Cryptography on kenji.blog

Die Riemannsche Vermutung und die Verteilung der Primzahlen: Die tiefe Verbindung zur modernen Kryptographie

Fri, 11 Sep 2026 16:00:00 +0900

1. Einleitung: Das Geheimnis des Universums der Primzahlen und die Riemannsche Vermutung

“Primzahlen” (Prime Numbers) sind natürliche Zahlen, die nur durch 1 und sich selbst teilbar sind, und werden auch als die “Atome” der Mathematik bezeichnet. Die Folge 2, 3, 5, 7, 11, 13… scheint auf den ersten Blick unordentlich und zufällig aufzutreten. Seit der antike griechische Mathematiker Euklid bewiesen hat, dass “es unendlich viele Primzahlen gibt”, haben unzählige Mathematiker versucht, die verborgenen Gesetzmäßigkeiten in dieser Anordnung von Primzahlen zu entschlüsseln.

Am nächsten an dieses Rätsel der Primzahlen kam die 1859 von dem deutschen Mathematiker Bernhard Riemann aufgestellte “Riemannsche Vermutung” (Riemann Hypothesis) heran. Die Riemannsche Vermutung ist eines der wichtigsten und ungelösten Probleme der modernen Mathematik und als eines der Millennium-Probleme des Clay Mathematics Institute mit einem Preisgeld von einer Million Dollar dotiert.

Auf den ersten Blick mag ein Problem der reinen Mathematik über die Verteilung von Primzahlen nichts mit unserem Alltag zu tun haben. Die Sicherheit des Internets, das die Infrastruktur der modernen Gesellschaft stützt, insbesondere moderne Verschlüsselungstechnologien wie die RSA-Kryptographie und die Elliptische-Kurven-Kryptographie (ECC), hängt jedoch stark von den Eigenschaften riesiger Primzahlen ab.

In diesem Artikel begeben wir uns auf eine mathematische Reise von der Verteilung der Primzahlen über den Primzahlsatz und die Riemannsche Zeta-Funktion bis hin zum Kern der Riemannschen Vermutung. Wir werden extrem detailliert und tiefgreifend erklären, wie all dies mit der modernen Kryptographie verbunden ist und was mit der Welt passieren würde, wenn die Riemannsche Vermutung bewiesen werden sollte.

2. Der Primzahlsatz und die Verteilung der Primzahlen: Die Entdeckung von Gauss

Um zu verstehen, wie Primzahlen verteilt sind, betrachteten Mathematiker die Primzahlzählfunktion (Prime-counting function) $\pi(x)$, die angibt, “wie viele Primzahlen kleiner oder gleich einer bestimmten Zahl $x$ existieren”.

Zum Beispiel:

$\pi(10) = 4$ (2, 3, 5, 7)
$\pi(100) = 25$
$\pi(1000) = 168$

Der 15-jährige geniale Mathematiker Carl Friedrich Gauss berechnete umfangreiche Primzahltabellen und fand heraus, dass die Häufigkeit des Auftretens von Primzahlen umgekehrt proportional zum natürlichen Logarithmus $\ln x$ abnimmt. Das heißt, er vermutete, dass die Wahrscheinlichkeit, eine Primzahl in der Nähe einer bestimmten Zahl $x$ zu finden, etwa $\frac{1}{\ln x}$ beträgt.

Dies wird mit Hilfe eines Integrals als Integrallogarithmus (Logarithmic integral) $\text{Li}(x)$ ausgedrückt:

$$ \text{Li}(x) = \int_{2}^{x} \frac{dt}{\ln t} $$

Die Vermutung von Gauss wurde später 1896 von Jacques Hadamard und Charles-Jean de La Vallée Poussin unabhängig voneinander bewiesen und als Primzahlsatz (Prime Number Theorem, PNT) etabliert.

$$ \lim_{x \to \infty} \frac{\pi(x)}{\text{Li}(x)} = 1 $$

Oder näherungsweise wie folgt ausgedrückt:

$$ \pi(x) \sim \frac{x}{\ln x} $$

Durch diesen Satz wurde klar, dass Primzahlen makroskopisch betrachtet eine sehr glatte und vorhersehbare Verteilung aufweisen. Mikroskopisch betrachtet gibt es jedoch immer einen “Fehler” oder eine “Schwankung” zwischen $\pi(x)$ und $\text{Li}(x)$. Die wahre Natur dieser Schwankung ist das größte Rätsel, das die Riemannsche Vermutung zu lösen versucht.

3. Die Riemannsche Zeta-Funktion und das Euler-Produkt

Die stärkste Waffe bei der Analyse der Verteilung von Primzahlen ist die Riemannsche Zeta-Funktion (Riemann Zeta Function). Ursprünglich war es eine unendliche Reihe, die von Leonhard Euler für reelle Zahlen $s > 1$ definiert wurde.

$$ \zeta(s) = \sum_{n=1}^\infty \frac{1}{n^s} = 1 + \frac{1}{2^s} + \frac{1}{3^s} + \frac{1}{4^s} + \dots $$

Eine der größten Errungenschaften Eulers war der Beweis, dass diese unendliche Reihe als unendliches Produkt über alle Primzahlen $p$ dargestellt werden kann. Dies ist das Euler-Produkt (Euler Product Formula).

$$ \zeta(s) = \prod_{p \text{ prime}} \frac{1}{1 - p^{-s}} = \left( \frac{1}{1 - 2^{-s}} \right) \left( \frac{1}{1 - 3^{-s}} \right) \left( \frac{1}{1 - 5^{-s}} \right) \dots $$

Ein intuitives Verständnis des Beweises ist, dass wenn man jeden Term auf der rechten Seite als geometrische Reihe entwickelt und diese miteinander multipliziert, aufgrund des Fundamentalsatzes der Arithmetik (jede natürliche Zahl kann eindeutig als Produkt von Primzahlen dargestellt werden) die Summe der Kehrwerte der natürlichen Zahlen auf der linken Seite vollständig rekonstruiert wird.

Diese einzige Formel wurde zur Brücke zwischen der Analysis (unendliche Reihen, stetige Funktionen) und der Zahlentheorie (Primzahlen, diskrete Zahlen). Die Untersuchung der Zeta-Funktion ist gleichbedeutend mit der Untersuchung der Verteilung der Primzahlen.

4. Analytische Fortsetzung und die Erweiterung auf die komplexe Zahlenebene

Riemanns Genialität lag darin, dass er die Variable $s$ von $\zeta(s)$, die Euler nur für reelle Zahlen betrachtete, auf komplexe Zahlen $s = \sigma + it$ ($\sigma$ ist der Realteil, $t$ ist der Imaginärteil) erweiterte.

Die ursprüngliche unendliche Reihe konvergiert nur für $\sigma > 1$, aber Riemann nutzte eine Methode namens “analytische Fortsetzung (Analytic Continuation)”, um die Definition so zu erweitern, dass $\zeta(s)$ auf der gesamten komplexen Zahlenebene, mit Ausnahme des Pols bei $s = 1$, sinnvoll ist.

Er leitete außerdem eine wunderschöne Funktionalgleichung (Functional equation) ab, die die Zeta-Funktion erfüllt.

$$ \zeta(s) = 2^s \pi^{s-1} \sin\left(\frac{\pi s}{2}\right) \Gamma(1-s) \zeta(1-s) $$

Hierbei ist $\Gamma(x)$ die Gamma-Funktion. Durch diese Gleichung können wir die Eigenschaften der linken Halbebene aus den Eigenschaften der rechten Halbebene ableiten.

Nullstellen (Zeros of the Zeta Function)

Komplexe Zahlen $s$, für die der Wert der Zeta-Funktion 0 wird, nennt man “Nullstellen”. Aus der Funktionalgleichung ergibt sich, dass für negative gerade Zahlen $s$ ($-2, -4, -6, \dots$) $\sin(\pi s / 2)$ zu 0 wird, also $\zeta(s) = 0$. Diese werden triviale Nullstellen (Trivial zeros) genannt.

Was jedoch für die Verteilung der Primzahlen wichtig ist, sind die anderen Nullstellen, nämlich die nicht-trivialen Nullstellen (Non-trivial zeros), die im “kritischen Streifen (Critical strip)” von $0 \le \sigma \le 1$ liegen.

5. Der Kern der Riemannschen Vermutung und die explizite Formel

Riemann berechnete eine kleine Anzahl von Nullstellen und stellte eine erstaunliche Vermutung auf. Dies ist die Riemannsche Vermutung.

Riemannsche Vermutung (Riemann Hypothesis) Alle nicht-trivialen Nullstellen der Riemannschen Zeta-Funktion $\zeta(s)$ liegen auf der Geraden, deren Realteil $1/2$ ist ($\text{Re}(s) = 1/2$).

Diese Gerade, deren Realteil 1/2 ist, wird als “kritische Gerade (Critical line)” bezeichnet.

graph TD A["Riemannsche Zeta-Funktion ζ(s)"] --> B["Erweiterung auf die komplexe Ebene durch analytische Fortsetzung"] B --> C["Triviale Nullstellen (s = -2, -4, -6 ...)"] B --> D["Nicht-triviale Nullstellen (0 <= Re(s) <= 1)"] D --> E["Riemannsche Vermutung"] E --> F["Alle nicht-trivialen Nullstellen liegen auf Re(s) = 1/2"] F --> G["Zum Beweis des Grenzwerts des Fehlerterms in der Primzahlverteilung"]

Warum ist die Riemannsche Vermutung so wichtig? Weil die Nullstellen der Zeta-Funktion die Verteilung der Primzahlen vollständig bestimmen.

Riemann und der spätere Mathematiker von Mangoldt leiteten eine “explizite Formel (Explicit formula)” ab, die die Verteilung der Primzahlen genau beschreibt. Unter Verwendung der Tschebyschow-Funktion $\psi(x)$ lässt sie sich wie folgt ausdrücken:

$$ \psi(x) = x - \sum_{\rho} \frac{x^\rho}{\rho} - \ln(2\pi) - \frac{1}{2}\ln(1 - x^{-2}) $$

Hierbei ist $\rho$ die Summe über alle nicht-trivialen Nullstellen der Zeta-Funktion. Der Hauptterm ist $x$ (der dem Primzahlsatz entspricht), und durch Addition und Subtraktion von wellenartigen Termen, die von den Nullstellen $\rho$ abhängen, wird die genaue treppenförmige Verteilung der Primzahlen wiederhergestellt. Man kann sagen, dass die nicht-trivialen Nullstellen die “Frequenzen (Wellen)” der Primzahlverteilung darstellen.

Wenn die Riemannsche Vermutung wahr ist und der Realteil aller nicht-trivialen Nullstellen $\rho$ genau $1/2$ beträgt, dann wird der Fehlerterm des Primzahlsatzes theoretisch auf den kleinstmöglichen Bereich beschränkt sein.

$$ |\pi(x) - \text{Li}(x)| \le \frac{1}{8\pi} \sqrt{x} \ln x \quad \text{for} \quad x \ge 2657 $$

Das bedeutet: Wenn die Riemannsche Vermutung wahr ist, wird bewiesen sein, dass Primzahlen auf die “regelmäßigste und schönste” Weise verteilt sind, die wir uns vorstellen können.

6. Die untrennbare Beziehung zwischen der modernen Kryptographie und Primzahlen

Bisher befanden wir uns in der Welt der tiefgründigen reinen Mathematik, aber diese Eigenschaften von Primzahlen stützen die moderne digitale Gesellschaft grundlegend. Der repräsentativste Vertreter dafür ist die Public-Key-Kryptographie wie die RSA-Kryptographie.

Die Sicherheit jeglicher Kommunikation, von Kreditkartenzahlungen im Internet über das Senden von Passwörtern bis hin zu digitalen Signaturen der Blockchain, hängt von “Primzahlen” ab.

Funktionsweise der RSA-Kryptographie

Die Sicherheit der RSA-Kryptographie beruht auf der mathematischen Tatsache, dass “die Primfaktorzerlegung großer zusammengesetzter Zahlen sehr schwierig ist” (Primfaktorzerlegungsproblem).

Schlüsselerzeugung (Key generation): Zwei riesige Primzahlen $p$ und $q$ (z.B. jeweils 2048 Bit) werden zufällig ausgewählt. Sie werden miteinander multipliziert, um $N = p \times q$ zu berechnen. Dieses $N$ wird Teil des öffentlichen Schlüssels. Unter Verwendung der Eulerschen Phi-Funktion $\phi(N) = (p-1)(q-1)$ wird der private Schlüssel $d$ generiert.
$$ e \times d \equiv 1 \pmod{\phi(N)} $$
Verschlüsselung und Entschlüsselung: Der Klartext $M$ wird mit dem öffentlichen Schlüssel $e, N$ in einen Geheimtext $C$ umgewandelt.
$$ C \equiv M^e \pmod{N} $$
Nur derjenige mit dem privaten Schlüssel $d$ kann ihn entschlüsseln.
$$ M \equiv C^d \pmod{N} $$

graph LR A["Klartext (Plaintext)"] --> B["Verschlüsselung mit öffentlichem Schlüssel (e, N)"] B --> C["Geheimtext (Ciphertext)"] C --> D["Entschlüsselung mit privatem Schlüssel (d)"] D --> E["Ursprünglicher Klartext"] F["Angreifer (Attacker)"] -- "Versucht die Primfaktorzerlegung von N" --> C F -.-> G["Ohne p und q ist d unberechenbar"]

Um die RSA-Kryptographie zu brechen, müssen aus dem riesigen $N$ die ursprünglichen Primzahlen $p$ und $q$ gefunden werden (Primfaktorzerlegung). Es wird geschätzt, dass selbst mit Supercomputern und der Verwendung derzeit gängiger Algorithmen (wie dem Zahlkörpersieb: GNFS) die Primfaktorzerlegung von Zahlen mit hunderten von Ziffern weitaus länger dauern würde als das Alter des Universums.

7. Die Auswirkungen der Riemannschen Vermutung auf die Kryptographie

Wie kreuzen sich also die “Riemannsche Vermutung”, der Gipfel der reinen Mathematik, und die “Kryptographie”?

7.1. Primzahlengenerierungsalgorithmen (Primzahltest) und die Erweiterte Riemannsche Vermutung (GRH)

Um die RSA-Kryptographie zu betreiben, müssen zuerst die riesigen Primzahlen $p$ und $q$ generiert werden. Es ist jedoch nicht einfach, zuverlässig und schnell zu bestimmen, “ob eine bestimmte Zahl eine Primzahl ist”.

Gegenwärtig wird in der Praxis der Miller-Rabin-Primzahltest (Miller-Rabin primality test), ein probabilistischer Algorithmus, verwendet. Dieser Algorithmus ist schnell, birgt jedoch das Risiko von “Pseudoprimzahlen”, d.h., dass eine zusammengesetzte Zahl mit extrem geringer Wahrscheinlichkeit fälschlicherweise als Primzahl identifiziert wird.

Wenn wir jedoch annehmen, dass die “Erweiterte Riemannsche Vermutung” (Generalized Riemann Hypothesis, GRH), die die Riemannsche Vermutung auf die Dirichletschen L-Funktionen erweitert, wahr ist, ändert sich die Situation dramatisch. Wenn GRH wahr ist, wird eine obere Schranke für die Anzahl der Tests im Miller-Rabin-Verfahren mathematisch garantiert, und der probabilistische Algorithmus wird zu einem “deterministischen Polynomialzeitalgorithmus” sublimiert (dies war eine wichtige Tatsache, die bereits vor der Entdeckung des AKS-Primzahltests bekannt war).

Das heißt, die Riemannsche Vermutung (und ihre Erweiterung) spielt die Rolle einer direkten Garantie für die Generierung der Grundlage der Kryptographie: “Können riesige Primzahlen mit absoluter Zuverlässigkeit und hoher Geschwindigkeit generiert werden?”.

7.2. Beziehung zu Primfaktorzerlegungsalgorithmen

Bei der Bewertung der Komplexität von Algorithmen zur Entschlüsselung (wie dem Zahlkörpersieb) ist das Wissen über die Verteilung von Primzahlen ebenfalls unerlässlich. Viele Primfaktorzerlegungsalgorithmen basieren auf der Verteilung “glatter Zahlen (Smooth numbers: Zahlen, die nur kleine Primfaktoren haben)”.

Um genau beurteilen zu können, wie oft glatte Zahlen auftreten, ist ein tiefes Verständnis der Primzahlverteilung erforderlich, und auch hier kommen Techniken der analytischen Zahlentheorie zum Einsatz, die direkt mit der Zeta-Funktion und der Riemannschen Vermutung verbunden sind. Wenn die Riemannsche Vermutung bewiesen ist und der Fehler in der Primzahlverteilung vollständig bestimmt ist, wird es möglich sein, die Leistungsgrenzen von Primfaktorzerlegungsalgorithmen genauer zu bestimmen.

8. Wenn die Riemannsche Vermutung bewiesen wird, wird die Kryptographie gebrochen?

Wie eine urbane Legende wird oft erzählt: “Wenn die Riemannsche Vermutung gelöst ist, wird die RSA-Kryptographie in einem Augenblick zusammenbrechen”, aber das ist mathematisch inkorrekt.

Der Beweis der Riemannschen Vermutung selbst wird nicht sofort einen magischen Algorithmus hervorbringen, der die Primfaktorzerlegung drastisch beschleunigt. Die Riemannsche Vermutung ist nur ein Theorem über die “makroskopische Regelmäßigkeit der Verteilung” von Primzahlen und sagt uns nicht direkt, durch welche Primzahlen eine bestimmte Zahl $N$ teilbar ist (lokale Eigenschaften).

Die Auswirkungen sind jedoch nicht null. Es ist extrem wahrscheinlich, dass während des Prozesses des Beweises der Riemannschen Vermutung “neue mathematische Werkzeuge” oder “unbekannte Analysemethoden” entdeckt werden. Die Geschichte zeigt, dass bei Beweisen wie dem Großen Fermatschen Satz oder der Poincaré-Vermutung neue Theorien entwickelt wurden, die die gesamte Mathematik maßgeblich vorangebracht haben.

Sollten unbekannte Methoden der algebraischen Geometrie oder der nichtkommutativen Geometrie etabliert werden, die die Eigenschaften der Nullstellen der Riemannschen Zeta-Funktion vollständig manipulieren können, lässt sich nicht leugnen, dass dies zur Entdeckung eines bahnbrechenden Algorithmus zur Primfaktorzerlegung führen könnte (z.B. ein klassischer Algorithmus, der die Komplexität auf Polynomzeit reduziert). In diesem Sinne können Kryptographen ihre Augen niemals von den Entwicklungen rund um die Riemannsche Vermutung abwenden.

Quantencomputer und Shors Algorithmus

Eine direktere und realistischere Bedrohung für die Kryptographie ist nicht der Beweis der Riemannschen Vermutung, sondern Quantencomputer. Der 1994 von Peter Shor veröffentlichte “Shor-Algorithmus” bewies, dass ein Quantencomputer mit ausreichender Leistung die Primfaktorzerlegung in Polynomzeit lösen kann. Dies würde die RSA-Kryptographie und die Elliptische-Kurven-Kryptographie grundlegend brechen.

Derzeit wird weltweit der Übergang zur “Post-Quanten-Kryptographie (Post-Quantum Cryptography, PQC)” (wie gitterbasierte Kryptographie) vorangetrieben, die selbst von Quantencomputern nicht geknackt werden kann. Die von Primzahlen abhängige Kryptographie könnte in gewissem Sinne ihr goldenes Zeitalter beenden, aber der mathematische Wert der Primzahlen selbst wird niemals verloren gehen.

9. Fazit: Die Kreuzung von mathematischer Abstraktion und der realen Gesellschaft

graph TD A["Erforschung der reinen Mathematik"] --> B["Aufklärung der Riemannschen Vermutung"] B --> C["Vollständiges Verständnis der Primzahlverteilung"] C --> D["Sprunghafte Entwicklung der Zahlentheorie und algebraischen Geometrie"] D -.-> E["Möglichkeit neuer Primfaktorzerlegungsalgorithmen"] E -.-> F["Aktualisierung der Sicherheitsbewertung von Kryptographie"] A --> G["Angewandte Mathematik / Informatik"] G --> H["Effizienzsteigerung bei Primzahltests und Schlüsselgenerierung"] H --> F

Die unersättliche Suche nach Primzahlen, die in der griechischen Antike begann, wurde von dem Genie Riemann in eine wunderschöne Sinfonie (die Nullstellen der Zeta-Funktion) auf der komplexen Ebene sublimiert. Erstaunlicherweise wird dieser reine Kristall der Mathematik Jahrhunderte später als der stärkste Schild zum Schutz der Sicherheit der Internetgesellschaft angewendet.

Die Riemannsche Vermutung ist eine Existenz, die gleichzeitig die “abstrakte Schönheit” der Mathematik und ihre “erstaunliche Anwendbarkeit in der physischen Welt und der realen Gesellschaft” symbolisiert.

Wenn dieser riesige mathematische Berg, dessen Gipfel noch niemand erreicht hat, eines Tages bezwungen wird, werden wir die Wahrheit des Universums der Primzahlen vollständig verstehen und eine neue Perspektive auf die Grundlagen der Informationsgesellschaft gewinnen. Das Studium der Kryptographie ist auch eine Reise, die die Geschichte der menschlichen Weisheit nachzeichnet.

Die Geschichte der Kryptographie: Von der Caesar-Chiffre bis zur Post-Quanten-Kryptographie (PQC)

Fri, 11 Sep 2026 15:00:00 +0900

1. Einführung: Was ist Kryptographie?

Die Kryptographie (Kryptographie) ist die Technologie zur Wahrung der Geheimhaltung von Informationen und hat sich zusammen mit der Geschichte der Menschheit entwickelt. Von der Übermittlung geheimer Befehle in antiken Kriegen bis zum Schutz von Kreditkarteninformationen im modernen Internet ist der Zweck der Kryptographie konsistent geblieben. Er besteht darin, sicherzustellen, “dass nur der beabsichtigte Empfänger die Informationen verstehen kann und sie für Dritte nicht entschlüsselbar sind”.

In der modernen Informationssicherheit spielt die Kryptographie nicht nur eine wichtige Rolle bei der “Geheimhaltung (Vertraulichkeit: Confidentiality)” von Informationen, sondern auch bei der “Integrität (Integrity)”, “Authentifizierung (Authentication)” und der “Nichtabstreitbarkeit (Non-repudiation)” von Daten.

In diesem Artikel werden wir die Geschichte der Entwicklung der Kryptographie aus einer technischen und mathematischen Perspektive detailliert entwirren, beginnend mit einfachen Substitutionschiffren der Antike über mechanische Chiffren, moderne symmetrische und asymmetrische Kryptographie bis hin zur Ära der “Post-Quanten-Kryptographie (PQC)”, die mit der praktischen Anwendung von Quantencomputern anbrechen wird.

2. Die Ära der klassischen Kryptographie: Buchstaben ersetzen und umstellen

Die Ursprünge der Kryptographie reichen bis vor die christliche Zeitrechnung zurück. Frühe Chiffren bestanden hauptsächlich aus zwei Ansätzen: “Transposition (Umstellung)” und “Substitution (Ersetzung)”.

Die Skytale-Chiffre (Transpositionschiffre)

Die im antiken griechischen Sparta im 5. Jahrhundert v. Chr. verwendete “Skytale (Scytale)” ist eines der ältesten kryptographischen Instrumente. Ein langer, schmaler Streifen Pergament wird um einen Holzstab einer bestimmten Dicke gewickelt und eine Nachricht wird horizontal darauf geschrieben. Wenn das Pergament abgewickelt wird, sind die Buchstaben in einer bedeutungslosen Reihenfolge angeordnet, aber ein Empfänger mit einem Stab derselben Dicke kann das Pergament erneut darumwickeln, um die ursprüngliche Nachricht zu lesen.

Die Caesar-Chiffre (Monoalphabetische Substitutionschiffre)

Es wird gesagt, dass Julius Caesar (Caesar), ein Held des antiken Roms im 1. Jahrhundert v. Chr., die “Caesar-Chiffre” verwendete. Dies ist eine monoalphabetische Substitutionschiffre (Monoalphabetic substitution), bei der das Alphabet um eine bestimmte Anzahl (normalerweise 3 Buchstaben) verschoben wird.

Mathematisch gesehen, wenn wir Buchstaben als Zahlen von $0$ bis $25$ behandeln und die Verschiebung als $K$ bezeichnen, wird die Umwandlung von Klartext $P$ zu Chiffretext $C$ durch folgende Kongruenzgleichung ausgedrückt:

$$C \equiv P + K \pmod{26}$$

Die Entschlüsselung führt die umgekehrte Operation durch:

$$P \equiv C - K \pmod{26}$$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Einfaches Python-Implementierungsbeispiel für die Caesar-Chiffre
def caesar_cipher(text, shift, mode="encrypt"):
 result = ""
 if mode == "decrypt":
 shift = -shift

 for char in text:
 if char.isalpha():
 base = ord('A') if char.isupper() else ord('a')
 # Verschiebungsberechnung
 result += chr((ord(char) - base + shift) % 26 + base)
 else:
 result += char
 return result

# Ausführungsbeispiel
plaintext = "HELLO WORLD"
ciphertext = caesar_cipher(plaintext, 3, "encrypt")
print(f"Chiffretext: {ciphertext}") # KHOOR ZRUOG

Häufigkeitsanalyse und Vigenère-Chiffre

Monoalphabetische Substitutionschiffren wurden durch die “Häufigkeitsanalyse (Frequency Analysis)”, die vom arabischen Gelehrten Al-Kindi im 9. Jahrhundert entwickelt wurde, leicht entschlüsselbar. Dies nutzt die statistischen Eigenschaften der Sprache, wie etwa die Häufigkeit von “E” oder “T” im Englischen.

Um dem entgegenzuwirken, wurde im 16. Jahrhundert die “Vigenère-Chiffre (Vigenère cipher)” entwickelt. Dies ist eine polyalphabetische Substitutionschiffre (Polyalphabetic substitution), die regelmäßig zwischen mehreren Verschiebungen (Schlüsseln) wechselt und etwa 300 Jahre lang als “die unknackbare Chiffre (Le Chiffre Indéchiffrable)” bekannt war.

Mathematisch wird sie verschlüsselt, indem der $i$-te Buchstabe des Klartextes $P_i$ und der $i$-te Buchstabe des sich wiederholenden Schlüssels $K_i$ wie folgt verwendet werden:

$$C_i \equiv P_i + K_i \pmod{26}$$

Diese Chiffre wurde auch im 19. Jahrhundert von Charles Babbage und Friedrich Kasiski geknackt, indem sie den “Kasiski-Test (Kasiski examination)” entdeckten, der die Schlüssellänge aus sich wiederholenden Mustern im Chiffretext ermittelt.

graph TD subgraph "Klassifizierung der klassischen Kryptographie" A["Klassische Kryptographie"] --> B["Transpositionschiffre"] A --> C["Substitutionschiffre"] B --> D["Skytale-Chiffre"] C --> E["Monoalphabetische Substitution"] C --> F["Polyalphabetische Substitution"] E --> G["Caesar-Chiffre"] F --> H["Vigenère-Chiffre"] end

3. Mechanische Chiffren und Weltkriege: Enigma und ihre Entschlüsselung

Zu Beginn des 20. Jahrhunderts verlagerte sich die Kommunikation von Briefen auf Telegrafen und Funk, was Schnelligkeit und Komplexität bei der Verschlüsselung erforderte. Hier traten die “mechanischen Chiffren” auf, die Rotoren (Drehscheiben) kombinierten.

Die Bedrohung der Enigma (Enigma)

Die von Nazi-Deutschland im Zweiten Weltkrieg eingesetzte “Enigma” ist die berühmteste Chiffriermaschine in der Geschichte der Kryptographie. Die Enigma bestand aus mehreren Rotoren (normalerweise 3 bis 4), einem Steckerbrett zur Vertauschung von Buchstabenverdrahtungen und einem Reflektor (Umkehrwalze).

Da sich die Rotoren jedes Mal drehten, wenn ein Buchstabe auf der Tastatur getippt wurde, erzeugte selbst das wiederholte Tippen desselben Buchstabens unterschiedliche Chiffretextzeichen (das Extrem der polyalphabetischen Chiffre). Der Schlüsselraum (die Kombination von Einstellungen) betrug etwa $1.58 \times 10^{19}$ Möglichkeiten (etwa 15,8 Trillionen), und ein Brute-Force-Angriff galt mit der damaligen Technologie als unmöglich.

Alan Turing und die “Bombe (Bombe)”

Das Team zur Entschlüsselung von Codes in Bletchley Park in Großbritannien, das auf den frühen Arbeiten des polnischen Mathematikers Marian Rejewski und anderer aufbaute, nahm die Herausforderung dieser uneinnehmbaren Enigma an.

Insbesondere Alan Turing entwickelte eine elektromechanische Entschlüsselungsmaschine namens “Bombe”, die Vermutungen über den Klartext (Crib) nutzte, die Teilen des Chiffretextes entsprachen. Die Bombe erkannte schnell logische Widersprüche, schloss unmögliche Rotoreinstellungen eine nach der anderen aus und entschlüsselte erfolgreich die Enigma. Man sagt, dass diese bemerkenswerte Leistung den Sieg der Alliierten um mehrere Jahre beschleunigte.

4. Der Beginn der modernen Kryptographie: Symmetrische Kryptographie (DES und AES)

Nach dem Krieg, mit dem Aufkommen von Computern, erfuhr die Kryptographie einen dramatischen Paradigmenwechsel von der Manipulation von “Buchstaben” zur Manipulation von “Bits (0 und 1)”.

Claude Shannon und die Informationstheorie

Im Jahr 1949 veröffentlichte Claude Shannon seine Arbeit “Communication Theory of Secrecy Systems” und legte damit das mathematische Fundament für die moderne Kryptographie. Er schlug “Konfusion (Confusion)” und “Diffusion (Diffusion)” als Prinzipien für ein sicheres kryptographisches Design vor.

Konfusion (Confusion): Die Beziehung zwischen Schlüssel und Chiffretext so komplex wie möglich gestalten. (Erreicht durch Substitution/S-Boxen)
Diffusion (Diffusion): Sicherstellen, dass die Änderung eines einzelnen Bits im Klartext viele Bits im Chiffretext beeinflusst. (Erreicht durch Transposition/Permutation)

DES (Data Encryption Standard)

Im Jahr 1977 etablierte das National Institute of Standards and Technology (NIST, damals NBS) der USA “DES”, das auf einem IBM-Design basierte, als Standardverschlüsselung. DES verwendet eine Architektur, die “Feistel-Netzwerk (Feistel Network)” genannt wird, mit einer Blocklänge von 64 Bit und einer Schlüssellänge von 56 Bit. Es hatte den Implementierungsvorteil, dass die Ver- und Entschlüsselungsalgorithmen fast die gleiche Struktur besaßen.

Jedoch wurde mit der Verbesserung der Rechenleistung von Computern klar, dass eine Schlüssellänge von 56 Bit (etwa $7.2 \times 10^{16}$ Möglichkeiten) unzureichend war. 1998 entwickelte die Electronic Frontier Foundation (EFF) eine spezielle Maschine namens “Deep Crack” und demonstrierte, dass DES innerhalb weniger Tage geknackt werden konnte.

AES (Advanced Encryption Standard)

Als Ersatz für DES wurde im Jahr 2001 “AES” als neuer Standard etabliert. Der durch einen offenen Wettbewerb ausgewählte “Rijndael”-Algorithmus, der von belgischen Kryptographen entwickelt wurde, wurde übernommen.

AES verwendet nicht das Feistel-Netzwerk, sondern ein “SPN-Netzwerk (Substitution-Permutation Network)” und nutzt mathematische Operationen über dem Galois-Körper (endlichen Körper) $GF(2^8)$. Die Schlüssellängen können zwischen 128, 192 oder 256 Bits gewählt werden, und es wird heute weltweit noch immer als symmetrische Standardverschlüsselung eingesetzt.

graph TD subgraph "1 Runde AES-Verarbeitung (SPN-Struktur)" A["Eingabestatus (128-bit)"] --> B("SubBytes (Byte-Substitution / S-Box)") B --> C("ShiftRows (Zeilenverschiebung)") C --> D("MixColumns (Spaltenmischung / Multiplikation in GF(2^8))") D --> E("AddRoundKey (XOR mit dem Rundenschlüssel)") E --> F["Zur nächsten Runde"] end

5. Die Revolution der Public-Key-Kryptographie: Von Diffie-Hellman zu RSA

Die symmetrische Kryptographie hatte eine entscheidende Schwachstelle. Das war das “Schlüsselverteilungsproblem (Key Distribution Problem)”. Es war das Problem, wie ein “gemeinsamer Schlüssel” sicher mit einer weit entfernten Partei geteilt werden konnte, bevor die verschlüsselte Kommunikation begann. Dieses Problem wurde durch die “Public-Key-Kryptographie” gelöst, die in den 1970er Jahren geboren wurde.

Diffie-Hellman-Schlüsselaustausch

1976 veröffentlichten Whitfield Diffie und Martin Hellman ein bahnbrechendes Papier mit dem Titel “New Directions in Cryptography”. Sie schlugen eine Methode vor, um Schlüssel auch über einen abgehörten Kommunikationsweg sicher zu teilen, indem sie die mathematische Schwierigkeit des “diskreten Logarithmusproblems (Discrete Logarithm Problem)” ausnutzten.

Eine große Primzahl $p$ und ein Erzeuger $g$ werden veröffentlicht.
Alice wählt einen geheimen Wert $a$ und sendet $A = g^a \pmod{p}$ an Bob.
Bob wählt einen geheimen Wert $b$ und sendet $B = g^b \pmod{p}$ an Alice.
Alice berechnet $K = B^a \pmod{p}$ und Bob berechnet $K = A^b \pmod{p}$.
Durch die Potenzgesetze wird $K = (g^b)^a = (g^a)^b = g^{ab} \pmod{p}$, und sie können wunderbar denselben Schlüssel $K$ teilen.

RSA-Kryptographie

Im folgenden Jahr, 1977, wurde die “RSA-Kryptographie” von Ron Rivest, Adi Shamir und Leonard Adleman entwickelt. Sie basiert auf der Eigenschaft, dass “die Primfaktorzerlegung einer riesigen zusammengesetzten Zahl schwierig ist”.

Mathematischer Mechanismus von RSA:

Wähle zwei riesige Primzahlen $p$ und $q$ und berechne $n = p \times q$.
Berechne Eulers Totient-Funktion $\phi(n) = (p-1)(q-1)$.
Wähle eine ganze Zahl $e$ (öffentlicher Schlüssel), die teilerfremd zu $\phi(n)$ ist.
Berechne eine ganze Zahl $d$ (privater Schlüssel), so dass $e \times d \equiv 1 \pmod{\phi(n)}$ gilt.

Verschlüsselung: Für den Klartext $M$, $C \equiv M^e \pmod{n}$ Entschlüsselung: Für den Chiffretext $C$, $M \equiv C^d \pmod{n}$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


# Python-Code zur Veranschaulichung des RSA-Konzepts (nicht für den praktischen Einsatz)
def ext_euclid(a, b):
 # Berechnung des modularen Inversen durch den erweiterten euklidischen Algorithmus
 if b == 0: return 1, 0, a
 x, y, g = ext_euclid(b, a % b)
 return y, x - (a // b) * y, g

def rsa_example():
 # Beispiel mit kleinen Primzahlen
 p, q = 61, 53
 n = p * q
 phi = (p - 1) * (q - 1)

 e = 17 # Wert teilerfremd zu phi
 d, _, _ = ext_euclid(e, phi)
 if d < 0: d += phi

 print(f"Öffentlicher Schlüssel: (e={e}, n={n})")
 print(f"Privater Schlüssel: (d={d}, n={n})")

 # Verschlüsselung und Entschlüsselung der Nachricht
 message = 65
 ciphertext = pow(message, e, n)
 decrypted = pow(ciphertext, d, n)

 print(f"Klartext: {message} -> Chiffretext: {ciphertext} -> Entschlüsselt: {decrypted}")

rsa_example()

6. Der Aufstieg der elliptischen Kurvenkryptographie (ECC)

Die RSA-Kryptographie ist mächtig, aber mit der Verbesserung der Computerleistung wurde es notwendig, die Schlüssellängen zu verlängern, um die Sicherheit aufrechtzuerhalten (derzeit 2048 Bit oder 3072 Bit), was zu dem Problem erhöhter Rechenkosten führte.

Daher wurde 1985 die “Elliptische Kurvenkryptographie (Elliptic Curve Cryptography: ECC)” vorgeschlagen. Sie nutzt die Addition von Punkten auf einer elliptischen Kurve über einem endlichen Körper (im Allgemeinen in der Form $y^2 = x^3 + ax + b$).

Es ist bekannt, dass das Problem des diskreten Logarithmus auf elliptischen Kurven (ECDLP) noch schwerer zu lösen ist als das Primfaktorzerlegungsproblem, und ECC kann dieselbe Sicherheit wie RSA mit 3072 Bit mit einer Schlüssellänge von nur 256 Bit erreichen. Dies ermöglichte eine schnelle und sichere kryptographische Kommunikation (wie ECDSA und ECDH) auch in Umgebungen mit begrenzten Rechenressourcen, wie Smartphones und IoT-Geräten.

7. Die Bedrohung durch Quantencomputer und Post-Quanten-Kryptographie (PQC)

Die Kryptographie schien unerschütterlich, bis Peter Shor 1994 “Shors Algorithmus” veröffentlichte, was einen gewaltigen Schock auslöste.

Quantencomputer führen Berechnungen durch, indem sie die quantenmechanischen Eigenschaften der “Superposition” und der “Quantenverschränkung” ausnutzen. Wenn Shors Algorithmus auf einem ausreichend leistungsstarken Quantencomputer ausgeführt wird, wurde mathematisch bewiesen, dass das Primfaktorzerlegungsproblem und das diskrete Logarithmusproblem in “polynomieller Zeit” gelöst werden können. Das bedeutet, dass an dem Tag, an dem ein praktischer Quantencomputer fertiggestellt wird (Q-Day), alle derzeit verwendeten Public-Key-Kryptographien wie RSA und ECC sofort zusammenbrechen werden.

Die Entstehung von PQC (Post-Quantum Cryptography)

Um sich auf diese beispiellose Bedrohung vorzubereiten, schreitet die Forschung an “Post-Quanten-Kryptographie (PQC)” in schnellem Tempo voran, basierend auf neuen mathematischen Problemen, die selbst für Quantencomputer schwer zu lösen sind. Das NIST (National Institute of Standards and Technology der USA) führt seit vielen Jahren einen PQC-Standardisierungsprozess durch, bei dem hauptsächlich die folgenden mathematischen Ansätze als vielversprechend angesehen werden.

1. Gitterbasierte Kryptographie (Lattice-based Cryptography)

Dies ist derzeit der vielversprechendste Ansatz und wurde in den Standardisierungsalgorithmen von NIST (ML-KEM / Kyber, ML-DSA / Dilithium) übernommen. Es basiert auf der Schwierigkeit, bestimmte Punkte auf einem “Gitter (Lattice)” in mehrdimensionalen Räumen zu finden (Shortest Vector Problem: SVP usw.) oder auf dem LWE-Problem (Learning With Errors).

Das Konzept des LWE-Problems nutzt die Eigenschaft, dass das Finden einer Lösung extrem schwierig wird, wenn man absichtlich “kleines Rauschen (Fehler)” zu einem System linearer Gleichungen hinzufügt. Gleichungssystem: $\mathbf{A}\mathbf{s} + \mathbf{e} \equiv \mathbf{b} \pmod{q}$ ($\mathbf{A}$ und $\mathbf{b}$ sind öffentlich, $\mathbf{s}$ ist der private Schlüssel und $\mathbf{e}$ ist minimales Rauschen)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# Konzeptueller Pseudocode des LWE-Problems (zu Lernzwecken)
import numpy as np

n = 256 # Dimension
q = 3329 # Modul
m = 512 # Anzahl der Gleichungen

# Privater Schlüssel s und kleiner Fehler e
s = np.random.randint(0, 5, size=n)
e = np.random.randint(-1, 2, size=m)

# Öffentliche Matrix A und öffentlicher Vektor b
A = np.random.randint(0, q, size=(m, n))
b = (np.dot(A, s) + e) % q

# Selbst mit einem Quantencomputer wird es als extrem schwierig angesehen, s aus A und b wiederherzustellen

2. Hash-basierte Kryptographie (Hash-based Cryptography)

Ein digitales Signaturschema, das seine Sicherheit ausschließlich auf die Kollisionsresistenz von Hash-Funktionen stützt. Da es keine mathematische Struktur besitzt, ist es widerstandsfähig gegen Quantenangriffe, neigt jedoch zu großen Signaturgrößen (wie SPHINCS+).

3. Code-basierte Kryptographie (Code-based Cryptography)

Ein kryptographisches Verfahren, das auf der Theorie fehlerkorrigierender Codes basiert. Das 1978 vorgeschlagene McEliece-Kryptosystem ist ein berühmtes Beispiel; es hat eine lange Geschichte und einen etablierten Ruf für Sicherheit, leidet jedoch unter dem Problem sehr großer öffentlicher Schlüssel (die manchmal mehrere Megabyte erreichen).

timeline title "Die Geschichte der Kryptographie und der Computerentwicklung" "Antike bis Mittelalter" : "Caesar-Chiffre" : "Vigenère-Chiffre" : "Geburt der Häufigkeitsanalyse" "1930er bis 1940er" : "Einsatz und Entschlüsselung der Enigma" : "Entwicklung der Turing-Maschine / Bombe" "1970er" : "DES-Standardisierung (1977)" : "Diffie-Hellman-Schlüsselaustausch (1976)" : "Geburt der RSA-Kryptographie (1977)" "1980er bis 1990er" : "Vorschlag der Elliptischen Kurvenkryptographie (ECC)" : "Veröffentlichung von Shors Algorithmus (1994)" "2000er" : "AES-Standardisierung (2001)" "2010er bis Gegenwart" : "Beschleunigung der Quantencomputerforschung" : "Start des PQC-Standardisierungsprojekts durch NIST" "Nahe Zukunft (Q-Day)" : "Realisierung eines großangelegten Quantencomputers?" : "Vollständiger Übergang zu PQC (ML-KEM/ML-DSA)"

8. Fazit: Der endlose Kampf zwischen Schild und Speer

Die Geschichte der Kryptographie ist eine Geschichte des endlosen Kampfes zwischen der Erfindung neuer Verschlüsselungsmethoden (Schilde) und neuen Entschlüsselungstechniken (Speere), um sie zu durchbrechen.

Die Caesar-Chiffre wurde durch die Häufigkeitsanalyse besiegt, und die unbesiegbare Enigma wurde durch Turings geniales Gehirn und die Kraft der Maschinen besiegt. Und nun sind starke Chiffren wie RSA und ECC, die das Fundament der modernen Internetgesellschaft stützen, durch den neuen “Speer” der Quantencomputer bedroht.

Doch die Menschheit blickt bereits auf diese zukünftige Zeit und bereitet einen neuen “Schild” namens Post-Quanten-Kryptographie (PQC) vor. Gegenwärtig ist die Vorbereitung des Übergangs von bestehender Public-Key-Kryptographie zu PQC (Sicherstellung von Krypto-Agilität) eine dringende Aufgabe für IT-Infrastrukturen weltweit.

Die Kryptographie ist nicht nur ein obskures mathematisches Rätsel, sondern die stärkste Verteidigungsmauer, um unsere Privatsphäre, unser Eigentum und die Gesellschaftsinfrastruktur selbst zu schützen.

【Mathematik-Erklärung】Wie RSA-Verschlüsselung funktioniert, verständlich für Schüler erklärt

Fri, 11 Sep 2026 13:00:00 +0900

Eine der Technologien, die die Sicherheit der Internetgesellschaft grundlegend unterstützt, ist die „RSA-Verschlüsselung“. Viele der Kommunikationen, die wir jeden Tag beiläufig nutzen, wie Kreditkartenzahlungen beim Online-Shopping, der Austausch mit Freunden auf sozialen Netzwerken und das Senden und Empfangen vertraulicher Unternehmensinformationen, werden durch diese RSA-Verschlüsselung und ihre Nachfolgetechnologien geschützt.

Wenn man jedoch das Wort „Verschlüsselung“ hört, stellt man sich vielleicht komplexe Chiffriermaschinen wie in Spionagefilmen vor oder extrem fortgeschrittene Mathematik, die nur einige wenige Genies verstehen können. Es stimmt zwar, dass die moderne Kryptographie auf fortgeschrittener Mathematik basiert, aber die grundlegende Funktionsweise der RSA-Verschlüsselung kann mit dem Wissen aus der Schulmathematik (Eigenschaften von ganzen Zahlen, Primzahlen, Kongruenzen usw.) gut verstanden werden.

In diesem Artikel erklären wir ausgehend vom Wissen der Schulmathematik Schritt für Schritt, nach welchen mathematischen Prinzipien die RSA-Verschlüsselung funktioniert und warum sie so schwer zu knacken ist. Wir werden es anhand konkreter Beispiele sorgfältig erklären, so dass auch diejenigen es verstehen können, die in Mathematik vielleicht nicht so stark sind.

1. Symmetrische Verschlüsselung und asymmetrische Verschlüsselung (Public-Key-Verschlüsselung)

Bevor wir uns mit den mathematischen Mechanismen der RSA-Verschlüsselung befassen, lassen Sie uns zunächst die Grundkonzepte der Kryptographie klären. Verschlüsselungsverfahren lassen sich grob in zwei Arten unterteilen: die „symmetrische Verschlüsselung“ und die „asymmetrische Verschlüsselung“ (Public-Key-Kryptographie).

1.1 Die Grenzen der symmetrischen Verschlüsselung

Viele der seit langem verwendeten Verschlüsselungen sind sogenannte „symmetrische Verschlüsselungsverfahren“. Bei dieser Methode wird für die „Verschlüsselung“ (die Umwandlung einer Nachricht in einen geheimen Geheimtext) und die „Entschlüsselung“ (die Wiederherstellung der ursprünglichen Nachricht aus dem Geheimtext) derselbe Schlüssel verwendet.

Nehmen wir zum Beispiel an, Alice möchte Bob einen geheimen Brief schicken. Alice legt den Brief in eine Kiste und verschließt diese mit einem Vorhängeschloss (dem symmetrischen Schlüssel). Damit Bob diese Kiste öffnen kann, muss er denselben Schlüssel besitzen, den auch Alice benutzt hat.

Dieses System hat ein großes Problem: das „Schlüsselaustauschproblem“. Wenn Alice und Bob, die weit voneinander entfernt sind, zum ersten Mal kommunizieren, wie können sie dann einen Schlüssel teilen, ohne abgehört zu werden? Wenn der Schlüssel auf dem Postweg von einem Dritten gestohlen wird, ist die gesamte nachfolgende verschlüsselte Kommunikation für diesen einsehbar.

1.2 Die bahnbrechende Erfindung der „asymmetrischen Verschlüsselung“

Um dieses Schlüsselaustauschproblem zu lösen, wurde die „asymmetrische Verschlüsselung“ erfunden. Die RSA-Verschlüsselung ist eine Form davon.

Bei der asymmetrischen Verschlüsselung werden zwei unterschiedliche Schlüssel verwendet: ein „Schlüssel zum Verschlüsseln (öffentlicher Schlüssel)“ und ein „Schlüssel zum Entschlüsseln (privater Schlüssel)“.

Der Empfänger Bob erstellt ein Paar aus „öffentlichem Schlüssel“ und „privatem Schlüssel“.
Bob veröffentlicht den „öffentlichen Schlüssel“ für die ganze Welt (es spielt keine Rolle, wer ihn bekommt).
Die Senderin Alice verschlüsselt ihre Nachricht mit Bobs „öffentlichem Schlüssel“ und sendet sie ab.
Die verschlüsselte Nachricht kann nur mit dem „privaten Schlüssel“, den nur Bob besitzt, entschlüsselt werden.

Um dies mit einem Vorhängeschloss zu vergleichen: Bob stellt viele „offene Vorhängeschlösser (öffentliche Schlüssel)“ her und verteilt sie in der ganzen Welt. Alice legt eine Nachricht für Bob in eine Kiste und verschließt sie mit einem gefundenen Vorhängeschloss von Bob. Sobald das Vorhängeschloss geschlossen ist, kann es nur noch mit dem „Generalschlüssel (privater Schlüssel)“ geöffnet werden, den Bob besitzt. Selbst wenn jemand unterwegs die Kiste stiehlt, kann er sie ohne den Generalschlüssel nicht öffnen.

graph TD A["Alice (Senderin)"] --> B["Klartext (Nachricht)"] B --> C["Verschlüsselungsprozess"] D["Bobs öffentlicher Schlüssel (für jeden zugänglich)"] --> C C --> E["Versand über das Internet: Geheimtext"] E --> F["Entschlüsselungsprozess"] G["Bobs privater Schlüssel (nur Bob hat ihn)"] --> F F --> H["Wiederhergestellter Klartext (Nachricht)"] H --> I["Bob (Empfänger)"]

Um dieses revolutionäre System zu realisieren, ist eine Art „Einwegfunktion (ein mathematisches Einbahnstraßen-Rätsel)“ erforderlich, die es erlaubt, „mit dem öffentlichen Schlüssel leicht zu verschlüsseln, aber ohne den privaten Schlüssel absolut nicht zu entschlüsseln“. Als Bestandteil dieses Rätsels richtete man die Aufmerksamkeit auf etwas, das wir gut kennen: „Primzahlen“.

2. Mathematische Grundlagen der RSA-Verschlüsselung Teil 1: Primzahlen und Primfaktorzerlegung

Die Sicherheit der RSA-Verschlüsselung basiert auf der mathematischen Tatsache, dass „die Primfaktorzerlegung riesiger Zahlen extrem schwierig ist“.

2.1 Was sind Primzahlen?

Eine Primzahl ist „eine natürliche Zahl größer als 1, die nur durch 1 und durch sich selbst teilbar ist“. Beispiel: $2, 3, 5, 7, 11, 13, 17, 19, 23...$

Primzahlen sind wie die „Atome“ aller ganzen Zahlen. Jede natürliche Zahl kann in eine Multiplikation von Primzahlen zerlegt werden. Dies nennt man Primfaktorzerlegung. Dass sich eine Zahl, abgesehen von der Reihenfolge der Faktoren, auf genau eine Weise in Primfaktoren zerlegen lässt (wie z. B. $60 = 2^2 \times 3 \times 5$), ist als der „Fundamentalsatz der Arithmetik“ bekannt.

2.2 Die Schwierigkeit der Primfaktorzerlegung (Einwegfunktion)

Wichtig ist hier die Asymmetrie: „Multiplizieren ist einfach, aber die Primfaktorzerlegung ist schwierig.“

Versuchen Sie beispielsweise, die Multiplikation der folgenden zwei Primzahlen im Kopf zu berechnen: $11 \times 13 = ?$ Das ist einfach. Die Antwort ist $143$.

Aber wie steht es mit der nächsten Zahl? Bitte zerlegen Sie $323$ in ihre Primfaktoren. Wie sieht es aus? Das dürfte ein wenig Zeit in Anspruch nehmen. (Die Antwort ist $17 \times 19$).

Wenn die Zahlen klein sind, kann ein Mensch sie irgendwie noch berechnen, aber wenn die Zahlen größer werden, wird die Berechnung selbst für Computer explosiv schwierig. Die derzeit vorherrschende RSA-Verschlüsselung verwendet eine Zahl $N = p \times q$, die das Produkt aus zwei unfassbar riesigen Primzahlen $p$ und $q$ von 2048 Bit (etwa 600 Dezimalstellen) ist.

Wenn zwei riesige Primzahlen $p$ und $q$ gegeben sind, ist die Berechnung von $N$ für einen Computer eine Sache von Millisekunden. Wenn man jedoch nur $N$ hat und die ursprünglichen $p$ und $q$ finden möchte, würde dies so lange dauern, dass selbst der derzeit schnellste Supercomputer das Problem in Billionen von Jahren nicht lösen könnte.

Diese „Asymmetrie der Berechnung (in eine Richtung einfach, in die andere extrem schwer)“ bildet die Grundlage für die Beziehung zwischen dem öffentlichen und dem privaten Schlüssel.

3. Mathematische Grundlagen der RSA-Verschlüsselung Teil 2: Kongruenzen (Modulo-Arithmetik)

Die Berechnungen bei der RSA-Verschlüsselung erfolgen nicht wie bei der gewöhnlichen Addition oder Multiplikation, bei der die Zahlen unendlich groß werden, sondern in einer Welt der „Reste“, die entstehen, wenn man durch eine bestimmte Zahl teilt. Dies wird als Kongruenz (Modulo-Arithmetik) bezeichnet.

3.1 Die Mathematik der Uhr

Die Modulo-Arithmetik wird oft mit der „Mathematik der Uhr“ verglichen. Angenommen, es ist jetzt 10 Uhr, wie spät ist es in 5 Stunden? $10 + 5 = 15$ Uhr, aber auf einer normalen 12-Stunden-Uhr würden wir „3 Uhr“ sagen. Das liegt daran, dass der Rest von 15 geteilt durch 12 gleich 3 ist.

In der Welt der Mathematik wird dies wie folgt geschrieben:

$$ 15 \equiv 3 \pmod{12} $$

Man liest dies als: „15 und 3 sind kongruent modulo 12 (sie haben denselben Rest, wenn man sie durch 12 teilt).“

3.2 Grundlegende Eigenschaften von Kongruenzen

Kongruenzen haben sehr nützliche Eigenschaften, die denen einer Gleichung ($=$) sehr ähnlich sind. Sei das Modul (die Zahl, durch die geteilt wird) $N$. Wenn $a \equiv b \pmod N$ und $c \equiv d \pmod N$, dann gilt Folgendes:

Addition: $a + c \equiv b + d \pmod N$
Subtraktion: $a - c \equiv b - d \pmod N$
Multiplikation: $a \times c \equiv b \times d \pmod N$
Potenzieren: $a^k \equiv b^k \pmod N$ (wobei $k$ eine natürliche Zahl ist)

Besonders wichtig ist die Eigenschaft des „Potenzierens“. Das bedeutet: „Die Potenz eines Restes ist kongruent zum Rest der Potenz.“ Angenommen, wir wollen den Rest ermitteln, wenn $7^{100}$ durch $5$ geteilt wird. Es wäre mühsam, $7$ ernsthaft 100 Mal mit sich selbst zu multiplizieren und dann durch $5$ zu teilen. Wenn wir jedoch die Eigenschaften von Kongruenzen nutzen, wissen wir, dass $7 \equiv 2 \pmod 5$ ist, also gilt $7^{100} \equiv 2^{100} \pmod 5$. Dadurch lässt sich die Berechnung drastisch vereinfachen. Da in der Welt der Kryptographie mit sehr großen Potenzen gerechnet wird, ist diese Eigenschaft unverzichtbar.

4. Mathematische Grundlagen der RSA-Verschlüsselung Teil 3: Eulersche Phi-Funktion und der Satz von Euler

Hier beginnt nun die magische Mathematik, die den Kern der RSA-Verschlüsselung ausmacht. Hier kommt der „Satz von Euler“ ins Spiel, der eine Verallgemeinerung des „kleinen fermatschen Satzes“ ist.

4.1 Die Eulersche Totient-Funktion $\phi(N)$

Die Eulersche Totient-Funktion (auch $\phi$-Funktion genannt) gibt für eine natürliche Zahl $N$ „die Anzahl der natürlichen Zahlen von 1 bis $N$, die teilerfremd zu $N$ sind (deren größter gemeinsamer Teiler 1 ist)“, zurück.

Schauen wir uns einige Beispiele an.

$\phi(5)$: Unter 1, 2, 3, 4 und 5 sind 1, 2, 3 und 4 teilerfremd zu 5 (also 4 Zahlen). Daher ist $\phi(5) = 4$.
$\phi(6)$: Unter 1, 2, 3, 4, 5 und 6 sind 1 und 5 teilerfremd zu 6 (also 2 Zahlen). Daher ist $\phi(6) = 2$.

[Spezielle Eigenschaft bei Primzahlen] Wenn $p$ eine Primzahl ist, sind alle Zahlen von 1 bis $p-1$ teilerfremd zu $p$. Daher gilt:

$$ \phi(p) = p - 1 $$

[Spezielle Eigenschaft beim Produkt von Primzahlen] Für zwei verschiedene Primzahlen $p$ und $q$ und $N = p \times q$ kann $\phi(N)$ einfach durch folgende Berechnung ermittelt werden:

$$ \phi(N) = \phi(p) \times \phi(q) = (p - 1)(q - 1) $$

Diese Eigenschaft fungiert als „geheime Hintertür (Trapdoor)“ der RSA-Verschlüsselung. Wer $p$ und $q$ kennt (der Ersteller des Schlüssels), kann $\phi(N)$ augenblicklich berechnen, aber ein Dritter, der nur $N$ kennt, kann $\phi(N)$ nicht bestimmen, ohne $N$ vorher in seine Primfaktoren zu zerlegen.

4.2 Der Satz von Euler

Leonhard Euler bewies mit Hilfe dieser Funktion $\phi(N)$ den folgenden schönen Satz.

Der Satz von Euler: Wenn eine ganze Zahl $a$ und $N$ teilerfremd sind, gilt die folgende Kongruenz:

$$ a^{\phi(N)} \equiv 1 \pmod N $$

Das ist die bemerkenswerte Eigenschaft, dass „wenn man eine bestimmte Zahl $a$ insgesamt $\phi(N)$ Mal mit sich selbst multipliziert und durch $N$ teilt, der Rest immer $1$ ist“. (Wenn $N$ eine Primzahl $p$ ist, ergibt sich $a^{p-1} \equiv 1 \pmod p$, was als der kleine fermatsche Satz bekannt ist).

Lassen Sie uns diesen Satz von Euler umformen. Wir multiplizieren beide Seiten noch einmal mit $a$.

$$ a^{\phi(N) + 1} \equiv a \pmod N $$

Darüber hinaus ergibt $a^{k \cdot \phi(N)}$ für eine beliebige ganze Zahl $k$ ebenfalls $1^k = 1$, sodass die folgende Gleichung gilt:

$$ a^{k \cdot \phi(N) + 1} \equiv a \pmod N $$

Genau diese Gleichung ist das Grundprinzip, das die Magie der RSA-Verschlüsselung – „nach dem Verschlüsseln und Entschlüsseln erhält man wieder das Original“ – möglich macht.

5. Der Algorithmus der RSA-Verschlüsselung: Schritte zur Schlüsselerzeugung, Verschlüsselung und Entschlüsselung

Da wir nun über das Grundlagenwissen verfügen, schauen wir uns endlich die konkreten Schritte der RSA-Verschlüsselung an. Die RSA-Verschlüsselung ist grob in drei Phasen unterteilt: „1. Schlüsselerzeugung“, „2. Verschlüsselung“ und „3. Entschlüsselung“.

flowchart TD A1["1. Wähle Primzahlen p, q"] --> A2["Berechne N = p × q"] A1 --> A3["Berechne φ(N) = (p-1)(q-1)"] A3 --> A4["Wähle ein e, das zu φ(N) teilerfremd ist"] A3 --> A5["Berechne d, sodass e × d ≡ 1 (mod φ(N))"] A2 --> A6["Öffentlicher Schlüssel (N, e)"] A4 --> A6 A5 --> A7["Privater Schlüssel d"] B1["2. Klartext-Nachricht M"] --> B2["Berechne C ≡ M^e (mod N)"] A6 -.-> B2 B2 --> B3["Sende Geheimtext C"] B3 --> C1["3. Empfangener Geheimtext C"] C1 --> C2["Berechne M ≡ C^d (mod N)"] A7 -.-> C2 C2 --> C3["Erhalte ursprüngliche Klartext-Nachricht M"]

5.1 Schlüsselerzeugung (Key Generation)

Bob, der Empfänger, generiert für sich selbst einen „öffentlichen Schlüssel“ und einen „privaten Schlüssel“.

Wahl der Primzahlen: Es werden zwei große Primzahlen $p$ und $q$ zufällig gewählt.
Berechnung des Moduls $N$: Es wird $N = p \times q$ berechnet. Dieses $N$ wird veröffentlicht.
Berechnung von $\phi(N)$: Die Eulersche Funktion $\phi(N) = (p - 1)(q - 1)$ wird berechnet. Diese Zahl ist Bobs Geheimnis.
Wahl des öffentlichen Schlüssels $e$: Es wird eine ganze Zahl $e$ gewählt, für die $1 < e < \phi(N)$ gilt und die teilerfremd zu $\phi(N)$ ist.
Berechnung des privaten Schlüssels $d$: Es wird eine ganze Zahl $d$ gefunden, die folgende Bedingung erfüllt: $$ e \times d \equiv 1 \pmod{\phi(N)} $$ Das bedeutet: „Eine Zahl $d$, bei der $e \times d$ geteilt durch $\phi(N)$ einen Rest von $1$ ergibt.“

Damit sind die Schlüssel vorbereitet.

Öffentlicher Schlüssel: Das Paar $(N, e)$. Es wird für die ganze Welt veröffentlicht.
Privater Schlüssel: $d$. Er wird absolut niemandem verraten.

5.2 Verschlüsselung (Encryption)

Angenommen, Alice möchte Bob eine geheime Nachricht $M$ senden. ($M$ ist ein in Zahlen umgewandelter Text, wobei $0 \le M < N$ gilt). Alice berechnet mithilfe von Bobs öffentlichem Schlüssel $(N, e)$ Folgendes:

$$ C \equiv M^e \pmod N $$

Sie berechnet „den Rest $C$, der entsteht, wenn man die Nachricht $M$ mit $e$ potenziert und durch $N$ teilt“. Dieses $C$ ist der Geheimtext.

5.3 Entschlüsselung (Decryption)

Bob empfängt den Geheimtext $C$. Bob rechnet mit seinem privaten Schlüssel $d$ wie folgt:

$$ M \equiv C^d \pmod N $$

Wenn man „den Rest berechnet, der entsteht, wenn der Geheimtext $C$ mit $d$ potenziert und durch $N$ geteilt wird“, wird erstaunlicherweise die ursprüngliche Nachricht $M$ wiederhergestellt!

6. Warum erhält man durch Entschlüsselung das Original zurück? (Mathematischer Beweis)

Vielleicht fragen Sie sich: „Wie kann es sein, dass $C$ hoch $d$ uns einfach unser ursprüngliches $M$ zurückgibt?“ Hier kommt nun der zuvor erwähnte „Satz von Euler“ ins Spiel.

Setzen wir die Formel für die Verschlüsselung, $C = M^e$, in die Berechnungsformel für die Entschlüsselung, $C^d \pmod N$, ein.

$$ C^d \equiv (M^e)^d \equiv M^{ed} \pmod N $$

Erinnern wir uns nun an Schritt 5 der Schlüsselerzeugung. Als Bob $d$ generierte, wählte er es so, dass $e \times d \equiv 1 \pmod{\phi(N)}$ gilt. Das bedeutet, dass „$ed$ ein Vielfaches von $\phi(N)$ plus $1$ ist“. Mit einer ganzen Zahl $k$ lässt sich dies wie folgt schreiben:

$$ ed = k \cdot \phi(N) + 1 $$

Wir setzen dies in den Exponenten ein und zerlegen ihn mithilfe der Potenzgesetze.

$$ M^{ed} = M^{k \cdot \phi(N) + 1} = M^{k \cdot \phi(N)} \times M^1 = (M^{\phi(N)})^k \times M $$

Wenn wir hier annehmen, dass die Nachricht $M$ und $N$ teilerfremd sind, gilt nach dem Satz von Euler $M^{\phi(N)} \equiv 1 \pmod N$.

$$ (M^{\phi(N)})^k \times M \equiv 1^k \times M \equiv M \pmod N $$

Folglich ergibt sich auf wunderbare Weise diese Gleichung:

$$ C^d \equiv M \pmod N $$

Da Alice $d$ nicht kennt und auch ein Abhörer $d$ nicht kennt, ist Bob mit seinem $d$ der Einzige, der $M$ aus $C$ extrahieren kann.

7. Ein konkretes Beispiel: RSA mit kleinen Primzahlen per Hand ausprobieren

Lassen Sie uns tatsächlich eine verschlüsselte Kommunikation von Alice an Bob unter Verwendung kleiner Zahlen (Primzahlen) durchführen.

[Bobs Schlüsselerzeugungsphase]

Er wählt zwei Primzahlen: $p=11$, $q=13$.
Er berechnet $N = 11 \times 13 = 143$.
Er berechnet $\phi(N) = (11 - 1) \times (13 - 1) = 10 \times 12 = 120$.
Er wählt einen öffentlichen Schlüssel $e$, der teilerfremd zu $\phi(N)=120$ ist. Hier wählen wir $e=7$.
Er ermittelt den privaten Schlüssel $d$. Er sucht ein $d$, für das $7 \times d \equiv 1 \pmod{120}$ gilt. In der Gleichung $7d = 120k + 1$ ergibt sich für $k=6$ die Zahl $721$, und $721 \div 7 = 103$. Daher ist $d = 103$.

Öffentlicher Schlüssel: $(N=143, e=7)$
Privater Schlüssel: $d=103$

[Alices Verschlüsselungsphase] Nehmen wir an, sie möchte die Nachricht $M = 9$ senden. Formel: $C \equiv 9^7 \pmod{143}$ $9^7 = 4.782.969$. Teilt man dies durch 143, erhält man $33447$ mit dem Rest $48$. Der Geheimtext $C$ ist also $48$.

[Bobs Entschlüsselungsphase] Bob empfängt den Geheimtext $C = 48$ und entschlüsselt ihn mit dem privaten Schlüssel $d = 103$. Formel: $M \equiv 48^{103} \pmod{143}$ Wenn man (48 ** 103) % 143 in einen Computer eingibt, ist das großartige Ergebnis tatsächlich „9“! Er hat die ursprüngliche Nachricht sicher erhalten.

8. Wie man den privaten Schlüssel $d$ findet: Der erweiterte euklidische Algorithmus

Im per Hand berechneten Beispiel haben wir $k$ durch Ausprobieren gesucht, um $d=103$ zu finden, aber wenn die Zahlen Hunderte von Ziffern haben, ist diese Methode unmöglich. In echten Programmen wird ein Algorithmus namens „erweiterter euklidischer Algorithmus“ verwendet.

Die Lösung von $7d \equiv 1 \pmod{120}$ ist gleichbedeutend mit dem Finden der ganzen Zahlen $d$ und $y$, die $7d + 120y = 1$ erfüllen. Durch die Rückwärtsrechnung des euklidischen Algorithmus lässt sich dies maschinell ermitteln.

$120 \div 7 = 17$ Rest $1$
Durch Umformen ergibt sich: $1 = 120 - 17 \times 7$
Das heißt: $-17 \times 7 \equiv 1 \pmod{120}$

$-17$ bedeutet in der Welt von Modulo $120$ dasselbe wie $120 - 17 = 103$. So lässt sich $d = 103$ augenblicklich ermitteln. Diese Methode erlaubt sehr schnelle Berechnungen, egal wie riesig die Zahlen sind.

9. Ein weiteres Gesicht der RSA-Verschlüsselung: Digitale Signaturen

Das Tolle an der RSA-Verschlüsselung ist, dass sie auch als „digitale Signatur“ verwendet werden kann, indem man die Rollen des öffentlichen und privaten Schlüssels vertauscht.

Während bei der Verschlüsselung das Prinzip „Verschlüsseln mit dem öffentlichen Schlüssel $\Rightarrow$ Entschlüsseln mit dem privaten Schlüssel“ galt, ist der Ablauf bei der digitalen Signatur „Verschlüsseln mit dem privaten Schlüssel $\Rightarrow$ Entschlüsseln mit dem öffentlichen Schlüssel“.

flowchart TD A1["1. Alice erstellt Signatur mit privatem Schlüssel"] --> A2["S ≡ M^d (mod N)"] A2 --> A3["Sende Nachricht M und Signatur S"] A3 --> B1["2. Bob verifiziert Signatur mit öffentlichem Schlüssel"] B1 --> B2["Berechne M' ≡ S^e (mod N)"] B2 --> B3["Prüfe, ob M' und M übereinstimmen"]

Alice wandelt die Nachricht mit ihrem eigenen privaten Schlüssel $d$ um (das ist die Signatur $S$) und sendet sie an Bob. Bob führt mit Alices öffentlichem Schlüssel $e$ die Verifizierungsberechnung durch. Wenn das Ergebnis der Berechnung mit der ursprünglichen Nachricht übereinstimmt, beweist dies gleichzeitig, dass „die Daten nur mit Alices privatem Schlüssel erstellt werden konnten“ und dass „die Nachricht unterwegs nicht manipuliert wurde“.

10. Die RSA-Verschlüsselung durch Programmierung erfahren

Potenzberechnungen, die per Hand extrem mühsam sind, lassen sich in Python sehr einfach implementieren. Im Folgenden finden Sie einen Python-Code, mit dem Sie die Kernlogik der RSA-Verschlüsselung erleben können.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


def gcd(a, b):
 """Den größten gemeinsamen Teiler finden"""
 while b != 0:
 a, b = b, a % b
 return a

def mod_inverse(e, phi):
 """Den privaten Schlüssel d finden (nutzt die eingebaute Funktion ab Python 3.8)"""
 return pow(e, -1, phi)

# 1. Schlüsselerzeugung
p, q = 11, 13
N = p * q
phi = (p - 1) * (q - 1)
e = 7
d = mod_inverse(e, phi)

print(f"Öffentlicher Schlüssel: (N={N}, e={e}), Privater Schlüssel: d={d}")

# 2. Verschlüsselung
message = 9
ciphertext = pow(message, e, N)
print(f"Geheimtext: {ciphertext}")

# 3. Entschlüsselung
decrypted_message = pow(ciphertext, d, N)
print(f"Entschlüsselte Nachricht: {decrypted_message}")

Die Python-Funktion pow(base, exp, mod) verwendet intern einen schnellen Algorithmus, der sich „binäre Exponentiation (Square-and-Multiply)“ nennt. Dadurch wird die Berechnung auch bei Zahlen mit Hunderten von Ziffern in einem Augenblick abgeschlossen.

11. Zusammenfassung und zukünftige Kryptographietechnologien

Basierend auf dem Wissen der Schulmathematik haben wir die Funktionsweise der RSA-Verschlüsselung aufgedeckt.

Die Schwierigkeit der Primfaktorzerlegung: $p \times q = N$ ist einfach, aber es ist sehr schwer, $p$ und $q$ aus $N$ zu finden.
Kongruenzen und der Satz von Euler: Das Gesetz $a^{\phi(N)} \equiv 1 \pmod N$ vervollständigt die magische Trapdoor, bei der man „durch Potenzieren mit einer bestimmten Zahl zum Ursprung zurückkehrt“.
Öffentlicher und privater Schlüssel: Jeder kann verschlüsseln, aber nur der rechtmäßige Empfänger kann entschlüsseln.

Das $N$ der heute verwendeten RSA-Verschlüsselung hat mehr als 600 Ziffern. Selbst wenn alle Supercomputer der Welt zusammenarbeiten würden, würde die Primfaktorzerlegung länger dauern als das Alter des Universums. Wenn jedoch in Zukunft die derzeit in Entwicklung befindlichen „Quantencomputer“ in die Praxis umgesetzt werden, besteht die Möglichkeit, dass diese Primfaktorzerlegung durch den „Shor-Algorithmus“ augenblicklich geknackt wird. Aus diesem Grund wird derzeit weltweit mit Hochdruck an der Entwicklung der „Post-Quanten-Kryptographie“ gearbeitet, die selbst von Quantencomputern nicht entschlüsselt werden kann.

Fortgeschrittene Mathematik, die oft als „nutzlos“ abgetan wird, schützt in Wirklichkeit unseren Alltag grundlegend. Die RSA-Verschlüsselung ist das beste Lehrmaterial, um uns diese Tiefe und Schönheit der Mathematik zu zeigen. Ich hoffe, dass Sie durch diesen Artikel ein wenig von der Faszination für Kryptographie und Mathematik spüren konnten.

Mathematische Grundlagen der Elliptischen-Kurven-Kryptographie (ECC) und ihre Implementierung in C++

Fri, 11 Sep 2026 10:00:00 +0900

Mathematische Grundlagen der Elliptischen-Kurven-Kryptographie (ECC) und ihre Implementierung in C++

In der modernen Kryptographie spielt die Elliptische-Kurven-Kryptographie (Elliptic Curve Cryptography: ECC) eine äußerst wichtige Rolle. Von unserer täglichen Internetkommunikation (HTTPS/TLS) über die Secure Enclaves von Smartphones, Serverauthentifizierung via SSH, passwortlose Authentifizierung wie FIDO bis hin zu Krypto-Assets wie Bitcoin und Ethereum – man kann ohne Übertreibung sagen, dass die Vertrauensbasis unserer modernen digitalen Gesellschaft durch ECC gestützt wird.

In diesem Artikel werden wir ausführlich erläutern, wie diese elliptische Kurven-Kryptographie funktioniert. Wir beginnen mit der schönen, aber komplexen mathematischen Theorie dahinter (algebraische Geometrie über endlichen Körpern), gehen dann zur tatsächlichen Implementierung in C++ über und behandeln schließlich sichere Codierungstechniken zur Verhinderung von Seitenkanalangriffen (Timing-Angriffen) – alles in einem überwältigenden Detailreichtum.

1. Warum Elliptische-Kurven-Kryptographie? (Vergleich mit RSA)

Lange Zeit war RSA das Synonym für Public-Key-Kryptographie. Die Sicherheit von RSA basiert auf der “Schwierigkeit der Primfaktorzerlegung riesiger zusammengesetzter Zahlen”. Mit der steigenden Rechenleistung von Computern wurde es jedoch notwendig, die Schlüssellänge von RSA (die Bitlänge des Moduls) kontinuierlich zu erhöhen, um die Sicherheit aufrechtzuerhalten. Heutzutage wird eine Schlüssellänge von mindestens 2048 Bit empfohlen, für noch mehr Sicherheit sogar 3072 oder 4096 Bit.

Im Gegensatz dazu basiert die Elliptische-Kurven-Kryptographie (ECC) auf einer anderen mathematischen Schwierigkeit: dem “Diskreten Logarithmusproblem auf elliptischen Kurven (ECDLP)”. Bis heute wurde kein effizienter Algorithmus (wie z. B. ein Subexponentialzeit-Algorithmus) zur Lösung des ECDLP gefunden, und selbst die effizientesten bekannten Angriffsmethoden benötigen exponentielle Zeit.

Aufgrund dieser Eigenschaft hat ECC den entscheidenden Vorteil, dass es mit sehr kurzen Schlüssellängen die gleiche Sicherheitsstärke wie RSA erreichen kann.

Sicherheitsstärke (Bit)	RSA-Schlüssellänge (Bit)	ECC-Schlüssellänge (Bit)	Längenverhältnis
80	1024	160	1:6
112	2048	224	1:9
128	3072	256	1:12
192	7680	384	1:20
256	15360	512	1:30

Wie die obige Tabelle zeigt, benötigt RSA für eine Sicherheitsstärke von 128 Bit (die aktuelle Standardstärke) einen 3072-Bit-Schlüssel, während ECC mit nur 256 Bit auskommt. Dies ermöglicht eine Reduzierung des Rechenaufwands, einen geringeren Speicherverbrauch und die Einsparung von Netzwerkbandbreite. Dadurch ist ECC besonders in ressourcenbeschränkten Umgebungen wie IoT-Geräten und Smartcards überlegen.

2. Mathematische Vorbereitung: Gruppentheorie und endliche Körper

Um die Elliptische-Kurven-Kryptographie wirklich zu verstehen, ist es notwendig, die grundlegenden Konzepte der abstrakten Algebra (Gruppen- und Körpertheorie) zu beherrschen. Hier fassen wir das Vorwissen zur Konstruktion von ECC kurz zusammen.

2.1. Gruppen (Group) und abelsche Gruppen

Eine Gruppe (Group) ist ein Paar $(G, +)$, bestehend aus einer Menge $G$ und einer binären Operation auf dieser Menge (hier als Addition $+$ bezeichnet), das die folgenden vier Axiome erfüllt:

Abgeschlossenheit (Closure): Für beliebige $a, b \in G$ gilt $a + b \in G$.
Assoziativgesetz (Associativity): Für beliebige $a, b, c \in G$ gilt $(a + b) + c = a + (b + c)$.
Existenz eines neutralen Elements (Identity element): Es existiert ein Element $e \in G$, sodass für jedes $a \in G$ gilt: $a + e = e + a = a$. Bei additiven Gruppen wird dieses neutrale Element meist als $0$ oder $\mathcal{O}$ geschrieben.
Existenz inverser Elemente (Inverse element): Zu jedem $a \in G$ existiert ein Element $b \in G$, sodass $a + b = b + a = e$. Dieses $b$ wird als $-a$ bezeichnet.

Eine Gruppe, in der die Reihenfolge der Operanden das Ergebnis nicht verändert, d. h. die folgende Bedingung erfüllt ist, wird als abelsche Gruppe (kommutative Gruppe) bezeichnet:

Kommutativgesetz (Commutativity): Für beliebige $a, b \in G$ gilt $a + b = b + a$.

Die Menge der Punkte auf einer elliptischen Kurve bildet eine solche abelsche Gruppe, wenn wir eine spezifische Additionsregel definieren.

2.2. Endliche Körper (Finite Field)

In der Kryptographietheorie verwenden wir keine Körper mit kontinuierlichen und unendlich vielen Elementen wie die reellen oder komplexen Zahlen, sondern endliche Körper (Finite Fields) oder Galois-Körper (Galois Fields), deren Elementanzahl endlich ist.

Der grundlegendste endliche Körper ist der Primkörper $\mathbb{F}_p$ unter Verwendung einer Primzahl $p$. Dies ist die Menge der ganzen Zahlen $\{0, 1, 2, \dots, p-1\}$ versehen mit den vier Grundrechenarten (Addition, Subtraktion, Multiplikation, Division) modulo $p$ (dem Rest bei Division durch $p$).

Addition: $(a + b) \pmod p$
Subtraktion: $(a - b) \pmod p$
Multiplikation: $(a \times b) \pmod p$
Division: $a \times b^{-1} \pmod p$ (wobei $b^{-1}$ das multiplikative Inverse von $b$ modulo $p$ ist)

Die Berechnung des multiplikativen Inversen (Modular Multiplicative Inverse) ist in der kryptographischen Implementierung extrem wichtig. Um ein $b^{-1}$ zu finden, das $b \times b^{-1} \equiv 1 \pmod p$ erfüllt, werden hauptsächlich die folgenden zwei Algorithmen verwendet:

Erweiterter euklidischer Algorithmus (Extended Euclidean Algorithm): Er ist schnell, aber je nach Implementierung ist die Ausführungszeit vom Eingabewert abhängig, was das Risiko von Timing-Angriffen birgt.
Kleiner fermatscher Satz (Fermat’s Little Theorem): Wenn $p$ eine Primzahl ist und $b \neq 0$, gilt $b^{p-1} \equiv 1 \pmod p$. Teilt man beide Seiten durch $b$, erhält man $b^{p-2} \equiv b^{-1} \pmod p$. Das heißt, durch Berechnung von $b$ hoch $p-2$ erhält man das Inverse. Da modulare Potenzierung leicht in konstanter Zeit (Constant-Time) implementiert werden kann, wird dies bei kryptographischen Implementierungen bevorzugt.

3. Die Gleichung und Geometrie der elliptischen Kurve

3.1. Die Weierstraß-Normalform

Eine elliptische Kurve (Elliptic Curve) ist im Allgemeinen eine ebene Kurve, die durch die folgende Gleichung definiert wird, bekannt als Weierstraß-Normalform (Weierstrass normal form):

$$ y^2 = x^3 + ax + b $$

Hierbei sind $a$ und $b$ Konstanten. Als Bedingung dafür, dass die Kurve keine Singularitäten (Selbstüberschneidungen oder Spitzen) aufweist (d. h. eine glatte Kurve ist), darf die folgende Diskriminante (Discriminant) $\Delta$ nicht null sein:

$$ \Delta = -16(4a^3 + 27b^2) \neq 0 $$

Da Kurven mit Singularitäten die kryptographische Sicherheit beeinträchtigen, werden immer Koeffizienten $a, b$ gewählt, die diese Bedingung erfüllen.

3.2. Der Punkt im Unendlichen (Point at Infinity)

Um die elliptische Kurve mathematisch zu einer vollständigen Gruppe zu machen, führen wir neben den Punkten auf der Ebene einen virtuellen Punkt ein, den “Punkt im Unendlichen” (Point at Infinity). Dieser wird mit $\mathcal{O}$ bezeichnet.

Der Punkt im Unendlichen $\mathcal{O}$ ist definiert als der Punkt, an dem sich alle vertikalen Linien in der unendlichen Ferne schneiden. In der Gruppentheorie fungiert dieser Punkt im Unendlichen $\mathcal{O}$ als neutrales Element (die Null) der Addition.

Das heißt, für jeden beliebigen Punkt $P$ auf der Kurve gilt:

$$ P + \mathcal{O} = \mathcal{O} + P = P $$

Zudem ist das Inverse $-P$ eines Punktes $P = (x, y)$ definiert als der an der x-Achse gespiegelte Punkt $(x, -y)$. Daher gilt:

$$ P + (-P) = \mathcal{O} $$

4. Gruppenoperationen auf elliptischen Kurven (Punktaddition und -verdopplung)

Die Grundlage der Elliptischen-Kurven-Kryptographie ist die “Addition” von Punkten auf der Kurve. Diese unterscheidet sich von der gewöhnlichen Addition von Ganzzahlen und wird basierend auf geometrischen Operationen definiert.

4.1. Geometrische Addition (Tangent and Chord Method)

Das Verfahren, um zwei verschiedene Punkte $P$ und $Q$ auf der Kurve zu addieren, um einen neuen Punkt $R$ ($R = P + Q$) zu finden, ist wie folgt:

Ziehe eine Gerade (Sekante) durch den Punkt $P$ und den Punkt $Q$.
Diese Gerade schneidet die elliptische Kurve garantiert in einem dritten Punkt (nennen wir ihn $-R$). (※ Gemäß den Sätzen der algebraischen Geometrie)
Der Punkt, den man erhält, wenn man den Schnittpunkt $-R$ an der x-Achse spiegelt (also das Vorzeichen der y-Koordinate umkehrt), ist der gesuchte Punkt $R$.

graph TD Step1["Ziehe eine Gerade durch P(x1, y1) und Q(x2, y2)"] --> Step2["Finde den dritten Schnittpunkt -R mit der Kurve"] Step2 --> Step3["Spiegele -R an der x-Achse, um R(x3, y3) zu erhalten"] Step3 -.-> Result["Dies ist R = P + Q"]

4.2. Punktverdopplung (Point Doubling)

Wenn man denselben Punkt $P$ zu sich selbst addiert ($P + P = 2P$), kann man keine Gerade durch zwei Punkte ziehen. In diesem Fall zieht man die Tangente an die Kurve im Punkt $P$.

Ziehe die Tangente an die Kurve im Punkt $P$.
Diese Tangente schneidet die Kurve in einem weiteren Punkt $-R$.
Der an der x-Achse gespiegelte Schnittpunkt ist der gesuchte Punkt $R = 2P$.

4.3. Algebraische Berechnungsformeln

Wir übersetzen die geometrischen Operationen in algebraische Formeln, die von einem Computer berechnet werden können. Alle Operationen werden über dem endlichen Körper $\mathbb{F}_p$ (modulo $p$) durchgeführt.

Seien die Punkte $P = (x_1, y_1)$ und $Q = (x_2, y_2)$. Zudem sei der berechnete Ergebnispunkt $R = P + Q = (x_3, y_3)$.

Die Steigung der Geraden nennen wir $\lambda$ (Lambda).

[Fall 1: Wenn $P \neq Q$ (Punktaddition)] Die Steigung $\lambda$ ist die Änderungsrate zwischen den beiden Punkten.

$$ \lambda \equiv \frac{y_2 - y_1}{x_2 - x_1} \pmod p $$ $$ \lambda \equiv (y_2 - y_1) \cdot (x_2 - x_1)^{-1} \pmod p $$

Mit diesem $\lambda$ können $x_3, y_3$ wie folgt berechnet werden:

$$ x_3 \equiv \lambda^2 - x_1 - x_2 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[Fall 2: Wenn $P = Q$ (Punktverdopplung)] Die Steigung $\lambda$ ist die Steigung der Tangente, die durch Ableitung ermittelt wird. (Wir leiten $y^2 = x^3 + ax + b$ implizit ab)

$$ 2y \cdot y' = 3x^2 + a \implies y' = \frac{3x^2 + a}{2y} $$

Daher gilt:

$$ \lambda \equiv (3x_1^2 + a) \cdot (2y_1)^{-1} \pmod p $$

Die Formeln für $x_3, y_3$ haben die gleiche Form wie bei der Addition, aber da $x_2 = x_1$, ergibt sich:

$$ x_3 \equiv \lambda^2 - 2x_1 \pmod p $$ $$ y_3 \equiv \lambda(x_1 - x_3) - y_1 \pmod p $$

[!IMPORTANT] Diese Formeln enthalten Divisionen (Berechnung des modularen Inversen) wie $(x_2 - x_1)^{-1}$ und $(2y_1)^{-1}$. Da die Berechnung des modularen Inversen sehr rechenintensiv ist, werden in tatsächlichen Implementierungen allgemein projektive Koordinatensysteme wie die “Jacobi-Koordinaten (Jacobian Coordinates)” verwendet, die die Division verzögern.

5. Skalarmultiplikation und das Diskrete Logarithmusproblem (ECDLP)

Die rechenintensivste Operation in der Elliptischen-Kurven-Kryptographie, die gleichzeitig den Kern der Sicherheit bildet, ist die Skalarmultiplikation (Scalar Multiplication).

5.1. Was ist Skalarmultiplikation?

Die Operation, einen Punkt $P$ $k$-mal zu addieren, wird als Skalarmultiplikation bezeichnet und als $kP$ geschrieben.

$$ kP = \underbrace{P + P + \dots + P}_{k\text{ Mal}} $$

Hierbei ist $k$ eine sehr große Ganzzahl (zum Beispiel eine 256-Bit-Ganzzahl).

5.2. Diskretes Logarithmusproblem auf elliptischen Kurven (ECDLP)

Die Sicherheit der Elliptischen-Kurven-Kryptographie beruht auf der Schwierigkeit des folgenden Problems:

Diskretes Logarithmusproblem auf elliptischen Kurven (Elliptic Curve Discrete Logarithm Problem: ECDLP) Gegeben sei ein bekannter Punkt $P$ (Basispunkt) und ein berechneter Punkt $Q$. Finde den Skalar $k$, der $Q = kP$ erfüllt.

Es ist mit dem unten beschriebenen Algorithmus einfach (in polynomieller Zeit machbar), $Q$ aus $k$ und $P$ zu berechnen (Vorwärtsrichtung), aber es ist praktisch unmöglich, $k$ aus $P$ und $Q$ zurückzurechnen (Rückwärtsrichtung), da es außer Brute-Force-Suchen keine effiziente Lösungsmethode gibt (Einwegfunktion). In kryptographischen Protokollen entspricht $k$ dem “privaten Schlüssel” und $Q$ dem “öffentlichen Schlüssel”.

5.3. Double-and-Add-Algorithmus

Wenn $k$ eine riesige Zahl ist (z. B. $2^{256}$), würde die naive Addition von $P$ um $k$-mal das Ende der Lebensdauer des Universums überdauern. Daher wird die Double-and-Add-Methode (binäre Methode) verwendet, um die Skalarmultiplikation schnell durchzuführen.

Dies ist die elliptische Kurvenversion der “binären Exponentiation”, mit der die Potenzierung von Ganzzahlen schnell berechnet wird. Der Skalar $k$ wird binär dargestellt und vom höchstwertigen Bit an verarbeitet.

Initialisiere den Punkt $R$, der das Ergebnis hält, mit $\mathcal{O}$.
Wiederhole für jedes Bit von $k$, vom höchstwertigen bis zum niederwertigsten:
- Verdopple $R$ (Point Doubling: $R = 2R$)
- Wenn das aktuelle Bit 1 ist, addiere $P$ zu $R$ (Point Addition: $R = R + P$)

Durch diesen Algorithmus wird der Rechenaufwand drastisch von $O(k)$ auf $O(\log_2 k)$ reduziert, was die Berechnung in realistischer Zeit (im Millisekundenbereich) ermöglicht.

6. Elliptic Curve Diffie-Hellman (ECDH) Schlüsselaustausch

Hier erklären wir den Mechanismus des ECDH (Elliptic Curve Diffie-Hellman) Schlüsselaustauschprotokolls, welches das repräsentativste Anwendungsbeispiel für ECC ist. ECDH ist ein Mechanismus, mit dem Alice und Bob sicher einen gemeinsamen geheimen Schlüssel (Sitzungsschlüssel) über einen abhörbaren Kommunikationskanal generieren und austauschen können (dies ist der Kern des TLS-Handshakes).

[Vorab-Parameter (Domain Parameters)] Beide Parteien haben sich im Voraus auf die zu verwendende elliptische Kurve $E$, die Primzahl $p$ und den Basispunkt $G$ geeinigt. (Beispiele sind NIST P-256 oder secp256k1)

sequenceDiagram participant Alice as "Alice" participant Bob as "Bob" Note over Alice,Bob: "Öffentliche Parameter: Kurve E, Basispunkt G, Primzahl p" Alice->>Alice: "Generiere privaten Schlüssel d_A (zufällige Ganzzahl)" Alice->>Alice: "Berechne öffentlichen Schlüssel Q_A = d_A * G" Bob->>Bob: "Generiere privaten Schlüssel d_B (zufällige Ganzzahl)" Bob->>Bob: "Berechne öffentlichen Schlüssel Q_B = d_B * G" Alice->>Bob: "Sende öffentlichen Schlüssel Q_A (Klartext)" Bob->>Alice: "Sende öffentlichen Schlüssel Q_B (Klartext)" Alice->>Alice: "Berechne gemeinsames Geheimnis S = d_A * Q_B" Bob->>Bob: "Berechne gemeinsames Geheimnis S = d_B * Q_A" Note over Alice,Bob: "S = d_A * (d_B * G) = d_B * (d_A * G) = (d_A * d_B) * G" Note over Alice,Bob: "Die berechneten Ergebnisse S von beiden stimmen exakt überein!"

Ein Lauscher (Eve) kann $G$, $Q_A$ und $Q_B$, die über den Kommunikationsweg fließen, abfangen, aber aufgrund der Schwierigkeit des ECDLP kann er Alices privaten Schlüssel $d_A$ nicht aus $Q_A = d_A \cdot G$ ermitteln. Außerdem ergibt die Multiplikation von $Q_A$ und $Q_B$ nicht den gemeinsamen Schlüssel $S$, sodass der Lauscher $S$ nicht berechnen kann.

7. Fallstricke bei der Implementierung: Seitenkanalangriffe und Gegenmaßnahmen

Selbst ein theoretisch perfekter kryptographischer Algorithmus kann im Prozess seiner Implementierung als Programm Schwachstellen aufweisen. Das sind die sogenannten “Seitenkanalangriffe” (Side-Channel Attacks).

7.1. Timing-Angriffe (Timing Attack)

Schauen wir uns den zuvor erwähnten Double-and-Add-Algorithmus noch einmal an.

1
2
3
4
5
6
7
8


// Pseudocode eines anfälligen Double-and-Add
Point R = Point::Infinity;
for (int i = 255; i >= 0; i--) {
 R = PointDoubling(R); // Wird immer ausgeführt
 if (bit(k, i) == 1) {
 R = PointAddition(R, P); // Wird nur ausgeführt, wenn das Bit 1 ist!
 }
}

Diese Implementierung hat einen fatalen Fehler. Da Point Addition ausgeführt wird, wenn das Bit 1 ist, ist die Berechnungszeit geringfügig länger, als wenn das Bit 0 ist. Darüber hinaus ändern sich auch die Sprungvorhersage (Branch Prediction) des Prozessors und das Verhalten des Cache-Speichers. Indem ein Angreifer diesen winzigen Unterschied in der Berechnungszeit (oder dem Stromverbrauch) tausendfach statistisch beobachtet, kann er die Bitfolge des privaten Schlüssels $k$ Bit für Bit vollständig rekonstruieren. Das ist ein Timing-Angriff.

7.2. Constant-Time-Implementierung: Montgomery Ladder

Um Timing-Angriffe zu verhindern, muss man einen Algorithmus wählen, bei dem die Abfolge der ausgeführten Befehle und die Berechnungszeit unabhängig vom Bitwert des privaten Schlüssels immer konstant (Constant-Time) sind.

Das typischste Beispiel dafür ist die Montgomery Ladder (Montgomery-Leiter).

graph TD Start["Initialisierung: R0 = O, R1 = P"] --> LoopStart["Für jedes Bit i (vom höchstwertigen)"] LoopStart --> Cond{"Wert von k_i?"} Cond -->|0| Branch0["R1 = R0 + R1
R0 = 2 * R0"] Cond -->|1| Branch1["R0 = R0 + R1
R1 = 2 * R1"] Branch0 --> LoopEnd["Zum nächsten Bit"] Branch1 --> LoopEnd LoopEnd --> LoopStart LoopStart -.->|"Alle Bits abgeschlossen"| End["Ende: R0 ist das Ergebnis (kP)"]

Das Schöne an der Montgomery Ladder ist, dass unabhängig davon, ob das Bit 0 oder 1 ist, “immer genau eine Point Addition und eine Point Doubling” ausgeführt werden. Dadurch wird die Datenabhängigkeit der Berechnungszeit vollständig eliminiert.

Wenn jedoch die Verzweigung (if (k_i == 0)) selbst vorhanden ist, bleibt das Risiko bestehen, dass die Ausführungszeit durch Compileroptimierungen oder die Sprungvorhersage der CPU schwankt. Aus diesem Grund werden in tatsächlichen Constant-Time-Implementierungen bedingte Verzweigungen (if-Anweisungen) vermieden und stattdessen bedingtes Vertauschen (Conditional Swap) mit bitweisen Operationen verwendet.

8. Implementierung der Elliptischen-Kurven-Kryptographie in C++

Von nun an werden wir die Theorie in C++-Code umsetzen. Praktische Krypto-Bibliotheken (wie OpenSSL oder libsodium) verwenden hochentwickelte Assembler-Optimierungen und Jacobi-Koordinaten, aber um das mathematische Verständnis zu vertiefen, zeigen wir hier das Gerüst einer leicht verständlichen Constant-Time-Implementierung mit affinen Koordinaten.

Wir gehen davon aus, dass wir boost::multiprecision::cpp_int für die Berechnungen mit großen Zahlen verwenden.

8.1. Modulo-Arithmetik und Inversen

Zunächst definieren wir Hilfsfunktionen für Operationen auf endlichen Körpern. Wir implementieren die Inversen-Berechnung mit dem kleinen fermatschen Satz.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


#include <iostream>
#include <vector>
#include <stdexcept>
#include <boost/multiprecision/cpp_int.hpp>

using namespace boost::multiprecision;

// Beispiel: Parameter und Primzahl p für secp256k1
const cpp_int p("0xFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFEFFFFFC2F");
const cpp_int a = 0;
const cpp_int b = 7;

// Modulo-Operation, die einen positiven Rest zurückgibt
cpp_int mod(cpp_int x, cpp_int m) {
 cpp_int r = x % m;
 return r < 0 ? r + m : r;
}

// Modulare Exponentiation (x^y mod m)
cpp_int powerMod(cpp_int base, cpp_int exp, cpp_int m) {
 cpp_int res = 1;
 base = mod(base, m);
 while (exp > 0) {
 if (exp % 2 == 1) res = mod(res * base, m);
 base = mod(base * base, m);
 exp /= 2;
 }
 return res;
}

// Modulares Inverses mit dem kleinen fermatschen Satz
cpp_int modInverse(cpp_int n, cpp_int m) {
 // Annahme, dass m eine Primzahl ist: n^(m-2) ≡ n^(-1) mod m
 return powerMod(n, m - 2, m);
}

8.2. Darstellung von Punkten und Gruppenoperationen (Addition/Verdopplung)

Wir definieren eine Point-Struktur, die den Punkt im Unendlichen durch ein Flag verwaltet, und implementieren die Additionsformeln.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41


struct Point {
 cpp_int x;
 cpp_int y;
 bool isInfinity;

 // Erzeugung des Punktes im Unendlichen
 Point() : x(0), y(0), isInfinity(true) {}

 // Erzeugung eines normalen Punktes
 Point(cpp_int x, cpp_int y) : x(x), y(y), isInfinity(false) {}
};

// Punktaddition auf der elliptischen Kurve (R = P + Q)
Point pointAdd(const Point& P, const Point& Q) {
 if (P.isInfinity) return Q;
 if (Q.isInfinity) return P;

 if (P.x == Q.x && mod(P.y + Q.y, p) == 0) {
 return Point(); // P + (-P) = Punkt im Unendlichen
 }

 cpp_int lambda;
 if (P.x == Q.x && P.y == Q.y) {
 // Point Doubling (Wenn P = Q)
 // lambda = (3x^2 + a) / 2y
 cpp_int num = mod(3 * P.x * P.x + a, p);
 cpp_int den = modInverse(mod(2 * P.y, p), p);
 lambda = mod(num * den, p);
 } else {
 // Point Addition (Wenn P != Q)
 // lambda = (y2 - y1) / (x2 - x1)
 cpp_int num = mod(Q.y - P.y, p);
 cpp_int den = modInverse(mod(Q.x - P.x, p), p);
 lambda = mod(num * den, p);
 }

 cpp_int x3 = mod(lambda * lambda - P.x - Q.x, p);
 cpp_int y3 = mod(lambda * (P.x - x3) - P.y, p);

 return Point(x3, y3);
}

8.3. Implementierung des Constant-Time Conditional Swap

Wenn der Inhalt von Variablen basierend auf dem Bitwert des privaten Schlüssels vertauscht wird, erfolgt das Vertauschen ausschließlich durch Bitoperationen (Maskierung) ohne die Verwendung von if-Anweisungen. Dadurch wird der Ausführungspfad völlig konstant.

[!TIP] In der Praxis sind Klassen für Ganzzahlen mit mehrfacher Genauigkeit, die dynamisch allokiert werden (wie cpp_int), nicht für Constant-Time-Verarbeitung geeignet. Das liegt daran, dass durch Speicherzuweisung und sich ändernde Array-Größen Timing-Informationen durchsickern. In praktischen Bibliotheken werden stattdessen feste Längen (z. B. ein Array mit 4 Elementen von uint64_t) verwendet, und Maskierungsoperationen auf Bitebene implementiert. Das Folgende ist ein konzeptionelles Beispiel.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


// Konzeptioneller Constant-Time Swap (ausgehend von Ganzzahlen fester Länge)
// Wenn das Bit 1 ist, tausche P1 und P2; wenn es 0 ist, nicht.
void cswap(Point& P1, Point& P2, uint8_t bit) {
 // bit ist 0 oder 1. Die Maske ist alle Bits 1 (0xFF..), wenn bit=1, und alle Bits 0, wenn bit=0.
 // (Hier wird zur Erklärung angenommen, dass w jedes Wort der BigInt-Klasse fester Länge ist)
 /*
 uint64_t mask = 0 - (uint64_t)bit;
 for (int i = 0; i < NUM_WORDS; i++) {
 uint64_t dummy = mask & (P1.x.words[i] ^ P2.x.words[i]);
 P1.x.words[i] ^= dummy;
 P2.x.words[i] ^= dummy;
 // Die y-Koordinate und das isInfinity-Flag werden auf ähnliche Weise verarbeitet
 }
 */

 // ※ Ein vollständiger Constant-Time-Swap mit boost::multiprecision ist schwierig,
 // daher beschränken wir uns hier auf die Simulation durch Verzweigung zum Verständnis der Logik.
 if (bit == 1) {
 std::swap(P1, P2);
 }
}

8.4. Skalarmultiplikation durch Montgomery Ladder

Wir kombinieren das zuvor beschriebene pointAdd und cswap, um eine sichere Skalarmultiplikation zu implementieren.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


// Skalarmultiplikation k * P (Montgomery Ladder Methode)
Point scalarMultiply(const Point& P, cpp_int k) {
 Point R0 = Point(); // Punkt im Unendlichen
 Point R1 = P;

 // Hole die Bitlänge von k (256 Bit für secp256k1)
 int numBits = 256;

 for (int i = numBits - 1; i >= 0; i--) {
 // Hole den Wert des i-ten Bits (0 oder 1)
 uint8_t bit = static_cast<uint8_t>(bit_test(k, i) ? 1 : 0);

 // Wenn bit == 1, tausche R0 und R1
 cswap(R0, R1, bit);

 // Führe immer die gleichen Operationen aus (Point Addition und Point Doubling)
 R1 = pointAdd(R0, R1);
 R0 = pointAdd(R0, R0);

 // Wenn bit == 1 war, tausche erneut, um den Zustand wiederherzustellen
 cswap(R0, R1, bit);
 }

 return R0;
}

Durch diese Implementierungslogik wird – unabhängig davon, ob jedes Bit des Skalars $k$ eine 0 oder 1 ist – der in jeder Schleifeniteration ausgeführte Ablauf (cswap $\to$ pointAdd $\to$ pointAdd $\to$ cswap) völlig identisch. Dies verhindert effektiv das Durchsickern von Geheiminformationen durch Timing- oder Cache-Zugriffsmusterunterschiede.

9. Zusammenfassung

Die Elliptische-Kurven-Kryptographie (ECC) mag auf den ersten Blick seltsam erscheinen: “Warum wird aus einer geometrischen Operation wie dem Ziehen einer Gerade und dem Spiegeln eines Schnittpunkts eine Kryptographie?” Wenn man diese Operationen jedoch auf die diskrete Welt endlicher Körper abbildet, entsteht als Produkt der wundersamen Verschmelzung von Mathematik und Kryptographie eine hervorragende Einwegfunktion (das Diskrete Logarithmusproblem).

Dieser Artikel hat die folgenden wichtigen Punkte behandelt:

Vorteile gegenüber RSA: Es bietet starke Sicherheit mit sehr kurzen Schlüssellängen und ist ideal für das moderne Mobile- und IoT-Zeitalter.
Grundlagen der Gruppentheorie und endlicher Körper: Die inneren mathematischen Strukturen, die das Fundament von ECC bilden.
Formeln für Addition und Verdopplung: Wie algebraische Gruppenoperationen mit der Weierstraß-Gleichung implementiert werden.
Bedrohung durch Seitenkanalangriffe: Wie bedingte Verzweigungen, die von den Bits eines privaten Schlüssels abhängen, fatale Schwachstellen schaffen.
Constant-Time-Implementierung: C++-Codierungstechniken, die Montgomery Ladder und Conditional Swap verwenden, um das Verhalten auf Hardwareebene zu homogenisieren und Angriffe zu verhindern.

In einer Produktionsumgebung eine eigene Krypto-Bibliothek zu schreiben, birgt ein extrem hohes Sicherheitsrisiko und wird daher nicht empfohlen (“Don’t roll your own crypto”). Die tiefgreifende Kenntnis der intern ablaufenden Algorithmen und mathematischen Hintergründe wird jedoch zu einer unschätzbaren und mächtigen Waffe für Ingenieure, die sicherere und leistungsfähigere Systeme entwerfen und betreiben wollen.

Im nächsten Artikel werden wir noch tiefer auf den ECDSA (Elliptic Curve Digital Signature Algorithm), einen digitalen Signaturalgorithmus auf Basis elliptischer Kurven, sowie auf die in Bitcoin verwendeten Schnorr-Signaturen eingehen.