Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

222
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
221
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Rj
Blöcke
zufälligen Inhalts
Blöcke mit
Nachrichteninhalt
1 2 3 ••• m+2- j m+3- j m+4- j ••• b+1
j b+2-j b+3 j ••• b
Z
j -1
j
N
kennt kennt kennt kennt kennt kennt kennt
c1 ,c2 ,c3 , c1 ,c2 ,c3 , c1 ,c2 ,c3 , c1 ,c2 ,c3 , c1 ,c2 ,c3 , c1 ,c2 ,c3 , c1 ,c2 ,c3 ,
c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE ,
dS d1 d2 d3 d4 d5 dE ,cS k j (R j +1)
+1
R j
k , A
j j +1
Z j
erfährt
kS bildet bildet
zufällig erfährt erfährt erfährt erfährt erfährt zufällig
k3 ,k2 ,k1 k1 k2 k3 k4 k5 k5 ,k4 ,kS b
b+2-j ••• b -1
b+1 j
b - j
1 2 ••• m+1- j m+2- j m+3- j •••
j +1
N
E
MIX 5
MIX 4
MIX 3
MIX 2
MIX 1
S
Blöcke
zufälligen Inhalts
Blöcke mit
Nachrichteninhalt
k j +1(R
j +2 )
k c k
5 8
5 5
1 c k
4 4
c k
S S
d
5
7
k
4
d
4
d j umcodieren mit k j
entschlüsseln mit
2
6
k3
d3
Nachrichtenkopf
Bild 5-31: Indirektes längentreues Umcodierungsschema für spezielle symmetrische Konzelationssysteme
5
d 2 k 2
4
c3
k3 dSk S
c k
2 2
3
c k d k
1 1 1 1
Wird willkürlich festgelegt, daß jeder MIX alle Blöcke der Nachricht verschlüsselt, so erhält man das
einzige längentreue Umcodierungsschema, das in [Chau_81] angegeben ist. Wie bereits erwähnt,
wird eine überflüssige Verschlüsselung des angefügten Blocks zufälligen Inhalts vermieden:
Rm+1 = [e]
Rj = [cj (kj ,Aj+1 )],k -1
j (Rj+1 ) für j=m,...,1
k S
k S
k 4
9
7
k 4
6
k 3
Nachrichteninhalt
k 3
N1 = R1 ,I1 ; I1 = k0 (I) = k0 ([I1]),...,k0 ([Ii])
Nj = Rj ,Ij ; Ij = kj-1 (Ij-1 ),[Zj-1 ] für j=2,...,m+1
k
k 5
k 2
3
5
8
5
k
1
k
2
k
1
4
Handelt es sich beim Nachrichteninhalt I um Klartext, kann der Empfänger ihn nur verstehen, wenn
er die Schlüssel k0, k1, ..., km+1 kennt, es sich also mit anderen Worten bei (k0,A1,R 1) um eine
anonyme Rückadresse handelt und damit das Umcodierungsschema für Empfängeranonymität eingesetzt
wird.
Soll das Umcodierungsschema für Senderanonymität eingesetzt werden, so generiert der Sender
die Schlüssel k1, k2, ..., km und muß den Chiffrierschlüssel cm+1 und die Adresse Am+1 des Empfängers
kennen. Damit der Nachrichteninhalt vom Empfänger verstanden werden kann, muß ihn der
Sender vor dem Absenden der Nachricht mit den von ihm generierten Schlüsseln entschlüsseln. Von
den obigen Formeln ist lediglich die für I1 zu modifizieren:
für Senderanonymität für Empfängeranonymität
Entschlüsselung
Verschlüsselung
beobachtbarer
Transfer
unbeobachtbarer
Transfer
Bild 5-30: Indirektes Umcodierungsschema für Sender- und Empfängeranonymität
I1 = k -1
1 (k2 -1 (...km -1
(cm+1(I1))...)) = k -1
1 (k2 -1 (...km -1 (cm+1([I1]))...)),...,k -1
1 (k2 -1 (...km -1 (cm+1([Ii]))...))
5.4.6.6 Effizientes Vermeiden wiederholten Umcodierens
Wie nach den bisherigen drei Beispielen zu vermuten, müssen MIXe bezüglich aller Umcodierungsschemata
darauf achten, daß keine spezielle Umcodierung (d.h. gleicher umzucodierender
Nachrichtenteil, gleiches Konzelationssystem und gleicher, die Umcodierung dann genau spezifizierender
Schlüssel) mehrmals ausgeführt wird. Anderenfalls könnte ein Angreifer ihnen mehrmals
unterschiedliche Nachrichten mit demselben Nachrichtenteil schicken und beobachten, welcher
Ausgabe-Nachrichtenteil sich in den entsprechenden MIX-Ausgaben in der entsprechenden Häufig-
Hat das symmetrische Konzelationssystem zusätzlich zu der in §3 für alle Schlüssel k und Klartexte x
geforderten Eigenschaft k-1 (k(x)) = x auch die Eigenschaft k(k-1 (x)) = x, d.h. sind nicht nur
Ver- und Entschlüsselung, sondern auch Ent- und Verschlüsselung zueinander invers, so braucht
beim obigen indirekten längentreuen Umcodierungsschema nicht zwischen dem Gebrauch für Senderoder
Empfängeranonymität unterschieden zu werden, wie im folgenden erläutert wird. Zusätzlich
kann damit dem einzelnen MIX auch die Kenntnis von m als obere Schranke für die Anzahl der zu
durchlaufenden MIXe als auch b-m-1 als obere Schranke für die Länge (in Blöcken) des Nachrichteninhalts
vorenthalten werden: Statt als m+1-ten Block fügt jeder MIX seinen Block zufälligen
Inhalts als letzten Block an. Der Empfänger erhält den Nachrichteninhalt dann in den Blöcken ab
Block zwei statt in den letzten Blöcken, vgl. Bild 5-31.