Elliptic Curve Integrated Encryption Scheme

Das Elliptic Curve Integrated Encryption Scheme (ECIES) ist ein hybrides-Verschlüsselungsverfahren, dem elliptischen Kurven zugrunde liegen. Als Hybridverfahren kombiniert es ein asymmetrisches Verfahren, das zum Versenden eines symmetrischen Schlüssels benutzt wird, mit einem symmetrischen Verschlüsselungsverfahren, das mit diesem symmetrischen Schlüssel die Nachricht verschlüsselt. ECIES ist im Random-Oracle-Modell sicher gegen Chosen-Ciphertext-Angriffe.

Einrichtung des Schema

Folgende Hilfsmittel werden benötigt:

• KDF = Key Derivation Function, die eine Kryptographische Hashfunktion ist, mittels der Schlüssel beliebiger Länge erzeugt werden können.
• MAC = Message Authentication Code
• Ein symmetrisches Verschlüsselungsverfahren mit Verschlüsselungsalgorithmus $E$ und Entschlüsselungsalgorithmus $D$

Systemparameter

• ${\mathbb {F}}_{p}$, $p$ Primzahl
• Elliptische Kurve E : $Y^{2}=X^{3}+aX+b$ über dem Körper ${\mathbb {F}}_{p}$
• $P\in E({\mathbb {F} }_{p})$ mit $ord(P)=n$ prim
• $h={\frac {\mid E({\mathbb {F} }_{p})\mid }{n}}$

Schlüsselerzeugung

Ein Teilnehmer $A$ wählt einen geheimen Schlüssel $d_{A}\in \{2,...,n-2\}$ zufällig und berechnt daraus seinen öffentlichen Schlüssel $EK_{A}=d_{A}P$.

Verschlüsselung

Um eine Nachricht $m\in \{0,1\}^{*}$ mit einem öffentlichen Schlüssel $EK_{A}$ zu verschlüsseln, wird eine ElGamal-Verschlüsselung in einer elliptischen Kurve mit einem symmetrischen Verfahren kombiniert.

1. Wähle eine Zufallszahl $k\in \{2,...,n-2\}$
2. Berechne $R=kP$ und $Z=k\cdot EK_{A}$
3. Bestimme die symmetrischen Schlüssel $k_{1}||k_{2}=KDF(Z_{x})$). $Z_{x}$ ist die x-Koordinate von $Z$
4. Berechne $C=E_{k_{1}}(m)$ und $T=MAC_{k_{2}}(C)$
5. Sende $(R,C,T)$

Entschlüsselung

Um ein Chiffrat $(R,C,T)$ mit einem geheimen Schlüssel $d_{A}$ zu entschlüsseln, werden die folgenden Schritte durchgeführt.

1. Berechne $Z=hdR$
2. Bestimme die beiden Schlüssel $k_{1}||k_{2}=KDF(Z_{x})$
3. Prüfe ob $T=MAC_{k_{2}}(C)$ ist
4. Erhalte $m=D_{k_{1}}(C)$

Fazit

ECIES arbeitet korrekt wenn $Z$ korrekt berechnet wird. Da $d_{A}R=k\cdot EK_{A}$ ist, ist dies validiert.

Quellen

• Handbook of Applied Cryptography, [1], Google Books

• Victor Shoup, A proposal for an ISO standard for public key encryption, Version 2.1, December 20, 2001.