Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

2.4. ABWEHR DER MAN-IN-THE-MIDDLE-ATTACK 33
Werte von H selbst zufällig wählt. Jede solche Erzeugung eines H-Wertes gilt als Orakel-
Aufruf und die nochmalige, echte Befragung des Orakels an derselben Stelle ist verboten.
�
Historie. Der Vorschlag H : G × {0,1} ∗ → [0,2 t [ als Zufallsfunktion zu betrachten
geht zurück auf [FiatShamir1986]. Weiter ausgearbeitet wurde das ROM durch Bellare,
Rogaway in [BellareRogaway1993]. Das ROM ist weithin anerkannt aber auch umstritten.
Es bedeutet, dass die Werte H(g i ,m i ) für i = 1,...,l, die ein Angreifer auswählt, statistisch
unabhängig sind.
Der Algorithmus AL von Satz 2.1.2 auf Seite 22 wurde eingeführt in [FeigeFiatShamir1988]
für das Fiat-Shamir-Schema. Die Übertragung von AL auf die DL-Identifkation ist in
[Schnorr1991] erschienen.
Die Übertragung von Satz 2.1.2 auf DL-Signaturen mit stat. unabhängigen H-Orakeln steht
erstmals in [PointchevalStern1996] (Orakel Replay Attacke, Forking Lemma). Das dort
bewiesene Lemma 1 ist viel schwächer als Satz 2.3.9.
Faustregel. Die Analyse einer 3-Runden Identifikation ist einfacher als die des zugehörigen
Signatur-Verfahrens. Ist die Identifikation sicher gegen aktive Angriffe, dann sind
die zugehörigen Signaturen sicher gegen CMA sofern die Hashfunktion keine Schwächen
hat.
2.4. Abwehr der Man-in-the-middle-Attack
Idee: P muss wissen, mit welchem V er kommuniziert. Dazu fordert P den öffentlichen
Schlüssel h V von V an.
Das Protokoll läuft dann wie folgt ab:
(P,V ) II P ← h V → V
1. ← m m ∈ R {0,1} ∗
2. r ∈ R �q, e := H(g r ,(m,h V )), y := r + xe ∈ �q e,y →
3. H(g y h −e ,(m,h V )) ? = e
Die Kommunikation in (P,V ) II identifiziert P und V . Die Identifikation ist flüchtig, ohne
bleibende Bedeutung. Häufig sind man-in-the-middle-Attacken und aktive Attacken durch
die Situation praktisch ausgeschlossen, z.B. bei der Identifikation einer Chipkarte gegenüber
dem Geldausgabeautomat (GA).
Die Identifizierung des GA gegenüber der Chipkarte ist kryptographisch sinnlos und dient
nur zu Prüfzwecken. Ein betrügerischer GA erfragt die Pinnummer, behält die Karte und
meldet „Störung”.
Schwächere Annahmen als ROM.
DEFINITION 2.4.1. H ist kollisionsresistent, wenn keine Kollision (w,w ′ ) mit w �= w ′ ,
H(w) = H(w ′ ) bekannt ist.
In der asymptotischen Theorie verlangt man, dass Kollisionen nicht in pol. Zeit konstruierbar
sind.
LEMMA 2.4.2. Damit DSA-Signaturen sicher gegen CMA sind, muss H kollisionsresistent
sein.