Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

428
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
427
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
bzw. Entschlüsseln und/oder Authentisieren der Nachricht genommen. Ein Angreifer muß
dann zu vielen verschiedenen Zeiten an vielen verschiedenen Orten präsent sein, um alle Pads
und die verschlüsselte Nachricht abzuhören bzw. die authentisierte Nachricht zu verfälschen.
Die Maßnahme erschwert zwar Angriffe auf die Vertraulichkeit und Integrität, erleichtert aber
aktive Angriffe auf die Verfügbarkeit: Es genügt, daß der Angreifer eines der pads (oder
natürlich auch die eigentliche Nachricht) abfängt oder verfälscht.
Als kryptographische Systeme können das One-time pad und informationstheoretisch sichere
Authentikationscodes verwendet werden. Ersteres geht nun wirklich einfach und auch letzteres
mit vertretbarem Aufwand ohne Rechnerhilfe.
b) Nachdem wieder beide je ein Kryptogerät haben, können sie auch asymmetrische kryptographische
Systeme verwenden. Hierzu müssen alle Kryptogeräte, die ihre geheimen
Schlüssel gelöscht haben, neue Schlüsselpaare erzeugen. Zusätzlich zu a) sagt einer dem
andern z.B. am Telefon noch die öffentlichen Schlüssel – denn Alice Kryptogerät hat auch
Bobs öffentliche Schlüssel gelöscht, da es beim besten Willen nicht vorhersehen konnte, ob
nur die geheimen Schlüssel ausgeforscht oder auch die öffentlichen unbefugt geändert werden
sollten. (Heutzutage wird durch die Erkennung des Sprechers beim Telefonieren der Inhalt
authentifiziert. Klappt demnächst Sprachsynthese auch in der Variante Sprecherimitation gut,
fällt dieses Argument weg. Man sollte sich also nicht allein auf diese Authentikation
verlassen.) Danach werden mit den öffentlichen Schlüsseln noch ein oder mehrere zusätzliche
pads ausgetauscht oder signierte Nachrichten direkt geprüft.
Haben Großrechner und „Taschenrechner“ eine genügend genaue Uhr, so kann man sich
einmal Abtippen vom Terminal ersparen, indem statt Zufallszahlen Datum und Uhrzeit verwendet
werden. (Hier sei an Aufgabe 2-3 erinnert und die dortige Bemerkung, möglichst schwache
Annahmen über die Zufallszahlenerzeugung zu machen.)
Nicht toleriert wird, daß ein Angreifer z.B. nach dem LOGIN „einsteigt“. Um diesen Angriff
abzuwehren, ist kontinuierliche Authentikationsprüfung nötig.
(Man beachte aber, daß in dieser Aufgabe eine Blockchiffre mit ziemlich starken Sicherheitseigenschaften
benötigt wird. Sie wird ja hier eher als Authentikations- als als Konzelationssystem
verwendet, und nicht jedes Konzelationssystem eignet sich auch zur Authentikation, s. Aufg. 3-7
d). Es muß z.B. gelten, wenn man die Uhrzeit verwendet, daß ein Angreifer nicht aus der Verschlüsselung
einer Nachricht die Verschlüsselung anderer, ähnlicher Nachrichten erraten kann.)
Haben Alice und Bob Vorsorge für den Fall eines Schlüsselverlustes getroffen und ein gemeinsames
Geheimnis vereinbart, das beide in ihrem Kopf (und folglich immer dabei) haben, können
sie natürlich auch dieses Geheimnis als Startwert für die Generierung eines gemeinsamen Schlüssels
verwenden. Insbesondere interessant ist dies für Fall b). Aus einem von beiden leicht zu
merkenden Passphrase (einer relativ langen Zeichenkette mit wenig Entropie pro Zeichen) kann
durch Anwenden einer kryptographischen Hashfunktion (die allgemein bekannt sein kann) ein
kürzerer Funktionswert mit mehr Entropie pro Zeichen gewonnen werden. Dieser Funktionswert
kann dann als Startwert für die Schlüsselgenerierung oder auch direkt als symmetrischer Schlüssel
verwendet werden.
3-21 Identifikation und Authentikation mittels asymmetrischem Konzelationssystem
a) U generiert eine Zufallszahl z und verschlüsselt diese so, daß nur T sie entschlüsseln kann:
cT (z). U sendet cT (z) an die Instanz, die T sein soll, und erwartet, daß sie ihm – je nach Protokoll
– entweder z zurückschickt oder z in einer weiteren kryptographischen Operation verwendet
und das Operationsergebnis zurückschickt. Tut sie das, so war (unter der Annahme, daß
cT authentisch und das asymmetrische Konzelationssystem sicher ist und z wirklich zufällig
gewählt wurde) das „richtige“ T (mit durch die Länge von z bestimmter Wahrscheinlichkeit)
involviert. Hiermit hat U den Teilnehmer T identifiziert. Aber Vorsicht: Wird so naiv vorgegangen,
funktioniert der in Aufgabe 3-18a beschriebene verändernde Angriff auch hier. Will
sich ein Angreifer A als Teilnehmer T ausgeben, schickt er cT(z) einfach an T weiter und das,
was er von T erhält, danach an U. Kurzum: Das Protokoll identifiziert nicht den direkten
Kommunikationspartner, sondern stellt nur sicher, daß T auch involviert ist, insbesondere z
erfährt. Codiert U die Botschaft, die er T zukommen lassen möchte, also in diese erste
Nachricht, etwa z := cT(Botschaft), so erfüllt das Protokoll seinen Zweck doch. U weiß nach
Erhalt von z, daß T die Botschaft Botschaft erhalten hat.
(Warnung: Wenn sie eine wesentlich andere Lösung haben, dann prüfen Sie, ob sie T seinen
geheimen Schlüssel dT haben auf etwas anwenden lassen, das vorher nicht mit cT verschlüsselt
wurde. Solch eine Operation, d.h. erst dT (zum Signieren) und danach cT (zum Prüfen der
3-19 Ende-zu-Ende-Verschlüsselung
Egal ob mit symmetrischer oder asymmetrischer Kryptographie gearbeitet wird: Jeder Benutzer
benötigt zumindest einen geheimen Schlüssel. Das Hauptproblem ist bei einem von mehreren
Personen genutzten Rechner also, wo jeder seine geheimen Schlüssel so aufheben kann, daß die
anderen legitimen Benutzer des Rechners sie nicht unbefugt nutzen können.
Traut man dem Betriebssystem, daß es verschiedene legitime Benutzer bezüglich des Zugriffs
auf vertrauliche Daten voneinander isoliert, und dem Hardwareschutz (Gehäuse etc.) des Rechners
bzgl. der Vereitelung von Eindringversuchen physischer Art, so ist das Problem per
Definition gelöst.
Vertraut man dem Rechner gar nicht, so muß nicht nur die Schlüsselspeicherung, sondern
auch die Verschlüsselung, Entschlüsselung, das Testen von Signaturen und vor allem das Signieren
in einem separaten, persönlichen Rechner geschehen. Dieser sollte, damit er mit seinem Benutzer
direkt kommunizieren kann, zumindest über eine kleine Tastatur und ein kleines Display
verfügen. Physische Ausprägungen reichen von sogenannter „Super smart card“ (Chipkarte mit
Display und Tatstatur), über sogenannte Smart Diskettes (Rechner in Diskettenform, die mit
anderen über deren Laufwerk kommunizieren, so daß kein Chipkartenleser benötigt wird und
mehr Platz als in einer Chipkarte mit den genormten Magnetstreifenkartenabmessungen zur
Verfügung steht) bis Notebookcomputer.
Ein Kompromiß bzgl. Aufwand und Sicherheit besteht darin, daß jeder Benutzer beim LOGIN
ein Paßwort solcher Länge (genauer: Entropie) eingibt, daß aus ihm ein Schlüssel eines symmetrischen
Konzelationssystems gebildet werden kann. Mit diesem Schlüssel werden dann die
eigentlich für die Ende-zu-Ende-Verschlüsselung benötigten Schlüssel zu Sitzungsbeginn ent- und
am Sitzungsende wieder verschlüsselt. Dieses Verfahren ist natürlich zu brechen, wenn entweder
die Paßworte doch zu wenig Entropie enthalten oder das symmetrische Konzelationssystem gebrochen
werden kann oder andere Benutzer durch ein Anwendungs-Programm, was das LOGIN
simuliert (so daß der nächste Benutzer glaubt, er kommuniziere mit dem Betriebssystem), an eine
Kopie des Paßwortes gelangen können. Letzteres kann etwa dadurch verhindert werden, daß vor
dem LOGIN der Rechner grundsätzlich auf Hardwaremanipulationen untersucht und mit dem
authentischen Betriebssystem gebootet wird. Damit sind „nur“ noch Eindringversuche erkennende
Gehäuse, vgl. §2.1, und authentisches Booten nötig, vgl. [Cles_88, ClPf_91, Groß_91].
3-20 Ende-zu-Ende-Verschlüsselung ohne vorher ausgetauschten Schlüssel
a) Wer dem andern eine Nachricht senden will, generiert viele One-time pads. Er sendet dann die
pads einzeln über verschiedene Wege (z.B. via Umweg über einem Bekannten und möglichst
von unterschiedlichen Orten aus, z.B. Wohnung, Büro, Telefonzellen) und Medien (z.B.
Telefon, Telex, Datex) und dies möglichst noch zu unterschiedlichen Zeiten (sofern der Dienst
dies zuläßt, d.h. keine Realzeitforderungen stellt). Die Summe aller pads wird dann zum Ver-