Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

80
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
79
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Signatur für Signatur zu „verbrauchen“. Dieses Vorgehen hätte den Nachteil, daß die öffentliche
Referenzenliste sehr lang würde. 71
R
R
0 R
1 R2 f m
f m*
• • •
• • •
• • •
s(m)
s(m*)
• • •
f
präf(m
2
)
f
präf(m
1
)
f
präf(m
0
)
Bild 3-23: Prinzip der Grundsignatur von GMR
s(m 2 )
s(m )
1
s(m 0 )
Bild 3-24: Grundidee, wie mit GMR viele Nachrichten signiert werden
Nun kann man natürlich nicht jede der vielen Funktionen fm einzeln angeben. Deswegen werden sie
aus einem Permutationenpaar konstruiert:
Von dieser Idee bleibt, daß tatsächlich für jede auszugebende Signatur eine andere, zufällig gewählte
Referenz verwendet wird, also etwa R0 , R1 , ... für die 1-te, 2-te usw. Signatur. (Dadurch wird
erreicht, daß ein aktiver Angreifer seine Signatur jedesmal zu einer anderen Referenz erhält. Dies
erschwert die Zielgerichtetheit eines aktiven Angriffs; dies ist eine der Grundideen von GMR.)
Die einzelnen Ri können aber auch nicht erst mit der Nachricht bekanntgegeben werden –
andernfalls könnte ein Angreifer zu einer Nachricht m seiner Wahl eine Signatur Sig zufällig wählen
und von dort mittels f0 und f1 die passende Referenz R := fpräf(m) (Sig) berechnen.
Es liegt also nahe, die Referenzen selbst mittels Signaturen zu authentisieren. Hierzu wäre wieder
die einfachste Idee, eine einzige Referenz rε in den öffentlichen Schlüssel aufzunehmen. Dann signiert
man die Liste der Referenzen R0 , R1 , ... bezüglich rε , und nun kann man das passende Ri zum
Signieren der eigentlichen Nachricht verwenden. Der Nachteil hierbei wäre, daß man jeder Signatur
die Liste aller Referenzen beilegen müßte.
Deswegen geht man zu baumförmiger Authentikation der Referenzen über, d.h. mit jeder
authentisierten Referenz werden zwei neue signiert. Man legt vorweg die Anzahl 2b an Referenzen
fest, die man so erhalten möchte.
Grundkonstruktion der Funktionen fm aus einem Paar f0, f1: Hat man ein kollisionsresistentes
Permutationenpaar (f0 , f1 ) gewählt, so läßt sich zu jeder Nachricht m eine Funktion fm konstruieren, indem f0 und f1 bitweise in Abhängigkeit von m komponiert werden.
Beispiel: m=100101, f 100101 (x) := f 1 (f 0 (f 0 (f 1 (f 0 (f 1 (x)))))).
Mit Kenntnis des Geheimnisses lassen sich die f –1
0 und f1
–1 berechnen und damit auch fm
–1 ; die
Auswertungsrichtung von m kehrt sich dabei um.
Beispiel: m=100101, f 100101 –1 (x) := f1 –1 (f0 –1 (f1 –1 (f0 –1 (f0 –1 (f1 –1 (x)))))).
Ein Vorteil dieses Vorgehens ist, daß fm für beliebig lange Nachrichten m existiert. Es ist also keine
Aufteilung von m in Blöcke oder der Einsatz einer Hashfunktion notwendig.
Die Komposition von f0 und f1 birgt jedoch eine Gefahr: Der „zurückrechnende“ Empfänger, der die
Signatur mit fm testet, erhält mit jeder Anwendung von f0 und f1 wieder eine gültige Signatur zu der
um jeweils das letzte Bit verkürzten Nachricht.
Beispiel: f 1 (Sig 100101 ) = f 1 (f 100101 –1 (R)) = f10010 –1 (R) = Sig10010.
Nur eine Referenz rε wird veröffentlicht. Die 2b für Nachrichtensignaturen (im weiteren kurz N-
Signaturen genannt) vorgesehenen Referenzen R0 , R1 , ... werden nun an die Blätter eines
Binärbaumes der Tiefe b angehängt; jeder Knoten des Baumes enthält wiederum eine zufällig
gewählte Referenz rj . Der Baum wird im folgenden Referenzenbaum genannt (Bild 3-25).
Dies läßt sich verhindern, indem die Form einer „gültigen Nachricht“ durch eine präfixfreie
Abbildung präf(•) festgelegt wird: Kein Präfix, d.h. Anfangsstück, einer so abgebildeten Nachricht
darf gleichzeitig präfixfreie Abbildung einer anderen Nachricht sein. Die ursprüngliche Nachricht
erhält so einen „Gültigkeitsvermerk“, der bei Verlust des (oder der) letzten Bits automatisch erlischt.
Signiert wird nun präf(m) mit f –1
präf(m) (R).
Aus der Kollisionsresistenz der Paare (f0 , f1 ) kann man herleiten, daß die Familie der fpräf(m) in
ähnlichem Sinne kollisionsresistent ist, d.h. daß es schwer ist, zwei Nachrichten m, m* und
„Signaturen“ S, S* zu finden mit fpräf(m)(S) = fpräf(m*)(S*). (s. Aufgabe 3-15 c)).
Präfixfreie Abbildung: Eine effiziente präfixfreie Abbildung läßt sich durch Voranhängen eines
Längenprädikates vor die Nachricht m erreichen, also eines Feldes fester Länge (etwa ein
Rechnerwort), das die Länge der eigentlichen Nachricht enthält. 70
Im Fall, daß die Länge der Nachricht a priori feststeht, erübrigt sich eine zusätzliche präfixfreie
Abbildung.
3.5.4 Gesamt-GMR: Authentisierung vieler Referenzen
Die einfachste Idee, wie man erreichen könnte, daß mehrere Nachrichten signiert werden können,
wäre, im öffentlichen Schlüssel eine bestimmte Anzahl von Referenzen bekanntzugeben und später
71 Für diesen vereinfachten Fall, daß die Referenzen dem Angreifer vor seiner Wahl der zu signierenden Nachrichten bekannt
sind, ist die Sicherheit von GMR außerdem nicht bewiesen; wir sehen auch nicht, wie sie bewiesen werden
könnte.
70 Der Vorzug des GMR-Signatursystems, Nachrichten beliebiger Länge signieren zu können, geht dabei nicht
verloren, wenn z.B. über ein „Erweiterungsbit“ das Einfügen weiterer Längenfelder ermöglicht wird. Konkret kann
man dazu das Vorzeichenbit des Längenfeldes wählen.