Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

382
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
381
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
3-3 Steigerung der Sicherheit durch Gebrauch von mehreren kryptographischen
Systemen
Beim Schutzziel Konzelation kann man die kryptographischen Systeme in Serie verwenden,
d.h. der Klartext wird mit dem Konzelationssystem 1 verschlüsselt, danach der resultierende
Schlüsseltext mit Konzelationssystem 2, usw. Z.B. bei einem symmetrischen System in der
Kurzschreibweise aus Bild 3-2, wenn ki der Schlüssel des i-ten Systems ist: S := kn(… k2 (k1 (x))…). Man muß natürlich für jedes System einen unabhängigen Schlüssel gewählt und die
Reihenfolge festgelegt haben.
Entschlüsselt wird in umgekehrter Reihenfolge, d.h. zuletzt mit Konzelationssystem 1, was
wieder den Klartext liefert. Im Beispiel x = k –1
1 (k2 –1 (… kn
–1 (S)…)).
k 1
k n
k 2
k 1
Verschlüsselung
2
jemand anderes, auch nicht der den Algorithmus oder das Algorithmenpaar erfindende
Kryptograph, die Sicherheit brechen kann. Folglich müßte der erfindende Kryptograph
beseitigt oder zumindest in Isolationshaft genommen werden, denn er kennt den geheimen
Algorithmus. Während im Altertum so etwas vorgekommen sein soll, verbietet es sich, seit
allen Menschen, selbst Kryptographen, Menschenrechte zuerkannt werden.
– Wie soll die Sicherheit des kryptographischen Algorithmus analysiert werden? Jeder, der
einen symmetrischen Algorithmus analysiert, ist genauso ein Sicherheitsrisiko wie der
Erfinder. Bei asymmetrischen Algorithmen ist zumindest jeder, der zur Überprüfung der
Sicherheit auch den geheimen Algorithmus erfährt, ein Sicherheitsrisiko.
– Eine Implementierung der kryptographischen Systeme in Software, Firmware oder gar
Hardware ist nur möglich, wenn der Benutzer in der Lage ist, sie selbst durchzuführen.
Andernfalls gilt für den Implementierer Gleiches wie für den Algorithmenerfinder.
– In öffentlichen Systemen, wo potentiell jeder mit jedem gesichert kommunizieren können
möchte, wären nur Softwareimplementierungen mit Algorithmen- statt Schlüsselaustausch
möglich – Firmware ist maschinenabhängig und Hardwareaustausch erfordert physischen
Transport. Selbst bei Softwareimplementierungen besteht der Nachteil, daß die bei symmetrischen
kryptographischen Systemen vertraulich und integer und bei asymmetrischen
Systemen integer auszutauschende Bitmenge erheblich größer ist: Algorithmen (sprich:
Programme) sind üblicherweise länger als Schlüssel.
– Eine Normung von kryptographischen Algorithmen wäre aus technischen Gründen
unmöglich.
c) Die Hauptvorteile der Benutzung von Schlüsseln sind: Die kryptographischen Algorithmen
können öffentlich bekannt sein. Dies ermöglicht
+ eine breite öffentliche Validierung ihrer Sicherheit,
+ ihre Normung,
+ beliebige Implementierungsformen,
+ Massenproduktion sowie
+ eine Validierung auch der Sicherheit der Implementierung.
x
Entschlüsselung
1
k
...
1(x)
Entschlüsselung
n
... k n(… k 2(k 1(x))…)
k 1(x)
Verschlüsselung
1
x
Natürlich können auch asymmetrische Konzelationssysteme auf diese Weise verwendet
werden. Auch ein gemischter Einsatz von symmetrischen und asymmetrischen Konzelationssystemen
ist möglich. Im Beispiel können hierzu für jedes einzelne i, 1 ≤ i ≤ n, jeweils die ki links
durch ci und das ki rechts durch di ersetzt werden, 1 ≤ i ≤ n.
Die beschriebene Konstruktion geht natürlich nur, wenn der Schüsseltextraum von Konzelationssystem
i ein Teilraum des Klartextraumes des Konzelationssystems i+1 ist. Dies läßt sich in
der Praxis meist problemlos erreichen. (Genauer später in der Vorlesung: §3.8.1 Block- und
Stromchiffren sowie §3.8.2 Betriebsarten für Blockchiffren). Haben Klartext und Schlüsseltexte
bei allen n Systemen die gleiche Länge, verändert diese Maßnahme den Speicher- bzw. Übertragungsaufwand
nicht. (Meistens wird er aber wegen Blockung ein bißchen wachsen.) Der
Berechnungsaufwand ist die Summe aller Berechnungsaufwände der einzelnen Konzelationssysteme
(allerdings auf den evtl. etwas verlängerten Nachrichten).
Nebenbei: Das durch die Verwendung mehrerer Konzelationsysteme in Serie entstehende
Konzelationssystem heißt Produktchiffre der verwendeten Konzelationsysteme.
Beim Schutzziel Authentikation kann man die kryptographischen Systeme parallel verwenden,
d.h. mit jedem System wird ein Authentikator der ursprünglichen Nachricht x gebildet, und
alle werden hintereinander an x gehängt (mit Trennzeichen o.ä.). (Z.B. gemäß Bild 3-6: x,
k1 (x),… , kn (x).) Der Empfänger prüft jeden Authentikator getrennt mit dem passenden System;
alle müssen stimmen.
Natürlich können auch digitale Signatursysteme auf diese Weise verwendet werden, ebenso ist
ein gemischter Einsatz möglich. Im Beispiel können hierzu für jedes einzelne i, 1 ≤ i ≤ n, jeweils
die ki links durch si und das ki rechts durch ti ersetzt werden.
Auch hier müssen die verwendeten Schlüssel unabhängig voneinander gewählt werden.
Berechnungsaufwand und Speicher- und Übertragungsaufwand für den Authentikator sind
genau die Summe derer aus den einzelnen Systemen. Die Berechnung kann problemlos parallel
erfolgen, so daß bei geeigneter Implementierung das Gesamtsystem fast so schnell wie das
langsamste verwendete Authentikationssystem arbeitet.
3-2a Schlüsselabgleich bei teilnehmerautonomer Schlüsselgenerierung?
Der Einwand gegen teilnehmerautonome dezentrale Schlüsselgenerierung ist falsch (s.u.). Folglich
ist der Vorschlag unnötig und – bekanntermaßen – bzgl. der Vertraulichkeit der geheimen
Schlüssel sehr gefährlich.
Grundsätzlich gilt: Natürlich kann nicht völlig ausgeschlossen werden, daß bei der Erzeugung
der Zufallszahl, die die Schlüsselgenerierung parametrisiert, dieselbe Zufallszahl mehrfach auftritt
und dann auch der geheime Teil des Schlüsselpaares mehrfach generiert werden kann. Die
Schlußfolgerung, deshalb müsse die Schlüsselgenerierung koordiniert ablaufen, ja gar von sogenannten
TrustCentern durchgeführt werden, ist aber unsinnig. Tritt dieselbe Zufallszahl mehrfach
auf, dann ist entweder der Zufallsgenerator schlecht oder die Zufallszahl zu kurz. In beiden Fällen
hilft es nicht, die Zufallszahl nur beim ersten mal zu verwenden und bei wiederholtem Auftreten
zu verwerfen. Denn wer sollte einen Angreifer daran hindern, mit dem gleichen Zufallsgenerator
Zahlen gleicher Länge zu erzeugen und zu hoffen, daß er Glück hat? Da dies nicht verhindert
werden kann, hilft nur: Zufallsgenerator gut wählen und validieren sowie Zufallszahl lang genug
wählen. Alles andere ist Kosmetik, die vom eigentlichen Problem ablenkt.
Und nebenbei: Falls überhaupt Schlüssel verglichen werden, dann genügt es, öffentliche
Schlüssel zu vergleichen. Die Schlüsselgenerierung kann also selbst dann teilnehmerautonom
bleiben – der Schlüsselvergleich erfolgt als Teil der Schlüsselzertifizierung.