Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

158
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
157
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
Natürlich greift diese Maßnahme nicht bei Kommunikationsformen mit Realzeitanforderungen,
z.B. Telefon. Bei allen anderen erschwert sie aber die Verkettung vom zeitlich entkoppelten Verkehrsereignis
mit vom Teilnehmer später veranlaßten Folge-Verkehrsereignissen (vgl. §5.1.2).
5.3.1 Öffentliche Anschlüsse
5.3.3 Lokale Auswahl
Um Interessensdaten zu schützen, kann man Information in großen Einheiten anfordern und
lokal auswählen (lassen), was einen wirklich interessiert:
Gibt es für das Kommunikationsnetz öffentliche Anschlüsse, z.B. Telefonzellen für das Fernsprechnetz,
oder ist das Kommunikationsnetz zumindest von einem anderen erreichbar, für das es öffentliche
Anschlüsse gibt, so ist die folgende Schutzmaßnahme praktizierbar:
Die Herkunftsadresse und Zieladresse einer Nachricht werden weitgehend bedeutungslos, wenn
man verschiedene öffentliche Anschlüsse benutzt. Dies gilt natürlich nur, wenn man sich
nicht zu Zwecken der Zugangskontrolle oder der Zahlung von Entgelten identifizieren muß, d.h. anonym
bleibt [Pfit_85].
Bestellt man sich statt eines bestimmten Zeitungsartikels mehrere Zeitungen verschiedener
politischer Richtungen, so können aus der Bestellung keinerlei Rückschlüsse auf die politischen
Interessen und Meinungen des Bestellers gezogen werden.
Zusätzlich ließe sich durch „intelligente“ Teilnehmerstationen die Dienstleistung sogenannter
Ausschnittsbüros, die einem Kunden auf Wunsch zu einem bestimmten Thema Artikel aus mehreren
Zeitungen zusammenstellen, jedem Teilnehmer bieten.
Durch die lokale Auswahl verschleiert man selbst gegenüber dem Kommunikationspartner, was einen
wirklich interessiert, wie man (unter anderem die genaue Bedienung der Teilnehmerstation) lernt und
reagiert, sowie vieles mehr.
Das Anfordern von großen Informationseinheiten vom Kommunikationspartner ist folglich als
Schutz bei solchen Informationsarten sinnvoll, die unverschlüsselt übertragen werden oder bei denen
Netzbetreiber und Kommunikationspartner identisch sind oder als zusammenarbeitend angenommen
werden können.
Die Anwendung und Wirkung der Schutzmaßnahme „Benutzung verschiedener öffentlicher
Anschlüsse“ ist stark eingeschränkt:
Wer etwa will für jedes einzelne Telefonat die Wohnung oder das Büro verlassen bzw., um auch
eine zeitliche Verkettung zu erschweren (vgl. §5.3.2), den öffentlichen Anschluß wechseln? Wer will
sich gar zu vorher vereinbarten Zeitpunkten in eine Telefonzelle begeben, um einen Rückruf unter nur
erhoffter (denn es ist ja vorher klar, wo er sich physisch befinden wird: konventionelle Observierung!)
Wahrung seiner Anonymität entgegennehmen zu können? Wer will in (Bild-)Telefonzellen
noch so hochauflösendes Fernsehen genießen?
Selbst wenn alle diese Fragen positiv zu beantworten wären, bliebe die Wirkung dieser Maßnahme
eingeschränkt: Selbst wenn jeder zwischen verschiedenen Telefonaten die Telefonzelle wechselt,
bleibt (aus Gründen des Energie- und Zeitaufwandes) eine starke Lokalität erhalten. Selbst wenn
der einzelne so unter einigen tausend Leuten anonym wäre, gäben seine Kommunikationsbeziehungen
doch eine Möglichkeit, seine Sende- oder Empfangsereignisse zu verketten und ihn somit im Laufe
der Zeit doch nach und nach zu identifizieren – und sei es nur mit Hilfe der Hypothese, daß sein
Wohn- bzw. Arbeitsort ganz in der Nähe des Schwerpunktes des durch die von ihm benutzten Telefonzellen
gebildeten, mit der Häufigkeit ihrer Benutzung in den entsprechenden Zeiträumen gewichteten
Telefonzellenpolygons liegt.
In zukünftigen Kommunikationsnetzen, in denen (zumindest für schmalbandiges Senden) reichlich
Bandbreite zur Verfügung steht, verursacht diese Maßnahme bei Diensten, bei denen der Benutzer nur
bereits bereitgestellte Information abruft, real beinahe keine Kosten. Es ist jedoch eine Frage des
Abrechnungsmodus, ob dies auch dem Anwender dieser Maßnahme zugutekommt (vgl. §5.6.2).
Selbst wenn kein akzeptabler Abrechnungsmodus gefunden werden kann, der es erlaubt, z.B.
mehrere Zeitungen verschiedener politischer Richtungen und damit vermutlich auch aus verschiedenen
Verlagen zum Preise einer zu beziehen, so sollten doch zumindest wie heutzutage z.B. ganze
Zeitungen verkauft und übertragen werden. Eine auf kleine Bildschirmseiten orientierte Struktur wie
die des Bildschirmtext-Systems, die damit begründet wurde, die übliche Teilnehmerstation müsse
billig und deshalb zwangsweise ohne lokale Verarbeitungs- und Speicherfähigkeit realisiert werden,
ist zumindest für die Zukunft technisch obsolet und könnte nur damit gerechtfertigt werden, weiterhin
das zur Teilnehmerbeobachtung technisch optimal geeignete System behalten zu wollen.
5.3.2 Zeitlich entkoppelte Verarbeitung
Die Zeit, zu der sich eine Nachricht im Kommunikationsnetz befindet, wird weitgehend bedeutungslos,
wenn man Teilnehmerstationen (z.B. Personal Computer) Informationen nicht erst dann anfordern
läßt, wenn der Teilnehmer sie benötigt, sondern zu einem beliebigen Zeitpunkt vorher
[Pfi1_83 Seite 67, 68, Pfit_84]:
Lokale Auswahl wurde (mindestens) dreimal unabhängig voneinander erfunden: zuerst wird sie
bezüglich eines Informationsanbieters und ohne generelle Einordnung lediglich im Kontext des
Bildschirmtext-Systems in [BGJK_81 Seite 153, 159] vorgeschlagen, danach in [Pfit_83] und
schließlich zusammen mit zeitlich entkoppelter Verarbeitung in [GiLB_85].
Will man eine Zeitung lesen, so kann die Teilnehmerstation sie bereits zum Erscheinungszeitpunkt
oder einem Zeitpunkt mit besonders geringen Übertragungskosten (z.B. Nachttarif) anfordern und
zum späteren Lesen abspeichern.
Diese Schutzmaßnahme verhindert, daß der Netzbetreiber allein aus dem Vermittlungsdatum „Zeit“
und Kontextwissen schließen kann, wer mit wem kommuniziert:
5.4 Grundverfahren innerhalb des Kommunikationsnetzes
zum Schutz der Verkehrs- und Interessensdaten
Wenn tagsüber eine Zeitung angefordert wird und 10 Leute als Anforderer in Frage kommen, von
denen bekanntlich 9 in Tag- und einer in Nachtschicht arbeiten, wäre ohne zeitliche Entkopplung
sehr wahrscheinlich, daß sie der Nachtarbeiter liest.
Im Gegensatz zu den in §5.3 genannten Schutzmaßnahmen sollen in diesem Abschnitt Maßnahmen
vorgestellt werden, die die im Kommunikationsnetz anfallenden Vermittlungsdaten (vgl. §5.1.1)
selbst verringern.
Dadurch soll im Interesse jedes Teilnehmers Senden und Empfangen, zumindest aber die Kommunikationsbeziehungen
zwischen Teilnehmern vor möglichen Angreifern (bösen Nachbarn, dem
Entsprechend kann die Teilnehmerstation Information zu einem beliebigen Zeitpunkt nach
ihrer Entstehung senden.
Kann der Netzbetreiber auf andere Art erkennen, wer mit wem kommuniziert, so erschwert diese
Maßnahme doch zumindest das Erstellen von Persönlichkeitsbildern über den Tagesablauf.