سیستم رمزنگاری کوله پشتی مرکل-هلمن

سیستم رمزنگاریِ کوله پشتی ِ مرکل-هلمن یکی از اولین رمزنگاری‌های کلید عمومی است که توسط رالف مرکل و مارتین هلمن در سال 1987 ارائه شد .^[۱] با وجود اینکه ایده‌های این الگوریتم ساده‌تر و بسیار هوشمندانه تر از الگوریتم آر اس ای است، این سیستم رمزنگاری شکسته شده‌است.^[۲]

تعریف

روش مرکل-هلمن، یک روش رمزنگاری نامتقارن است. به این معنی که برای ارتباط، به دو کلید نیاز داریم: یک کلید عمومی و یک کلید خصوصی. همچنین بر خلاف الگوریتم RSA، یک طرفه است. یعنی از کلید عمومی فقط برای رمزنگاری و از کلید خصوصی فقط برای رمز گشایی استفاده می‌شود.بنابراین توسط امضای دیجیتال تصدیق نمی‌شود.

سیستم مرکل-هلمن بر پایه ی مسئله جمع زیرمجموعه ها ( نوع خاصی از مسئله کوله‌پشتی ) بناشده است. مسئله جمع زیر مجموعه ها از این قرار است: مجموعه‌ای از اعداد به نام ${\displaystyle A}$ و عددی به نام ${\displaystyle b}$ داده شده‌اند. زیر مجموعه‌ای از ${\displaystyle A}$ را بیابید که جمع اعضایش برابر با ${\displaystyle b}$ شود. در حالت کلی، این مسئله NP کامل است. اما اگر مجموعه ی اعداد (یا همان کوله پشتی) سوپر افزایشی باشد، مسئله در زمان چندجمله ای با استفاده از الگوریتم حریصانه قابل حل می‌شود. منظور از سوپر افزایشی این است که: هر عضو در مجموعه، از جمع اعضای قبل از آن اکیداً بزرگتر باشد.

تولید کلید

در سیستم مرکل-هلمن، کلیدها همان کوله پشتی‌ها هستند. کلید عمومی یک کوله پشتی 'سخت' و کلید خصوصی یک کوله پشتی 'آسان'، یا سوپرافزایشی، است. اما برای کلید خصوصی، از تغییر هوشمندانه‌ای استفاده می کنیم: با استفاده از یک ضریب ${\displaystyle r}$ و یک پیمانه ${\displaystyle q}$. به این ترتیب که هر عدد دلخواه ${\displaystyle a}$ را به عدد: ${\displaystyle a*r{\pmod {q}}}$ تبدیل می کنیم. این تبدیل یک کوله پشتی ساده از نوع سوپرافزایشی را به یک کوله پشتی سخت تبدیل می‌کند. بار دیگر از اعداد ${\displaystyle r}$ و ${\displaystyle q}$ برای تبدیل جمع زیرمجموعه ی مسئله ی سخت به جمع زیر مجموعه ی مسئله ی ساده، که در زمان چندجمله‌ای حل می‌شود، استفاده می‌شود.

رمز نگاری

برای رمز کردن یک پیغام، زیر مجموعه‌ای از کوله پشتی سخت انتخاب می‌شود. به این ترتیب که متن را که در قالب تعدادی 0 و 1 نمایش داده می‌شود با مسئله ی کوله پشتی ای با طول مشابه مقایسه می کنیم. اگر در جایگاه ${\displaystyle i}$ ام متن، 1 دیدیم، شی شماره ${\displaystyle i}$ را انتخاب می کنیم و در غیر این صورت انتخاب نمی‌شود. اعضای زیرمجموعه ی انتخاب شده با هم جمع کرده، و جمع نهایی همان پیام رمز شده‌است.

رمز گشایی

رمز گشایی پیغام به این صورت انجام می‌گیرد: ضریب و پیمانه‌ای که برای تبدیلِ کوله پشتی ساده به سخت، استفاده شدند، می‌توانند برای تبدیل پیام رمز شده به جمع اعضای مورد نظرِ کوله پشتی سوپرافزایشی نیز مورد استفاده قرار گیرند. سپس با استفاده از یک الگوریتم حریصانه ی ساده، مسئله ی کوله پشتی آسان با مرتبه ی زمانی O(n) حل می‌شود و پیغام رمزگشایی می‌شود.

روش ریاضی

تولید کلید

برای رمز نگاری پیام‌های n- بیتی، یک رشته ی سوپرافزایشی مانند ${\displaystyle w=(w_{1},w_{2},\ldots ,w_{n})}$ را انتخاب کنید که از ${\displaystyle n}$ عدد طبیعیِ ناصفر تشکیل شده‌است. سپس دو عدد صحیح تصادفیِ ${\displaystyle q}$ و ${\displaystyle r}$ را طوری انتخاب کنید که : ${\displaystyle q>\sum _{i=1}^{n}w_{i}}$ و بزرگترین مقسوم علیه مشترک ${\displaystyle r}$ و ${\displaystyle q}$ برابر با 1 باشد. (یعنی دو عدد نسبت به هم اول باشند.)

${\displaystyle q}$ به گونه‌ای انتخاب شده که پیام رمز شده به‌طور یکتا تعیین شود. اگر ${\displaystyle q}$ کوچکتر از این مقدار باشد، ممکن است بیش از یک پیام به یک رمز تبدیل شوند. ${\displaystyle r}$ هم باید نسبت به q اول باشد، در غیر این صورت به پیمانه ی ${\displaystyle q}$ وارون نخواهد داشت. وجود وارون ${\displaystyle r}$ برای رمزگشایی ضروری است.

حال رشته ی β را محاسبه کنید : ${\displaystyle \beta =(\beta _{1},\beta _{2},\ldots ,\beta _{n})}$ که ${\displaystyle \beta _{i}\equiv r*w_{i}{\pmod {q}}}$ . کلید عمومی ${\displaystyle \beta }$ و کلید خصوصی ${\displaystyle (w,q,r)}$ است.

رمز نگاری

برای رمزکردن یک پیام n-بیتیِ:

${\displaystyle \alpha =(\alpha _{1},\alpha _{2},\ldots ,\alpha _{n})}$

که ${\displaystyle \alpha _{i}}$ بیتِ ${\displaystyle i}$ امِ پیام است و ${\displaystyle \alpha _{i}\in \{0,1\}}$ ، مقدارِ:

${\displaystyle c=\sum _{i=1}^{n}\alpha _{i}\beta _{i}}$

را محاسبه کنید. پیام رمز شده همان ${\displaystyle c}$ است.

رمز گشایی

برای رمزگشاییِ پیامِ رمز شده ی ${\displaystyle c}$، دریافت‌کننده ی پیام باید بیت‌های ${\displaystyle a_{i}}$ را پیدا کند، طوری که:

${\displaystyle c=\sum _{i=1}^{n}\alpha _{i}\beta _{i}.}$

این مسئله در صورتی که ${\displaystyle \beta _{i}}$‌ها مقادیری تصادفی باشند، بسیار دشوار است. زیرا دریافت‌کننده ی پیام باید مسئله‌ای از نوع جمع زیرمجموعه‌ها را حل کند، که در حالت کلی NP-سخت است. اما ${\displaystyle \beta _{i}}$‌ها طوری انتخاب شده اند که اگر کلیدِ خصوصی ${\displaystyle (w,q,r)}$ معلوم باشد، پیام به سادگی رمز گشایی شود.

برای رمزگشایی، باید عدد صحیح ${\displaystyle s}$ را طوری بیابیم که وارون پیمانه‌ای ِ ${\displaystyle r}$ به پیمانه ی ${\displaystyle q}$ باشد. یعنی ${\displaystyle s}$ در نامساوی:

${\displaystyle s*r\equiv 1{\pmod {q}}}$

صدق می‌کند یا به عبارتی، عدد صحیح ${\displaystyle k}$ وجود دارد طوری که:

${\displaystyle s*r=k*q+1}$

از آنجایی که ${\displaystyle r}$ طوری انتخاب شده بود که ${\displaystyle gcd(r,q)=1}$، با استفاده از الگوریتم اقلیدسی توسعه یافته می‌توان ${\displaystyle s}$ و ${\displaystyle k}$ را محاسبه نمود. سپس دریافت‌کننده ی پیام، محاسبات زیر را انجام می دهد:

${\displaystyle c'\equiv cs{\pmod {q}}}$

بنابراین:

${\displaystyle c'\equiv cs\equiv \sum _{i=1}^{n}\alpha _{i}\beta _{i}s{\pmod {q}}}$

از آنجایی که ${\displaystyle r*s\equiv 1{\pmod {q}}}$ و ${\displaystyle \beta _{i}\equiv r*w_{i}{\pmod {q}}}$ داریم:

${\displaystyle \beta _{i}s\equiv w_{i}rs\equiv w_{i}{\pmod {q}}}$

بنابراین:

${\displaystyle c'\equiv \sum _{i=1}^{n}\alpha _{i}w_{i}{\pmod {q}}}$

مجموع تمام مقادیر ${\displaystyle w_{i}}$ کوچکتر از ${\displaystyle q}$ است. بنابراین ${\displaystyle \sum _{i=1}^{n}\alpha _{i}w_{i}}$ هم در بازه ی ${\displaystyle [0,q-1]}$ قرار دارد. بنابراین دریافت‌کننده ی پیام، باید مسئله ی جمع زیر مجموعه‌ها ی زیر را حل کند:

${\displaystyle c'=\sum _{i=1}^{n}\alpha _{i}w_{i}}$

مسئله ساده است زیرا ${\displaystyle w}$ یک دنباله ی سوپرافزایشی است. بزرگترین عضو ${\displaystyle w}$ را در نظر بگیرید؛ فرض کنیم ${\displaystyle w_{k}}$ باشد. اگر ${\displaystyle w_{k}>c'}$ باشد، ${\displaystyle \alpha _{k}=0}$ و در غیر اینصورت ${\displaystyle \alpha _{k}=1}$ است. سپس ${\displaystyle w_{k}*\alpha _{k}}$ را از ${\displaystyle c'}$ کم کنید و این مراحل را تکرار کنید تا ${\displaystyle \alpha }$ به‌طور کامل بدست آید.

مثال

در ابتدا، یک دنباله ی سوپر افزایشی می سازیم و آن را ${\displaystyle w}$ نام‌گذاری می کنیم:

${\displaystyle w=\{2,7,11,21,42,89,180,354\}}$

این پایه ی کلید خصوصی است. از این دنباله، جمع اعضا را محاسبه کنید:

${\displaystyle \sum w=706}$

سپس عدد ${\displaystyle q}$ را طوری انتخاب کنید که بزرگتر از مجموع باشد:

${\displaystyle q=881}$

همچنین عدد ${\displaystyle r}$ را طوری انتخاب کنید که در محدوده ی ${\displaystyle [1,q)}$ بوده و نسبت به q اول باشد:

${\displaystyle r=588}$

کلید خصوصی از ${\displaystyle q}$ ، ${\displaystyle w}$ و ${\displaystyle r}$ تشکیل شده‌است.

برای محاسبه ی کلید عمومی، دنباله ی ${\displaystyle \beta }$ را با ضرب کردن هر عضوِ ${\displaystyle w}$ در ${\displaystyle r}$ و باقی‌مانده گرفتن نسبت به ${\displaystyle q}$ بدست می آوریم:

${\displaystyle \beta =\{295,592,301,14,28,353,120,236\}}$

زیرا:

${\displaystyle 2*588\equiv 295{\pmod {881}}}$

${\displaystyle 7*588\equiv 592{\pmod {881}}}$

${\displaystyle 11*588\equiv 301{\pmod {881}}}$

${\displaystyle 21*588\equiv 14{\pmod {881}}}$

${\displaystyle 42*588\equiv 28{\pmod {881}}}$

${\displaystyle 89*588\equiv 353{\pmod {881}}}$

${\displaystyle 180*588\equiv 120{\pmod {881}}}$

${\displaystyle 354*588\equiv 236{\pmod {881}}}$

دنباله ی ${\displaystyle \beta }$، کلید عمومی را می سازد.

برای مثال فرض کنید آلیس می‌خواهد رشته ی ${\displaystyle a}$ را رمز کند. ابتدا باید ${\displaystyle a}$ را به صورت دودویی نمایش داده، به رشته‌ای از 0 و 1 تبدیل کند. (با استفاده از ASCII یا UTF-8 )

${\displaystyle 01100001}$

او بیت ${\displaystyle i}$ ام را در عضو شماره ${\displaystyle i}$ از دنباله ی ${\displaystyle \beta }$ ضرب کرده، آن‌ها را با هم جمع می‌کند:

${\displaystyle a=01100001}$

${\displaystyle 0*295}$

${\displaystyle +1*592}$

${\displaystyle +1*301}$

${\displaystyle +0*14}$

${\displaystyle +0*28}$

${\displaystyle +0*353}$

${\displaystyle +0*120}$

${\displaystyle +1*236}$

${\displaystyle =1129}$

و در نهایت عدد بدست آمده، یعنی 1129 را به دریافت‌کننده ی پیام می فرستد.

باب برای رمزگشایی پیام، عدد 1129 را در ${\displaystyle r^{-1}{\pmod {q}}}$ ضرب می‌کند. (برای اطلاعات بیشار وارون پیمانه ای را ببینید.)

${\displaystyle 1129*442\equiv 372{\pmod {881}}}$

حال باب بزرگترین عضو ${\displaystyle w}$ را که کمتر یا مساوی 372 باشد، انتخاب می‌کند. آن را از 372 کم می‌کند (باقی‌مانده را ${\displaystyle x}$ بنامید) و به‌طور مشابه ادامه می‌دهد. یعنی بزرگترین عضور از ${\displaystyle w}$ را که کوچکتر یا مساوی ${\displaystyle x}$ باشد انتخاب می‌کند و این فرایند را تا زمانی که به باقی‌مانده ی 0 برسد ادامه می دهد:

${\displaystyle 372-354=18,\quad 18-11=7,\quad 7-7=0}$

اعضایی که از کلید خصوصی انتخاب کردیم، متناظر با بیت‌های یکِ پیامِ

${\displaystyle 01100001}$

بودند. وقتی از حالت دودویی به رشته‌ای از حروف تبدیل می‌شود، مشاهده می‌شود پیام دریافتی به درستی رمزگشایی شده و همان پیام فرستاده شده‌است.

یادداشت‌ها

1. Merkle, Ralph and Martin Hellman, "Hiding information and signatures in trapdoor knapsacks," Information Theory, IEEE Transactions on, vol.24, no.5, pp. 525-530, Sep 1978 URL: http://ieeexplore.ieee.org/search/freesrchabstract.jsp?tp=&arnumber=1055927
2. Shamir, Adi, "A polynomial-time algorithm for breaking the basic Merkle - Hellman cryptosystem," Information Theory, IEEE Transactions on, vol.30, no.5, pp. 699-704, Sep 1984 URL: http://ieeexplore.ieee.org/search/freesrchabstract.jsp?tp=&arnumber=4568386

منابع