Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 5. KRYPTOGRAPHISCHE VERFAHREN
heimnis. Alice sendet h zusammen mit M an Bob. Bob, der G kennt, kann ebenfalls H´MGµ bilden
und das Ergebnis mit h vergleichen. Wenn die Werte übereinstimmen, weiß Bob, daß die Nachricht M
wirklich von Alice geschickt wurde. Da nur er und Alice das Geheimnis G kennen, hätte niemand außer
Alice den Hashwert h generieren können, und da H eine Einweg-Hashfunktion ist, ist es für dritte
auch trotz der Kenntnis von h und M unmöglich G zu berechnen. Bob weiß außerdem, daß der Text
M unverändert angekommen ist. Hätte eine dritte Partei die Nachricht M durch eine andere Nachricht
M ¼ ersetzt, wäre der resultierende Hashwert h ¼ H´M ¼ Gµ unterschiedlich zu dem mitgeschickten
h H´MGµ. Diese Art der Authentifizierung findet u.a. bei IPSec Verwendung.
Der Nachteil dieses Verfahrens ist es, daß es dritten gegenüber keine Authentifizierung bietet (“nonrepudiation”).
Alice kann sich zwar von der Identität Bobs überzeugen, hat aber keine Möglichkeit,
einer dritten Person Clara zu beweisen, daß die Nachricht tatsächlich von Bob stammt, da Clara weder
das Geheimnis G kennt, noch, bei Offenlegung des Geheimnisses, aus G auf Bob schließen kann.
Der Geburtstagsangriff
Der Geburtstagsangriff beruht auf dem sogenannten Geburtstagsparadoxon und verdeutlicht, warum
man darauf achten sollte, keine Einweg-Hashfunktion mit zu kleinem Hashwert zu benutzen. Mit
dem Geburtstagsparadoxon hat es folgende Bewandtnis: Die kleinste Anzahl an Personen in einem
Raum, so daß die Wahrscheinlichkeit, daß eine dieser Personen den selben Geburtstag wie man selbst
hat, größer als 50% ist, beträgt 253. Doch die kleinste Anzahl an Personen, die in einem Raum sein
müssen, so daß die Wahrscheinlichkeit, daß zwei dieser Personen am selben Tag Geburtstag haben,
größer als 50% ist, beträgt nur 23. Dieses erklärt sich durch die Tatsache, daß man mit 23 Personen
253 verschiedene Paare bilden kann. Diesen Umstand macht sich der Geburtstagsangriff zu nutze: Der
gewöhnliche Brute Force Angriff auf einen Hashwert ist, daß man für einen Hashwert H´Mµ einen
Text M ¼ sucht mit H´M ¼ µH´Mµ. Bei einer Hashlänge von 64 Bit sind so bis zu 2 64 Hashwerte
zu berechnen. Bei einer Rechenleistung von 1.000.000 Berechnungen pro Sekunde wäre die Dauer
eines solchen Angriffs 600.000 Jahre. Der Geburtstagsangriff verschiebt die Aufgabenstellung des
Angriffs ein wenig. Anstatt daß zu einem existierenden H´Mµ ein M ¼ gefunden werden soll, werden
hier zwei Dokumente M und M ¼ gesucht, die den selben Hashwert ergeben. Dieses geschieht i.a.
so, daß am Anfang zwei Texte existieren, die so modifiziert werden sollen, daß sie am Ende den
gleichen Hashwert ergeben. Dieses geschieht, indem an beiden Dokumenten unauffällige, nur bei
eingehender Untersuchung der Dokumente erkennbare Veränderungen vorgenommen werden (z.B.
Einfügen von Leerzeichen oder ähnliches). Die Hashwerte für die verschiedenen Versionen der beiden
Dokumente werden berechnet und zwischengespeichert. Nun haben wir die Situation, in der wir nur
ein Paar mit gleichem Hashwert benötigen. Im allgemeinen sind bei einem Hashwert von 64 Bit
nicht mehr als 2 32 Hashwerte zu berechnen, bis zwei passende Versionen gefunden sind. Bei einer
Rechenleistung von 1.000.000 Berechnungen pro Sekunde wäre die Dauer eines solchen Angriffs
etwa eine Stunde. Also sollte man von Hashfunktionen mit einem Hashwert, der kleiner als 128 Bit
ist, Abstand nehmen. Bedenkt man weiterhin, daß in vielen kryptographischen Protokollen, die zum
Abschließen von Verträgen dienen, nicht der eigentliche Text des Vertrags signiert wird, sondern nur
der Hashwert des Vertrags, ist es in solchen Fällen ratsam, bevor man den Vertrag unterzeichnet, eine
kleine unmerkliche Veränderung an dem Dokument vorzunehmen und den Hashwert neu zu bilden.
Wenn man nun diesen Hashwert unterzeichnet, kann man sicher sein, daß der Vertragspartner nicht
noch einen weiteren, mittels des Geburtstagsangriffs generierten, Vertrag in der Hinterhand hat, der
über denselben Hashwert verfügt, aber einen anderen Inhalt hat. Denn im nachhinein wäre dann nicht
mehr festzustellen, welcher der beiden Verträge unterzeichnet wurde.
84 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen