Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

110
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
109
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Das kann man vermeiden, indem man einen zufällig gewählten Klartextblock vor den eigentlichen
Klartext hängt84 : Wir sahen ja gerade, daß alle weiteren Schlüsseltextblöcke dann auch jedesmal verschieden
sind. Man kann noch etwas Zeit sparen: Statt diesen Block als Klartext zu wählen und zu
verschlüsseln, wodurch sich ein zufälliger Schlüsseltextblock ergibt, kann man gleich einen zufälligen
Schlüsseltextblock wählen (also eine Vorbesetzung für den Speicher). Auch diesen muß man dem
Entschlüsseler natürlich mitteilen – etwa als ersten Schlüsseltextblock, dessen zugehöriger Klartextblock
dann ebenfalls eine Zufallszahl ist und deshalb vom Entschlüsseler weggeworfen wird.
seltextblock zu Schlüsseltextblock gespeichert und führen durch die Addition auf den nächsten
Klartextblock wieder zu einer verfälschten Eingabe an die Blockchiffre und damit zu einem
völlig unterschiedlichen Schlüsseltextblock. Trotzdem erhält der Entschlüsseler bereits einen
Block nach Ende des transienten Fehlers wieder den richtigen Klartext. Entsprechendes gilt bei
transienten Fehlern im Entschlüsseler. Sowohl bei transienten Fehlern im Ver- wie im Entschlüsseler
ist in obigen Beispielen natürlich jeweils unterstellt, daß der Schlüssel der Blockchiffre
durch den transienten Fehler nicht verfälscht wird. In diesem Fall wäre der beim Entschlüsseler
ab diesem Zeitpunkt erhaltene Klartext jeweils pseudozufällig und damit unbrauchbar.
Pathologisches Gegenbeispiel zu Konzelation mittels Blockchiffre mit Blockverkettung: Addition
und Subtraktion erfolge modulo 2. Die Blockchiffre verschlüssele gerade Blöcke, d.h. letztes Bit
0, sicher auf ungerade Blöcke, d.h. letztes Bit 1, und ungerade Blöcke unsicher auf gerade Blöcke,
vgl. Bild 3-44. Bei Beschränkung des Klartextraumes auf gerade Blöcke, d.h. Betrachtung der
Blockchiffre als um ein Bit expandierende Blockchiffre (vgl. Bild 3-45), handelt es sich also um eine
sichere Blockchiffre.
Die resultierende Stromchiffre ist aber auch für den beschränkten Klartextraum unsicher: Da für
das letzte Bit des Blocks gilt 0⊕1 = 1, Verschlüsselung ergibt 0, 0⊕0 = 0, Verschlüsselung ergibt 1,
usw., ist jeder zweite Eingabeblock in die Blockchiffre ungerade. Der Angreifer kann diese
ungeraden Eingabeblöcke aus den geraden Schlüsseltextblöcken errechnen und durch Subtraktion der
vorher beobachteten Schlüsseltextblöcke die zugehörigen Klartextblöcke errechnen. Die Stromchiffre
ist also bezüglich jedes zweiten Klartextblocks und damit insgesamt unsicher.
Klartextblock (Länge b )
x x x . . . x 1
1 2 3 b-1
x x x . . . x 0
1 2 3 b-1
unsicher
sicher
Da es für das Ergebnis der Addition in Bild 3-42 egal ist, ob der Klar- oder Schlüsseltextblock
verfälscht ist, gilt Gleiches (wie gerade beschrieben) für den Fall einer noch so kleinen Verfälschung
des Klartextstromes. Dies motiviert die Verwendung des linken Teiles der Konstruktion zur
Authentikation (Bild 3-43):
+ Der einen Klartext Authentizierende verschlüsselt ihn mit CBC und hängt lediglich den letzten
Schlüsseltextblock an den Klartext, d.h. der letzte Schlüsseltextblock ist der MAC gemäß Bild
3-6. Der die Authentizität Prüfende verschlüsselt den Klartext ebenfalls mit CBC und vergleicht
den von ihm berechneten letzten Schlüsseltextblock mit dem übertragenen. Bei Übereinstimmung
ist der Klartext authentisch. Hält man einen kürzeren Authentikator als einen
ganzen Schlüsseltextblock für hinreichend, kann man Anhängen und Vergleich auf einen Teil
des letzten Schlüsseltextblocks beschränken.
* Die verwendete Blockchiffre muß deterministisch sein.
– Die Länge der authentizierbaren Einheiten ist durch die Blocklänge der verwendeten
Blockchiffre bestimmt.
Dies Verfahren zur Authentikation ist in [ISO8731-1_87] genormt. Dort ist auch beschrieben, daß nur
die linksten 32 Bit als Authentikator genommen werden sollen und daß unvollständige letzte Klartextblöcke
mit binären Nullen aufgefüllt werden sollen.
S S S . . . S 1
S S S . . . S 0
1 2 3 b-1
1 2 3 b-1
Schlüsseltextblock (Länge b)
CBC zur Authentikation
Bild 3-44: Pathologische Blockchiffre (nur sicher auf Klartextblöcken, die rechts eine 0 enthalten)
Klartextblock (Länge b –1)
Speicher für
Speicher für
Schlüsseltextblock
Schlüsseltextblock
n -1
n -1
SchlüsseltextSchlüsseltextblock
n block n
Schlüssel
Schlüssel
x x x . . . x 0
1 2 3 b-1
Expansion
sicher
Letzter Block
Verschlüsselung
Verschlüsselung
S S S . . . S 1
1 2 3 b-1
Vergleich
ok?
Letzter
Block
Klartextblock
n
Schlüsseltextblock (Länge b)
Klartext
Bild 3-45: Um ein Bit expandierende Blockchiffre
Bild 3-43: Blockchiffre mit Blockverkettung zur Authentikation: Konstruktion aus einer deterministischen
Blockchiffre
84
Dadurch wird die Verschlüsselung indeterministisch. So etwas hatten wir bei asymmetrischen Konzelationssystemen
schon in §3.1.1.1 Anmerkung 2 und in §3.4.4.
Wie bisher beschrieben kann ein Angreifer bei der Konzelation noch erkennen, wenn zwei Klartexte
mit den gleichen Blöcken anfangen: Auch die Schlüsseltexte fangen dann gleich an.