Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

444
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
443
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
verschlüsselten Antworten der Server modulo 2 addiert werden können und der Teilnehmer
trotzdem danach die Summer der Klartexte erhalten kann. Dies ist möglich, wenn die Verschlüsselung
zwischen Server und Teilnehmer mit einer „Vernam-Chiffre“ (one-time pad),
vgl. §3.2, oder einem Pseudo-one-time-pad, vgl. §3.4.2, modulo 2 erfolgt. Dann braucht der
Teilnehmer nur auf die modulo-2-Summe der verschlüsselten Nachrichten alle (pseudo-)onetime
pads modulo 2 zu addieren, um die modulo-2-Summe aller Klartextnachrichten zu erhalten.
Der Preis für das Einsparen von Übertragungsbandbreite ist lediglich, daß nur eine bestimmte
Klasse von Konzelationssystemen zwischen Servern und Teilnehmer verwendet
werden kann.
Nachricht 1: 00111010 01111100
Nachricht 3: 01110000 00111111
Nachricht 4: 11100111 01011110
Nachricht 5: 01101011 11001000
!y = 11000110 11010101
⊕
?z an S6 und erhält !z
Nachricht 2: 10110111 11100001
Nachricht 3: 01110000 00111111
Teilnehmer empfängt statt s Antworten nur eine.
Nachricht 4: 11100111 01011110
Nachricht 5: 01101011 11001000
!z = 01001011 01001000
⊕
Wer die Summe der verschlüsselten Antworten der Server bildet, ist für den Schutz der Information,
welche Speicherzelle der Teilnehmer abfragt, unerheblich. Beispielsweise könnte also
einer der Server die Antworten seiner Kollegen sammeln, zusammen mit seiner modulo 2 addieren
und an den Teilnehmer senden. Dies eröffnet die Möglichkeit, die oben erwähnten s-1
kurzen Abfragenachrichten einzusparen: Der Teilnehmer habe mit allen Servern, die er jemals
zu benutzen gedenkt, jeweils alle notwendigen Parameter für einen individuellen Pseudozufallsgenerator
und Schlüssel für die Verschlüsselung ihrer Antworten ausgetauscht. Dann sendet
er nur noch den langen Abfragevektor (und, sofern es nicht fest vereinbart ist, eine Liste
der zu verwendenden Server) an einen der Server. Dieser bildet seine verschlüsselte Antwort,
und sendet sie (ggf. mit der Liste) und dem Namen des Teilnehmers an den nächsten Server.
Der bildet seine verschlüsselte Antwort, indem er den Pseudzufallsgenerator mit diesem
Teilnehmer den Abfragevektor generieren läßt, entsprechend die Speicherzellen modulo 2
addiert, das Ergebnis verschlüsselt und danach zur erhaltenen Nachricht modulo 2 addiert, und
an den nächsten Server der Liste schickt. Der letzte Server der Liste schickt das Ergebnis an
den Teilnehmer.
Der Teilnehmer rechnet
!w = 01010011 11000010
!x = 01101001 10111110
!y = 11000110 11010101
!z = 01001011 01001000
Nachricht 2: 10110111 11100001
⊕
b) Zwischen Teilnehmer und Server muß jeweils verschlüsselt werden, da sonst ein Angreifer,
der alle diese Nachrichten abhört, sie nur modulo 2 addieren müßte, um als Ergebnis eine 1
genau an der Stelle in der Summe der Abfragevektoren zu erhalten, die der Speicherzelle entspricht,
für deren Inhalt sich der Teilnehmer interessiert. In obigem Beispiel würde der
Angreifer
1001
1100
Teilnehmer sendet und empfängt statt s Nachrichten jeweils nur eine.
⊕ 0111
0010
rechnen und frohlocken: 1 an Stelle 3, siehe da, der Teilnehmer interessiert sich also für
Nachricht 3.
d) Der Vorschlag ist unsinnig, d.h. er stellt eine Verschlechterung gegen die normale Stärkung
des Verfahrens durch Verwendung eines zusätzlichen Servers dar, der nicht ignoriert wird.
Begründung: Der Vorschlag verkraftet nicht einmal einen Angriff von beliebigen s Servern,
was das normale Verfahren bei s+1 verwendeten Servern ja tut: Nehmen wir an, die angreifenden
s Server seien die, deren Antworten vom Teilnehmer wirklich verwendet werden, d.h.
modulo 2 addiert den Inhalt einer der Speicherzellen ergeben. Da üblicherweise bei weitem
nicht jeder mögliche Inhalt einer Speicherzelle auch tatsächlich vorkommt, können die s Server
bequem testen, ob sie den ignorierten Server unter sich haben: Ergibt die Summe modulo 2
ihrer Antworten den Inhalt einer der Speicherzellen, so ist dies mit überwältigender
Wahrscheinlichkeit nicht der Fall und die Summe genau die Nachricht, für die sich der
Teilnehmer interessiert.
Auch die Antwort der Server an den Teilnehmer muß verschlüsselt werden. Andernfalls
addiert ein Angreifer, der alle diese Nachrichten abhört, sie genau wie der Teilnehmer und
erhält genau wie der die Nachricht, für die sich der Teilnehmer interessiert.
5-4b Vergleich „Verteilung“ und „Abfragen und Überlagern“
a) Eine offene implizite Adresse bei „Verteilung“ sollte einer Speicherzelle bei „Abfragen und
Überlagern“ entsprechen. In diese Speicherzelle wird immer die letzte an diese offene implizite
Adresse gesendete Nachricht geschrieben – die Inhalte von Speicherzellen des Nachrichten-
Service sind damit nicht mehr WORM- (Write once, Read many), sondern wirklich normale
RAM-Speicherzellen. Wenn dafür Sorge getragen wird, daß alle Server weiterhin zu jedem
Zeitpunkt die gleichen Inhalte in ihren Speicherzellen haben, daß also zeitliche Änderungen
synchron erfolgen, dann funktioniert der Nachrichten-Service auch so – und er ist weitaus
flexibler und effizienter einsetzbar.
c) Um die nötige Übertragungsbandbreite vom Teilnehmer zu den Servern zu minimieren, werden
statt s-1 lange Abfragevektoren zufällig zu erzeugen, diese pseudozufällig erzeugt. Dann
brauchen an diese s-1 Server nicht lange Abfragevektoren, sondern nur kurze Parameter für
Pseudozufallsgeneratoren verschlüsselt übertragen zu werden. Der s-te Abfragevektor wird
wie üblich berechnet und übertragen. Leider sehe ich nicht, wie auch er pseudozufällig generiert
werden könnte. Der Preis für das Einsparen von Übertragungsbandbreite ist, daß nun
keine informationstheoretische, sondern nur noch komplexitätstheoretische Sicherheit möglich
ist. Der in §5.4.2 angegebene Beweis für die Sicherheit des Verfahrens „Abfragen und Überlagern“
gilt weiterhin, da er nur die Symmetrie der s Abfragevektoren bzgl. aller algebraischen
Gesetze verwendet, nicht aber, daß die Server nicht wissen, wer welchen wie generierten
Abfragevektor erhält.
Teilnehmer sendet statt s langen Abfragevektoren einen langen und s-1 kurze.
Um die nötige Übertragungsbandbreite von den Servern zum Teilnehmer zu minimieren, wird
die Verschlüsselung zwischen Server und Teilnehmer so gewählt, daß die für den Teilnehmer