Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

402
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
401
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Aus der Prüfziffer und ihrer ebenfalls abgefangenen Verschlüsselung mit der Vernam-
Chiffre kann jeder durch Differenzbildung den aktuellen Schlüsselabschnitt bestimmen.
Zu jeder (vom Angreifer frei wählbaren) Nachricht kann mittels des öffentlich bekannten
Verfahrens die Prüfziffer berechnet werden und diese dann mittels des aktuellen Schlüsselabschnitts
zu einem „authentischen“ MAC verschlüsselt werden.
Erreicht wird durch diesen passiven Angriff ein selektives Brechen, was wie schon in
§3.1.3.1 angemerkt, nicht akzeptabel ist.
b) Für die üblichen kollisionsresistenten Hashfunktionen ist dies nach heutigem Wissen eine
sichere Konstruktion. Allerdings sind diese nicht nur kollisionsresistent, sondern sie haben
noch eine darüber hinausgehende, für die Sicherheit der bei TLS verwendeten Konstruktion
wesentliche Eigenschaft:
Ihr Funktionswert verrät nichts über die Eingabe.
Um zu verdeutlichen, warum dies wesentlich ist, nehmen wir das Gegenteil an: Die kollisionsresistente
Hashfunktion gäbe 80 Bit ihrer Eingabe als Teil ihres Funktionswertes aus. Sind
sowohl die Funktionswerte lang genug als auch die Eingaben, so kann solch eine Hashfunktion
prima kollisionsresistent sein. Bei der bei TLS verwendeten Konstruktion eingesetzt
verkürzt sie allerdings die Schlüssellänge um 80 Bit, wenn der Schlüssel „dummerweise“ an
der passenden Stelle der Eingabe steht. Wird mit einer Schlüssellänge von 128 Bit gearbeitet,
was normalerweise mehr als ausreichend ist, dann muß ein Angreifer höchstens 248 mal
probieren, um den Schlüssel zu bestimmen. Dazu ist heute nahezu jeder relevante Angreifer in
der Lage.
c) Ja: Hashe (, , ) und übertrage die Funktionswerte
(ggf. zusammen mit , falls der Empfänger nicht mitzählt oder das
Kommunikationsmedium unzuverlässig ist). Der Empfänger muß nun nur noch die Werte des
Byte durchprobieren, indem er (, , ) hasht
und mit dem übermittelten Funktionswert vergleicht, um den Funktionswert zum Klartextbyte
zu entschlüsseln. Außer Sender und Empfänger kann dies niemand, da niemand sonst den
Schlüssel kennt. Die Numerierung der Bytes verhindert, daß gleiche Bytes gleiche Funktionswerte
ergeben, es wird so eine synchrone Stromchiffre erzeugt, vgl. §3.8.2. Im Beispiel wird
angenommen, daß ein Byte einen sinnvollen Kompromiß zwischen der Anzahl der Versuche
bei der Entschlüsselung durch den Empfänger und der Nachrichtenexpansion durch die
wesentlich längeren Funktionswerte der Hashfunktion (typischerweise 160 Bit) und Nummer
des Bytes (typischerweise 64 Bit) ist. Es ist klar, daß statt Bytes vom Bit bis (bei heutiger
Technologie etwa) zum Langwort von 4 Bytes alles genommen werden kann.
i) Das eine ausgetauschte Speichermedium werde für Zweiwegkommunikation genutzt, so daß
für jede Richtung nur die Hälfte der Speicherkapazität genutzt werden kann. Dann ergibt sich
Hochauflösende Bewegtbildkommunikation
(140 Mbit/s)
Sprachkommunikation
(normale ISDN-
Codierung: 64 kbit/s)
Textkommunikation
(Tippgeschwindigkeit
40 bit/s)
1,62 Tage 87,5 s 0,04 s
694 Tage 10,4 h 17 s
5787 Tage 3,6 Tage 143 s
139 Tage 2,1 h 3,4 s
3009 Tage 1,9 Tage 74 s
19676 Tage 12,3 Tage 486 s
3,5"-Diskette
(1,4 MByte)
optische 5,25"-Platte
(600 MByte)
Video-8-Streamertape
(5 GByte)
3,5"-Diskette (120
MByte)
DVD-RAM einseitig
(2,6 GByte)
Dual-Layer-DVD
beidseitig (17 GByte)
Austausch einer 1,4 MByte Diskette reicht also für Textkommunikation für die meisten Anwendungen
bereits „auf Lebenszeit“ (denn nur wenige werden Ihnen so am Herzen liegen, daß
Sie insgesamt 1,62 Tage nonstop für sie tippen), entsprechend reicht Austausch einer optischen
600 MByte Platte für viele Sprachkommunikations-Anwendungen (auch wenn viele
Menschen ausdauernder reden als tippen). Für unkomprimierte hochauflösende Bewegtbildkommunikation
sind die heutigen Massenspeicher noch zu klein, aber für komprimierte
Bewegtbildkommunikation niedriger Auflösung wie im ISDN vorgesehen (ein zusätzlicher
Kanal von 64 kbit/s für das Bild) durchaus brauchbar: Mit Hilfe eines Video-8-Streamertapes
1,8 Tage informationstheoretisch sicher seine(n) TelefonpartnerIn zu sprechen und zu betrachten,
dürfte auch hier „auf Lebenszeit“ reichen. Für flüchtige Bekanntschaften tut's neuerdings
eine 120 MByte Diskette – und für intensive Telebeziehungen künftig eine Dual-Layer-DVD.
3-8 Authentikationscodes
a) Ausgetauscht sei der Schlüssel 00 11 10 01. Zu sichern sei der Klartext H T T T.
Beim Authentikationscode wird dann H,0 T,1 T,0 T,1 als „Schlüsseltext“ generiert und
übertragen.
b) Fängt ein Angreifer eine Kombination aus H oder T sowie MAC ab, so bleiben für ihn immer
zwei (der vier) Schlüsselwerte ununterscheidbar, da H bzw. T in jeder Spalte der Tabelle, in
der sie vorkommen, genau zweimal vorkommen. Genau diese zwei Werte unterscheiden sich
aber darin, ob für den anderen Wert des „Münzwurfs“ der MAC den Wert 0 oder 1 haben
muß. (Behauptung kann in dem einfachen Authentikationscode leicht durch vollständige
Betrachtung aller Möglichkeiten verifiziert werden.) Deshalb hat der Angreifer keine bessere
Strategie als Raten, was mit der Wahrscheinlichkeit 0,5 dazu führt, daß der Empfänger die
Verfälschung des Angreifers erkennt.
Einfachere Darstellung: Wenn k = k1k2, so ist k(H) = k1 und k(T) = k2. (Dies ist im folgenden,
der Aufgabenstellung entnommenen Bild veranschaulicht, in dem k1 fett gezeichnet
Eine ganz andere Frage ist, ob der Lesezugriff auf die Medien schnell genug geht, um in Realzeit
auf den Schlüssel zugreifen zu können. Für Text- und Sprachkommunikation kein Problem.
Für hochauflösende Bewegtbildkommunikation mit 140 Mbit/s für alle Medien bisher
nicht möglich – ein weiterer Grund, weshalb Bewegtbildsignale nicht nur verlustfrei, sondern
sogar verlustbehaftet komprimiert werden. Ersteres bringt etwa den Faktor 4, bei letzterem
kommt es darauf an, welche Qualitätseinbuße man gewillt ist, in Kauf zu nehmen. Wenn Sie
Ihren Taschenrechner noch ausgepackt haben, dann können Sie die Zahlen für hochauflösende
Bewegtbildkommunikation noch mal mit den typischen Werten von 34 Mbit/s für verlustfreie
und 2 Mbit/s für verlustbehaftete Kompression durchrechnen. Was ergibt sich? Video-8-Streamertape
und DVD sind für hochauflösende Bewegtbildkommunikation bei verlustbehafteter
Kompression durchaus geeignet – sowohl für die Speicherung des One-Time Pads wie auch
für die Speicherung des Bewegtbildsignals. Kein Wunder: Schlüssel, Schlüsseltext und Klartext
sind gleich lang – und für letzteres wurden die Medien konzipiert.
3-7a Symmetrisch konzelierter Message Digest = MAC ?
a) Das Rezept ist vollkommen unsicher, wie das in der Aufgabenstellung genannte Beispiel zeigt:
Aus der abgefangenen Nachricht kann jeder mittels des öffentlich bekannten Verfahrens die
Prüfziffer berechnen.