Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr 424
423
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Werden die Werte im Schieberegister nicht vor jeder Nachricht neu initialisiert, so kann der
Angreifer zu einem von ihm gewählten Klartext den Schlüsseltext mittels eines aktiven
Angriffs erfragen (geht sowohl bei der Betriebsart ECB, CBC, als auch CFB) und danach
diesen Klartext im Schieberegister hinterlassen und geduldig auf die nächste Ausgabeeinheit
warten, den ihm bekannten Wert subtrahieren, sich freuen ...
selbst synchronisiert, wird der letzte Block trotzdem richtig entschlüsselt, also als lauter
Nullen, und der Angriff wird nicht automatisch erkannt.
CFB zur Authentikation: Es gilt das bzgl. „CBC zur Authentikation“ Gesagte.
OFB: Der Angreifer muß den Wert im Schieberegister vorhersehen oder herbeiführen. Letzteres
kann er nicht durch die Wahl eines geeigneten Klartextstromes, da dieser nicht in die
Rückführung eingeht. Es hängt also allein von der Initialisierung des Schieberegisters ab, ob
ein aktiver Angriff erfolgreich ist.
c) Wenn hier ein Schlüsseltextblock geändert wird, so wird die Entschlüsselung dieses Blocks
vollkommmen anders. Somit steht beim nächsten Block im Klartextblockspeicher ein ganz
falscher Block. Dieser Fehler wird i.allg. nicht wegsynchronisiert, da bei jedem Block nach
der Entschlüsselung eine Funktion des alten falschen Klartexts dazuaddiert wird, so daß sich
wieder ein falscher Klartext ergibt und somit auch der Klartextblockspeicher wieder falsch
geladen wird.
{Die Begründung, PCBC sei eine synchrone Chiffre, und dies sei hinreichend, daß der
Angriff nicht funktioniert, ist falsch. Hierfür ist „synchron“ in §3.8.1 zu schwach definiert, da
hierfür selbst die Abhängigkeit von der Position innerhalb der Nachricht reicht. Ein Beispiel
möge dies erläutern: OFB ist eine synchrone Stromchiffre, aber solange man keine Schlüsseltextbits
des Authentikators ändert oder Schlüsseltextbits wegläßt, kann man im Schlüsseltext
beliebig ändern.}
PCBC: Um die bei CBC beschriebenen Vorteile, d.h. gleiche Erfolgswahrscheinlichkeit wie
bei ECB, zu erreichen, kann ein Angreifer auch bei PCBC versuchen, die Werte in den beiden
Speichern aktiv zu setzen, um einen ihm genehmen Wert von h einzustellen. Außer bei Initialisierungen
hat er aber hierbei gegenüber CBC zusätzliche Schwierigkeiten, was der folgende
Versuch, bei PCBC die Werte in den Speichern auf gewünschte Werte zu setzen, verdeutlicht:
Sende Klartextblock K1. Danach ist der Wert im Speicher für den Klartextblock bekannt (K1)
und durch Beobachtung des ausgegebenen Schlüsseltextblocks S1 auch der Wert im Speicher
für den Schlüsseltextblock. Hieraus kann h(K1,S1) berechnet werden. Trotzdem ist es nun
schwierig, beide Werte in den Speichern auf gewünschte Werte zu setzen. Zwar kann man den
Klartextblock K2 so wählen, daß K2+h(K1,S1) einen gewünschten Wert annimmt und dadurch
der diesem Wert zugeordnete Schlüsseltextblock S2 entsteht. Aber hierzu muß man den
Klartextblock K2 variieren und hierdurch ändert sich der Wert im Speicher für den Klartextblock.
Entsprechendes gilt, wenn man den Wert des Klartextblocks K2 wählt. Dann bewirkt
die Addition von h(K1,S1) einen unerwünschten Wert S2.
Für geeignete Funktionen h ist das Einstellen eines Wertes aus einer kleinen Menge von Werten
also schwierig. Deshalb kann selbst eine dem Angreifer bekannte ungleichmäßige Verteilung
von Klartexten vermutlich nicht zur Erzielung von Vorteilen bei aktiven Angriffen genutzt
werden, wenn die Initialisierung der Speicher geeignet erfolgt, vgl. das unter „CBC zur
Authentikation“ Gesagte.
d) ECB: Der Angreifer kann nicht viel erreichen, da die Blockchiffre als sicher angenommen und
in ECB eins-zu-eins als Blockchiffre verwendet wird. Somit verbleiben nur die bei der Definition
der Blockchiffre erwähnten Nachteile und die ihnen entsprechenden Angriffe: Bei deterministischen
Blockchiffren kann der Angreifer seine Möglichkeit zum aktiven Angriff nutzen und
wahrscheinliche Klartexte verschlüsseln lassen. Die zugehörigen Schlüsseltexte kann er dann
mit beobachteten Schlüsseltexten vergleichen. Mit Glück kann er so manche der beobachteten
Schlüsseltexte „entschlüsseln“, selbst bei Pech kann er so manche Klartexte ausschließen.
CBC zur Konzelation: Der Angreifer kann durch aktive Angriffe die Werte in den Speichergliedern
setzen. Werden diese Werte dann einfach weiterverwendet, d.h. beginnt nicht jede
Nachricht mit einem vom Sender gewählten Wert der Speicherglieder, so kann nach einem
aktiven Angriff auf den ersten Block ein Angriff wie für ECB und mit gleicher Erfolgswahrscheinlichkeit
durchgeführt werden. Wird der Wert der Speicherglieder nach den aktiven Angriffen
jeweils wieder neu gesetzt, so kann der Angreifer zwar im Schlüsseltext nach Blöcken
suchen, deren Klartext er kennt (beispielsweise von einem aktiven Angriff in der Betriebsart
ECB oder CBC). Zu diesen Blöcken kann er dann den ihnen in der Betriebsart CBC entsprechenden
Klartext errechnen: Er braucht nur den vorherigen Schlüsseltext zu subtrahieren. Aber
dieses Suchen ist mühseliger, da der Angreifer die verschlüsselten Werte nicht so gut
vorhersehen (und damit während seines aktiven Angriffs verschlüsseln lassen) kann. Seine
Erfolgswahrscheinlichkeit ist also bei geeignetem Neusetzen der Werte der Speicherglieder
geringer als bei dem entsprechenden Angriff auf ECB.
OCFB: Im Gegensatz zu PCBC kann bei OCFB der Wert im Schieberegister vom Angreifer
auch ohne Initialisierung eingestellt werden, sofern
• h keine Einwegfunktion ist und
• er das Ergebnis der Verschlüsselung Erg erfährt, bevor er sich auf die zugehörige Einheit
des Klartextstromes festlegen muß:
Mit Erg kennt der Angreifer den Wert des einen Eingabeparameters von h und kann, sofern h
keine Einwegfunktion ist, zu vielen gewünschten Ergebnissen von h einen passenden Wert
des zweiten Eingabeparameters ermitteln. Von diesem Wert subtrahiert der Angreifer „Wähle
aus“(Erg) und erhält so die Einheit des Klartextstromes, die er eingeben muß, um das von ihm
gewünschte Ergebnis von h zu erhalten. Wiederholt der Angreifer dies ⎡b/r⎤ mal, so steht im
Schieberegister ein von ihm gewünschter Wert. Damit gilt das unter „CFB zur Konzelation“
Gesagte entsprechend.
e) Die Codierung erfolgt folgendermaßen: Hänge an den Klartext ein Bit eines festen Wertes,
z.B. 1. Entsteht hierdurch nicht ein Vielfaches der Blocklänge, so fülle danach mit Bits des
anderen Wertes, z.B. 0, bis zum nächsten Vielfachen der Blocklänge auf.
1. gilt, da bis zum nächsten Vielfachen der Blocklänge aufgefüllt wird.
CBC zur Authentikation: Werden einzelne Blöcke authentiziert, so gilt alles für Konzelation
mit CBC Gesagte entsprechend. Bei der Authentikation mehrerer Blöcke zusammen muß der
Angreifer selbst im günstigen Fall, daß die Werte der Speicherglieder nicht immer wieder neu
initialisiert werden, die genauen Werte der Blöcke und ihre Folge richtig raten, eine bei sinnvoller
Blocklänge fast aussichtslose Aufgabe. Vorausgesetzt wird hierbei, daß die zu authentisierenden
Werte vom Angreifer nicht schon während seines aktiven Angriffes „abgefragt“
werden können, da hiergegen kein kryptographisches Verfahren Sicherheit bieten kann. Dieses
„Nicht-rechtzeitig-vorher-Wissen“ sicherzustellen, ist Aufgabe des umgebenden Protokolls.
Im einfachsten Fall könnte jeweils der Partner einen Teil der zu authentisierenden Nachricht
erzeugen.
CFB zur Konzelation: Der Angreifer ist immer dann bezüglich der folgenden Ausgabeeinheit
erfolgreich, wenn er die Verschlüsselung des im Schieberegister befindlichen Wertes kennt.