Gymnasium Sulingen. Facharbeit im Leistungskurs Mathematik. Fachlehrer: Studienassessor Matthias Hausner. Attacken auf mono- und polyalphabetische

Transkript

1 Gymnasium Sulingen Facharbeit im Leistungskurs Mathematik Fachlehrer: Studienassessor Matthias Hausner Attacken auf mono- und polyalphabetische Verschlüsselungsverfahren und ihre Konsequenzen Verfasser: Ulf Schaper Abgabetermin: 03. April 2003

2 2 Inhaltsverzeichnis INHALTSVERZEICHNIS 2 EINLEITUNG 3 VERSCHIEDENE TYPEN DER VERSCHLÜSSELUNG 3 TRANSPOSITION: ZEICHEN VERTAUSCHEN 4 MONOALPHABETISCHE SUBSTITUTION: BUCHSTABEN AUSTAUSCHEN 6 POLYALPHABETISCHE SUBSTITUTION 13 ENIGMA 18 FOLGEN IN DEM INFORMATIONSZEITALTER 22 DAS PROBLEM DER SCHLÜSSELVERTEILUNG 23 LITERATURVERZEICHNIS 25 ANHANG 26 DAS ONE TIME PAD 26 DIE MODULO-FUNKTION 26 DAS BESTE HILFSMITTEL: MAIN.EXE 28 DIE GEHEIMTEXTE DER AUFGABENSTELLUNG 30 VERSICHERUNGEN UND ERKLÄRUNGEN 36

3 3 Einleitung In Artikel 10 unserer Verfassung heißt es: Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich. [ ] [1] Es ist das Grundrecht jedes Deutschen, seine Korrespondenz vor dem Einblick der Mitmenschen oder (mit Einschränkungen) des Staates zu schützen. Eine Möglichkeit, diesen Schutz herbeizuführen, ist die Verschlüsselung. Doch Verschlüsselungen finden nicht nur in Briefen und persönlichen Nachrichten Anwendung, sondern alltäglich in dem Finanzwesen, der Wirtschaft und beim Militär. Man kann sie nicht mehr aus unserer Gesellschaft wegdenken. Doch kann man dem Schutz durch die Verschlüsselung vertrauen? Wie sicher ist eine Verschlüsselung? Die Sicherheit einer Verschlüsselung ergibt sich aus der Frage, ob sie gebrochen werden kann oder nicht, d.h. ob (bzw. mit welchem Aufwand) ein Unbefugter die verschlüsselte Botschaft lesen kann oder nicht [4]. Die Wissenschaft, die sich mit der Sicherheit von Verschlüsselungsverfahren, also mit Entschlüsselungsverfahren, beschäftigt, heißt Kryptoanalyse. Ich werde nun die Aufgaben nachvollziehen, vor denen Kryptoanalytiker früher standen, d.h. Sicherheitsmängel an Verschlüsselungsverfahren suchen, wie sie vor weniger als Hundert bis mehreren Tausend Jahren im Einsatz waren. Darauf aufbauend werde ich einige mir zur Verfügung gestellte Geheimbotschaften exemplarisch entschlüsseln. An geeigneter Stelle werde ich auf Grundlagen und Grundbegriffe der Kryptoanalyse eingehen. Verschiedene Typen der Verschlüsselung Bei der Kryptoanalyse darf grundsätzlich jedes Mittel angewandt werden, um einen Geheimtext zu entschlüsseln. Schließlich steht auch jedem unbefugten Angreifer potentiell jedes beliebige Mittel zur Verfügung, eventuell auch Erkenntnisse über das Verfahren der Verschlüsselung. Darauf beruht auch das Kerckhoffsche Grundprinzip der Kryptoanalyse aus dem Buch La Cryptographie Militaire (1883): Sicherheit darf nicht von der Geheimhaltung des Verschlüsselungsalgorithmus abhängen; sie beruht nur auf der Geheimhaltung des Schlüssels. [4][5] Wie wichtig dieser Grundsatz ist, zeigte sich z.b. im zweiten Weltkrieg: Den Alliierten war schon vor dem Krieg das Verfahren der Enigma bekannt. Trotzdem war die Entschlüsselung

4 4 eine Herausforderung, denn die Alliierten konnten nur begrenzt auf die deutschen Codebücher (Schlüssel) zugreifen [2]. Transposition: Zeichen vertauschen Transposition bedeutet, die Reihenfolge der Zeichen in einem Klartext zu verändern, um den Geheimtext zu erhalten [2]. Das wohl einfachste Beispiel ist, den Text rückwärts zu schreiben: Aus mathe wird EHTAM. Gemäß dem Kerckhoffschen Prinzip (siehe Seite 3) ist das Verfahren bei dem folgenden, ersten Geheimtext bekannt: TEDHTETISRTSNATRSARSTEHHINNCRKAIRNDUNHBADCETLKNSNNENEEUSOVIEEIALTBIELTEITIT WDHORNKWAIESOSUEHBISAEOTAXFRPNKFASRXNTEBSNRASNNILTEADSYAEELNSINTSNEEGONILEC TIHUSRELTSTTINEVGSNOSWGFENSISPLRNLGSESHFWSNEWNNCXKFSONEYSSDTDEOWWOHEGLIIESL DAEETYVDESTSEEIESONIMEHTEUTEKRPTEEEERNEENDHILECSMAEUGNOTEERMECLRNLIEAEANEKN Geheimtext 1: Transposition mit einer Skytale Das zugrunde liegende Verfahren stammt aus dem alten Griechenland: Der Text wurde auf eine Skytale geschrieben. Bei einer Skytale handelt es sich um eine Rolle, um die ein langer Papierstreifen gewickelt wird. Anschließend wird der Text quer über die Papierstreifenspalten geschrieben. So ergibt der Text nur wieder einen Sinn, wenn der Papierstreifen auf eine Rolle mit identischem Umfang gewickelt wird. Wir müssen nun einen Algorithmus finden, mit dem wir die Verschlüsselung umkehren können. Es bietet sich an, diesen von der Anzahl der Spalten abhängig zu machen. Ein Beispiel. Aus: Abbildung 1: Transposition mit einer Skytale. Quelle: [2] BIPETXESILET Wird, wenn man es mit n Spalten aufwickelt: n = 2 n = 3 n = 4 be is pi el te xt bti ixl pee est beel itse pxit Man erkennt, dass in diesem Fall n = 2 die korrekte Spaltenzahl ist: Der entschlüsselte Klartext lautet beispieltext.

5 5 Wie kommt nun diese Entschlüsselung zustande? Wir müssen für jedes Zeichen des Ausgangstextes (an der Stelle k alt ) eine neue Position k neu finden. Dies geschieht, indem wir zuerst die Koordinate eines jeden Zeichens in einem aufgewickelten Text ermitteln und aus dieser (Zeilen-und-Spalten-) Angabe schließlich auf die Position im Klartext schließen. Wie wickelt man einen Text auf? Machen wir uns zuerst klar, wie man einen horizontal geschriebenen Text umbricht. Soll ein Text der Länge l in n Zeilen geschrieben werden, so kommen in jede Zeile m= l: n Zeichen (man muss hier aufrunden, schließlich darf es weder eine Überhangzeile am Ende noch halbe Buchstaben geben). Um nun die Koordinate eines Buchstabens zu ermitteln, teilen wir seine Position k durch die Anzahl der Zeichen pro Zeile m. Nach ganzzahliger Division wird das Ergebnis einen ganzzahligen Anteil s haben (die Zeilenangabe) sowie einen Rest z (die Spaltenangabe): s = k: m z = kmod m szkm N,,, Auf den hier verwendeten Modulo wird im Anhang ( Die Modulo-Funktion, Seite 26) genauer eingegangen. Wenn man den Text nun nicht horizontal aufwickelt und umbricht (wie in einem normalen Text), sondern vertikal, so muss man lediglich Zeilen und Spalten vertauschen: Nun sei n die Anzahl der Spalten, m die Anzahl der Zeilen, s die Spalte eines Zeichens k und z seine zugehörige Zeilenangabe. Wie ermittelt man die neue Position eines Zeichens? Im obigen Absatz haben wir kennen gelernt, wie man einen Text aufwickelt, d.h. wie man eine Koordinate für ein Textzeichen findet. Nun müssen wir den Text nur noch lesen, d.h. anhand der Koordinatenangaben im aufgewickelten Text wieder auf den Klartext (ohne Zeilenumbrüche) schließen. Das Lesen geschieht natürlich horizontal. Die neue Position k neu eines Zeichens hängt ab von der Zeile z und der Spalte s, in der das Zeichen im aufgewickelten Text steht: Zu der Summe aller Zeichen aller vorherigen Zeilen muss man nur noch die Position in der aktuellen Zeile (d.h. die Spalte) hinzuaddieren: kneu = z n+ s Eine Implementation dieses Algorithmus findet sich im Anhang (Seite 28).

6 6 Nun wieder zu dem eigentlichen Geheimtext. Es war als Tipp zum Entschlüsseln bekannt, dass die Spaltenzahl auf der Skytale ein Teiler von 60 ist. Es kommen also folgende Spaltenbreiten in Frage: 1, 2, 3, 4, 5, 6, 10, 12, 15, 20, 30 und 60. Einfaches ausprobieren führt uns schnell zu dem Schlüssel. Es gibt n = 6 Spalten. Damit ergibt sich folgender Klartext: textfuenfistderhoehepunktunsereskryptofestivalsesistdererstetextdesinternat ionalenwettbewerbsvonsinghdaersehrlangistsolltensieeinwichtigeshilfsmittela nwendendasauchdiegrossenkryptoanalytikerverwendenallerdingsmuesstensieschon selbstherausfindenwelchessiebenoetigenalsowiekannmaneinensolchentextknacken Klartext 1: Die Skytale ist geknackt. Wenn die Spaltenzahl nicht schon nahezu bekannt gewesen wäre, so hätte man immer noch Methoden gehabt, diese ohne viel Ausprobieren zu finden: Auf ein q folgt immer ein u, dies vereinfacht die Suche (man braucht nicht mehr alle möglichen Spaltenzahlen durchprobieren sondern nur jene, bei denen auf ein q ein u folgt). Nebenbei kann man hier eine andere Konvention der Kryptologie erkennen: Geheimtexte werden in Großbuchstaben geschrieben, und die zugehörigen Klartexte in Kleinbuchstaben. Dieses Vorgehen macht wie wir später bei der Substitution sehen werden das Entschlüsseln von chiffrierten Texten einfacher. Monoalphabetische Substitution: Buchstaben austauschen Bei der Transposition haben wir die Reihenfolge der Zeichen im Text verändert. Bei der Substitution (speziell der Chiffrierung, der zeichenweisen Substitution) wird jedes Zeichen an seiner Position gelassen, jedoch (nach einem bestimmten Muster) durch ein anderes Zeichen ersetzt [2]. Dazu erstmal ein Beispiel: Aus mathe wird NBUIF : Jedes Zeichen wurde um eine Stelle im Alphabet verschoben. Dieses recht einfache Verfahren nennt man die Cesar-Verschlüsselung, weil es von selbigem zu Zeiten seines Reiches eingesetzt wurde. Mit diesem Verfahren wurde folgender Text verschlüsselt: 89X2VZ6EZCV6DY3ZXVZDVCGZCDX26FZDDZ6F813DEZ38Z7ZE29YZWZ3YZCZ38ZC966ZZ38ZH3X2 E31ZC966ZDA3Z6EEZIEG3ZC3DEYV73EGZCDX26FZDDZ6EH9CYZ8HZ887V8V66ZDVF0Y3ZC3X2E3 1ZC966Z13WE3DEZD6Z3X2EYZC8V7ZY3ZDZCC966Z3DEVFX2D5JEV6ZVWZCH92ZCHZ3DD7V8HZ6X 2ZDY3ZC3X2E31Z3DEF7D9CE3ZCZ83DE23ZC1Z0CV1EV6DE3AADV1Z3X2328Z8Y3ZV8KV26YZCDA V6EZ83DEZ38EZ36ZCG98DZX2K31 Geheimtext 2: Die Cesar-Verschlüsselung Der Parameter (Schlüssel) bei einer Cesar-Verschlüsselung ist die Anzahl der Zeichen, die ein Buchstabe im Alphabet verschoben wird. Dadurch gibt es nur so viele mögliche Schlüssel wie

7 7 es Zeichen im Alphabet gibt. Zumal das verwendete Alphabet nicht nur die 26 Buchstaben sondern auch die 10 Ziffern enthält, gibt es für den obigen Text 36 mögliche Schlüssel. Es wäre sehr einfach, sie alle durchzuprobieren. Trotzdem gibt es ein einfacheres und schnelleres Verfahren, die Cesar-Verschlüsselung zu knacken: Wir ermitteln die Häufigkeiten aller Zeichen im Text. So zählen wir z.b. sechs As im Geheimtext. Das im Anhang dargelegte Programm kann die Einzelzeichenhäufigkeiten grafisch darstellen: Abbildung 2: Einzelzeichenhäufigkeiten im Geheimtext mit Cesar-Verschlüsselung Man erkennt sofort, dass es sich nicht um eine natürliche Verteilung handelt: In einem normalen Text ist nicht fast jedes fünfte Zeichen ein Z, außerdem kommen in einem normalen Text kaum so viele Ziffern vor wie hier. Um die Einzelzeichenhäufigkeiten mit einem normalen Text vergleichen zu können, habe ich das Programm eine Häufigkeitsanalyse meiner Einleitung machen lassen: Abbildung 3: Einzelzeichenhäufigkeiten in der deutschen Sprache am Beispiel meiner Einleitung Man braucht nicht viel Phantasie um festzustellen, dass die beiden Diagramme nur zueinander verschoben sind: Der höchste Balken liegt im Geheimtextdiagramm bei dem Z und hat eine Häufigkeit von ca. 0,17 (17%); in dem zweiten Diagramm, welches wir als Klartextdiagramm annehmen, ist der höchste Balken bei dem e und hat auch eine Häufigkeit von ca. 17%.

8 8 Rechts neben dem höchsten Balken liegen in beiden Diagrammen vier Balken mit jeweils steigenden Höhen, danach doch ein sehr kleiner Balken. Beide Diagramme haben einen 10 Zeichen breiten Bereich, aus dem kaum oder keine Zeichen auftreten: Im Klartext fällt dieser Bereich natürlicherweise auf die Ziffern, im Geheimtext liegt er zwischen L und U. Folgerung: Beide Diagramme zeigen die gleichen Charakteristika, man erhält das erste (Geheimtext-) Diagramm, wenn man das zweite (Klartext-) Diagramm um 21 Zeichen nach rechts verschiebt (natürlich mit Umbruch, d.h. nach der 9 kommt das A). Das im Computerprogramm im Anhang automatisiert die Schlüsselsuche: Man muss einen Vigenère-Schlüssel suchen, der eine Schlüsselwortlänge von 1 hat. Das Programm findet sofort das Schlüsselwort U. Das U ist das 21. Zeichen unseres Alphabets. Verschiebt man jedes Zeichen des Geheimtextes um 21 Zeichen, so ergibt sich: nochaelteralsdiecaesarverschluesselungisteinemethodebeidereinerolleeinewich tigerollespielttextvieristdamitverschluesseltwordenwennmanallesaufdierichti gerollegibtistesleichtdernamedieserrolleistauchskytaleaberwoherweissmanwelc hesdierichtigeistumsortierenisthiergefragtalstippsageichihnendieanzahldersp altenisteinteilervonsechzig Klartext 2: Auch Cesars Texte waren nicht gut verschlüsselt Der aufmerksame Leser wird feststellen, dass der Text vier, von dem hier die Rede ist, im Abschnitt Transposition: Zeichen vertauschen behandelt wurde. Buchstabenzuordnungen Man kann für eine Cesar-Verschlüsselung auch eine Zuordnungstabelle erstellen (man beachte die Groß- und Kleinschreibung!): a b c d e f g h i j k l m n o p q r s t u v w x y z V W X Y Z A B C D E F G H I J K L M N O P Q R S T U Tabelle 1: Zuordnungen bei Cesar; Lesebeispiel: aus einem Klartext e wird ein Geheimtext Z Der entscheidende Nachteil der Cesar-Verschlüsselung ist, dass es meist (bei normalen Alphabeten) nur 26 Schlüssel gibt. Geringe Schlüsselzahlen vereinfachen jedoch Brute force -Angriffe 1. Das Problem ist in der Zuordnungstabelle daran erkennbar, dass das 1 Brute force heißt übersetzt rohe Gewalt : Es wird ohne jegliche Logik einfach jeder mögliche Schlüssel ausprobiert. Dies führt bei den meisten Verschlüsselungsverfahren zu einem Erfolg. Eine der wenigen Ausnahmen ist das One time pad (siehe Seite 2).

9 9 Geheimtextalphabet die gleiche Buchstabenreihenfolge hat wie das Klartextalphabet. Hier nun ein Geheimtext, auf den dies nicht mehr zutrifft: TBBREUFBEQRBVVNFUDLKBTZVXOSBNHANFXHOFHTEOHQTBDQHTEURRHTCHXILNTITBIJHOTHSGHX JBLXHTFBEHOTCHXIHLSNHXXUHSOEDLHXJHRFLHXXHTNMODQHRNLBNISEHOTHTNXIVVHTKHLHOSH CUNEDLBJNHTZIEHTFHTEOHMOEEHTCHENOSSNEHOTHTTBSHTITFFBSONMOHSBTFOHEHEBRNHGHXJ BLXHTQTBDQHTQBTT Geheimtext 3: Eine allgemeine monoalphabetische Verschlüsselung Wir erstellen zuerst wieder eine Häufigkeitsanalyse: Abbildung 4: Einzelzeichenhäufigkeiten nach allgemeiner monoalphabetischer Verschlüsselung Wie bei den vorherigen Häufigkeitsanalysen gibt es ein Zeichen, welches mit 17% am häufigsten auftritt. Jedoch lassen sich die anderen Charakteristika nicht wieder finden: Nicht erkennbar ist z.b. eine Treppe neben dem höchsten Balken. Wir müssen also eine Buchstabenzuordnungstabelle aufstellen und können nicht einfach ein normales jedoch verschobenes Alphabet einsetzen. Die mit Abstand häufigsten Buchstaben im Deutschen sind (vgl. Abbildung 3) e und n. In dem neuerlichen Geheimtext trifft dieses Merkmal auf das H und das T zu. Wir nehmen also an, dass es sich bei diesen beiden Zeichen um ein e und ein n handelt: a b c d e f g h i j k l m n o p q r s t u v w x y z H T Tabelle 2: Nahezu leere Zuordnungstabelle Um die obige Vermutung zu stützen, erstelle ich eine Bigrammanalyse des Geheimtextes. Dabei zähle ich im Gegensatz zu der Einzelzeichenanalyse nicht, wie oft einzelne Buchstaben auftauchen, sondern wie oft Buchstabenkombinationen im Text vorkommen:

10 10 Abbildung 5: Bigrammanalyse nach allgemeiner monoalphabetischer Verschlüsselung Um das Ergebnis mit der deutschen Sprache vergleichen zu können, erstelle ich nun eine Bigrammanalyse meiner ersten Seiten: Abbildung 6: Bigrammanalyse der deutschen Sprache in meiner Facharbeit Aus der Vermutung, H und T seien e und n, folgt, dass das Bigramm HT für en steht. Die Bigrammanalyse stützt unsere Vermutung: Beide Bigramme treten jeweils im häufigsten in der jeweiligen Statistik auf. Analog zu der Bigrammanalyse können wir auch eine Trigrammanalyse erstellen: Abbildung 7: Trigrammanalyse nach allgemeiner monoalphabetischer Verschlüsselung

11 11 Abbildung 8: Trigrammanalyse der deutschen Sprach in meiner Facharbeit Nach unseren bisherigen Annahmen steht HOT für eon. Unter den häufigsten Trigrammen der deutschen Sprache ist ein, d.h. ein O steht für ein i. Die Einzelzeichenhäufigkeitsanalyse stützt diese Vermutung. Anhand der Bigrammanalyse können wir vermuten, dass HX, also ex, für er steht. Stellen wir nun unsere Vermutungen in der Zuordnungstabelle zusammen: a b c d e f g h i j k l m n o p q r s t u v w x y z H O T X Tabelle 3: Zuordnungstabelle bei ihrer ersten Anwendung Wir können bereits diese wenigen Erkenntnisse auf den Geheimtext anwenden: nbbreufbeqrbvvnfudlkbnzvrisbneanfreifeneieqnbdqeneurrencerilnninbijeinesger JBLrenFBEeinCerIeLSNerrUeSiEDLerJeRFLerrenNMiDQeRNLBNISEeinenNrIVVenKeLeiSe CUNEDLBJNenZIEenFenEieMiEEenCeENiSSNEeinennBSenInFFBSiNMieSBnFieEeEBRNeGerJ BLrenQnBDQenQBnn Klartext 3: Die allgemeine monoalphabetische Verschlüsselung - bereits teilweise geknackt Nun können wir den Text mit seinen eigenen Mitteln schlagen: In den beiden letzten entschlüsselten Texten kamen die Worte textvier und textfuenf jeweils in der ersten Texthälfte vor. Es ist anzunehmen, dass in diesem Text ein textdrei erwähnt wird. Schon in der ersten Zeile werden wir fündig: NeANFrei. Diese Methode ist zwar nicht sehr elegant, aber durchaus legitim und realitätsnah: Im zweiten Weltkrieg übermittelten die deutschen Truppen jeden Morgen um 6:00 einen Wetterbericht, der ein strenges Format einhielt [2]: Einerseits war stets das Wort Wetter enthalten, andererseits kannten die Alliierten natürlich über eigene Wetterbeobachtungen den Inhalt der Nachricht. Folglich dürfen auch bei der Kryptoanalyse Annahmen über den Inhalt einer Nachricht gemacht werden.

12 12 Der Text beginnt mit nbb. Das B muss also ein Vokal sein. Hierfür kommen noch in Frage a, o und u. Die Monogrammanalyse (Einzelzeichenhäufigkeitenanalyse) des B s legt nahe, dass es sich ihm ein a handelt. Am Ende des Textes sehen wir QnaDQenQann. Dies könnte knackenkann heißen. Also ist das Q ein k und das D ein c. Die Bigrammanalyse ergibt zwei Bigramme, die mit D beginnen: DQ und DL. Das DQ wurde bereits als ck identifiziert, folglich könnte das DL ein ch sein. Es gibt das Trigramm EDL doppelt. Hierbei könnte es sich um ein sch handeln. Die Monogrammanalyse des E stützt diese Theorie. Schauen wir nun wieder an den Textanfang. Dort steht nach den bisherigen Erkenntnissen textdreidensieknackensurren. Heißt dies etwa textdreidensieknackensollen? Damit wäre das U ein o und das R ein l. Auch diesem steht die Monogrammanalyse der Zeichen nicht im Weg. Vervollständigen wir wieder unsere Zuordnungstabelle: a b c d e f g h i J k l M n o p q r s t u v w x y z B D F H L O Q R T U X E N A Tabelle 4: Nahezu vollständige Zuordnungstabelle Es war zu diesem Geheimtext bekannt, dass ein Schlüsselwort der Name einer Verschlüsselungsmaschine aus dem zweiten Weltkrieg sein sollte. Die wohl bekannteste heißt Enigma. Dieses Schlüsselwort kann man oben in der Tabelle quasi einsetzen: stuvwx wird vermutlich durch ENIGMA repräsentiert. Allein aus dem Schlüsselwort ergibt sich jedoch nicht automatisch die komplette Zuordnungstabelle. Wenn jedoch der Nachrichtenempfänger nur das Schlüsselwort ENIGMA hat, so muss er die restliche Zuordnungstabelle rekonstruieren können. Bei Betrachtung der restlichen Tabelleteile fällt auf, dass die Zeichen dort alphabetisch sortiert sind: Vermutlich muss die Tabelle einfach nur mit den Zeichen aufgefüllt werden, die nicht im Schlüsselwort auftauchen. Durch dieses Vorgehen ergibt sich folgende, vollständige Zuordnungstabelle: a b c d e f g h i j k l m n o p q r s t u v w x y z B C D F H J K L O P Q R S T U V W X E N I G M A Y Z Tabelle 5: Vollständige Zuordnungstabelle Mit dieser Tabelle können wir den Geheimtext komplett entschlüsseln: naalsodasklapptdochganzprimatextdreidensieknackensollenberuhtnunaufeinemver fahrendaseinberuehmterroemischerfeldherrentwickelthatumseinentruppengeheime

13 13 botschaftenzusendensiewissenbestimmtseinennamenunddamitwiemandiesesalteverf ahrenknackenkann Klartext 4: Eine weitere monoalphabetische Verschlüsselung wurde überwunden Die erwähnte Cesar-Verschlüsselung wurde bereits zu Anfang dieses Abschnittes erfolgreich angegriffen. Weitergehende monoalphabetische Verfahren Das Hauptinstrument, welches wir soeben gegen die monoalphabetischen Verschlüsselungen genutzt haben, ist die Häufigkeitsanalyse. Dagegen geht die homophone Verschlüsselung an [5]: Das Geheimtextalphabet wird dabei so erweitert, dass für häufigere Klartextzeichen mehrere Geheimtextzeichen zur Verfügung stehen. Die einfachste Implementierung nimmt als Geheimtextalphabet alle Zahlen zwischen 1 und 100. Davon werden 17 zufällig ausgewählt und dem Klartext-e zugeordnet, weitere 10 dem Klartext-n (u.s.w.). Anschließend wird für jedes Klartext-e zufällig eine der 17 Geheimtextzahlen ausgewählt. Die Folge ist, dass alle Zahlen ungefähr gleich oft auftauchen. Trotzdem lassen sich auch hier Häufigkeitsanalysen einsetzen: Bi- und Trigramme werden durch die homophone Verschlüsselung nicht vertuscht, sondern nur seltener gemacht. Polyalphabetische Substitution Die soeben kennen gelernten monoalphabetischen Verschlüsselungsverfahren haben alle den Nachteil, dass wenn ein Geheimtextzeichen mehrmals im Geheimtext auftaucht, es stets für das gleiche Klartextzeichen steht. Dieses Problem hat unter anderem der französischen Diplomaten Vigenère (1523 bis 1596) gelöst [11]: Als Schlüssel wird ein Wort verwendet, das so oft wiederholt (hintereinander geschrieben) wird, bis es die gleiche Länge wie die zu verschlüsselnde Botschaft hat: Nachricht: Schlüssel: diesisteinbeispielfuereinenzuverschluesselndengeheimtext SCHLUESSELSCHLUESSELSCHLUESSELSCHLUESSELSCHLUESSELSCHLUE Nun kann jedem Buchstaben (z.b. einem e ) aus dem Klartext eines von mehreren Schlüsselzeichen zugeordnet werden. Umgekehrt bedeutet dies, dass ein Geheimtextbuchstabe, der an verschiedenen Stellen im Geheimtext auftaucht, stets für verschiedene Klartextzeichen stehen kann. Als Algorithmus (Verfahren), um einen Klartextbuchstaben anhand eines Schlüsselbuchstabens in einen Geheimtextbuchstaben umzuwandeln, sah Vigenère eine

14 14 Verschiebung im Alphabet vor [5]: Ist das Schlüsselzeichen ein A, so wird der Klartextbuchstabe um ein Zeichen im Alphabet verschoben, bei einem B um zwei, u. s. w.; ist das Schlüsselzeichen schließlich ein Z, so wird der Klartextbuchstabe um 26 Zeichen verschoben: Das Klartextzeichen entspricht dem Geheimtextzeichen. Hier das obige Beispiel in verschlüsselter Form: WLMEDXMXNZUHQEKNXEKGXUMUIJGSZHXUAOCQNXXEXOVPZSZXMQBPBQSY Die Entschlüsselung geschieht analog zur Verschlüsselung; es muss lediglich in die entgegengesetzte Richtung verschoben werden. Wie finde ich das Schlüsselwort? (Nach Babbage und Kasiski, [2]) Ein nahezu offensichtlicher Angriffspunkt der Vigenère-Verschlüsselung ist die Tatsache, dass die Anzahl der Schlüsselbuchstaben (abhängig von der Schlüsselwortlänge) begrenzt ist und der interne Algorithmus (mit dem einzelne Zeichen substituiert werden) dem entspricht, was wir bei der Cesar-Verschlüsselung kennen gelernt haben. Das im Folgenden vorgestellte Verfahren nach Babbage/Kasiski funktioniert also nur unter der Vorrausetzung, dass das Schlüsselwort sehr viel kürzer als die verschlüsselte Nachricht ist (vgl. Das One Time Pad, Seite 26). Nehmen wir an, wir kennen die Schlüsselwortlänge, so wissen wir, wie viele Schlüsselbuchstaben es gibt. Wir wissen auch, welche Buchstaben mit dem gleichen Schlüsselbuchstaben verschlüsselt worden sind: Ist das Schlüsselwort drei Zeichen lang, so wird das erste, vierte und siebte Zeichen der Botschaft mit dem gleichen Schlüsselbuchstaben verschlüsselt, ebenso der zweite, fünfte und achte Buchstabe. Hierzu ein Beispiel. Der Geheimtext ist: HSOYABYTFSZFCUFXODSHILHCPNFTQIYSUXOOOOTDSMMURSSYOMDSSQOICIORSODONXSMYCTNOSH WMOS Er wurde mit einem drei Zeichen langen Schlüsselwort verschlüsselt. Folglich wurden jeweils mit einem Schlüsselwort verschlüsselt (eine Zeile = ein Schlüsselbuchstabe): HYYSCXSLPTYXODMSOSOISOSCOWS SATZUOHHNQSOOSUSMSIOONMTSM OBFFFDICFIUOTMRYDQCRDXYNHO Zu allen drei Zeilen hier eine Häufigkeitsanalyse:

15 15 Abbildung 9: Häufigkeitsanalyse bei Vigenère für den ersten Schlüsselbuchstaben Abbildung 10: Häufigkeitsanalyse bei Vigenère für den zweiten Schlüsselbuchstaben Abbildung 11: Häufigkeitsanalyse bei Vigenère für den dritten Schlüsselbuchstaben Hier nun nochmals die Häufigkeitsanalyse eines deutschen Textes: Abbildung 12: Häufigkeitsanalyse meiner Facharbeit

16 16 Die Schlüsselsuche kann nach ähnlichen Verfahren geschehen wie bereits im Abschnitt Monoalphabetische Substitution: Buchstaben austauschen beschrieben. Das im Anhang beschriebene Programm (siehe Seite 28) nimmt uns jedoch die Arbeit ab: Es findet bei einer Abweichung von 1,05 (siehe Programmdokumentation) folgende potentielle Schlüssel: JNA, JNJ, JNK, JNP, JNT, JNU, JNY, KNA, KNJ, KNK, KNP, KNT, KNU und KNY. Einfaches durchprobieren führt uns zu dem richtigen Schlüssel: KNA. Dann ist der Text entschlüsselt: wennmanfehlergemachthatbezeichnetmandasselbgqhexdychepdubxaqhacdzwhyxrfmdeg lynh Es fällt auf, dass nur der halbe Text lesbar ist. Das zugrunde liegende Verfahren lässt jedoch ein solches Ergebnis kaum zu. Es ist anzunehmen, dass in den Geheimtext ein Fehler eingebaut wurde. Ein einzelnes ausgetauschtes Zeichen würde jedoch nicht den gesamten folgenden Text verändern. Folglich müssen Zeichen eingefügt oder entfernt worden sein. Da das Schlüsselwort nur drei Zeichen lang ist (und ein eingefügtes oder entferntes Tripel den folgenden Text nicht beeinflussen würde), muss nur getestet werden, ob der Text einen Sinn ergibt, wenn man ein Zeichen einfügt oder entfernt. Ersteres traf zu, statt HSOYABYTFSZFCUFXODSHILHCPNFTQIYSUXOOOOTDSMMURSSYOMDSSQOICIORSODONXSMYCTNOSH WMOS muss der Geheimtext heißen: HSOYABYTFSZFCUFXODSHILHCPNFTQIYSUXOOOOTDSMMGURSSYOMDSSQOICIORSODONXSMYCTNOS HWMOS Nun entschlüsselt man diesen, neuen Geheimtext mit dem weiterhin richtigen Schlüssel KNA: Wennmanfehlergemachthatbezeichnetmandasselbstgernalserfahrungensammelnoscar wilde Der Fehler, der soeben in der Aufgabenstellung gefunden wurde, kann auch als anderes Verfahren gesehen werden, um Kommunikation zu schützen: Eine Ausartung der Steganographie (Verstecken von Informationen). Es handelt sich also um eine Überschlüsselung, d.h. um eine weitere kryptographische Manipulation eines bereits verschlüsselten Textes. Wie finde ich die Schlüsselwortlänge? Wir gehen davon aus, dass einzelne Zeichenkombinationen sehr häufig in einem Text vorkommen. Dies trifft z.b. auf eine oder chen zu. Unter der Annahme, dass das Schlüsselwort sehr viel kürzer ist als die Botschaft, können wir davon ausgehen, dass diese Zeichenkombination mehrfach mit den gleichen Schlüsselbuchstaben verschlüsselt wurde. Es muss demnach nach Tetragrammen oder sogar Pentagrammen im Geheimtext gesucht werden.

17 17 Wenn wir eine Zeichenfolge ausfindig gemacht haben, so müssen wir die Differenz der Startpositionen im Text bilden. Meistens gibt es einen größten gemeinsamen Teiler, der der Schlüsselwortlänge entspricht. Zugrunde liegt die Annahme, dass diese Zeichenfolgen mit den gleichen Schlüsselbuchstaben chiffriert worden sind und so einen gewissen Abstand (nämlich ein Vielfaches der Schlüsselwortlänge) haben müssen. Wir bilden die Differenz der Startpositionen, da wir ansonsten nur mit Zeichenfolgen arbeiten könnten, deren erster Schlüsselbuchstabe gleichzeitig das erste Schlüsselwortzeichen ist. Ein Beispiel: WN5827LW0OS5PIW6GQ4W0SG433A7JY3Z5W2PTJH8SQSRW1IQ6J9PWQTYC1LRTSVSYXTSCB162IW FELC061IQXK01SQYQ01Z44T99FXOXW1Y8TH2SQ5PXEWWPVTA7JZWTA9J3MWWWYQ4Z5RK0WLBRJY ZUW1X05WUSP0Y4W3YPTJAPJPPZBSYPLXA6JUYVCSQXNTVSTRQJ5DZSYL3WHTTXB8SPONWZNZ52D SW4TT5SS6YYW5G3PNBSWNPYWWQURZ5U0UPQW5JZ410QPXPWW1Y44JZSSXTSCBN44FCQMM5KVSR1 NQS8KRSNYOZRRWC1I4PN5SXWZSHSU53XWWSQ2M6VJZWJ06Y6YLATMURPWWY6YITSY3TJT6XUNMW 5MQTYS8HTMJ0RJ3OFBSSNPWB5FS5SYAN3OQ01Z9TR4SWT5K0UJ3PN5UJ4PYH7F6NM01GQ4W0SGQ YZ5R0Q21SZY6YLW1J4P206YUPWW1ZZ4J9OSPPWW00Q2X02SQYK9TTXRJ5RJ1WFB7K02RW1NZ4J3 8SP6J9UQQTHZPF3PU6AJ30HSZUTLX7OWOXTB2W0WFOM5CBR03X12THSX4ZWW1QUYZFAN3ON5RJ3 2JYSQYTYY5FRTXUVJ3MJ58YBPW6PJ3QQUVJ9C6C1I8TSV214SS3WHTPSXSS44J96344J4SSBMPV SJUYLW6J5AYZ8KUR105IXTSCBFX3I06Y3TGC7N0YN59J3MN5RZZRR071QTYW5J33TX71M2JS1LQ MTBSSQ41SQFXOJ9OT1PS3WS68IWPNMYL58QUYZFRQP2JVVF53ZASTPPWWOXAWN582OZUG5NSSYK E5EMNTZN0RWS3MU3HZSXUYXBWY64KSPW0NPZOZ4LL Geheimtext 4: Wie findet man die Schlüsselwortlänge bei der Vigenère-Verschlüsselung? In diesem Text findet sich das Pentagramm XTSCB gleich dreifach: An der 66. Stelle, an der 282sten sowie ab dem 696 Zeichen. Die Differenz der ersten beiden Fundorte ist 216, die der letzten beiden ist 414. Auch an der 17. und 443. Stelle beginnen gleiche Pentagramme. Die Differenz ist 426. Zeichenfolge Auftreten a Differenz Teiler XTSCB 66, 282, , WN528 1, GQ4W0 17, QUYZF 587, Der größte gemeinsame Teiler ist die 6. Es kann davon ausgegangen werden, dass der zugrunde liegende Schlüssel sechs Zeichen lang ist. Mit dieser Erkenntnis können wir mit dem oben beschriebenen Verfahren einen Angriff starten.

18 18 Schon mit einer Abweichung von 0,45 kann das Programm im Anhang den richtigen Schlüssel finden: KERNEL. Damit sieht das Ergebnis so aus: linuxvariantedesbetriebssystemsunixdiezunehmendeverbreitungfindetlinuxwurde 1991vondemfinnenlinustorvaldsentwickelteswirdkostenlosverbreitetundfolgtdem opensourcekonzeptdiesbedeutetdassseinquellcodeoffenzugnglichistunddielinuxv ersionenunterbreiterbeteiligungvielerentwicklerentstehenlinuxistauchaufdemp clauffhigaufgrundseineskonzeptsseinerhohenleistungsfhigkeitundbetriebssiche rheitauchbeiderdatenbertragungwirdlinuximmerhufigereingesetztauchinbetriebe nundverwaltungenesexistierenunteranderemversionenfrfolgendeplattformenintel undvergleichbarepowerpcalphasparcmotorola68000mipsprozessorenlinuxwirdinder regelmitgrafischerbenutzeroberflchex11undwindowshnlichenfenstersystemenzbkd eeingesetzthufigwirdlinuxalsdistributioninverbindungmitweiterersoftwareange botenetwacalderaopenlinuxdebiangnulinuxdldredhatsuseodereasylinuxcopyright2 002bibliographischesinstitutfabrockhausag Klartext 5: Die Schlüsselwortlänge wurde gefunden, dadurch konnten wir das Schlüsselwort bestimmen. Enigma Die in den 20er Jahren des 20. Jahrhunderts in Deutschland entwickelte Enigma ist eine Maschine. Sie leitete eine Revolution in der Kryptographie ein: Bisher waren die Verschlüsselungsverfahren recht einfach per Hand durchzuführen, nun wurde mit den Vorgängern von Computern verschlüsselt [2]. Der Bediener der Enigma hat eine Tastatur vor sich, mit der er eine Botschaft eintippen kann. Weiterhin sieht er ein Lampenfeld, auf dem die substituierten Zeichen aufleuchten. Es ist bei der Bedienung nicht zwischen Verund Entschlüsselung zu unterscheiden; bei gleichen Schlüsseleinstellungen ist die Enigma involutorisch [7] (Beispiel: Gibt man ein w ein, gibt die Maschine ein E Abbildung 14: Eine einsatzbereite aus; gäbe man ein E ein, so gäbe sie ein w aus). Dies Enigma. Quelle: [2] lässt sich durch die Tatsache erklären, dass sich die Verschlüsselung durch physische Veränderungen an einem Stromkreis ergibt; von welcher Richtung aus der Stromkreis durchflossen ist, ist dabei irrelevant. Abbildung 13: Grundkomponenten der Enigma mit 6 statt 26 Kontakten. Quelle: [2]

19 19 Im Kern besteht die Enigma aus Walzen, die 26 Kontakte auf beiden Seiten haben. Die Kontakte sind in den Scheiben verschieden verdrahtet (siehe Abbildung 13). Nachdem ein Zeichen verschlüsselt wurde, wird die Walze gedreht. Dadurch entstehen komplett neue Verdrahtungen zwischen Tastatur und Lichtfeld: Der Schlüssel hat sich geändert. Bislang ist die Enigma jedoch nur eine einfache polyalphabetische Verschlüsselung mit einem 26 Stellen langen Schlüssel: Bei Geheimtexten mit mehr als 26 Zeichen Länge können wir über Häufigkeitsanalysen den Geheimtext entziffern. Um dieses Problem zu entschärfen, sind in der Enigma nicht nur eine Walze sondern drei. Erst wenn sich die erste komplett gedreht hat (also wieder mit einem bereits benutzen Schlüssel verschlüsseln würde) wird die zweite Walze gedreht (ebenso verhält sich die dritte Walze zur zweiten). Nun bräuchten wir eine mehr als = Zeichen lange Botschaft, um mit einer Häufigkeitsanalyse der Enigma Herr werden zu können. Dies entspräche ungefähr der halben Facharbeit. Wirklich einsatzfähig wäre ein solch einfaches Kryptoanalyseverfahren jedoch erst bei einem mehrere Hunderttausend Zeichen langem Text. Abbildung 15: Die Enigma wie sie im Krieg eingesetzt wurde. Quelle: [2] Die Enigma war jedoch noch etwas komplexer: Einerseits wurde ein Reflektor eingeführt, der zu einer Überschlüsselung mit der gleichen Walzenlage führte (siehe auch [6]). Andererseits gab es noch ein Steckbrett, mit dem beliebig Buchstaben vor und nach der Verschlüsselung vertauscht werden konnten. Um die Sicherheit der Enigma weiter zu erhöhen, konnten die Walzen untereinander umgeordnet werden. Weiterhin wurden im Krieg fünf (Luftwaffe) bis acht (Marine, [6]) Walzen mit verschiedenen internen Verdrahtungen ausgegeben, von denen aber jeweils nur drei gleichzeitig im Einsatz waren. Als Schlüssel für die Enigma-Bediener mussten im Krieg die Steckverbindungen auf dem Steckbrett angegeben werden (z.b. vertausche a mit b, k mit z und d mit u ), welche der fünf Walzen benutzt werden sollten ( benutze Walze 3, 1 und 5 ) und in welcher Lage die Walzen vor einer Ver-/Entschlüsselung sein sollten ( drehe die erste Walze um drei Stufen, die zweite Walze um sechzehn und die dritte Walze um zwanzig Stufen ). Während eines Verschlüsselungsvorgangs blieb das Steckbrett genau wie die Walzenauswahl unverändert, es änderten sich lediglich die Walzenlagen.

20 20 Attacken auf die Enigma Obwohl die Anzahl möglicher Schlüssel riesig groß ist, lassen sich mit der Enigma verschlüsselte Botschaften entschlüsseln. Hierfür müssen die einzelnen Komponenten der Enigma in ihrer Wirkung auf die Verschlüsselung getrennt werden: Die Tatsache, dass jeweils drei der fünf Walzen im Einsatz sind, sollte für die Kryptoanalytiker der Alliierten im Krieg kein Problem darstellen: Man konnte es sich leisten, im britischen Bletchley Park 5 43 = 60Entschlüsselungsläufe gleichzeitig durchzuführen, d.h. alle Walzenpermutationen gleichzeitig zu überprüfen [2]. Sobald eine Möglichkeit gefunden wurde, die korrekten Walzenlagen zu ermitteln, sollte das Steckbrett keine Hürde mehr darstellen: Es verschlüsselt nur monoalphabetisch und lässt sich damit über eine Häufigkeitsanalyse umgehen. Das einzige Problem für die Alliierten war also, die richtigen Ausgangswalzenlagen zu finden: Wie weit muss jede Walze vor ihrem Einsatz gedreht werden? Es ist nicht möglich, alle = Walzenlagen auszuprobieren, denn dann wäre der Aufwand für die Umgehung der Steckbretthürde zu groß (es müssten auch Häufigkeitsanalysen erstellt und getestet werden). Es galt also eine Abkürzung zu finden, um die korrekte Walzenlage zu ermitteln. Die Lösung des Problems geht auf Alan Turing zurück, einen britischen Mathematiker, der bereits 1936 im Alter von 24 Jahren mit der abstrakten Turing-Maschine eine Grundlage für die heutige Informatik schuf [2], [3]. Alle Angriffe auf die Enigma erfolgten auf Annahmen über die Inhalte von Geheimtexten: So sendeten die Deutschen jeden Morgen um 6:00 eine Nachricht mit der Wetterlage, die meist mit der Zeichenfolge wetter begann. Turing erhielt also einen deutschen Funkspruch, dessen Inhalt bekannt war, in verschlüsselter Form: z.b. ETJWPX [2]. Die Enigma hat also ein w in ein E Abbildung 16: Turings Bombe. Quelle: [2] verschlüsselt (Walzenlage S). Die gleiche Enigma hat eine Walzenlage weiter (S + 1) ein e in ein T verschlüsselt. Noch zwei Walzenlagen später (S + 3) hat sie ein t in ein W verwandelt (dieses W entsprach

21 21 wiederum der Eingabe w in die Enigma im Anfangsstadium S). Es entsteht also eine Art Loop, d.h. nach den beschriebenen Verschlüsselungsdurchläufen gibt eine mit der gesuchten Konfiguration laufende Enigma wieder das ursprüngliche Zeichen aus. Nun wollte Turing dieses Verhalten imitieren: Die deutsche Enigma muss bei der Eingabe eines w ein E ausgeben haben, wie also mussten die Walzen gedreht sein? Turing konnte jedoch nicht einfach seine Enigma so lange Walzenlagen durchprobieren lassen, bis ein w zu einem E wurde; er kannte schließlich die Steckbrettkonfiguration nicht und hätte also weder ein w noch ein E identifizieren können. Der entscheidende Gedanke Turings war, dass das E was er erhielt mag es auch durch das Steckbrett ein U, K, S oder Z gewesen sein, bei dem zweiten Durchlaufen eines Steckbrettes wieder zu einem E werden würde (schließlich änderte sich das Steckbrett während einer Verschlüsselung nicht sondern tauscht immer nur Buchstabenpaare aus). Turing gab also ein Zeichen, das er als w annahm (1. Zeichen von S: w E wetter ), in die Enigma ein und erhielt ein anderes Zeichen (das quasi-e ). Dieses nutzte er als Eingabe für eine zweite Enigma (als S + 1: e T 2. Zeichen von wetter ), und erhielt ein quasi-t. Dieses T (als 4. Zeichen (!!) von wetter ) wiederum gab er als Eingabe in eine S + 3: t W dritte Enigma, die daraus wiederum ein quasi-w machte. Selbiges verglich er mit der Eingabe für die erste Enigma denn schließlich musste (aufgrund des konstanten Steckbrettes) das quasi-w seiner Annahme über das w entsprechen. Turing hat also drei Verschlüsselungsvorgänge, die eigentlich zeitlich aufeinander folgen (der Bediener gibt die Zeichen w, e und t ja nacheinander ein), gleichzeitig in einen Stromkreis hintereinander gelegt. Er muss daher alle Änderungen, die eigentlich zeitlich an einer Enigma geschehen würden, zwischen den drei Enigmas vornehmen: Die Walzenlage der zweiten Enigma (welche das zweite Zeichen von wetter überprüft) muss um eine Position gegenüber der ersten verschoben sein (S + 1), die dritte Enigma (welche das vierte Zeichen von wetter überprüft) sogar um drei Positionen (S + 3). Nun konnte Turing eine Enigma so lange Positionen durchtesten lassen, bis eine mögliche Ausgangslage S für die erste Walze gefunden war, bei der nach Verschlüsselung des Ergebnisses mit der zweiten Enigma im Stadium S + 1 und der dritten Enigma im Stadium S + 3 wieder die Eingabe der ersten Enigma als Ergebnis herauskam. So konnte Turing zwar nicht sicher sein, dass er tatsächlich das Wort wetter dechiffriert hatte er fand aber in jedem Fall eine gültige Weichenlage für den Loop und damit zumindest einen Kandidaten für die Ausgangswalzenlage und damit den Tagesschlüssel der Deutschen. In Wirklichkeit geschah diese Walzenlagensuche natürlich vollmechanisch und vollautomatisch, wie Abbildung 16 erahnen lässt. Es wurden Maschinen, so genannte

22 22 Bomben, gebaut, die binnen Stunden den jeweiligen Tagesschlüssel der Deutschen ermittelten. Es wurden auch nicht nur drei Enigmas hintereinander geklemmt, sondern weitaus mehr (in Abhängigkeit von der Länge der Loops in den Funksprüchen, von denen man Klartext und Geheimtext kannte) [2][7]. Bei der Entschlüsselung der Enigma wurden weniger Entwurfsfehler der Maschine selber als Bedienungsfehler benutzt: Es wurde gegen den Grundsatz verstoßen, einen Schlüssel nur ein einziges Mal zu verwenden; die Deutschen verwendeten (mit Einschränkungen, siehe [2]) ein und denselben Schlüssel einen ganzen Tag lang. Es wurden (zumindest beim Heer, weniger bei der Marine) feste Nachrichtenformate verwendet, so etwa die Wettermeldungen am Tagesanbruch. In den ersten Kriegsjahren wurden sicherheitshalber die ersten drei Zeichen doppelt übermittelt, d.h. das vierte Zeichen war gleich dem ersten, das fünfte gleich dem zweiten und das sechste gleich dem vierten. Erst dadurch wurde den Polen das Knacken der Enigma ermöglicht (eine genauere Beschreibung findet sich in [2]). Weiterhin waren natürlich auch erbeutete Codebücher und besonders im Falle der deutschen Marine erbeutete Enigmas eine große Hilfe für die Kryptoanalytiker der Alliierten. Als anderes Ergebnis der Enigma lässt sich festhalten, dass Überschlüsselungen und darauf beruht die Enigma nicht zwangsläufig ein höheres Maß an Sicherheit bringen sondern vielmehr die Sicherheit auch gefährden können. Folgen in dem Informationszeitalter Keines der hier vorgestellten Verschlüsselungsverfahren wird in der heutigen Zeit noch so eingesetzt, wie es früher der Fall war: Bei der Entwicklung dieser kryptographischer Verfahren wurde auf die Anwendbarkeit durch einen Menschen geachtet, Computer haben jedoch andere Fähigkeiten und Ansprüche. Dennoch liegen auch bei heutigen Verschlüsselungsverfahren noch die Grundsätze von früher zugrunde: Das One time pad (Seite 26) etwa greift auf das Verfahren von Vigenère zurück, es korrigiert nur dessen Fehler. Als Fazit lässt sich also festhalten, dass meine Entschlüsselungen heute keine praktische Relevanz mehr haben können mal abgesehen vom Dechiffrieren von Nachrichten, die sich Grundschüler zukommen lassen.

23 23 Das Problem der Schlüsselverteilung Die bisher vorgestellten Verfahren lösen ein Problem gar nicht: Die Schlüsselverteilung. Alle Verfahren gehen davon aus, dass die beiden Kommunikationspartner einen Schlüssel vereinbart haben, der der Welt gegenüber geheim ist. Dadurch haben die vorgestellten Verfahren an praktischer Relevanz verloren. Wie also soll eine Nachricht geschützt übermittelt werden, wenn sich die beiden Kommunikationspartner nicht kennen und somit auch keine Schlüssel ausgetauscht haben? Wie soll der sichere Schlüsselaustausch gewährleistet werden, wenn Tausende von geschützten Nachrichten jeden Tag über große Distanzen übermittelt werden? Ich stelle nun zwei Ansatzpunkte für dieses Problem vor. Das Diffie-Hellman-Verfahren zur Schlüsselvereinbarung Grundidee dieses Ansatzes ist, die Schlüsselvereinbahrung öffentlich und trotzdem sicher zu machen. Beide Kommunikationspartner wählen jeweils eine Zahl. Wir nennen diese beiden Zahlen A und B. Weiterhin vereinbaren sie öffentlich ein Y und ein P. Daraus werden a und b ermittelt, die dem Kommunikationspartner mitgeteilt werden müssen. Daraus kann schließlich ein geheimer Schlüssel ermittelt werden (Erläuterungen zum Modulo auf Seite 26) [2]: A a = Y mod P B b= Y mod P B A Schlüssel = a mod t = b mod P Ein Beispiel: A= 14; B= 21; Y = 3; P= 7 a = Y P= = = A 14 mod 3 mod mod 7 2 b= Y P= = = B 21 mod 3 mod mod 7 6 Schlüssel = = = mod7 6 mod7 1 Der Kern dieses Verfahrens ist einfach; es liegen schlichtweg Potenzgesetze zugrunde [9]: B A ( ) ( ) (mod ) B A A B B A a = Y = Y = Y = b P Es fällt natürlich sofort eine Vereinfachung auf: Ich habe mehrere Modulo weggelassen. Dies ist jedoch möglich aufgrund von [10]:

24 24 ( x mod z) y = ( x y) (mod z) Diesen Grundsatz der Modulorechnung beweise ich im Anhang im Abschnitt Die Multiplikation in der Modulorechnung (Seite 27). Das Problem dieses Verfahrens ist, dass eine bidirektionale Kommunikation notwendig ist: Sender und Empfänger müssen mehrmals Informationen austauschen, also zeitgleich arbeiten. Dies ist z.b. für den verkehr eine inakzeptable Hürde. Mehr in [2] (um Seite 321) sowie in [9] (u.a. Seite 5) Asymmetrische Verschlüsselung Die Verbreitung der Schlüssel ist unproblematisch, wenn ein kryptographischer Algorithmus verwendet wird, bei dem alle Nachrichtensender den gleichen, öffentlichen und damit jedem Angreifer bekannten Schlüssel zum Verschlüsseln einer Botschaft verwenden. Die Entschlüsselung darf natürlich mit diesem öffentlichen Schlüssel nicht möglich sein. Stattdessen gibt es zur Entschlüsselung einen zweiten, privaten Schlüssel [2]. Asymmetrische Verschlüsselungsverfahren erhalten ihren Namen aus der Tatsache, dass sie verschiedene Schlüssel für die Ver- und Entschlüsselung verwenden. Die wohl bekannteste Implementierung dieses Verfahrens heißt RSA. Die Grundlage dafür bildet die Vermutung, dass es in vertretbarer Zeit nicht möglich ist, eine Zahl in ihre Primfaktoren zu zerlegen. Ich werde die Funktionsweise von RSA nur kurz umreißen: Der Empfänger einer Nachricht wählt zwei (große) Primzahlen p und q sowie eine weitere, beliebige Zahl e aus (e steht für encode, engl. chiffrieren). Veröffentlicht wird e genau wie das Produkt der beiden Primzahlen N. Ein Sender einer Nachricht kann sich nun N und e besorgen (z.b. aus einem öffentlichen Schlüsselregister, nicht zwangsläufig vom Empfänger der Nachricht) und daraus mithilfe einer Einwegfunktion seine Botschaft chiffrieren. Nur der Empfänger der Nachricht kennt p und q und kann daraus d, seinen Dechiffrierschlüssel (engl. decode ) berechnen. Mit diesem ist es möglich, die Einwegfunktion dennoch umzukehren und die ursprüngliche Botschaft zu erhalten.

25 25 Literaturverzeichnis [1] Das Grundgesetz der Bundesrepublik Deutschland. Deutscher Bundestag, Juli [2] Singh, Simon: Geheime Botschaften. Die Kunst der Verschlüsselung von der Antike bis in die Zeiten des Internet. Deutscher Taschenbuch Verlag, München, [3] Der Brockhaus in Text und Bild Bibliographisches Institut & F. A. Brockhaus AG [4] Killenberg, Harald: Sicherheitsmanagement [5] Tiemann, Veith: Symmetrische/klassische Kryptographie, ein interaktiver Überblick [6] Jahn, Alexander: Alan Turing und die Enigma [7] Seeger, Thomas: Wie die Enigma geknackt wurde, [8] Das Buch Daniel, Kapitel 5: Das Gastmahl Belschazzars, Theologische Fakultät Innsbruck [9] Kraft, Hanspeter: Öffentliche Geheimhaltung, Basel, [10] Walliser, Holger: Modulo-Rechnung, ein Beweis, 2003 Message-ID: [11] Maja Zöllner - Unlösbare Chiffren,

26 26 Anhang Das One Time Pad Frei übersetzt handelt es sich beim One Time Pad um einen Einmal-Schlüssel. Das besondere an diesem Schlüssel sind seine Länge und seine Zufälligkeit: Er ist genau so lang wie die Botschaft und ist komplett zufällig. Der Verschlüsselungsalgorithmus beim One Time Pad entspricht dem der Vigenère- Verschlüsselung. Diese hatte jedoch zwei Sicherheitslücken: Man kann die Schlüssellänge ermitteln und über diese den Text auf mehrere monoalphabetische Verschlüsselungen zurückführen, die selber über Häufigkeitsanalysen zu entschlüsseln waren. Nun ist zwar die Schlüssellänge bekannt, doch wenn der Schlüssel so lang ist wie der Text funktioniert das Verfahren nicht mehr. Das Verschlüsselungsverfahren des One time pad ist nicht zu brechen. Was hier wie Hochstapelei klingt, lässt sich beweisen (siehe [5]). Trotzdem darf sich jemand, der das One time pad benutzt, nicht in kompletter Sicherheit wiegen: Sollte das Pad, d.h. der Schlüssel, Unbefugten zugänglich werden, so ist alle Sicherheit dahin. Die Modulo-Funktion Der Modulo ist nichts anderes als der Rest einer ganzzahligen Division, wie wir sie in der Grundschule gelernt haben: 7:3= 2 Rest 1 7mod3= 1 Hier wurde der Modulo direkt als Operator genutzt. Es gibt jedoch noch eine weitere Notation; man kann ihn auch auf ganze Gleichungen anwenden: 17 = 42 (mod5) 17 mod5 = 42mod5 2= 2 In der ersten Zeile wurde der Modulo in Klammern geschrieben; daran kann man seine Bedeutung für beide Terme (hier: 17 und 42) erkennen. Wer mehr zu der Modulorechnung finden möchte, sollte nach Restklassen suchen.

27 27 Die Multiplikation in der Modulorechnung Es gilt folgende Gleichung: ( ) = [ ] x mod z y mod z x y mod z Ich gehe im folgenden Beweis davon aus, dass mindestens x nicht durch z teilbar ist; ansonsten wäre der Beweis überflüssig weil beide Terme gleich 0 wären. Es gilt also: x = n z+ Rest bzw. mit dem Modulo: x = n z+ xmod z Ich setze diese Vorraussetzung nun in den rechten Term der Ausgangsgleichung ein und forme um: [ x y] mod z = ( + mod ) ( mod ) n z x z y mod z = n z y+ x z y mod z An dieser Stelle kann ich den linken Summanden in der eckigen Klammer wegfallen lassen, da dieser mit Sicherheit durch z teilbar ist und somit durch den Modulo außerhalb der Klammer zu 0 werden würde: ( mod ) = x z y mod z Der rechte Term der Ausgangsgleichung entspricht also bei den gegebenen Vorrausetzungen dem linken Teil der Ausgangsgleichung. q.e.d.

28 28 Das beste Hilfsmittel: main.exe Mein Hilfsprogramm bietet dem Benutzer folgende Optionen: Einfache Ver- und Entschlüsselung nach Cesar, Vigenère sowie mit einer Zuordnungstabelle Eine Vigenèreschlüsselsuche, für die die Schlüssellänge bekannt sein muss Grafische Häufigkeitenzähler für Mono-, Bi-, Tri- und Polygramme Transposition eines Textes mit dem vorgestellten Skytale-Verfahren bei bekannter Spaltenzahl. Ein einfaches Eingabefeld, welches Texte komplett in Kleinbuchstaben darstellt. Ein Such-Feld, welches Nadeln (Zeichenketten) in Heuhaufen (Texten) sucht. Ein kleiner Rechner, der alle Teiler einer Zahl sucht. Ein Modulo-Rechner, mit dem man den Rest einer Ganzzahldivision findet. Ich werde nun die Arbeitsweisen der Kernkomponenten vorstellen. Alles weitere kann dem Quelltext entnommen werden, der sich genau wie ein Kompilat auf dem beigefügten Datenträger befindet. Ver- und Entschlüsseln In das Eingabefeld oben rechts muss ein einzelnes Zeichen (Cesar), ein Schlüsselwort (Vigenère) oder die vollständige zweite Zeile einer Zuordnungstabelle eingetragen werden. Es ist darauf zu achten, dass das Programm mit dem richtigen Alphabet kompiliert wurde.

29 29 Vigenèreschlüsselsucher Der Schlüsselsucher zerteilt den eingegebenen Text automatisch in viele Teiltexte und führt Häufigkeitsanalysen durch (wie in dem Abschnitt Polyalphabetische Substitution beschrieben). Häufigkeitsanalyse eines unverschlüsselten Textes zu finden ist. Anschließend wird die in der ersten Zeile angegebene Datei geladen, in die Für jede monoalphabetische Verschiebung der Teiltexte wird ein Übereinstimmungswert mit den geladenen Daten gemacht. Dieser Übereinstimmungswert ist die Summe aller relativer Häufigkeiten aller Alphabetelemente (Buchstaben). Verschiebungen, deren Übereinstimmungswerte die eingegebene Genauigkeit unterschreiten, werden ausgegeben. Polygrammhäufigkeiten

30 30 Dieses Subprogramm kann sowohl Mono- als auch Polygramme zählen. Monogramme werden in der Grafik alphabetisch geordnet, Polygramme entweder ungeordnet oder nach ihrer Häufigkeit sortiert ausgegeben. Mit dem linken Eingabefeld wählt man aus, nach was für Polygrammen gesucht werden soll (1 = Monogramme, 2 = Bigramme, 3 = Trigramme, u.s.w.), mit dem zweiten Eingabefeld kann man die Mindesthäufigkeit festlegen, ohne die ein Polygramm nicht angezeigt wird. Die Geheimtexte der Aufgabenstellung Die Aufgabenstellung enthielt einige Geheimtexte, die ich als Einführung in die Kryptoanalyse entschlüsseln sollte. Einige davon habe ich bereits in der Facharbeit gelöst, die anderen werden an dieser Stelle entschlüsselt. Der erste Geheimtext KUFF80MM2T56MK2ZZH2K2LHV2LH2SZ2T8LY7Z0ATAFYZU82L2SG2NZSONLUZZ962LSONLUZZ56M SU2GVASH2V26Z2Z12V2LZ2RZGUHZKUONZUG2UT90LMAZU0T2T56M8TAO82TV2STA2ONSZ2TG2N2 UMZ2RZ2SZ2RZ5K2UUSZSONF62SS2FK0LZONU99LU2LZVASG2N2UM2K0LZUSZV2LTAM22UT2LH2L 62NMZ2TD2LSONF62SS2F6TGSMASONUT2A6SV2M5K2UZ2TK2FZ8LU2G Zuerst erstelle ich eine Mono-, Bi- und Trigrammanalyse: