Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

104
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
103
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
3.8 Zum praktischen Betrieb kryptographischer
Systeme
Zum praktischen Betrieb kryptographischer Systeme ist es nützlich,
• Begriffe wie Blockchiffre vs. Stromchiffre, synchron vs. selbstsynchronisierend,
• Betriebsarten von Blockchiffren, d.h. die wichtigen Konstruktionen von selbstsynchronisierenden
und synchronen Stromchiffren aus Blockchiffren, und
• wenigstens eine effiziente Konstruktion von kollisionsresistenten Hashfunktionen aus Blockchiffren
zu kennen. Dies wird jeweils in den folgenden Unterkapiteln behandelt.
3.8.1 Blockchiffre, Stromchiffre
Bei einem gegebenen endlichen Alphabet ver-/entschlüsselt eine
• Blockchiffre nur Zeichenketten fester Länge, während eine
• Stromchiffre Zeichenketten variabler Länge bearbeiten kann.
Sekunden zur Ermittlung eines DES-Schlüssels etwa 10 10 . Für 105 US$ kann man also
eine Maschine bauen, die in 35 Stunden einen Schlüssel ermittelt, für 106 US$ dauert es
nur noch 3,5 Stunden, usw. In der Vergangenheit verdoppelte sich die Rechenleistung bei
gleichen Kosten etwa alle 18 Monate. Obiges Produkt ist also vermutlich auch zukünftig
etwa alle 18 Monate zu halbieren und beträgt im Jahr 2000 dann etwa 109 . Im Juli 1998
veröffentlichte Electronic Frontier Foundation (EFF), daß sie innerhalb eines Jahres mit
einem Gesamtaufwand von weniger als 250000 US$ eine Spezialmaschine zum Brechen
von DES gebaut haben, die DES-Schlüssel in weniger als 3 Tagen ermittelt [EFF_98].
Unter Verwendung dieser oberen Schranken liegt das tatsächlich erzielte Produkt von
250000 • 3•24•60•60 = 6,48 • 10 10 leicht oberhalb der am Schreibtisch ermittelten
Angaben für die 1995 verfügbare Technologie.
• Die Entwurfskriterien für die speziellen Werte der Substitutionen und Permutationen (hier
nicht beschrieben, bei Interesse im Standard nachzulesen) werden weiterhin geheimgehalten.
In [Copp_92, Copp2_94] findet sich allerdings die weitgehende Aufdeckung des Rätsels.
Legt man das Alphabet {0, 1} zugrunde, sind die Vernam-Chiffre (one-time pad), der s2-mod-n- Generator und GMR Stromchiffren, während RSA und DES dann Blockchiffren sind. Legt man
jedoch als Alphabet {0, 1, 2, 3, ..., 264-1} zugrunde und unterstellt, daß mehrere Zeichen jeweils
unabhängig voneinander verschlüsselt werden, dann ist DES nach obiger Definition eine Stromchiffre.
Die Unterscheidung Blockchiffre-Stromchiffre nach obiger Definition hängt also wesentlich
vom unterstellten Alphabet ab und ist deshalb in sich nur relativ. Bei vielen Anwendungen ist das
Alphabet aber vorgegeben (oder zumindest kanonisch) und damit die Unterscheidung präzise.
(Anmerkung: Manche Autoren definieren die Klasse der Stromchiffre restriktiver: Bei ihnen ist bei
jeder Stromchiffre ein Schlüsselstrom entweder vorgegeben (one-time pad) oder wird generiert
(pseudo one-time pad, z.B. s2-mod-n-Generator) und zum Klartext- bzw. Schlüsseltextstrom addiert
bzw. subtrahiert. Mir erscheint diese restriktivere Definition für das folgende jedoch unnötig.)
Bei einer Stromchiffre (im Deutschen auch als kontinuierliche Chiffre [Hors_85] oder Stromsystem
[HeKW_85], im Englischen als stream cipher bezeichnet) werden Nachrichten als eine Folge von
Zeichen codiert, so daß einzelne Zeichen des Alphabets verschlüsselt werden. Diese Zeichen werden
jedoch nicht notwendigerweise unabhängig voneinander verschlüsselt, sondern ihre Verschlüsselung
kann auch entweder
1. von ihrer Position innerhalb der Nachrichten oder allgemeiner von allen vorhergehenden
Klartext- und/oder Schlüsseltextzeichen abhängen oder
2. nur von einer beschränkten Anzahl direkt vorhergehender Schlüsseltextzeichen.
Unter kryptographischen und Implementierungsgesichtspunkten bieten sich folgende Verallgemeinerungen
an, die diesen zwei Kritikpunkten Rechnung tragen:
1. Die je 48 Schlüsselbits der 16 Teilschlüssel werden direkt eingegeben statt aus 56 Bit erzeugt.
Der Schlüssel ist damit 16•48 = 768 Bit statt 56 Bit lang.
2. Die Inhalte der Substitutionsboxen Sj (j = 1,..., 8) werden variabel. Dies verlängert den
Schlüssel um maximal 8•2 6 •4 = 2048 Bits.
3. Die Permutationen P und IP werden variabel. Dies verlängert den Schlüssel um maximal
32•⎡ld 32⎤ + 64•⎡ld 64⎤ = 160 + 384 = 544 Bits.
4. Die Expansionspermutation E wird variabel. Dies verlängert den Schlüssel um maximal 48•⎡ld
32⎤ = 240 Bits.
Zusammen ergibt dies maximal 3600 Bit. Bezüglich des Aufwandes der Speicherung ist dies bereits
heute weniger als 56 Bit im Jahre 1977. Während wie bei DES bei der 1. Verallgemeinerung eine zufällige
Wahl des Schlüssels angebracht ist, gilt dies bei der 2., 3. und 4. Verallgemeinerung nicht
unbedingt [BiSh_93].
Damit hier keine falschen Erwartungen an den Sicherheitsgewinn entstehen: Während der „normale“
DES mittels eines gewählten Klartext-Schlüsseltext-Angriffs, genannt differentielle Kryptoanalyse
(differential cryptanalysis), mittels 247 Klartext-Schlüsseltext-Blöcken gebrochen werden
kann, sind hierfür bei der 1. Verallgemeinerung 261 Klartext-Schlüsseltext-Blöcke nötig [BiSh3_91,
BiSh4_91, BiSh_93]. Dies ist zwar vom naiv erhofften Aufwand von 2768-1 weit entfernt, aber
schon sehr nahe an der optimalen Schwierigkeit von 264-1: Jede permutierende Blockchiffre mit
Blocklänge b kann mittels aktivem Angriff mit Aufwand 2b-1 gebrochen werden – der Angreifer läßt
sich einfach alle anderen Blöcke als den, der ihn interessiert, ver- bzw. entschlüsseln.
Im ersten Fall spricht man von synchronen Stromchiffren (synchronous stream ciphers), da Verund
Entschlüsselung streng synchron erfolgen muß: bei Verlust oder Hinzufügen eines Schlüsseltextzeichens,
d.h. bei Verlust der Synchronisation, kann nicht mehr ohne weiteres entschlüsselt werden,
Ver- und Entschlüsseler müssen sich neu synchronisieren. Sofern Ver- und Entschlüsselung nicht nur
von der Position innerhalb der Nachrichten abhängt, sondern auch von allen vorhergehenden Klartext
und/oder Schlüsseltextzeichen, müssen Ver- und Entschlüsseler sich auch bei Verfälschung eines
Schlüsseltextzeichens neu synchronisieren.
Im zweiten Fall spricht man von selbstsynchronisierenden Stromchiffren (self-synchronous
stream ciphers), da sich bei ihnen der Entschlüsseler auch bei Verlust oder Hinzufügen beliebig vieler
zusätzlicher Schlüsseltextzeichen spätestens nach Entschlüsselung der oben erwähnten beschränkten
Anzahl Schlüsseltextzeichen wieder auf den Verschlüsseler synchronisiert hat.
3.7.8 Verschlüsselungsleistung
Mittels einer Software-Implementierung werden auf dem Apple Macintosh Classic (MC68000, 8
MHz) mit einem gemäß 1., 2. und 3. verallgemeinerten DES über 100 kbit/s ver-/entschlüsselt, auf
dem PowerBook 180 (MC 68030, 33 MHz) über 900 kbit/s [PfAß1_90, PfAß_93].
Mittels einer Hardware-Implementierung (Standardzellen-Entwurf, 7155 Gatteräquivalente, 2 μm
Technologie) werden mit einem gemäß 1. verallgemeinerten DES auf dem Chip 40 Mbit/s ver-/entschlüsselt.
Da die Ein-/Ausgabe aber nur byteweise und asynchron (2-Weg-Handshake) erfolgt,
können nur 10 Mbit/s ein-/ausgegeben werden [KFBG_90].