Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

422
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
421
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
entsprechende Schlüsseltextblock erfragt. Damit kann dann im Mittel nach 254 Versuchen, also
halb so vielen DES-Verschlüsselungen, der Schlüssel ermittelt werden.
Formal hingeschrieben:
Gegeben sei das Klartextblock-Schlüsseltextblock-Paar (x, DES(k, x)).
l) Vollständiges Brechen von RSA bedeutet, zu gegebenem n und c das zugehörige d bestimmen
zu können. Im in der Aufgabenstellung zitierten Beweis wird nun gezeigt: Mit Kenntnis von n,
c und d kann n faktorisiert werden – also ist vollständiges Brechen genauso schwer wie Faktorisieren.
Leider schließt dieser Beweis nicht einmal aus, daß universelles Brechen, d.h. das
Finden eines zum Schlüssel äquivalenten Verfahrens gelingt, ohne n faktorisieren zu können.
Gebildet wird x . Erfragt wird DES(k, x) .
Nach der Komplementaritätseigenschaft gilt: DES(k, x) = DES(k, x) . Durch Komplemen-
tieren wird DES(k, x) berechnet. Damit liegt für den Angriff die Verschlüsselung von x
sowohl unter dem Schlüssel k wie auch unter dem komplementären Schlüssel k vor.
Um den Schlüssel k zu ermitteln, werden solange Schlüssel k' durchprobiert, d.h.
DES(k', x) berechnet, bis dies entweder gleich DES(k, x) oder gleich DES(k, x) ist.
Im ersten Fall gilt k = k', im zweiten Fall gilt k = k' .
Wird beim Durchprobieren des Schlüsselraumes darauf geachtet, daß jeder der 256 möglichen
Werte von k' und k' höchstens einmal angenommen wird, dann endet die Suche
nach spätestens 255 , im Mittel nach 254 Schritten, wobei jeder Schritt aus einer DES-
Verschlüsselung und zwei Vergleichen des entstehenden Schlüsseltextes mit zwei vorhandenen
Schlüsseltexten besteht. Da ein Vergleich wesentlich weniger aufwendig als
eine DES-Verschlüsselung ist, ist der hier beschriebene gewählter Klartext-Schlüsseltext-Angriff
nur halb so aufwendig wie der vorher beschriebene Klartext-Schlüsseltext-
Angriff.
Auch hier muß ggf. noch an weiteren Klartext-Schlüsseltext-Paaren geprüft werden, ob
3-17 DES
a) Verschlüsseln: K1 = 011, K2 = 010.
L0 = 000, R0 = 101.
L1 = R0 = 101, R1 = L0 ⊕ f(R0, K1) = 000 ⊕ (R0•K1 mod 8) = 101•011 mod 8
= 5•3 mod 8 = 111.
L2 = R1 = 111, R2 = L1 ⊕ f(R1 , K2 ) = 101 ⊕ (111•010 mod 8) = 101 ⊕ (7•2 mod 8)
= 101 ⊕ 110 = 011.
Vertauschen der Hälften ergibt den Schlüsseltext 011111.
Entschlüsseln: Verwendet werden die Bezeichner in der rechten Hälfte des Bildes aus §3.7.3,
vgl. die Erklärung dort.
R2 = 011, L2 = 111 sind gegeben.
R1 = L2 = 111, L1 = R2 ⊕ f(R1, K2) = 011 ⊕ (111•010 mod 8) = 011 ⊕ (7•2 mod 8)
= 011 ⊕ 110 = 101.
R0 = L1 = 101, L0 = R1 ⊕ f(R0 , K1 ) = 111 ⊕ (R0•K1 mod 8) = 111 ⊕ (101•011 mod 8)
= 111 ⊕ (5•3 mod 8) = 111 ⊕ 111 = 000.
Wegen der in der Bezeichnerwahl implizit enthaltenen Vertauschung von links und rechts
brauchen die beiden Hälften nicht explizit vertauscht zu werden. Also lautet der Klartext:
000101, was mit dem ursprünglich verschlüsselten übereinstimmt.
der gefundene Schlüssel tatsächlich der richtige ist.
f) Für jedes der 64 Schlüsseltextbits gibt es eine lineare Gleichung, in die entsprechend den
Permutationen entsprechende Klartextbits und entsprechend den Permutationen und der
Teilschlüsselerzeugung entsprechende Schlüsselbits eingehen – wobei die Gleichungen
konstante Koeffizienten haben, denn die Permutationen und auch die Teilschlüsselerzeugung
sind bekannt und fest. Da Schlüsseltext und Klartext bekannt sind, haben wir 64 lineare
Gleichungen mit 56 Unbekannten. Die löst jedes Softwarepaket zur Lösung von Gleichungen
spielend. Das Ergebnis ist der gesuchte DES-Schlüssel.
b) Man legt explizit Tabellen an, so daß man jedes Ergebnis sofort auslesen kann. Möglichst faßt
man noch mehrere S-Boxen zu einer großen zusammen (bei DES wenigstens jeweils 2: Array
von 212 Einträgen).
c) Der Witz an schnellen Softwareimplementierungen solcher Systeme ist, daß es auch gelingt,
die Permutationen im wesentlichen zu tabellieren, die sonst viele Bitoperationen benötigen
würden. Eine Tabelle mit 232 Einträgen wäre aber zu groß. Als Beispiel zeigen wir, wie man
mit 4 Tabellen von 28 Einträgen auskommt:
Die Einträge werden 32 bit lang, und die i-te Tabelle beschreibt, wohin die i-ten 8 Bits
permutiert werden.
Ob die Blocklänge 64 oder z.B. 128 Bit ist, ob der Schlüssel 56 oder z.B. 256 Bit lang ist,
darauf kommt es offensichtlich nicht an. Der Algorithmus bricht offensichtlich jede Feistelchiffre
mit bekannten festen Permutationen. Vermutlich läßt er sich auf beliebige lineare
Blockchiffren übertragen.
Beispiel: 2-te Tabelle, also Bits 9 bis 16. Sei W(9), …, W(16) = 28,13,1,5,30,14,2,19.
In jedem Eintrag steht an Position 28 Bit 9, an Position 13 Bit 10 , … , an Position 19 Bit
16, und alle anderen Bits sind immer 0.
3-18 Betriebsarten
a) Man hat keinerlei Redundanz. Genauer: Jeder Schlüsseltext läßt sich zu irgendeinem Klartext
entschlüsseln. Wenn man dann wieder verschlüsselt, ergibt sich natürlich genau wieder dieser
Schlüsseltext und insbesondere sein letzter Block. Wenn die Nachrichten also keine interne
Redundanz enthalten, etwa bei Files von Zahlen, kann der Angreifer beliebige Schlüsseltexte
schicken.
b) (Dieses Schema ist etwas besser: Bei einem x-beliebigen Schlüsseltext wird i.allg. der sich
ergebende letzte Klartextblock nicht aus lauter Nullen bestehen, also wird der Angriff erkannt.
Aber:)
Wenn der Schlüsseltext aus mindestens drei Blöcken besteht, kann der Angreifer alle außer
den letzten zweien beliebig ändern. Da die Betriebsart CBC sich innerhalb von 2 Blöcken
Das Gesamtergebnis der Permutation erhält man, indem man die i-te Tabelle mit den i-ten 8
Bits der Eingabe indiziert und das Oder oder XOR der 4 Ergebnisse bildet.
d) Für ein Klartextblock-Schlüsseltextblock-Paar werden nacheinander verschiedene Schlüssel
probiert, bis einer paßt. Dies ist im Mittel nach 255 Versuchen der Fall. Danach wird probiert,
ob dieser Schlüssel auch für die anderen Klartextblock-Schlüsseltextblock-Paare paßt. Dies ist
mit sehr großer Wahrscheinlichkeit der Fall. Der mittlere Aufwand ist also 255 DES-
Verschlüsselungen.
e) Wie in §3.7.6 beschrieben, wird zu einem der gegebenen Klartextblock-Schlüsseltextblock-
Paare ein komplementäres gewählt, d.h. der komplementäre Klartextblock gebildet und der