Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

152
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
151
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Wird ein gleichmäßiger, mit einer sicheren Stromchiffre verschlüsselter Zeichenstrom übertragen,
erhält ein Angreifer durch Abhören der Übertragungsstrecken, d.h. von Leitungen (Glasfasern, Koaxialkabel,
Kupferdoppeladern), Richtfunk- oder Satellitenstrecken keine Information mehr. Ob und
ggf. welche Nachrichten übertragen werden, ist für ihn perfekt unbeobachtbar (vgl. §5.1.2).
Von den drei Definitionen der Unbeobachtbarkeit, Anonymität und Unverkettbarkeit ist die
Unverkettbarkeit die allgemeinste (und damit tiefliegendste):
Unbeobachtbarkeit von Ereignissen kann als Unverkettbarkeit von Beobachtungen und sich
dahinter verbergenden Ereignissen aufgefaßt werden.
Anonymität kann als Unverkettbarkeit zwischen Instanzen und Ereignissen aufgefaßt werden.
Die Nachteile von Verbindungs-Verschlüsselung sind:
– In den Vermittlungszentralen liegen alle Daten unverschlüsselt vor. Von den möglichen
Angreifern werden also nur diejenigen abgewehrt, die Übertragungsstrecken abhören.
– In der in Bild 5-2 gezeigten Endsituation der geplanten Entwicklung der Kommunikationsnetze
werden auf der den Netzabschluß des Teilnehmers mit der Vermittlungszentrale verbindenden
Leitung, einer Glasfaser, mindestens 560 Mbit/s übertragen. Dies ist eher oberhalb dessen,
was heute mit Kryptogeräten, die auf einem für halbwegs sicher gehaltenen kryptographischen
System beruhen und halbwegs preiswert sind, verschlüsselt werden kann, vgl. §3. Es wäre
zumindest von Vorteil, wenn man Fernsehen, insbesondere hochauflösendes Fernsehen (High
Definition TV, HDTV), als breitbandigen Dienst, bei dem es nicht um den Schutz von Inhalts-,
sondern von Interessensdaten geht, nicht verschlüsseln müßte. Wieviel hierdurch
eingespart werden kann, verdeutlichen die folgenden Zahlen: für Fernsehen heutiger Qualität
(PAL) werden ohne bzw. mit Redundanzreduktion etwa 140 Mbit/s bzw. 34 Mbit/s benötigt,
für hochauflösendes Fernsehen etwa viermal soviel.
Die Vertrauenswürdigkeit der Unverkettbarkeit, Unbeobachtbarkeit bzw. Anonymität
wird dadurch bestimmt, ein wie starker Angreifer den vorherigen Definitionen unterlegt wird.
Unbeobachtbarkeit und Anonymität kann man zusätzlich noch dadurch parametrisieren, daß man
sie nur innerhalb gewisser Klassen von Ereignissen (z.B. Nachrichtentypen) bzw. Instanzen (z.B.
denen eines bestimmten Teilnetzes eines größeren Kommunikationsnetzes, vgl. §5.5) verlangt. In den
obigen Definitionen wurden keinerlei Klassen definiert, sie definieren daher den maximal erreichbaren
Grad an Unbeobachtbarkeit bzw. Anonymität. Mit einer Klasseneinteilung parametrisierte
Definitionen ergeben sich kanonischerweise. Als Beispiel wird die für unbeobachtbar angegeben:
Ein Ereignis E heißt unbeobachtbar (bzw. perfekt unbeobachtbar) bezüglich eines Angreifers
A und einer gegebenen Klasseneinteilung von Ereignissen, wenn die bedingte Wahrscheinlichkeit des
Auftretens von E, gegeben daß ein Ereignis seiner Klasse auftritt, nach jeder für A möglichen
Beobachtung B sowohl echt größer 0 als auch echt kleiner 1 (bzw. vor und nach den Beobachtungen
gleich) ist.
Beides kann natürlich nur für an E unbeteiligte Angreifer der Fall sein. Es ist sowohl im Falle der
Unbeobachtbarkeit als auch im Falle der perfekten Unbeobachtbarkeit möglich, daß sich für den Angreifer
durch die Beobachtung die Wahrscheinlichkeiten des Auftretens von Ereignissen aus bestimmten
Klassen ändern. Der Angreifer gewinnt also möglicherweise Information über diese Klassen, im
zweiten Fall aber nicht über einzelne Ereignisse innerhalb einzelner Klassen.
Verbindungs-Verschlüsselung
Radio
Fernseher
Glasfaser
Netzabschluß
5.2 Einsatz und Grenzen von Verschlüsselung in
Kommunikationsnetzen
Bildtelefon
5.2.1 Einsatz von Verschlüsselung in Kommunikationsnetzen
Vermittlungszentrale
• Post, Geheimdienste
• Hersteller
(Trojanisches Pferd)
• Beschäftigte
Abhörer
Telefon
Bildschirmtext
Für den Einsatz eines kryptographischen Systems zum Schutz der Kommunikation (vor allem zum
Zweck der Konzelation, aber auch zum Zweck der Integrität oder Authentifikation) hat man zwei
Strategien zur Auswahl, die leider beide Nachteile haben: Verbindungs-Verschlüsselung und Endezu-Ende-Verschlüsselung.
mögliche
„Große Brüder“
5.2.1.1 Verbindungs-Verschlüsselung
Bild 5-2: Verbindungs-Verschlüsselung zwischen Netzabschluß und Vermittlungszentrale
In jedem Fall benötigen benachbarte Netzknoten jeweils zueinander passende und leistungsfähige,
also direkt in Hardware implementierte kryptographische Systeme, zweckmäßigerweise jeweils
selbstsynchronisierende Stromchiffren. Da die Nachbarschaft von Netzknoten vergleichsweise
statisch ist, können Schlüssel einer Verbindung zugeordnet werden, so daß ein symmetrisches
kryptographisches System den Anforderungen vollauf genügt.
5.2.1.2 Ende-zu-Ende-Verschlüsselung
Die zweite Strategie ist, die Daten zwischen Teilnehmerstationen verschlüsselt zu übertragen (Endezu-Ende-Verschlüsselung,
end-to-end encryption) [Bara_64, Denn_82, VoKe_83, DaPr_89],
Die erste Strategie besteht darin, alle Daten jeweils zwischen benachbarten Netzknoten, d.h. Teilnehmerstationen
und Vermittlungszentralen, zu verschlüsseln (Verbindungs-Verschlüsselung, linkby-link
encryption) [Bara_64, Denn_82, VoKe_83, DaPr_89].
Es sollte ein gleichmäßiger Zeichenstrom übertragen werden, damit ein Abhörer nicht beobachten
kann, wann keine Nachrichten übertragen werden. Ein gleichmäßiger Zeichenstrom ist bei allen
Übertragungsstrecken, die den verbundenen Netzknoten statisch zugeordnet sind, z.B. Punkt-zu-
Punkt-Leitungen und Richtfunkstrecken, ohne Mehraufwand möglich.
Aus den in §3 dargelegten Gründen, sollte und kann eine sichere Stromchiffre verwendet werden:
Würde eine Blockchiffre verwendet, so könnte, solange der Schlüssel nicht gewechselt würde, der
Abhörer zumindest manchmal beobachten, daß sich gewisse Nachrichten(fragmente) wiederholen.
Der Abhörer könnte also manche Nachrichten verketten (vgl. §5.1.2).