Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

196
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
195
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
zahlengeneratoren nach und nach im DC-Netz eingesetzt werden und vermutlich eine große Vielzahl
angeboten wird, so daß es „nicht so schlimm ist“, wenn manche gebrochen werden sollten. Der
Nachteil ist offensichtlich: Ein Markt funktioniert nur dann gut, wenn der Konsument die Qualität der
Waren (ggf. mit Hilfe von Experten) preiswert beurteilen kann. In [Pfit_89 §2.2.2.2] habe ich meine
Skepsis gegenüber den heutzutage auf dem Markt angebotenen, größtenteils nach „geheimgehaltenen“
Algorithmen arbeitenden kryptographischen Systemen, die jeweils nur von (wenn die Geheimhaltung
geklappt haben sollte) wenigen, größtenteils namentlich nicht bekannten „Experten“ analysiert wurden,
bereits ausgedrückt. Ebenso habe ich in [Pfit_89 §2.2.2.3 (sowie dem Anhang) und §2.2.2.4]
einige Vorschläge zur und Begründungen für eine Normung unterbreitet, die im Falle des DC-Netzes
den kurzfristigen Austausch von Schlüsseln zwischen beliebigen Teilnehmern und damit eine
flexiblere und gezieltere Gestaltung [Cha3_85, Chau_88] des Schlüsselaustauschs erlaubt. Außerdem
werden durch die Verwendung standardisierter Implementierungen manche diskutierten Zuverlässigkeitsprobleme
leichter lösbar.
Der heutzutage noch hohe Aufwand kryptographisch starker Pseudozufallszahlengeneratoren kann
es für DC-Netze hoher Bandbreite erforderlich machen, bezüglich der kryptographischen Stärke der
Pseudozufallszahlenerzeugung Kompromisse einzugehen. Diese können in separater oder kombinierter
Anwendung der Maßnahmen bestehen, daß
• Teilnehmerstationen nur sehr wenige Schlüssel austauschen, daß
• manche Schlüssel mit effizienteren (und ggf. kryptographisch schwächeren) Pseudozufallszahlengeneratoren
erzeugt werden oder daß
• ein Teil der Bandbreite mit schwächer erzeugten Schlüsseln überlagert wird.
Durch letzteres entstünde in jedem Teil der Bandbreite ein separates DC-Netz, wobei die Anonymität
der Sender in den verschiedenen DC-Netzen unterschiedlich wäre, und – wie in [Pfit_89
§4.2] diskutiert – für verschieden sensitive Kommunikation verwendet werden könnte. Zu einem
späteren Zeitpunkt könnten starke Pseudozufallszahlengeneratoren zusätzlich zu den effizienteren
(und ggf. kryptographisch schwächeren) nachgerüstet werden.
l
lokale Überlagerung
110
• • •
111
globale Überlagerung
binäre Übertragung
l
&
Übertrag
l
0 0
1 1
• • •
Informationseinheit
0
1
0 0 0
1 1 1
110
• • •
111
Volladdierer
0 0
1 1
0
1
• • •
Schlüssel
0 0 0
1 1 1
l
lokales
Überlagerungsergebnis
&
Übertrag
0 0 0
1 1 1
• • •
0 0 0
1 1 1
l
lokale Überlagerung
Volladdierer
globales
Überlagerungsergebnis
110
0 0 0
1 1 1
• • •
0 0 0
1 1 1
• • •
111
l
&
Übertrag
0 0
1 1
• • •
Informationseinheit
0
1
0 0 0
1 1 1
Volladdierer
lokales
Überlagerungsergebnis
0 0
1 1
0
1
0 0 0
1 1 1
• • •
Schlüssel
Bild 5-16: Geeignete Codierung von Informationseinheiten, Schlüsseln und lokalen sowie globalen
Überlagerungsergebnissen bei der Übertragung: einheitliche Binärcodierung
Wahl einer geeigneten Topologie für die globale Überlagerung (betr. vor allem: Z1): Die
Verzögerungszeit eines DC-Netzes setzt sich aus den für die Übertragung und Überlagerung benötigten
Zeiten zusammen. Deshalb sind sowohl die Übertragungs- als auch die Überlagerungstopologie in
aufeinander abgestimmter Weise so zu wählen, daß die Summe aller Verzögerungszeiten und damit
die Verzögerungszeit des DC-Netzes möglichst gering ist. Unabhängig von beiden kann die Schlüsseltopologie
gewählt werden, da die Reihenfolge und Zusammenfassung der Additionen in einer abelschen
Gruppe irrelevant ist. Die drei zu unterscheidenden Topologien des DC-Netzes zeigt Bild 5-17.
Implementierung der modulo-Addierer (betr. vor allem: Z1, Z4): Da – wie bei der Festlegung
der Alphabetgröße schon gezeigt – modulo-Addierer für alle in Betracht kommenden Alphabetgrößen
mit geringem Aufwand so realisiert werden können, daß sie mit der technologieabhängigen minimalen
Gatterverzögerungszeit als Verzögerungszeit des modulo-Addierers auskommen, kann jeder modulo-
Addierer den gesamten Bitstrom verarbeiten, so daß keine Überlegungen bezüglich Parallelarbeit von
modulo-Addierern angestellt zu werden brauchen.
Umgekehrt erscheint es bei Anschluß jeder Teilnehmerstation an mehrere DC-Netze aufwandsmäßig
nicht lohnend, vorhandene modulo-Addierer mittels Multiplexern für mehrere der DC-Netze zu
verwenden, da Multiplexer nicht wesentlich geringeren Aufwand als die beschriebenen modulo-
Addierer verursachen. In §5.4.5.6 wird außerdem noch ausführlich dargestellt, daß ein (möglichst
weitgehender) Verzicht auf gemeinsame Teile einen gleichzeitigen Ausfall mehrerer DC-Netze
unwahrscheinlicher macht und deshalb wünschenswert ist.
Implementierung der Pseudozufallszahlengeneratoren (betr. vor allem: Z3, Z4): Da die
Generierung von kryptographisch starken Pseudozufallsbit- bzw. -zahlenfolgen heutzutage für jedes
DC-Netz nennenswerter Übertragungsrate nötig (vgl. §3), aber wesentlich langsamer als ihre Überlagerung
und Übertragung ist, müssen ggf. mehrere Pseudozufallszahlengeneratoren parallel betrieben
und ihre Ausgaben über einen Multiplexer zu einem um ihre Anzahl schnelleren Bitstrom verschachtelt
werden.
Weder der Entwurf noch die Implementierung der Pseudozufallszahlengeneratoren muß innerhalb
des DC-Netzes einheitlich sein. Theoretisch können sich je zwei Teilnehmer auf den Entwurf eines
Pseudozufallszahlengenerators einigen, sich zwei gleichschnelle (anderenfalls muß die schnellere
langsamer arbeiten) Implementierungen beschaffen und brauchen dann nur noch einen gemeinsamen
und geheimen Startwert sowie möglicherweise einen öffentlich bekannten genauen Zeitpunkt zum
synchronisierten Überlagerungsbeginn ihres Schlüssels. Der Vorteil dieser völlig dezentralen Auswahl
von Pseudozufallszahlengeneratoren ist, daß sicherere und leistungsfähigere Pseudozufalls-