Gutachten (PDF) - Professur Datenschutz und Datensicherheit ...

3.2 Schwächen manipulationssicherer Hardware
geschützt bleiben, z.B. weil sie anschließend sowieso öffentlich wird, genügen Schlüssellängen
zwischen 64 und 128 Bit. Dies sind z.B. gebräuchliche Werte für Sitzungsschlüssel im Broadcasting.
Für längerfristige Geheimhaltung sind heute Schlüssellängen ab 128 Bit zu wählen.
Nachdem kryptographische Algorithmen oder ganze Systeme veröffentlicht wurden, werden
teilweise Fehler im Design entdeckt, die zur Unsicherheit führen. Grundsätzlich ist von der
Nutzung selbst designter Krypto-Algrithmen abzuraten, wenn sie nicht ausgiebig durch die
Krypto-Community untersucht worden sind. Zu hoch ist die Wahrscheinlichkeit, dass dem Designer
Fehler unterlaufen sind, die dann von Hackern gnadenlos ausgenutzt werden können.
Auch bei der Umsetzung (Implementierung) von Krypto-Algorithmen treten immer wieder Fehler
auf. Meist sind dies Unachtsamkeiten (kleine Programmierfehler mit großer Wirkung) und
Unwissen des Entwicklers bzgl. der exakten Funktionsweise des Algorithmus. Seltener werden
neue Angriffe entdeckt: So können beispielsweise Verzweigungen des Programmcodes innerhalb
des Ver- oder Entschlüsselungsalgorithmus zu einem Informationsgewinn beim Angreifer
über den Schlüssel führen (timing analysis, [34]). Bei Smart Cards konnte durch Messung des
Stromverbrauchs der Karte während eines Verschlüsselungsvorgangs ebenfalls der nur auf der
Karte vorhandene Schlüssel ermittelt werden, obwohl dies die Smart Card eigentlich hätte verhindern
sollen (power analysis, [35]). Darüber hinaus müssen Entwickler auch bedenken, dass
Angreifer gerade bei Chipkarten versuchen können, durch gezielte Misshandlung des Prozessors
Fehlfunktionen auszulösen, durch die Zugriff auf sicherheitskritische Informationen erlangt
werden kann (fault induction, [2, 43]).
3.2 Schwächen manipulationssicherer Hardware
Wir müssen davon ausgehen, dass der Angreifer technisch gut ausgebildet ist und über
Ausrüstung zur Untersuchung und Änderung von elektronischen Schaltungen und hochintegrierten
Halbleiterbausteinen verfügt. Bevor jedoch konkrete Angriffe diskutiert werden, sollen
zunächst Angreiferklassen (Gefährlichkeitsklassen) und Schutzklassen eingeführt werden.
3.2.1 Gefährlichkeitsklassen
In [1] werden die beim Entwurf eines Systems zu berücksichtigenden Angreifer entsprechend
ihren Möglichkeiten in drei grobe Gefährlichkeitsklassen eingeteilt:
• Klasse I: Clevere Außenstehende. Sie sind oft sehr intelligent, haben aber nur beschränktes
Wissen über den Aufbau des untersuchten Systems. Sie haben nur Zugang
zu mittelmäßig aufwendiger Ausrüstung (z.B. Lötkolben, Mikroskop, einfache Chemikalien,
mechanische Werkzeuge, PC, In-Circuit-Emulator und Logik-Analysator). Sie nutzen
oft existierende Schwächen des Systems aus, anstatt neue zu schaffen. Beispiele sind
Studenten, Hobbyelektroniker oder Privatdetektive.
• Klasse II: Erfahrene Insider. Sie haben eine gezielte technische Ausbildung und viel
Erfahrung. Sie haben unterschiedlich gutes Wissen über die Bestandteile des untersuchten
Systems, aber prinzipiell Zugang zu Beschreibungen der technischen Einzelheiten. Oft
haben sie auch Zugang zu anspruchsvoller Ausrüstung zur Untersuchung des Systems.
Beispiele sind einzelne Mitarbeiter eines Systemherstellers oder -betreibers.
47