Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

114
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
113
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
+ Die Länge der ver- und entschlüsselbaren Einheiten ist nicht durch die Blocklänge der verwendeten
Blockchiffre bestimmt und kann deshalb einfach auf die Einheiten des Übertragungsoder
Speichersystems abgestimmt werden.
– Die verwendete Blockchiffre muß deterministisch sein.
– Unabhängig davon, ob eine symmetrische oder asymmetrische Blockchiffre verwendet wird,
entsteht eine symmetrische Stromchiffre, da die bei einer asymmetrischen Blockchiffre von der
Verschlüsselungsfunktion verschiedene Entschlüsselungsfunktion bei der Konstruktion
überhaupt nicht verwendet wird.
* Bei Verfälschung von Zeichen des Schlüsseltextstromes ist immer nur das entsprechende
Zeichen des Klartextes gestört, es findet also keine Fehlererweiterung (error extension
[DaPr_89]) statt. Je nach Anwendung kann dies günstig, z.B. bezüglich Konzelation, oder
ungünstig, z.B. bezüglich Integrität, sein. Um einem falschen Eindruck vorzubeugen, sei an
dieser Stelle noch an eine generelle Eigenschaft von synchronen Stromchiffren (und damit
auch von Ergebnisrückführung) erinnert: Nur bei Verfälschung von Zeichen des Schlüsseltextstromes
findet keine Fehlererweiterung statt. Bei verlorenen oder hinzugefügten Schlüsseltextstromzeichen
(oder auch nur einem transienten Fehler in der Rückkopplungsschleife des
Ver- oder Entschlüsselers) sind bis zur Wiederherstellung der Synchronisation alle folgenden
Klartextzeichen jeweils mit der Wahrscheinlichkeit
Alphabetgröße - 1
Alphabetgröße
gestört.
CFB zur Authentikation
a Länge der Ausgabeeinheit, a ≤ b
b Blocklänge
Addition bezüglich passend gewähltem Modulus
Schieberegister
Schieberegister
1 b
1 b
b
b
Schlüssel
Verschlüsselung
Letzter
Schieberegisterinhalt
verschlüsselt
Verschlüsselung
Schlüssel
Vergleich
ok?
Letzter
Schiebe-
b
b
registerinhalt
verschlüsselt
Wähle aus
Wähle aus
a
a a
a
a
a
Klartextstrom
Klartextstrom
Bild 3-47: Schlüsseltextrückführung zur Authentikation: Konstruktion aus einer deterministischen
Blockchiffre
3.8.2.4 Ergebnisrückführung (OFB)
Ergebnisrückführung ist in Bild 3-48 gezeigt: Im Gegensatz zur Schlüsseltextrückführung wird nicht
der Schlüsseltext, sondern das Ergebnis (output) der Blockverschlüsselung in das Schieberegister
rückgeführt. Entsprechend heißt diese Konstruktion Ergebnisrückführung (output feedback, abgekürzt
OFB). 87
Wie in Bild 3-46 ist auch in Bild 3-48 der allgemeine Fall gezeigt, daß das Ergebnis der Blockverschlüsselung
erst einer Auswahl unterworfen oder, kombiniert damit, um feste Werte ergänzt wird.
Letzteres ist zwar möglich, erscheint aber bezüglich der kryptographischen Sicherheit nicht sinnvoll,
da dadurch die Zahl möglicher Werte im Schieberegister und damit die Periode des Pseudozufallszahlengenerators
verkleinert wird. Ist die Funktion „Wähle aus oder ergänze“ wie in [DaPa_83] empfohlen
und in [DINISO8372_87] vorgesehen die Identität, so kann statt einem Schieberegister ein
normaler Speicher verwendet werden.
Diese Konstruktion hat folgende Vor- und Nachteile bzw. ambivalente Eigenschaften:
87 Eine andere Erklärung der Konstruktion OFB wäre: Im oberen Teil wird aus einer Blockchiffre ein Pseudozufallsgenerator
konstruiert, dessen Pseudozufallsfolge im unteren Teil zum Klartextstrom addiert bzw. vom Schlüsseltextstrom
subtrahiert wird. In §3.4.2 haben wir dies Pseudo-one-time-pad genannt.