42.2. Криптографические протоколы. Протокол Диффи-Хеллмана

Пусть p>2 простое число. Эллиптическая а кривая Е определена уравнением

(*)

над конечным простым полем . Предположим, что группа содержит подгруппу простого порядка q, которая порождается точкой . Приведем здесь два протокола, безопасность которых основана на сложности проблемы дискретного логарифмирования в группе . Это протокол Диффи – Хеллмана и протокол электронной цифровой подписи, который реализован в принятом в 1998 году федеральном стандарте США.

Пусть имеется два участника А и Б, которые хотят выработать секретный ключ , обмениваясь несекретной информацией. Предварительно А и Б выбирают уравнение кривой (*), в том числе и простое p, а также точку и простое число q, которое является порядком этой точки в группе . Далее они выполняют следующие шаги.

1) А выбирает случайное число , где , вычисляет точку в группе . Тогда , где . А высылает по открытому каналу связи Б.

2) Б выбирает случайное число , где , вычисляет точку в группе . Тогда , где . Б высылает по открытому каналу связи А.

3) Получив , А вычисляет , решая квадратное уравнение . В результате . Далее А вычисляет . Тогда .

4) Получив , Б вычисляет , решая квадратное уравнение . В результате . Далее Б вычисляет . Тогда .

Легко видеть, что и . Значит , и протокол действительно решает задачу выработки ключа посредством обмена несекретной информацией. Противник располагает двумя точками , где , . Его задача вычислить x – координату точки . Это аналог проблемы Диффи – Хеллмана для группы точек эллиптической кривой.

42.3. Протокол электронной цифровой подписи

Пользователь А публикует эллиптическую кривую (*), в том числе простое число p, точку и простое число q, которое является порядком этой точки в группе . А выбирает свой секретный ключ , и публикует свой открытый ключ из . Пусть вычет – хэш – значение подписываемого сообщения. Чтобы получить подпись для m, А выполняет следующие шаги.

1) А выбирает случайный секретный вычет , где , вычисляет точку =, где представитель класса вычетов выбирается из фиксированного интервала .

2) А вычисляет . Если , то перейти к шагу 1. В противном случае вычислить

.

Если , то перейти к шагу 1. В противном случае пара чисел c, d, где есть подпись для m.

Чтобы проверить подпись А под сообщением m (хэш – значением сообщения), Б выполняет следующие шаги.

1) Б вычисляет и вычеты , .

2) Б вычисляет точку , .

3) Если , то подпись принимается, в противном случае – отвергается.

Замечание. 1) Легко показать, что подпись А не будет отвергнута Б. Действительно, видим, что

,

так как . Поэтому и следовательно . Значит . Из этих рассуждений также следует, что Р является аффинной точкой, то есть и имеет вид .

2) Объем хранимой информации можно уменьшить, если вместо точек G, W хранить их x – координаты.

37