Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

48
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
47
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
passive sicher. (Aber Vorsicht: Es gilt nicht, daß jedes einzelne kryptographisch starke System besser
als jedes einzelne wohluntersuchte sein muß; z.B. ist denkbar, daß der s2-mod-n-Generator gebrochen wird und das auf einer vollkommen anderen Annahme beruhende DES nicht.)
Dies erklärt die restlichen leeren Felder: Dort kann man das rechts davon bzw. darüberstehende
System nehmen, z.B. GMR für 4, 6, 7, 9 und 11, oder für 4, 6 und 9 auch Authentikationscodes.
Allerdings gibt es bei schwächeren Anforderungen manchmal effizientere Systeme. Nur deshalb kann
sich z.B. ein Pseudo-one-time-pad anstelle eines echten One-time-pads, RSA als Signatursystem statt
GMR, oder DES statt eines Authentikationscodes lohnen.
NaYu_90, Damg_92]. Das 1998 von Ronald Cramer und Victor Shoup veröffentlichte System CS
[CrSh_98] ist allerdings nicht als äquivalent zu einem reinrassigen Standardproblem wie dem
Faktorisieren großer Zahlen (vgl. §3.4.1) oder dem Ziehen diskreter Logarithmen (vgl. §3.9.1)
bewiesen. Seine Sicherheit ist nur so stark wie das Diffie-Hellman-Entscheidungsproblem schwierig
ist. Zwar ist auch diese Annahme nicht unüblich, sie ist aber eine stärkere Annahme als die Diffie-
Hellman-Annahme und diese ist eine stärkere Annahme als die Diskreter-Logarithmus-Annahme. Aus
diesen Gründen und da Systeme basierend auf dem diskreten Logarithmus nicht im Zentrum dieses
Skriptes stehen, wird auf CS im folgenden nicht weiter eingegangen, sondern mit dem s2-mod-n- Generator ein System beschrieben, das auf der Faktorisierungsannahme beruht.
Die Felder 10 und 11 sind leer, weil man keine solchen Systeme kennt. Im Gegensatz zu Feld 1
und 2 ist eine Erfindung aber nicht ausgeschlossen.
Kryptographische Systeme, die nicht einmal wohluntersucht sind, wurden nicht aufgenommen. Der
Begriff ist natürlich etwas umstritten. Insbesondere wurden hier auch solche Systeme nicht wohluntersucht
genannt, bei denen mehrere ähnliche Systeme bereits gebrochen wurden. (Manche Leute
verwenden aber trotzdem nichtlineare Schieberegister für symmetrische Konzelation; diese sind noch
schneller als DES.)
Noch weniger Vertrauen kann man kryptographischen Systemen entgegenbringen, die nicht
einmal veröffentlicht wurden, sondern die nur der Erfinder selbst und seine „Vertrauten“ untersucht
haben.
Konzelation Authentikation
sym. asym. sym. asym.
⊃
System
typ ⊃
3.1.4 Hybride kryptographische Systeme
digitales
Signatursystem
sym.
Authentikationssystem
asym.
Konzelationssystem
sym.
Konzelationssystem
Sicherheit
Da symmetrische kryptographische Systeme sowohl in Hardware als auch in Software um 2 bis 3
Größenordnungen effizienter als asymmetrische implementiert werden können, werden asymmetrische
Konzelationssysteme (und ggf. digitale Signatursysteme) meist nur dazu verwendet, einen
Schlüssel eines symmetrischen kryptographischen Systems dem Partner vertraulich (und ggf. digital
signiert) zu übermitteln. Mit dem übermittelten Schlüssel können dann die eigentlichen Daten
wesentlich effizienter, d.h. schneller, verschlüsselt und/oder authentiziert werden. Das aus einem
asymmetrischen Konzelationssystem, ggf. einem digitalen Signatursystem und einem symmetrischen
kryptographischen System zusammen gebildete kryptographische System wird hybrides kryptographisches
System genannt. Es verbindet das bequeme Schlüsselmanagement der ersteren
kryptographischen Systeme mit der Effizienz des letzteren. Das hybride kryptographische System ist
natürlich nur so sicher wie das schwächste zu seiner Bildung verwendete.
Ein hybrides kryptographisches System kann nicht nur wegen der höheren Effizienz verwendet
werden, sondern auch aus Gründen einer effizienteren Nutzung des Übertragungskanals: lange
Blöcke könnten zuviel Verschnitt verursachen; die Fehlerausbreitung des symmetrischen kryptographischen
Systems könnte auf die Anwendung und den Kanal besser abgestimmt sein, vgl. §3.8.2.
(Letzteres ist nur dann sinnvoll, wenn Authentizität für die Anwendung nicht wichtig ist.)
1 2
Authentikationscodes
Vernam-Chiffre
(one-time pad)
informationstheoretisch
4
3
∩
GMR
CS
Pseudo-onetime-pad
mit
s
2
-mod-n-
Generator
aktiver
Angriff
7
6
∩
kryptographisch
stark
System mit
s 2-mod-n-
Generator
5
passiver
Angriff
gegen …
9
RSA
RSA
8
∩
Mathematik
11
10
wohluntersucht
DES
DES
Chaos
3.2 Vernam-Chiffre (one-time pad)
Dieser Abschnitt behandelt informationstheoretisch sichere symmetrische Konzelationssysteme. Sie
bestehen also aus den in Bild 3-2 gezeigten Komponenten. Es zeigt sich, daß das einfachste Beispiel,
die Vernam-Chiffre, so perfekt ist, daß man kein weiteres benötigt.
Grob heißt Sicherheit hier, daß ein Angreifer, der einen (beliebig langen) Schlüsseltext S sieht,
dadurch nichts über den Klartext erfährt. Dies wird erreicht, indem man verlangt, daß es zu jedem
möglichen Klartext x mindestens einen Schlüssel k gibt, so daß k(x) = S. (Das heißt: x ist tatsächlich
ein möglicher Inhalt von S, und zwar gerade in dem Fall, wo der geheime Schlüssel k ist.) Damit die
verschiedenen Klartexte nicht verschieden wahrscheinlich werden, wird in dem normalen Fall, daß
alle Schlüssel gleichwahrscheinlich sind, noch verlangt, daß es zu jedem x gleichviele solche k gibt,
meistens genau 1.
Am Beispiel der Vernam-Chiffre sieht man, daß diese Definition sehr natürlich ist.
kann es nicht geben wird von bekanntem System majorisiert
Bild 3-12: Überblick über die folgenden kryptographischen Systeme
Zu den Teilmengenzeichen:
Horizontal: Jedes asymmetrische System läßt sich auch als symmetrisches nutzen, indem der
Erzeuger des geheimen Schlüssels diesen seinem Partner mitteilt.
Vertikal: Jedes informationstheoretisch sichere System ist auch kryptographisch stark, und letztere
sind automatisch wohluntersucht. Auch ist, was gegen aktive Angriffe sicher ist, erst recht gegen