Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

186
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
185
A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:52 Uhr
5.4.5.3.3 Probabilistische Knack-Schnapp-Schlüsselgenerierung
t-1 b t- k • I j k
K ji t := a t + ∑k=1
Eine wesentlich effizientere Realisierung der Knack-Schnapp-Schlüsselgenerierung erhält man, wenn
man die Forderung KS etwas abschwächt: Inkonsistente Verteilung muß nicht mit der Wahrscheinlichkeit
1 bis in alle Ewigkeit stören, sondern nur mit der Wahrscheinlichkeit p (z.B. 1- 10-50 ) die
nächsten r Runden (z.B. r = 10100 ). Für praktische Zwecke dürfte dies ausreichen.
Wie dies genau geht, steht in [WaPf_89], benötigt werden pro Runde zwei Additionen und zwei
Multiplikationen im Körper, der allerdings groß gewählt werden muß. {Wie eine der beiden teuren
Multiplikationen durch eine billige Addition ersetzt werden kann, wodurch der Aufwand der probabilistischen
Knack-Schnapp-Schlüsselgenerierung näherungsweise halbiert wird, steht in [LuPW_91
§2.1].}
Sendet jede Teilnehmerstation nach spätestens s-1 Zeichen wieder ein eigenes Nutzzeichen (siehe
vorangehender Abschnitt), können s Schlüsselzeichen bu zyklisch verwendet werden.
Lemma 2 Das durch Gleichung (1) definierte Schlüsselgenerierungsschema erfüllt die zwei obigen
Bedingungen ÜS und KS.
Bew. Da a t ∈ R F und da ∑ := K ij t - a t unabhängig von a t ist, ist Kij t ∈R F.
Sei ε ij s = 0 für alle s < t. Dann ist offensichtlich δij t = 0 und die Bedingung ÜS ist erfüllt.
Nun sei s die erste Runde mit ε s
ij ≠ 0. Der Einfachheit halber sei εu := εij
u und δu := δij
u . Die
Differenzen δu werden nach dem folgenden System linearer Gleichungen gebildet:
δu = 0 für u = 1, …, s
5.4.5.4 Überlagerndes Empfangen
ε s 0 … 0 0
ε s+1 ε s … 0 0
•
… …………
=
δs+1 δs+2 …
δt-1 Die Bandbreite des DC-Netzes kann erheblich besser genutzt werden, wenn die Teilnehmerstationen
nutzen, daß wer immer das globale Überlagerungsergebnis ü von n gleichzeitig überlagernd gesendeten
Nachrichten sowie n-1 davon einzeln kennt, die ihm noch fehlende Nachricht durch Überlagerung
von ü mit den n-1 ihm einzeln bekannten Nachrichten erhalten kann. Dieses überlagernde
Empfangen kann global, d.h. alle Teilnehmerstationen überlagern gleich und empfangen so
dasselbe, oder paarweise, d.h. genau zwei Teilnehmerstationen können überlagern, geschehen:
⎠ ⎟⎟⎟⎞
b1 b2 …
bt-s-1 bt-s ⎝ ⎜⎜⎜⎛
⎠ ⎟⎟⎟⎞
εt-2 εt-3 … εs 0
εt-1 εt-2 … εs+1 εs ⎝ ⎜⎜⎜⎛
⎠ ⎟⎟⎟⎞
δ t
⎝ ⎜⎜⎜⎛
Da εs ≠ 0 ist, ist die Matrix regulär und definiert eine bijektive Abbildung. Da b1 ,...,bt-s∈R F, sind
δs+1 ,...,δt gleichmäßig und unabhängig in F verteilt. Die Unabhängigkeit aller K 1
ij , …, Kijt und
δs+1 , …, δt folgt aus der Unabhängigkeit aller a1 , …, at und δs+1 , …, δt .
Beim globalen überlagernden Empfangen speichern alle Teilnehmerstationen nach einer Überlagerungs-Kollision
diese (zunächst) nicht verwertbare Nachricht ab, so daß bei n kollidierten Nachrichten
nur n-1 noch einmal gesendet werden müssen: die letzte Nachricht ergibt sich durch Subtraktion
(modulo Alphabetgröße) der n-1 Nachrichten von der (zunächst) nicht verwertbaren Nachricht.
Empfangen die Teilnehmerstationen global überlagernd, so verschwendet eine Teilnehmerstation,
die hin und wieder mehrere Nachrichten gleichzeitig überlagert und alle bis auf eine noch einmal einzeln
sendet, keine Bandbreite des DC-Netzes, so daß dies ohne weiteres zulässig und allgemein bekannt
sein kann. Dadurch wird der obige Schluß, daß kollidierte Nachrichten nicht von derselben
Teilnehmerstation stammen, falsch, so daß das überlagernde Empfangen trotz der Effizienzsteigerung
Sendeereignisse bei geeignet gewählten Wahrscheinlichkeiten für das gleichzeitige Überlagern von
mehreren Nachrichten informationstheoretisch unverkettbar läßt. Zusätzlich zur besseren Nutzung der
Bandbreite des DC-Netzes spart das globale überlagernde Empfangen auch noch das neu und damit
anders (Ende-zu-Ende-)Verschlüsseln von kollidierten Nachrichten.
Der zusätzliche Aufwand dieses Schlüsselgenerierungsschemas besteht in
• den insgesamt 2•tmax - 1 in Konzelation und Authentizität garantierender Weise zwischen
jedem in G direkt verbundenen Teilnehmerstationenpaar Ti und Tj ausgetauschten Schlüsselzeichen
at , bt (anstatt nur tmax für normales überlagerndes Senden),
• der Speicherung aller tmax-1 erhaltenen globalen Überlagerungszeichen und
• den jeweils t-1 Additionen und Multiplikationen (im Körper), um die Schlüssel für Runde t zu
berechnen.
Aus letzterem folgt, daß das Schema durchschnittlich jeweils tmax / 2 Additionen und Multiplikationen
benötigt. Deshalb ist das Schema praktisch nur von geringer Verwendbarkeit.
Gibt es keine zusätzliche Kommunikation zwischen Ti und Tj über ihren momentanen Zustand, so
ist das Schema optimal bezüglich der Zahl der ausgetauschten Schlüsselzeichen und des zusätzlich
benötigten Speichers. Dies ist in [WaPf_89 Seite 13f] gezeigt.
Paarweises überlagerndes Empfangen ist dann möglich, wenn sich zwei möglicherweise vollständig
anonyme Teilnehmerstationen (etwa mittels eines anonymen Reservierungsschemas, vgl. §5.4.5.4.3)
mit allen anderen am überlagernden Senden Beteiligten darauf geeinigt haben, daß und wann beide
exklusives Senderecht haben: Obwohl beide gleichzeitig senden, können beide, indem sie je das von
ihnen Gesendete mit dem globalen Überlagerungsergebnis überlagern, empfangen, was der andere
gesendet hat (Bild 5-12). Dies kann für zwei Zwecke genutzt werden:
Senden beide Teilnehmerstationen je eine exklusiv für die andere Teilnehmerstation bestimmte
Nachricht, so wird die Bandbreite des DC-Netzes doppelt so gut wie mit den in [Cha3_85, Chau_88,
Pfi1_85] beschriebenen Zugriffsverfahren genutzt, beispielsweise kann in der Bandbreite eines
Verteil-Simplex-Kanals ein Punkt-zu-Punkt-Duplex-Kanal untergebracht werden.
Sendet eine der beiden Teilnehmerstationen einen rein zufällig generierten Schlüssel, so kann sie
von der anderen eine Nachricht in perfekter informationstheoretischer Konzelation erhalten, obwohl
beide Teilnehmerstationen voreinander vollständig anonym sein können, wenn das zugrundeliegende
Das Schema zur deterministischen Knack-Schnapp-Schlüsselgenerierung wird verwendbar, wenn
man die Summen in Gleichung (1) jeweils nicht bei 1, sondern für ein festes s jeweils bei t-s
beginnen läßt. Hierbei muß s so gewählt werden, daß jede Teilnehmerstation spätestens nach s-1 von
anderen gesendeten Nutzzeichen wieder ein eigenes sendet, daß der Angreifer nicht mit genügend
großer Wahrscheinlichkeit raten kann. Erhält sie als globales Überlagerungsergebnis ihr Nutzzeichen
(was bei einer Störung durch inkonsistente Verteilung in einer der letzten s Runden niemand erfahren
hätte), dann gab es in den zurückliegenden s Runden mit entsprechender Wahrscheinlichkeit keine
inkonsistente Verteilung. Da bei konsistenter Verteilung der Angreifer nichts über die bu erfährt, kann
man sie nach s Runden jeweils wiederverwenden. Dadurch wird nicht nur die Zahl der Körperoperationen
reduziert, sondern auch die Zahl der nötigen Schlüsselzeichen. Man kann also durch
geeignete Wahl von s ein leidlich praktikables Schema erhalten.
{Wie der Aufwand der deterministischen Knack-Schnapp-Schlüsselgenerierung näherungsweise
halbiert werden kann, steht in [LuPW_91 §2.2].}