Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

240
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
239
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
wenig, MIXe ausgelassen, oder aber möglichst viele. Letzteres verkompliziert das Koordinations-
Problem, erlaubt aber in manchen Situationen einen Effizienzgewinn.
Um das Verständnis zu erleichtern, wird zuerst der Fall beschrieben, daß jeder MIX den nächsten
MIX in einer Folge gewählter MIXe auslassen kann. In diesem Fall kann dies Fehlertoleranzverfahren
den Ausfall eines oder sogar mehrerer nicht aneinandergrenzender MIXe tolerieren.
Um einen MIX auslassen zu können, muß sein Vorgänger nicht nur die für ihn bestimmte
Nachricht bilden können, sondern auch die für seinen Nachfolger bestimmte (Bild 5-38).
Wenn jeder MIX die Nachrichten sowohl für seinen Nachfolger als auch für dessen Nachfolger
separat erhält, wächst die Länge der Nachrichten exponentiell mit der Zahl der benutzten MIXe. Um
dies zu vermeiden, wählt der Sender einer Nachricht (wie bei allen indirekten Umcodierungsschemata,
vgl. §5.4.6) für jeden MIX einen unterschiedlichen Schlüssel (beispielsweise eines effizienten
symmetrischen Konzelationssystems), mit dem dieser MIX die für seinen Nachfolger bestimmte
Nachricht entschlüsselt. Jeder MIX erhält diesen und den für seinen Nachfolger bestimmten Schlüssel
mit seinem öffentlich bekannten Dechiffrierschlüssel verschlüsselt. Separat und mit den öffentlich
nicht bekannten Schlüsseln entsprechend verschlüsselt erhält er den Rest der Nachricht. Die Adressen
der nächsten beiden MIXe können jeder Nachricht unverschlüsselt vorangestellt oder mit den beiden
erwähnten Schlüsseln zusammen mit dem öffentlich bekannten Dechiffrierschlüssel des MIXes
verschlüsselt werden. Im folgenden wird dies formaler beschrieben.
Ist ein MIX ausgefallen, so können die Reserve-MIXe einen von ihnen als seinen Vertreter
bestimmen (und etwa zur Rekonstruktion des MIX-Schlüssels befähigen, falls ein Schwellwertschema,
vgl. §3.9.6, verwendet wurde). Der Vertreter verhält sich genauso wie der MIX,
sofern er nicht ausgefallen wäre, bis er entweder selbst auch ausfällt (und die übrigen Reserve-
MIXe einen neuen Vertreter bestimmen) oder der vertretene MIX repariert ist und synchronisiert
mit dem Ende des stellvertretenden Mixens seines Vertreters mit seinem Mixen beginnt.
Meiner Meinung nach wird das Risiko, daß ein Angreifer einen MIX bezüglich der Informationseinheiten,
für die er noch keine Empfangsbestätigungen erhielt, mittels Isolierung überbrücken kann,
bei weitem durch die Vermeidung jeder zusätzlichen Verzögerung des Mixens aufgewogen. Denn verändernde
Angriffe, die diese Schwäche des Koordinations-Protokolls auszunutzen versuchen,
können leicht entdeckt werden (zumindest wenn sie oft erfolgen) und müssen an sehr vielen Stellen in
aufeinander abgestimmter Weise eingreifen, wenn Informationseinheiten jeweils mehrere MIXe
durchlaufen: Um den Weg einer bestimmten Informationseinheit von ihrem Sender zu ihrem Empfänger
zu verfolgen, muß ein Angreifer in jedem Team, von dem jeweils ein Mitglied die Informationseinheit
mixen muß, den gerade aktiven MIX (kontrollieren oder) zum Ausfall bringen oder isolieren,
nachdem er diese Informationseinheit mixte.
kennt kennt kennt kennt kennt kennt kennt
c1,c2,c3, c1,c2,c3, c1,c2,c3, c1,c2,c3, c1,c2,c3, c1,c2,c3, c1,c2,c3, c4 ,c5 ,cE c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE , c4 ,c5 ,cE ,
d1 d2 d3 d4 d5 dE Ein MIX sollte solche MIXe als seine Reserve-MIXe wählen, die physisch zumindest einige zehn
Kilometer auseinanderliegen, damit sich so wenig Fehler (oder verändernde physische Angriffe) wie
möglich auf mehrere auswirken [Pfi1_85 Seite 76].
Betreibt eine Organisation mehrere MIXe an räumlich weit entfernten Stellen, so scheint es sehr
vernünftig zu sein, daß diese MIXe füreinander als Reserve-MIXe fungieren.
bildet
zufällig erfährt erfährt erfährt erfährt erfährt
k5 ,k4 ,k3 , k1 ,k2 k2 ,k3 k3 ,k4 k4 ,k5 k5 k2,k1 E
MIX 5
MIX 4
MIX 3
MIX 2
MIX 1
S
d
E
Koordinations-
Protokoll
Koordinations-
Protokoll
Koordinations-
Protokoll
Koordinations-
Protokoll
Schutzkriterium:
Wenn die MIXe geeignet koordiniert sind, so sind MIXe mit Reserve-MIXen genauso sicher
wie die ursprünglichen Schemata (vgl. §5.4.6), sofern bei einem der in der Verschlüsselungsstruktur
verwendeten MIXe sein Team nicht vom Angreifer kontrolliert wird.
Ein Team wird zumindest dann nicht vom Angreifer kontrolliert, wenn er kein Teammitglied
kontrolliert oder aber bei Verwendung eines Schwellwertschemas sowohl nicht den eigentlichen
MIX, als auch keinen Vertreter, als auch weniger als zur Rekonstruktion des Schlüssels
nötige MIXe des Teams kontrolliert (und damit nie den Schlüssel erhält) als auch keine
absolute Mehrheit der MIXe des Teams kontrolliert (sonst könnte diese Mehrheit auch ohne
Ausfall des gerade mixenden MIXes einen Stellvertreter etablieren lassen und beide parallel
und unkoordiniert mixen lassen).
k 5 d k
5 5
k 4 d4
k4
c
E
c k
5 5
c k
4 4
c3
k3 c2
k2
k2 c k d k
1 1 1 1
5.4.6.10.2.3 Auslassen von MIXen
k
3 d3
k3
d 2 k 2
Entschlüsselung
Verschlüsselung
Transfer
Bild 5-38: Jeweils ein MIX kann ausgelassen werden; Die Koordinations-Protokolle werden im Bild
zwischen Gruppen minimalen Umfangs abgewickelt.
Die dritte Möglichkeit besteht darin, daß jeder MIX in jeder Nachricht genügend Information erhält,
um einen MIX (oder im allgemeinen Fall: bis zu ü MIXe mit einer beliebigen natürlichen Zahl ü)
überbrücken und auslassen zu können [Pfi1_85 Seite 77ff].
Im Gegensatz zur zweiten benötigt die dritte Möglichkeit Änderungen der Adreß- oder Verschlüsselungsschemata,
um ebenfalls ein MIX-zu-MIX-Protokoll zu ermöglichen. Diese geänderten Adreßund
Verschlüsselungsschemata werden hier teilweise hergeleitet.
Bezüglich weiterer Varianten sei auf [Pfit_89] verwiesen. In [Pfit_89 §5.3.2.3.2] werden
Schutzkriterien zur Charakterisierung der mit diesen Adreß- und Verschlüsselungsschemata bei geeigneter
Koordinierung erreichbaren Anonymität der Kommunikationsbeziehung aufgestellt. In [Pfit_89
§5.3.2.3.3 und §5.3.2.3.4] werden passende und möglichst effiziente Koordinations-Protokolle für
die zwei möglichen Betriebsarten entwickelt: Entweder werden nur ausgefallene, d.h. möglichst