Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

314
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
313
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
MACs passen und welche nicht (könnte das jemand mit einer besseren Wahrscheinlichkeit als 0,5,
dann wäre dies ein Ansatz zum Brechen des Authentikationssystems), ist die Nachricht so perfekt
konzeliert.
k esc (A,k AB )
B
A
k esc (k AB (geheime Nachricht))
Sender A Empfänger B
Kennt kAB Kennt kAB Zu übertragen sei Nachricht
b1 , ... bn mit bi ∈ {0, 1}
Berechnet
MAC1 := code(kAB ,b1 ) ... MACn := code(kAB ,bn )
Bild 9-3: Key-Escrow-Konzelation ohne rückwirkende Entschlüsselung ermöglicht direkt symmetrische
Konzelation ohne Key-Escrow
Sei a 1 , ... a n die bitweise invertierte Nachricht.
Wählt zufällig MAC'1 ... MAC'n mit
MAC'1 ≠ code(kAB,a1) ... MAC'n ≠ code(kAB,an) Überträgt (die Mengenklammern bedeuten „zufällige Reihenfolge“)
{(b1, MAC1), (a1, MAC'1)} ...
{(bn , MACn ), (an , MAC'n )} ––––––––––––––––––> Probiert, ob
{MAC1 = code(kAB ,b1 ) oder
MAC'1 = code(kAB,a1)} und empfängt den passenden Wert b1 ...
probiert, ob
{MACn = code(kAB ,bn ) oder
MAC'n = code(kAB ,an )}
und empfängt den passenden Wert bn Die Verwendung zusätzlicher Verschlüsselungsmaßnahmen kann erst dann entdeckt werden, wenn
die Schlüssel eines Key-Escrow-Systems herausgegeben und zum Entschlüsseln des Fernmeldeverkehrs
benutzt wurden, was nach geltendem Recht eine Erlaubnis zur Überwachung des Fernmeldeverkehrs
voraussetzt. Key-Escrow ist – wenn die Schlüsselherausgabe tatsächlich so zurückhaltend
gehandhabt wird, wie in der öffentlichen Diskussion immer wieder betont wird – für die Ermittlungen
der Sicherheitsbehörden, des Verfassungsschutzes, des Bundesnachrichtendienstes und MADs vermutlich
kaum hilfreich, da gerade in den Fällen, wo Key-Escrow die Entschlüsselung von Nachrichten
ermöglichen soll, höchstens die Verwendung zusätzlicher Verschlüsselungssysteme festgestellt
werden kann. Daher wird neben der Einführung von Key-Escrow auch das Verbot anderer Verschlüsselungsverfahren
diskutiert, was die Problematik allerdings in keiner Weise löst: Wird die
Überwachung des Fernmeldeverkehrs zurückhaltend gehandhabt, so wird ein Übertreten des Kryptoverbots
häufig „zu spät“ bemerkt werden. Ein ernsthafter Durchsetzungsversuch des Kryptoverbots
setzt also eine weitgehende Aushöhlung des Fernmeldegeheimnisses voraus. Doch selbst dann können
sich Teilnehmer steganographischer Techniken bedienen (siehe §9.5), bei denen die Verwendung
eines Verschlüsselungssystems praktisch nicht nachweisbar ist.
Bild 9-4: Konzelation mittels symmetrischer Authentikation nach Rivest
Daneben ist zu berücksichtigen, daß alle Stellen und Personen, die Kenntnis von dem geheimen
Konzelationsschlüssel eines Benutzers erhalten haben, alle zu diesem Schlüssel gehörigen Nachrichten
entschlüsseln können. Im Unterschied zu traditionellen Überwachungstechniken gerät damit
das Ende einer Abhöraktion diffus, da die Kenntnis eines Schlüssels nicht rückholbar ist. Die zentrale
Speicherung dieser sensiblen Informationen bei Key-Escrow-Agencies und Bedarfsträgern macht
diese ggf. zu einem vielversprechenden Angriffspunkt für Wirtschaftsspionage und andere kriminelle
Aktivitäten.
Rivests Vorschlag ist etwas mehr als doppelt so aufwendig wie die Lösung von Aufgabe 3-22. Er hat
aber den Vorteil, daß beide Bits mit MACs jeweils in separate Nachrichten mit gleicher Sequenznummer
gesteckt werden können. Dann wirft einerseits das ganz normale Authentikationsprotokoll
des Empfängers die falschen Bits weg, der Empfänger muß also gar nichts implementieren. Zusätzlich
muß auch der Sender die falschen Bits und MACs nicht selbst generieren und in Nachrichten
packen – das kann jemand anderes tun, sofern es nur vor der Stelle, an der der Angreifer abhört,
getan wird. Und um es zu tun, braucht er nicht den symmetrischen Authentikationsschlüssel – er
nimmt einfach irgendwelche zufälligen MACs, die dann mit sehr großer Wahrscheinlichkeit nicht
passen, vgl. Bild 9-5. Dann können sich Sender und Empfänger auch in einem Land mit totalem
Konzelationsverbot trefflich herausreden: „Konzelation? Haben wir nicht gemacht, haben wir nicht
gewollt, haben wir nicht mal gemerkt!“
Kurzum: Key-Escrow zur Verbrechensbekämpfung wird weitestgehend wirkungslos bleiben –
erfordert aber kaum realisierbaren technischen134 und erheblichen organisatorischen135 Aufwand, um
die Aushöhlung der Rechte der Bürger und eine Steigerung der informationellen Verletzbarkeit von
Wirtschaft und Gesellschaft in vertretbaren Grenzen zu halten.
9.4 Symmetrische Authentikation ermöglicht
Konzelation
Jedes Bit der zu konzelierenden Nachricht wird übertragen, indem beide möglichen Werte, 0 und 1,
jeweils gefolgt von einem MAC, übertragen werden [Rive_98]. Der MAC des richtigen Bits paßt, der
des falschen nicht, vgl. Bild 9-4. Da außer Sender und Empfänger niemand prüfen kann, welche
134
Wie soll eine Zugriffskontrolle in den Datenbanken der Key-Escrow-Agencies fehlerfrei realisiert werden, und
gleichzeitig ein kurzfristiger Zugriff auf die Schlüssel möglich bleiben? Die Erfahrung, daß bisher jedes größere
technische System Fehler enthielt, lehrt, daß derartige Risikozusammenballungen vermieden werden sollten.
135
Es ist erstaunlich, daß gerade die Bedarfsträger Key-Escrow fordern, deren Erfolge und Skandale doch häufig auf der
Erfahrung „Jeder Mensch hat seinen Preis“ beruhen.