Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr 384
383
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
kationssystem wird dieser 1. Prüfteil authentiziert, und so der 2. Prüfteil gebildet. Mit dem dritten
Authentikationssystem wird der 2. Prüfteil authentiziert, usw. Nachteil: Kann ein Angreifer das
erste Authentikationssystem brechen, indem er zum 1. Prüfteil eine andere passende Nachricht
findet, sind alle anderen Authentikationssysteme hiergegen wirkungslos (denn der 1. Prüfteil wird
für die andere passende Nachricht ja nicht geändert, der ganze Rest kann also unverändert
bleiben). Außerdem läßt sich die Berechnung der Prüfteile hier nicht so schön parallelisieren.
Um Schlüsselaustauschaufwand zu sparen, wird, sofern möglich, der gleiche Schlüssel für
mehrere kryptographische Systeme genommen. Nachteil: In vielen Fällen ist das resultierende
System nicht stärker, manchmal sogar schwächer als das schächste der verwendeten Systeme.
Dies ist besonders leicht bzgl. Authentikation zu zeigen: Nehmen wir an, alle Systeme verwenden
den gleichen Schlüssel. Dann ist klar, daß ein vollständiges Brechen auch nur eines Systems das
vollständige Brechen des Gesamtsystems ermöglicht. Erlauben manche Systeme das effektive
Gewinnen von Information über den Schlüssel, so kann, obwohl keines für sich allein genug
Information für einen erfolgreichen Angriff zu gewinnen erlaubt, die Summe der einzelnen
Informationen hierfür ausreichen.
k 1
k 1
x, k 1 (x)
Testen
1
Codieren
1
x,
„ok“ oder
„falsch“
...
x, k 1 (x),… , k n (x)
...
x
k n
k n
Testen
n
n(x)
x, k
Codieren
n
Diskussion eines ungeschickten Lösungsvorschlags:
Es wird mit Authentikationssystem i ein Authentikator nicht nur unter die Nachricht x gebildet,
sondern auch unter die Prüfteile 1 bis i-1. Diese Lösung ist zwar sicher, aber unnötig aufwendig:
1. Die Berechnung der Prüfteile erfordert in der Regel umso mehr Rechenaufwand, je länger
die zu authentizierende Zeichenkette ist.
2. Die Berechnung der Prüfteile ist nicht mehr einfach parallelisierbar, da Prüfteil i von
Prüfteil i-1 abhängt.
Sowohl beim Schutzziel Konzelation als auch beim Schutzziel Authentikation ist bei Softwareimplementierung
der kryptographischen Systeme natürlich noch zusätzlich Speicheraufwand für
die jeweiligen Programme nötig.
3-4 Schlüsselaustauschprotokolle
a) Die Funktion einer Schlüsselverteilzentrale muß von mehreren gemeinsam erbracht werden.
Dazu müssen entweder
• alle Schlüsselverteilzentralen direkt Schlüssel voneinander kennen, oder
• die Schlüsselverteilzentralen benötigen wiederum eine Ober-Schlüsselverteilzentrale, usw.
Im zweiten Fall müssen zunächst die zwei Schlüsselverteilzentralen einen Schlüssel austauschen,
was genau wie bisher zwischen zwei Teilnehmern geht.
Im folgenden nehmen wir also an, die zwei Schlüsselverteilzentralen ZA und ZB, mit denen
die beiden Teilnehmer A bzw. B einen Schlüssel ausgetauscht haben, hätten nun gemeinsame
Schlüssel.
Symmetrisches System: Jetzt kann eine der beiden Schlüsselverteilzentralen einen Schlüssel
generieren und der anderen vertraulich mitteilen (z.B. generiert die Schlüsselverteilzentrale ZA den Schlüssel k und schickt ihn an ZB, verschlüsselt mit kZAZB (den sie ja nun gemeinsam
haben). Nun teilt jede „ihrem“ Teilnehmer den Schlüssel vertraulich mit, wie bisher (d.h. ZA schickt kAZA (k) an A, und ZB schickt kBZB (k) an B).
Zur Beweisbarkeit der beiden Konstruktionen:
Systeme parallel zur Authentikation ist trivial zu beweisen, da sich an der Benutzung jedes
einzelnen Systems, insbesondere der Verteilung von Nachrichten und Schlüsseltexten/MACs
überhaupt nichts ändert.
Systeme in Serie zur Konzelation ist leider überhaupt nicht zu beweisen. Die Verteilung der
Eingaben von „Verschlüsselung 2“ bis „Verschlüsselung n“ wird durch die Konstruktion geändert
– statt dem Klartext wird Schlüsseltext verschlüsselt. Dies könnte nun so unglücklich geschehen,
daß die Verschlüsselungen 2 bis n zur Sicherheit nichts beitragen, das System in Serie also nur so
sicher wie „Verschlüsselung 1“ ist. In der Praxis dürfte dies nur der Fall sein, wenn „Verschlüsselung
2“ bis „Verschlüsselung n“ zielgerichtet so „unglücklich“ entworfen werden. (In Aufgabe
3-26 finden Sie eine in einem gewissen Sinne beweisbar sichere, allerdings aufwendigere
Konstruktion zum Gebrauch mehrerer Konzelationssysteme.)
Umgekehrt liefert der Beweis für Systeme parallel zur Authentikation auch, daß die Konstruktion
nur so sicher ist, wie es schwer ist, alle verwendeten Systeme zu brechen. Und ebenfalls
umgekehrt scheitert der Beweis für Systeme in Serie zur Konzelation hauptsächlich daran, daß die
Zwischenergebnisse, d.h. die Schlüsseltexte zwischen den verwendeten Konzelationssystemen,
dem Angreifer nicht vorliegen – gerade das macht seine Aufgabe aber normalerweise ungleich
schwieriger als die, nur alle verwendeten Konzelationssysteme zu brechen.
Diskussion falscher Lösungsvorschläge:
Um die Nachricht mit mehreren Konzelationssystemen zu verschlüsseln und so den Klartext
vertraulich zu halten, obwohl einzelne Konzelationssysteme unsicher sind, wird die Nachricht in
so viele Abschnitte aufgeteilt, wie Konzelationssysteme zur Verfügung stehen, und jeder
Abschnitt mit einem anderen Konzelationssystem verschlüsselt. Nachteil: Die Wahrscheinlichkeit,
daß ein Angreifer zumindest Abschnitte der Nachricht entschlüsseln kann, wird durch dies
Vorgehen eher erhöht als erniedrigt.
Um die Nachricht mit mehreren Authentikationssystemen zu authentizieren, wird mit dem
ersten Authentikationssystem zur Nachricht ein 1. Prüfteil gebildet. Mit dem zweiten Authenti-