Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

216
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
215
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
schlüssel dj und findet als Ergebnis dieser Entschlüsselung einen Schlüssel kj eines auf die Blocklänge
abgestimmten symmetrischen Konzelationssystems (ein asymmetrisches Konzelationssystem,
praktischerweise dasselbe, das von den MIXen verwendet wird, ist auch möglich, aber aufwendiger)
zum Umcodieren der übrigen Nachricht und die Adresse Aj+1 des nächsten MIXes (oder Empfängers).
Der Empfänger findet als Adresse des nächsten MIXes (oder Empfängers) seine eigene und
erkennt daran, daß er der Empfänger dieser Nachricht ist. Dieser erste Block von Nj wird von den
folgenden MIXen (bzw. dem Empfänger) nicht benötigt und deshalb von MIXj weggeworfen. Mit kj codiert MIXj die restlichen b-1 Blöcke um und hängt vor den ersten Block mit Nachrichteninhalt, um
die Länge der Nachricht nicht zu ändern, einen Block zufälligen Inhalts Zj (in [Chau_81 Seite 87]
wird auch dieser Block mit kj umcodiert, was, da er zufälligen Inhalt hat, überflüssig ist).
gleiche MIX-Reihenfolge: Abnehmende Nachrichtenlängen sind kein Problem
MIX 1 MIX 2 MIX 3
Rj
Blöcke mit
Nachrichteninhalt
Blöcke
zufälligen Inhalts
verschiedene MIX-Reihenfolgen: Abnehmende Nachrichtenlängen sind ein Problem
1 2 3 ••• m+2- j m+3- j m+4- j ••• m +1 m+2 m +3 ••• b
Z
j -1
j
N
k (R )
j j +1
MIX 3
MIX 1
+1
R j
k , A
j j +1
Z j
b
•••
m +3
m+2
m +1
1 2 ••• m+1- j m+2- j m+3- j ••• m
Blöcke
zufälligen Inhalts
k j +1(R
j +2)
j +1
N
Blöcke mit
Nachrichteninhalt
entschlüsseln mit d j umcodieren mit kj
Bild 5-27: Indirektes längentreues Umcodierungsschema
MIX 2
Damit dies klappt, wird der vom Sender verwendete (Rück-)Adreßteil R1 (ausgehend von einem
zufällig gewählten eindeutigen Namen e) nach dem folgenden rekursiven Schema gebildet:
Rm+1 = [e]
Rj = [cj(kj,Aj+1)],kj(Rj+1) für j=m,...,1
Das Bildungsschema der Nachrichten Nj und insbesondere die Längentreue dieses rekursiven Umcodierungsschemas
ist in Bild 5-27 veranschaulicht. Da MIXj seinen Index j nicht zu kennen braucht,
braucht er zwischen Blöcken des (Rück-)Adreßteils und Blöcken zufälligen Inhalts nicht unterscheiden
zu können. Bezogen auf Bild 5-27 bedeutet dies, daß MIXj lediglich von Block m+1 der
Nachricht Nj+1 weiß, daß er ein Block zufälligen Inhalts (im Bild: grau hinterlegt) ist.
Bild 5-26: Abnehmende Nachrichtenlänge beim Umcodieren
Deshalb ist es wünschenswert, ein Umcodierungsschema zu haben, daß die Länge einer Nachricht
beim Umcodieren gleich läßt, so daß ihr (außer ihren ursprünglichen Generierern) niemand ansehen
kann, wie oft so bereits bzw. noch umcodiert wurde bzw. werden muß. Außerdem sollten – wie zu
Beginn dieses Abschnittes gezeigt – alle Nachrichten gleiche Länge haben und auch durch das verwendete
Umcodierungsschema nicht unterschieden werden. Gesucht wird also ein universelles
längentreues Umcodierungsschema, das nach dem bei der Herleitung eines Umcodierungsschemas
für Empfängeranonymität Gesagten zwangsläufig ein indirektes Umcodierungsschema sein muß.
Da alle MIXe m erfahren müssen, um zu wissen, wo sie ihren Block zufälligen Inhalts
einfügen sollen, kennen sie damit sowohl m als obere Schranke für die Anzahl der zu
durchlaufenden MIXe als auch b-m-1 als obere Schranke für die Länge (in Blöcken)
des Nachrichteninhalts.
Dem Bildungsschema des (Rück-)Adreßteils ist zu entnehmen, daß alle Blöcke des (Rück-)Adreßteils
außer dem ersten von MIXj mit kj zu entschlüsseln sind. Ob die letzten, den Nachrichteninhalt enthaltenden
b-m-1 Blöcke mit kj zu ent- oder zu verschlüsseln sind, hängt davon ab, ob die Umcodierung
durch MIXj der Sender- oder Empfängeranonymität dient. Soll die Umcodierung mit kj der Senderanonymität
dienen, muß MIXj entschlüsseln, da der Empfänger ansonsten den Schlüssel kj auch
erfahren müßte – dann wäre die Umcodierung als Schutz vor ihm aber nutzlos – oder den Nachrichteninhalt
nicht verstehen könnte. Entsprechend muß verschlüsselt werden, soll die Umcodierung der
Indirektes längentreues Umcodierungsschema: Zusätzlich zu den beim indirekten Umcodierungsschema
für Empfängeranonymität bereits eingeführten Bezeichnungen bedeuten eckige Klammern
Blockgrenzen. Ausgehend vom Sender (auch MIX0 genannt) sollen der Reihe nach die MIXe
MIX1 ,...,MIXm durchlaufen und schließlich der Empfänger (auch MIXm+1 genannt) erreicht werden.
Der Empfänger braucht bei Erhalt der Nachricht noch nicht zu wissen, daß er ihr Empfänger ist.
Er bearbeitet sie zunächst wie alle vorherigen MIXe.
Jede Nachricht Nj besteht aus b Blöcken gleicher, auf das von den MIXen verwendete asymmetrische
Konzelationssystem abgestimmter Länge und wird von MIXj-1 gebildet. Die ersten m+2-j
Blöcke von Nj enthalten den (Rück-)Adreßteil Rj, die letzten b-m-1 Blöcke den Nachrichteninhalt.
Jeder MIXj entschlüsselt den ersten Block der Nachricht Nj mit seinem geheimgehaltenen Dechiffrier-