Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

102
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
101
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Komplement
R i-1
f
32
E
48
Komplement
i
K
48
⊕
48
Original
Permutationen erhalten die Komplementarität, insbesondere also PC-1 und PC-2 sowie IP und
IP-1 ,
Rotationen erhalten die Komplementarität, so daß bei komplementärem Schlüssel auch die
Teilschlüssel komplementär sind,
jede Iterationsrunde erhält die Komplementarität,
da nach der Expansionspermutation E zum komplementären Wert der komplementäre Teilschlüssel
modulo 2 addiert wird, so daß sich vor den Substitutionen die Komplementarität
weghebt (da 0⊕0 = 1⊕1 und 1⊕0 = 0⊕1), nach den Substitutionen aber durch die
Addition modulo 2 von Li-1 wieder hergestellt wird, und
da das Kopieren von Ri-1 nach Li trivialerweise die Komplementarität erhält,
Vertauschen von linker und rechter Hälfte erhält die Komplementarität.
S 8
S 7
S 6
S 5
S 4
S 3
S 2
S 1
Die Bilder 3-38 und 3-39 verdeutlichen zusammen den Erhalt der Komplementarität in jeder
Iterationsrunde.
32
P
Komplement Komplement
32
Original
R i-1
L i-1
f(R , K ) i-1 i
Bild 3-39: Komplementarität in der Verschlüsselungsfunktion f von DES
Komplement
Ki f
Original
⊕
Iterationsrunde i
Diese Regelmäßigkeit kann genutzt werden, um den Aufwand der Suche durch den Schlüsselraum
nahezu zu halbieren: Liegen zu zwei komplementären Klartextblöcken die zugehörigen Schlüsseltextblöcke
vor (etwa als Ergebnis eines gewählten Klartext-Schlüsseltext-Angriffs), dann wird einer der
Klartextblöcke solange mit anderen Schlüsseln verschlüsselt, bis entweder der zugehörige Schlüsseltextblock
oder das Komplement des anderen Schlüsseltextblocks entsteht. Im 1. Fall wurde der
Schlüssel gefunden. Im 2. Fall wurde das Komplement des Schlüssels gefunden, da Komplement
des Klartextblocks mit Komplement des Schlüssels verschlüsselt das Komplement des Schlüsseltextes
ergibt.
In beiden Fällen kann noch mit sehr geringer Wahrscheinlichkeit die Situation eingetreten sein,
daß zu einem einzelnen Klartext-Schlüsseltext-Paar mehrere Schlüssel passen, so daß die Richtigkeit
des Schlüssels in beiden Fällen noch an weiteren Klartext-Schlüsseltext-Paaren geprüft werden muß.
Dies gilt – unabhängig von der Komplementaritätseigenschaft – allgemein für DES.
L i:= R i-1 R i := L i-1⊕
f(R i-1,K
i )
Komplement Komplement
Bild 3-38: Komplementarität in jeder Iterationsrunde von DES
3.7.7 Verallgemeinerung von DES: G-DES
Die Sicherheit von DES wird seit langem aus zwei Gründen kritisiert:
• Der Schlüssel ist mit 56 Bit Länge inzwischen für Anwendungen, die Sicherheit auch bei
massiven Angriffen (etwa durch Geheimdienste) erfordern, zu kurz:
Mit einem Klartext-Schlüsseltext-Angriff wurde DES im Januar/Februar 1998 vollständig
gebrochen. Während ihrer Leerlaufzeit durchsuchten 22000 Rechner über das Internet
koordiniert brute-force den Schlüsselraum. Innerhalb von 39 Tagen wurden dabei etwa
85% aller möglichen Schlüssel ausprobiert, bis der richtige gefunden wurde [CZ_98].
Alternativ zu diesem software-basierten, nahezu kostenlosen Angriff wird der Bau von
Spezialmaschinen diskutiert [Schn_96 Seite 152-157]: Bei der 1995 verfügbaren Technologie
sei das Produkt aus Kosten der Maschine in US$ und durchschnittlicher Zeit in