Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

168
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
167
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
hierbei ihr Aufwand genauso groß wie der anderer Formen der Individualüberwachung, so ist dem in
einer Demokratie nötigen Datenschutz Genüge getan.
Die beiden Verfahrensklassen können sinnvoll kombiniert werden.
adressierten, und ersteres Empfängeranonymität106 auch vor dem Sender der Nachricht und
erhebliche Aufwandsersparnis in geeignet entworfenen Kommunikationsnetzen ermöglicht, wurde
das Verfahren der bedeutungslosen Nachrichten in §5.4.1 nicht erwähnt. Mag oder kann man sich
vollständige Verteilung (broadcast) nicht leisten, wird man aus der Sicht des Empfängers statt
bedeutungsloser Nachrichten immer partielle Verteilung (multicast) vorziehen.)
5.4.4 Unbeobachtbarkeit angrenzender Leitungen und Stationen sowie
digitale Signalregenerierung: Schutz des Senders
Das aufwendige Generieren, ggf. Verteilen und Überlagern von Schlüsseln und Nutzdaten im
folgenden §5.4.5 ist nötig, da davon ausgegangen wird, daß ein Angreifer die Ein- und Ausgänge
aller Teilnehmerstationen abhört bzw. die jeweils angrenzenden Stationen kontrolliert, so daß
Verbindungs-Verschlüsselung gegen ihn nicht hilft.
Die Idee für weit weniger aufwendige Verfahren besteht darin, das Kommunikationsnetz bereits
physisch (bzw. – wesentlich aufwendiger – mittels Verbindungs-Verschlüsselung) so zu gestalten,
daß es für einen Angreifer nicht einfacher ist, alle Ein- und Ausgänge einer Teilnehmerstation abzuhören
bzw. die jeweils angrenzenden Stationen zu kontrollieren, als den Teilnehmer bzw. die Teilnehmerstation
direkt zu beobachten. Wo immer der Angreifer mittels Abhören von Leitungen oder
Kontrolle von Stationen Nachrichten beobachten kann, sollten diese von vielen (am besten von allen
von ihm nicht kontrollierten Teilnehmerstationen) stammen und für viele (am besten für alle von ihm
nicht kontrollierten Teilnehmerstationen) bestimmt sein können – beides geht natürlich nur, wenn der
Angreifer nicht der Sender oder Empfänger der Nachrichten ist.
Eine wesentliche Voraussetzung hierzu ist digitale Signalregenerierung: Jede Station regeneriert
von ihr empfangene und weitergeleitete Signale (im Falle zweiwertiger Signale: Bits) so, daß sie
von entsprechenden (d.h. in der digitalen Welt gleichen) von ihr generierten Signalen (auch anhand
analoger Charakteristika) nicht unterschieden werden können. Dies impliziert, daß auch einander
entsprechende Signale, die eine Station von unterschiedlichen Stationen empfangen hat, nach ihrer
Regenerierung nicht unterschieden werden können.
Nicht gefordert wird hingegen, daß entsprechende Signale, die von verschiedenen Stationen gesendet
werden, nicht unterschieden werden können. Während letzteres wegen der analogen Charakteristika
des Senders und ihrer bei jedem Produktionsprozeß unvermeidbaren Streuung eine praktisch
und wegen der Änderung des Signals bei seiner Ausbreitung, z.B. breiten sich verschiedene
Frequenzkomponenten verschieden schnell aus (Dispersion), auch theoretisch nicht erfüllbare
Forderung wäre [Pfi1_83 Seite 17], ist das Geforderte vergleichsweise einfach zu realisieren.
Das Verfahren der bedeutungslosen Nachrichten verursacht stets einen sehr hohen Aufwand und
erfüllt zugleich nicht die Forderung nach Anonymität des Senders auch bei Angriffen, an denen sich
der Empfänger bedeutungsvoller Nachrichten beteiligt. In der Diktion von §5.1.2 wird durch dieses
Verfahren also lediglich das Senden (bzw. symmetrisch dazu: das Empfangen) bedeutungsvoller
Nachrichten für Unbeteiligte unbeobachtbar und unverkettbar. Anonymität des Senders vor Beteiligten
ist mit diesem Verfahren allein jedoch bezüglich realistischer Angreifermodelle nicht zu erreichen.
Trotz dieser offensichtlichen Schwächen des Verfahrens der bedeutungslosen Nachrichten ist es das
einzige zum Schutz der Verkehrs- und Interessensdaten, das auch in der neueren, nicht von David
Chaum oder Mitgliedern unserer Forschungsgruppe geschriebenen, weit verbreiteten und zitierten
Literatur zum Thema „Datenschutz und Sicherheit in Kommunikationsnetzen“, insbesondere auch im
Entwurf einer Ergänzung des ISO Modells für „Offene Kommunikation“ in bezug auf Datenschutz
und Sicherheit steht, vgl. [VoKe_83 Seite 157f, VoKe_85 Seite 18, ISO7498-2_87 Seite 17, 24-29,
31-33, 36, 39f, 53, 56, 60f, Rul1_87, AbJe_87 Seite 28, Folt_87 Seite 45] (natürlich gibt es auch
neuere weit verbreitete Literatur, die überhaupt keine Lösungsmöglichkeit nennt, vgl. [Brau_87]).
Kennen diese weltberühmten Kapazitäten ihr eigenes Gebiet nicht – oder wollen oder dürfen sie es
nicht kennen, vgl. das Vorgehen von NSA und ZSI im Bereich Kryptographie?
Wird das Senden (und Empfangen) bedeutungsloser Nachrichten mit einem Verfahren zum Schutz
der Kommunikationsbeziehung geeignet kombiniert, so hält es auch Angriffen stand, an denen sich
der Netzbetreiber und der Empfänger bedeutungsvoller Nachrichten beteiligen. Soll durch die Kombination
der zwei Verfahren der Sender (oder Empfänger) geschützt werden, so muß er mit einer von
seinen Sende- und Empfangswünschen unabhängigen Rate Nachrichten senden und empfangen. Dies
bedeutet, daß die Bandbreite des Kommunikationsnetzes im wesentlichen statisch auf die Teilnehmer
aufgeteilt werden muß, was für viele Anwendungen ungeschickt ist. Außerdem kann auf diese Weise
höchstens komplexitätstheoretischer Schutz des Senders (und Empfängers) erreicht werden. Trotz
dieser Einschränkungen kann diese Kombination bei bestimmten äußeren Randbedingungen sinnvoll
sein, siehe §5.5.1.
In den folgenden zwei Unterabschnitten werden zwei Beispiele zu der eben geschilderten und
begründeten Idee behandelt.
Das RING-Netz ist das Paradebeispiel, da es bei bezüglich aller Verteilnetze (für Empfängeranonymität)
minimalem Aufwand die obige maximale Forderung bezüglich eines Angreifers, der eine
beliebige Station kontrolliert, erfüllt. Der Aufwand des RING-Netzes ist in dem Sinne minimal, daß
es aus Gründen der Empfängeranonymität nötig ist, daß jede Station jede Nachricht mindestens
einmal empfängt (diese untere Grenze wird mit den in §5.4.4.1.1 beschriebenen effizienten
anonymen Zugriffsverfahren erreicht) und daß es aus Gründen der Senderanonymität nötig ist, daß
jede Station mindestens mit der Summenrate aller eigentlichen Senderaten sendet (wobei bei Punktzu-Punkt-Duplex-Kanälen
beides ohne wesentliche Anonymitätseinbuße halbiert werden kann, wie
mit dem paarweisen überlagernden Empfangen auf dem DC-Netz gezeigt werden wird und mit einem
speziellen Verfahren zum Schalten von Punkt-zu-Punkt-Duplex-Kanälen auf dem RING-Netz in
[Pfit_89 §3.1.4] gezeigt ist). Auch diese untere Grenze wird durch die erwähnten effizienten
anonymen Zugriffsverfahren bis auf einen beliebig kleinen Verwaltungsaufwand (overhead) erreicht.
Zusätzlich ist günstig, daß es im lokalen Bereich viel Erfahrung mit seiner physischen Struktur gibt
Die in den beiden folgenden Abschnitten beschriebenen Verfahrensklassen zum Schutz des Senders
haben die gerade genannten Nachteile nicht. Sie sind in gewisser Weise effizient, indem sie eine
dynamische Aufteilung der Bandbreite erlauben sowie bedeutungslose Nachrichten und Umcodieren
vermeiden, und es ist in der informationstheoretischen Modellwelt bewiesen, daß der Sender selbst
bei Identität oder Zusammenarbeit von Empfänger und Netzbetreiber anonym ist.
Später wird mit dem überlagernden Senden ein sehr mächtiges, aber auch entsprechend aufwendiges
Verfahren zum Realisieren von Senderanonymität auf einem beliebigen Kommunikationsnetz
beschrieben.
Davor wird erklärt, wie ein Kommunikationsnetz insbesondere durch Wahl einer geeigneten
Leitungstopologie (Ring oder Baum) und digitale Signalregenerierung gleich so – und damit preiswerter
als durch „Aufsetzen“ eines zusätzlichen Verfahrens – realisiert werden kann, daß realistische
Angreifer nur unter hohem Aufwand das Senden von einzelnen Stationen beobachten können. Ist
106 Eigentlich müßte es Empfängerpseudonymität heißen, da der Sender ja mindestens ein Pseudonym des Empfängers
kennt. Da sich der Begriff Empfängeranonymität aber eingebürgert hat, verwende ich ihn.