Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

456
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
455
A. Pfitzmann: Datensicherheit und Kryptographie; Lösungen, TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
sollte. Erhebt niemand Einspruch, dann sind alle Informationseinheiten von protokolltreuen
Teilnehmerstationen noch vorhanden: Zu jeder Eingabe gibt es die entsprechende Ausgabe,
sonst hätte die protokolltreue Teilnehmerstation Einspruch erhoben. Protokolltreue Teilnehmerstationen
schicken keine Kopien von Nachrichten, die sie selbst oder andere schon mal
geschickt haben - wenn dies Angreiferstationen tun, verhindert dies nicht, daß eine der Informationseinheiten
durchkommt. Da aber Angreiferstationen sowieso nichts zur Unbeobachtbarkeit
der Kommunikationsbeziehung beitragen, ist es nicht schädlich, wenn ihre Informationseinheiten-Wiederholungen
von MIXen legitimerweise ignoriert werden – selbst wenn ihre originalen
Informationseinheiten illegitimerweise unterdrückt oder ersetzt werden und sie nicht
protestieren, ist dies nicht schlimm.
5-18 Brechen der direkten RSA-Implementierung von MIXen
RSA ist multiplikativ und dies überträgt sich zumindest näherungsweise auch auf die direkte RSA-
Implementierung von MIXen. Deshalb kann ein Angreifer Vielfache einer beobachteten Eingabe-
Nachricht in den MIX eingeben und als Vielfache der entsprechenden Ausgabe-Nachricht
erkennen.
5-19 Wozu MIX-Kanäle?
a) Um die Verzögerungszeit und den Aufwand des Umcodierens in den MIXen zu senken:
Während des Kanals kann ein symmetrisches Konzelationssystem verwendet werden, so daß
nur für den Kanalaufbau ein asymmetrisches Konzelationssystem verwendet werden muß.
Symmetrische Konzelationssysteme sind bekanntlich wesentlich weniger aufwendig bzw.
wesentlich schneller als asymmetrische.
b) Kanäle, die zusammen gemixt werden und sich bzgl. den Kommunikationsbeziehungen
gegenseitig schützen sollen, müssen zusammen beginnen und enden. Bereits ersteres allein
erfordert spürbare Wartezeiten. Beides zusammen würde unerträgliche Wartezeiten erzwingen.
Das beschriebene Protokoll, bei dem jeder bzgl. seiner eigenen Nachrichten fortlaufend jeden
MIX überprüft, verhindert den Erfolg verändernder Angriffe, kann aber zu aufwendig sein:
Wenn jeder jede Ausgabe jedes MIXes erhalten soll, um unbeobachtbar prüfen zu können,
dann erfordert die naive Implementierung (Verteilung) mehr Aufwand als normale Verteilung
zum Schutz des Empfängers, die pro Nachricht ja nur einmal – und nicht wie hier nach jedem
MIX – erfolgen muß.
Eine Alternative, die verändernde Angriffe im allgemeinen Fall jedoch lediglich erkennt, ist
stichprobenartige Überprüfung.
Eine andere Alternative wäre, daß jede Nachricht für jeden MIX (oder aus Effizienzgründen
nur für den letzten) eine anonyme Rückadresse enthält, die mit einer digital signierten
Quittung über die Auslieferung der Nachricht an den Sender zurückgeschickt wird. Dann kann
er überprüfen, ob seine Nachricht den Empfänger ohne Verzögerung erreicht hat, und falls
nein ggf. sogar, wo sie unterschlagen wurde.
Senden Teilnehmer bedeutungslose Nachrichten, so können sie diese an sich selbst senden
und dabei überprüfen, daß ihre bedeutungslosen Nachrichten sie auch so schnell erreichen,
wie dies zu erwarten war. So können Teilnehmer fast ohne Zusatzaufwand überprüfen, daß
MIXe Nachrichten der Teilnehmer nicht durch ihre eigenen ersetzen. Aber auch dies verhindert
den Erfolg von verändernden Angriffen nicht, sondern erkennt sie nur.
5-19a Freie MIX-Reihenfolge bei fester Anzahl benutzter MIXe?
Der von Ronny entdeckte Angriff geht so: Der Angreifer weiß für jede einzelne Nachricht vor dem
einzigen vertrauenswürdigen MIX, wie viele seiner MIXe diese Nachricht wie durchlaufen hat.
Ebenso weiß er für jede einzelne Nachricht nach dem vertrauenswürdigen MIX, wie viele seiner
MIXe diese Nachricht noch durchläuft. Also gehört genau die Nachricht vor dem vertrauenswürdigen
MIX zu der Nachricht nach dem vertrauenswürdigen MIX, wo die Summe der
durchlaufenen MIXe paßt. Scheibenkleister. Also entweder freie Routenwahl und zwangsweise
zufällige Routenlängen – oder doch Kaskaden.
5-21 Koordinations-Protokoll bei MIXen: Wozu und wo?
Ein Koordinations-Protokoll zwischen MIXen ist immer dann notwendig, wenn sich MIXe
gegenseitig ersetzen können, wie dies bei MIXe mit Reserve-MIXen und Auslassen von MIXen
der Fall ist. Die Koordination zwischen diesen MIXen muß jeweils sicherstellen, daß keine
Umcodierung mehrfach erfolgt – sonst wären Ein- und Ausgangsnachrichten dieser MIXe über
ihre Häufigkeiten verkettbar.
5-22 Grenzziehung der Verantwortungsbereiche – Funktionsumfang der Netzabschlüsse
Funktionen, denen sowohl der Teilnehmer für seine persönlichen Sicherheitsinteressen (vor allem
Vertraulichkeit und Integrität) als auch der Netzbetreiber für seine anbietermäßigen Sicherheitsinteressen
(vor allem Verfügbarkeit der Kommunikation) vertrauen müssen, bedürfen einer Implementierung,
deren Korrektheit des Entwurfes, der Produktion, des Betriebes und der Wartung
dann mehrere Parteien vertrauen müssen. Gibt es keinen beiden vertrauenswürdigen Betreiber,
werden ausforschungssichere Geräte benötigt – es gelten alle kritischen Bemerkungen aus §2.1.
Ende-zu-Ende-Verschlüsselung und implizite Adressierung (übrigens genauso wie digitale
Signaturen) betreffen jeweils nur die direkt an dieser Kommunikation Beteiligten. Diese Funktionen
kann also jeder Teilnehmer so gut oder schlecht realisieren, wie es ihm behagt.
5-20 Wie sichern, daß MIXe Nachrichten von genügend vielen unterschiedlichen
Sendern erhalten?
a) Da der erste MIX wissen darf, welche Informationseinheiten von welchem Sender kommt,
funktioniert bei ihm die kanonische Lösung: Sender lassen sich registrieren, veröffentlichen
Testschlüssel und signieren die Informationseinheiten, die sie an den ersten MIX senden.
Dann kann der erste MIX – sowie jeder, der sich dafür interessiert – prüfen, von wie vielen
verschiedenen Sendern Informationseinheiten im Schub sind.
b) Hintere, d.h. nicht erste, MIXe dürfen nicht wissen, wer ihre Eingabe- oder Ausgabe-Informationseinheiten
gesendet hat – sonst bewirken die vorderen MIXe den hinteren gegenüber
keinen Schutz, was sie aber sollen! Deshalb darf die Lösung von a) hier auf gar keinen Fall
angewendet werden. (Hier erscheint Ihnen die Aufgabe nun möglicherweise unlösbar – aber
nicht zu früh aufgeben, es geht. Vielleicht probieren Sie es noch mal, bevor Sie weiterlesen.)
Die Lösungsidee besteht darin: Zwar soll im hinteren Teil der MIX-Kaskade niemand mehr
testen können, von wem eine Informationseinheit stammt. Aber wenn wir mit a) sicherstellen,
daß in den ersten MIX „Informationseinheiten von genügend vielen Sendern“ hineingingen
und sich alle MIXe korrekt verhalten, dann braucht dies auch niemand! Hinten sind dann noch
Informationseinheiten von genauso vielen protokolltreuen Teilnehmern vorhanden wie vorne!
(Der Zusatz protokolltreu ist wichtig, wie wir gleich sehen werden.)
Um sicherzustellen, daß sich alle MIXe korrekt verhalten, vereinbaren wir folgendes Protokoll:
Alle Ein- und Ausgaben der MIXe sind öffentlich und von den MIXen signiert. Jeder,
der eine Informationseinheit zur Schubfolge beigesteuert hat, überprüft direkt nach jedem
Schub jedes einzelnen MIXes, ob seine Informationseinheit richtig gemixt wurde. Wenn nein,
erhebt er Einspruch, bevor der nächste MIX seine Ausgabe bekanntgibt. Wie er ihn beweisbar
erheben kann, steht in §5.4.7 in der Fußnote – und implizit damit auch, wann Einsprüche als
unberechtigt verworfen und derjenige, der den Betrieb nur aufgehalten hat, bestraft werden