Sicherheit in Rechnernetzen - Professur Datenschutz und ...

B.3 Lösungen zu Kryptologische Grundlagen
kation nicht unbedingt informationstheoretisch sichere Authentikationscodes zu verwenden.
e) Wird der Schlüssel in einem symmetrischen Konzelationssystem verwendet, kann der
Partner jeweils nicht mehr richtig entschlüsseln. Wird der Schlüssel in einem symmetrischen
Authentikationssystem verwendet, werden auch die vom Partner „richtig“ authentisierten
Nachrichten vom andern Partner als „gefälscht“ eingestuft.
Um unbemerktes Verändern der Schlüssel auf den Leitungen zu verhindern, sollten die
Schlüssel nicht nur konzeliert, sondern auch authentisiert werden (in welcher Reihenfolge
dies geschickterweise erfolgen sollte, wird in Aufgabe 3-17 behandelt). Stimmt die
Authentisierung der zur Schlüsselverteilung verwendeten Nachrichten, dann ist der Kreis
der jeweils möglichen Täter auf Schlüsselverteilzentralen und die beiden Teilnehmer beschränkt.
Die Teilnehmer sollten sich direkt nach dem Schlüsselaustausch durch ein Testprotokoll
für Schlüsselgleichheit Gewißheit darüber verschaffen, ob sie den gleichen Schlüssel
haben. Dies kann geschehen, indem sie sich gegenseitig konzelierte Zufallszahlen zuschicken
und vom Partner die Zufallszahl jeweils im Klartext zurückerwarten. (Dieses
kleine Kryptoprotokoll ist natürlich nur sicher, wenn das verwendete symmetrische Konzelationssystem
erstens mindestens einem gewählten Schlüsseltext-Klartext-Angriff, vgl.
§3.1.3.2, widersteht und zweitens ein verändernder Angreifer mit Kenntnis der inkonsistenten
Schlüssel zwischen den beiden Teilnehmern ausgeschlossen wird. Zusätzlich muß
noch der in 3-23 erwähnte Spiegelangriff verhindert werden, etwa indem jeweils nur einer
der Teilnehmer Zufallszahlen schickt und erst alle Antworten abwartet, bevor er selbst
Antworten generiert. Zu guter Letzt kann in diesem kleinen Kryptoprotokoll die Vernam-
Chiffre nicht verwendet werden! Denn bei ihr erführe der Angreifer immer genau den
Bereich des Schlüssels, der auf Schlüsselgleichheit getestet wird. Kurzum: Wir brauchen
ein besseres Testprotokoll oder eine sehr sehr gute Blockchiffre. Ersteres wird nachfolgend
vorgestellt.)
Als Hinführung zunächst eine falsche Lösung, die aber in die richtige Richtung weist:
Im Netz sei bekannt, wie eine Prüfsumme über Zeichenketten gebildet wird (Sie kennen
sowas sicher unter den Namen Paritätsbit, Cyclic Redundancy Check (CRC), o. ä.). Die
Teilnehmer bilden nach einem Verfahren solch eine Prüfsumme und einer schickt sein Ergebnis
an den andern. Stimmen die Prüfsummen-Werte überein, so meinen unsere beiden
Teilnehmer, dann haben sie mit großer Wahrscheinlichkeit den gleichen Schlüssel. Was
ist ihr Denkfehler? Nun, Prüfsummen sind für dumme Fehler, nicht aber für intelligente
Angreifer entworfen. Bei üblichen Prüfsummen ist es leicht, viele unterschiedliche Werte
zu finden, die die gleiche Prüfsumme ergeben. Also könnte dies der Angreifer tun und
solche inkonsistenten Schlüssel verteilen. Dann würden dies die beiden Teilnehmer erst
dann bemerken, wenn sie den Schlüssel tatsächlich brauchen. Geschickt wäre also eine
Prüfsumme, deren Bildung der Angreifer nicht vorhersehen kann!
In [BeBE_92, S. 30] ] findet sich unter Verweis auf [BeBR_88]) folgende nette Idee für
ein informationstheoretisch sicheres Testprotokoll für Schlüsselgleichheit: Die Teilnehmer
495