Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

106
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
105
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
eine selbstsynchronisierende Stromchiffre gewonnen werden. Hierbei wird bei ECB und CBC das
den Begriffen Block- bzw. Stromchiffre zugrundeliegende Alphabet gewechselt – bei CFB kann es
gewechselt werden.
(Anmerkung: Nach obigen Definitionen ist jede Stromchiffre entweder synchron oder selbstsynchronisierend.
80 Manche Autoren definieren synchron jedoch restriktiver, z.B. [Denn_82 Seite
136]: Der Schlüsselstrom – siehe obige Anmerkung – wird unabhängig vom Klartextstrom erzeugt.
Dann gibt es Stromchiffren, die weder synchron noch selbstsynchronisierend sind, z.B. Schlüsseltext-
und Ergebnisrückführung in Bild 3-50. Mir erscheint diese feinere Aufteilung in drei Klassen für
das folgende jedoch unnötig.)
Aus jeder symmetrischen oder asymmetrischen deterministischen Blockchiffre kann mittels der
Konstruktionen
• Ergebnisrückführung (output feedback, abgekürzt OFB [DaPr_89]),
• Blockchiffre mit Blockverkettung über Schlüssel- und Klartext (hier plain cipher block chaining,
abgekürzt PCBC, genannt, in der Literatur plaintext-ciphertext feedback oder block chaining
using plaintext and ciphertext feedback, [EMMT_78 Seite 110, 111, MeMa_82 Seite 69])
oder
• Schlüsseltext- und Ergebnisrückführung (output cipher feedback, abgekürzt OCFB)
eine synchrone Stromchiffre gewonnen werden. Hierbei wird bei PCBC das den Begriffen Blockbzw.
Stromchiffre zugrundeliegende Alphabet gewechselt – bei OFB und OCFB kann es gewechselt
werden.
Für jede symmetrische bzw. asymmetrische deterministische Stromchiffre und beliebige nichtleere
Texte x1, x2 und Schlüsselpaare (c,d) bzw. Schlüssel k gilt demnach:
Werden zwei Texte separat, aber direkt hintereinander verschlüsselt, so ist das Gesamtergebnis
das gleiche, wie wenn die zwei Texte erst konkateniert und dann verschlüsselt werden. In der
eingeführten Notation und bei kollateraler (d.h. paralleler, sich gegenseitig nicht beeinflussender)
Auswertung beider Seiten der Gleichungen jeweils von links lautet dies:
k(x1 ),k(x2 ) = k(x1 ,x2 ) bzw. c(x1 ),c(x2 ) = c(x1 ,x2 ).
Werden zwischen den separat verschlüsselten Texten noch weitere verschlüsselt oder wird nach
den beiden separaten Verschlüsselungen die der konkatenierten Texte als dritte ausgeführt (also nicht
kollateral!), so gelten die obigen Gleichungen mit sehr großer Wahrscheinlichkeit nicht.
Jeder der 6 Konstruktionen ist ein eigenes Unterkapitel gewidmet.
An diese schließt sich ein Unterkapitel mit Anmerkungen zur Verwendung expandierender Blockchiffren
(in den Unterkapiteln vorher wird nur der Fall behandelt, daß die Blockchiffre längentreu ist)
und zur Initialisierung der Speicherglieder an.
Im letzten Unterkapitel wird ein Überblick über die wesentlichen Eigenschaften aller beschriebenen
Konstruktionen gegeben.
3.8.2 Betriebsarten für Blockchiffren
3.8.2.1 Elektronisches Codebuch (ECB)
Die einfachste Betriebsart einer Blockchiffre ist, lange Nachrichten so in Blöcke aufzuspalten, daß
jeder Block unabhängig von allen andern mit der Blockchiffre ver- und entschlüsselt werden kann,
vgl. Bild 3-40. Diese Betriebsart wird elektronisches Codebuch genannt (electronic codebook,
abgekürzt ECB).
ECB
Schlüssel
Schlüssel
Um Zusammenhänge zwischen Block- und Stromchiffren aufzuzeigen und da sie für viele Anwendungen
praktisch sind81 , werden im folgenden die in der Literatur beschriebenen und teilweise
genormten wichtigen Betriebsarten für Blockchiffren (sprich: Konstruktionen von selbstsynchronisierenden
oder synchronen Stromchiffren aus Blockchiffren) angegeben. Auch wenn heute allgemein
davon ausgegangen wird, daß in allen Konstruktionen die Verwendung einer sicheren Blockchiffre
üblicherweise den Erhalt einer sicheren Stromchiffre impliziert, erscheinen mir zwei einschränkende
Bemerkungen notwendig:
1. Selbst unter einer sehr starken Definition, was eine sichere Blockchiffre ist, sind mir weder
(Reduktions-)Beweise für die Sicherheit der erhaltenen Stromchiffren noch eine Quantifizierung
des „üblicherweise“ bekannt.
2. Zumindest für manche dieser Konstruktionen konnten pathologische (d.h. extrem gebildete,
krankhafte) Gegenbeispiele hergeleitet werden, die ich im folgenden beschreibe. Ich überlasse
es dem Leser zu entscheiden, ob die hergeleitete Blockchiffre von ihm als „sicher“ betrachtet
wird.
VerEntschlüsseschlüsselunglungKlartextSchlüsseltextKlartextblock
n block n block n
Zunächst werden die standardisierten Betriebsarten ECB, CBC, CFB und OFB beschrieben. Danach
zwei Verallgemeinerungen, nämlich PCBC und OCFB:
Bild 3-40: Betriebsart elektronisches Codebuch
Aus jeder symmetrischen oder asymmetrischen deterministischen Blockchiffre kann mittels der
Konstruktionen
• Elektronisches Codebuch (electronic codebook, abgekürzt ECB [DaPr_89]),
• Blockchiffre mit Blockverkettung (cipher block chaining, abgekürzt CBC [DaPr_89]) oder
• Schlüsseltextrückführung (cipher feedback, abgekürzt CFB [DaPr_89])
Ihre Eigenschaften sind kanonisch und deshalb nur kurz in Bild 3-51 tabelliert. Nachteilig ist, daß bei
deterministischen Blockchiffren Muster im Klartext, die ganze Blöcke umfassen, auf entsprechende
Muster im Schlüsseltext abgebildet werden82 , vgl. Bild 3-41. Selbst bei indeterministischen Block-
82
In einem gewissen Sinne gibt es bei nichtkontextbezogener (d.h. nicht von der Vorgeschichte abhängiger) deterministischer
Verschlüsselung semantischer Einheiten immer folgendes Brechen durch Lernen: Ein Angreifer
beobachtet Nachrichten (Schlüsseltexte) und was dann in der realen Welt passiert. Wenn die gleiche Nachricht, d.h.
der gleiche Schlüsseltext noch mal auftritt, liegt die Vermutung nahe, daß in der realen Welt auch das gleiche wie
damals passieren wird. Dies sei an einem kleinen Beispiel veranschaulicht: Der Admiral eines Flottenverbandes gebe
80 Um auch die Möglichkeit zuzulassen, daß jeweils zeichenweise unabhängig verschlüsselt wird, kann im zweiten
Fall die Anzahl direkt vorhergehender Schlüsseltextzeichen, von denen die Verschlüsselung abhängt, auf 0
beschränkt werden. Dann ist auch das erwähnte Beispiel abgedeckt, bei dem DES als Stromchiffre auf dem Alphabet
{0, 1, 2, 3, ..., 264-1} betrachtet wird.
81
Bis hierher ist unklar, ob man beispielsweise mit DES auch Nachrichten konzelieren kann, die nicht genau 64 Bit
lang sind. Ebenso ist bis hierher unklar, ob mit DES Nachrichten auch authentisiert werden können.