Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

150
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
149
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Wegen ihrer großen Bedeutung für das Verständnis möchte ich die gerade nebenbei eingeführten
Begriffe etwas genauer erläutern. Die dabei verwendeten, hier teilweise noch undefinierten Sachverhalte
werden bei der Anwendung der Begriffe jeweils konkretisiert.
Unerwünschtes verhindern
Da Schutz vor einem allmächtigen Angreifer, der alle Leitungen, alle Vermittlungszentralen, alle Teilnehmerstationen
außer der des Angegriffenen und den Kommunikationspartner kontrolliert, durch
Maßnahmen innerhalb des Kommunikationsnetzes nicht möglich ist, sind alle folgenden Maßnahmen
nur Annäherungen an den perfekten Schutz der Teilnehmer vor jedem möglichen Angreifer. Die
Annäherung wird im allgemeinen durch Angabe der Stärke eines Angreifers in der Form eines
Angreifermodells bestimmt: wie weit verbreitet ist der Angreifer (wie viele und welche Leitungen
und/oder Stationen kann er maximal beobachten und/oder gar aktiv verändernd kontrollieren) und mit
wieviel Rechenkapazität ausgestattet ist er (vgl. §1.2.5 und §3)?
(Um Mißverständnissen bei den folgenden Diskussionen der Stärke von Schutzmaßnahmen vorzubeugen
sei hier ein für alle mal darauf hingewiesen, daß das In-Betracht-Ziehen einer Organisation
oder Personengruppe als Angreifer ausschließlich der technisch-naturwissenschaftlichen Klärung der
Stärke der Schutzmaßnahme dient und alle Organisationen lediglich als Rollenträger bezüglich des
Kommunikationsnetzes betrachtet werden. Es wird im folgenden also lediglich diskutiert, ob eine
Organisation oder Personengruppe mit Erfolg angreifen könnte, nicht ob sie dies tat, tut oder tun
wird!)
Schutzmechanismen für Vertraulichkeit
c1 Verwendung eines oder mehrerer Konzelationssysteme zwischen Sender und Kommunikationspartner:
Ende-zu-Ende-Verschlüsselung, vgl. §5.2.1.2.
c2 Verfahren innerhalb des Kommunikationsnetzes zum Schutz der Verkehrs- und Interessensdaten,
§5.3 bis §5.6.1.
c3 Verfahren innerhalb des Kommunikationsnetzes zum Schutz des Mobilitätsverhaltens von
Teilnehmer(statione)n, §5.7.
Erwünschtes leisten
Ein Ereignis E (z.B. Senden einer Nachricht, Abwickeln eines Geschäftes) heißt unbeobachtbar
bezüglich eines Angreifers A, wenn die Wahrscheinlichkeit des Auftretens von E nach jeder für A
möglichen Beobachtung B sowohl echt größer 0 als auch echt kleiner 1 ist. Dies kann natürlich nur
für an E unbeteiligte Angreifer der Fall sein und lautet in der üblichen wahrscheinlichkeitstheoretischen
Schreibweise: Für A gilt für alle B: 0 < W(E|B) < 1.
Das Ereignis E heißt perfekt unbeobachtbar bezüglich eines Angreifers A, wenn die Wahrscheinlichkeit
des Auftretens von E vor und nach jeder für A möglichen Beobachtung B gleich ist, d.h. für
A gilt für alle B: W(E) = W(E|B). Dies bedeutet nach [Sha1_49], daß die Beobachtung A keinerlei
zusätzliche Information über E liefern kann.
Eine Instanz (z.B. Person) heißt in einer Rolle R anonym bezüglich eines Ereignisses E (z.B. als
Sender einer Nachricht, Käufer in einem Geschäft) und eines Angreifers A, wenn für jede mit A nicht
kooperierende Instanz die Wahrscheinlichkeit, daß sie bei E die Rolle R wahrnimmt, nach jeder für A
möglichen Beobachtung sowohl echt größer 0 als auch echt kleiner 1 ist. Dies kann auch für an E
beteiligte Angreifer (z.B. den Empfänger der Nachricht bzw. den Verkäufer) der Fall sein.
Eine Instanz heißt in einer Rolle R bezüglich eines Ereignisses E und eines Angreifers A perfekt
anonym, wenn für jede mit A nicht kooperierende Instanz die Wahrscheinlichkeit, daß sie bei E die
Rolle R wahrnimmt, vor und nach jeder für A möglichen Beobachtung gleich ist. Letzteres bedeutet
nach [Sha1_49], daß die Beobachtung dem Angreifer keinerlei zusätzliche Information darüber liefert,
wer bei E die Rolle R wahrnimmt.
Schutzmechanismen für Integrität
i1 Verwendung eines oder mehrerer Authentikationssysteme.
i2 Nachrichten werden vom Urheber digital signiert. Testschlüssel sind öffentlich bekannt.
Empfänger prüft Signaturen, bevor er Nachrichten akzeptiert.
Soll sichergestellt werden, daß Signaturen auch dann gültig bleiben, wenn der geheime
Signierschlüssel des Teilnehmers bekannt wird (was dieser, um der Verbindlichkeit seiner
Signaturen zu entgehen, ggf. auch selbst herbeiführen könnte), sollten Signaturen von einer
oder mehreren zusätzlichen Instanzen (elektronische Notare) mit einem Zeitstempel
versehen und mit deren Signierschlüssel nochmals signiert, d.h. notariell beurkundet, werden.
Dann kann man festlegen, daß durch das Bekanntwerden des geheimen Signierschlüssels
eines Teilnehmers die Gültigkeit seiner alten Signaturen unberührt bleibt und die
elektronischen Notare lediglich zukünftig keine mit diesem Signierschlüssel geleisteten
Signaturen mehr beurkunden.
Was zu tun ist, wenn das zukünftige Brechen des bisher verwendeten Signatursystems
absehbar wird, wird in Aufgabe 3-11 b) diskutiert.
Unabhängig vom Schutz der Gültigkeit digitaler Signaturen sind Zeitstempel natürlich auch
geeignet nachzuweisen, daß eine Nachricht spätestens zum Zeitpunkt des Zeitstempels
gesendet wurde.
i3 Das Kommunikationsnetz (und bei Kooperation auch der Kommunikationspartner) erteilt
digital signierte Empfangsquittungen für zum Transport übergebene (erhaltene) Nachrichten.
Ggf. müssen die signierten Empfangsquittungen Zeitstempel enthalten, damit Zeitpunkte
nachgewiesen werden können.
i4 Mittels eines digitalen Zahlungssystems (§6) werden Entgelte während der Diensterbringung
bezahlt.
Schutzmechanismen für Verfügbarkeit
a1 Diversitäre Netze, d.h. unterschiedliche Übertragungs- und Vermittlungssysteme; faire
Aufteilung von Betriebsmitteln.
Zwei Ereignisse E und F heißen bezüglich eines Merkmals M (z.B. zwei Nachrichten bezüglich
ihres Senders oder bezüglich der Transaktion, zu der sie gehören) und bezüglich eines Angreifers A
unverkettbar, wenn die Wahrscheinlichkeit, daß sie in M übereinstimmen, nach jeder für A
möglichen Beobachtung sowohl echt größer 0 als auch echt kleiner 1 ist. Dies kann auch für an E
beteiligte Angreifer der Fall sein.
Zwei Ereignisse E und F heißen bezüglich eines Merkmals M und bezüglich eines Angreifers A
perfekt unverkettbar, wenn die Wahrscheinlichkeit, daß sie in M übereinstimmen, vor und nach jeder
für A möglichen Beobachtung gleich ist. Letzteres bedeutet nach [Sha1_49], daß die Beobachtung
dem Angreifer keinerlei zusätzliche Information darüber liefert, ob diese Ereignisse in M übereinstimmen.
Das Ziel der zur Verhinderung von Unerwünschtem zu entwickelnden Verfahren ist es, einem
Angreifer das Erfassen sensitiver Daten unmöglich zu machen: Die Kommunikation sollte gegenüber
Unbeteiligten weitgehend unbeobachtbar und gegenüber Beteiligten (z.B. Kommunikationspartnern)
üblicherweise anonym erfolgen. Damit sich nicht doch nach und nach unspezifiziertes Wissen über
Personen ansammeln kann, sollten einzelne Verkehrsereignisse auch durch Beteiligte üblicherweise
unverkettbar sein.
Sofern durch die Verfahren zur Verhinderung von Unerwünschtem das Leisten des Erwünschten
(vgl. §5.1.1) erschwert wird, ist zu zeigen, wie auch dies weiterhin gewährleistet werden kann.