Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

96
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
95
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
wäre unnötiger Aufwand, der keine Sicherheit bringen kann), sind beide in etwa gleich aufwendig,
wobei RSA etwas günstiger liegt, da kein Referenzenbaum erzeugt bzw. geprüft zu werden braucht.
Allerdings ist es möglich, bei RSA eine wesentlich effizientere Hashfunktion zu verwenden, da diese
nie umgekehrt werden muß. Dies ist bei GMR nur bzgl. der N-Signaturen nicht nötig – bei R- und K-
Signaturen aber unvermeidbar, vgl. Bild 3-27. Der Rechenaufwand für die Erzeugung und Prüfung
der R- und K-Signaturen kann bei GMR also nicht in gleicher Weise gesenkt werden.
Die Verwendung einer wesentlich effizienteren Hashfunktion, die von niemand umgekehrt werden
kann, kann einen enormen Effizienzvorteil haben, erfordert aber eine weitere kryptographische
Annahme, nämlich die, daß die verwendete schnelle Hashfunktion kollisionsresistent ist. Je mehr
unbewiesene Annahmen man benötigt, desto größer wird die Wahrscheinlichkeit, daß mindestens
eine falsch ist und damit die Sicherheit pure Illusion. Bezüglich digitalen Signatursystemen kann (und
muß) man sich also zwischen Sicherheit (GMR) und Effizienz (RSA mit schneller Hashfunktion)
entscheiden.
Da die Proportionalitätskonstanten78 näherungsweise gleich sind, liegt der Aufwand des CRA
bereits für den kleinsten in Betracht zu ziehenden Wert von l = 300 deutlich unterhalb von 2% des
Aufwands der 2 Exponentiationen halber Länge. Also reduziert Rechnen modulo p und q den
Aufwand näherungsweise um den Faktor
8•l3 2•l3 = 4.
3.6.5.3 Verschlüsselungsleistung
RSA ist für die USA, aber nirgends sonst patentiert. Das Patent läuft am 20. September 2000 aus
[Schn_96 Seite 474].
In [Sedl_88] wird eine Hardwareimplementierung von RSA gemäß §3.6.2 mit einer Entschlüsselungsgeschwindigkeit
von ca. 200 kbit/s bei einer Moduluslänge von 660 bit angegeben. Letzteres
erscheint für die Sicherheit von RSA zur Zeit als ausreichend. Die Geschwindigkeit wird durch
Verwendung des in §3.6.5.2 beschriebenen Verfahrens erzielt. Erfolgt die Verschlüsselung mit dem
Exponenten 216 +1, vgl. §3.6.5.1, so wird sogar eine Geschwindigkeit von 3 Mbit/s erzielt.
Eine entsprechende Software-Implementierung auf dem Apple Macintosh IIfx (MC68030, 40
MHz, 32 KByte cache board, 80 ns RAM) erreicht bei einer Moduluslänge von 512 bit eine
Entschlüsselungsgeschwindigkeit von 2,5 kbit/s.
3.7 DES: Das bekannteste System für symmetrische
Konzelation und Authentikation
3.6.6 Sicherheit und Einsatz von RSA
DES ist das erste standardisierte (daher sein Name als Abkürzung von: Data Encryption Standard)
und (deshalb) das am meisten eingesetzte kryptographische System. DES ist ein symmetrisches
kryptographisches System, das einen nur 56 Bit langen Schlüssel hat und Blöcke von 64 Bit Länge
verschlüsselt.
Egal wie man RSA als asymmetrisches kryptographisches System einsetzt, es kann nicht sicherer sein
als die Faktorisierung des Modulus schwer ist – und einen Beweis, daß RSA zu brechen so schwer
wie den Modulus zu faktorisieren ist, gibt es (bisher) nicht, vgl. §3.6.1.
Erstmals veröffentlicht wurde der DES-Algorithmus in [DES_77]. Unter anderem abgedruckt ist er in
[MeMa_82].
Wo also liegen die sinnvollen Einsatzbereiche von RSA?
3.7.1 DES im Überblick
Der DES-Algorithmus setzt sich zusammen aus einer – kryptographisch unbedeutenden – Eingangspermutation
IP (Initial Permutation), die u.a. den Eingabeblock in die beiden 32-Bit-Blöcke L0 und
R0 aufteilt, 16 Iterationsrunden, in denen die eigentliche Verschlüsselung vorgenommen wird,
und einer zur Eingangspermutation inversen Ausgangspermutation IP-1, vor deren Ausführung
L16 und R16, die beiden Blöcke, die man nach der Iterationsrunde 16 erhält, nochmals vertauscht
werden.
Aus dem Schlüssel werden die 16 Teilschlüssel K1 bis K16 erzeugt – für jede Iterationsrunde
einer.
Hilfreich für die folgende Diskussion ist, zu Bild 3-12 in §3.1.3.5 zurückzuschlagen. Dort sehen wir
das wichtige Feld 3 nur mit einem System gefüllt, das nicht äquivalent zu einer reinrassigen
Standardannahme ist. D.h. effiziente asymmetrische Konzelationssysteme, die gegen aktive
Angriffe relativ zu einer reinrassigen Standardannahme kryptographisch stark sind, sind bisher nicht
bekannt.
Zwar ist RSA nicht als kryptographisch stark bewiesen (hier also: so sicher wie Faktorisierung
schwer), aber für den in §3.6.4.1 beschriebenen Einsatz als indeterministisches asymmetrisches
Konzelationssystem sind immerhin keine erfolgreichen Angriffe bekannt – und das schon seit vielen
Jahren. Benötigt man ein asymmetrisches Konzelationssystem und kann man aktive Angriffe nicht
ausschließen, sollte man RSA (oder CS) einsetzen. Kann man aktive Angriffe ausschließen, ist der
s2-mod-n-Generator vorzuziehen: Zum einen ist er als kryptographisch stark bewiesen, d.h. wer ihn
bricht, kann faktorisieren und damit auch RSA brechen. Zum andern ist für den s2-mod-n-Generator sogar bewiesen, daß ein passiver Angreifer keinerlei Information über den Klartext erhält. Auch solch
einen Beweis gibt es für RSA (bisher?) nicht.
Bezüglich des Rechenaufwands sind s2-mod-n-Generator und RSA vergleichbar. Dies liefert also
kein hartes Unterscheidungskriterium.
Für den Einsatz von RSA statt GMR als digitales Signatursystem spricht unter Sicherheitsgesichtspunkten
nichts. Im Gegenteil: Wer GMR brechen kann, kann – wie bewiesen wurde – faktorisieren
und damit auch RSA brechen. Man sollte, wo immer möglich, also GMR den Vorzug geben.
Bezüglich des Rechenaufwands verhält es sich leider umgekehrt: Wird für RSA gemäß §3.6.4.2
eine genauso effiziente Hashfunktion wie bei GMR verwendet (eine aufwendigere zu verwenden,
78 für den kubischen Aufwand bei der Exponentiation, den quadratischen Aufwand bei der Multiplikation und den
linearen Aufwand bei der Addition