Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

452
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
451
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Bei interaktiven Diensten ist Sender- und Empfängeranonymität jeweils nur so stark
gegeben wie das Schwächere von beiden, da jede Station abwechselnd als Sender und
Empfänger fungiert.
5-11 Vergleich „Überlagerndes Senden“ und „umcodierende MIXe“
Schutzziel: Überlagerndes Senden schützt Sender und Empfänger. Dies ist mehr als nur die
Beziehung zwischen Sender und Empfänger zu schützen, was die umcodierenden MIXe tun.
Stärke der berücksichtigten Angreifer: Im Gegensatz zum Überlagernden Senden kann mit
umcodierenden MIXen keine informationstheoretische Anonymität erreicht werden – außer der
Sender traut dem ersten und der Empfänger dem letzten MIX bedingungslos.
Aufwand: Wird kein allzu großer Anteil aller Stationen als MIX verwendet, dann erfordern MIXe
wesentlich weniger Übertragungsbandbreite als das Überlagernde Senden.
Flexibilität: Beide Konzepte sind flexibel, wobei die umcodierenden MIXe durch die von der
Teilnehmerzahl unabhängige Wahlmöglichkeit der Zahl der MIXe noch etwas flexibler sind.
Bezüglich Übertragungsbandbreite (insbesondere im Teilnehmeranschlußbereich, wo ihr Erhöhen
besonders aufwendig ist) sind MIXe praktikabler. Bezüglich organisatorischer Strukturen werfen
MIXe größere Probleme auf: Für sie werden zumindest in ihrer Summe vertrauenswürdige
Betreiber benötigt.
rungsergebnisses (22,2) in Schritt 6 (= physischer Sendeschritt 4) kann das Ergebnis von
Schritt 7 (= physischer Sendeschritt 5) bereits ausgerechnet werden. Zwei Summanden, die
nach dem Ergebnis von Schritt 5 jeweils höchstens 11 groß sein dürfen, haben die Summe 22.
Also muß jeder der beiden Summanden den Wert 11 haben. Also wird sich als globales Überlagerungsergebnis
von Schritt 7 abermals der Wert (22,2) ergeben. Folglich kann Schritt 7 virtualisiert
und damit der physische Sendeschritt eingespart werden. Ob sich der Einbau des
zusätzlichen Tests „Prüfe, ob vorherige Obergrenze mal Anzahl kollidierter Nachrichten =
Summe der kollidierten Nachrichten“ lohnt, ist unklar. Denn diese Situation wird üblicherweise
nur sehr selten auftreten.
5-8 Schlüssel-, Überlagerungs- und Übertragungstopologie beim Überlagernden
Senden
a) Da in jeder abelschen Gruppe Kommutativ- und Assoziativgesetz gelten, ist Reihenfolge und
Teilsummenbildung bei der Überlagerung egal. Deshalb hat die Überlagerungs- und erst recht
die Übertragungstopologie keinen Einfluß darauf, ob zwei Stationen einen Schlüssel austauschen
können oder nicht. Die Schlüsseltopologie kann also frei gewählt werden.
b) Um Übertragungsaufwand zu sparen, sollten Teilsummen möglichst „früh“ gebildet werden,
d.h. anstatt zwei Werte nacheinander über denselben Übertragungsweg zu schicken, sollten
sie vorher addiert werden.
5-12 Reihenfolge der Grundfunktionen von MIXen
Wiederholungen sollten, um Verwaltungsaufwand zu minimieren, möglichst früh erkannt und
ignoriert werden. Erfolgt dies vor dem Puffern, so ist es selbst weniger zeitkritisch. In jedem Fall
muß es vor dem Test „Genügend viele Nachrichten von genügend vielen Absendern?“ erfolgen.
Sonst bräuchte ein Angreifer nur Nachrichtenkopien an MIXe zu schicken, um eine deutlich
kleinere Schubgröße zu erreichen.
Umcodieren kann zwar parallel zu Puffern beginnen, die letzte Umcodierung kann aber erst
erfolgen, nachdem der Eingabeschub vollständig ist.
Entsprechend kann die Umsortierung erst nach der letzten Umcodierung abgeschlossen
werden.
5-9 Abstimmung der Überlagerungs- und Übertragungsalphabete beim
Überlagernden Senden
Die Größe des Überlagerungsalphabets wurde als Potenz der Größe des minimalen Übertragungsalphabets
gewählt. Dann kann übertragungsalphabetstellenweise addiert und jedes entstehende
Summenzeichen gleich übertragen werden, vgl. Bild 5-16.
5-13 Reicht Ausgabenachrichten von MIXen gleichlang?
Zuallererst ist zu klären, wie denn die gleiche Länge der Ausgabenachrichten entsteht:
Werden alle Nachrichten, die länger als die kürzeste Eingabenachricht sind, an dieser Stelle
abgeschnitten? Dann wäre es erstens günstiger, alle Sender einigten sich auf diese Länge – so
würde Aufwand gespart. Zweitens kann es sein, daß der Empfänger der Nachricht den MIX
überbrücken kann: Ist seine Nachricht abgeschnitten und gab es nur eine Eingabenachricht an den
MIX, die länger als die kürzeste Eingabenachricht war, entspricht diese seiner.
Werden alle Nachrichten an einer – sei es vom MIX vorgegebenen oder sich aus den Eingabenachrichten
ergebenden – Stelle abgeschnitten bzw. falls sie zu kurz sind, auf diese Länge
ergänzt, so kann auch hier der gerade beschriebene Fall eintreten. Auch diese Variante ist also
unsicher.
Werden alle Nachrichten, die nicht sowieso die Maximallänge haben, vom MIX auf diese
Länge ergänzt, so ist diese Ergänzung dem Empfänger der Nachricht ersichtlich. Er kann die
Länge der zugehörigen Eingabenachricht also rückrechnen und so den MIX überbrücken.
5-14 Keine Zufallszahlen --> MIXe sind überbrückbar
Der Angreifer zeichnet alle Nachrichten im Netz auf, d.h. sowohl die Nachrichten zwischen
Sendern und MIXen, zwischen MIXen und auch die zwischen MIXen und Empfängern. Danach
verschlüsselt er die Ausgabenachrichten der MIXe jeweils mit deren öffentlichen Schlüssel und
erhält als Ergebnis jeweils die zugehörige Eingabenachricht. Damit liegen dem Angreifer alle
Kommunikationsbeziehungen offen vor Augen.
5-10 Vergleich „Unbeobachtbarkeit angrenzender Leitungen und Stationen sowie
digitale Signalregenerierung“ und „Überlagerndes Senden“
a) Stärke der berücksichtigten Angreifer: Da beim Überlagernden Senden ein Angreifer eine Station
auch dann nicht als Sender identifizieren kann, wenn er sie (bis auf den Schlüsselaustausch)
physisch vollständig umzingelt hat, sind hier wesentlich stärkere Angreifer berücksichtigt.
Aufwand: Normalerweise ist bei jedem Netz das Verlegen der Leitungen (Graben der Kabelkanäle
etc.) das Aufwendigste. Wenn also für „Unbeobachtbarkeit angrenzender Leitungen
und Stationen sowie digitale Signalregenerierung“ keine passende Leitungstopologie schon
besteht bzw. sowieso erst noch auf der grünen Wiese frei festgelegt werden muß, dann ist
„Überlagerndes Senden“ weniger aufwendig. Ansonsten ist Überlagerndes Senden aufwendiger,
da hier zusätzlich zu Übertragung (und Überlagerung) auch Schlüssel erzeugt und ausgetauscht
werden müssen.
Flexibilität: Da das Überlagernde Senden von der physischen Netztopologie weitgehend
unabhängig ist, ist es das flexiblere Konzept.
Überlagerndes Senden ist das elegantere und schönere Konzept, da seine Senderanonymität
nicht von physischen Gegebenheiten wie Netztopologie abhängt. Kurzum: Das Angreifermodell
des Überlagernden Sendens ist kürzer beschreibbar, sprich: kanonischer.
b) Das Konzept „Unbeobachtbarkeit angrenzender Leitungen und Stationen sowie digitale Signalregenerierung“
deckt Empfängeranonymität üblicherweise mit ab, da ein Angreifer, der an
bestimmten Stellen nicht abhören kann, an ihnen plausiblerweise auch nicht die Konsistenz der
Verteilung störend verändernd angreifen kann.
Beim Überlagernden Senden kann durch Einbeziehung der verteilten Zeichen in die
Schlüsselgenerierung Empfängeranonymität erreicht werden.