Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

108
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
107
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
CBC
Alle Linien führen der Blocklänge entsprechend viele Alphabetzeichen
Addition, z.B. bitweise modulo 2
Subtraktion, z.B. bitweise modulo 2
chiffren werden Muster im Schlüsseltext auf entsprechende Muster im Klartext abgebildet, aber dies
dürfte in der Praxis so gut wie nie vorkommen, während regelmäßige Muster in nicht komprimierten
Klartexten durchaus häufig sind und deshalb ins Kalkül gezogen werden müssen. 83
Speicher für
Blockgrenzen
Schlüsseltextblock
n -1
Speicher für
Schlüsseltextblock
n -1
z.B. 64 Bits
bei DES
Klartextblöcke
Schlüssel
Schlüssel
ECB
Entschlüsselung
Verschlüsselung
KlartextSchlüsseltextKlartextblock
n block n block n
Schlüsseltextblöcke
Bild 3-42: Konstruktion einer symmetrischen bzw. asymmetrischen selbstsynchronisierenden Stromchiffre
aus einer symmetrischen bzw. asymmetrischen Blockchiffre: Blockchiffre mit Blockverkettung
Bei der Betriebsart ECB werden gleiche Klartextblöcke auf gleiche Schlüsseltextblöcke abgebildet.
Muster, die Blockgrenzen überschreiten, werden i.allg. auf andere Muster im Schlüsseltext
abgebildet, wie dies am Beispiel der Blöcke unterhalb der Blockfolgen gezeigt ist.
Diese Konstruktion kann sowohl zum Zwecke der Konzelation als auch zum Zwecke der Authentikation
verwendet werden. Sie hat folgende Vor- und Nachteile bzw. ambivalente Eigenschaften bei der
Konzelation:
+ Die Verwendung einer indeterministischen Blockchiffre ist möglich. Da bei einer indeterministischen
Blockchiffre Schlüsseltextblöcke länger als Klartextblöcke sind, muß dann vor der
Addition bzw. Subtraktion eine geeignete Auswahl getroffen werden.
+ Wird eine asymmetrische Blockchiffre verwendet, so ist die entstehende Stromchiffre ebenfalls
asymmetrisch.
– Die Länge der verschlüsselbaren Einheiten ist durch die Blocklänge der verwendeten Blockchiffre
bestimmt und kann deshalb nicht einfach auf die Einheiten des Übertragungs- oder
Speichersystems abgestimmt werden. Deshalb müssen die Blockgrenzen für die Selbstsynchronisation
ggf. gesondert kenntlich gemacht werden.
* Bei einer noch so kleinen Verfälschung einer einem Block entsprechenden Einheit des Schlüsseltextstromes
(oder auch einem transienten Fehler im Ver- oder Entschlüsseler) sind alle
Zeichen des Klartextes dieser Einheit jeweils mit der Wahrscheinlichkeit
Alphabetgröße - 1
Alphabetgröße
Bild 3-41: Blockmuster bei ECB
3.8.2.2 Blockchiffre mit Blockverkettung (CBC)
Blockchiffre mit Blockverkettung ist in Bild 3-42 gezeigt: Vor dem Verschlüsseln jedes (außer des
ersten) Blocks wird zu seinem Klartext der Schlüsseltext des vorherigen modular addiert und
entsprechend nach dem Entschlüsseln jedes Blocks der Schlüsseltext des vorherigen von seinem
„Klartext“ modular subtrahiert.
gestört. Andernfalls taugt die verwendete Blockchiffre nichts. Zusätzlich ist die der Verfälschung
entsprechende Stelle im nächsten Klartextblock gestört, da die Verfälschung im
Schlüsseltextstrom gespeichert und in der folgenden Runde nochmals, allerdings anders,
verwendet wird. Danach kann sich die Verfälschung nicht weiter auswirken, die folgenden
Klartextblöcke werden richtig entschlüsselt, der Entschlüsseler hat sich aufgrund seiner
beschränkten Speichertiefe automatisch auf den Verschlüsseler synchronisiert.
Dies ist auch dann der Fall, wenn es sich nicht um einen Übermittlungsfehler außerhalb
des Verschlüsselungsprozesses handelt, sondern um einen transienten Fehler bei der Verschlüsselung.
Dies ist deshalb bemerkenswert, weil dann ab der Fehlerstelle ein ganz anderer
Schlüsseltext erzeugt wird: Die Fehlerauswirkungen beim Verschlüsseler werden von Schlüs-
Kommandos an alle Schiffe wie: "Schwenk nach Steuerbord", "volle Kraft voraus", "Maschinen stoppen", etc.
Werden diese Kommandos jeweils unabhängig von der Vorgeschichte, d.h. ohne Seriennummer, Zeitstempel etc.
deterministisch verschlüsselt, entspricht jedem dieser Kommandos genau ein Schlüsseltext. Nach kurzer Zeit kann
ein Angreifer die Bedeutung der Schlüsseltexte für die reale Welt lernen – ganz egal wie supersicher das
Konzelationssystem ist und ob es symmetrisch oder asymmetrisch arbeitet. Um dieses nichtkryptographische
Brechen durch Lernen zu verhindern, müssen semantische Einheiten zumindest kontextabhängig, besser aber noch
indeterministisch verschlüsselt werden.
83
Nehmen wir an, Telefax wird mit einer 64-Bit-Blockchiffre mit ECB verschlüsselt. Wir nehmen an, daß die
häufigste Kombination von Pixeln „alle weiß“ bedeutet und ordnen also dem häufigsten Schlüsseltextblock 64
weiße Pixel und allen anderen Schlüsseltextblöcken 64 schwarze Pixel zu. Nehmen wir an, unser Faxgerät hat eine
Auflösung von 300 dpi, also rund 12 Pixel pro mm. Dann vergröbert Verschlüsselung mit 64-Bit-ECB die
horizontale Auflösung des Faxes lediglich von 0,08 auf 5,3 mm – zumindest große Schriften dürften problemlos
lesbar bleiben. Werden die Pixel nicht horizontal, sondern etwa quadratweise mit 8•8 Pixel codiert, dann ergibt sich
für das Beispiel eine Vergröberung der Auflösung des Faxes horizontal wie vertikal von 0,08 auf 0,67 mm. Da
dürften auch kleinere Schriften noch zu entziffern sein.