Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

306
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
305
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
8 Verteilte Berechnungsprotokolle
7 Umrechenbare Autorisierungen
(Credentials)
Gegeben sei die sehr allgemeine Aufgabe, daß n Teilnehmer Ti zusammen eine Berechnung durchführen
wollen. Jeder Teilnehmer soll seinen Input Ii zur Berechnung beitragen und am Schluß seinen
Output Oi erhalten, der als Funktion fi aller Inputs spezifiziert ist. Folgende Sicherheitseigenschaften
sollen erreicht werden:
Größtmögliche Vertraulichkeit:
Kein Teilnehmer soll über Inputs von anderen Teilnehmern mehr erfahren, als er aus seinem
Output schließen kann.
Größtmögliche Integrität:
Kein Teilnehmer soll, nachdem er seinen Input gegeben hat, die Werte der Outputs beeinflussen
können.
Größtmögliche Verfügbarkeit:
Kein Teilnehmer soll, nachdem er seinen Input gegeben hat, einem anderen Teilnehmer seinen
Output vorenthalten können.
Eine Übersicht für eine umrechenbare Autorisierung wird in [Cha8_85, Chau_87] gegeben. Dort ist
jeweils nicht erwähnt, daß wegen des gemeinsamen RSA-Modulus alle Organisationen die Credential-
Signaturen nicht selbst leisten können, sondern von einer Signaturorganisation leisten lassen müssen.
Denn wer ein Paar zueinander inverser RSA-Exponenten kennt, kann den Modulus faktorisieren
[Hors_85 Seite 187, MeOV_97 Seite 287].
In meiner Übersicht ist der Fall einer festen und zu Beginn bekannten Menge von Credentials
beschrieben.
Eine detaillierte Protokollbeschreibung ist in [Chau2_90] zu finden.
In [ChEv_87] ist beschrieben, wie die Prüfung, ob die Pseudonyme richtig gebildet sind, so
durchgeführt werden kann, daß die Wahrscheinlichkeit, daß unentdeckt falsche darunter sind,
exponentiell klein im Prüfungsaufwand wird.
In [Cha1_88] ist beschrieben, wie Credentials, die zu Beginn nicht bekannt sind, ausgestellt
werden können.
In [Bura_88] und [ChAn_90] sind weitere Sorten umrechenbarer Autorisierungen beschrieben.
Alle drei Sicherheitseigenschaften sollen auch gelten, wenn sich mehrere Teilnehmer zusammenschließen.
Sie sollen dann nicht mehr erfahren, als was sie aus ihren gemeinsamen Outputs schließen
können.
Nachdem der letzte von ihnen seinen Input gegeben hat, sollen sie die Werte der Outputs nicht
mehr beeinflussen und anderen nicht mehr vorenthalten können.
Leider ist mir keine Anwendung dieser rein digitalen Identitäten bekannt. Denn es reicht nicht, daß
z.B. die Autorisierung „Führerschein“ nur zwischen den Pseudonymen einer Person umgerechnet
werden kann. Die Autorisierung „Führerschein“ sollte auch nur das biologische Wesen nutzen
können, das die Prüfung bestanden hat. Man muß das beschriebene Verfahren also für (fast?) alle
Anwendungen so erweitern, daß in der Protokollphase „Pseudonyme vereinbaren“, Pseudonyme an
Körpermerkmale gebunden werden. Ob es untereinander hinreichend nicht verkettbare, aber
andererseits hinreichend genau meßbare Körpermerkmale gibt, ist eine Frage außerhalb der
Informatik. Gibt es sie, ist die Erweiterung der beschriebenen Protokolle kanonisch.
Eine Erweiterung auf der Basis sicherer, d.h. unausforschbarer biometrischer Hardware, vgl.
§6.2.1.2.2, die mit einem hinreichend genau meßbaren Körpermerkmal auskommt, ist in [Bleu_99]
beschrieben.
Es gibt nun zwei gänzlich unterschiedliche Möglichkeiten, diese Aufgabe zu lösen:
1. Alle Teilnehmer senden ihre Inputs an einen zentralen Rechner, dem alle vertrauen (müssen).
Dieser zentrale Rechner führt die Berechnungen durch und sendet jedem Teilnehmer seinen
Output. Zwischen jedem Teilnehmer und dem zentralen Rechner sollte so verschlüsselt
werden, daß Konzelation und Authentikation gewährleistet sind, vgl. Bild 8-1. Vertraut
man dieser Verschlüsselung und dem zentralen Rechner sowie der Verfügbarkeit des Kommunikationsnetzes,
ist das gestellte Problem gelöst. Bzgl. der Verfügbarkeit und Integrität der
Outputs kann man den zentralen Rechner zumindest prinzipiell im Nachhinein kontrollieren,
wenn alle Nachrichten digital signiert werden und eine Zusammenarbeit von zentralem Rechner
und Teilnehmern ausgeschlossen werden kann (sonst könnten sie sich im Nachhinein die
für ihre Handlungen nötigen digitalen Signaturen zuschanzen). Leider ist der zentrale Rechner
bezüglich Vertraulichkeit nahezu unkontrollierbar, vgl. §1.2.2 und §2.1.
2. Die Teilnehmer führen ein verteiltes Berechnungsprotokoll (Multi-Party Computation
Protocol) durch, vgl. Bild 8-2. Bei solch einem Protokoll gibt es keine zentrale Instanz, der
alle vertrauen müssen. Aber auch hier ist, wenn auch realistischeres Vertrauen nötig:
• Entweder muß darauf vertraut werden, daß ein Angreifer weniger als ein Drittel aller
Teilnehmer umfaßt. Dann sind informationstheoretisch sichere verteilte Berechnungsprotokolle
bekannt [BeGW_88, ChCD1_88].
• Oder es muß mit einer kryptographischen Annahme gearbeitet werden. Dann kann der
Anteil des Angreifers an den Teilnehmern aber beliebig sein [ChDG_88].
• Ein neueres Protokoll erfordert nur, daß eine der beiden gerade skizzierten Restriktionen
für den Angreifer zutrifft [Chau_90].