Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

410
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
409
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Konzelierte Daten müssen mit dem stärkeren Konzelationssystem verschlüsselt werden. Dies
kann je nach Anwendung, d.h. gibt es für diese neue Verschlüsselung eine sichere Umgebung mit
Kenntnis der zur Entschlüsselung der vorliegenden Schlüsseltexte nötigen Schlüssel oder nicht,
durch Entschlüsseln der vorliegenden Schlüsseltexte mit dem demnächst zu schwachen Konzelationssystem
und dem anschließenden Verschlüsseln des Klartextes mit dem stärker dimensionierten
Konzelationssystem geschehen oder durch eine zusätzliche Verschlüsselung der vorliegenden
Schlüsseltexte. Bei asymmetrischen Konzelationssystemen dürfte der letztere Fall der häufigere
sein. Unabhängig von der Verwendung symmetrischer oder asymmetrischer Konzelationssysteme
bedeutet das Vorgehen nach dem letzteren Fall, daß die Implementierung des demnächst zu
schwachen Konzelationssystems und die verwendeten Schlüssel weiterhin verfügbar bleiben
müssen. Das Vermeiden des Risikos des Umschlüsselns (es liegt für kurze Zeit der Klartext vor)
hat seinen Preis. Leider ist man nie sicher, ob alle Kopien des Schlüsseltextes, wie beschrieben,
stärker verschlüsselt werden. Das skizzierte Vorgehen hilft also nur gegen Angreifer, die nach der
stärkeren Verschlüsselung auf den Plan treten und ggf. auch Schwierigkeiten haben, eine weitere
Kopie des nur schwach verschlüsselten Schlüsseltextes zu finden. Das skizzierte Vorgehen ist
also kein Ersatz für richtige Dimensionierung von Anfang an, aber natürlich besser, als einfach
nur abzuwarten und die entstehende Unsicherheit des zu schwach dimensionierten Konzelationssystems
geheim halten zu wollen.
Signierte Daten müssen mit einer zusätzlichen Signatur im stärker dimensionierten Signatursystem
versehen werden, am besten vom ursprünglichen Signierer. Hierzu könnte man in einer
Übergangszeit jeden verpflichten: Jeder publiziert stärker dimensionierte Testschlüssel (zur zumindest
zeitweisen Authentikation jeweils mit dem noch nicht gebrochenen Signatursystem signiert)
und ist bei Vorlage einer von ihm im schwächeren alten System signierten Nachricht verpflichtet,
diese Nachricht im stärkeren neuen System zu signieren. Diese Übergangszeit muß natürlich
enden, bevor das Brechen des alten Signatursystems preiswert genug wird. Ist der ursprüngliche
Signierer zum zusätzlichen Signieren nicht in der Lage oder nicht willens, so kann ein
Zeitstempeldienst in Anspruch genommen werden: Jeder, der eine von einem anderen signierte
Nachricht hat und den Verfall dieses seines Beweismittels aufhalten will, legt die Nachricht samt
Signatur (im alten Signatursystem) einem Zeitstempeldienst vor. Dieser signiert im neuen, stärker
dimensionierten Signatursystem "Nachricht, Signatur im alten Signatursystem, Datum, Zeit".
Wird dies später vorgelegt, so ist diese zeitgestempelte Signatur so authentisch, wie sie zu
"Datum, Zeit" im alten Signatursystem war, wie der Zeitstempeldienst gegen Korrumpierung
geschützt ist und wie kryptographisch sicher die neue Signatur zum Vorlagezeitpunkt ist. Der
Schutz des Zeitstempeldienstes gegen Korrumpierung kann durch die übliche Technik erhöht
werden: Statt einer Signatur im neuen Signatursystem wird von unabhängig implementierten und
betriebenen Rechnern jeweils eine (von allen anderen unabhängige) Signatur im neuen
Signatursystem angebracht. Eine Nachricht gilt nur dann als korrekt zeitgestempelt, wenn
genügend viele (unabhängige) Signaturen im neuen Signatursystem vorgelegt werden. Da beim
Nachsignieren jeder autonom seine eigenen Interessen wahren kann, ist das hierfür skizzierte
Vorgehen weitaus zufriedenstellender, als das bzgl. Konzelation. Dies gilt insbesondere, wenn
durch die Verwendung von Fail-Stop-Signaturen das Ende der kryptographischen Sicherheit von
digitalen Signaturen (und damit auch das Ende jeder Übergangszeit) sicher ermittelt werden kann.
Man müßte also die Zahlen etwa 3,95 mal so lang wählen wie bisher. Der Berechnungsaufwand
erhöht sich dadurch um den Faktor 3,95 3 ≈ 61.
Aus der algorithmischen Sicht von 1995 bedeutet dies:
L1995 (n*) = 281 • L1995 (n)
3 3
⇔ exp(1,923• √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) (ln ln(n*)) 2 ) = 281 • exp(1,923•√⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n) (ln ln(n)) 2 )
3 3
⇔ 1,923• √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) (ln ln(n*)) 2 = 81 ln(2) + 1,923• √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n) (ln ln(n)) 2
3 3
⇔ √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) (ln ln(n*)) 2 = 42,12 ln(2) + √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n) (ln ln(n)) 2
3 3
⇔ √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) (ln ln(n*)) 2 = 29 + √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n) (ln ln(n)) 2 .
Außerdem wissen wir ln(n) = 512•ln(2) ≈ 360 und (ln ln(n)) 2 3
≈ 36, sowie √⎺⎺⎺⎺⎺⎺ 360•36 ≈ 23, also
etwa
3
⇔ √⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺⎺
ln(n*) (ln ln(n*)) 2 = 52
⇔ ln(n*) (ln ln(n*)) 2 = 523 Ein bißchen Taschenrechnerakrobatik ergibt, daß diese Ungleichung für ln(n*) ≈ 2400 erfüllt ist.
Also log2(n*) ≈ 2400 / ln(2) ≈ 3462.
Man müßte also die Zahlen etwa 6,76 mal so lang wählen wie bisher. Der Berechnungsaufwand
erhöht sich dadurch um den Faktor 6,763 ≈ 309.
Wir sehen: Der algorithmische Fortschritt innerhalb von 5 Jahren hat „genausoviel“ Einfluß auf
die notwendige Länge der Zahlen wie die innerhalb von 80 Jahren erwartete Erhöhung der
Rechenleistung. Beides erzwingt eine Verlängerung um je etwa 1500 Bit für den betrachteten
Zeitraum.
(Zum Glück gibt es aber viele Anwendungen, wo Signaturen nur kurz gelten müssen, z.B. in
einem digitalen Zahlungssystem, wenn man jedes Vierteljahr einen Kontoabschluß erhält und
gegen diesen noch wenige Monate Widerspruchsrecht hat.)
c) Ich gebe den Testschlüssel eines asymmetrischen Signatursystems weiter. Denn dann kann
mein Partner später mit seiner Hilfe prüfen, ob mein ihm dann übermittelter öffentlicher Schlüssel
eines asymmetrischen Konzelationssystems authentisch ist, indem ich diesen hierfür signiere.
b) Klar ist, daß man bei beiden Systemtypen hinfort für alle neu zu verschlüsselnden bzw. zu
signierenden Daten nur noch stärker dimensionierte Systeme verwendet, dazu neue Schlüssel
austauschen muß, etc. Vertraut man darauf, daß das demnächst brechbare digitale Signatursystem
noch nicht gebrochen ist, kann man es zum Austausch von öffentlichen Schlüsseln der stärkeren
asymmetrischen kryptographischen Systeme benutzen. Andernfalls ist – wie auch bei Verwendung
symmetrischer kryptographischer Systeme für den Schlüsselaustausch – ein neuer Ur-
Schlüsselaustausch außerhalb des zu schützenden Rechnernetzes notwendig. Möchte man mit dem
digitalen Signatursystem rechtlich Verbindliches regeln, sollte der öffentliche Testschlüssel neu
registriert werden. In jedem Fall ist es günstig, sich zumindest den Wechsel öffentlicher Schlüssel
von den Schlüsselregistern bestätigen zu lassen. Damit Schlüsselregister nicht willkürlich von sich
aus Schlüssel für ungültig erklären können, sollten sie hierzu eine digitale Signatur (ggf. im alten
kryptographischen System) des Inhabers unter eine diesbezügliche Nachricht (Schlüssel ungültig
ab: Datum, Uhrzeit) vorweisen.
Unterschiedlich ist das Vorgehen bzgl. der Daten, die mit dem alten, demnächst zu schwachen
System konzeliert/signiert wurden: