Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

408
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
407
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
a) Die Wahrscheinlichkeit, daß das kryptographische System innerhalb dieser Zeit gebrochen
wird, muß hinreichend klein sein. Wenn man ein informationstheoretisch sicheres System verwendet
(also beim One-time-pad oder geeigneten Authentikationscodes), sind die folgenden 3
Punkte irrelevant. Andernfalls ist zu beachten:
• Trivialerweise wächst mit der Länge der Zeit, die der Schutz wirksam sein soll, auch die Zeit,
die dem Angreifer für eine Kryptoanalyse zur Verfügung steht.
• Vermutlich steigt die Rechenleistung/DM weiterhin exponentiell mit einer Verdoppelungszeit
etwa jedes Jahr, bis irgendwann technologische Grenzen erreicht werden. Diese steigende
Rechenleistung wird dem Angreifer zur Verfügung stehen.
• Außerdem können in dieser Zeit effizientere Algorithmen entdeckt werden. (Denn bei all den
nicht informationstheoretisch sicheren Systemen gibt es ja noch keine brauchbaren unteren
Schranken für die Komplexität des Brechens.)
In den beiden Beispielen muß man die Systeme so überdimensionieren, daß sie hoffentlich
mindestens 80 Jahre sicher sind.
( x
p-1
q-1
p
) ≡ x 2 x
mod p und (
q
) ≡ x 2 mod q
berechnen. x ist ein Quadrat gdw. ( x
) = (x)
= +1. Da das Auswerten der Formeln höchstens
p q
kubischen Aufwand (in der Länge von n) verursacht, insbesondere also polynomial in der
Länge von n ist, kann der Angreifer somit für einen nichtvernachlässigbaren Anteil aller
Moduli die Quadratheit beliebiger x entscheiden. Dies widerspricht der Quadratische-Reste-
Annahme.
Um den Umgang mit den formalen Definitionen der Faktorisierungs- und der Quadratische-
Reste-Annahme zu üben, wird jetzt der „nichtvernachlässigbare Anteil“ formal hingeschrieben:
Es gibt einen (probabilistischen) polynomialen Algorithmus F, so daß für ein Polynom Q gilt:
Für jedes L existiert ein l ≥ L, so daß gilt: Wenn p, q als unabhängig zufällige Primzahlen der
Länge l gewählt werden und n := p•q
W(F (n) = (p; q)) > 1
Q(l) .
Um ein Gefühl zu bekommen, was das bedeutet, ein Beispiel: Nehmen wir an, das Wachsen der
Rechenleistung hielte solange an. (Das dürfte allerdings mit physikalischen Grenzen schon knapp
werden, vgl. [Paul_78 Seite 236f., DaPr_89 Seite 41].) Dann ist es so, als ob der Angreifer bei
heutiger Rechenleistung etwa 281 Jahre zur Verfügung hätte. Könnte man das System nicht
schneller als durch vollständige Suche im Schlüsselraum brechen, so müßte dieser um den Faktor
281 zu groß gewählt werden, also die Schlüssel um 81 bit zu lang, falls sie optimal codiert sind.
Das wäre nicht einmal sehr viel.
Anders ist es schon bei auf Faktorisierung beruhenden Systemen. Um einerseits die Fortschritte
bei den Faktorisierungsalgorithmen und andererseits die bei der Rechenleistung zu verdeutlichen,
werden zwei Beispielrechnungen durchgeführt:
Nehmen wir an, die Komplexität sei und bliebe genau
L1990 (n) = exp(√⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺ ln(n) ln ln(n)),
Aus diesem Algorithmus F konstruieren wir nun einen ebenfalls (probabilistischen)
polynomialen Algorithmus R . R ruft F auf. Faktorisiert F, so berechnet R , wie gerade
beschrieben, ( x
) und (x).
Sind beide +1, so gibt R „true“ aus, andernfalls „false“. R ist genau
p q
dann erfolgreich, wenn es F ist.
Also gilt: Es gibt einen (probabilistischen) polynomialen Algorithmus R , so daß für das obige
Polynom Q gilt: Für jedes L existiert ein l ≥ L, so daß gilt: Wenn p, q als zufällige Primzahlen
der Länge l gewählt werden, n := p•q, und x zufällig unter den Restklassen mit Jacobi-Symbol
+1, so gilt:
W(R (n, x) = qr(n, x)) > 1 1
2
+
Q(l) .
Dies widerspricht der Quadratische-Reste-Annahme.
3
L1995(n) = exp(1,923• √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n) (ln ln(n)) 2 ),
dies ist die Komplexität des besten 1990 bzw. 1995 bekannten Faktorisierungsalgorithmus,
vgl. [Schn_96 Seite 256].
Im Jahre 1995 verwendeten wir n der Länge 512 bit und das wurde etwa damit begründet, daß
diese Zahlen in einem Jahr nicht zu faktorisieren waren (was heutzutage anders ist, vgl.
[Riel_99]). Also sollten wir aus der Perspektive von 1995 für die Zukunft n* vorsehen mit
L(n*) = 281 • L(n)
Aus der algorithmischen Sicht von 1990 bedeutet dies:
L1990 (n*) = 281 • L1990 (n)
⇔ exp(√⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) ln ln(n*)) = 281 • exp(√⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺ ln(n) ln ln(n))
⇔ √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) ln ln(n*) = 81 ln(2) + √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺ ln(n) ln ln(n).
Außerdem wissen wir ln(n) = 512•ln(2) ≈ 360 und ln ln(n) ≈ 6, sowie √⎺⎺⎺⎺⎺ 360•6 ≈ 44, also etwa
⇔ √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) ln ln(n*) = 56 + 44
⇔ ln(n*) ln ln(n*) = 1002 Ein bißchen Taschenrechnerakrobatik ergibt, daß diese Ungleichung für ln(n*) ≈ 1400 erfüllt ist.
Also log2 (n*) ≈ 1400 / ln(2) ≈ 2020.
3-10 Welche Angriffe sind auf welche kryptographischen Systeme zu erwarten?
a) Der Notar muß ein digitales Signatursystem verwenden. Da er bis auf den Zeitstempel (z.B.
Anhängen von Datum und Uhrzeit an die Nachricht) beliebige ihm vorgelegte Nachrichten damit
signiert, muß das digitale Signatursystem adaptiven aktiven Angriffen widerstehen. Das
Nachrichtenformat könnte folgendermaßen sein:
, Datum, Uhrzeit, sNotar (, Datum, Uhrzeit).
b) Es können symmetrische oder asymmetrische Konzelationssysteme verwendet werden.
Erstere müssen mindestens einem Klartext-Schlüsseltext-Angriff (known-plaintext attack)
standhalten, da der Angreifer den Klartext zum beobachteten Artikel demnächst in der Zeitung
nachlesen kann. Wenn der Angreifer sensationelle Dinge tut, kann er zumindest teilweise einen
gewählten Klartext-Schlüsseltext-Angriff erreichen, z.B. kann er den Text, den er gerne verschlüsselt
sähe, ans Rathaus sprühen. (Diese beiden Angriffe sind beim asymmetrischen System
irrelevant, weil der Angreifer da ja sowieso beliebige Texte selbst verschlüsseln kann.)
Würde die Zeitung auch beliebig unsinnige Artikel drucken (vielleicht weil der Korrespondent
auch Chiffreanzeigen entgegennimmt), muß das Konzelationssystem (symmetrisch oder
asymmetrisch) sogar einem gewählten Schlüsseltext-Klartext-Angriff (chosen-ciphertext
attack) standhalten, da der aktive Angreifer den Klartext zum von ihm geschickten Schlüsseltext
demnächst in der Zeitung nachlesen kann.
3-11 Wie lange sind Daten zu schützen? Dimensionierung kryptographischer
Systeme; Reaktion auf falsche Dimensionierung; Öffentlichen Schlüssel eines
Signatursystems oder asymmetrischen Konzelationssystems veröffentlichen?