Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

426
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
425
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Kleiner Denkfehler – große Unsicherheit. (Entsprechendes gilt für den „Taschenrechner“, wenn er
auch als Zweiter im Protokoll agiert, das Protokoll also auch bzgl. der Rollen in ihm symmetrisch
ist. Vorstellbar wäre dies etwa, wenn Teilnehmer sich gleichzeitig in mehreren Großrechnern
einloggen können.)
1. Sitzung 2. Sitzung
z
k(z), z'
k(z') k
k(z'), z''
?
z'
?
Angriff wiederholen
oder LOGIN abbrechen.
2. gilt, da von hinten bis zum ersten Bit des festen Wertes, z.B. 1, zurückgegangen werden
kann. Alle diese Bits sind angehängt – ihr Abhängen ergibt den ursprünglichen Klartext.
3. erfordert zunächst, daß definiert wird, was "minimale Längenexpansion" bedeutet.
Sinnvolle Definitionen könnten lauten:
• Die Expansion über alle möglichen Klartexte ist minimal.
• Die Expansion über alle möglichen Klartexte, gewichtet mit der Wahrscheinlichkeit
ihres Auftretens, ist minimal. Bei Gleichverteilung ist diese Definition gleich der
vorherigen.
• Im ungünstigsten Fall, d.h. für den ungünstigsten Klartext, ist die Expansion minimal.
Für die letzte Definition etwa gilt die Behauptung für die angegebene Codierung, da jede
solche Codierung bei zumindest einem Klartext immer mindestens ein Bit hinzufügen muß
(um zwischen "aufgefüllt" und "nicht aufgefüllt" zu unterscheiden) und die angegebene
Codierung, wenn möglich, nur genau ein Bit hinzufügt. Vermutlich erfüllt die angegebene
Codierung auch die erste Definition (Sie können es ja mal versuchen zu beweisen). Bei der
zweiten Definition kann man für jede feste Codierung die Verteilung des Auftretens der
Klartexte so wählen, daß die Codierung nicht minimal längenexpandierend ist.
Richtige Protokolle kann man erhalten, indem entweder die beteiligten Instanzen ein Gedächtnis
bekommen und an die Zufallszahlen Bedingungen stellen (was der Idee Zufallszahl eigentlich
widerspricht) oder sich beide nicht symmetrisch verhalten. Dies können sie, indem entweder
• vor dem Verschlüsseln z.B. die eigene Identität (etwa T für Taschenrechner und G für
Großrechner) mit der Zufallszahl konkateniert wird oder
f) Das Schieberegister und die Rückkopplung wird durch einen Zähler ersetzt, der ausgehend
von einem Initialisierungswert für jede Ausgabeeinheit hochzählt. Um Ausgabeeinheit i zu
bearbeiten, wird also zum Initialisierungswert i-1 addiert – dann kann's losgehen. Naheliegenderweise
heißt diese Betriebsart Counter Mode [Schn_96 Seite 205].
G
T
z, T
k(z, T), z', G
k k
k(z', G)
3-18a Spiegelangriff
Der Großrechner implementiere (neben anderen nützlichen Funktionen) dieselbe sichere Blockchiffre.
Zwischen Großrechner und jedem Teilnehmer (genauer: „Taschenrechner“) sei jeweils ein
unabhängig gewählter Schlüssel ausgetauscht. Beim LOGIN führen sie jeweils folgendes Identifikationsprotokoll
durch: Sende Zufallszahl, erwarte Verschlüsselung, entschlüssele, vergleiche.
All dies in beiden Richtungen, d.h. Großrechner identifiziert Teilnehmer und Teilnehmer
identifiziert Großrechner. (Der Einfachheit halber ist im folgenden Bild die mit zu übermittelnde
Identität des Teilnehmers, damit der Großrechner unter vielen ihm bekannten den richtigen
Schlüssel auswählen kann, nicht gezeichnet.)
• der eine nur ver- und der andere nur entschlüsselt oder
• statt einem Schlüssel je Paarbeziehung zwei verwendet werden. Mit dem einen verschlüsselt
der Großrechner und der „Taschenrechner“ entschlüsselt mit ihm nur, und mit dem anderen
verschlüsselt nur der „Taschenrechner“ und der Großrechner entschlüsselt mit ihm nur.
z
k(z), z'
k k
k(z')
z
k'
k
k '(z), z'
k' -1
-1
k(z')
k
Wenig geschickt, aber auch sicher, wäre es, wenn – wie in 3-4 e) – jeder selbst erst dann auf
Zufallszahlen reagiert, wenn er auf alle von ihm selbst ausgesendeten schon Antwort erhalten hat.
Damit könnte der Großrechner dann keine LOGINs mehr parallel abwickeln.
Verhalten sich „Taschenrechner“ und Großrechner absolut gleich (wie in der bisherigen
Beschreibung und im Bild unterstellt), so ist dies Protokoll unabhängig von der Stärke der
Blockchiffre noch unsicher: Erlaubt der Großrechner mehrere Sitzungen gleichzeitig, so kann die
von ihm generierte, zweite Zufallszahl in der ersten Sitzung als erste Zufallszahl in der zweiten
Sitzung verwendet werden. Wenn der Großrechner dies nicht merkt (etwa durch die restriktive
Maßnahme: nur ein LOGIN pro Teilnehmer gleichzeitig) und in Sitzung zwei richtig antwortet,
kann ihm die in Sitzung zwei gegebene richtige Antwort auf seine eigene Frage in Sitzung eins als
richtige Antwort gegeben werden. Mit diesem Spiegelangriff erkennt der Großrechner also nicht
den symmetrisch gleichen „Taschenrechner“, sondern im Spiegel nur sich selbst. Pech gehabt!