Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

430
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
429
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Sender A Empfänger B
Kennt kAB Kennt kAB Zu übertragen sei Nachricht
b1, ... bn mit bi ∈ {0, 1}
Berechnet
MAC1 := code(kAB,b1) ... MACn := code(kAB,bn) Überträgt
MAC1 ... MACn ––––––––––––––––––––––––––––> Probiert, ob
MAC1 = code(kAB,0) oder
MAC1 = code(kAB ,1)
und empfängt den passenden Wert b1 ...
probiert, ob
MACn = code(kAB ,0) oder
MACn = code(kAB,1) und empfängt den passenden Wert bn Signatur) ist zwar bei manchen Konzelationssystemen, z.B. RSA, möglich – aber eben nicht
bei allen. Ist es möglich, so können Sie das Konzelationssystem auch als Signatursystem
verwenden, wodurch die Aufgabe natürlich trivial lösbar ist.)
b) Das asymmetrische Konzelationssystem muß gegen adaptive Angriffe mit gewählten Schlüsseltexten
sicher sein. Sonst können die Antworten des sich Identifizierenden zum Brechen
seines asymmetrischen Konzelationssystems verwendet werden.
c) Konstruktion eines symmetrischen Authentikationsprotokolls aus einem asymmetrischen
Konzelationssystem:
1. T schickt Nachricht Ni an U.
2. U generiert Zufallszahl z, verschlüsselt Ni und z und schickt cT(Ni,z) an T.
3. T entschlüsselt mit dT und prüft, ob sein Ni aus Schritt 1 dem in Schritt 2 erhaltenen
entspricht. Wenn ja, schickt er z an U, ansonsten gibt er z nie aus.
4. Erhält U die von ihm generierte Zufallszahl z, so weiß er, daß Ni von T und authentisch
ist.
Das Authentikationssystem ist nur symmetrisch, da die Zufallszahl z für andere keinerlei
Aussagekraft, insbesondere also keinerlei Beweiswert hat – schließlich wurde z von U und
nicht etwa T generiert. Also kann U sich z beliebig selbst zuschicken.
Der Nachteil gegenüber normalen Authentikationssystemen ist, daß das Protokoll drei Nachrichten
statt einer braucht. Es auszuführen dauert also einerseits länger und belastet andererseits
das Kommunikationsnetz mehr.
Damit der Empfänger ausprobieren kann, welches Bit zum MAC paßt, müssen die MACs lang
genug sein. Der kleine Authentikationscode aus Bild 3-15 beispielsweise ist ungeeignet: Bei
Schlüssel 00 kann mit dem MAC 0 sowohl H wie auch T authentisiert werden – der Empfänger
kann also nicht entscheiden, ob H oder T übermittelt wird. Entsprechendes gilt für den Schlüssel
11 für MAC 1. Ist der MAC genügend lang, so tritt solch ein Fall nur mit vernachlässigbarer
Wahrscheinlichkeit auf.
Die Nachricht ist mit dem beschriebenen Verfahren perfekt konzeliert, da außer Sender und
Empfänger niemand prüfen kann, welche Bits zu den MACs passen und welche nicht. Denn
könnte das jemand mit einer besseren Wahrscheinlichkeit als 0,5, dann wäre dies ein Ansatz zum
Brechen des Authentikationssystems.
Sind die MACs genügend lang, dann ist die konzeliert übertragene Nachricht sogar noch
authentisiert: Ändert ein Angreifer einen MAC, so paßt der geänderte MAC mit überwältigender
Wahrscheinlichkeit entweder weder zu 0 noch zu 1 oder aber weiterhin zum gleichen Bitwert.
Wäre es anders, so könnte das Authentikationssystem mit nichtvernachlässigbarer Wahrscheinlichkeit
gebrochen werden: Der Angreifer würde den MAC in gleicher Weise ändern und das bei
normaler Verwendung des Authentikationssystems explizit übertragene Nachrichtenbit invertieren.
Statt einzelne Bits zu authentisieren, kann es effizienter sein, dies jeweils mit einem MAC für
mehrere Bits gleichzeitig zu tun. Dies spart Übertragungsbandbreite (mehr Bits pro MAC),
erfordert aber bei l gleichzeitig authentisierten Bits pro MAC bei vollständigem Durchprobieren 2l und bei Abbruch nach Erfolg im Mittel 2l-1 Probierschritte des Empfängers. Werden l Bits einzeln
übermittelt, so ist der Aufwand bei vollständigem Durchprobieren l•2, wird bei Fehlschlagen des
ersten Probierens einfach der andere Bitwert genommen, so ist der Aufwand l. Vergleichen wir
den Aufwand zwischen l Bits zusammen und l Bits einzeln übermittelt: Da für l=2 sowohl 2l = l•2
wie auch 2l-1 = l ist, hat l Bits zusammen nur Vorteile, während danach der Rechenaufwand pro
Bit empfängerseitig stark steigt. Vielleicht ist l=8 für viele Anwendungen ein sinnvoller
Kompromiß.
Tabellarische Darstellung: Symmetrische Authentikation mittels asymm. Konzelationssystem
Vorwissen: U kennt den öffentlichen Chiffrierschlüssel cT von T.
T –––– Ni –––> U
T U
Nachwissen: Wenn das asymmetrische Konzelationssystem die Eigenschaft hat, daß jede
vom Angreifer effektiv durchführbare Änderung von cT (Ni ,z) auch z ändert, was bei
einer Blockchiffre im allgemeinen gegeben sein sollte, dann gilt nach der dritten
Nachricht: U weiß, daß Nachricht Ni von T stammt.
Dies entspricht: Symmetrische Authentikation mittels symm. Authentikationssystem
Vorwissen: U und T kennen k, Schlüssel eines symm. Authentikationssystems.
T –––– Ni ,k(Ni ) –––> U
d) Da hier T die Nachricht Ni bildet und U nur einen Anteil, nämlich z liefert und T nicht reagiert,
wenn Ni nicht enthalten ist, muß hier das asymmetrische Konzelationssystem keinem
adaptiven aktiven Angriff in seiner schärfsten Form standhalten.
3-22 Konzelation mittels symmetrischem Authentikationssystem
Statt jedes Bits der zu konzelierenden Nachricht wird jeweils nur ein passender MAC übertragen.
Der Empfänger probiert dann jeweils aus, welches Bit zum MAC paßt.
3-23 Diffie-Hellman Schlüsselaustausch
a) Kernidee:
Die Kernidee ist, daß die Exponentiation kommutativ ist: