Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

396
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
395
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Was lernen wir daraus? Ein Protokoll, in dem ein Schlüssel zufällig generiert wird, und das dann
sicher ist, kann nicht ohne weitere Überlegung mit einem vorhandenen Schlüssel verwendet
werden. Alles getreu dem Merksatz: Alle Schlüssel, Startwerte etc. in der Kryptographie sollten
zufällig und unabhängig voneinander gewählt werden – es sei denn, sie müssen abhängig gewählt
werden oder die abhängige Wahl ist genauestens analysiert und in den Sicherheitsnachweis
einbezogen.
a) Generierung eines Schlüssels k eines schnellen symmetrischen Konzelationssystems, z.B.
DES. Verschlüsselung von k mit dem öffentlichen Chiffrierschlüssel cE des Empfängers E.
Verschlüsseln der Datei mit k. Übertragen wird also: cE(k), k(Datei).
Empfänger entschlüsselt ersten Teil mit seinem Dechiffrierschlüssel dE , erhält so k und
benutzt k, um die Datei zu entschlüsseln.
3-6 Situationen aus der Praxis (zur Systematik der kryptographischen Systeme)
a) Ein symmetrisches Authentikationssystem reicht, um Fälschungen bei sich vertrauenden
Partnern zu erkennen. Zwischen zwei alten Bekannten ist direkter Schlüsselaustausch
problemlos. Das System ist weder sehr sicherheitskritisch noch zeitkritisch.
Um die Mietoptionen und Präferenzen der Pfitzleute vor neugierigen Vermietern, die selbst
oder deren Freunde als Fernmeldetechniker beschäftigt sind, geheim zu halten, kann zusätzlich
auch symmetrische Konzelation verwendet werden. Bei der Auswahl der kryptographischen
Systeme hat Familie Pfitzmann also die Qual der Wahl.
b) Symmetrisches Konzelationssystem, direkter Schlüsselaustausch, Sicherheit kritisch (Kryptographen!),
Zeit unkritisch. Verwenden wird David ein one-time-pad oder Pseudo-one-timepad
– wenn's nur um Ideen klauen geht. Hat David auch ein Interesse daran, daß seine Ideen
unverändert bei den ihm vertrauenswürdigen Kryptographen ankommt, dann ist zusätzlich
noch Authentikation nötig.
Da David die ihm vertrauenswürdigen Kryptographen vermutlich alle schon einmal getroffen
hat, dürfte der direkte Schlüsselaustausch möglich sein. Es stellt sich allerdings die Frage, ob
David seine Idee für jeden vertrauenswürdigen Kryptographen extra verschlüsseln will – was
bei kanonischer Schlüsselverteilung (mit jedem Kryptographen einen anderen Schlüssel) nötig
ist. Hat David vor, öfter Ideen vertraulich an eine bestimmte Gruppe zu schicken, dann kann
er allen in dieser Gruppe denselben Schlüssel geben – das spart ihm Arbeit beim Verschlüsseln.
Bzgl. Vertraulichkeit hat dies keine Nachteile, denn den Klartext erfährt sowieso jeder in
dieser Gruppe. Problematisch wird es bei solch einem Gruppenschlüssel, wenn David jemand
aus der Gruppe ausschließen will – dann muß er allen, die in der Gruppe bleiben sollen, einen
neuen Schlüssel zukommen lassen. Ebenfalls problematisch ist solch ein Gruppenschlüssel
bzgl. Authentikation. Hier könnte dann jede(r) in der Gruppe mit dem symmetrischen Authentikationssystem
die neue Idee authentisieren und so an Davids gutem Ruf, daß seine Ideen gut,
schön und neu sind, kratzen. Das ist bei paarweiser Schlüsselkenntnis nicht möglich.
c) Es reicht ein symmetrisches Authentikationssystem, wobei hier gar kein Schlüsselaustausch
nötig ist; dafür ist Zeit sehr kritisch, und Platz auch; es bietet sich an, DES zu verwenden
(wobei sich die Betriebsart CBCauth anbietet, siehe §3.8.2.2).
d) Der Rechnerfan sollte ein digitales Signatursystem verwenden. Der Schlüsselaustausch muß
mittels Zentrale oder Telefonbuch geschehen, damit der Verkäufer den richtigen Testschlüssel
des Käufers kennt und auch sicher ist, daß die Zuordnung Käufer – Testschlüssel juristisch
bindend ist. Da das kryptographische System zeitunkritisch, aber sicherheitskritisch ist, sollte
der Rechnerfan GMR verwenden.
e) Konzelationssystem zur Wahrung von Geschäftsgeheimnissen (evtl. auch schon Authentikation,
siehe unten, aber symmetrisch reicht noch, weil es sich nicht um einen rechtsverbindlichen
Vertrag handelt). Die Schlüsselverteilung dürfte über ein öffentliches Schlüsselregister
erfolgen. Also wird wegen des Schlüsselaustausches ein asymmetrisches Konzelationssystem
benötigt, beispielsweise RSA (oder ein hybrides, vgl. §3.1.4, etwa RSA kombiniert mit
DES). Findet die Anfrage über Telefax statt, was heutzutage maximal mit 9600 bit/s, im ISDN
mit 64 kbit/s arbeitet, ist die Anwendung nicht zeitkritisch. Verwenden die Firmen Breitbandfax
(habe den Begriff noch nie gehört, er wird den Marketingleuten der Telekom aber
b) Generierung eines Schlüssels k eines schnellen symmetrischen kryptographischen Systems,
das Konzelation und Authentikation bewirkt, z.B. DES in der Betriebsart PCBC, vgl.
§3.8.2.5 (wenn Sie lieber zwei reinrassige kryptographische Systeme nehmen, müssen Sie im
folgenden k durch k1,k2 ersetzen und wie in Aufgabe 3-13 verfahren). Signieren von k (evtl.
zusätzlich: Uhrzeit, etc.) mit dem eigenen geheimen Signierschlüssel sS (S wie Sender) und
danach Verschlüsseln des signierten k mit dem öffentlichen Chiffrierschlüssel cE des Empfängers
E. (Erst konzelieren und danach signieren ginge auch.) Verschlüsselung und Authentikation
der Datei mit k. Übertragen wird also: cE (k,sS (k)), k(Datei). (Falls das asymmetrische
Konzelationssystem weniger Aufwand macht, wenn die Signatur sS (k) nicht mit ihm
konzeliert wird, kann das Nachrichtenformat cE(k), k(sS(k),Datei) günstiger sein.)
Empfänger E entschlüsselt ersten Teil mit seinem Dechiffrierschlüssel dE , erhält so das
signierte k, prüft die Signatur mit dem ihm bekannten Testschlüssel tS . Ist die Signatur in
Ordnung, benutzt E den Schlüssel k, um die Datei zu entschlüsseln und ihre Authentizität zu
prüfen.
(Für die reinrassigen kryptographischen Systeme: Sei k1 Schlüssel eines symmetrischen
Konzelationssystems, k2 Schlüssel eines symmetrischen Authentikationssystems. Dann wird
bei der oben erwähnten Ersetzung von k durch k1 ,k2 übertragen: cE (k1 ,k2 ,sS (k1 ,k2 )),
k1 (Datei,k2 (Datei)). Mensch sieht, daß die Authentikation von k1 nicht nötig ist.
cE(k1,k2,sS(k2)), k1(Datei,k2(Datei)) tut es also auch.)
c) Wie b), nur daß das symmetrische kryptographische System hier lediglich Authentikation
bewirken muß.
Fall 2:
Hier kann S natürlich genauso verfahren wie bei Fall 1, d.h. für jede Datei einen neuen Schlüssel
k erzeugen, ihn asymmetrisch verschlüsseln, usw. E muß dann auch genauso wie bei Fall 1
verfahren. Alternativ kann S den bei der ersten Dateiübertragung generierten Schlüssel k wiederverwenden
– und dies E mitteilen. So kann erheblicher Aufwand gespart werden: Keine zusätzliche
Schlüsselgenerierung, Schlüsselverschlüsselung, Schlüsselübertragung und Schlüsselentschlüsselung
– und bei b) und c) auch kein Schlüsselsignieren, keine Signaturübertragung und
auch kein Signaturtest.
Fall 3:
Hier kann E genauso verfahren wie S in Fall 1, d.h. einen neuen Schlüssel k erzeugen, ihn für S
asymmetrisch verschlüsseln, usw. Möchte E wie S in Fall 2 den bei der allerersten Dateiübertragung
verwendeten symmetrischen Schlüssel k wiederverwenden, ist Vorsicht geboten: E
hat k nicht selbst erzeugt und muß sich also vergewissern, daß k nur dem intendierten Empfänger
seiner Datei bekannt ist. Bei b) und c) ist dies E durch die digitale Signatur von S klar. Bei a) kann
E nicht sicher sein, wer k generiert hat, denn hier ist k in keiner Form authentisiert, insbesondere
nicht durch S. Wenn bei a) E nun nicht einen neuen symmetrischen Schlüssel k' erzeugt, sondern
den alten Schlüssel k nimmt, dann könnte ein Angreifer A , der ursprünglich k generierte und die
allererste Datei an E schickte, die an S adressierte Nachricht k(Datei von E) abfangen und mit dem
Schlüssel k entschlüsseln.