Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

34
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
33
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Hier sind also zum Ver- und Entschlüsseln verschiedene Schlüssel c und d erforderlich, und nur d
muß geheimgehalten werden.
Anmerkung 1: Wieder sind die Schreibweisen c(x) und d(c(x)) nur Abkürzungen. Heißen die Verund
Entschlüsselungsalgorithmen wieder ver und ent, so sind c und d eigentlich Eingabeparameter
dafür, der Schlüsseltext ist S := ver(c, x) und die Entschlüsselung ent(d, S) = ent(d, ver(c, x)) =
x.
Anmerkung 2: Die Zufallszahl links unten hat folgende Bedeutung: Nehmen wir an, die Verschlüsselung
sei deterministisch. Wenn dann ein Angreifer einen Schlüsseltext S sieht und einige Klartexte
xi kennt, von denen wahrscheinlich einer dahintersteckt, so kann er dies prüfen, indem er selbst
alle c(xi) bildet und mit S vergleicht. (Dies ist bei langen Privatbriefen sicher kaum möglich, wohl
aber bei standardisierten Schritten aus Protokollen, z.B. im Zahlungsverkehr.) Deswegen muß die
Verschlüsselung indeterministisch gemacht werden, d.h. S hängt auch noch von einer
Zufallszahl ab, die der Angreifer nicht erraten kann. (Im Englischen wird dies als probabilistic
encryption bezeichnet.)
Man kann diese Zufallszahl als Teil des Klartextes auffassen. Da der Algorithmus Entschlüsselung
den ganzen Klartext herausbekommt, erhält er auch die enthaltene Zufallszahl, gibt sie aber
nicht nach außen.
Schlüssel, so würden auch alle ki die Länge 128 haben, und k könnte das bitweise XOR aller ki sein
(oder auch die Summe modulo 2128 ). Solange zumindest eine der Zentralen ihren Teilschlüssel ki geheimhält, haben die restlichen Zentralen keine Information über k, da durch das Hinzuaddieren von
einem geeigneten ki immer noch alle k möglich sind. (Dies heißt, daß aus der Sicht der restlichen
Zentralen k noch mit einer Vernam-Chiffre perfekt verschlüsselt ist, vgl. §3.2.)
Schlüsselverteilzentralen
X Y Z
k ( k )
BZ 3
k ( k )
BY 2
k ( k )
BX 1
k ( k )
AZ 3
k ( k )
AY 2
k ( k )
AX 1
Damit man c tatsächlich nicht geheimhalten muß, darf natürlich d nicht mit vernünftigem Aufwand aus
c zu bestimmen sein. (Genauer später bei Sicherheitsbegriffen und in §3.6)
Nun kann auf jeden Fall jeder Benutzer A sich selbst ein Schlüsselpaar (cA , dA ) generieren und
muß dA nie jemand anderem mitteilen. Es geht nur noch darum, cA so zu verteilen, daß jeder andere
Teilnehmer B, der A eine vertrauliche Mitteilung schicken will, es hat bzw. finden kann. Wenn A und
B sich schon vorher kannten, können sie es sich wieder privat mitteilen; B kann nun cA offen in sein
Adreßbuch schreiben. Auch können Bekannte sich cA weitererzählen.
Für Kontakte mit Unbekannten könnte cA gleich mit im Telefonbuch stehen, wo B die Netzadresse
von A nachschaut. Gibt es kein solches Verzeichnis außerhalb des Netzes, so kann ein im
Netz agierendes Schlüsselregister an seine Stelle treten, s. Bild 3-5.
k(Nachrichten)
Teilnehmer
Schlüssel k = k + k + k
1 2 3 Teilnehmer
A B
Bild 3-3: Schlüsselverteilung bei symmetrischen Konzelationssystemen
Asymmetrische Konzelationssysteme wurden genau erfunden, um die Schlüsselverteilung zu
vereinfachen, s. Bild 3-4.
Zufallszahl
Schlüsselgenerierung
c
Chiffrierschlüssel,
öffentlich bekannt
d Dechiffrierschlüssel,
geheimgehalten
Klartext
Ver-
Schlüsseltext
Ent-
Klartext
x schlüsse c(x)
schlüsse x
lunglung
Zufallszahl'
= d(c(x))
Geheimer Bereich
Bild 3-4: Asymmetrisches Konzelationssystem
(≈ undurchsichtiger Kasten mit Schnappschloß, es gibt nur einen Schlüssel: Jeder kann
etwas hineintun, aber nur einer kann es herausholen. 26 )
selbesitzers (erneutes Öffnen) nichts Geheimzuhaltendes mehr anvertraut werden, während dies beim asymmetrischen
Konzelationssystem auch nach Verschlüsselung vieler Klartexte weiterhin möglich ist. Unter diesem Aspekt wäre
vielleicht die Analogie mit einem undurchsichtigen Kasten mit einem Schloß, zu dem es nur einen Schlüssel gibt,
der aber zusätzlich einen nur von außen nach innen passierbaren, keinen Einblick gewährenden Einwurfschlitz besitzt,
besser. Der Preis hierfür ist, daß in der Analogie nun eine mechanische Sicherungseinrichtung mehr vorkommt.
26
Die Analogie zwischen einem asymmetrischen Konzelationssystem und einem undurchsichtigen Kasten mit
Schnappschloß erreicht ihre Grenze, wenn der Kasten zugeschnappt ist. Dann kann ihm ohne Mithilfe des Schlüs-