Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

246
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
245
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
5.4.8 Aktiver Verkettungsangriff über Betriebsmittelknappheit
In diesem Abschnitt wird ein universeller aktiver Verkettungsangriff über Betriebsmittelknappheit
und Möglichkeiten zu seiner Erkennung und Abwehr beschrieben.
Ziel des Angriffs ist herauszufinden, ob zwei unterschiedliche Pseudonyme (z.B. implizite Adressen)
zur selben Station gehören oder nicht. Der Angriff besteht darin, von diesen beiden Pseudonymen
Dienste in solchem Umfang anzufordern, daß aus der Geschwindigkeit der Diensterbringung
darauf geschlossen werden kann, ob beide Pseudonyme zur selben Station gehören – dann sind die
Betriebsmittel knapper und die Geschwindigkeit der Diensterbringung ist folglich geringer, als wenn
die Dienste von unterschiedlichen Stationen erbracht werden. Als knappe Betriebsmittel werden
Rechenleistung, Sende- und Empfangsbandbreite betrachtet.
zweiten und dritten Gruppe der Fall ist. Eine von ihnen ist der verändernde Angreifer. Die andere ist
unschuldig, wird aber vom Angreifer beschuldigt. Dabei wird davon ausgegangen, daß sich nur ein
Angreifer im Kommunikationsnetz befindet, der aber mehrere Stationen besitzen oder unterwandert
haben kann, und Widersprüche nur in der Umgebung des Angreifers vorkommen. Der Angreifer hat
nur dann eine Chance, nicht sofort ermittelt zu werden, wenn er wenige andere Stationen beschuldigt.
Ansonsten spräche eine Mehrheit von zu Unrecht beschuldigten „ehrlichen“ Stationen gegen ihn. Im
nicht entscheidbaren Fall jeweils weniger sich gegenseitig beschuldigender Stationen wird man
normal weiterarbeiten, aber vorher so rekonfigurieren, daß sich im Wiederholungsfall diese wenigen
Stationen nicht mehr gegenseitig beschuldigen können. Dies wird beispielsweise dadurch erreicht,
daß
Ist die
• lokale Rechenleistung von Stationen begrenzt oder die
• anonym und unverkettbar durch Senden oder Empfangen nutzbare Bandbreite des Kommunikationsnetzes
pro Station auf einen echten Bruchteil der Gesamtbandbreite beschränkt,
so kann eine Station Dienstanforderungen, die diese Grenzen überschreiten, natürlich nicht in Realzeit
erfüllen oder gar gar nicht gleichzeitig empfangen. Hieraus resultieren drei Angriffsarten entsprechend
den drei knappen Betriebsmitteln. Sie haben gemeinsam, daß von zwei unterschiedlichen Pseudonymen
(z.B. impliziten Adressen) jeweils Dienste angefordert werden, die nur erbracht werden
können, wenn die beiden Pseudonyme unterschiedlichen Stationen gehören. Hierzu muß der
Angreifer entweder
• die Rechenleistung der angegriffenen Station schätzen können, oder
• ihre maximale Sendebandbreite kennen, was leicht ist, wenn sie durch das Kommunikationsnetz,
etwa beim MIX-Netz, fest vorgegeben ist. Anderenfalls muß er auch dies schätzen. Um
seine Schätzung zu erleichtern, kann er selbst natürlich auch gegen ein faires Zugriffsprotokoll
verstoßen (vgl. z.B. §5.4.5.4.2 Kollisionsauflösungsalgorithmus mit Mittelwertbildung und
überlagerndem Empfangen) und dadurch der bzw. den angegriffenen Stationen die maximale
Sendebandbreite verknappen.
• Kennt der Angreifer die maximale Empfangsbandbreite, was leicht ist, wenn sie durch das
Kommunikationsnetz, etwa beim MIX-Netz ohne Verteilung „letzter“ 120 Nachrichten, fest
vorgegeben ist, oder kann er sie schätzen, so müssen sich also so viele Angreiferstationen
zusammentun, daß sie überschritten wird. Ggf. können natürlich auch wenige Angreiferstationen
gegen ein faires Zugriffsprotokoll verstoßen.
Wird der Dienst rechtzeitig erbracht, so ist das Ergebnis des Angriffs, daß (ggf. unter der
Annahme richtiger Schätzung) zwei Pseudonyme nicht zur selben Station gehören können. Wird der
Dienst nicht rechtzeitig erbracht, so kann dies natürlich auch an sonstigen Dienstanforderungen an
eine der beiden Stationen liegen. Kennt der Angreifer von jeder Station ein Pseudonym, z.B. eine ihr
öffentlich zugeordnete Adresse, und erbringen Stationen unter diesen Adressen auch Dienste, so
wählt der Angreifer als eines der beiden Pseudonyme jeweils ein nichtanonymes. Damit kann er jedes
Pseudonym mit in der Stationenanzahl linearem Aufwand einer Station zuordnen.
• beim MIX-Netz andere Wege (Adressen) verwendet werden, d.h. jeder Sender bildet
Adressen nur noch so, daß keine Nachricht diese beiden MIXe direkt hintereinander passiert.
• beim DC-Netz keine Schlüssel zwischen den beiden betroffenen Stationen mehr ausgetauscht
werden (die vorhandenen Schlüssel werden entfernt). Eine Alternative wäre, daß jeweils beide
Partner ihren gemeinsamen Schlüssel vor seiner Verwendung digital signieren, so daß jeder
Partner die Signatur des anderen hat. Dann kann bei gegenseitiger Beschuldigung von einem
Dritten nach Vorlage der Signaturen entschieden werden, welche Station im Unrecht ist
[Cha3_85].
An dem direkten Signieren des gemeinsamen Schlüssels ist nachteilhaft, daß jeder der beiden
einzeln – und damit möglicherweise ohne Wissen seines Partners – dann einem Dritten den
Wert des gemeinsamen Schlüssels nicht nur mitteilen, sondern auch nachweisen kann, indem
er die Signatur des anderen vorweist (seine eigene nützt nichts, da er selbst natürlich auch
einen anderen, falschen Schlüssel signieren könnte). Deshalb wird in [Chau_88 Seite 73f]
vorgeschlagen, daß nicht der gemeinsame Schlüssel, sondern zwei Teile, deren Summe den
Schlüssel ergibt und deren einer Teil zufällig gewählt ist, jeweils von einem der Partner
signiert werden. Um den Wert des gemeinsamen Schlüssels einem Dritten nachzuweisen,
bedarf es nun – wie im Fall ohne Signaturen – der Mitwirkung beider, da die Signatur jeweils
von dem Partner angefordert werden muß, der sie nicht geleistet hat. 119
• beim RING- bzw. BAUM-Netz wird der Ring bzw. Baum rekonfiguriert. Dies ist bei einer
Realisierung als virtueller Ring bzw. Baum, d.h. auf einem beliebigen Kommunikationsnetz
wird ein logischer Ring bzw. Baum durch Verbindungs-Verschlüsselung zur Simulation der
Unbeobachtbarkeit der Ring- bzw. Baum-Leitungen realisiert (was auf eine eigene Schutz-
Schicht führt), sehr leicht möglich. Bei einer physischen Realisierung ist die Rekonfigurierung
sehr aufwendig und daher kostenintensiv.
Ist ein Netzteilnehmer mehrfach in einer Gruppe, die eine andere beschuldigt oder von ihr beschuldigt
wird, so wird er als der verändernde Angreifer angesehen und aus dem Kommunikationsnetz ausgeschlossen.
Dieses Verfahren ist nur dann praktikabel, wenn relativ wenige Netzteilnehmer verändernde
Angreifer sind. Ansonsten könnten die verändernden Angreifer zusammenarbeiten und die korrekt
kommunizierenden Stationen aus dem Kommunikationsnetz ausschließen, wobei sie dann natürlich
immer weniger Stationen zum Beobachten hätten.
Dieser aktive Verkettungsangriff über Betriebsmittelknappheit kann einerseits von der angegriffenen
Station erkannt werden: Solange eine Station nicht aufgrund externer Dienstanforderungen an ihre
Kapazitätsgrenzen stößt, wurde sie nicht angegriffen. Dies ist eine für die Überprüfbarkeit von Schutz
weit bessere Situation als die passiver Angriffe.
Andererseits kann der aktive Angriff leicht erschwert werden:
120 d.h. direkt an den Empfänger gerichteter Nachrichten, vgl. §5.4.6.3
119 Seit Erfindung der nicht herumzeigbaren Signaturen ist die gerade beschriebene Aufspaltung des gemeinsamen
Schlüssels in zwei Teile nicht mehr nötig. Beide Partner signieren den gemeinsamen Schlüssel jeweils mit einer
nicht herumzeigbaren Signatur, wodurch das Gleiche erreicht wird, da der Signierer jeweils an der Prüfung der
Signatur aktiv mitwirken muß, vgl. §3.1.1.2.