Замечание: величина а шифротекста Tш необходима, чтобы

сообщить информацию о числе к, используемом при шифровании T0 . Используем алгоритм Эль-Гамаля для шифрования сообщения

9. КРИПТОСИСТЕМА НА ОСНОВЕ ЭЛЛИПТИЧЕСКИХ КРИВЫХ

Рассмотренные ранее асимметричные криптосистемы RSA, Эль-Гамаля представляют примеры безопасных систем. Однако их безопасность обеспечивается ценой больших ключей (1024 бита ≈ 500 десятичных знаков). Одним из перспективных вариантов

на основе метода эллиптических кривых.

Эллиптической кривой называется алгебраическая кривая вида y2 + b1xy + b2 y = x3 + a1x2 + a2 x + a3.

42

Будем рассматривать специальный класс эллиптических кривых

E(a,b) :

y2 = x3 + ax + b,

которые получаются из основного уравнения заменой переменной. В качестве примера рассмотрим кривую E(1,1) : y2 = x3 + x +1.

Определим абелеву (коммутативную) группу, использующую точки на эллиптической кривой.

двух точек по следующему правилу: три коллинеарные точки (лежащие на одной прямой L) дают нулевую сумму:

P(x1, y1) + Q(x2 , y2 ) + R1(x3 , y3 ) = 0.

Введенная операция сложения должна удовлетворять всем свойствам коммутативной группы:

–замкнутость;

–ассоциативность;

–коммутативность;

–существование нейтрального элемента;

–существование аддитивной инверсии.

В качестве аддитивной инверсии для точки R1(x3 , y3 ) выбирается точка такая, что

R1(x3 , y3 ) + R(x3,− y3 ) = 0.

Тогда, прибавляя точку R к левой и правой частям равенства

P(x1, y1) + Q(x2 , y2 ) + R1(x3, y3 ) + R(x3,− y3 ) = R(x3,− y3 ) ,

43

получим окончательное правило сложения двух точек эллиптической кривой

R(x3 ,− y3 ) = P(x1, y1 ) + Q(x2 , y2 ).

При этом возможны три случая.

1. Точки P,Q − различные (L – секущая). Запишем уравнение прямой, проходящей через две точки:

Найдем точки пересечения прямой L с эллиптической кривой, для этого решим совместно систему уравнений:

ì y2 = x3 + ax + b;

í

î y = λ x + d;

λ2 x2 + 2λ xd + d 2 = x3 + ax + b ;

Зная x3 , найдем y3 = λ x3 + d = λ x3 + y1 − λ x1 = λ(x3 − x1) + y1 .

В итоге имеем следующие соотношения, позволяющие найти координаты точки R:

λ = ( y2 - y1 ) ( x2 - x1 ) , x3 = λ − x2 − x1, − y3 = λ(x3 − x1) + y1,

тогда y3 = λ(x1 − x3 ) − y1.

2. Точки P,Q совпадают. В этом случае прямая L становится касательной к эллиптической кривой:

44

F(x, y) = y2 − x3 − ax − b = 0 .

Найдем производную от функции, заданной неявно. Эта величина будет угловым коэффициентом λ прямой L:

Окончательно имеем:

3. Прямая L пересекает кривую только в двух точках (L – вертикальная прямая). В этом случае говорят, что точка R находится в бесконечности, и принимают ее за нулевую точку, которая является нейтральным элементом группы. Аддитивная инверсия точки P(x1, y1) – это точка Q(x1,− y1) , т. е. P + Q = 0. Инверсия нейтрального элемента – он сам. Для выполнения свойства замкнутости операцию сложения будем проводить с вычислением по модулю п. В результате

45

Замечание: верно и обратное утверждение: аддитивной инверсией для точки Q(4,11) является точка P(4,2) .

Проверим принадлежность некоторых точек множеству E13 (1,1) . Например, точка P(10,6) E11(1,1), т. к.

62mod13 = (103 +10 +1) mod13 10 ≡ 10;

или точка P(12,5):

52mod13 = (123 +12 +1) mod13 12 ≡ 12 и т. д.

Замечание: так как числа x, y – целые, то для некоторых значений y = 3,10 нет целых соответствующих значений х, а для x = 2,3,6,9 нет соответствующих значений у. Поэтому точек P(x, y) с

соответствующими координатами нет во множестве E11 (1,1) . Операцию сложения будем осуществлять по приведенным ранее

формулам, но результаты будем приводить по модулю n = 13. Найдем сумму P(4,2) + Q(10,6) . Здесь x1 = 4, y1 = 2, x2 = 10, y2 = 6 . Вычислим

λ= æ y2 - y1 ömod n = (( 6 - 2) ´(10 - 4) −1 ) mod13 = ( 4 ´6−1 ) mod13 = çè x2 - x1 ¸ø

=4´11mod13 = 5.

Здесь 6−1 − мультипликативная инверсия к 6, равная 11.

x3 = ( λ 2 - x2 - x1 ) mod13 = ( 52 -10 - 4)mod13 =11.

y3 = ( λ ( x1 − x3 ) − y1 ) mod13 = ( 5(4 −11) − 2) mod13 = −37mod13 = 2.

Точка R(11,2) E13 (1,1).

Операция умножения точки Р на целое число k означает прибавление точки Р к самой себе k раз.

46

Найдем произведение

3×P(8,1) = P(8,1) + P(8,1) + P(8,1).

В итоге имеем 3×P(8,1) = P2 (10,7) E13 (1,1).

Замечание: недостатком метода эллиптических кривых является сложность установления соответствия между символами исходного

текста и точками на эллиптической кривой. Это одна из основных проблем этой криптосистемы. Для ее решения должен быть разработан алгоритм, устанавливающий соответствие между символами открытого текста (буквы, цифры) и точками на кривой

En (a,b).

Криптосистема Эль-Гамаля на основе эллиптических кривых. Алгоритм Эль-Гамаля на основе эллиптических кривых содержит те же этапы, только возведение в степень k заменена на

умножение точки P(x, y) на эллиптической кривой на целое число k.

47

Рассмотрим работу этого алгоритма на примере: зашифровать сообщение T0 (8,1), используя кривую E13 (1,1) .

2 ×k0 (11,11) = k1(4,2),

48

так как

4 ×C1 (8,12) = C4 (4,2) ;

C1(8,12) + C1(8,12) = C3 (11,11) − вычислено ранее;

C3 (11,11) + C3 (11,11) = C4 (4,2) − вычислено ранее. Аддитивная инверсия для C4 (4,2) − это C(4,11).

T0 = C2 (10,6) + C(4,11) = T0 (8,1),

так как

49