Digitale Signatur- und Verschlüsselungsalgorithmen bilden einen wesentlichen Bestandteil von kryptografischen Verfahren mit dem Ziel, die Sicherheitsbedürfnisse von gegenwärtigen und zukünftigen Privat- und Geschäftsanwendungen zu erfüllen. Jedoch sind alle in der Praxis eingesetzten asymmetrischen Verfahren aufgrund der Anfälligkeit für Quantencomputer-Angriffe infolge Shors Quantenalgorithmus gefährdet. Das Ausmaß der wirtschaftlichen und gesellschaftlichen Auswirkungen sind gewaltig, wodurch unmittelbar die Forderung nach Alternativen besteht, die klassische Systeme ersetzen, sobald Quantencomputer im großen Maßstab hergestellt werden können.
Gitterbasierte Kryptografie ist als leistungsstarke Alternative hervorgetreten, die die Aufmerksamkeit der Forscher nicht nur wegen der vermuteten Resistenz gegen Quantencomputer-Angriffe auf sich zieht, sondern auch wegen ihrer einzigartigen Sicherheitsgarantie der Worst-Case-Härte von Average-Case-Instanzen. Auf diese Weise entfällt die Notwendigkeit, gesonderte Annahmen über die Average-Case Härte zu formulieren, sodass praktische Instanziierungen in der Tat Sicherheitsgarantien von Worst-Case-Instanzen genießen. Die bekanntesten Gitterangriffsalgorithmen laufen mit exponentieller Zeitkomplexität.
In dieser Arbeit tragen wir zu einem reibungslosen übergang in eine Welt mit praktikablen gitterbasierten Verfahren bei. Dies wird durch die Entwicklung von neuen Algorithmen und kryptographischen Verfahren sowie die Verbesserung bestehender erreicht. Unsere Beiträge sind dreigeteilt.
Erstens, wir stellen neue Verschlüsselungsverfahren vor, die den Fehlerterm bei LWE-Instanzen vollständig ausschöpfen, um den Nachrichtendurchsatz signifikant zu erhöhen. Zu diesem Zweck führen wir ein neues Berechnungsproblem ein, das wir als Augmented LWE (A-LWE) bezeichnen und das sich vom ursprünglichen LWE-Problem nur in der Weise unterscheidet, wie der Fehlerterm erzeugt wird. In der Tat können beliebige Daten in den Fehlerterm eingebettet werden, ohne die Zielverteilungen zu verändern. Im Anschluss daran erfolgt ein Beweis, dass A-LWE-Instanzen ununterscheidbar von LWE-Instanzen sind und demnach auf der Schwierigkeit des LWE-Problems beruhen. Dies erlaubt es, leistungsstarke Verschlüsselungsverfahren auf Grundlage des A-LWE-Problems zu konstruieren, die einfach in der Darstellung und effizient in der Praxis sind, während gleichzeitig große Datenmengen verschlüsselt werden können, sodass Nachrichten-Expansionsfaktoren nahe 1 praktisch erreicht werden. Dies verbessert unseres Wissens nach alle bestehenden Verschlüsselungsverfahren. Aufgrund der Vielseitigkeit des Fehlerterms können weitere Zusatzeigenschaften hinzugefügt werden wie etwa CCA- bzw. RCCA-Sicherheit. Aber auch gitterbasierte Signaturen können als Teil des Fehlerterms fungieren und erweitern somit das Verschlüsselungsverfahren um einen weiteren Mechanismus, der die Authentifikation von verschlüsselten Daten auf einfache Weise realisiert. Die Methodik zur Erzeugung des Fehlerterms bei A-LWE-Instanzen hat ebenfalls einen konzeptuell neuen und effizienten Diskret-Gauß-Sampler hervorgebracht, der die bekanntesten Verfahren, wie z.B. Knuth-Yao oder den CDT-Sampler auf Basis der Inversionsmethode, in Bezug auf die Leistungsfähigkeit übertrifft. Zur Laufzeit wird ein Wert von einer Tabelle der konstanten Größe von maximal 44 Elementen für beliebige Gauß-Parameter gesampelt. Der Gesamtspeicherbedarf beläuft sich auf die Größe der Tabelle beim bekannten CDT-Sampler. Weitere Ergebnisse beinhalten einen sehr effizienten Inversionsalgorithmus für Ringelemente in speziellen Klassen von Kreisteilungsringen. Durch die Verwendung der NTT ist es möglich, die Existenz von Inversen zu gegebenen Ringelementen effizient zu überprüfen und zu bestimmen. Eine Darstellung der entsprechenden Einheitengruppe lässt sich auf diese Weise unkompliziert und anschaulich ermitteln. Außerdem verallgemeinern wir den LWE-Inversionsalgorithmus für die Falltürkonstruktion von Micciancio und Peikert von Zweierpotenz-Moduli auf beliebig zusammengesetzte Zahlen.
Im zweiten Teil dieser Arbeit präsentieren wir eine effiziente Falltürkonstruktion für Ideal-Gitter und eine zugehörige Beschreibung des GPV-Signaturverfahrens. Durch eine verbesserte Darstellung der assoziierten Fehlermatrix kann der Signiervorgang im Vergleich zur ursprünglichen Arbeit erheblich vereinfacht werden. Dies wirkt sich unmittelbar durch eine stark optimierte Speichernutzung und Laufzeit aus. Anschließend schlagen wir einen neuartigen Kompressionsalgorithmus für GPV-Signaturen vor, die bisher als Ergebnis der Falltürkonstruktion bzw. der Anforderungen des Sicherheitsbeweises einen zu hohen Speicherverbrauch aufwiesen. Wir umgehen dieses Problem mit der Einführung des Begriffs der öffentlichen und geheimen Zufälligkeit für Signaturen. Der öffentliche Teil einer Signatur kann demnach von einer kurzen und gleichverteilten Bitfolge erzeugt werden, ohne die vorherigen Bedingungen zu verletzen. Dieses Konzept wird anschließend auf die Situation mit mehreren Teilnehmern erweitert, wodurch sich die Effizienz und der Wirkungsgrad des Kompressionsverfahrens erhöht. Schließlich schlagen wir das erste gitterbasierte und sequenzielle Aggregationsverfahren für Signaturen vor, das einer Gruppe von Teilnehmern ermöglicht, sequenziell eine aggregierte Signatur zu erzeugen, dessen Größe sich im Vergleich zur ursprünglichen Gesamtgröße aller Signaturen sehr stark reduziert hat. Der Prüfer ist jederzeit in der Lage zu verifizieren, dass jeder Teilnehmer eine Nachricht tatsächlich signiert hat. Dieser Ansatz wird mittels gitterbasierter Falltürkonstruktionen realisiert und hat viele Anwendungsbereiche.
Im letzten Teil dieser Arbeit werden theoretische Aspekte von gitterbasierten Problemen behandelt. Es werden neue Repräsentationen bzw. Relationen von interessanten Gitterproblemen vorgestellt, die auf Basis von Cauchy-Integralen hergeleitet werden. Betrachtet man Gitterpunkte als einfache Pole von komplexen Funktionen, so ist es prinzipiell möglich über Cauchy Integrale und ihren Verallgemeinerungen auf Gitterpunkte zu operieren. Beispielsweise lassen sich für den ein- und zweidimensionalen Fall, ebenfalls relevante Szenarien in kryptografischen Anwendungen, einfache Ausdrücke bzw. Formeln für die Anzahl von Gitterpunkten in einem Gebiet via trigonometrischen und elliptischen Funktionen ableiten. | German |