Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

160
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
159
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
5.4.1.1 Verändernde Angriffe auf die Verteilung
Die Realisierung von Verteilung stellt keinerlei konzeptionelles Problem dar, solange nur
beobachtende Angriffe betrachtet werden. Ansonsten ist dies nicht der Fall:
1) Ein verändernder Angreifer kann die Diensterbringung verhindern.
Hiergegen helfen die üblichen Fehlertoleranztechniken, gegebenenfalls kombiniert mit einem
Wechsel der Betreiberschaft, falls „zufällig“ häufig alle redundanten Subsysteme ausfallen.
2) Ein verändernder Angreifer kann durch Störung der Konsistenz der Verteilung manche
Empfänger zumindest teilweise deanonymisieren.
Ist der verändernde Angreifer beispielsweise der Sender einer Nachricht N, auf die der Empfänger
antworten wird, und möchte er den Empfänger deanonymisieren, so kann er dies bei
unsicher implementierter Verteilung folgendermaßen tun: Er sendet N und verhindert die Verteilung
von N an alle anderen Teilnehmerstationen außer einer. Dann wartet er, bis der Empfänger
geantwortet haben müßte. Erhält der Angreifer keine Antwort, so wiederholt er seinen
Angriff, indem er eine andere Teilnehmerstation N empfangen läßt. Ist auf N nicht nur eine
Antwort zu erwarten, sondern ist dieser einfachstmögliche Dialog in einen längeren eingebettet,
so kann die Länge dieses Angriffs, bei dem durchschnittlich die Hälfte aller anderen
Teilnehmerstationen durchprobiert werden muß, auf den Logarithmus der Anzahl der anderen
Teilnehmerstationen „gedrückt“ werden: die Verteilung wird nur für die Hälfte der anderen
Teilnehmerstationen gestört. Erhält der Angreifer Antwort, halbiert er für den nächsten Schritt
die Gruppe, die die Nachricht erhielt, anderenfalls halbiert er deren Komplement zum vorherigen
Schritt [Waid_90, WaPf1_89].
Diese Angriffsart kann entweder durch analoge oder digitale Maßnahmen vereitelt werden.
Eine analoge Maßnahme könnte in der Verwendung eines Mediums bestehen, daß Konsistenz
der Verteilung garantiert – viele schreiben nichtzellularen Funk- und Satellitennetzen
diese Eigenschaft zu. Da solche Eigenschaften schwer nachgewiesen werden können (vgl. das
in §2 über unmanipulierbare Gehäuse Gesagte) und Funknetze anfällig für Angriffe auf die
Diensterbringung sowie in der verfügbaren Bandbreite beschränkt sind, da das elektromagnetische
Spektrum im wesentlichen nur einmal genutzt werden kann, ist es wichtig, digitale Maßnahmen
zur Verfügung zu haben. Digitale Maßnahmen können inkonsistente Verteilung
natürlich nur erkennen, aber nicht verhindern, denn ein physisch genügend verbreiteter
Angreifer kann die Signalausbreitung zu einzelnen Teilnehmerstationen immer mit Durchtrennen
von Leitungen, Errichtung Faradayscher Käfige oder – für den Angreifer meist einfacher –
Beschädigung der Funkantenne unterbinden. Die Erkennung inkonsistenter Verteilung kann
dabei entweder komplexitätstheoretisch realisiert werden, indem Nachrichten mit Sequenznummern,
Uhrzeit etc. versehen und von einer bezüglich eines Angriffes auf die Verteilung als
nichtkooperierend angenommenen Gruppe von Stationen digital signiert werden [PfPW1_89].
Sie kann sogar informationstheoretisch erreicht werden, indem das in §5.4.5 beschriebene
überlagernde Senden durch geeignetes Einbeziehen der verteilten Nachrichten in die dortige
Schlüsselgenerierung erweitert wird, vgl. §5.4.5.3 und [Waid_90, WaPf1_89].
Netzbetreiber, den Herstellern der verwendeten Soft- und Hardware, großen Organisationen und
Konzernen usw.) verborgen werden. Dadurch wird das Erfassen von Verkehrs- oder Interessensdaten
unmöglich.
Gestaltungsziele sind:
• Die Netzbenutzung soll sich für den Teilnehmer nicht ändern oder gar komplizierter
werden.
• Jeder Teilnehmer soll die Möglichkeit haben, die erhaltene Vertraulichkeit selbst zu
überprüfen.
Da Schutz vor einem allmächtigen Angreifer, der alle Leitungen, alle Vermittlungszentralen und alle
Teilnehmerstationen außer der eigenen kontrolliert, nicht möglich ist, sind alle folgenden Maßnahmen
nur Annäherungen an den perfekten Schutz der Teilnehmer vor jedem möglichen Angreifer. Die
Annäherung wird – wie schon in §5.1.2 erwähnt – im allgemeinen durch Angabe des unterstellten
Angreifermodelles (Was kann er maximal beobachten oder gar aktiv verändernd kontrollieren; mit
wieviel Rechenkapazität ist er ausgestattet?) beschrieben.
Verbirgt ein Kommunikationsnetz für alle Kommunikationsereignisse wer sendet oder empfängt oder
zumindest die Kommunikationsbeziehung vor dem unterstellten Angreifer, so wird es anonym
genannt. Es wird dann von anonymer Kommunikation gesprochen.
Die meisten der heute bekannten und in den folgenden Unterabschnitten beschriebenen Grundverfahren
innerhalb des Kommunikationsnetzes zum Schutz der Verkehrs- und Interessensdaten schützen
für alle realistischerweise in Betracht gezogenen Angreifer entweder
• die Kommunikationsbeziehung oder
• wer sendet oder
• wer empfängt.
Gegen wesentlich schwächere Angreifer bieten diese Grundverfahren vollständigen Schutz: Es
sind Sender und Empfänger und damit auch die Kommunikationsbeziehung geschützt. Gegen
wesentlich stärkere Angreifer bieten sie jedoch keinen Schutz. Wegen dieser kanonischen, d.h. von
den Details einer realistischen Angreiferdefinition unabhängigen Zuordnung der Grundverfahren zu
Schutzzielen sind die Unterabschnitte entsprechend diesen drei Möglichkeiten benannt.
5.4.1 Verteilung: Schutz des Empfängers
5.4.1.2 Implizite Adressierung
Will man Verteilung auch bei bisher vermittelten Diensten einsetzen, so muß jede Teilnehmerstation
anhand eines implizite Adresse genannten Merkmals entscheiden können, welche Nachrichten
wirklich für sie bestimmt sind. Im Gegensatz zu einer expliziten Adresse enthält eine implizite keinerlei
Information, wo sich der Empfänger befindet und ggf. auf welchem Weg er zu erreichen ist.
Indem das Kommunikationsnetz alle Informationen an alle Teilnehmer sendet (Verteilung, broadcast),
kann man den Empfänger der Information vor dem Kommunikationsnetz und dem Kommunikationspartner
schützen [FaLa_75].
Verteilung ermöglicht das Analogon zu perfekter informationstheoretischer Konzelation (vgl. §3):
perfekte informationstheoretische Anonymität des Empfängers. Dies bedeutet nach der Definition von
perfekter Anonymität in §5.1.2 und dem in §3 über die informationstheoretische Modellwelt
Gesagtem, daß für einen alle Leitungen und ggf. einige Stationen kontrollierenden Angreifer für alle
Nachrichten die Wahrscheinlichkeit, daß eine Station die Nachricht empfangen hat, für alle von ihm
nicht kontrollierten Stationen vor und nach seiner Beobachtung gleich ist. Der Angreifer gewinnt
durch seine Beobachtung also keine Information darüber, welche von ihm nicht kontrollierte Station
welche Nachricht empfängt. Es ist für den Angreifer sogar nicht einmal beobachtbar, ob die Nachricht
überhaupt empfangen wird. Verteilung garantiert also auch perfekte informationstheoretische
Unbeobachtbarkeit des Empfangens. Ebenso verkettet Verteilung keine Verkehrsereignisse, so daß
auch perfekte informationstheoretische Unverkettbarkeit gegeben ist.
Kann eine Adresse nur vom Empfänger ausgewertet werden, so spricht man von verdeckter
Adressierung. Kann eine Adresse von jedem ausgewertet, d.h. auf Gleichheit mit anderen Adres-