Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

180
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
179
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
3. Damit man Freiheiten bei der Organisation der lokalen und insbesondere globalen Überlagerung
hat, sollte die Addition kommutativ sein.
Damit ein Schlüsselaustausch zwischen beliebigen Paaren von Teilnehmerstationen möglich
ist, muß die Addition kommutativ sein. Denn anderenfalls gäbe es eine durch die globale
Überlagerungsreihenfolge gegebene lineare Ordnung der von den Teilnehmerstationen gesendeten
Nutzzeichen und damit auch der Teilnehmerstationen. Da Schlüsselzeichen nicht mit
Nutzzeichen kommutierten, könnte jede Teilnehmerstation nur mit ein bzw. zwei bezüglich der
linearen Ordnung benachbarten Teilnehmerstationen Schlüssel austauschen.
Der Beweis ist also etwas allgemeiner als die Definition des verallgemeinerten überlagernden
Sendens – allerdings gibt es für diese größere Allgemeinheit keine Nutzanwendung. Denn der Hauptsatz
über endliche abelsche Gruppen (vgl. [Waer_67 Seite 9]) besagt, daß jede endliche abelsche
Gruppe als direktes Produkt zyklischer Gruppen geschrieben werden kann. Das direkte Produkt, d.h.
die komponentenweise Ausführung der Addition in der jeweiligen zyklischen Gruppe, entspricht aber
genau dem kollateralen, d.h. seriellen oder parallelen Betrieb mehrerer verallgemeinerter überlagernder
Sendeverfahren.
deten. Kollisionen sind ein übliches Problem bei Verteil-Kanälen mit Mehrfachzugriff, zu dessen
Lösung es eine große Zahl von Zugriffsverfahren gibt. Alle publizierten Zugriffsverfahren sind auf
(analoge) Übertragungs-Kollisionen, z.B. in Bussystemen (Bsp. Ethernet), Funk- und Satellitennetzen
ausgelegt, bei denen es kein wohldefiniertes „Kollisionsergebnis“ gibt. Die „Arbeitsbedingungen“
der Zugriffsverfahren sind beim überlagernden Senden in dieser Hinsicht also wesentlich besser
als bei üblichen Verteil-Kanälen. Allerdings darf man natürlich nur solche Zugriffsverfahren verwenden,
die die Anonymität des Senders und – wenn möglich – auch die Unverkettbarkeit von Sendeereignissen
erhalten. Daneben sollten sie bei zu erwartender Verkehrsverteilung den zur Verfügung stehenden
Kanal günstig nutzen. Beispiele anonymer und nichtverkettender Zugriffsverfahren sind das
einfache, aber nicht sehr effiziente Verfahren slotted ALOHA und eine für Kanäle mit großer Verzögerungszeit
entworfene, effiziente Reservierungstechnik [Tane_81 Seite 272, Cha3_85].
Vereinbart man, daß ein Teilnehmer einen Übertragungsrahmen, in dem er ohne Kollision gesendet
hat, weiterbenutzen darf und andere Teilnehmer in diesem Rahmen erst wieder senden dürfen,
wenn er einmal nicht benutzt wurde, so kann man durch die Verwendung mehrerer Übertragungsrahmen
(slots) sehr effizient Kanäle schalten [Höck_85, HöPf_85]. Natürlich ist alles, was über solch
einen Kanal gesendet wird, verkettbar – andererseits werden Kanäle typischerweise für solche Dienste
verwendet, in deren Natur dies liegt. Dies wird ausführlich in §5.4.9 diskutiert.
Beh. Überlagern bezüglich der konzeliert ausgetauschten Schlüssel zusammenhängende Teilnehmerstationen
jeweils ihre Nachrichten und die ihnen bekannten Schlüssel und geben nur das
Ergebnis aus, so erfährt ein alle Ergebnisse beobachtender Angreifer nur die Summe aller
gesendeten Nachrichten. Letzteres bedeutet, daß für den Angreifer für alle Zufallsvariablen Z
gilt: W(Z|alle Ergebnisse) = W(Z|Summe aller gesendeten Nachrichten).
5.4.5.2 Definition und Beweis der Senderanonymität
Anm. Je nach Vorwissen des Angreifers kennt er damit möglicherweise auch die die Summe bildenden
einzelnen Nachrichten sowie, sofern einzelne Nachrichten mit dem Vorwissen des Angreifers
Rückschlüsse auf ihren Sender zulassen, den Sender dieser Nachrichten. Der Angreifer
erhält aber durch Kenntnis aller Ergebnisse, d.h. der Ausgaben der einzelnen Teilnehmerstationen,
keine über die Kenntnis ihrer Summe hinausgehende zusätzliche Information. Er
kann sich also das Beobachten der Ausgaben der einzelnen Teilnehmerstationen sparen, da
ihm das keine zusätzliche Information darüber liefert, welche Teilnehmerstation welche Nachricht
gesendet hat. Gemäß der Begriffsbildung in §5.1.2 bleiben die Sender von Nachrichten
also anonym bezüglich des Angreifers und des Ereignisses des Sendens.
Nach dieser dem Überblick dienenden Kurzbeschreibung des überlagernden Sendens wird zunächst
die Senderanonymität genau definiert und für den allgemeinst-möglichen Fall der Überlagerung (beliebige
abelsche Gruppe) bewiesen.
Danach wird gezeigt, wie mittels überlagerndem Empfangens ausgenutzt werden kann, daß Überlagerungs-Kollisionen
einen wohldefinierten und für alle am überlagernden Senden beteiligten Stationen
wahrnehmbaren Wert haben. Beides im Gegensatz zu Übertragungs-Kollisionen in Bussystemen
(Bsp. Ethernet) und Funknetzen und nur ersteres auch im Gegensatz zu Satellitennetzen.
Einige Bemerkungen zur Realisierung des Schlüsselaustausches und zur Implementierung des
überlagernden Sendens schließen diesen Abschnitt ab.
Bew. O.B.d.A. wird der Beweis im folgenden auf solche Situationen beschränkt, in denen die m
Teilnehmerstationen bezüglich der ausgetauschten Schlüssel minimal zusammenhängen107. Selbiges bedeute, daß es für je zwei beliebige Teilnehmerstationen T0, T1 genau eine möglicherweise
leere Folge von Teilnehmerstationen T2 bis Tn gibt, so daß für 1 ≤ i ≤ n gilt: Ti hat
mit T (i+1)mod(n+1) einen Schlüssel ausgetauscht. Gibt es mehrere Folgen, so werden dem
Angreifer weitere Schlüssel mitgeteilt, was ihn nur stärker macht. Er kann dann diese
Schlüssel von den Ausgaben der betroffenen Teilnehmerstationen subtrahieren, wodurch er jeweils
genau die „Ausgabe“ erhält, die im folgenden durch vollständiges Weglassen dieser
Schlüssel entsteht.
Der Beweis selbst wird mit vollständiger Induktion über die Anzahl m der Teilnehmerstationen
geführt.
David Chaum beweist in [Cha3_85] für binäres überlagerndes Senden (genauer: unter Ausnutzung
der Körpereigenschaften von GF(2)), daß, solange eine Gruppe von Teilnehmerstationen Schlüssel
nur in der beschriebenen Form weitergibt und solange diese Gruppe bezüglich der ausgetauschten
Schlüssel zusammenhängend ist, andere an diesem Verfahren Beteiligte auch durch Zusammentragen
all ihrer Information keine Information darüber erhalten, wer innerhalb der Gruppe sendet. „Bezüglich
der ausgetauschten Schlüssel zusammenhängend“ bedeutet, daß für je zwei beliebige Teilnehmerstationen
T0 , T1 der Gruppe es eine möglicherweise leere Folge von Teilnehmerstationen T2 bis Tn der Gruppe gibt, so daß für 1 ≤ i ≤ n gilt: Ti hat mit T (i+1)mod(n+1) einen Schlüssel ausgetauscht.
Im folgenden wird ein vereinfachter und auf verallgemeinertes überlagerndes Senden erweiterter
Beweis dieses Sachverhaltes gegeben.
Der Beweis verwendet nur, daß die Zeichen und die auf ihnen definierte Addition eine abelsche
Gruppe bilden, nicht aber, daß die Addition nach der Numerierung der Zeichen modulo der Alphabetgröße
durchgeführt wird (mit anderen Worten: daß es sich um eine zyklische Gruppe handelt). Die
dadurch beim verallgemeinerten überlagernden Senden implizit gegebene Ringstruktur wird für den
Beweis nicht verwendet, so daß er so allgemein wie irgend wünschenswert ist:
1. Damit eine Station kein Zeichen senden kann, muß es ein neutrales Element geben.
2. Damit sich die Schlüssel nach der Überlagerung paarweise wegheben, muß es zu jedem
Zeichen ein inverses geben.
107 Anschaulich bedeutet dies, daß die Teilnehmerstationen bezüglich der ausgetauschten Schlüssel zusammenhängen,
aber kein Schlüssel mehr entfernt werden kann, ohne daß danach mindestens 2 Teilnehmerstationen nicht mehr
zusammenhängen. Für den aus den Teilnehmerstationen als Knoten und Schlüsseln als Kanten gebildeten Graphen
bedeutet dies: Er ist zyklenfrei.