Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

214
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
213
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Unbeteiligten vollständig. Da hier der Empfänger jedoch den Rückadreßteil R1 kennt, kann er den
Sender beobachten, sofern
1. der Empfänger selbst oder jemand, der mit ihm zusammenarbeitet, die entsprechende Leitung
abhören kann oder die Kooperation des Betreibers oder eines Herstellers des dem MIX-Netz
zugrundeliegenden Kommunikationsnetzes hat, oder in vielen Fällen wesentlich einfacher,
2. der Empfänger die Kooperation von MIX1 hat, was besonders wahrscheinlich ist, wenn er ihn
auswählen kann, und das dem MIX-Netz zugrundeliegende Kommunikationsnetz gesendeten
Nachrichten öffentliche oder explizite Absenderadressen zuordnet (und den Netzbenutzern mitteilt
– wie im geplanten ISDN vorgesehen), die einen Personenbezug aufweisen oder deren,
meist an der Topologie des Kommunikationsnetzes orientiertes Bildungsschema entweder
allgemein bekannt ist bzw. auch anderenfalls meist erschlossen werden kann oder dem Sender
vom Betreiber oder einem Hersteller des Kommunikationsnetzes der zu dieser Adresse gehörige
„Ort“ mitgeteilt wird, oder
3. zusätzlich zu 1. der Empfänger die Kooperation von MIX1 hat, was – wie schon erwähnt –
besonders wahrscheinlich ist, wenn er ihn auswählen kann.
Dies Problem kann nun natürlich auch bezüglich der 1. Bedrohung durch virtuelle Verbindungs-
Verschlüsselung [Pfi1_85 Seite 12, 14], bezüglich der 2. Bedrohung durch geeignete Protokollgestaltung
im dem MIX-Netz zugrundeliegenden Kommunikationsnetz und bezüglich aller Bedrohungen
mit den in §5.4.4 beschriebenen Verfahren zum Schutz des Senders gelöst werden. Durch Letzteres
wird sogar mehr als nur die Kommunikationsbeziehung geschützt. Je nach Struktur und Leistungsfähigkeit
des zugrundeliegenden Kommunikationsnetzes können diese Verfahren die Nutzleistung
des Kommunikationsnetzes in unakzeptabler Weise reduzieren, so daß dann – sofern die
Anwendung gegenseitige Anonymität fordert – nur die bereits beschriebene Kombination von einem
Umcodierungsschema für Sender- und einem für Empfängeranonymität möglich ist [Pfi1_85 Seite
14f]. (Die Idee ist vermutlich auch in [Chau_81 Seite 85] enthalten, die dortige Formulierung in ihrer
Allgemeinheit jedoch falsch.) Diese gegenseitige Anonymität muß natürlich auch bei der ersten
Nachricht vorhanden sein, was durch den schon früher beschriebenen Indirektionsschritt über eine
(hier tatsächlich nötige) zusätzliche Instanz X (bzw. zumindest Funktionalität, die natürlich auch von
einer vorhandenen Instanz erbracht werden kann), hier ein Adreßverzeichnis mit anonymen
Rückadressen, erreicht wird. Da jede anonyme Rückadresse nur einmal verwendet werden kann,
ist die Verwendung gedruckter Adreßverzeichnisse sehr umständlich, die Verwendung elektronischer,
die jede Adresse nur einmal ausgeben, jedoch kein Problem.
sches Konzelationssystem wäre natürlich auch möglich, aber aufwendiger) ist, mit dem MIX0 den
Nachrichteninhalt verschlüsseln soll, damit MIX1 ihn nicht lesen kann, und R1 der Teil der anonymen
Rückadresse ist, der von MIX0 dem von ihm generierten und mit k0 verschlüsselten Nachrichteninhalt
mitgegeben wird. R1 wird vom Empfänger ausgehend von einem zufällig gewählten eindeutigen
Namen e der Rückadresse nach dem folgenden rekursiven Schema gebildet, bei dem Rj jeweils
den Rückadreßteil bezeichnet, den MIXj erhalten wird, und kj jeweils den Schlüssel eines symmetrischen
Konzelationssystems (ein asymmetrisches Konzelationssystem wäre auch möglich, aber aufwendiger),
mit dem MIXj den den Nachrichteninhalt enthaltenden Nachrichtenteil verschlüsseln soll:
Rm+1 = e
Rj = cj (kj ,Aj+1 ,Rj+1 ) für j=m,...,1
Diese Rückadreßteile Rj und der (ggf. bereits mehrmals verschlüsselte) vom Sender generierte Nachrichteninhalt
I, Nachrichteninhaltsteil Ij genannt, bilden zusammen die Nachrichten Nj , die jeweils
von MIXj-1 gebildet und an MIXj gesendet werden – nach dem folgenden rekursiven Schema also
zuerst vom Sender MIX0 und dann der Reihe nach von den durchlaufenen MIXen MIX1 ,...,MIXm :
N1 = R1 ,I1 ; I1 = k0 (I)
Nj = Rj ,Ij ; Ij = kj-1 (Ij-1 ) für j=2,...,m+1
Der Empfänger MIXm+1 erhält also e,Nm+1 = e,km (...k1 (k0 (I))...) und kann, da er dem eindeutigen
Namen e der Rückadresse alle geheimen Schlüssel kj (im Falle der Verwendung eines asymmetrischen
Konzelationssystems: alle Dechiffrierschlüssel) in richtiger Reihenfolge zuordnen kann, ohne
Probleme entschlüsseln und so den Nachrichteninhalt I gewinnen.
Die Mitverschlüsselung zufälliger Bitketten ist auch bei Verwendung von deterministischen
Konzelationssystemen nicht nötig, da die mit öffentlich bekannten Chiffrierschlüsseln
der MIXe verschlüsselten Nachrichtenteile Rj mit dem nicht ausgegebenen
kj genügend dem Angreifer nicht bekannte Information enthalten und bezüglich des
Umcodierens mit dem Angreifer unbekannten Schlüsseln diesem sowieso kein Testen
möglich ist.
5.4.6.5 Längentreue Umcodierung
Bei diesem indirekten Umcodierungsschema für Empfängeranonymität ist nur das Umcodieren des
Rückadreßteils (zumindest bei allen außer dem letzten MIX) vollständig durch den jeweils öffentlich
bekannten Chiffrierschlüssel bestimmt. Um nicht über Nachrichtenhäufigkeiten Entsprechungen zwischen
Ein- und Ausgabe dieser MIXe entstehen zu lassen, bearbeitet jeder MIX (solange er sein
Schlüsselpaar beibehält) nur unterschiedliche Rückadreßteile. Hieraus folgt:
Nachdem nun die einfachstmöglichen Umcodierungsschemata für Sender- oder Empfängeranonymität
hergeleitet und ihre Einsatzmöglichkeiten beschrieben wurden, soll noch auf eine weitere gemeinsame
Eigenschaft hingewiesen werden: In beiden Umcodierungsschemata ändert sich beim Umcodieren die
Länge von Nachrichten – sie werden kürzer. Dies ist, wenn alle Nachrichten die gleichen MIXe in
gleicher Reihenfolge durchlaufen, was – wie in §5.4.6.1 gezeigt – zum Erreichen des maximal
möglichen Anonymitätszieles nötig ist, kein Problem, vgl. Bild 5-26 oben. Nun können – wie in
[Pfit_89 §3.2.2.4] gezeigt ist – vor allem Leistungs-, aber auch Kostengesichtspunkte verhindern,
daß alle Nachrichten in allen MIXen umcodiert werden. In solchen MIX-Netzen können dann die
abnehmenden Nachrichtenlängen einem Angreifer durchaus wertvolle Information liefern. In Bild 5-
26 unten ist leicht zu erkennen, daß die Nachrichten innerhalb der MIXe nicht über Kreuz gehen, was
im oberen Teil des Bildes nicht zu erkennen ist.
Jede anonyme Rückadresse kann nur einmal verwendet werden.
Eine Wiederholung des Nachrichteninhaltsteils Ij ist unkritisch, sofern zum Umcodieren jeweils ein
unterschiedlicher Schlüssel verwendet wird. Dies ist, da jede anonyme Rückadresse nur einmal
verwendet werden kann, immer dann der Fall, wenn beim Bilden anonymer Rückadressen jeweils
neue Schlüssel kj verwendet werden. Beachtet ein Empfänger beim Bilden von anonymen Rückadressen
diese Regel nicht, schadet er sich nur selbst. Verwendet ein MIXj einen alten Schlüssel kj zur Bildung einer Rückadresse, kann er dadurch dem Generierer von kj auch nicht mehr schaden als
durch Verraten des Nachrichtenzusammenhangs, der durch das ursprüngliche Umcodieren mit kj verborgen werden sollte. Bild 5-29 zeigt das Schema graphisch.
5.4.6.4 Gegenseitige Anonymität
Wird dieses Umcodierungsschema für Empfängeranonymität allein verwendet, so verbirgt es (wie
das Umcodierungsschema für Senderanonymität auch) zwar die Kommunikationsbeziehung vor