Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

46
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
45
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
c) Vernünftige Berechnungsmodelle (Turing-, RAM-Maschine) sind polynomial äquivalent, man
muß sich also nicht auf ein genaues Maschinenmodell festlegen.
Für die Praxis würde ein Polynom von hohem Grad als untere Schranke für Angreiferalgorithmus
auf RAM-Maschine reichen. (Und die leichten Algorithmen gehen in der Praxis meist höchstens
bis l3 .)
Anmerkung zu: nicht polynomial in l ≈ exponentiell in l
Hier steht kein Gleichheitszeichen, da es zwischen polynomial (lk mit festem k) und exponentiell
(2l ) weitere Funktionen gibt, z.B. 2√⎺ l .
4) Warum braucht man komplexitätstheoretische Annahmen? (z.B. „Faktorisierung
schwer“, s. §3.4.1)
Die Komplexitätstheorie kann bisher keine brauchbaren unteren Schranken beweisen.
Für Kenner: Genauer liegt das Brechen bei vielen solchen Systemen offensichtlich innerhalb
von NP. (Im Prinzip heißt NP gerade: Wenn man eine Lösung geraten hat, kann man schnell
testen, ob sie richtig ist. So war das z.B. in 1) mit der zu fälschenden Signatur.) Damit ist für
solche Fälle klar, daß ein Beweis, daß das Brechen eines solchen Systems exponentiell ist, P≠NP
implizieren würde. Mit solch einem Beweis ist also zunächst nicht zu rechnen, da seit vielen
Jahren viele Wissenschaftler P≠NP zu beweisen oder zu widerlegen versuchen.
Innerhalb von NP sind keine passenden unteren Schranken bekannt, also würde es auch hier
nichts nützen, wenn man sich z.B. mit einer unteren Schranke l100 zufriedengäbe.
1) Viele kryptographische Systeme sind im Prinzip brechbar: Wenn Schlüssel der festen
Länge l verwendet werden, und genügend Information zur Verfügung steht, daß der Schlüssel im
Prinzip eindeutig ist, kann ein Angreiferalgorithmus im Prinzip immer alle 2l Schlüssel durchprobieren
und damit das System vollständig brechen. (Dies betrifft die meisten asymmetrischen
Systeme, sowohl bzgl. Konzelation als auch Authentikation, weil i.allg. bei bekanntem c bzw. t
nur ein d bzw. s möglich ist, und außer der Vernam-Chiffre auch symmetrische Konzelationssysteme
bei Klartext-Schlüsseltext-Angriff mit genügend viel „Material“. Außerdem gilt analoges
z.B. für das Fälschen der Signatur zu einer bestimmten Nachricht: Der Angreifer weiß, daß seine
gefälschte Signatur Sig zur Nachricht x gut genug ist, wenn sie den Test test(t, x, Sig) besteht. Da
es i.allg. eine Obergrenze für die Länge von Signaturen gibt, muß er wieder nur endlich viele Sigs
probieren.)
Dieses erschöpfende Durchprobieren erfordert aber exponentiell viele Operationen, ist also
z.B. für l > 100 nicht realistisch.
Es bedeutet aber, daß das Beste im Sinne der Komplexitätstheorie, was der Entwerfer kryptographischer
Systeme erhoffen kann, ein für den Angreiferalgorithmus in l exponentieller Aufwand
ist.
2) Nicht nur asymptotische „worst-case“-Komplexität:
Komplexitätstheorie liefert hauptsächlich asymptotische Resultate.
" behandelt hauptsächlich „worst-case“-Komplexität.
5) Was für Annahmen macht man gern?
Je kompakter und je länger (und von je mehr Leuten) untersucht, desto vertrauenswürdiger. In
gewisser Hinsicht werden also kryptographische Systeme, wenn sie nicht informationstheoretisch
sicher sind, mit zunehmendem Alter entweder gebrochen oder vertrauenswürdiger. Allerdings
muß man, schon wegen des Fortschritts der Rechnerleistungen, die Parameter l allmählich
erhöhen. (Vorsicht, wenn Sachen lange geheim bleiben sollen, oder Signaturen für Jahre gültig,
also auch unfälschbar, sein sollen!)
Ein NP-vollständiges Problem wäre natürlich besonders nett, aber man hat bisher keins
entdeckt, das auch im Sinne von 2) hart wäre.
Es ist schön zu wissen, wie sich die Sicherheit verhält, wenn der Sicherheitsparameter l (Verallgemeinerung
der Schlüssellänge; praktisch nützlich) genügend groß ist. Beim praktischen Einsatz
kryptographischer Systeme muß man die Werte aller Parameter aber konkret festlegen. Was einen
dann interessiert ist: Wie sicher ist das System bei konkreten Parameterwerten? Oder anders
formuliert: Wo beginnt „genügend groß“?
Die „worst-case“-Komplexität ist für Sicherheit ungenügend, ebenso „average-case“-Komplexität.
(Denn es soll ja nicht nur ein paar Schlüssel geben, die nicht gebrochen werden können, sondern
die meisten sollen nicht gebrochen werden.)
Man wünscht sich: Das Problem soll fast überall, d.h. bis auf einen verschwindenden
Bruchteil der Fälle, schwer sein. (D.h. wenn ein braver Benutzer seinen Schlüssel zufällig wählt,
soll die Wahrscheinlichkeit überwältigend sein, daß er nicht gebrochen wird.)
6) Was, wenn sich Annahme als falsch herausstellt?
a) Andere Annahme treffen.
b) Genauere Analyse, z.B. Berechnungsmodell genau fixieren (RAM- oder Turingmaschine?
Wie viele Bänder bei der Turingmaschine? usw.) und dann untersuchen, ob Polynom von
genügend hohem Grad.
Ist der Sicherheitsparameter l , so verlangt man:
Wenn l → ∞, dann Brechwahrscheinlichkeit → 0.
Man hofft: Die Brechwahrscheinlichkeit sinkt schnell, so daß man l nicht allzu groß machen muß.
7) Beweisziel: Wenn der Angreiferalgorithmus das kryptographische System brechen kann,
dann kann er auch das als schwer angenommene Problem lösen.
3) Wie definiert man leicht und schwer? Im wesentlichen braucht man bei einem
kryptographischen System 2 Komplexitätsklassen: Die Dinge, die die Benutzer tun müssen,
müssen leicht gehen; hingegen muß das Brechen schwer sein. Formal faßt man dies meist durch
den Unterschied zwischen polynomial und nicht polynomial, also:
3.1.3.5 Überblick über im folgenden vorgestellte kryptographische
Systeme
Zu den durchgestrichenen Feldern in Bild 3-12: Mit den Spezifikationen aus den Bildern 3-4 bzw. 3-7
gibt es solche Systeme nicht, wie in Punkt 1) oben begründet wurde. (Allerdings gibt es mittlerweile
ein System, das fast die Eigenschaften von digitalen Signaturen hat und informationstheoretisch
sicher ist. Von der Effizienz her ist es aber derzeit wohl nicht praktikabel. Vgl. §3.9.3 und
[ChRo_91].)
Das Feld 3 ist seit 1998 nicht mehr vollständig leer. Bis dahin war gegen aktive Angriffe kein
praktikables und gegen adaptive aktive Angriffe überhaupt kein System bekannt ist [BlFM_88,
Schlüsselgenerierung, Ver-/Entschlüsseln: leicht = polynomial in l
Brechen: schwer = nicht polynomial in l ≈ exponentiell in l
Warum gerade diese Trennung? (Die Punkte b und c gelten ganz allgemein für die
Komplexitätstheorie.)
a) Schwerer als exponentiell geht nicht, siehe 1).
b) Abgeschlossen: Einsetzen von Polynomen in Polynome ergibt Polynome, d.h. vernünftige
Kombinationen polynomialer Algorithmen sind wieder polynomial (ohne daß man etwas
Genaues rechnen muß).