Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

140
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
139
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Danach kann dann der geheime Diffie-Hellman Sitzungsschlüssel auch vom Empfänger berechnet und
als steganograhischer Schlüssel benutzt werden.
Einbettung soll nicht stören, d.h. Veränderungen
der Hülle (dies ist das zu schützende Werk)
sollen sinnlich nicht wahrnehmbar sein
Die Hülle (engl.: cover) darf drastisch geändert,
im Extremfall synthetisch erzeugt werden
4.1.3 Grundsätzliches über Sicherheit
ZFPW_97
möglichst viel einbetten gegebene Menge (100 bis 1000 Bit) möglichst
robust einbetten
4.1.3.1 Angriffsziele und -Erfolge
Ziel Angreifer:
erkennen, ob eingebettet wurde watermark bzw. fingerprint gezielt ändern,
z.B. austauschen, zerstören, generieren
4.1.3.2 Angriffstypen
4.1.3.3 Stegoanalyse führt zu verbesserter Steganographie
Wissenschaftlich interessant (und für die Regulierbarkeit von Steganographie bedeutsam, vgl. §9) ist,
daß jedes Verfahren zur Entdeckung von Steganographie unmittelbar zur Verbesserung des Stegosystems
verwendet werden kann. Dieser bereits in [MöPS_94 Kap. 4.3.2] angedeutete Sachverhalt
wird nun genauer dargestellt und untersucht. Hierbei werden hauptsächlich steganographische
Konzelationssysteme betrachtet.
Zuerst wird eine Konstruktion für das Verbergensmodell, d.h. für S und S-1 angeben. Dabei wird
die Umkehroperation nicht geändert – denn sie hat schon beim nicht verbesserten Stegosystem die
Aufgabe, nur dann ein emb nach außen zu geben, wenn tatsächlich eins eingebettet wurde. Um dies
mit genügend großer Wahrscheinlichkeit richtig zu entscheiden, benötigt die Umkehroperation
genügend Redundanz.
Danach werden Konstruktionen für das Einbettungsmodell, d.h. für E und E-1 entwickelt. Hier
muß jeweils auch die Umkehroperation geändert werden.
Parameter:
stego unverändert stego kann vom Angeifer deutlich, allerdings
nicht zu deutlich (sonst Verlust des Werkes) verändert
werden
das watermark bzw. der fingerprint kann bei
beiden Parteien Eingabeparameter sein
ebenso kann das unveränderte Werk (dies
kann sowohl das Werk ohne wie auch mit eingebetteter
Urheberinformation oder auch beides
sein) bei beiden Parteien Eingabeparameter sein
Überdeckung der Funktionalität des kryptographischen Systems:
ja, da mit der Vertraulichkeit der Existenz der nein, da zwar Urheberschaft erkennbar, nicht
Nachricht immer auch die Vertraulichkeit aber kleine Veränderungen
ihres Inhalts gegeben ist
98
4.1.3.3.1 Konstruktion für S und S -1
4.1.2 Eine Anmerkung zum Schlüsselaustausch: Steganographie mit
öffentlichen Schlüsseln
Seien S der Algorithmus „Verbergen“ und S-1 die Umkehroperation zu S, d.h. ein Algorithmus, der
die eingebetteten Daten emb extrahiert. Sofern nichts eingebettet wurde, liefert S-1 das Ergebnis leer.
Sei R ein Ratealgorithmus, der bei Eingabe von stego mit überwältigender Wahrscheinlichkeit semirichtig
rät, ob in stego etwas verborgen ist oder nicht. Hierbei heiße semi-richtig: Wenn R
„etwas_verborgen“ rät, stimmt dies. Aber „nichts_verborgen“ kann auch bedeuten, daß etwas
verborgen ist, aber R dies nicht erkennt. 99
symmetrische Steganographie + Diffie-Hellman Schlüsselaustausch, vgl. §3.9.1
Bei Verwendung von PGP ab Version 5 sollten Diffie-Hellman Schlüssel mit der Einstellung
„Faster key generation“ erzeugt werden. Dann wird für alle Teilnehmer ein gemeinsames p und g
verwendet.
Dann kann hieraus ein verbesserter Algorithmus „Verbergen“ S' und seine Umkehroperation S'-1 folgendermaßen gewonnen werden:
function S'(in: Source, emb; out: stego);
stego := S(Source, emb);
if R(stego) = etwas_verborgen then stego := S(Source, leer);
Die Umkehroperation S' -1 sei exakt S -1 .
In der Notation wurde der Stegoschlüssel weggelassen, da es für die Konstruktion auf ihn nicht
ankommt, ja nicht einmal darauf, ob symmetrische oder – falls es sie denn geben sollte – asymmetrische
Steganographie verwendet wird. Ebenso ändert sich nichts, wenn dem Ratealgorithmus R
Sollten die Teilnehmer kein gemeinsames p und g verwenden, so ist Diffie-Hellman Schlüsselaustausch
für Steganographie nicht brauchbar, während er für Kryptographie durchaus auch so
brauchbar ist, vgl. Aufgabe 3-23 c).
Übrig bleibt für Steganographie dann nur das, was in [Ande4_96, AnPe_98 Seite 480] Steganographie
mit öffentlichen Schlüsseln genannt wird (vgl. Aufgabe 4-5): Zunächst wird ohne Verwendung
eines steganographischen Schlüssels der mit dem öffentlichen kryptographischen Konzelationsschlüssels
des Partner verschlüsselte steganographische Sitzungsschlüssel eingebettet und übermittelt.
Für diese Verschlüsselung eines steganographischen Sitzungsschlüssels kann dann auch der
Diffie-Hellman Schlüsselaustausch ohne gemeinsames p und g (vgl. Aufgabe 3-23 c)) verwendet
werden: Der Sender generiert unter Verwendung von p und g des Empfängers für die Sitzung seinen
öffentlichen Parameter und bettet diesen ohne Verwendung eines steganographischen Schlüssels ein.
99 Solch ein semi-richtiger Ratealgorithmus ist genau das, was vor Gericht vorgelegt werden müßte, um die Verwendung
von verbotener Steganographie zu beweisen. Er muß Steganographie nicht unbedingt erkennen – wenn er aber
behauptet, Steganographie sei verwendet worden, dann muß diese Behauptung stimmen. Andernfalls wird kein
Richter diesem Algorithmus vertrauen.
98 Manche Autoren definieren sogenannte zerbrechliche Watermarks, d.h. Watermarks ohne Robustheit, zu genau dem
Zweck, Änderungen des Werkes zu erkennen. Da dieses Schutzziel aber auch ohne Änderung des Werkes durch
kryptographische Authentikationssysteme zu erreichen ist, halte ich zerbrechliche Watermarks für ziemlich
überflüssig.