Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

226
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
225
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
bzw. der beiden Schübe die Gleichung X = Y•f erfüllen. Was an der Stelle der zufälligen Bitkette
entsteht ist irrelevant, da dies vom MIX weder geprüft noch ausgegeben wird.
|z| = b |N| = B
Will man durch umcodierende MIXe nicht nur Kommunikationsbeziehungen, sondern auch das Senden
und Empfangen von Teilnehmerstationen schützen, muß jede Teilnehmerstation ein MIX sein
oder sehr viele bedeutungslose Nachrichten senden, wie dies in §5.4.3 beschrieben wurde sowie für
die Randbedingung schmalbandiger Teilnehmeranschlußleitungen in §5.5.1 beschrieben wird.
MIX
(z,N) c
Angreifer
multipliziert
mit Faktor
f und
vergleicht
N
5.4.6.8 Notwendige Eigenschaften des asymmetrischen Konzelationssystems
und Brechen der direkten RSA-Implementierung
...
...
≈ N • f
cd
((x,y) )
= x,y (mod n)
gibt y aus
Angreifer
beobachtet
wählt Faktor f
und bildet
c c
(z,N) • f
Bild 5-32: Brechen der direkten RSA-Implementierung von MIXen
Als Schluß dieses Abschnitts sei ausdrücklich darauf hingewiesen, daß bei (mittleren) MIXen das
verwendete asymmetrische Konzelationssystem nicht nur – wie jedes asymmetrische Konzelationssystem
– einem adaptiven aktiven Angriff mit gewähltem Klartext, sondern im wesentlichen (d.h. bis
auf die Erschwernis, daß der MIX die zufälligen Bitketten nicht ausgibt) auch einem aktiven
Angriff mit gewähltem Schlüsseltext (chosen-ciphertext attack) widerstehen muß. Zumindest
wenn anonyme Rückadressen verwendet werden, können die Schlüsselpaare der MIXe nicht nach
jedem Schub ausgetauscht werden, so daß das verwendete asymmetrische Konzelationssystem dann
sogar einem adaptiven aktiven Angriff mit gewähltem Schlüsseltext (adaptive chosen
ciphertext attack) widerstehen muß.
Warum dieser Angriff gelingt, ist ohne die Verwendung weiterer Details von RSA nicht zu erklären.
Die für das Verständnis notwendigen lauten, daß bei RSA Ver- und Entschlüsselung durch Exponentiation
innerhalb eines Restklassenrings erfolgen. Der den Restklassenring charakterisierende
Modulus n = p•q, wobei p und q zufällig gewählte Primzahlen von – aus Sicherheitsgründen – je
mindestens 350 Bit Länge sind, bildet mit dem zur Verschlüsselung verwendeten Exponenten den
öffentlich bekannten Chiffrierschlüssel. In jedem Block dieser Blockchiffre können b Bit lange
zufällige Bitketten und B Bit lange Nachrichten untergebracht werden, sofern nur 2b•2B < n ist. Bei
der Implementierungsbeschreibung von David Chaum, wie bei jeder effizienten Implementierung, ist
b sehr viel kleiner als B. Werden, wie bei David Chaum und in der obigen Notation angedeutet die
zufälligen Bitketten an den Bitstellen höherer Wertigkeit untergebracht, so gilt (z,N) = z•2B +N und
(z,N)•f ≡ (z•2B +N)•f ≡ z•2B•f +N•f.
Aus der die Werte der Bezeichner z' und N' definierenden113 Kongruenz (z,N)•f ≡ z'•2B +N'
folgt z•2B•f+N•f ≡ z'•2B +N', daraus folgt 2B•(z•f-z') ≡ N'-N•f und daraus folgt z•f-z' ≡ (N'-
N•f)•(2B ) -1 . Wählt der Angreifer f ≤ 2b , so gilt - 2b < z•f-z' < 22b . Der Angreifer setzt nun in die
Formel z•f-z' ≡ (N'-N•f)•(2B ) -1 für N und N' jeweils alle Ausgabe-Nachrichten des bzw. der
betroffenen Schübe ein und prüft, ob z•f-z' im entsprechenden Intervall liegt. Dies ist, da b sehr viel
kleiner als B ist, mit sehr hoher Wahrscheinlichkeit nur für genau ein Paar der Ausgabe-Nachrichten
der Fall. Die erste Nachricht N dieses Paares ist die Nachricht, bezüglich der der MIX mittels des
aktiven Angriffs überbrückt werden soll. Die zweite Nachricht N' ist die der vom Angreifer
gebildeten Eingabe-Nachricht entsprechende Ausgabe-Nachricht.
Erfüllen zwei oder mehr Paare diese Bedingung, so wiederholt der Angreifer seinen Angriff mit
einem anderen Faktor und führt bei seinem zweiten sowie ggf. allen weiteren Versuchen das paarweise
Einsetzen nur noch mit den durch die bisherigen Tests nicht ausgeschlossenen Nachrichten des
zuerst erwähnten Schubes durch. Dieser Angriff auf die Kommunikationsbeziehung einer Nachricht
N ist mit in der bei N verwendeten Schubgröße quadratischem Aufwand durchzuführen: Der Angreifer
muß bei jedem Versuch nur einmal mit RSA verschlüsseln (sowie das Ergebnis mit N multiplizieren
und modulo n reduzieren) sowie für jede Nachricht des Schubes eine Addition, zwei Multiplikationen,
zwei Reduktionen modulo n und zwei Vergleiche durchführen. In [PfPf_90 Seite 376] ist beschrieben,
wie der Aufwand dieses Angriffs auf O(Schubgröße • ld(Schubgröße)) reduziert werden
kann.
Es sei an §3 erinnert, wo bereits gesagt wurde, daß es bisher kein einschrittiges asymmetrisches Konzelationssystem
gibt, das solch einem Angriff allein unter der Annahme der Schwierigkeit eines
reinrassigen Standardproblems in beweisbarer Form standhält und damit ein kanonischer Kandidat
zur Implementierung (mittlerer) MIXe wäre. Da es mehrschrittige asymmetrische Konzelationssysteme
gibt, die dies in beweisbarer Form tun, kann man aus ihnen beweisbar sichere MIX-
Implementierungen gewinnen. Sie sind wegen der Mehrschrittigkeit zwischen Sender (bzw. dem die
Umcodierung Spezifizierenden) und jedem durchlaufenen MIX allerdings sehr aufwendig: Sollen die
(mittleren) MIXe MIX1 bis MIXn verwendet werden, so muß der Schlüsselaustauschdialog zwischen
Sender und MIXi, i>1, jeweils durch alle MIXj mit 1≤j