Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

204
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
203
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Verwendung eines Konzelationssystems, so daß ihre Wege über ihre Länge und Codierung, zusammen
ihr äußeres Erscheinungsbild, nicht verfolgt werden können.
Damit dieses Verfolgen des Weges auch über zeitliche oder räumliche Zusammenhänge nicht
möglich ist, muß jeder MIX jeweils mehrere Nachrichten gleicher Länge von genügend vielen unterschiedlichen
Absendern110 abwarten (oder ggf. auch selbst erzeugen oder von Teilnehmerstationen
erzeugen lassen – sofern nichts Nützliches zu senden ist, eben bedeutungslose Nachrichten, die von
der Teilnehmerstation des Empfängers oder bei geeigneter Verschlüsselungsstruktur und Adressierung
bereits von einem der folgenden MIXe ignoriert werden), sie dazu puffern und nach der Umcodierung
umsortiert, d.h. in anderer zeitlicher Reihenfolge bzw. auf anderen Leitungen ausgeben.
Eine geeignete Reihenfolge ist etwa die alphabetische Ordnung der umcodierten Nachrichten. (Solch
eine von vornherein vorgegebene Reihenfolge ist besser als eine zufällige, da so der verborgene
Kanal (covert -, hidden channel) der „zufälligen“ Reihenfolge für ein eventuell im jeweiligen MIX
vorhandenes Trojanisches Pferd geschlossen wird. Da auch die Anzahl der jeweils gleichzeitig zu
mixenden Nachrichten sowie die Zeitverhältnisse exakt vorgegeben werden können und dem MIX
das Erzeugen von Nachrichten verboten werden kann, braucht der MIX keinerlei Handlungsspielraum
und damit braucht keinerlei Möglichkeit zu bestehen, über die ein eventuell im MIX vorhandenes
Trojanisches Pferd einem nicht empfangsberechtigten Empfänger verborgen Information zukommen
lassen kann, vgl. §1.2.2 und [PoKl_78, Denn_82 Seite 281].)
Die zum Zwecke des Verbergens zeitlicher oder räumlicher Zusammenhänge zusammen gemixten,
d.h. zusammen gepufferten (oder erzeugten), umcodierten und umsortiert (beispielsweise in alphabetischer
Reihenfolge) ausgegebenen Nachrichten gleicher Länge werden als ein Schub (batch
[Chau_81 Seite 85]) bezeichnet. 111
Mit dem Zurückschalten vom F-Modus in den A-Modus wird das Verfahren zum anonymen
Mehrfachzugriff neu initialisiert, um Auswirkungen von Fehlern der Schicht 1 (physical) auf
die Schicht 2 (data link) rückgängig zu machen. Alle gerade geschilderten Schritte sind in Bild
5-21 zusammengefaßt.
Natürlich gibt es hunderte von Variationen dieses Fehlerlokalisierungs- und -behebungsprotokolls,
über deren Zweckmäßigkeit geurteilt werden kann, sobald die Wahrscheinlichkeiten von (Mehrfach-)
Fehlern bekannt sind. Ist beispielsweise die Wahrscheinlichkeit von Mehrfachfehlern signifikant, so
sollten Hälften des Schlüsselaustauschgraphen, die vom gerade beschriebenen Protokoll nicht getestet
werden, auch getestet werden, was den Aufwand des Protokolls höchstens verdoppelt.
Da die Wahrscheinlichkeiten nicht bekannt sind, sind folglich nicht die Details von Fehlerlokalisierung
und -behebung interessant, sondern daß sie mit logarithmischem Zeitaufwand (in der Zahl
der Stationen) möglich sind.
Es ist beachtenswert, daß bei „Fehlererkennung, -lokalisierung und -behebung in einem DC-Netz“
die Anonymität trotz Fehlertoleranz nicht abgeschwächt wird, wenn entweder echt zufällig generierte
Schlüssel oder kryptographisch starke PZGs verwendet werden. Durch das Einführen der zwei Modi
und die Verwendung von Schlüsselzeichen entweder im einen oder aber im anderen Modus bleibt im
A-Modus die Anonymität jederzeit in ihrem ursprünglichen Umfang garantiert.
A-Modus F-Modus
Sender und
Empfänger
nicht geschützt
Anonyme Nachrichtenübertragung
durch
überlagerndes Senden
Zusätzlich zum Puffern, Umcodieren und Umsortieren von Nachrichten gleicher Länge muß jeder
MIX darauf achten, daß jede Nachricht nur einmal gemixt wird – oder anders herum gesagt: Nachrichtenwiederholungen
ignoriert werden. Eine Eingabe-Nachricht stellt genau dann eine Nachrichtenwiederholung
dar, wenn sie schon einmal bearbeitet wurde und die jeweils zugehörigen Ausgabe-
Nachrichten von Unbeteiligten verkettbar (beispielsweise gleich) wären. (Wann dies genau der Fall
ist, hängt vom verwendeten Umcodierungsschema ab und wird deshalb zusammen mit den Umcodierungsschemata
weiter unten diskutiert.)
Wird eine Nachricht innerhalb eines Schubes mehrfach bearbeitet, so entstehen über die Häufigkeiten
der Eingabe- und Ausgabe-Nachrichten dieses Schubes unerwünschte Entsprechungen: einer
Eingabe-Nachricht, die n-mal auftritt, entspricht eine Ausgabe-Nachricht, die ebenfalls n-mal auftritt.
Treten alle Eingabe-Nachrichten eines Schubes verschieden häufig auf, so schützt das Umcodieren
dieses Schubes also überhaupt nicht.
Wird eine Nachricht in mehreren Schüben bearbeitet, so können zwischen diesen Schüben nichtleere
Durchschnitte (und Differenzen) gebildet werden, indem jeweils der Durchschnitt (die Differenz)
Fehlererkennung
Fehlerlokalisierung
Ausgliederung
der defekten
Komponenten
Fehlerzustandsbehebung
der PZGs,
Initialisierung des
Zugriffsprotokolls
Bild 5-21: Fehlererkennung, -lokalisierung und -behebung beim DC-Netz
5.4.6 MIX-Netz: Schutz der Kommunikationsbeziehung
110 Die Forderung „Nachrichten von genügend vielen unterschiedlichen Absendern“ ist eine schwierig zu erfüllende
Forderung: 1. sind in manchen Kommunikationsnetzen, z.B. dem Internet, eineindeutige Teilnehmeridentitäten nicht
gegeben, d.h. Teilnehmer können sich beliebig viele unterschiedliche Identitäten zulegen. MIX-Varianten, die selbst
dann noch sinnvoll eingesetzt werden können, sind in [Kesd_99] beschrieben. 2. ist selbst dann, wenn eineindeutige
Teilnehmeridentitäten gegeben sind, deren Prüfung ab dem zweiten durchlaufenen MIX alles andere als trivial, vgl.
Aufgabe 5-20.
111 Eine im Internet verbreitete MIX-Implementierung (MIXmaster) arbeitet etwas anders: Bei ihr wird in einem Pool
eine Mindestanzahl an Nachrichten gehalten und nach dem Mixen einer neu eingetroffenen Nachricht dann zwischen
dieser und den im Pool enthaltenen einzelnen Nachrichten eine Zufallsauswahl getroffen, welche Nachricht ausgegeben
wird. Wird Poolgröße+1 gleich Schubgröße gewählt, ist die durchschnittliche Verzögerungszeit bei der
Poolimplementierung doppelt so groß – dafür ist die Unverkettbarkeit von Eingabe- und Ausgabenachrichten höher.
Da bei Kommunikationsdiensten oftmals garantiert werden muß, daß eine maximale Verzögerungszeit nicht
überschritten wird und bei der Poolimplementierung keine Garantie gegeben werden kann, erscheint mir die
schubweise Implementierung vorteilhaft.
Statt zusätzlich zum Empfänger auch den Sender verborgen zu halten, kann man zunächst versuchen,
nur deren Verbindung geheimzuhalten und so die Anonymität der Kommunikation herzustellen.
Diese Idee wird durch das Verfahren der umcodierenden MIXe verwirklicht [Chau_81,
Cha1_84].
Bei diesem von David Chaum 1981 für elektronische Post vorgeschlagenen Verfahren werden
Nachrichten von ihren Sendern nicht notwendigerweise auf dem kürzesten Weg zu ihren Empfängern
geschickt, sondern über mehrere möglichst bezüglich ihres Entwurfes, ihrer Herstellung [Pfit_86
Seite 356] und ihres Betreibers [Chau_81, Cha1_84 Seite 99] unabhängige sowie Nachrichten
gleicher Länge puffernde, umcodierende und umsortierende Zwischenstationen, sogenannte MIXe,
geleitet. Jeder MIX codiert Nachrichten gleicher Länge um, d.h. ent- oder verschlüsselt sie unter