Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

88
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
87
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Zufallszahl
ll
Sicherheitsparameter
Zufallszahl
l
Sicherheitsparameter
Schlüsselgenerierung:
Schlüsselgenerierung:
p, q Primzahlen
n := p•q
t mit ggT(t, (p-1)(q-1)) = 1
s ≡ t -1mod
( p-1)(q-1)
t, n
p, q Primzahlen
n := p•q
c mit ggT(c, (p-1)(q-1)) = 1
d ≡ c -1 mod (p-1)(q-1)
c, n
Schlüssel zum Testen
der Signatur,
öffentlich bekannt
Chiffrierschlüssel,
öffentlich bekannt
Schlüssel zum
Signieren,
geheimgehalten
s, n
Dechiffrierschlüssel,
geheimgehalten
d, n
Textblock
Verschlüsselung:
Textblock mit
Signatur
Textblock
mit Signatur
und Testergebnis
m
m,
Entschlüsselung:
1. Komp. ≡
(2. Komp.) t
mod n ?
Klartextblock
Entschlüsselung:
Schlüsseltextblock
c
m mod n
Verschlüsselung:
Klartextblock
m s mod n
c
≡ (m ) mod n
d
m
m
s
( • ) mod n
m,
m s mod n,
„ok“ oder
„falsch“
d
( • ) mod n
c
( • ) mod n
Geheimer Bereich
Geheimer Bereich
Bild 3-30: Naiver und unsicherer Einsatz von RSA als digitales Signatursystem
Bild 3-29: Naiver und unsicherer Einsatz von RSA als asymmetrisches Konzelationssystem
3.6.3 Angriffe, insbesondere multiplikative Angriffe von Davida und
Moore
Bsp. Schlüsselgenerierung: Sei p = 3, q = 17, also n = 51.
Also ist φ(n) = (p-1) • (q-1) = 32.
Sei c = 5; prüfe ob ggT(5, 32) = 1. (Euklidscher Algorithmus) Dies ist der Fall.
Gesucht d = c –1 mod φ(n), also 5 –1 mod 32. Mit dem erweiterten Euklidschen Algorithmus
ergibt sich d = 13.
Leider ist der Einsatz von RSA, wie er in §3.6.2 beschrieben wurde, zwar leicht zu verstehen, aber
weitgehend unsicher. Da RSA eine multiplikative Struktur besitzt (Genaueres wird gleich erklärt),
kann sowohl das Konzelationssystem als auch das Signatursystem gebrochen werden, ohne daß der
Angreifer irgendetwas über den geheimen Schlüssel herausbekommen müßte.
Da der multiplikative Angriff für RSA als Signatursystem systematischer erklärt werden kann,
wird damit begonnen.
Verschlüsselung: Sei die Klartextnachricht m = 19. Dann ist der zugehörige Schlüsseltext S =
195 ≡ 192 • 192 • 19 ≡ 361 • 361 • 19 ≡ 4 • 4 • 19 ≡ 4 • 76 ≡ 4 • 25 ≡ 49 mod 51.
Entschlüsselung: Sd = 4913 ≡ (–2) 13 ≡ 1024 • (–8) ≡ 4 • (–8) ≡ –32 ≡ 19 mod 51, was
tatsächlich der Klartext ist.
3.6.3.1 RSA als digitales Signatursystem
3.6.2.2 RSA als digitales Signatursystem
Jeder kann in dem in §3.6.2.2 beschriebenen digitalen Signatursystem Signaturen fälschen, indem er
rückwärts rechnet: Er wählt sich eine Signatur, exponenziert sie modular mit t und erhält so den passenden
Textblock. Dieser passive Angriff bricht RSA als digitales Signatursystem also existentiell,
nicht aber selektiv. Denn der Angreifer kann nicht die Nachricht vorgeben, zu der er gerne die
Signatur hätte, vgl. §3.1.3.1 und §3.1.3.2. Das Mindeste, was also zusätzlich zu dem in §3.6.2.2
Beschriebenen gefordert werden muß, ist, daß „sinnvolle“ Textblöcke sich bei diesem Angriff nur
sehr, sehr selten ergeben.
Die Bezeichner aus §3.6.1 werden folgendermaßen umbenannt:
c → t, d → s.
Dann gilt:
Um aktive Angriffe, die ein selektives Brechen des in §3.6.2.2 beschriebenen digitalen Signatursystems
erlauben, systematisch herzuleiten, wird zunächst ein einfacher passiver Angriff beschrieben.
Er fälscht zwar Signaturen nicht besser als der gerade beschriebene, erläutert aber die multiplikative
Struktur von RSA. Diese wird dann für die aktiven Angriffe benötigt.
Signieren erfolgt durch modulare Exponentiation mit s.
Dies ergibt für Textblock m: ms mod n.
Testen erfolgt durch modulare Exponentiation der Signatur mit t und anschließendem Vergleich
des Ergebnisses mit dem zugehörigen Textblock.
Dies ergibt für Textblock m mit Signatur ms : (ms ) t mod n = m ?
Bild 3-30 veranschaulicht das Gesamtsystem.