Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

50
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
49
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Sicherheit ideale Konzelation (ideal secrecy) – eine sehr unglückliche Begriffsbildung. Die
informationstheoretische Sicherheit, die in dieser Arbeit zugrunde gelegt und definiert wird, nennt
Claude Shannon perfekte Konzelation (perfect secrecy). In neuerer Literatur wird diese perfekte
Konzelation auch als unbedingte Konzelation (unconditional secrecy) bezeichnet.)
Beispiel: Wir nehmen an, wir wollen 2 Bits verschlüsseln und haben 2 Schlüsselbits. Die
Verschlüsselungsfunktion ist Addition mod 2 (= bitweises XOR). Nun sehe der Angreifer z.B. den
Schlüsseltext S=01. Dies kann nun entweder der Klartext x=00 mit dem Schlüssel k=01 gewesen
sein, oder x=01 und k=00, oder x=10 und k=11, oder x=11 und k=10, vgl. Bild 3-13. Alle Klartexte
sind also gleich gut möglich.
Klartext
x
Schlüssel
k
Schlüsseltext
S
Klartext
x
Schlüssel
k
Schlüsseltext
S
Klartext
x
0 0
0 0
0 0
0 0
Schlüssel
k
0 0
0 1
Schlüsseltext
S
0 1
0 1
0 1
0 1
0 1
0 0
1 1
0 1
1 0
1 0
1 0
1 0
1 0
1 0
1 1
1 1
1 1
1 1
1 1
Vernam-Chiffre unsichere Chiffre
Subtraktion von einem Schlüsselbit
mod 4 von zwei Textbits
Bild 3-13: Schlüsseltext kann allen möglichen Klartexten entsprechen
Bild 3-14: Jeder Schlüsseltext sollte allen möglichen Klartexten entsprechen können
Vernam-Chiffre allgemein: Will man die Vernam-Chiffre in einer Gruppe G benutzen und eine
Zeichenkette der Länge n (von Zeichen aus G) verschlüsseln, so muß man vorweg als Schlüssel
ebenfalls eine Zeichenkette der Länge n zufällig wählen und vertraulich austauschen40 , etwa k =
(k1 ,…,kn ). Das i-te Klartextzeichen xi wird verschlüsselt als
Si := xi + ki Entschlüsselt werden kann es durch
xi := Si – ki. Für den Sicherheitsbeweis siehe Aufgabe 3-7 b). (Es ist klar, daß man jedes Klartextzeichen einzeln
betrachten kann, da sie alle unabhängig verschlüsselt werden.) Auch ist klar, daß diese Chiffre
selbst gegen aktive Angriffe sicher ist (vgl. Aufgabe 3-7 e)): Selbst wenn der Angreifer zunächst
einige Klartext-Schlüsseltext-Paare seiner Wahl erhält, so erfährt er damit nur etwas über die dort verwendeten
Schlüsselbits, die aber später (also wenn er wirklich etwas entschlüsseln will) nie wieder
vorkommen41 .
Dies war die binäre Vernam-Chiffre für 2 Bit. Man kann dies auf beliebig viele Bits erweitern38 , und
auf andere Additionen statt modulo 2. (Beispielsweise mod 26 für buchstabenweise Chiffrierung von
Hand.)
Bild 3-14 zeigt links den in Bild 3-13 dargestellten Sachverhalt für alle möglichen Schlüsseltexte,
wobei aus Platzmangel die Werte des Schlüssels weggelassen wurden.
Rechts in Bild 3-14 ist eine unsichere Chiffre dargestellt. Dies ist daran erkennbar, daß nicht jeder
Schlüsseltext auf jeden Klartext abgebildet werden kann. Ein Angreifer, der z.B. den Schlüsseltext 10
beobachtet, erfährt dadurch, daß z.B. der Klartext 11 gerade nicht übertragen wird. (Natürlich ist
auch die unsichere Chiffre in Bild 3-14 rechts besser als nichts. Wird der 1-bit-Schlüsselabschnitt
jeweils nur einmal zum Ver- bzw. Entschlüsseln eines nichtredundant codierten39 2-bit-Textabschnitts
verwendet, wird ein Angreifer nie erfahren, welcher Klartext genau übertragen wird. Er kann
rechnen, solange er will. In diesem eingeschränkten Sinn ist dann auch diese Chiffre informationstheoretisch
sicher: Der Angreifer kann zwar Information über den Klartext gewinnen, aber nicht
genug, um ihn genau zu bestimmen. In seiner bahnbrechenden Arbeit über informationstheoretisch
sichere Konzelation [Sha1_49] nennt Claude Shannon diese eingeschränkte informationstheoretische
40
Um die Frage „Was bringt denn die Vernam-Chiffre überhaupt, wenn ich, um eine Nachricht vertraulich austauschen
zu können, vorher einen Schlüssel gleicher Länge vertraulich austauschen muß? Da könnte ich doch gleich die
Nachricht vertraulich austauschen!“ gleich zu beantworten: Bzgl. der Länge bringt die Vernam-Chiffre gar nichts,
aber der Schlüssel kann zu einem beliebigen, d.h. für beide Kommunikationspartner günstigen, Zeitpunkt ausgetauscht
werden, bevor die Nachricht vertraulich ausgetauscht werden soll. Wenn die Situation für vertrauliche
Kommunikation günstig ist, wird die Nachricht üblicherweise noch nicht vorliegen. Also wird die günstige
Situation zur vertraulichen Kommunikation „auf Vorrat“, sprich Schlüsselaustausch, genutzt.
41 „Nie wieder vorkommen“ bezieht sich auf die konkreten, gegenständlich gedachten Schlüsselbits, nicht etwa ihre
Werte. Denn natürlich kann, ja muß jedes Bit, wenn nur sein Wert als das Charakteristische betrachtet wird, in einer
zufällig gewählten, unendlichen Bitfolge immer wieder vorkommen. Entsprechendes gilt nicht nur für einzelne Bits,
sondern auch für jede endliche Bitkette.
38
Erinnert sei an eine Warnung aus §3.1: Eigentlich sollte perfekte Konzelation (und in gewissem Sinne ist die
Vernam-Chiffre die bestmögliche Konzelation) unabhängig von der Wahrscheinlichkeitsverteilung des Klartextraumes
und der für den Klartextraum gewählten (Quell-)Codierung funktionieren. Die binäre Vernam-Chiffre zeigt
nun besonders deutlich, daß dies erschreckenderweise nicht der Fall ist: Werden die Klartextnachrichten unär codiert,
dann ist die binäre Vernam-Chiffre vollkommen wirkungslos. Also müßte eigentlich zusätzlich zur Beschreibung
der Vernam-Chiffre auch noch die Nachrichtenlänge (genauer: die Schlüsseltextlänge) a-priori festgelegt werden,
damit sie nichts über den Nachrichteninhalt verraten kann. Dann bleibt nur noch das Problem, daß, wenn diese
Länge zu kurz gewählt wird, lange Nachrichten in mehrere kurze aufgeteilt werden und dann die Nachrichtenhäufigkeit
Information über den Nachrichteninhalt verraten könnte. Bei genügend groß gewählter Schlüsseltextlänge
sollte dieses Problem aber nun wirklich ein vernachlässigbares Problem sein ...
39 Enthält der 2-bit-Textabschnitt genügend Redundanz, so kann die unsichere Chiffre vollständig gebrochen werden.
Ist bekannt, daß die Klartexte 00 und 10 nicht vorkommen, dann verbirgt sich hinter dem Schlüsseltext 00 immer
der Klartext 11, hinter 01 immer 01, hinter 10 immer 01 und hinter 11 immer 11.