Faire teilbare elektronische Geldsysteme mit Observern

Abstract

Elektronische Geldsysteme stellen ein digitales Äquivalent zu herkömmlichen Bargeld dar. In ihrer einfachsten Form bestehen elektronische (Offline-) Geldsysteme aus drei Protokollen zum Abheben, Bezahlen und Einlösen elektronischer Münzen zwischen drei Parteien - der Bank, den Kunden und den Händlern. Die wichtigsten Sicherheitsanforderungen sind Unfälschbarkeit elektronischer Münzen, Identifikation von Double-Spendern und Anonymität der ehrlichen Kunden. Abhängig von ihrer Anwendung können elektronische Geldsysteme zusätzliche Eigenschaften wie Teilbarkeit, Fairness und Einsatz von Observern besitzen. - Ein teilbares elektronisches Geldsystem ermöglicht einem Kunden in jeweils einer Transaktion eine Geldbörse mit dem Geldwert K abzuheben und mit einer Münze mit dem Wert k zu bezahlen. Typischerweise sind K und k Zweierpotenzen mit K = 2^L und k = 2^l. - In einem fairen elektronischen Geldsystemen kann eine Trusted-Third-Party (TTP) die Anonymität in Verdachtsfällen aufheben, um perfekte Verbrechen zu verhindern. - Ein elektronisches Geldsystem mit Observern garantiert nicht nur das Aufspüren von Double-Spendern, sondern das unmittelbare Verhindern eines Double-Spendings.Ziel der Dissertation ist die Konstruktion sicherer und effizienter fairer teilbarer elektronischer Geldsysteme mit Observern. Da die Literatur unterschiedliche Sicherheitsdefinitionen bereit stellt, werden zunächst neue Sicherheitsziele entwickelt, die die in der Literatur bestehenden umfassen und insbesondere mehr Schutz für Kunden vor einer korrupten Bank bieten.Wir konstruieren ein teilbares elektronisches Geldsystem, das die neuen Sicherheitsanforderungen im Random-Oracle-Modell erfüllt und bei dem der Datentransfer aller Protokolle unabhängig vom Geldwert ist. Um ein möglichst effizientes System zu erhalten, stellen wir zudem ein neues Signaturverfahren mit effizienten Protokollen vor, das optimal an dieses angepasst ist. Zusätzlich modifizieren wir das Geldsystem zu einem zweiten teilbaren Geldsystem, das effizienter aber nur noch unter Verwendung eines sogenannten Type-3-Pairings sicher ist.Dann werden beide Geldsysteme zu fairen Systemen erweitert, die lediglich zwei zusätzliche Protokolle besitzen, um einen gewissen Kunden bzw. eine bestimmte Münze zu verfolgen. Somit ist die TTP in der Lage, die Anonymität (von verdächtigen Auszahlungen und Kunden) aufzuheben, während sie nur am entsprechenden Protokoll beteiligt ist. Des Weiteren modifizieren wir die Protokolle, damit Kunden unterschiedliche Geldbeträge abheben und Münzen mit beliebigem Geldwert zum Bezahlen verwenden können. Schließlich beschreiben wir, wie die (fairen) teilbaren elektronischen Geldsysteme auf verschiedene Weisen zu Geldsystemen mit Observern erweitert werden können. Electronic cash (e-cash) is the digital counterpart of conventional cash money in the electronic world. In its simplest form, an (offline) e-cash scheme consists of three protocols to withdraw, spend and deposit electronic coins amongst three parties, the bank, users and merchants. The most important security requirements are unforgeability of electronic coins, identification of double-spenders and anonymity of honest users. Depending on application, e-cash schemes may have some additional features such as divisibility, fairness and usage of observers. - A divisible e-cash scheme allows a user to withdraw a wallet of monetary value K and to spend a coin of monetary value k in a single operation, respectively. Typically, we have K = 2^L and k = 2^l. - In a fair e-cash scheme a trusted third party is able to revoke the user´s anonymity under suspicious activities to prevent perfect crime such as blackmailing or money laundering. - An e-cash scheme with observers guarantees not only the detection of double-spenders afterwards, but also prior restraint of double-spending.Aim of this thesis is the construction of secure and efficient fair divisible e-cash schemes with observers. Since publications provide different security definitions of e-cash schemes, we come up with new definitions which include the existing security requirements and which provide further security properties for honest users against a corrupt bank. We design a divisible e-cash scheme in which the bandwidth of each protocol is independent of the monetary value while the system fulfills those new security definitions in the random oracle model. To gain a most efficient scheme, we also present a new pairing-based digital signature scheme with efficient protocols that was optimized for the e-cash scheme. Furthermore, we modify this scheme to get a second divisible e-cash scheme which is more efficient but only secure using a so called Type 3 pairing.After that we extend both divisible e-cash schemes to fair ones which just have two additional protocols to trace a certain owner and a particular coin, respectively. So, the trusted third party is able to revoke the anonymity (of suspicious payments and users) while it is only involved in the corresponding protocol.Furthermore, we modify the withdrawal, spend and deposit protocols so that the users are able to withdraw different monetary values and to spend electronic coins of arbitrary monetary value (not necessary a power of 2).Finally, we describe different ways to extend our (fair) divisible e-cash schemes to schemes with observers.