Eine Privatsphäre schützender Ansatz gegen Erpressung bei elektronischen Zahlungsmitteln.

Transkript

1 Eine Privatsphäre schützender Ansatz gegen Erpressung bei elektronischen Zahlungsmitteln. Basierend auf einer Veröffentlichung von Dennis Kügler und Holger Vogt cand. inform. Alexander Kluge 1 Technische Universität Braunschweig 18. April 2002 Besonderen Dank an Holger Vogt für die umfassende Unterstützung per . 1 Güldenstraße 8b, Braunschweig

2 Inhaltsverzeichnis 1 Grundlagen 3 2 Markieren als neuer Ansatz gegen Betrug Markierung von elektronischem Geld Ein neues Zahlsystem basierend auf unbestreitbaren Signaturen Implementierung des Markieren Den Erpresser überzeugen markiertes Geld anzunehmen Das perfekte Verbrechen Personifizierung des Kunden Entführung des Kunden Implemetierung des Zahlungssystems Die Hauptidee Systemeinstellungen Das Abhebeprotokoll Markieren von Erpressungsgeld Ausgeben und Gutschreiben/Einzahlen Diskussion der Sicherheit und Anonymität 17 6 Verbesserungen 19 7 Ein Vergleich mit Systemen mit aufdeckbarer Anonymität 20 8 Zusammenfassung 22 A Ergänzungen zum Vortrag 25 A.1 Bessere Gliederung des Protokolls A.2 Beweis zur Abbildung A.3 Beweis zur Abbildung

3 Abbildungsverzeichnis 3.1 Allgemeines Challenge-Response-Protokoll Abhebeprotokoll Bestätigungsprotokoll Realisierung des Challenge-Response-Protokolls aus

4 Kapitel 1 Grundlagen Signierte, anonymisierte, elektronische Zahlungssysteme wurden entwickelt um anonym im Internet zu bezahlen, jedoch kann eine krimminell veranlagte Person diese Eigenschaft nutzen um Geld zu erpressen, das später weder durch das Opfer noch durch die Bank entdeckt und zurückverfolgt werden kann. Um die Probleme von anonymen Geld zu lösen, wurden verschiedene Systeme entwickelt mit deren Hilfe man die Anonymität wieder aufheben kann [1, 2, 3, 4]. Der entscheidende Nachteil ist jedoch, dass zum einen vertrauenswerte Dritte mit einbezogen werden müssen und zum anderen diese jederzeit die Anonymität aufdecken können. Nach Dennis Kügler und Holger Vogt 1 liegt der größte Nachteil der bekannten Zahlungssysteme in der uneingeschränkten Anonymität, die bei physikalischem Geld [5] nicht gegeben ist, da die Bank immer nachvollziehen kann wieviel eine Person ausgibt oder besitzt. Hier wird nun ein System beschrieben mit dem man solche Erpressungsversuche aufdecken kann ohne dabei die Anonymität der Benutzer aufzugeben und ohne eine dritte Partei mit einzubeziehen. 1 Department of Computer Science, Darmstadt University of Technology, D Darmstadt 3

5 Kapitel 2 Markieren als neuer Ansatz gegen Betrug Bei physischem Geld kann man durch zwei besondere Fähigkeiten nachvollziehen, ob es für Erpressung benutzt wurde. Man kann: - sich die Seriennummern notieren und - die Banknoten mit spezieller unsichtbarer Farbe markieren Einen ähnlichen Ansatz gibt es auch im elektronischen Zahlungsverkehr, indem ein geeigneter Hinweis in einer Datenbank gespeichert wird, so dass autorisierte Dritte den Betrug aufdecken können. Jedoch hat dies den Nachteil, dass ein Missbrauch stattfinden kann, der alle Transaktionen aufdeckt und damit die Anonymität verletzt. 2.1 Markierung von elektronischem Geld Das System von Dennis Kügler und Holger Vogt implementiert einen zuverlässigen Mechanismus um elektronisches Geld zu markieren und erfüllt die folgenden Eigenschaften: - Die Bank kann für jeden Erpresser das Geld anders markieren - Nur die Bank kann zwischen markiertem und nicht markiertem Geld unterscheiden. - Beim Abheben überprüft die Bank, ob das Geld markiert ist oder nicht, kann aber nur dem Besitzer des Kontos beweisen, dass das Geld markiert ist. 4

6 - Beim Einlösen kann die Bank auf Grund der Entscheidung des Erpressten wählen, ob das Geld akzeptiert oder zurückgewiesen wird. Vergleicht man diese Eigenschaften mit physischem Geld, kann man hier verschiedene Vorteile feststellen: - Nicht ausgegebenes, markiertes Geld kann als ungültig deklariert werden und somit dem Besitzer wieder zurückgezahlt werden. - Alles ausgegebene, markierte Geld kann auf einem anderen Konto gefunden werden, was die Rückverfolgung zum Erpresser emöglicht und - Die Markierung kann nicht missbraucht werden um ehrliche User zu verfolgen. 2.2 Ein neues Zahlsystem basierend auf unbestreitbaren Signaturen Der große Erfolg von total anonymen Zahlungssystemen basiert auf blinden Signaturen [6]. Allerdings ist es hier schwer, nicht erkennbares, markiertes Geld einzusetzen, da die Bank eine modifizierte Signatur generieren muss, die Signatur des Geldes aber öffentlich verfügbar ist und somit leicht zu entdecken wäre. Wegen dieses Mangels muss die Verifizierbarkeit des Geldes eingeschränkt werden. Es wird daher anstelle der blinden Signaturen, unbestreitbare blinde Signaturen [7, 8] eingesetzt, so dass die Verifikation nur durch eine Interaktion mit der Bank durch Zero-Knowledge-Protokolle möglich ist: Bestätigungsprotokoll: Dieses Protokoll wird vom Unterzeichner benutzt um die Echtheit einer nicht zurückweisbaren blinden Signatur gegenüber Dritten zu beweisen. Ablehnungsprotokoll: Dieses Protokoll wird vom Unterzeichner benutzt um die Echtheit einer unbestreitbaren blinden Signatur gegenüber Dritten zu abzustreiten. Die Hauptidee dieses Zahlungssystems ist, dass die Bank Geld benutzt, welches aus unbestreitbaren Signaturen besteht und damit die folgenden Punkte erfüllen muss: - Bei der Rücknahme muss die Bank mit dem Bestätigungsprotokoll die Echtheit des Geldes prüfen. Ohne das Protokoll könnte sie ungültiges oder markiertes Geld ausgeben. 5

7 - Wenn die Bank bei der Einzahlung das Geld zurückweist, muss die Ungültigkeit mit dem Ablehnungsprotokoll nachgewiesen werden. Für akzeptiertes Geld überprüft die Bank niemals die Echtheit. Deshalb kann die Bank (erkanntes) markiertes Geld annehmen, aber nicht echtes Geld ablehnen. 2.3 Implementierung des Markieren Die Bank kann markierte Münzen herausgeben indem sie einen anderen privaten Schlüssel (marking key) benutzt um die unbestreitbare Signatur zu erzeugen. Wenn die Bank Geld erhält, welches nicht mit dem normalen privaten Schlüssel erzeugt wurde, kann sie überprüfen, ob ein Markierschlüssel verwendet wurde. Daher kann man zwischen 3 verschiedenen Typen von Geld unterscheiden: - gültiges Geld, welches mit dem normalen Schlüssel der Bank erzeugt und mit dem Bestätigungsprotokoll als Echt deklariert wurde. - markiertes Geld, welches aus einer Erpressung stammt. Das Bestätigungsprotokoll erzeugt immer einen Fehler. - ungültiges Geld, welches mit keinem der beiden Schlüssel genieriert, also nicht von der Bank erstellt wurde. Es wird mit dem Ablehnungsprotokoll zurückgewiesen. Ein Problem, das gelöst werden muss, ist, dass der Erpresser nicht zwischen markiertem und gültigem Geld unterscheiden können darf. Der einfachste Weg wäre, das Bestätigungsprotokoll auszuführen. Aus diesem Grund gilt die Einschränkung, dass dieses Protokoll nur beim Einlösen und das nur ein einziges mal durchgeführt werden darf. 6

8 Kapitel 3 Den Erpresser überzeugen markiertes Geld anzunehmen Man muss zwischen den folgenden drei Szenarios unterscheiden: Das perfekte Verbrechen: Der Erpresser kontaktiert das Opfer über einen anonymen Kanal und zwingt es, ausgewähltes Geld vom Erpresser mit zu benutzen. Der Erpresser kommuniziert nur mit dem Opfer und kann die Kommunikation mit der Bank nicht überwachen. Personifizierung: Der Erpresser verschafft sich Zugriff zum Konto des Erpressten und hebt sich selber Geld ab. Er kommuniziert direkt mit der Bank, kann aber die Kommunikation zwischen Opfer und Bank nicht überwachen. Kidnapping: Der Erpresser hat physische Kontrolle über den Erpressten, geht wie der Personifizierung vor, aber hält den Erpressten davon ab mit der Bank zu kommunizieren. In allen Fällen verbirgt sich der Erpresser hinter anonymen Kommunikationsmitteln. Es wird nun davon ausgegangen, dass der Benutzer immer versuchen wird die Bank zu informieren, so dass die Bank markiertes Geld ausgeben wird. Außerdem ist der Erpresser nicht in der Lage das Vorgehen der Bank zu überwachen, diese hält sich strikt an die Protokolle und kooperiert nicht mit dem Erpresser. 3.1 Das perfekte Verbrechen Der Erpresser bringt das Opfer dazu, einige Münzen zu verwenden, die der Erpresser ausgewählt und unsichtbar gemacht hat. Das Opfer lässt diese 7

9 Münzen markieren und schickt sie zurück an den Erpresser, der sie wieder sichtbar macht. Im darauf folgenden Bestätigungsprotokoll kann der Erpresser dann die geheimen Parameter für die Kommunikation mit der Bank herrausfinden. Dann weist der Erpresser das Opfer an, das Bestätigungsprotokoll auszuführen und kann so feststellen, ob die Münzen gültig oder markiert/ungültig sind. Dieses Protokoll wird benötigt damit die Bank nicht betrügen kann, obwohl es dem Erpresser die Möglichkeit gibt markiertes Geld zu entdecken. Das Problem wird gelöst indem man einen kennzeichnenden Beweis in das Protokoll einbindet, so dass nur der Kennzeichner, hier der Bankkunde, überzeugt werden kann. Es wird nun das generelle Bestätigungsprotokoll beschrieben, welches die public key Verschlüsselung als Hintertür nutzt um die geheimen Parameter der Bankkommunikation heraus zu leiten. 1. Der Kunde generiert eine Aufforderung aus Münze und einem geheim gewähltem Parameter, der mit seinem eigenem öffentlichen Schlüssel verschlüsselt ist und schickt ihn mit der Aufforderung an die Bank. 2. Für eine gegebene Aufforderung prüft die Bank mit einem Zero-Knowledge- Protokoll die Echtheit der Münze und schickt die Bestätigung zurück an den Kunden. 3. Der Kunde muss nun den geheimen Parameter der Bank mitteilen, die dann prüft, ob die Aufforderung richtig war. 4. Nur jetzt teilt die Bank den festgelegten Beweis mit, welcher den Kunden von der Gültigkeit der Münze überzeugt. Im Falle von Erpressung erhält der Kunde die Aufforderung vom Erpresser. Aber der Kunde kann die geheimen Parameter der Aufforderung entschlüsseln und kann dem Erpresser die erwartete Antwort generieren, obwohl er markiertes Geld bekommt, denn der Erpresser kann nicht zwischen dem echten und simulierten Protokoll unterscheiden. Eine andere Lösung für ein gekennzeichnetes Bestätigungsprotokoll, welches auf trapdoor commitments beruht, wird in [9] vorgestellt. 3.2 Personifizierung des Kunden Im zweiten Fall zwingt der Erpresser das Opfer alle privaten Informationen herauszugeben. Dann nimmt der Erpresser Kontakt mit der Bank auf und 8

10 Bank Kunde p = proof(c) u = commit(p) e,c u choose parameter e = E P Kc ( ) c = challenge(, coin) check if: e =? E P Kc ( ) c =? challenge(, coin) p check if: u? = commit(p) testproof(, coin, p)? = true Abbildung 3.1: Dieses Bestätigungsprotokoll überzeugt nur einen Beweisempfänger von der Gültigkeit einer Münze täuscht vor das Opfer zu sein, so dass er willkürlich Geld ohne Hilfe des Opfers abheben kann. Ausgehen davon, dass das Opfer irgendwann, unüberwachbar für den Erpresser, mit der Bank Kontakt aufnimmt, wird das Opfer der Bank seinen Entschlüsselungsschlüssel geben, die ab diesem Zeitpunkt den Erpresser wie zuvor täuschen kann. Natürlich trifft dass nur auf Geld zu, welches nach Bekanntgabe dieses Schlüssels abgehoben wurde. Alternativ, kann auch der Kunde die Parameter für die Bank entschlüsseln und somit seinen Schlüssel geheimhalten. 3.3 Entführung des Kunden Als letztes besteht die Möglichkeit, dass der Erpresser Physische Kontrolle über das Opfer hat. Somit kann das Opfer nicht mit der Bank kommunizieren oder anders betrügen. In diesem Fall braucht man einen versteckten Kanal wie im Bedrängnis Geldsystem (distress cash system) [10]. Außerdem muss es der Bank möglich gemacht werden, ein gefälschtes Bestätigungsprotokoll zu erzeugen, was nur durch die Kenntnis des privaten Schlüssels zur Entschlüsselung des geheimen Parameters möglich ist. Eine einfache Lösung ist das Nutzen von Hardwarelösungen, die 2 PINs be- 9

11 sitzt, wobei eine zum Anzeigen von Erpressungsversuchen benutzt wird und den Entschlüsselungsschlüssel mitliefert. Eine Lösung ohne Hardware ist sehr viel komplexer. Der Einfachheit halber benutzen wir das gleiche Schlüsselpaar für die Aufforderung und die Authetifizierung des Kunden. Ein geschützter Kanal ist dadurch definiert, dass man mindestens zwei verschieden Schlüsselpaare benutzt. Das erste Schlüsselpaar wird für die normalen Geschäfte genutzt, die anderen im Fall von Erpressungsversuchen, wobei diese der Bank bekannt sind. 10

12 Kapitel 4 Implemetierung des Zahlungssystems Wir gehen davon aus, dass der Angreifer versucht den Fall des perfekten Verbrechens zu nutzen. Dieser Fall lässt sich auch sehr leicht auf die anderen beiden Szenarien übertragen. Für die Implementation dieses Falls treten immer noch Probleme auf, die gelöst werden müssen: - Vergleich: Ein Erpresser kann einige Münzen aus dem regulären Zahlungsverkehr und der Erpressung bekommen. Da er aus dem regulärem Zahlungsverkehr die Gültigkeit der Münze kennt, kann er den Unterschied zwischen markiertem und nicht markiertem Geld feststellen. - Transformierung: Ein Erpresser darf nicht fähig sein, die Markierung zu zerstören. Es kann nicht vorrausgesetzt werden, dass der Erpresser dem Einlöseprotokoll folgt, aber es muss sichergestellt sein, dass markiertes Geld nicht in ungültiges Geld geändert wird, während Gültiges gültig bleibt. 4.1 Die Hauptidee Gegen den Vergleichsangriff muss erreicht werden, dass für die gleiche Münze zu verschiedenen Zeiten, verschiedene Signaturen entstehen, was durch ein wechselndes Signaturschema erreicht wird. Es wurde eine neue Konstruktion für wechselnde unbestreitbare Signaturen entwickelt, die das Okamoto-Schnorr blinde Signaturschema [11, 12] mit dem Chaum-van Antwerpen unbestreitbaren Signaturschema [7] kombiniert, wobei der sich ändernde Wert Teil der Blindsignatur ist. Wie auch immer, das 11

13 Signieren einer Überweisung mit einer sich ändernder blinden Signatur funktioniert nicht, da sie empfindlich gegenüber des Transformationsangriffs ist. Statt dessen wird der Systemparameter der blinden Signatur zufällig gewählt und mit der unbestreitbaren Signatur signiert. 4.2 Systemeinstellungen Im Zahlungssystem sind die Systemparameter Primzahlen p und q wobei q (p-1) und die Elemente g 1, g 2 und g 3 aus (Z/pZ)* der Ordnung q sind. Die Bank wählt für die blinde Signatur das Schlüsselpaar SK B := (s 1, s 2 ) R (Z/pZ) 2 P K B := v = g s 1 1 g s 2 2 mod p und für das unbestreitbare Signaturschema das Schlüsselpaar SK U := x R (Z/qZ) P K U := y = g x 3 mod p Danach werden die öffentlichen Schlüssel P K B und P K U veröffentlicht. 4.3 Das Abhebeprotokoll Wie in Abbildung 4.1 gezeigt erstellt die Bank für jede Münze ein neues zufälliges Erzeugendenelement α = g2 r mod p und schickt diesen Wert dem Kunden. Dann interagieren der Kunde und die Bank mit der Okamoto- Schnorr Blindsignaturprotokoll, wobei die Bank den Generator g 1 und α benutzt. Der Kunde transformiert diese Signatur zu einer Signatur basierend auf dem Generator g 1 und α = α δ mod p mit einem einem zufällig gewähltem δ R (Z/qZ)*. Diese Transformation ist nötig, weil andernfalls die Bank bei der Einlösung das Geld durch den Generators α erkennen kann. Letztendlich gibt die Bank eine unbestreitbare Signatur w = α x mod p als ein Zertifikat für α aus. Wieder muss das Zertifikat vom Kunden zu w = w δ = α x mod p transformiert werden um das Erkennen der Bank zu vermeiden und um eine echte unverweigerbare Signatur für α zu erhalten. Wegen dieser Transformation darf man die Hashfunktion auf α nicht anwenden. Die Auswirkungen auf die Sicherheit werden im Kapitel 5 diskutiert. Am Ende der Auszahlungsprotokolls erhält der Kunde eine echte Münze 12

14 Systemparameter: p und q sind Primzahlen mit q (p 1) g 1, g 2 und g 3 sind Elemente aus (Z/pZ)* der Ordnung q Privater Schlüssel öffentlicher Schlüssel s 1, s 2 R Z/qZ v = g s 1 1 g s 2 2 mod p x R Z/qZ y = g3 x mod p Bank r R (Z/qZ) α = g2 r mod p k 1, k 2 R Z/qZ a = g k 1 1 α k 2 mod p α,a Kunde Blendfaktoren: δ R (Z/qZ) β 1, β 2, γ R Z/qZ α = α δ mod p a = ag β 1 v γ mod p w = α x mod p c = H(m, α, a ) c c = c γ mod q S 1 = k 1 cs 1 mod p S 2 = k 2 cs 2 r 1 mod q (S 1,S 2 ),w S 1 = S 1 + β 1 mod q S 2 = δ 1 S 2 + β 2 mod q w = w δ = α x mod p verifizieren: a =? g S 1 1 α S 2 v c mod p Signatur: (c, S 1, S 2, α, w ) Abbildung 4.1: Abheben von Geld basierend auf Okamoto-Schnorr blinden Signaturen kombiniert mit Chaum-van Antwerpen unbestreitbaren Signaturen 13

15 Bank t = f x 1 mod p e,f u = commit(t) u Kunde möchte Beweis für w = α x mod p wähle a, b R Z/pZ e = E P KC (a, b) f = w a y b mod p überprüfe: e =? E P KC (a, b) f? = w a y b mod p a,b t überprüfe: u? = commit(t) t? = α a g b 3 mod p Abbildung 4.2: Dieses Bestätigungsprotokoll überzeugt nur den Kunden davon, dass die abgehobenen Münzen unmarkiert sind (m, c, S 1, S 2, α, w ), deren Gültigkeit der unbestreitbaren Signatur w durch das Bestätigungsprotokoll überprüft werden muss. Dieses Bestätigungsprotokoll (Abbildung 4.2) ist absichtlich eine Verifizierversion des Protokolls, welches in [7, 8] beschrieben ist. Wenn der Kunde dem Auszahlungsprotokoll richtig folgt, dann ist die Überprüfung auch für w gültig. 4.4 Markieren von Erpressungsgeld Markiertes Geld entsteht indem man einen anderen privaten Schlüssel SK UM := x M für das Generieren von unbestreitbaren Signaturen nutzt. Um dieses festzustellen muss die Bank Listen mit den Markierungsschlüsseln führen: - Die Liste M A, die alle Schlüssel enthält, die akzeptiert werden sollen - Die Liste M R, die alle Schlüssel enthält, die zurückgewiesen werden sollen Wenn der Kunde die Bank anweist, alle markierten Münzen zurückzuweisen, schreibt die Bank die entsprechenden Markierungsschlüssel in M R und den Wert, der nicht ausgegebenen Münzen dem Besitzer gut. 14

16 Bank a, b = D SKC (e) e,f check if: f? = w a y b mod p. Erpresser wähle a, b R Z/qz e = E P KC (a, b) f = w a y b mod p t = α a g b 3 mod p t check if: t? = α a g b 3 mod p Abbildung 4.3: Im Fall von Erpressung kann nur der Kunde die Echtheit von markiertem Geld feststellen. Das Bestätigungsprotokoll, welches die Chaum-van Antwerpen unbestreitbare Signatur im Falle von Erpressung benutzt, ist in Abbildung 4.3 gezeigt. Da der Kunde fähig ist, die beiden Parameter a und b zu entschlüsseln, kann er die korrekte Antwort t = α a g b 3 mod p geben, welche der Erpresser im Falle von nicht markiertem Geld erwartet. 4.5 Ausgeben und Gutschreiben/Einzahlen Wenn der Kunde eine Münze (m, c, S 1, S 2, α, w ) ausgibt, kann der Verkäufer alleine nicht die Echtheit der Münze feststellen, weil er die unbestreitbare Signatur nicht überprüfen und mehrfaches Ausgeben der Münze nicht nachvollziehen kann. Deshalb muss er sofort die Münzen bei der Bank einlösen. Für jede Münze muss die Bank zuerst auf mehrfaches Ausgeben, die Echtheit der Okamoto-Schnorr Signatur und der korrespondierenden Chaum-van Antwerpen unbestreitbaren Signatur prüfen. Verifikation der Okamoto-Schnorr Signatur: Die Bank überprüft die Signatur durch Berechnung von a = g S 1 1 α S 2 v c mod p und Überprüfen von c =? H(m, α, a ). Falls der Test misslingt, wird die Münze zurückgewiesen. Verifikation der Chaum-van Antwerpen unbestreitbaren Signatur: Die Bank überprüft die unbestreitbare Signatur durch w =? α x mod p. Wenn der Test ebenfalls erfolgreich ist, ist die Münze echt und wird akzeptiert, andernfalls wird geprüft, ob Markierungsschlüssel verwendet wurden. 15

17 Prüfung auf Markierungsschlüssel: Die Bank prüft auf Markierungsschlüssel x M M A M R durch testen von w? = α x M mod p. Wenn einer der Schlüssel die Bedingung erfüllt, weiß die Bank zu welcher Erpressung die Münze gehört. Wenn der Test falsch ausgeht, wird die Münze als ungültig zurückgewiesen. Nicht-anerkennungs-Protokoll: Wenn die Bank eine Münze auf Grund der unbestreitbaren Signatur zurückweist, hat sie zu prüfen, dass die unbestreitbare Signatur nicht mit x erzeugt wurde. In diesem Zahlungssystem wird zum Prüfen das Chaum Nicht-anerkennungs-Protokoll [8] verwendet. 16

18 Kapitel 5 Diskussion der Sicherheit und Anonymität In diesem Bereich werden die Aspekte der Sicherheit und Anonymität dieses Zahlungssystems diskutiert. Festigkeit von Münzen: Es ist hinreichend zu zeigen, dass die blinde Signatur nicht brechbar ist, da es impliziert, dass es die Münzen ebenfalls sind. Offensichtlich ist die Sicherheit der blinden Signaturen nicht beeinflusst, selbst wenn die Markierungsschlüssel öffentlich gemacht werden. Das Okamoto-Schnorr blinde Signatur Verfahren unterscheidet sich von der Originalversion [11, 12], da es möglich ist einen Generator durch rechnen von α = α δ mod p zu modifizieren, selbst wenn der Angreifer zwing α = 1 und δ = 0 zu wählen, bleibt es für einen Zeugen nicht unterscheidbar[13], da immer k 1 und k 2 in a versteckt sind. Ebenfalls können echte Signaturen mit δ = 0 nicht erzeugt werden, da δ invertierbar sein muss. Nicht Erkennbarkeit von markiertem Geld durch den Erpresser: Das Verstecken der unbestreitbaren Signatur ist nur möglich, dadurch dass eine Hashfunktion auf α angewendet wird, welches die unbestreitbare Signatur empfindlich gegen Transformationsangriffe aus Kapitel 4 macht. Das Ziel dieser Transformation ist, dass markiertes Geld in ungültiges Geld verwandelt werden kann, während gültiges Geld, gültig bleibt. Bei diesem Angriff könnte die unbestreitbare Signatur (α, w) transformiert werden zu (α, w ) = (α δ h mod p, w δ h x mod p), wobei ein h verwendet wird bei dem die unbestreitbare Signatur h x mod p möglich ist. Bei der Überprüfung der blinden Signatur (a = g S 1 1 α S 2 v c mod p) wird der Wert α mit S 2 potenziert. Jedoch ist h S 2 mod p zur Zeit wenn a berechnet wird noch nicht bekannt und so kann ein Angreifer die Überprüfungsgleichung nur erfüllen, wenn er den diskreten Lo- 17

19 garithmus von h zur Basis g 1 oder g 2 kennt. Da keine unbestreitbare Signatur von g 1 oder g 2 dem Angreifer zur Verfügung steht, kann er kein verwendbares h berechnen. So muss h = 1 gewählt werden, was bedeutet, dass der Erpresser diesen Angriff nicht zum Zerstören der Markierung verwenden kann. Anonymität des Kunden: Eine einzigartige Eigenschaft dieses Zahlungssystems ist, dass die Entscheidung ob eine Münze verfolgbar ist oder nicht beim Abheben getroffen werden muss und danach nicht mehr zu ändern ist. Wenn der Kunde beim Abheben unmarkiertes Geld bekommt, ist die Sicht des Kunden und die der Bank auf die Münze nicht nachvollziehbar, genau wie die blinde Signatur. Deshalb ist das Zahlen mit unmarkiertem Geld komplett anonym für den Kunden. Nur durch Markieren kann die Anonymität des Kunden aufgehoben werden. Wie auch immer hat eine Bank, die mit polynomialer Zeit rechnet nur eine unwesentliche Wahrscheinlichkeit im Bestätigungsprotokoll mit markiertem Geld erfolgreich zu sein. Wenn die Bank mit nichtpolynomialer Zeit rechnen kann, kann sie den Kunden durch Entschlüsselung des Transfers betrügen. 18

20 Kapitel 6 Verbesserungen Nachdem die Basisversion des Zahlungssystems vorgestellt wurde, werden nun verschiedene Gesetze skizziert wie das System verbessert werden könnte. - Die Effizienz des Abhebens kann verbessert werden, wenn die Bank dasselbe wechselnde α und dasselbe Zertifikat w für alle Münzen eines Abhebevorgangs benutzt. Diese Verbesserung hat keinen Einfluss auf die Verfolgbarkeit der Münzen eines Vorgangs, da der Kunde verschiedene δ für jede Münze benutzt. - So lang kein markiertes Geld von der Bank vergeben wird, braucht die Bank nur die blinde Signatur zu prüfen. Ist die Signatur korrekt, dann muss das Geld von der Bank ausgegeben worden sein und kann so ohne Überprüfung der unbestreitbaren Signatur akzeptiert werden. - Wenn die Bank beim Einlösen eine Münze erkennt, die mit einem Markierungsschlüssel x M M R erzeugt wurde, kann die Bank einfach den Schlüssel x M veröffentlichen, anstatt das Ablehnungsprotokoll durchzuführen. - Wenn ein Erpresser gefangen genommen wurde, kann der Markierungsschlüssel für diese Erpressung aus M A oder M R gelöscht wurden. Wenn Geld mit solcher Markierung später eingelöst werden soll, wird es immer als ungültig zurückgewiesen werden. - Es existiert ebenfalls eine andere, weniger effiziente Implementierung dieses Zahlungssystems z.b. die Okamoto-Guillou-Quisquater blinde Signatur [11, 12] kombiniert mit einer unverweigerbaren RSA Signatur [14]. 19

21 Kapitel 7 Ein Vergleich mit Systemen mit aufdeckbarer Anonymität In diesem Kapitel wird dieses Zahlungssystem mit Systemen mit aufdeckbarer Anonymität (z.b. [10, 2, 1, 4]) verglichen, die als gute Lösungen gegen Erpressungen bekannt sind. Im Gegensatz zu dieser Lösung, basieren diese auf vertrauenswürdigen dritten Parteien. Der Vorteil von Systemen mit aufdeckbarer Anonymität ist die Möglichkeit des Verfolgens zu jeder Zeit nach dem Abheben. Die gibt auch die Möglichkeit Erpressungsgeld zu verfolgen. In diesem System muss der Kunde beim Abheben entscheiden, ob die Münzen verfolgbar sein sollen oder nicht. Jedoch schützt diese Einschränkung vor illegalem Nachverfolgen, welches bei Systemen mit aufdeckbarer Anonymität wegen der folgenden Gründe möglich ist: - Wenn eine vertrauenswürdige dritte Partei illegaler Weise mit der Bank kooperiert, können sie den Kunden ausspionieren. - Selbst wenn die dritte Partei ehrenwürdig ist, besteht die Gefahr, dass sich die Bank Zugriff auf die privaten Daten verschafft und den Kunden ausspioniert. Ebenfalls könnte diese eine nicht ehrenwürdige Partei bei der Bank machen. - Auch wenn die privaten Daten einer ehrwürdigen, vertrauenswürdigen dritten Partei gut geschützt sind, besteht die Möglichkeit für die Bank den Kunden auszuspionieren: Wenn das Aufdecken von Anonymität durch Dritte-Partei-Entschlüsselung implementiert ist (das trifft auf alle offline vertraute dritte Parteien, z.b. [1, 10] zu) und das Kryptosystem gebrochen wurde, kann die Bank jede Zahlung durch Berechnung 20

22 des Entschlüsselungsschlüssels der vertrauenswürdigen dritten Partei verfolgen. In all diesen Fällen illegalen Verfolgens ist die Privatsphäre des Kunden bedroht, vor allem weil es keine Möglichkeit gibt, dieses zu erkennen. Außerdem ist ist es noch viel schwerer zu beweisen, dass es stattgefunden hat. In diesem Zahlungssystem ist illegales Verfolgen der Zahlungen unmöglich, selbst wenn das Kryptosystem der Verschlüsselung des Bestätigungsprotokolls gebrochen werden sollte, kann die Bank keine früheren Zahlungen rückverfolgen. So lange Kunde eine sichere Verschlüsselung für das Einlösen verwendet, ist das illegale Markieren unmöglich. Außerdem bleibt jede unmarkierte Münze für immer anonym. 21

23 Kapitel 8 Zusammenfassung Dieses System zeigte ein anonymes Zahlungssystem, welches unbedingt anonym funktioniert. Im Vergleich mit anderen Systemen mit aufdeckbarer Anonymität war hier das Ziel ohne vertrauenswürdige dritte Parteien auszukommen. Im allgemeinen verursachen diese dritten Parteien zusätzliche Kosten, die vom Kunden ungern übernommen werden. Außerdem muss die dritte Partei die privaten, sensitiven, persönlichen Daten der Kunden sorgfälltig schützen. Im Allgemeinen steigen die Kosten für den Service der dritten Parteien mit der gebotenen Sicherheit. Dieses Zahlungssystem schützt private Nutzer gegenüber Erpressung durch das Angebot von Markierungsmechanismen, die dem Markieren von Banknoten sehr ähnelt. Dieser Markierungsmechanismus ist jedoch effektiver, weil jede Transaktion mit markiertem Geld sofort von der Bank erkannt wird. Bei der Einlösung kann erkanntes markiertes Geld nach Wahl des Kunden akzeptiert oder zurückgewiesen werden. Da Geld nur mit Zustimmung des Kunden markiert werden kann, kann die Bank das Markieren nicht zum Verletzen der Anoymität missbrauchen. Dennoch ist es für den Erpresser nicht möglich markiertes Geld zu erkennen, so ist es möglich die Erpressung zu verfolgen und markiertes Geld zurückzunehmen, ohne die Anonymität zu gefährden. Es wurde nicht behandelt wie dieses System auf andere Erpressungsangriffe (z.b. Erpressung der Bank) erweitert werden kann. Eine andere Frage ist, ob dieser Mechanismus zum Erkennen von Geldwäsche genutzt werden kann. 22

24 Literaturverzeichnis [1] J. Gamenisch, U. Maurer, and M. Stadler. Digital payment systems with passive anonymity-revoking trustees. Springer-Verlag, [2] M. Jakobsson and M. Yung. Revokable and versatile electronic money. ACM Press, [3] Y. Frankel, Y. Tsiounis, and M. Young. Indirect discourse proofs. Springer-Verlag, [4] M. Jakobsson and M. Yung. Distributed magic ink signatures. Springer- Verlag, [5] A. M. Froomkin. Flood control on the information ocean. froomkin/articles/ocean.htm, [6] D. Chaum. Blind signatures for untraceable payments. Plenum, [7] D. Chaum and H. van Antwerpen. Undeniable signatures. Springer- Verlag, [8] D. Chaum. Zero-knowledge undeniable signatures. Springer-Verlag, [9] M. Jakobsson, K. Sako, and R. Impagliazzo. Designated verifier proofs and their applications. Springer-Verlag, [10] G. Davida, Y. Frankel, Y. Tsiounis, and M. Young. Anonymity control in e-cash systems. Springer-Verlag, [11] T. Okamoto. Provably secure and partical identification schemes and corresponding signature schemes. Springer-Verlag, [12] D. Pointcheval and J. Stern. Provably secure blind signature schemes. Springer-Verlag,

25 [13] U. Feige and A. Shamir. Witness indistinguishable and witness hiding protocols. ACM Press, [14] R. Gennaro, H. Krawczyk, and T. Rabin. RSA-based undeniable signatures. Springer-Verlag,

26 25

27 Anhang A Ergänzungen zum Vortrag A.1 Bessere Gliederung des Protokolls 4.1 Privater Schlüssel öffentlicher Schlüssel s 1, s 2 R Zq v = g s 1 1 g s 2 2 mod p x R Zq y = g3 x mod p Bank Kunde Blendfaktoren: r R Zq k 1, k 2 R Z q α = g r 2 mod p a = g k 1 1 α k 2 mod p S 1 = k 1 cs 1 mod p S 2 = k 2 cs 2 r 1 mod q w = α x mod p α,a c (S 1,S 2 ),w 26 δ R Zq β 1, β 2, γ R Z q α = α δ mod p a = ag β 1 v γ mod p c = H(m, α, a ) c = c γ mod q S 1 = S 1 + β 1 mod q S 2 = δ 1 S 2 + β 2 mod q w = w δ = α x mod p verifizieren: a =? g S 1 1 α S 2 v c mod p Signatur: (c, S 1, S 2, α, w )

28 A.2 Beweis zur Abbildung 4.1 a = ag β 1 v γ a =? g S 1 1 α S 2 v c S 1 = S 1 + β 1 = g S 1+β 1 1 α S 2 v c S 2 = δ 1 S 2 + β 2 = g S 1+β 1 1 α δ 1 S 2 +β 2 v c Potenzgesetze = g S 1 1 α δ 1 S 2 v c (g β 1 ) S 1 = k 1 cs 1 = g k 1 cs 1 1 α δ 1 S 2 v c (g β 1 ) S 2 = k 2 cs 2 r 1 = g k 1 cs 1 1 α δ 1 (k 2 cs 2 r 1) v c (g β 1 ) α = α δ = g k 1 cs 1 1 α δδ 1 (k 2 cs 2 r 1) v c (g β 1 ) Potenzgesetze = (g k 1 1 α k 2 )g cs 1 1 α cs 2r 1 v c (g β 1 ) α = g2 r = (g k 1 1 α k 2 )(g cs 1 1 g cs 2r 1 r 2 )v c (g β 1 ) Potenzgesetze = (g k 1 1 α k 2 )(g s 1 1 g s 2 2 ) c v c (g β 1 ) a = g k 1 1 α k 2 = a(g s 1 1 g s 2 2 ) c v c (g β 1 ) v = g s 1 1 g s 2 2 = av c v c (g β 1 ) c = c + γ = av c v c+γ (g β 1 ) Potenzgesetze = av c+c v γ (g β 1 ) umsortieren = ag β 1 v γ q.e.d. A.3 Beweis zur Abbildung 4.2? t = α a g3 b t = f x 1 f = w a y b = (w a y b ) x 1 Potenzgesetze = w ax 1 y bx 1 w = α x = α xx 1a y x 1 b y = g3 x (öffentl. Signaturschl.) = α a (g3) x x 1 b Potenzgesetze = α a g3 b q.e.d 27