Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

400
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
399
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
x) = S gilt. Um zu zeigen, daß auch alle x gleichwahrscheinlich sind, brauchen wir wieder,
daß wegen der gleichen Größe der Räume ver(k, x) = S nur für ein k gelten kann.
richtig authentisiert ist (sinnvollerweise mit einem informationstheoretisch sicheren Authentikationscode).
Für den binären Fall der Vernam-Chiffre suchen wir also 2x2-Funktionstafeln, in denen in
jeder Zeile und Spalte eine 0 und eine 1 steht. Es gibt genau zwei, die die Funktionen XOR
und NOT XOR darstellen. (Daß es genau zwei sind, sieht man z.B. so: Legt man für eine
Wertekombination der beiden Eingabeparameter den Funktionswert fest, ist die Funktion klar,
da durch Änderung eines Parameterwertes sich das Funktionsergebnis jeweils ändern muß. Da
man für den ersten Funktionswert zwei Möglichkeiten hat, gibt es also zwei Funktionen.)
k akt
1. unsinnige Nachricht:
S – k
akt
2. unsinnige Nachricht:
k nächste
k
3 .
akt N nächste + kakt
Empfänger
Sender
N nächste
– k nächste
N nächste + k akt
2 .
S
S – k akt
1 .
x x x
Angreifer
0 1
S =
k(x)
0 1
S =
k(x)
0 1
S =
k(x)
(S – k )
akt
k akt := S –
0
1
0
0 y y
0 0 1
k k k
1 y y
1 1 0
N nächste + k akt – k akt
N nächste :=
1
0
1
Für y = 1: NOT XOR
Für y = 0: XOR
y sei das Inverse zu y.
g) Lieber jüngerer Freund!
Erstens kannst Du, wenn es Dir nicht intuitiv klar ist, in historischen Quellen [Sha1_49] nachlesen,
daß natürliche Sprache zu weit mehr als der Hälfte aus Redundanz besteht und deshalb
kein Ersatz für einen rein zufällig gewählten Schlüssel, d.h. einen maximaler Entropie, ist.
Deshalb kann man, wenn natürliche Sprache auf diese Art und Weise verschlüsselt wird, den
Sinn längerer Schlüsseltexte verstehen, ohne Buch, Seite und Zeile bestimmen zu müssen. Ja
man kann sogar den Sinn der zur Verschlüsselung verwendeten Buchpassage verstehen und
sie ggf. so ermitteln. (Ein genaues Verfahren zum vollständigen Brechen mittels eines reinen
Schlüsseltext-Angriffs ist in [Hors_85 Seite 107 f.] skizziert. Vollständiges Brechen mittels
eines Klartext-Schlüsseltext-Angriffs ist noch wesentlich einfacher.)
Zweitens solltest Du, wenn Du es in letzter Zeit nicht getan hast, Dich über die momentane
und in Zukunft zu erwartende Rechenleistung und Speicherkapazität von PCs informieren.
Dann wirst auch Du befürchten, daß man demnächst die gesamte Weltliteratur auf einigen
optischen Speicherplatten speichern und dann durch vollständige Suche in einigen Stunden
jeden maschinell erkennbare Redundanz enthaltenden Klartext, der nach Deinem Verfahren
verschlüsselt wurde, automatisch entschlüsseln kann. (Sehr defensive Plausibilitätsrechnung:
Weltliteratur habe 108 Bände zu im Mittel 1 MByte. Also werden bei 1990 üblichen 5,25"optischen
Platten mit je 600 MByte insgesamt 108/600, also ungefähr 160 000 optische Platten
benötigt. Deren Durchsuchen ab jeder Bitposition erfordert 108•220•8 ≈ 8•1014 Schritte, die je
etwa 10-6 s dauern dürften. Also dauert das vollständige Durchsuchen längstens 8•108 s, also
längstens 92593 Tage bei einem Rechner heutiger Leistung. Beginnt man mit den wahrscheinlichen
Werken der Weltliteratur, endet die Suche im Mittel weit schneller.)
Zum Schluß noch ein kleiner Trost: Du bist nicht der erste, dem solch ein Fehler unterläuft.
Außerdem hattest Du Glück, durch Veröffentlichung Deines Verfahrens einen Freund zu
finden, der Dich auf Deinen Fehler hinweist. Viele Deiner Kollegen, die entweder nichts mehr
dazulernen wollen oder deren Auftraggeber Urheberrechte sichern wollen, halten Ihre
Verfahren geheim. Du kannst Dir denken, was dann oft passiert.
h) Nein, denn man kann sich einen beliebigen anderen Klartext derselben Länge ausdenken und
dann den Schlüssel so ausrechnen, daß er zu jenem Klartext und dem vorhandenen Schlüsseltext
paßt. Die Strafverfolgungsbehörde erhält also keine sinnvolle Information.
Eine zusätzliche Anmerkung: Bei der Vernam-Chiffre müssen Schlüssel (oder zumindest
Schlüsselabschnitte) vom einen Partner nur zum Ver- und vom andern nur zum Entschlüsseln
verwendet werden. Keinesfalls genügt es, daß zwei Partner einen gemeinsamen Schlüssel
haben und immer der, der dem anderen gerade eine Nachricht senden will, verwendet hierfür
als „Schlüssel“ den nächsten Schlüsselabschnitt. Sonst kann es passieren, daß beide Partner
gleichzeitig eine Nachricht senden, so daß ein Angreifer die Differenz ihrer Klartexte erfährt.
f) Da es hier um Eigenschaften der Ver-/Entschlüsselungsfunktion an sich, d.h. unabhängig von
einzelnen Schlüsseln, geht, ist die in §3.1.1.1 eingeführte abgekürzte Schreibweise ungeschickt
(in ihr kommt die Ver-/Entschlüsselungsfunktion an sich ja gerade nicht vor), so daß
wir zur ebenfalls dort erläuterten ausführlicheren Notation übergehen. Zunächst sei die
Definition (1) in der ausführlicheren Notation hingeschrieben:
Definition für informationstheoretische Sicherheit für den Fall, daß alle Schlüssel mit gleicher
Wahrscheinlichkeit gewählt werden:
∀S ∈ S ∃ const ∈ IN ∀x ∈ X: |{k ∈ K | ver(k,x) = S}| = const. (1)
Wir zeigen: Zumindest wenn, wie bei allen Vernam-Chiffren, Schlüsselraum = Klartextraum =
Schlüsseltextraum ist143 , ist notwendig und hinreichend: Die Funktion ver muß bei Festhalten
eines der beiden Eingabeparameter und Variation des anderen den gesamten Wertebereich
durchlaufen.
1 (k festgehalten) Bei festem k muß jeder Schlüsseltext eindeutig entschlüsselt werden
können, also nur bei einem Klartext vorkommen (d.h. ver(k, •) injektiv). Da es genausoviele
Schlüsseltexte wie Klartexte gibt, ist äquivalent, daß jeder Schlüsseltext mindestens
einmal vorkommt (d.h. ver(k, •) surjektiv).
2a (x festgehalten, Durchlaufen ist notwendig) Aus Definition (1) folgt, daß hinter jedem
überhaupt je vorkommenden Schlüsseltext S jeder Klartext stecken kann. Aus 1. folgt, daß
jeder Wert S des Schlüsseltextraums überhaupt je vorkommt. Zusammen lautet dies formal
geschrieben: ∀S ∀x ∃k: ver(k, x) = S. Dies ist äquivalent zu ∀x ∀S ∃k: ver(k, x) = S,
d.h. daß bei festgehaltenem x alle S vorkommen müssen.
2b (x festgehalten, Durchlaufen ist hinreichend) Kommen umgekehrt bei festgehaltenem x alle
S vor, so folgt die Sicherheit: Ist S gegeben, so gibt es also zu jedem x ein k, so daß ver(k,
143
Klartextzeichen, Schlüsselzeichen und Schlüsseltextzeichen sind Elemente der gleichen Gruppe, und zusätzlich sind
Klartext, Schlüssel und Schlüsseltext jeweils gleich lang.