Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

36
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
35
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Zufallszahl
öffentliches
Schlüsselregister R
Schlüsselgenerierung
k
k
geheimer
Schlüssel
Text mit
Klartext und
Klartext
Testergebnis
Erzeugen:
Authentikation
Testen:
x x, k(x)
x,
MAC :=
MAC =
k(x)
k(x) ?
„ok“ oder „falsch”
1.
3.
A läßt seinen öffentlichen
B erhält von R c A , den öffentli-
Chiffrierschlüssel c
chen Chiffrierschlüssel von A,
A
(ggf. anonym) ein-
beglaubigt durch die
tragen.
Signatur von R.
2.
B bittet das Schlüsselregister
R um den
öffentlichen Chiffrierschlüssel
von A.
=: MAC
(message
authentication
code)
c (Nachricht an A)
A
Teilnehmer Teilnehmer
A B
Bild 3-6: Symmetrisches Authentikationssystem
(≈ Glasvitrine mit Schloß, es gibt zwei gleiche Schlüssel, um etwas hineinzutun)
Bild 3-5: Schlüsselverteilung mit öffentlichem Register bei asymmetrischem Konzelationssystem
Asymmetrische Authentikationssysteme, also digitale Signatursysteme, vereinfachen zunächst
die Schlüsselverteilung analog zu asymmetrischen Konzelationssystemen, s. Bild 3-7 und 3-8.
Ihr Hauptvorteil ist aber ein anderer: Jener ist, daß nun der Empfänger B einer signierten
Nachricht von A jedem anderen, der auch A's Schlüssel tA kennt, beweisen kann, daß er diese Nachricht
von A bekam. Dies geht bei einem symmetrischen Authentikationssystem nicht, selbst wenn
z.B. vor Gericht die Schlüsselverteilzentrale bestätigen würde, welchen Schlüssel A und B hatten: Bei
symmetrischen Authentikationssystemen kann ja B den MAC genausogut selbst erzeugt haben. Bei
digitalen Signatursystemen ist jedoch A der einzige, der die Signatur erzeugen kann.
Deswegen sind digitale Signatursysteme unumgänglich, wenn man rechtlich relevante Dinge digital
in sicherer Weise abwickeln will, z.B. bei digitalen Zahlungssystemen. Sie entsprechen dort der
Funktion der handgeschriebenen Unterschrift in heutigen Rechtsgeschäften (daher natürlich der Name).
Im Folgenden verwende ich die Begriffe „Unterschrift“ und „Signatur“ weitgehend synonym.
Dem gerade beschriebenen Hauptvorteil digitaler Signatursysteme bzgl. Integrität steht ein prinzipieller
Nachteil bzgl. Vertraulichkeit gegenüber: Der Empfänger einer digitalen Signatur kann Nachricht
und Signatur herumzeigen – und wenn der Schlüssel zum Testen der Signatur öffentlich ist,
kann jeder die Gültigkeit der Signatur testen. Je nach Nachrichteninhalt kann dies demjenigen, der die
Nachricht signiert hat, wesentlich unangenehmer sein, als wenn hinter seinem Rücken nur einfach
seine Nachricht herumgezeigt werden könnte – beliebige Nachrichten erfinden und als nicht
nachprüfbares Gerücht verbreiten kann jeder. Diese Prüfung der Integrität einer Nachricht hinter dem
Rücken des Senders ist bei symmetrischen Authentikationssystemen nicht möglich: Bei ihnen könnte
ja auch der Empfänger der Nachricht den Prüfteil (MAC) generiert haben, so daß Dritte die Authentizität
der Nachricht bei symmetrischen Authentikationssystemen nicht prüfen können. Es sei hier
schon darauf hingewiesen, daß es Authentikationssysteme gibt, die beide Vorteile kombinieren: Bei
nicht herumzeigbaren Signaturen (undeniable27 signatures) ist zur Prüfung der Signatur die
aktive Mithilfe des Signierers nötig, so daß ein Prüfen hinter seinem Rücken nicht möglich ist.
Andererseits muß dann festgelegt werden, unter welchen Umständen der (vorgebliche) Signierer zur
aktiven Mithilfe bei der Prüfung „seiner“ Signatur verpflichtet ist. Denn sonst könnte der Empfänger
Man beachte, daß im Fall von Bild 3-5 das Schlüsselregister R (bzw. dessen Betreiber) die Nachricht
nicht entschlüsseln kann. Allerdings gibt es eine verändernde Angriffsmöglichkeit für R, siehe
Aufgabe 3-4 c).
Damit Teilnehmer B sicher sein kann, daß cA auch wirklich zu Teilnehmer A gehört, beglaubigt
das öffentliche Schlüsselregister durch seine Signatur nicht einfach cA , sondern den Zusammenhang
zwischen A und cA. Andernfalls könnte ein Angreifer die Antwortnachricht (in Bild 3-5 Schritt 3.)
des Schlüsselregisters abfangen und B einen anderen „beglaubigten“ Schlüssel schicken, etwa einen,
zu dem der Angreifer den Dechiffrierschlüssel kennt.
3.1.1.2 Authentikationssysteme, Überblick
Ein symmetrisches Authentikationssystem ist in Bild 3-6 dargestellt.
Hier wird also die Nachricht durch den kryptographischen Algorithmus links in Bild 3-6 nicht
unleserlich gemacht, sondern es wird ein Prüfteil an sie angehängt. Dieser wird nach seiner
englischen Bezeichnung oft MAC genannt. Der Empfänger kann anhand von x auch den richtigen
MAC bilden und prüfen, ob der mit der Nachricht mitgekommene damit übereinstimmt.
Anmerkung: Wieder ist die Schreibweise k(x) nur eine Abkürzung. Heißt der kryptographische
Algorithmus code, so ist MAC := code(k, x), und der Empfänger einer Nachricht (x, MAC) testet,
ob MAC = code(k, x).
Die Schlüsselverteilung kann wie bei symmetrischen Konzelationssystemen erfolgen. Es gibt auch die
analogen Probleme, z.B. könnte eine einzelne Schlüsselverteilzentrale diesmal gefälschte Nachrichten
unterschieben.
27 Da jede digitale Signatur „undeniable“, d.h. unleugbar, nicht abstreitbar, sein soll, da sie andernfalls für den
Rechtsverkehr unbrauchbar ist, halte ich den vom Erfinder dieses Signatursystemtyps – David Chaum – gewählten
Namen für ungeschickt. Wenigstens im Deutschen möchte ich einen aussagekräftigen etablieren.