Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

38
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
37
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
als bequeme Form gegenseitiger Authentikation benutzt. Will man aber sicher sein, daß eine Signatur
später ggf. vor Gericht anerkannt wird, muß man sich versichern, daß man den richtigen Testschlüssel
hat, d.h. zumindest zur Kontrolle bei einem Schlüsselregister nachfragen.
Wieder hätte ein einzelnes Schlüsselregister Möglichkeiten zu verändernden Angriffen, vgl.
Aufgabe 3-4 c).
Die Beglaubigung des öffentlichen Testschlüssels bezieht sich – wie bei den öffentlichen Chiffrierschlüsseln
– nicht auf den Schlüssel allein, sondern auf den Zusammenhang zwischen Schlüssel
und Teilnehmer. Ignorieren wir sonstige Information, etwa Zeitstempel, vgl. Aufgabe 3-4 f), so lautet
die Beglaubigung des Schlüsselregisters R für tA (in Bild 3-8 Schritt 3.): A,tA , sR(A,tA ). Diese
Beglaubigung des öffentlichen Schlüssels wird Zertifizierung des öffentlichen Schlüssels genannt,
die Instanz, die sie durchführt, Zertifizierungsinstanz (certification authority, CA).
Zusammenfassend besteht an die Schlüsselverteilung eine Forderung mehr als bei asymmetrischen
Konzelationssystemen: Sie muß konsistent sein. Dies ist ein gemeinsames Ziel mehrerer Empfänger,
bzgl. dessen Erfüllung sie der Zertifizierungsinstanz nicht vertrauen: Selbst wenn diese betrügt,
müssen alle Empfänger denselben Wert t erhalten. Man stelle sich vor, ein Empfänger prüft mit einem
Schlüssel t, später das Gericht aber mit einem ganz anderen t’! Daneben muß die Verteilung weiterhin
integer sein, d.h., wenn die Zertifizierungsinstanz nicht betrügt, erhalten alle das von ihr zertifizierte
t.
Die Konsistenz der Schlüsselverteilung sollte dadurch unterstützt werden, daß derjenige, der sich
einen öffentlichen Schlüssel zertifizieren läßt, die Kenntnis des zugehörigen geheimen Schlüssels
nachweist. Andernfalls könnte ein Angreifer fremde öffentliche Schlüssel einer Zertifizierungsinstanz
vorlegen und sie sich als seine öffentlichen Schlüssel zertifizieren lassen. Zwar kann er die geheime
Operation nicht ausführen, aber die Zertifizierung des gleichen öffentlichen Schlüssels für mehrere
unterschiedliche Teilnehmer kann Verwirrung und Irritationen auslösen. Eine elegante Möglichkeit bei
digitalen Signatursystemen, all dies zu vermeiden, ist, daß im Beispiel der Teilnehmer A nicht tA zur
Zertifizierung vorlegt, sondern den Zusammenhang zwischen seinem Namen A und seinem öffentlichen
Schlüssel tA zunächst mit dem zugehörigen geheimen Schlüssel sA selbst zertifiziert. Er
legt der Zertifizierungsinstanz also A,tA , sA (A,tA ) vor und erhält als Beglaubigung A,tA , sA (A,tA ),
sR(A,tA , sA(A,tA )). Oftmals wird dies als Schlüsselzertifikat bezeichnet.
der signierten Nachricht im Konfliktfall mit dem Sender daraus, daß die Nachricht signiert ist, keine
Vorteile ziehen, da er niemand hiervon überzeugen könnte. Mehr über diesen Typ digitaler Signatursysteme
steht in §3.9.4.
Zufallszahl
Schlüsselgenerierung
t
Schlüssel zum Testen
der Signatur,
öffentlich bekannt
Schlüssel zum
Signieren,
geheimgehalten
s
Text
x
Signieren
Text mit
Signatur
x, s(x)
Testen
Zufallszahl '
Text mit Signatur
und Testergebnis
x, s(x),
„ok“ oder
„falsch“
Bild 3-7: Signatursystem
(≈ Glasvitrine mit Schloß, es gibt nur einen Schlüssel, um etwas hineinzutun)
Anmerkung 1: In ausführlicher Schreibweise könnten die Signier- und Testalgorithmen sign und test
heißen. Dann ist die Signatur Sig:= sign(s, x), und der Empfänger einer Nachricht (x, Sig)
berechnet test(t, x, Sig) ∈ {ok, falsch}.
Anmerkung 2: Die Zufallszahl unten rechts wird unabhängig von der Zufallszahl oben gewählt. Wozu
man sie braucht, wird erst in §3.5 einsichtig.
Man beachte, daß hier im Gegensatz zur symmetrischen Authentikation ein eigener Testalgorithmus
benötigt wird, weil der Empfänger dort den Schlüssel k hat, mit dem er aus x selbst den korrekten
Wert MAC bestimmen kann; hier hat er aber s nicht.
Zusammenfassend hat die Zertifizierungsinstanz also folgende Aufgaben:
1. Überprüfung der Identität des Teilnehmers. (Wie gründlich dies genau geschieht, legt die
Zertifizierungsinstanz in einer sogenannten certification policy fest. Oftmals geschieht es durch
Vorlage eines amtlichen Ausweises.)
2. Überprüfung des Antrags des Teilnehmers. (Wie gründlich dies genau geschieht, legt die
Zertifizierungsinstanz ebenfalls in ihrer certification policy fest. Oftmals geschieht es durch
einen schriftlichen Vertrag mit eigenhändiger, ggf. sogar notariell beglaubigter Unterschrift
des Teilnehmers.)
3. Prüfung der Eindeutigkeit des Namens des Teilnehmers, so wie er im Schlüsselzertifikat
erscheinen soll.
4. Prüfung, daß der Teilnehmer den zugehörigen geheimen Schlüssel anwenden kann.
5. Digitales Signieren von Namen des Teilnehmers und öffentlichem Schlüssel, ggf. unter
Beifügung des öffentlichen, selbst wieder zertifizierten Schlüssels der Zertifizierungsinstanz.
öffentliches
Schlüsselregister R
3.
B erhält von R t A,
den
Schlüssel zum Testen
der Signatur von A,
beglaubigt durch die
Signatur von R.
1.
A läßt t A , den Schlüssel zum
Testen seiner Signatur,
(ggf. anonym) eintragen.
2.
B bittet das Schlüsselregister
R um den
Schlüssel zum Testen
der Signatur von A.
Nachricht von A, s (Nachricht von A)
A
Teilnehmer Teilnehmer
A B
3.1.2 Weitere Anmerkungen zum Schlüsselaustausch
Bild 3-8: Schlüsselverteilung mit öffentlichem Register bei Signatursystem
In §3.1.1 wurden die wichtigen Klassen kryptographischer Systeme zusammen mit ihrer Schlüsselverteilung
vorgestellt. Bevor in §3.1.3 genauer diskutiert wird, was unter der Sicherheit eines kryptographischen
Systems zu verstehen ist, werden hier drei Aspekte des Schlüsselaustauschs vertieft.
Man beachte, daß die Möglichkeit, den Testschlüssel privat mit seinem Kommunikationspartner auszutauschen,
nur in dem Fall genügt, daß man diesem Partner vertraut, d.h. das Signatursystem nur