430), durch den Geber, mindestens einen Teil des verschlüsselten Dokumentes, welcher die verschlüsselte Information des ursprünglichen Dokumentes umfasst, mittels des Proxy-Schlüssels, um ein umgewandeltes Dokument zu erzeugen, wodurch nur dem ausgewählten Empfänger ermöglicht wird, dass ursprüngliche Dokument aus dem verschlüsselten Dokument unter Benutzung eines privaten Schlüssels, der zu dem öffentlichen Schlüssel korrespondiert, wiederherzustellen.
Verfahren gemäß Anspruch 1, wobei der Schritt des Verschlüsselns (1116; 1424) durch den Geber ausgeführt wird.
Verfahren gemäß Anspruch 1, wobei der Schritt des Verschlüsselns (1116; 1424) durch einen Verschlüsseler ausgeführt wird und wobei das verschlüs selte Dokument dem Geber vor dem Schritt des Umwandelns (1124; 1430) bereitgestellt wird.
Verfahren gemäß einem der Ansprüche 1 bis 3, welches des Weiteren den Schritt des Übertragens des umgewandelten Dokumentes zu dem ausgewählten Empfänger umfasst.
Verfahren gemäß einem der Ansprüche 1 bis 4, welches des Weiteren die Schritte umfasst: Wiederherstellen des Session-Schlüssels aus dem umgewandelten Dokument; und Entschlüsseln des umgewandelten Dokumentes mit dem Session-Schlüssel, um das ursprüngliche Dokument wiederherzustellen.
Verfahren gemäß Anspruch 5, wobei der Schritt des Wiederherstellens ausgeführt wird, indem ein privater Schlüssel, welcher zu dem ausgewählten Empfänger korrespondiert, angewandt wird.
Verfahren gemäß einem der Ansprüche 1 bis 6, wobei der Schritt des Verschlüsselns mit einem symmetrischen Verschlüsselungsverfahren unter Verwendung eines geheimen Schlüssels ausgeführt wird.
Verfahren gemäß einem der Ansprüche 1 bis 6, wobei der Schritt des Verschlüsselns mit einem Verschlüsselungsverfahren ausgeführt wird, welches auf dem EIGamal-Kryptosystem basiert.
Verfahren gemäß Anspruch 7, wobei das verschlüsselte Dokument einen ersten und einen zweiten Teil umfasst, wobei der erste Teil das ursprüngliche Dokument bezeichnet, welches mittels dem symmetrischen Verschlüsselungsverfahren unter Benutzung des Session-Schlüssels verschlüsselt wurde und wobei der zweite Teil den Session-Schlüssel bezeichnet, welcher unter Benutzung eines privaten Schlüssels des Inhabers verschlüsselt wurde.
Verfahren gemäß einem der Ansprüche 1 bis 9, wobei das ursprüngliche Dokument zu dem ausgewählten Empfänger mittels mindestens einem zusätzlichen Zwischen-Geber verbreitet wird, indem die Schritte des Erzeugens und des Umwandelns für jeden zusätzlichen Zwischen-Geber wiederholt werden.