Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

182
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
181
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
m-1 Teilnehmerstationen
1
T
S i→m
Ti Ai = Ni+..+Si→m T m
2
T
A m = N m–S i→m
T
m-1
Unter einer Nachrichtenkombination wird die Zuordnung von je einer Nachricht zu jeder Teilnehmerstation,
unter einer Schlüsselkombination die Zuordnung von Werten zu allen zwischen
Teilnehmerstationen konzeliert ausgetauschten und dem Angreifer unbekannten Schlüsseln
verstanden. Für jedes m wird bewiesen, daß es zu jeder die Summe aller gesendeten Nachrichten
ergebenden Nachrichtenkombination genau eine Schlüsselkombination gibt, so daß
Nachrichtenkombination und Schlüsselkombination mit den Ausgaben aller Teilnehmerstationen
verträglich sind. Da zusätzlich die Schlüssel und damit auch die Schlüsselkombinationen
zufällig und gemäß einer Gleichverteilung generiert werden, liefert die Beobachtung der
Ausgaben der Teilnehmerstationen dem Angreifer keine über die Summe aller gesendeten
Nachrichten hinausgehende Information gemäß den Shannon’schen Definitionen [Shan_48,
Sha1_49].
Bild 5-11: Veranschaulichung des Induktionsschrittes
Ein von Ti generierter und Tj konzeliert mitgeteilter Schlüssel werde mit Si→j bezeichnet, die
von Ti gesendete Nachricht mit Ni und ihre Ausgabe mit Ai , wobei nach der Beschreibung des
Hiermit ist bewiesen, daß das verallgemeinerte (und damit natürlich auch das binäre) überlagernde
Senden perfekte informationstheoretische Anonymität des Senders innerhalb der Gruppe schafft, die
über rein zufällig gewählte und in perfekter informationstheoretischer Konzelation garantierender
Weise ausgetauschte Schlüssel zusammenhängt.
Ebenso sind Nachrichten über das Senden in keiner Weise verkettbar, solange wir Einflüsse des
Mehrfachzugriffsverfahrens ignorieren, vgl. §5.4.5.4.1 und §5.4.9. Überlagerndes Senden ermöglicht
also auch perfekte informationstheoretische Unverkettbarkeit von Sendeereignissen. Erleidet eine
Nachricht eine Überlagerungs-Kollision, so muß sie allerdings, bevor sie erneut gesendet wird, neu
und damit anders (Ende-zu-Ende-)verschlüsselt werden – anderenfalls könnte ein Angreifer bei genügend
langen Nachrichten beispielsweise schließen, daß Nachrichten, deren Summe vorher schon
einmal gesendet wurde, wohl nicht von der gleichen Teilnehmerstation gesendet wurden, da diese
anderenfalls Übertragungsbandbreite des DC-Netzes verschwenden würde, indem sie Überlagerungs-
Kollisionen produziert.
David Chaums Beweis für das binäre und der hier gegebene für das verallgemeinerte überlagernde
Senden gelten nicht nur bei beobachtenden, sondern auch bei koordinierten verändernden Angriffen –
im hier gegebenen Beweis z.B. kommt das Verhalten der Angreiferstationen gar nicht vor, ihr
Verhalten ist also beliebig. (Nicht protokollgemäßes Verhalten der Angreiferstationen stellt „nur“
einen Angriff auf die Diensterbringung, d.h. Verfügbarkeit, dar, was in §5.4.7 behandelt wird.)
Jedoch betrachten beide Beweise jeweils nur die Anonymität des Senders. Ist das Senden einer
Nachricht N abhängig vom Empfangen vorhergehender Nachrichten Ni , so kann ein verändernder
Angriff auf die Anonymität des Empfängers einer der Ni (vgl. §5.4.1) trotz noch so perfekten
Schutzes des Sendens den Sender von N identifizieren. Wie bereits in §5.4.1 erwähnt kann dieses
Problem durch geeignetes Einbeziehen der verteilten Nachrichten in die Schlüsselgenerierung selbst
innerhalb der informationstheoretischen Modellwelt perfekt gelöst werden [Waid_90, WaPf1_89].
S j→ i
verallgemeinerten überlagernden Sendens gilt:
Ai = Ni + ∑Si→ j – ∑
j j
Induktionsanfang: m = 1
Die Behauptung gilt trivialerweise, da der Angreifer genau die Ausgabe der einzigen Teilnehmerstation
erfährt.
Induktionsschritt von m – 1 auf m:
Da die Teilnehmerstationen bezüglich der ausgetauschten Schlüssel minimal zusammenhängen,
gibt es stets eine Teilnehmerstation, die nur mit einer anderen Teilnehmerstation durch
einen ausgetauschten Schlüssel verbunden ist. Erstere werde o.B.d.A. mit Tm , letztere mit Ti mit 1 ≤ i ≤ m–1 und der Schlüssel o.B.d.A. mit Si→m bezeichnet (vgl. Bild 5-11).
Ti bildet Ni und Ai = Ni +..+Si→m , Tm bildet Nm und Am = Nm –Si→m .
Der Angreifer beobachtet das Senden von A1 , A2 ,.., Am .
Sei N' = (N'1, N'2,.., N'm) eine beliebige Nachrichtenkombination, deren Summe gleich
der Summe aller gesendeten Nachrichten ist, d.h. N'1 +N'2 +..+N'm = N1 +N2 +..+Nm (=
A1 +A2 +..+Am ).
Es muß nun gezeigt werden, daß es zur Nachrichtenkombination N' genau eine passende
Schlüsselkombination S' gibt. Der zwischen Ti und Tm ausgetauschte passende Schlüssel
S'i→m hat wegen Am = Nm –Si→m den Wert S'i→m = N'm –Am .
Der Rest der passenden Schlüsselkombination S' wird wie in der Induktionsvoraussetzung
bestimmt, wobei hierfür als Ausgabe von Ti der Wert Ai –S'i→m verwendet wird. Die
Induktionsvoraussetzung ist anwendbar, da die restlichen m-1 Teilnehmerstationen bezüglich
der restlichen Schlüssel wiederum minimal zusammenhängen.
5.4.5.3 Empfängeranonymität durch Knack-Schnapp-Verteilung
Das Ziel der Knack-Schnapp-Verteilung ist, die Nachrichtenübertragung zu stoppen, sobald zwei
nichtangreifende Teilnehmer in einer Runde des DC-Netzes unterschiedliche Zeichen als globales
Überlagerungsergebnis erhalten. 108
108 Gemäß der Gliederung von §5.4 nach den Schutzzielen „Schutz des Empfängers“, „Schutz des Senders“ und „Schutz
der Kommunikationsbeziehung“ gehört dies nicht unter „Schutz des Senders“, sondern unter „Schutz des
Empfängers“, also in §5.4.1.1. Dort wäre dies Verfahren, da es auf dem Senderanonymitätsverfahren „Überlagerndes
Senden“ beruht, allerdings unverständlich. Deshalb wird es hier beschrieben.