Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

350
A. Pfitzmann: Datensicherheit und Kryptographie; Aufgaben, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
349
A. Pfitzmann: Datensicherheit und Kryptographie; Aufgaben, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
alle kollisionsresistenten Hashfunktionen eine sichere Konstruktion ist: Welche zusätzliche
Eigenschaft muß die kollisionsresistente Hashfunktion haben? (Als Startpunkt zum Nachdenken:
Könnte der Hashwert dem Angreifer etwas über den symmetrischen Schlüssel verraten?)
c) Falls die in b) gegebene Konstruktion für symmetrische Authentikation für eine konkrete
Hashfunktion sicher ist: Können Sie dann aus dieser Hashfunktion ein symmetrisches Konzelationssystem
bauen? (Das wäre spannend, denn weitverbreitet ist im Geheimdienstbereich die
Ansicht: Gute Hashfunktionen dürfen auch Gegnern bekannt werden, während gute Konzelationssysteme
vor ihm tunlichst geheimgehalten werden müssen. In Deutschland beispielsweise
beziehen sich die wissenschaftlichen Publikationen des BSI im Bereich Kryptographie
ausschließlich auf Hashfunktionen, vgl. z.B. [Dobb_98]).
3-8 Authentikationscodes
a) Rechnen Sie ein kleines Beispiel zur Authentikation von 4 Bits mit dem in der folgenden
Tabelle gegebenen Authentikationscode (= Bild 3-15). H (Head) und T (Tail) sind jeweils der
Klartext.
Text mit MAC
H,0 H,1 T,0 T,1
g) Ein jüngerer Kryptograph hat folgende Idee zur Senkung des Schlüsselaustauschaufwands:
Statt einem zufälligen Schlüssel verwende ich einen Teil eines Buches, den auch mein Partner
hat. Dann brauchen wir uns nur noch auf Buch, Seite und Zeile des Beginns zu einigen und
können dann modulo Alphabetgröße addieren bzw. subtrahieren, so lange das Buch reicht.
Welchen Rat und warum geben Sie als älterer Kryptograph Ihrem jüngeren Freund?
h) In manchen Ländern darf man zwar verschlüsselte Nachrichten schicken, muß aber den
Schlüssel aufbewahren und auf Wunsch einer Strafverfolgungsbehörde o.ä. aushändigen. Hat
das bei einer Vernam-Chiffre Sinn? (Unterstellt wird natürlich, daß die Strafverfolgungsbehörde
alle Schlüsseltexte abhört, in richtiger Reihenfolge speichert und Sendern und Empfängern
zuordnen kann.)
i) Wie lange kann man mit der informationstheoretisch sicheren Vernam-Chiffre
Textkommunikation (Tippgeschwindigkeit 40 bit/s),
Sprachkommunikation (mit der normalen ISDN-Codierung: 64 kbit/s) bzw.
Hochauflösende Bewegtbildkommunikation (140 Mbit/s)
verschlüsseln, wenn man eine
3,5"-Diskette (1,4 MByte),
optische 5,25"-Platte (600 MByte),
Video-8-Streamertape (5 GByte),
3,5"-Diskette (120 MByte),
DVD-RAM einseitig (2,6 GByte),
Dual-Layer-DVD beidseitig (17 GByte)
voller Zufallsbits ausgetauscht hat?
Zur Einordnung: Die ersten 2 Medien sind Standardtechnologie mindestens seit 1990 und massenhaft
verbreitet. Das Video-8-Streamertape (5 GByte) ist seit etwa 1993 verbreitet, allerdings
ist das Schreib-/Lesegerät nie ein Massenartikel geworden – es wurde aber laufend verbessert:
1998 passen auf das gleiche Medium mittels kompatibler Schreib-/Lesegeräte 20
GByte. 3,5"-Diskette (120 MByte) und DVD-RAM einseitig (2,6 GByte) sind 1998 dabei,
den Massenmarkt zu erobern und Nachfolger der ersten 2 Medien zu werden. Dual-Layer-
DVD beidseitig (17 GByte) ist bisher kein Produkt für die Speicherung von Daten durch den
Endnutzer, sondern das, was mit der Technologie von 1998 auf eine DVD gepreßt werden
kann. Es dient als Schätzung, was im Jahre 2000 dem Endnutzer zur Speicherung zur Verfügung
steht.
–
T
–
H
00
T
–
–
H
01
–
T
H
–
10
Schlüssel
T
–
H
–
11
b) Warum ist der Authentikationscode informationstheoretisch sicher? (Sie können den Beweis
aus der Vorlesung fortsetzen oder zusammenfassen, oder zunächst den Code wesentlich
einfacher darstellen.)
c) Wenn man diesen Code verwendet, um eine Nachricht aus mehreren Bits zu authentisieren
(wie in Teil a) oder Beispiel 2 der Vorlesung), kann ein Angreifer dann die Nachricht
unbemerkt ändern, indem er nur die Reihenfolge der Bits mitsamt ihren MACs vertauscht?
d) Rechnen Sie ein kleines Beispiel zur Konzelation und Authentikation von 4 Bits mit dem in der
folgenden Tabelle gegebenen Konzelations- und Authentikationscode. (Er bewirkt gleichzeitig
sowohl Konzelation als auch Authentikation.)
Warum ist der folgende Konzelations- und Authentikationscode bei beliebigen Angriffen auf
die Authentikation, aber nur bei beobachtenden auf die Konzelation informationstheoretisch
sicher? (Es sei unterstellt, daß der Angreifer bei einem verändernden Angriff erfährt, ob sein
Angriff auf die Authentikation erfolgreich war oder nicht.)
Schlüsseltext
00 01 10 11
–
T
–
H
00
H
–
–
T
01
–
H
T
–
10
Schlüssel
T
–
H
–
11
3-7a Symmetrisch konzelierter Message Digest = MAC ?
a) Hin und wieder hört man folgendes Rezept zur Generierung von Message Authentication
Codes (MACs):
Bilden Sie nach einem öffentlich bekannten Verfahren eine Prüfziffer zur Nachricht und
verschlüsseln Sie die Prüfziffer mit einem symmetrischen Konzelationssystem.
Übertragen Sie die Nachricht mit der verschlüsselten Prüfziffer.
Der Empfänger entschlüsselt die Prüfziffer und prüft, ob sie paßt, indem er mit dem
öffentlich bekannten Verfahren zur erhaltenen Nachricht die Prüfziffer berechnet. Sind
beide Prüfziffern gleich, wird die Nachricht als authentisch betrachtet.
Was halten Sie von diesem Rezept?
(Als Tip: Nehmen sie das sicherstmögliche öffentliche Verfahren zur Bildung von Prüfziffern,
nämlich eine kollisionsresistente Hashfunktion, und das sicherste symmetrische Konzelationssystem,
die Vernam-Chiffre, und überlegen Sie dann, ob die Kombination sicher ist.)
b) Was halten Sie von folgender Verbesserung: Statt den Hashwert mittels des symmetrischen
Schlüssels zu verschlüsseln, wird der symmetrische Schlüssel mit gehasht (so beispielsweise
im Transport Layer Security (TLS) Protokoll). Falls Sie der Meinung sind, daß dies nicht für