Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

356
A. Pfitzmann: Datensicherheit und Kryptographie; Aufgaben, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
355
A. Pfitzmann: Datensicherheit und Kryptographie; Aufgaben, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
b) Das Fluggepäck wurde wiedergefunden und zurückgegeben. Aber irgendwer wollte die
Schlüssel in den Kryptogeräten ausforschen, die diese also gelöscht haben. Wie können Alice
und Bob ihre Sicherheit nun verbessern?
könnte der Empfänger den Klartext berechnen und hätte also auch sämtliche Information für
die Authentikation zur Verfügung. Wieso kann das prinzipiell nicht genügen?
3-21 Identifikation und Authentikation mittels asymmetrischem Konzelationssystem
Wie kann ein Teilnehmer T, dessen öffentlicher Schlüssel cT eines asymmetrischen Konzelationssystems
einem Teilnehmer U bekannt ist, von U identifiziert werden, vgl. §2.2.1?
b) Zeigen Sie mit einem einfachen Angriff, daß das Schema immer noch unsicher ist, wenn man
an jeden Klartext vor dem Verschlüsseln hinten einen Block aus lauter Nullen anhängt, um
wenigstens etwas Redundanz zu haben.
a) Entwerfen Sie ein kleines kryptographisches Protokoll. (Die Existenz solch eines Protokolls
ist erstaunlich, da asymmetrische Konzelationssysteme nur mit dem Ziel Vertraulichkeit im
Sinn definiert wurden. Aber es gibt tatsächlich das gesuchte Protokoll.)
c) Betrachten Sie die Betriebsart PCBC in §3.8.2.5. Zeigen Sie, daß Ihr Angriff dort nicht mehr
funktioniert (wenn man dort genauso vorgeht, also einen Block aus lauter Nullen anhängt und
dann den Schlüsseltext überträgt und sowohl Konzelation als auch Authentikation will).
b) Gegen welche Angriffe muß das asymmetrische Konzelationssystem in Ihrem kleinen kryptographischen
Protokoll sicher sein?
d) Untersuchen Sie für die in §3.8.2 angegebenen Betriebsarten, was ein Angreifer, der
Gelegenheiten zu adaptiven aktiven Angriffen hat, erreichen kann. Nehmen Sie hierzu an, daß
er die verwendete Blockchiffre nicht brechen kann. {Wie üblich wird unterstellt, daß der
Angreifer die verwendeten kryptographischen Systeme kennt. Insbesondere kennt er also die
Länge der verwendeten Blockchiffre und die jeweils verwendete Betriebsart.}
c) Können Sie Ihr kleines kryptographisches Protokoll so verbessern, daß es nicht nur T identifiziert,
sondern auch Nachrichten Ni authentisiert? (Als Ansporn: Es gibt solch ein Protokoll.)
Ist Ihr Authentikations„system“ symmetrisch oder asymmetrisch, d.h. entspricht es gar digitalen
Signaturen? Was ist der Nachteil gegenüber „normalen“ Authentikationssystemen?
d) Muß in Ihrem verbesserten kryptographischen Protokoll das asymmetrische Konzelationssystem
noch genauso starken aktiven Angriffen standhalten wie in b)?
3-22 Konzelation mittels symmetrischem Authentikationssystem
Wie kann ein Teilnehmer A, der mit einem Teilnehmer B nur ein symmetrisches Authentikationssystem
inkl. ausgetauschtem Schlüssel kAB gemein hat, mit diesem konzeliert kommunizieren?
Bitte nehmen Sie nicht einfach den vertraulich ausgetauschten Schlüssel kAB für ein symmetrisches
Konzelationssystem, es geht tatsächlich nur mit einem Authentikationssystem. (Die Existenz
solch eines Protokolls ist erstaunlich, da symmetrische Authentikationssysteme nur mit dem Ziel
Integrität im Sinn definiert wurden. Aber es gibt tatsächlich das gesuchte Protokoll.)
e) Sie möchten mit ECB, CBC (sei es zur Konzelation, sei es zur Authentikation) oder PCBC
arbeiten, wissen aber nicht, ob Sie Klartexte passender Länge bekommen (d.h. Klartextlänge
ist durch die Blocklänge ohne Rest teilbar). Der oftmals gegebene Rat, "dann füllen wir eben
mit Nullen auf die Blocklänge auf." befriedigt Sie nicht, denn es soll einen Unterschied
machen, ob die Nachricht "Ich schulde Dir DM 10" oder "Ich schulde Dir DM 1000000"
ankommt. Entwerfen Sie eine Codierung, die
1. Klartexte beliebiger Länge auf solche passender Länge abbildet,
2. eindeutig zu invertieren ist und
3. deren Längenexpansion minimal ist.
f) OFB gestattet leider weder wahlfreien Zugriff noch Parallelisierbarkeit, denn der Zustand des
Schieberegisters muß jeweils von vorne berechnet werden. Entwerfen Sie eine naheliegende
Modifikation von OFB, die wahlfreien Zugriff und Parallelisierbarkeit erlaubt.
3-23 Diffie-Hellman Schlüsselaustausch
a) Kernidee: Was ist die Kernidee des Diffie-Hellman Schlüsselaustauschs?
b) Anonymität: Diffie-Hellman Schlüsselaustausch, wie er in §3.9.1 beschrieben wurde, unterscheidet
sich von asymmetrischen Konzelationssystemen gemäß §3.1.1.1 darin, ob der Sender
gegenüber dem Empfänger der verschlüsselten Nachricht anonym bleiben kann oder nicht.
Bei asymmetrischen Konzelationssystemen ist dies trivialerweise der Fall: Der Sender
besorgt sich den öffentlichen Konzelationsschlüssel, verschlüsselt die Nachricht damit, schickt
sie an den Empfänger. Der Empfänger entschlüsselt die Nachricht völlig unabhängig davon,
wer sie verschlüsselt hat.
Bei Diffie-Hellman Schlüsselaustausch ist das anders: Für die symmetrische Ver- und Entschlüsselung
der Nachricht wird jeweils der geheime, der Paarbeziehung der Beteiligten zugeordnete
Schlüssel verwendet. Also scheint erstmal keine Anonymität des Senders gegenüber
dem Empfänger möglich zu sein.
Überlegen Sie sich eine Modifikation des Diffie-Hellman Schlüsselaustauschs, bei der
Anonymität des Senders gegenüber dem Empfänger möglich ist. Und was ist zu tun, wenn der
Sender anonym eine Antwort erhalten will?
3-18a Spiegelangriff
Nehmen wir an, wir wollen Paßworte beim LOGIN durch etwas besseres ersetzen, haben aber
dumme Terminals und ein unsicheres Netz zwischen Terminals und Großrechner. Dafür hat jeder
Teilnehmer einen „Taschenrechner“, der eine sichere symmetrische Blockchiffre (vgl. Fußnote in
§2.2.1) implementiert, allerdings keinen elektrischen Anschluß an das Terminal besitzt. Deshalb
muß aller Informationstransfer via Display und Tastatur über den Teilnehmer laufen. Was tun Sie,
wenn Sie annehmen dürfen, daß der Großrechner selbst sicher ist? Welche Angriffe werden durch
das von Ihnen entworfene System nicht toleriert?
3-19 Ende-zu-Ende-Verschlüsselung
Welche Probleme ergeben sich, wenn jemand Ende-zu-Ende-Verschlüsselung von einem Bürorechner
aus betreiben will, also einem Rechner, zu dem nicht nur er selbst Zugang hat? Was sehen
Sie für Lösungsansätze?
c) Individuelle Parameterwahl: Diffie-Hellman Schlüsselaustausch, wie er in §3.9.1 beschrieben
wurde, unterscheidet sich von asymmetrischen Konzelationssystemen gemäß §3.1.1.1 darin,
daß sicherheitskritische Parameter (konkret: p und g) allgemein bekannt und deshalb im
einfachsten Fall für alle Teilnehmer gleich sind. Es stellt sich sofort die Frage, wer sie wählt
und ob derjenige hierdurch eine besondere Machtposition erringen kann. Denn es ist nicht
3-20 Ende-zu-Ende-Verschlüsselung ohne vorher ausgetauschten Schlüssel
Unser Kryptographenpaar Alice und Bob ist – wie immer – getrennt und diesmal ist Alice auf
einer Flugreise.
a) Und wieder einmal ist das Fluggepäck verloren gegangen, Schlüssel und Kryptogeräte also
nicht verfügbar. Wie können die beiden halbwegs vertraulich und authentisch kommunizieren?
(Ein Tip: Sie müssen annehmen, daß der Angreifer nicht immerzu überall sein kann.)