Sicherheit in Rechnernetzen: - Professur Datenschutz und ...

A. Pfitzmann: Datensicherheit und Kryptographie; TU Dresden, WS2000/2001, 15.10.2000, 15:55 Uhr
Da die Proportionalitätskonstanten78 näherungsweise gleich sind, liegt der Aufwand des CRA
bereits für den kleinsten in Betracht zu ziehenden Wert von l = 300 deutlich unterhalb von 2% des
Aufwands der 2 Exponentiationen halber Länge. Also reduziert Rechnen modulo p und q den
Aufwand näherungsweise um den Faktor
8•l3 2•l3 = 4.
3.6.5.3 Verschlüsselungsleistung
In [Sedl_88] wird eine Hardwareimplementierung von RSA gemäß §3.6.2 mit einer Entschlüsselungsgeschwindigkeit
von ca. 200 kbit/s bei einer Moduluslänge von 660 bit angegeben. Letzteres
erscheint für die Sicherheit von RSA zur Zeit als ausreichend. Die Geschwindigkeit wird durch
Verwendung des in §3.6.5.2 beschriebenen Verfahrens erzielt. Erfolgt die Verschlüsselung mit dem
Exponenten 2 16 +1, vgl. §3.6.5.1, so wird sogar eine Geschwindigkeit von 3 Mbit/s erzielt.
Eine entsprechende Software-Implementierung auf dem Apple Macintosh IIfx (MC68030, 40
MHz, 32 KByte cache board, 80 ns RAM) erreicht bei einer Moduluslänge von 512 bit eine
Entschlüsselungsgeschwindigkeit von 2,5 kbit/s.
3.6.6 Sicherheit und Einsatz von RSA
Egal wie man RSA als asymmetrisches kryptographisches System einsetzt, es kann nicht sicherer sein
als die Faktorisierung des Modulus schwer ist – und einen Beweis, daß RSA zu brechen so schwer
wie den Modulus zu faktorisieren ist, gibt es (bisher) nicht, vgl. §3.6.1.
Wo also liegen die sinnvollen Einsatzbereiche von RSA?
Hilfreich für die folgende Diskussion ist, zu Bild 3-12 in §3.1.3.5 zurückzuschlagen. Dort sehen wir
das wichtige Feld 3 nur mit einem System gefüllt, das nicht äquivalent zu einer reinrassigen
Standardannahme ist. D.h. effiziente asymmetrische Konzelationssysteme, die gegen aktive
Angriffe relativ zu einer reinrassigen Standardannahme kryptographisch stark sind, sind bisher nicht
bekannt.
Zwar ist RSA nicht als kryptographisch stark bewiesen (hier also: so sicher wie Faktorisierung
schwer), aber für den in §3.6.4.1 beschriebenen Einsatz als indeterministisches asymmetrisches
Konzelationssystem sind immerhin keine erfolgreichen Angriffe bekannt – und das schon seit vielen
Jahren. Benötigt man ein asymmetrisches Konzelationssystem und kann man aktive Angriffe nicht
ausschließen, sollte man RSA (oder CS) einsetzen. Kann man aktive Angriffe ausschließen, ist der
s 2 -mod-n-Generator vorzuziehen: Zum einen ist er als kryptographisch stark bewiesen, d.h. wer ihn
bricht, kann faktorisieren und damit auch RSA brechen. Zum andern ist für den s 2 -mod-n-Generator
sogar bewiesen, daß ein passiver Angreifer keinerlei Information über den Klartext erhält. Auch solch
einen Beweis gibt es für RSA (bisher?) nicht.
Bezüglich des Rechenaufwands sind s 2 -mod-n-Generator und RSA vergleichbar. Dies liefert also
kein hartes Unterscheidungskriterium.
Für den Einsatz von RSA statt GMR als digitales Signatursystem spricht unter Sicherheitsgesichtspunkten
nichts. Im Gegenteil: Wer GMR brechen kann, kann – wie bewiesen wurde – faktorisieren
und damit auch RSA brechen. Man sollte, wo immer möglich, also GMR den Vorzug geben.
Bezüglich des Rechenaufwands verhält es sich leider umgekehrt: Wird für RSA gemäß §3.6.4.2
eine genauso effiziente Hashfunktion wie bei GMR verwendet (eine aufwendigere zu verwenden,
78 für den kubischen Aufwand bei der Exponentiation, den quadratischen Aufwand bei der Multiplikation und den
linearen Aufwand bei der Addition
95