Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

386
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
385
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
+ sich Zentralen weniger merken müssen (in der vorherigen Alternative muß sich z.B. ZB das Zertifikat cA , SZA (cA ) merken, dann nur dann kann ZB die Ausstellung des
Zertifikats cA , SZB (cA ) rechtfertigen),
+ klar ist, wer was geprüft hat (und, je nach rechtlichem Kontext, wer wofür haftet),
+ für die Teilnehmer erkennbar ist, über wie viele (und ggf. wie vertrauenswürdige und
in welcher Weise haftende) Stufen die Authentisierung des öffentlichen Schlüssels
erfolgte und
+ deshalb diese Alternative allgemeiner anwendbar ist, vgl. Aufgabenteil g).
k ZAZB (k)
Z B
Z A
k AZ A (k) k BZB (k)
A B
Der Nachteil dieser Alternative ist, daß
- Teilnehmer mehr Signaturen überprüfen müssen, um sich von der Authentizität eines
Schlüssels zu überzeugen.
Aus meiner Sicht überwiegen die Vorteile bereits heute deutlich – und sie werden immer mehr
überwiegen, je leistungsfähiger die Rechentechnik der Teilnehmer wird.
Authentikation von öffentlichen Schlüsseln: Der öffentliche Schlüssel jedes Teilnehmers
wird von „seiner“ Zentrale authentisiert an die Zentrale des anderen geschickt (z.B. schickt ZA den Schlüssel cA an ZB , signiert mit sZA ). Die Zentrale des anderen prüft die Authentisierung
und authentisiert den öffentlichen Schlüssel ggf. ihrerseits, damit der Empfänger diese zweite
Authentisierung prüfen kann (z.B. prüft ZB mit tZA , den sie ja nun kennt, und signiert dann cA mit sZB , was B dann mit tZB prüfen kann).
b) Optional: Vermutlich sieht Ihre Lösung so aus, daß mehrere Teilschlüssel jeweils über zwei
Schlüsselverteilzentralen (eine in jedem Land) ausgetauscht und von den Teilnehmern modulo
2 addiert werden. Das ist besser als den Schlüssel gleich als Ganzes auszutauschen, hat aber
den Nachteil, daß nicht alle Schlüsselverteilzentralen eines Landes zusammenarbeiten müssen,
um den Schlüssel zu erhalten. Es genügt, wenn jeweils eine der zwei Zentralen kooperiert.
Dies bedeutet nun, daß die lokale Entscheidung der Teilnehmer, welches die Schlüsselverteilzentralen
in ihrem Land sind, die keinesfalls alle kooperieren, ausgehebelt wird. Wenn wir
unterstellen, daß alle Schlüsselverteilzentralen untereinander Schlüssel ausgetauscht haben,
dann gibt es eine bessere Lösung, die die lokalen Entscheidungen der beiden Teilnehmer
respektiert:
In einer ersten Phase tauscht einer der Teilnehmer über alle seine Schlüsselverteilzentralen
Teilschlüssel mit jeder Schlüsselverteilzentrale des anderen Teilnehmers aus, die der
Teilnehmer und die Schlüsselverteilzentrale des anderen Teilnehmers jeweils modulo 2
addieren und so jeweils einen geheimen Schlüssel erhalten. Hat der Teilnehmer a Schlüsselverteilzentralen
und der andere Teilnehmer b, dann werden also b mal jeweils a Teilschlüssel,
insgesamt also a•b Teilschlüssel ausgetauscht und daraus b Schlüssel gewonnen.
In einer zweiten Phase werden diese b geheimen Schlüssel mit den Schlüsselverteilzentralen
des anderen Teilnehmers sowie die zwischen dem anderen Teilnehmer und seinen
Schlüsselverteilzentralen ausgetauschten Schlüssel verwendet, um wie in Bild 3-3 gezeigt
zwischen den Teilnehmern b Teilschlüssel auszutauschen (die natürlich nichts mit den
Teilschlüsseln in der ersten Phase zu tun haben dürfen).
c A, s ZA (c A)
Z B
Z A
c B , s ZB (c B )
s Z B (c A )
c A ,
c B , s ZA (c B )
A B
Der jeweils resultierende Schlüsselaustausch ist in allen Fällen natürlich höchstens so vertrauenswürdig
wie der schwächste verwendete Schritt, d.h. das schwächste Schlüsselaustausch-
Subprotokoll.
Anmerkung: Im Fall, daß die Authentisierung von öffentlichen Schlüsseln durch digitale
Signatursysteme erfolgt, wäre es eine Alternative, daß die Zentrale des anderen Teilnehmers
nicht den öffentlichen Schlüssel des ersten Teilnehmers, sondern den öffentlichen Schlüssel
von dessen Zentrale authentisiert. Dann kann der Teilnehmer die Authentisierung des
öffentlichen Schlüssels des anderen Teilnehmers selbst prüfen.
c) Ja, eine Parallelschaltung ist auch bei asymmetrischen kryptographischen Systemen sinnvoll.
Es bestehen nämlich Möglichkeiten für verändernde Angriffe eines einzelnen (oder
weniger) Schlüsselregisters R: Dieses könnte falsche Schlüssel weitergeben, zu denen es
selbst die geheimen Schlüssel kennt. Wie in den folgenden Bildern gezeigt, könnte es dann
einerseits unbemerkt die Vertraulichkeit von Nachrichten brechen, indem es Nachrichten
umschlüsselt, und andererseits Nachrichten unbemerkt fälschen, indem es sie „umsigniert“
oder ganz neue signiert.
c A , s ZA (c A )
Z B
Z A
c B , s ZB (c B )
sZA (cA ),
cB , sZB (cB ),
cA ,
sZA (t ) s t ZB
, ZB
t Z , ZB
(t )
A Z A
A B
Die Vorteile dieser Alternative sind, daß