Transkript

1 Dekan:Prof.Dr.F.Timmesfeld Prof.Dr.K.Pommerening,UniversitatMainz Referenten: Prof.Dr.A.Beutelspacher,UniversitatGieen TagdermundlichenPrufung:5.Juli1995

2 iv

3 vi

4 kassen,rentenversicherung,finanzamter,schufausw.indenmeistendieserbeispiele dieandendatenallereinwohnereinerbestimmtenstadtinteressiertwar,konntenurschwerdasganzeregisterkopieren,ohneaualligzuwerden.heute,dadizigjahrenwurdendiesenochaufkarteikartengefuhrt.eineperson derangreifestet.eswirdjedochimmerschwieriger,diesenschutzaufrechtzuerhalten. wirdderdatenschutzdurchtechnischeundorganisatorischemanahmengewahrlei- meistengemeinderegistermitedv-anlagenverwaltetwerden,istesmoglich,das BetrachtenwirdieEinwohnermelderegisterderGemeindenundStadte.Vorzwan- gesamteregistereinergrostadtaufeinbandzukopieren,dasnichtgroeralseine Zigarettenschachtelist. BevolkerungsregisternnichtmehraufdenKomfortunddieAnnehmlichkeitenweltweiterComputernetzeverzichtenwollen.Prinzipiellistauchnichtsdagegeneinzuwenden,wennunterschiedlicheRegisterihreDateninEinzelfallenaustauschen.Daswurde bisherauchgetan,meistensaufpostalischemweg,wasentsprechendenaufwandund VermutlichwirdmaninZukunftauchbeiGemeinderegisternundanderen Wartezeitenverursachte.MiteinerVereinfachungsolcherVorgangesteigtaberauch diegefahrdesmibrauchs.moglicherweisekonnenkryptographischemethodendazu beitragen,hiereingewissesmaandatenschutzzugewahrleisten. unddiemoglichkeit,imkrebsregisterprojektbeitrageleistenzukonnen. K.Pommereningfurdasinteressante,zunehmendanAktualitatgewinnendeThema mereningundprof.dr.a.beutelspacher.besondersgiltmeindankherrnprof.dr. FurdieBetreuungderArbeitdankeichherzlichstdenHerrenProf.Dr.K.PomdientechnikderUniversitatMainz,HerrnDr.F.Wankmuller,bedanken.HerrDr. Wankmullerhatmirgestattet,meinenArbeitsraumsowiealleEinrichtungenderAbteilung(Computer,Internetanschlu,Druckerusw.)furdievorliegendeArbeitzu nutzen,obwohldiesearbeitmitmeinerberuichentatigkeitambereichmusikinformatik&medientechniknichtszutunhatte. AuerdemmochteichmichbeidemChefderAbteilungMusikinformatik&Me- viii

5 6SuchenundFinden 6.1Einleitung:::::::::::::::::::::::::::::::::68 6.2EncryptedJoins::::::::::::::::::::::::::::::70 6.3EinSchemamitdreiSchlusseln:Verschlusseln-Entschlusseln-Vergleichen Zugriskontrolle 7.1ZugriskontrollebeikonventionellenDatenbanken:::::::::::87 7.2ZugriskontrollebeiverschlusseltenDatenbanken:::::::::::89 7.4Read-downSchlusselbeimRSA-Verfahren:::::::::::::::92 7.3"Write-up\und"Read-down\(Bell-LaPadulaModell)::::::::: Anwendung::::::::::::::::::::::::::::96 8RechnenmitchiriertenDaten 7.5EinktivesVerschlusselungsschema::::::::::::::::::: AbschlieendeBemerkung:::::::::::::::::::: Sicherheit:::::::::::::::::::::::::::::97 8.2Homomorphismen::::::::::::::::::::::::::::: OperationsinvarianteChirierverfahren::::::::::::::::: Zusammenfassung::::::::::::::::::::::::::::: Schlusselwechsel 9.1Problembeschreibung::::::::::::::::::::::::::: SchlusselwechselbeimRSA-Verfahren:::::::::::::::::: OrganisatorischeManahmen:::::::::::::::::::::: ZusammenfassungundAusblick ARegisterimKraftfahrt-Bundesamt 10.1Zusammenfassung::::::::::::::::::::::::::::: Ausblick:::::::::::::::::::::::::::::::::: BKrebsregister x

6 Vergleichsehrtreend,dennkryptographischeVerfahrenkannmanmathematisch erwiesenodervondertechnischenentwicklunguberholtwurden.dennochistder untersuchen,undmanchmalistessogarmoglichzubeweisen,daeinkryptographischesverfahrensicherist. 1.2KryptographiezumSchutzvonDatenbanken denzumschutzvondatenbankenmitsichbringen,sinddasthemadieserarbeit. DieMoglichkeiten,SicherheitundEinschrankungen,diekryptographischeMetho- DieerstenArbeitenuberkryptographischenSchutzvonDatenbankenwurdenamAnfangder70erJahregeschrieben.DieEntwicklungvonleistungsfahigenDatenbanken unddieentwicklungderkryptologiehabenseitdemenormefortschrittegemacht,so verfahrenundverschlusseltallerelevantendaten? einedatenbankschutzenwill.warumnimmtmannichteinfachirgendeinchirier- damansichdiefragestellenkonnte,woeigentlichnochproblemesind,wennman ren,werdenaufdenfolgendenseiteneinigeproblemeangedeutet,dieauftreten,wenn mangroedatenbestandekryptographischsichernwill. UmdieseFragezubeantwortenunddievorliegendeArbeiteinwenigzumotivie- Speicherkapazitatbenotigtwerden.DieDatenbankkannvon11.000externenTerminalsbenutztwerden.DieNutzungsauslastungderverwendetenDatenbankserverliegt beica.90%. SchwierigkeitenbeimChirierenvonDatenbanken: DieDatenmege WennmandieriesigenDatenmengenbetrachtet,dieausdenunterschiedlichstenGrundengespeichertwerden,unddieVerarbeitungsgeschwindigkeitgangigerChiriermethodenberucksichtigt,entdecktmanschnell,daeinProblem entstehenkann,wennmanganzedatenbankenverschlusselnwill.inungunsti- dechirieren. genfallenkannestagedauern,eineganzedatenbankzuchirierenbzw.zu (1994)werdendortetwa Datensatzeverwaltet,wofurca.200Gigabyte sichetwadaskraftfahrzeugregisterdeutschlandsvorstellen.indiesemregisterwerdendiedatenallerkraftfahrzeugeundkraftfahrzeughaltergespeichert.zurzeit UmeineVorstellungdavonzuhaben,waseine"groe\Datenbankist,kannman 2

7 lesen,andern,erganzenoderloschendarf,kannbeliebigkompliziertgestaltet werden.erschwerendkommthinzu,dadierechteverteilungdynamischist.es bestimmterechteentzogenusw.eswaresicherunpraktisch,wennbeijeder kommenneuedatenbankbenutzerhinzu,anderescheidenausoderbekommen 1.3Inhaltsubersicht gesamtedatenbestandneuchiriertwerdenmu. AnderungderZugrisrechteneueSchlusselverteiltwerdenmutenodergarder DieAuswahlderThemen,dieimRahmendervorliegendenArbeitbehandeltwerden, geschahnachfolgendenkriterien: DieArbeitsolleinenUberblickvermitteln,welchepraktikablenMoglichkeiten esgibt,einedatenbankkryptographischzuschutzen.dazuwareesnaturlich amausfuhrlichsten,samtlicheprobleme,ideenundlosungsansatzevorzustellen,dieindenletztenjahrenaufkonferenzen,ineinschlagigenfachzeitschriften oderbuchernveroentlichtwurden.dabeihandeltessichjedochumsehrviele FernerwurdenThemenausgewahlt,zudenenicheineneigenenBeitraggeleistethabe,alsoLosungen,IdeenundAnsatze,dieindermirbekanntenLiteratur undteilweiseauchsehrspeziellelosungsansatze.eswerdenhiernursolcheaufgegrien,diemirbesondersbemerkenswerterscheinen.amanfangoderende einigerkapitelwirdaufweiterfuhrendeliteraturverwiesen. nochnichtvorgestelltwurden.dazugehortdasverfahren"verschlusseln-entschlusseln-vergleichen\,dasinderzweitenhalftevonkapitel6vorgestellt wird.indererstenhalftedessechstenkapitelswirdeinverfahrenprasentiert, tertenformunddenheutigendatenbankverhaltnissenangepat,vorgestellt. Veroentlichungvon1976[GuKo76]angedeutet.DieseIdeewirdineinererwei- Zuden"Eigenleistungen\gehortauchderRSA-Schlusselwechsel(Kapitel9)sowiedieformaleSpezikationeinesChirierverfahrens,mitdemeinigeProbleme derzugriskontrollelosbarsind(letzterabschnittinkapitel7). ImAnhangwirddasVerschlusselungskonzeptfurdieKrebsregisterderBundeslandervorgestellt,dasamInstitutfurMedizinischeStatistikundDokumen- demichmitgearbeitethabe. tationderjohannesgutenberg-universitatinmainzentwickeltwurdeundan dashier"encryptedjoins\genanntwird.diegrundlegendeideewurdeineiner 4

8 diesicherheitdeschirierverfahrensdadurchnichtwesentlichreduziertwerden.es werdenzweikonkretelosungenprasentiert. chirierterdatennurdannermoglicht,wennmaneinenspeziellenschlusselverwenmanceverlustegegenuberklartextdatenbankendurchzufuhrensatzsucheinkryptographischgeschutztendatenbanken,ohnenennenswerteperfor- "EncryptedJoins\isteinLosungsansatz,derdafurkonzipiertwurde,dieDatendet.OhnediesenSchlusselhabenVergleichezwischenKryptogrammenkeineAussagekraft. "Verschlusseln-Entschlusseln-Vergleichen\isteinAnsatz,derdasVergleichen detwird,umzukontrollieren,daeinbenutzernurdiefurihnbestimmtendaten bearbeitenundlesenkann. Kapitel7:Zugriskontrolle DieZugriskontrolleisteinMechanismus,derbeiMehrbenutzersystemenverwen- Manistbemuht,denZugriskontrollmechanismussozugestalten,daeinebeliebige DenitionderZugrisrechtemoglichist.FurKlartextdatenbankengibtesakzeptableLosungen.SollderDatenschutzjedochdurchVerschlusselungderDatenbestande auchdatengeben,dievonmehrerenbenutzerngleichberechtigtverwendetwerden. DieDatensammlungendereinzelnenBenutzermussennichtdisjunktsein.Eskann schlagvont.hardjonoundj.seberry[hase89]vorgestelltundkritischdiskutiert. schrankungenbeiderverteilungderzugrisrechte.exemplarischwirdhiereinvor- aufrechterhaltenwerden,entstehensehrviele,bisherungelosteprobleme.diein Kapitel8:RechnenmitchirierterDaten derliteraturangebotenenlosungsvorschlageverursachenmeistenserheblicheein- vorstellen: tographischenmethodenschutzenkonnte.daskannmansichetwafolgendermaen nenzahlenliegeninchirierterformalskryptogrammevor.eswarepraktisch,nicht Eswarewunschenswert,wennmanDatenauchwahrendderVerarbeitungmitkryp- dieklartextzahlen,sonderndiekryptogrammezuaddieren,allerdingsnur,wenndie dechiriertesummederkryptogrammedersummederklartexteentspricht. Angenommen,manhateineMengeZahlen,dieaddiertwerdensollen.Dieeinzel- schutzen,istprinzipiellgelost,leidersehrunbefriedigend.mankannnamlichzeigen, DasProblem,DatenauchwahrendderVerarbeitungdurchVerschlusselungzu 6

9 8

10 2.1SymmetrischeChirierverfahren esnaturlichnichtmoglichsein,kryptogrammezudechirieren.abbildung2.1zeigt KryptogrammezuvorgegebenenKlartexten,oderumgekehrt.OhneSchlusselsollte SymmetrischesChirierenistdiealtesteundeinfachsteFormderVerschlusselung.ZumEntschlusselnwirddergleicheSchlusselwiezumVerschlusselnbenutzt. AbhangigvondemverwendetenSchlusselerzeugtderChirieralgorithmusbestimmte dieprinzipiellevorgehensweise. IDEA(InternationalDataEncryptionAlgorithm).BeibeidenVerfahrenhandelt essichumsogenannteblockchiren,d.h.eswerdennurdatenblockeeinerbestimmtengroeverschlusselt.beimidea-verfahrensindklartextblocke,geheimtextblocke ZumsymmetrischenChirierengibteszweiStandardverfahren,dieheutzutagefastausschlielichverwendetwerden:DES(DataEncryptionStandard)und undschlusselstets128bitgro. entsprechendenkryptogrammesindebenfalls64-bitgro.derschlusselzumdes- Verfahrenmu56Bitgroseinundkannprinzipiellbeliebiggewahltwerden. BeimDES-Verfahrenwerden64-BitgroeKlartextblockeverschlusselt,unddie Verschlusselung: Schlussel(56Bit) Entschlusselung: Klartext(64Bit) DES Geheimtext(64Bit) Geheimtext(64Bit) Schlussel(56Bit) Abbildung2.1:DES-Verschlusselung Klartext(64Bit) 10

11 2.2Einwegfunktionen EineinjektiveFunktionf:M!CheitEinwegfunktion,wennfolgendesgilt: EsgibteinenezientenAlgorithmuszurBerechnungvonF(m)furallem2M. EsgibtkeinenezientenAlgorithmuszurBerechnungvonmausderBeziehung EinguterKandidatfureineEinwegfunktionistzumBeispiel: DieFunktionsumkehrungscheitertbeiEinwegfunktionenalsonurdaran,daderAufwandzurBerechnungderUmkehrfunktionextremhochist. m=f(c)furallec2f(m). psolleineprimzahlsein.derberechnungsaufwandfurdiesefunktionistnichtsehr hoch,allerdingsistkeinezienteralgorithmusfurdieberechnungderumkehrfunktionbekannt. "Klartext\furdassymmetrischeChirierverfahrenverwendet.DeneigentlichenKlartext,alsodieDaten,diemaneinwegverschlusselnwill,verwendetmanalsSchlussel EineweitereMoglichkeit,Einwegverschlusselungzurealisieren,ergibtsichaus wobeia;x;pmoglichstgroegeeignetenaturlichezahlenseinmussen;dermodul f:x!y; f(x)=axmodp; einerspeziellenanwendungsymmetrischerchirierverfahren.dazuwirdzunachst einbeliebigerdatenblockm0gewahlt,etwam0= dieserwertwirdals furdassymmetrischechirierverfahren.wenndaschirierverfahrenresistentgegen "known-plaintext\angrieist,undgutechirierverfahrensinddas,hatmansoeine brauchbareeinwegfunktiongefunden. sindz.b.md4,md5,shausw.einegenauerebeschreibungdieseralgorithmen ndetmanzumbeispielin[sc94]. WeitereAlgorithmen,diespeziellzurEinwegverschlusselungentworfenwurden, Pawortzurekonstruieren.WennderBenutzersichidentizierenwill,muersein einemeinwegverfahrenchiriert.daskryptogrammkanndannfurjedensichtbar WennderBenutzereinesComputersystemsseinPawortfestlegt,wirddiesesmit abgelegtwerden,daprinzipiellniemandinderlageist,ausdemgeheimtextdas EinetypischeAnwendungfurEinwegfunktionenistdiePawortverschlusselung: PawortimKlartexteingeben.DaseingegebeneWortwirdvomSystemverschlusselt undmitdemhinterlegtenkryptogrammverglichen.nurbeigleichheitwirdderbenutzerakzeptiert. 12

12 einernachricht.derempfangerkanndannfeststellen,obdienachrichtwirklichvom vermeintlichenabsenderstammt,underkannuberprufen,obsieunverfalschtist.das wirdmiteiner"digitalenunterschrift\verwirklicht. DiezweiteStandardanwendungasymmetrischerKryptoverfahrenistdasSignieren 2.Bobsendetnun(m;)anAlice.NiemandauerBobhatteberechnenkonnen, 1.BobberechnetseinedigitaleUnterschriftfurdasDokumentmmitseinem geheimenschlusselsb. 3.AliceerkundigtsichnachBobsoentlichemSchlusselPBundberechnet :=SB(m). daderprivateschlusselsbbenotigtwird. m=pb().nurwennm=mist,wurdedasdokumentnichtverfalscht, einesdersicherstenkryptoverfahren. AdiShamirundLeonardAdlemanvorgestellt.Das"RSA-Verfahren\giltheuteals Daserstepraktikable"PublicKey\Verfahrenwurde1977vonRonaldL.Rivest, unddieunterschriftistecht. DasRSA-Verfahren ImfolgendenAbschnittwirddieKonstruktiondesRSA-Verfahrens2beschrieben.Leser,diedamitbereitsvertrautsind,konnensichuberdieverwendetenBezeichnungen Bezeichnungen: informierenundaufseite20mitabschnitt2.4fortfahren. D: P: m: c: S: oentlicherschlussel(publickey) MengeallermoglichenNachrichten m2d,klartextnachricht(message) S():zuSkorrespondierendeFunktion P():zuPkorrespondierendeFunktion c2d,geheimtext(ciphertext) ():EulerscheFunktion geheimerschlussel(secretkey) 2USPatent vom20.September198314

13 ZumVerschlusselnbzw.zumPrufeneinerSignaturwirddiefolgendeFunktionverwendet: VerschlusselnundEntschlusseln: ZumEntschlusselnbzw.zumHerstelleneinerSignaturwirddiedazuinverseFunktion c=p(m):=memodnfurm2d=f0;:::;n 1g: m=s(c):=cdmodn (2.1) benutzt. Bemerkung: (2.2) Wiemansieht,kannmanmitdemRSA-VerfahrennurnaturlicheZahlen UmdieKorrektheitdesRSA-Verfahrenszubeweisen,mumandieGultigkeitder KorrektheitdesVerfahrens: einegrakoderahnlichesentsprechendzucodieren. m2f0;:::;n 1gchirieren.EsbereitetaberkeineSchwierigkeiten,einenText, FurdenBeweiswirdderSatzvonEulerverwendet. folgendengleichungzeigen: DerersteTeilausGleichung(2.3),namlichP(S(m))=S(P(m)),folgtunmittelbaraus(2.1)und(2.2).Esbleibtalsonochzuzeigen,daP(S(m))=mfuralle m2f0;:::;n 1ggilt. 1.Fall:m=0 2.Fall:m2f1;:::;n 1g FurdiesenFallistdieAussagetrivial. P(S(m))=S(P(m))=m furallem2f0;:::;n 1g: Esfolgtalso: Daed1(mod(n))und(n)=(p 1)(q 1),giltdieGleichung ed=1+k(p 1)(q 1)fureink2N: medm(mp 1)k(q 1)(modp): 16

14 Faktorisierungvonnzuverhindern.Dasgelingt,wennmandafursorgt,dapundq diefolgendenbedingungenerfullen: UmdasRSA-VerfahrengegendiesenAngriabzusichern,mumanversuchen,die n=pqsehrgro(zurzeitempehltman640bis1024bitgroezahlen.) DieerstendreiBedingungenverhinderneinerfolgreichesDurchprobierenaller jp qjsehrgro Primzahlenvon2ab.DieletzteBedingungverhindertdieSuchenacheinerDarstellungvonnalsDierenzvonQuadraten. Esmagsein,daesAlgorithmengibt,mitdenenestrotzdemmoglichist,nezient n=pq=p+q 22 p q 22 FaktorisierungsolchgroerZahleninuberschaubarerZeitzurealisierenist.Mangeht davonaus,daein200dezimalstellengroerrsa-modulmitdenheutebekannten zufaktorisieren.bisheuteistjedochkeinalgorithmusoentlichbekannt,mitdemdie Algorithmennichtfaktorisierbarist. heitdesrsa-verfahrenshinfallig.dieumgekehrtebehauptung,alsodadasproblem derfaktorisierunggelostist,wennesgelingt,dasrsa-verfahrenzubrechen,konnte mannochnichtbeweisen.mankannalsonichtmitabsolutersicherheitsagen,da diebeidenproblemeaquivalentsind. WirddasProblemderezientenFaktorisierunggelost,dannistauchdieSicher- Vielfachesvon(n)ist.DurchProbierenodereinenprobabilistischenAlgorithmus bestimmtmannun(n).wegen(n)=(p 1)(q 1)=n (p+q)+1entdeckt manauchpundq.esliegtalsonahe,anzunehmen,dadiekryptoanalysedesrsa- VerfahrensunddasFaktorisierungsproblemaquivalentsind. Wennmand,eundnkennt,kannmandieZahled 1ausrechnen,welcheein 18

15 Z.B.:5;7;11;13;23;47;59;83;107;:::;1439;:::;2879;:::; ;::: Denition1(SicherePrimzahlen) Esistnichtbekannt,obesunendlichvielesicherePrimzahlengibt.NachdemPrimzahlsatzwurdeman,wennmandavonausgeht,dadiePrimzahleigenschaftvonp EinePrimzahlpheitsicher,wennmitpauch(p 1)=2einePrimzahlist. 100Dezimalstellengrosind. und(p 1)=2unabhangigist,mehrals1090sicherePrimzahlenerwarten,dieetwa AbschlieendeBemerkung mandemgelungen,ernsthafteeinwandegegendiekryptographischesicherheitdes DasRSA-Verfahrenexistiertnunschonseituber15Jahren.Bislangistesnochnie- Verfahrensvorzubringen.EsistauchkeinanderesVerfahrenoentlichbekannt,das nachweislichsichereralsdasrsa-verfahrenistundvergleichbareeigenschaftenhat. etwaeinesekunde,umeinen80bytegroendatensatzzuverschlusseln.dasistakzeptabel,wennmanhinundwiedermaleinpaardatensatzezuverschlusselnhat.fur prosekundeverschlusseltwerden. beimverschlusselnundentschlusseln.besondersdieimplementationaufprozessorchipkartenistschwierig,dadielangenschlusselfastdengesamtenspeicherplatzder EinwirklicherNachteildesVerfahrensistjedochderrelativgroeZeitaufwand Chipkartebelegen.SoftwareimplementierungenaufmodernenComputernbenotigen vieleanwendungenistesjedocherforderlich,damehrerekbyteodersogarmbyte, Zufallszahleneinzusetzen,istdieVernam-Chire,auch"one-timepad\genannt.Der 2.4Zufallszahlen DerSchlusselisteineFolgevonZufallsbits,undderGeheimtextergibtsichausbit- ZufallszahlenspieleninderKryptologieeinewichtigeRolle.DiebekanntesteArt, Vernam-AlgorithmusisteinesymmetrischeChire.DasVerfahrenistsehreinfach. weiseradditiondesschlusselsunddesklartextes.abbildung2.2illustriertdenver- schlusselungsalgorithmusdesvernam-verfahrens. chendvielezufallsbits.esstelltsichnundiefrage,wiemangroeremengenzufalls- bitserzeugenkann.dieklassischemethodeistdaswerfeneiner(fairen!)munze.beiso DerSchlusselmuebensolangwiederKlartextsein,manbrauchtalsoentspre- erzeugtenzufallsbitssprichtmanvon"echtenzufallsbits\.diebitssindunabhangig undgleichverteilt,niemandwirdesgelingen,teilederzufallsbitfolgevorherzusagen. 20

16 Blum-Blum-Shub(QuadratrestGenerator) kongruent3modulo4.dasproduktn=pqnenntmaneineblum-zahl.miteinem geheimenstartwertx0bildetmannundiezahlenfolge: ZuerstsuchtmanzweigroePrimzahlenpundq(ca.100Dezimalstellen),beide werden. det.dieprimzahlenpundqmussengeheimbleiben,dermodulnkannveroentlicht VondenberechnetenWertenwirdjeweilsnurdasletzteBitalsZufallsbitverwen- xi+1=x2imodn: langeralsbeimlkg,diezufallsbitszuproduzieren. grosind.darinliegtdernachteildesbbs-generators,esdauertnamlichsehrviel modularemultiplikationausfuhren,allerdingsmitzahlen,dieetwa200dezimalstellen DerBBS-GeneratorhataberdenVorteil,daerkryptographischsicherist.Man UmeineinzigesZufallsbitzuproduzieren,mumanbeidiesemVerfahreneine kannnamlichbeweisen,dadievorhersageeineseinzigenbitsaquivalentmitder FaktorisierungderBlum-Zahlnist.DandasProduktvonzweisehrgroenPrimzahlenist,wirdeseinemAngreiferschwerfallennzufaktorisierenodereinBitder Zufallsfolgevorherzusagen.Mansagtauch,derZufallszahlengeneratorist"perfekt\. de:manfordertdenbenutzerdazuauf,dreimaldiemaustasteeinescomputerszu greifen.eineeinfachemoglichkeit,zufallsbitszuerzeugen,bietetdiefolgendemetho- PhysikalischerzeugteZufallszahlen genanntenzufallszahlengeneratoren,kannmanaufphysikalischemethodenzuruck- WennmannursehrwenigeZufallsbitsbraucht,etwaalsStartwertfureinenderoben denanschlieendmultipliziert,dasletztebitdesprodukteswirdalszufallsbitver- wendet. WeitereMethoden,umphysikalischZufallsbitszuerzeugenndetmanin drucken.beijedemtastendruckwirddiecpu-zeitfestgehalten.diedreiwertewer- [EaCr94]. ZufallszahlenbeimVerschlusselnvonDatenbanken VieleVerschlusselungsverfahrensinddeterministisch,d.h.wennidentischeKlartextblockeverschlusseltwerden,soerhaltmanauchidentischeKryptogramme.WennE() 22

17 verschlusseln.diezufallszahlenmussendenkryptogrammenebenfallsinverschlusselterformzugeordnetwerden,weildiezufallszahlenrizumdechirieren benotigtwerden. WennZufallszahlenverwendetwerden,diekryptographischsichersind,kann manesauchwagen,nurdiezufallszahlenzuverschlusseln,also: ci:=(e(miri);e(ri)): ZufalligeZerlegungdesKlartextes: interpretiert.anschlieendwirdminnaturlichezahlenm1;m2;:::;mlzerlegt, DieKlartextbitswerden wiebeimrsa-verfahren alsnaturlichezahlm ci:=((miri);e(ri)): undzwarso,da ml=m (m1+m2+:::+ml 1).DanachwerdendieZahleneinzelnchiriert: DieZahlenm1;:::;ml 1konnendabeizufalliggewahltwerdenund m=m1+m2+:::+ml: Algorithmen,furdiegilt: AllerdingssolltemankeinenadditivenChirieralgorithmusverwenden,alsonur c=(c1;c2;:::;cl)=(e(m1);e(m2);:::;e(ml)): 2.5SicherheitE(m1+m2)6=E(m1)+E(m2): naturlichauchfurdiesicherheitderunterschiedlichenverfahren.esstelltsichdie WennmankryptographischeAlgorithmenanwendet,danninteressiertmansich Frage,unterwelchenBedingungenundmitwelchemAufwandeinAngreifergeheime InformationenausdenerzeugtenKryptogrammenherausndenkann. 24

18 sagen,daeinverschlusselungsverfahrenpraktischsicherist. denschlusselausndigzumachen.wenndieseraufwandhochgenugist,kannman Aufwand,deneinAngreiferbetreibenmu,umohneSchlusselzudechirierenoder UmeinepositiveAussageuberdiepraktischeSicherheiteinesKryptosystemsmachenzukonnen,mutemaneineuntereSchrankefurdenAufwandderKryptoanalyse nden.dasistjedochimallgemeinensehrschwierig,denndazumumaneineaussage Kryptoanalysezunden. beifastkeinemverfahrengelungen,eineuntereschrankefurdiekomplexitatder beihandeltessichumeinzentralesproblemderkryptologie,bislangistesnamlich uberdiegesamtheitallerdenkbarenkryptoanalysenzueinerchiremachen.hier- UmdiepraktischeSicherheiteinesVerfahrenszubeurteilen,betrachtenwirden Probleme,furderenLosungbisheutenochkeinezienterAlgorithmusgefunden einpolynomindereingabegroebeschranktist,werdeninderregelalsezientbezeichnet.solche,furdiedasnichtgilt,werdenalsinezientbezeichnet.esgibteinige klassiziertwerden.algorithmen,derenaufwandschlimmstenfalls(worst-case)durch MitHilfederKomplexitatstheoriekonnenAlgorithmennachihremAufwandgrob NP-vollstandigenProbleme[GaJo78].BeieinigenVerfahrengelingtesnamlich,zu zeigen,dadiekryptoanalyseaufeinnp-vollstandigesproblemfuhrt.dasistein wurde.mankannaberzeigen,davieledieserproblemeinsofernaquivalentsind, genallerproblemedieserklassefuhrt.besondersinteressantisthierdieklasseder gutesindizfurdiesicherheitdesverfahrens.mansprichtindiesenfallenauchvon dadieezientelosungeineseinzigendieserproblemeauchzuezientenlosun- komplexitatstheoretischersicherheit. komplexitatstheoretischsichersind. langnichtgelungen,einenbeweisfurdiesicherheitderverfahrenzunden.trotzdem istdietatsache,dadiesealgorithmen,wesentlichschnellerarbeitenalssolche,die werdenfurdiemeistenanwendungensolchealgorithmeneingesetzt.dergrunddafur BeianderenkryptographischenAlgorithmenwieDES,IDEA,MD5usw.,istesbishe[FuRi88]).DasentscheidendeArgumentbleibtaberimmernochdieTatsache,da TestsundMethodenentwickelt,umdieQualitatsolcherAlgorithmenzubelegen(sie- derfachliteraturundauftagungenausfuhrlichdiskutiert.eswurdenauchzahlreiche estrotzzahlreicherversuchebislangnichtgelang,des,ideaundandereverfahren DieSicherheitderschnellenChirieralgorithmen,wieDESoderIDEA,wurdein zubrechen. Algorithmennichtmehrweitereingegangen.BeiderKonstruktionvonSicherheits- ImRahmendieserArbeitwirdaufdieSicherheitgrundlegenderkryptographischer 26

19 1.Esistsehreinfach,einenKlartextmzuermitteln,dervonzweiverschiedenen Personenchiriertwurde. AngenommendieChirierschlusselseiene1unde2,dergemeinsameModulsei nunddiekryptogrammeseien UmdenKlartextmzubestimmen,reichtes,dieKryptogrammec1;c2,dieChiffrierschlussele1;e2undnzukennen.Wenne1unde2teilerfremdsind(was meistensderfallist),kannmanmitdemeuklidischenalgorithmuszweizahlen c1=me1modnundc2=me2modn: x<0undy>0nden,diefolgendegleichungerfullen: Fallsc1undnnichtteilerfremdsind daskommtnursehrseltenvor kann mannleichtfaktorisieren.andernfallswendetmannochmalsdeneuklidischen Algorithmusanundbestimmtc 1 xe1+ye2=1: Formelberechnen: (c 1 1) xcy2cx1cy2me1x+e2ym(modn): 1.Anschlieendkannmanmnachfolgender 2.WereinSchlusselpaarei;diundnkennt,kann(n)bisaufeinVielfaches eidi1mod(n).einangreiferkannalsoeidi 1=k(n)be- (n)=(p 1)(q 1)=n (p+q)+1kannmanauchdieprimfaktorzerlegung babilistischenalgorithmuskannmandann(n)berechnen[del84].wegen berechnen,denndieschlusselwerdenbeimrsa-verfahrensovergeben,da vonn=pqbestimmen. rechnen,wobeikeinenaturlichezahlist.durchprobierenodereinenpro- 3.FurdenFall,dabeimRSA-VerfahrenmiteinheitlichemModulngerechnet 4BeutelspacherundHess:Public-keyKryptoverfahren(nochnichtveroentlicht). inverszurchirierfunktione(m)=meimodnist.dermodulnwirdbei diesemverfahrennichtfaktorisiert. wird,kannmanbeweisen4,dadiekenntniseinesschlusselpaares(e;d)ausreicht,umzugegebenemeieineleichtberechenbarefunktionzunden,die 28

20 DasfolgendeSchemawurde1979vonAdiShamirvorgestellt[Sh79].Eshandeltsich suchtmaneineprimzahlp>k;n.umdenschlusselzuzerlegen,wahltmanein umeinerelativeinfacheart,einschwellwertschemazukonstruieren. DasSchwellwertschemavonShamir: Polynomf2Zp[x]vomGradt 1: DerSchlusselKmudurcheinenaturlicheZahldargestelltwerden.Zunachst zugenerieren,wertetmandaspolynomannverschiedenenstellenx1;x2;:::;xnaus. DieKoezientena1;a2;:::;at 1sindZufallswerteausZp.UmdieTeilschlussel f(x):=k+t 1 Xi=1aiximodp: BesitzernderTeilschlusselbekanntgegeben. koezientena1;a2;:::;at 1undKwerdengeheimgehalten,derModulpwirdden EinTeilschlusselwirddanndurchdasTupelSi=(xi;f(xi))deniert.DiePolynom- wenigeralststutzstellenbekanntsind,istdasnichtmoglich.abbildung2.6zeigt solcheinschwellwertschemamit6teilschlusseln. vorgegebenwerden,latsichinsbesondereauchderschlusselkberechnen.wenn DasicheinPolynomvomGradt 1eindeutigbestimmenlat,wenntStutzstellen 1234 f(x) KS1 S S3=(3;2) S4 S5S6 Abbildung2.3:SchwellwertschemavonShamir x sehrkompliziert.furdiekonstruktionkomplexersharedsecretsystemshatsichdie realisiertwerden.allerdingssinddiekonkretenrealisierungenindenmeistenfallen MitSharedSecretSchemeskonnenauchwesentlichkomplexereZugrisstrukturen 30

21 32

22 3.1GrundbegrieundDenitionen setzen. nichtmehrzogern,furdiesenzweckelektronischedatenverarbeitungsanlageneinzuteieinesversandhausesoderdiestudentenkarteieineruniversitat,wirdheutzutage WergroereMengengleichartigerDatensatzespeichernwill,wieetwadieKundenkarchenDatensatzezuspeichern.WennmansicheingehendmitdiesenDatentragern derbenutzungberucksichtigtwerdenmussen.wenndatensequentiellaufeinmagnetbandgeschriebenwerden,istesnachtraglichnichtohneweiteresmoglich,datenan beschaftigt,stelltmanschnellfest,dadieseeinemengeeigenartenhaben,diebei ManwirdFestplatten,Magnetbanderoderahnlichesverwenden,umdiezahlrei- Spuren;usw. stetsdatenblockeeinerbestimmtengroegelesenundgeschrieben;dieauerenspureneinerfestplattekonnenschnellergelesenundbeschriebenwerdenalsdieinneren einerbeliebigenstelle"einzufugen\;beifestplattenwerdenaustechnischengrunden vomdbmsineinerubersichtlichenform,diedendatenangemessenist,prasentiert.fernerstehenallegrundlegendenoperatorenzurverfugung,diemanbenotigt, HandhabungphysikalischerSpeichermedienwesentlichvereinfacht.DieDatenwerden EinDatenbank-Management-System,kurzDBMS,isteinSoftwarepaket,dasdie umdatensatzezubearbeiten,neuedatenhinzuzufugen,datenzuloschen,sortieren gentlichendatenbestand.abbildung3.1zeigt,wiediesezweikomponenteneiner Benutzernichttransparentsein. strukturiertwerden,istsachedesdatenbank-management-systemsundmufurden usw.wiediedatenletztlichaufdemphysikalischenspeichermediumabgelegtund DatenbankublicherweiseineinComputersystemeingebundenwerden.DiePfeilesymbolisieren,daeinDatenaustauschzwischendeneinzelnenKomponentenstattnden kann.ublicherweisewirdeinbenutzeraufdaten,dievomdbmsverwaltetwerden, DerBegriDatenbankumfatdasDatenbank-Management-Systemunddenei- auchnurviadbmszugreifen.dasdbmskanndiesezugriekontrollieren,undesist auchmoglich,bestimmtenbenutzerndenzugriaufvertraulichedatenzuverweigern.diesermechanismuswird"zugriskontrolle\genannt.fastallekommerziellen naturlichnichtsokomfortabelwiederregulareweguberdasdbms.einangreifer, Datenbank-Management-SystemebietendieseFunktionalitat. auchuberdasbetriebssystemmoglichist.dieseart,aufdiedatenzuzugreifen,ist derumjedenpreiszugriaufdiedatenhabenwill,wirdsichdavonjedochnicht abschreckenlassen. Esistaberzubeachten,daderZugriaufdiephysikalischenDatenspeicher 34

23 Beispiel AnschriftenderKunden.DieDatensatzederviertenTabellebeschreibendielaufenden WirbetrachtendieDatenbankeinesWerkzeughandlers.EsexistierenvierTabellen, Bestellungen.Abbildung3.2zeigtAusschnittedieserTabellen. undanschriftenallerlieferanten,undeineweiteretabelleenthaltdienamenund diejeweilsbeschreibungengleichartigerobjekteenthalten.sogibteseinetabellemit denbeschreibungendereinzelnenwerkzeuge,eineanderetabelleenthaltdienamen Lieferanten: L.Nr. 123Bosch ElektraBeckum Black&Decker Name Artikel: A.Nr. 1234Bohrer Kreissage Stichsage Schweigerat Bezeichnung MIG220 10mm R400 S550 Typ L.Nr. 132 Kunden: K.Nr IngridBergman MaxMuller LarryLipinzky BettinaKant Name Rathausplatz3 Goldgasse4 Donaustr.11 AmPark7 Strae Wien OrtBestellungen: K.Nr.1 14 A.Nr. 3Menge Abbildung3.2:BeispieleinerrelationalenDatenbank 12 einzelnentabellenzudenierenundmitdatenzufullen.esmussennochsogenannte sinddiegrundlagefurgeeignetedatenstrukturen,umoperationenwie"suchen\oder "Keys\deniertwerden.DieseKeysdienendazu,dieeinzelnenDatensatzeeindeutig zuidentizierenundverbindungenzwischenverschiedenentabellenherzustellen.sie UmezientmiteinerDatenbankarbeitenzukonnen,istesnichtdamitgetan,die butmengedieseeigenschaft,dannsprichtmanvoneinem"candidate-key\.dain "sortieren\moglichstezientgestaltenzukonnen. damiteinemkeyalledatensatzeeindeutigidentizierbarsind.erfullteineattri- jedochnichtjedeattributmengealskeygeeignetist.esmusichergestelltwerden, EinKeywirddurchdieAufzahlungeinesodermehrererAttributedeniert,wobei 36

24 Bemerkung: DieQualitateinerDatenbankhangtwesentlichvoneinersinnvollenAufstellungder TabellenundgeeignetenDenitionenderKeysab.GrundlegendeVorgehensweisen dieindereinleitungzudiesemkapitelerwahntwurden. beimeinrichteneinerdatenbankwerdenz.b.indendatenbankbuchernvermittelt, Primary{Key Artikel: Attribute A.Nr. 1234Bohrer Stichsage Kreissage Schweigerat Bezeichnung(Spalte) MIG220 10mm R400 S550 Typ L.Nr. Foreign{Key Datensatz 132 (Cardinalitat) Tabellengroe Ausdehnung Abbildung3.4:WichtigeBegrie (Degree) DatenbankgestaltetwerdenundwiedieKeysdeniertwerden,istesAufgabedes 3.3Speicherstrukturen NachdemfureinenkonkretenFallfestgelegtwurde,wiedieeinzelnenTabelleneiner ezientesarbeitenmitdendatenmoglichist.umzuverstehen,welcheprobleme DBMS,dieDatensatzesoaufdenphysikalischenSpeichermedienabzulegen,daein dabeizubewaltigensind,mumaneinevorstellungdavonhaben,wiediespeichermediengehandhabtwerden. 38

25 /64/2 <RID /37/1 >RID RID TelefonNr Karl Max Larry Bettina Hans Ingrid Mausi Vorname Name Schmidt Muller Lipinzky Kant Maier Schick StartpunktBergman Abbildung3.5:TabellemitBinar-Suchbaum InAbbildung3.5falltauf,dadieRelationumdreiweitere Datenbankinterne Attributeerganztwurde,namlich"RID\,">RID\und"<RID\.DiebaumartigeStrukturistinAbbildung3.5nurschwererkennbar.DadieDatensatzeaufdem Speichermediumjedochwillkurlichverteiltwerdenundnichtsequentiell,sowiein Abbildung3.5,kannmansichdieDatensatzeauch,wieinAbbildung3.6angeordnet,vorstellen.Wiemandortsieht,wirdeineBaumstrukturdurchdiezusatzlichen AttributeRID,>RIDund<RIDvorgegeben. WennnunnachdemNamen"Schmidt\gesuchtwird,kannman,vomStartpunkt (RID5)ausgehend,denzusuchendenNamenmitdemNamenimdortgefundenen Datensatzvergleichen.WenndergesuchteName("Schmidt\)nachlexikographischer OrdnunggroeralsdergefundeneName("Maier\)ist,wirddie>RIDalsnachstes gelesen.fallsderzusuchendeschlusselwertkleinerist,wirddie<ridalsnachstes gelesen.damitfahrtmanfort,bisderentsprechendenamegefundenwurde.man kannleichtnachrechnen,daineinerdatenbankmit datensatzenmaximal 20VergleicheundFestplattenzugrienotwendigsind,umeinenbestimmtenSchlussel zunden.dasdbmsmuallerdingsdafursorgen,dadiebaumstrukturstetsausbalanciertist.dasheit,dieknotenaufderunterstenebenesolltenallegleichweit vomstartpunktentferntsein.eskannvorkommen,dabeimeinfugen,andernoder LoschenvonDatensatzendergesamteBaumumstrukturiertwerdenmu. Anstelleeines"zwei-Wege-Suchbaums\,wiederBinarbaumauchgenanntwird, werdenoftm-wege-suchbaumeverwendet.jederknotenenthaltdannm 1Da- 40

26 Funktion,diedanneineandere(hoentlichfreie)RIDberechnet. tenstellewirklichfreiist.wennnicht,werdendiedatenineinenspeziellfurdiese Falleangelegten"Notfallspeicher\geschrieben,odermanverwendeteinezweiteHash- Datensatzesmualsonochgepruftwerden,obderSpeicherplatzanderberechne- dieentsprechenderidzuermitteln,istdashash-verfahreneinederschnellstenzugrismethoden.allerdingsistesnichtmoglich,miteinemteilschlusselaufdiedatenbestandezuzugreifen.einteilschlusselistzumbeispieldanngegeben,wennalle DadasDurchsuchenvonBaumenentfallt,umzueinemgegebenenSchlusselwert DatensatzemiteinemPrimary-Keygroerals5undkleinerals200gesuchtwerden.In diesemfallmutedashash-verfahrenfurjedenwertzwischen5und200angewendet Bemerkung: InderPraxiswerdenzumBerechneneinerHash-RIDkeinemod-Funktionenverwendet.EsgibtspeziellfurDatenbankenentwickelteHash-Funktionen,diedaraufhin spurbarenperformanceeinbuenzurechnen,wenndiespeicherauslastunggroerals werden,also195zugrie. optimiertwurden,nurinseltenenfallenkollisionenzuverursachen.esistabermit 60%ist. sequentiellimspeicherabgelegt.dasbietetsichvorallemfurrelativkleinetabellen an,woessichnichtlohnt,suchbaumeaufzubauen. BeimHeaphandeltessichumdieeinfachsteSpeicherstruktur.DieDatenwerden Speicherstrukturumzuwandeln. voll,diedatenzunachstsequentiellabzulegenunderstnachtraglichineineandere WennsehrgroeTabellenamStuckgeladenwerden,istesauchmanchmalsinn- 42

27 Anwendungsprogramme Verschlusselungsmodul externekomponenten Betriebssystem DBMS Netzwerkanschlu DatenspeichegenoderEinschrankungenzuverwendensind. Komponenten,sodaBetriebssystem,DBMSundandereProgrammeohneAnderun- genuberverhaltsichdasverschlusselungsmodulwiedieschnittstellenderexternen Abbildung4.1:KonzeptderkommerziellenLosung 4.2Chiriermethoden DieSicherheitderverschlusseltenDatenhangtnaturlichwesentlichdavonab,welches Chirierverfahrenverwendetwird.EsgibtzahlreicheHersteller,dieselbstentwickelte DasverhindertdieUntersuchungundBewertungdieserAlgorithmenundverstot VerfahrenimplementierenunddieverwendetenAlgorithmennichtveroentlichen. gegendaskerckhos-prinzip(siehes.25). schnell;gutekryptokartenverschlusselnmiteinergeschwindigkeitvonbiszu16 heitdesverfahrens.hardwareimplementationendesdes-verfahrensarbeitenextrem algorithmusangeben,verwendendasdes-verfahren.dergrunddafurliegtklarauf derhand:dasdes-verfahrenistallgemeinbekannt,undmanvertrautaufdiesicher- SehrvieleAnbietervonVerschlusselungsmodulen,diedenverwendetenChirier- Betrachtenwirnun,inwelchenVariantendasDES-Verfahreneingesetztwird: MByteproSekunde. DESimECB-Modus: ObwohldasnichtdiesichersteVarianteist,istesdiegebrauchlichsteArt,das DES-VerfahrenzurSicherunggroerDateienzuverwenden.BeiDateien,dieim ECB-Modusverschlusseltwurden,istesnamlichmoglich,DatenaneinerbeliebigenStellederDateieinzufugen,ohnediegesamteDateibearbeitenzumussen. 44

28 WahrendderInitialisierungsphasenachdemSystemstartwirdeineca.500 ZumVerschlusselnderDatenwerdendortzwei56-BitSchlusselbenotigt. steht,wirddiesermiteinembestimmtenteilderzufallsbitfolgeaddiert(xor). DasStartbitdiesesTeilsderZufallsbitfolgeberechnetsichausderSpeicheradresse,andemdasKryptogrammabgelegtwerdensoll,moduloderLange derzufallsbitfolge.nachdemaddierenwirddiesummeausklartextundzufallsbitsdes-verschlussel(ecb-modus),wobeiderzweiteschlusselverwendet wird. EswurdennochkeineausfuhrlichenUntersuchungenuberdieSicherheitdes Schlusselverwendetwird.Wennein64-BitKlartextblockzurChirierungan- VerfahrenimOFB-Modus(Outputfeedback)eingesetzt,wobeidererste56-Bit KBytegroeZufallsbitfolgeerzeugt.AlsZufallsbitgeneratorwirddasDES- 4.3AufbewahrungderSchlussel wieeineeinfachedes-verschlusselungimecb-moduszusein. "OFB+ECB\Schemasveroentlicht.Esscheintabermindestensebensosicher verwahren.aberwowirdderschlusselgespeichert,wahrenddasverschlusselungsmodulchiriertundzugriaufdenschlusselhabenmunutzereinesverschlusselungsmodulsistalsoaufgerufen,seinenschlusselsicherzu NaturlichmuderSchlusselsichervoreinemAngreifersaufbewahrtwerden.DerBe- Systemscheduler1dengesamtenVerschlusselungsprozemitsamtdemzugeordneten tenhintergrundprogrammprotokollierenlat.eskannauchvorkommen,dader zeitausspioniert,indemerdenentsprechendenspeicherbereichvoneinemgeeigne- esbestehtdiegefahr,daeinangreiferdenschlusselwahrenddersystemlauf- DerHauptspeicherodereinMassenspeicherdesComputerssindungeeignet,denn descomputers.beifastallenbetriebssystemenwerdendiedatenimswapspeicher erstgeloscht,wennsiezufalligvonanderendatenuberschriebenwerden.jenach tritnaturlichauchdenschlussel,dieserstehtdannungeschutztimswapspeicher Hauptspeicherbereichaufden"Swapbereich\desMassenspeichersauslagert.Dasbe- speziellfurdieverwahrungderschlusselvorgesehenistundnichtvombetriebssystem (vgl.[sc94]s.148). SystemkongurationkannesMonatedauern,bisderSchlusselwiedergeloschtwird parallelablaufendenprozessenregelt. 1TeildesBetriebssystems,derdieZuordnungendesHauptspeichersundderProzessorzeitenbei GuteVerschlusselungsmoduleverfugenubereineneigenenSystemspeicher,der 46

29 48

30 bankschutzesanwendbarsind. beschrieben,wiediein5.2und5.3vorgestelltenmethodenbeidieserartdesdaten- ZumAbschluwirddiekommerzielleLosungnocheinmalaufgegrien.Eswird 5.1StatistischeAbfragenundTracker-Angrie DerTracker-AngriisteinBeispiel,andemmansehrgutsieht,daesprinzipiellkeine trivialeaufgabeist,zugrisrechtefurdiebenutzereinerdatenbankzudenieren.es indemausschlielichstatistischedatenbankabfragenerlaubtwerden. wirdgezeigt,daesnichtmoglichist,einzelnedatensatzewirkungsvollzuschutzen, dendatenbestand,gemavombenutzerbestimmbarenvorgaben,automatischaus. Blickerscheintesnaheliegend,denZugrisschutzderartzugestalten,dadieseBenutzernurstatistischeProzedurenaufrufenkonnen.StatistischeProzedurenwertesiert,sondernnuranstatistischenAuswertungendesDatenbestandes.Aufdenersten OftsinddieBenutzereinerDatenbanknichtaneinzelnenDatensatzeninteres- einzelnedatensatzeanzuschauen. Beispiel DerBenutzererhaltdasErgebnisderAuswertung,eswirdihmabernichtgestattet Wirbetrachtendie"Verkehrssunderkartei\inFlensburg1.Essolltenichtsein,dajederUrsachenforscherfurVerkehrsvergehenuneingeschranktenZugriaufdieseDaten hat.diefolgendestatistischeabfrageerscheintjedochharmlos: mittelwertderkomponente"punkte\uberalledatensatzemit: alter: geschlecht:mannlich 1JederStraenverkehrsteilnehmer,derbeieinemschwerenVerkehrsdeliktertapptwird,muin 18{25 fahrtbundesamtwirdimanhangderarbeitaufgefuhrt. rechnen,inderregelfuhrerscheinentzug.genaueresuberdiehandhabungderdatenimkraft- Strafpunkteerteilt.WirdderSchwellwertvon18Punktenuberschritten,mumanmiteinerStrafe dieserkarteigefuhrtwerden.jenachausmadesvergehenswerdendemverkehrssunder1,2,:::,12 50

31 ZunachstsuchtmanzweiGruppenCundD,furdiegilt: FernerbetrachtetmaneineGruppeT,diefolgendermaendeniertwird: C\D=B: T:=C\:D: C T=C\:D B=C\D D WiemaninAbbildung5.1erkennt,giltB=C Tundsomitauch: Abbildung5.1:DerindividuelleTracker Dexistieren,sodajCjundjTjimerlaubtenBereichliegen.DieExistenzsolcher DerErfolgdesAngrishangtnaturlichdavonab,obgeeigneteGruppenCund q(b)=q(c) q(t): Gruppenistnachweisbar.Mankannsogarzeigen,dasiemitezientenBerechnungen zundensind. 52

32 Umq(C)undq(T)zuermitteln,werdendiefolgendenAbfragengemacht: q(c)=summederkomponente"punkte\uberalledatensatzemit: alter: geschlecht:mannlich beruf: 28 mathematiker q(t)=summederkomponente"punkte\uberalledatensatzemit: geschlecht:mannlich beruf: alter: wohnort: mathematiker 28 Bbestimmen: Mitq(C)=50undq(T)=50kannmandengesuchtenWertuberdieZielgruppe :(martinsthal) schranken=300,verglichenmitderdatenbankgroen=6:000:000,sehrklein sodajcjundjtjimerlaubtenbereichsind.dasliegtdaran,dadiesicherheits- BeidiesemBeispielwaresrelativeinfach,geeigneteGruppenCundDzunden, q(b)=q(c) q(t)=50 50=0: gewahltwurde.tracker-angriesindaberauchbeigroerensicherheitsschranken moglich. ihndurchzufuhren,mumanfolgendermaenvorgehen: DerallgemeineTrackerwurde1977vonM.D.SchwartzinseinerDissertationander PurdueUniversityvorgestellt.DieserAngriistimmermoglich,wennnN4ist!Um WennAdieGesamtmengeist,kannmanq(B)nachderfolgendenFormelberechnen(vgl.Abb.5.2): zulassigemengen. WennBeineverboteneMengeist,alsojBj<n,dannsindB[TundB[:T WahleeinebeliebigeMengeT,diederEigenschaft2njTjN 2ngenugt. q(b)=q(b[t)+q(b[:t) q(a): 54

33 Benutzer SOFTWARE ZUGRIFFS- Abbildung5.3:SchutzdurchzugriskontrollierendeSoftware Datenbestand nahmeistdietatsache,daderzugriaufdendatenbestandnurmithilfeder vorgesehenenzugrissoftwaremoglichist. GrundlegendeVoraussetzungfurdenerfolgreichenEinsatzdieserSicherheitsma- gemachtwurden,diezusicherheitsluckenfuhren.fernermugepruftwerden,dadie zugewahrleisten,mumansicherstellen,dabeimsoftwareentwurfkeinedesignfehler erlaubt.siedarfalsokeinefehlerenthalten,dieeinangreiferausnutzenkann.umdas mudabeisichergestelltwerden,dadiesoftwarewirklichnurberechtigtezugrie AufdenerstenBlickscheintdieseinakzeptablerVorschlagzusein.Naturlich Softwarekorrektimplementiertwurde,derverwendeteCompilerdenAnforderungen gemaarbeitet,undletztlichmudiekorrektearbeitsweisederzugrundeliegenden Hardware,insbesondereProzessorundArbeitsspeicher,kontrolliertwerden. SoftwareproduktenwieDatenbank-Management-SystemenoderBetriebssystemenist xitatderhardwareundsoftwarebeidiesensicherheitswerkzeugenvergleichsweisege- ring.deshalbistesauchmoglich,derenkorrektearbeitsweisezuprufen.beigroeren BeispielChipkartenundkryptographischeCoprozessoren.AllerdingsistdieKomple- Sicherheitswerkzeuge,beidenenallediesePunkteberucksichtigtwerden,sindzum diesfastunmoglich. Bookwerden7Sicherheitsstufenunterschieden.DieStufeAenthaltdiehochstenSicherheitsanforderungen,dieStufeDdieniedrigsten.JedehohereStufebeinhaltetdie DerozielleNameist"TrustedComputerSystemEvaluationCriteria\.ImOrange "OrangeBook\,das1983vomDoD(DepartementofDefense)herausgegebenwurde. heitzuklassizieren,gibtesoziellekriterienkataloge.derwohlbekanntesteistdas UmBetriebssystemeundDatenbank-Management-SystemegemaihrerSicher- SicherheitsanforderungenderniedrigerenStufen. 56

34 deltessichumeineweiterentwicklungundverbesserungdes"orangebook\.insbe- sonderesinddiebewertungskriterienimgrunbuchnachfunktionalitatundqualitat getrennt.dasbundesamtfurdiesicherheitininformationssystemen(bsi)hat1991 dasdeutsche"grunbuch\.deroziellenameist"it-sicherheitskriterien\.hierhan- ImAuftragderBundesregierungwurdeeinahnlicherKriterienkatalogentwickelt, stemodervomdatenbank-management-systemubernommen,wobeisichdiezu- cherheitvonsystemenderinformationstechnik\veroentlicht. einenweiterenkatalog[bsi91]mitdemtitel"kriterienfurdiebewertungdersigriskontrollmechanismenvielerdbmsaufdieentsprechendenmechanismendesbetriebssystemsstutzen.deshalbistessinnvoll,betriebssystemezubetrachten,umzu beurteilen,obespraktischmoglichist,nachweislichsichere,zugriskontrollierende DieZugriskontrollewirdbeidenmeistenDatenbanksystemenvomBetriebssy- Softwareherzustellen. zialsystemenerfullt.dersicherheitsstufeagenugennursehrwenigesysteme,zum DieBedingungenSicherheitsstufenB1,B2,B3werdennurvonsehrwenigenSpe- BeispielSCOMPvonHoneywell.DiesesSystemistallerdingsschonsehralt,unddie FunktionalitatvonSCOMPistnichtvergleichbarmitderFunktionalitatgangiger FunktionalerreichtheutefastjedesguteBetriebssystemdieSicherheitsstufeC2. UNIXoderVMSImplementationen. diesicherheitsbarrierenkommerziellerbetriebssysteme(sicherheitsstufec1oderc2) zuumgehen. Beispiel1: DiefolgendendreiBeispielezeigen,wieeinfachesfurfachkundigeAngreiferist, BeidenmeistenBetriebssystemenmussendieeinzelnenBenutzersichmiteinem EsgibtPublicDomainSoftwareprodukte(z.B.CRACK),dieSammlungen auszuprobieren,umdaspaworteinesbestimmtenbenutzerszuermitteln. benutzerspezischengeheimenpawortauthentizieren,dasbeim"login\eingegebenenwird.einmoglicherangribestehtdarin,allezeichenkombinationen durchgefuhrtwerdenkann.versuchehabengezeigt,dafastallepaworter, haugverwendeterpaworterenthalten,mitdeneneinangrivollautomatisch sind.umsolchenangrienzuwiderstehen,kommtesdaraufan,ein"gutes\ BetriebssystemedieVerwendungschlechterPaworterverhindern. dievonunwissendenbenutzernverwendetwerden,aufdieseartdekodierbar Pawortzuverwenden.VielleichteinPhantasiewort,dasinkeinemWorterbuchoderLexikonzundenist,etwaFxj>g5&e.Eswarewunschenswert,da 58

35 Benutzer Terminal Zugrissoftware DBMS Datenbankserver Abbildung5.4:PhysikalischabgeschotteterDatenbankserver Datenbestand 2.DieZugrissoftwaredarfkeinesicherheitsrelevantenFehlerenthalten.DieErmesehrkomplexsind,istesentsprechendaufwendig,allesicherheitsrelevantederSoftware,wiemoderneBetriebssystemeundDBMS,habengezeigt,daes oensichtlichnichtmoglichist,derensicherheitzugarantieren.dasolchesyste- Funktionenzuprufen.HerstellersolcherSystemescheuendenhohenZeit-und fahrungenmitkomfortablerundvielseitigverwendbarer,zugriskontrollieren- 5.3AngribeikryptographischemSchutz Kostenaufwand,derdafurnotwendigware. VerschlusselteDatenbestandekannmanlesen,wennesgelingt,dasverwendeteChif- Umstandenmoglichist,InformationenausverschlusseltenDatenbestandenzuermitteln,ohnedasChirierverfahrenzubrechensichtensindrelativschlechtfrierverfahrenzubrechen.DasistjedochkeineleichteAufgabe,unddieErfolgsaus- ImfolgendenwerdenMethodenvorgestellt,mitdenenesunterbestimmten KompromittierenderSchlussel BeivielenSicherheitssystementritmandenschwachstenPunkt,wennmanversucht, hangtstarkvondenjeweiligengegebenheitenab. dieverwendetenschlusselundpaworterzuermitteln.wiemanimeinzelnenvorgeht, 60

36 fer,berufsgruppeundggf.todesjahrreichenmanchmal,umeinepersoneindeutigzu identizieren. Abb.5.6).AlleindieInformationenuberGeschlecht,Geburtsjahr,Gemeindekennzif- MillerMichael Gemeinderegister MathematikerMartinsthal66mannlich MathematikerMartinsthal66mannlichgesund Uberschneidungswissen Abbildung5.6:Datenabgleich Krebsregister mandurcheinenvergleichmitdemmeldedatumdiezahlderinfragekommenden Personengewiweitereinschrankenkonnen. hat.dadiedatenbankenderkrankenkasseninderregelunverschlusseltsind,wird derrichtigenkrankenkasseermitteltman,werandiesemtageinenarztbesucht EinweitererAnsatzpunktistdasMeldedatum.MitZugriaufdieDatenbank chiriertwurden.indiesemfallistdiehaugkeitsverteilungderkryptogrammeidentischmitderhaugkeitsverteilungderklartexte.kryptogramme,derenhaugkeiten sichdeutlichvondenhaugkeitenderubrigenkryptogrammeunterscheiden,konnen durcheinenvergleichzwischenkryptogrammhaugkeitenundklartexthaugkeiten bankenkannauchdurchsogenanntehaugkeitsanalysenunterstutztwerden.vor- aussetzungdafurist,dadieeinzelnenkomponentenderdatensatzedeterministisch DieIdentizierungvonDatensatzenineinemKrebsregisteroderahnlichenDaten- ist.niemand(auerdenangestelltenimregister)hatzugriaufdieverschlusseltendaten. einerpersonzuermitteln4.inrheinland-pfalzistmainzdiestadtmitdenmeisten identiziertwerden. 4Praktischistdasnichtmoglich,daderDatenbestanddesKrebsregistersphysikalischgeschutzt BeimKrebsregisterRheinland-Pfalzwareessovielleichtmoglich,denWohnort 62

37 Bemerkung: AngriemittelsProbeverschlusselungoderHaugkeitsanalysekannmanverhindern, indemnichtdeterministischechirierverfahrenverwendetwerden.furdiedatensilicheproblemebeimspeichernundverwaltenderdatenein.beim"suchen\oder "Sortieren\mussendieeinzelnenDatensatzemiteinanderverglichenwerden.EntwedermanvergleichtaufKlartextebene,wasbedeutet,damandenDatenbestancherheitistdaswahrscheinlichdiebesteLosung,abermanhandeltsichdamiterhebtogramme.BeinichtdeterministischerVerschlusselungisteinVergleichderKryptogrammeabersinnlos,damankeineAussageuberdieGleichheitderKlartexteerhalt. DasEntschlusselnundVerschlusselnwahrendderVerarbeitungsprozessefuhrtinden entschlusselnundanschlieendneuverschlusselnmu,odermanvergleichtdiekryp- meistenfallen,besondersbeiasymmetrischenchirieverfahren,zunichtakzeptablen Performanceeinbuen. 5.4AngriebeiDatenbankenmit Angrismethodenanwendbarsind.DabeiwirdvonderinAbbildung5.7skizzierten dulen)vorgestelltelosung,umzuuntersuchen,obdiein5.2und5.3aufgefuhrten WirbetrachtennocheinmaldieinKapitel4(VerwendungvonVerschlusselungsmo- Verschlusselungsmodul Kongurationausgegangen. Benutzer Betriebssystem DBMS Verschlusselungsmodul (DES) gramme Krypto- miteinemsymmetrischenchirieralgorithmus(des).eswirdeinschlusselverwendet,denallebenutzer,diemitdemsystemarbeiten,ausgehandigtbekommen.damit entsprechendenkomponentenstattndenkann.dasverschlusselungsmodularbeitet DiePfeileinAbbildung5.7symbolisieren,daeinDatenaustauschzwischenden Abbildung5.7:KommerzielleLosung 64

38 cheradresseundklartextblockbzw.kryptogramm.betrachtenwireinvereinfachtes keit,denndasverschlusselungsmodulandertnichtsanderzuordnungzwischenspei- ressefureinenklartextbestimmt.darausergibtsicheinegefahrlicheangrismoglich- darin,zuanalysieren,nachwelchenkriteriendasdbmsdiephysikalischespeicherad- EineweitereMoglichkeit,InformationenuberdieKlartextezugewinnen,besteht Beispiel: modulkryptographischgesichert,aufdasspeichermediumgeschriebenwerden. EssolleineNamenslistevomDBMSverwaltetwerdenund,viaVerschlusselungs- Angreifer,dersichmitdenInternadesDBMSauskenntunddieKryptogrammeauf demspeichermediumvorndet,hatalsozusatzlicheinformationen.erweinamlich, nungspeichern.andieserordnung,wirddurchdasverschlusselungsmodulnichts geandert,lediglichdieeinzelnennamenwerdenzukryptogrammenverarbeitet.ein ImeinfachstenFallwirddasDBMSdieNamenslisteinlexikographischerOrd- KlartextbuchstabedeserstenKryptogrammsmitgroerWahrscheinlichkeitein"A\! wiediekryptogrammegeordnetsind.beilexikographischerordnungistdererste 66

39 inabschnitt6.3basierenaufdenveroentlichungen[mi93a,mi93b,mipo94]. inverschlusseltendatenbestandennurmiteinemspeziellenschlusselermoglicht,der unabhangigvondenschlusselnzumchirierenunddechirierenderdatenist.dieses SchemawurdeimRahmendesKrebsregisterprojekts1entwickelt.DieAusfuhrungen ThemadesdrittenAbschnittsisteinVerschlusselungsschema,welchesdasSuchen 6.1Einleitung Problemdarstellung: SinneinerVerschlusselungistes,denKlartextsoumzuformen,dadieGeheimtextekeinenHinweismehraufInhaltundStrukturdesKlartextesenthalten.Esstellsichtigen: sichdiefrage,nachwelchenkriterienmangroegeheimtextmengenstrukturiert speichert,sodaeinezientesarbeitenmitdemdatenbestandmoglichist.insbesonderestelltsichdiefrage,wiemanineinemchiriertendatenbestandezient BeisehrgroenDatenbankenistesausgeschlossen,dengesamtenDatenbestand fureinesuchenachbestimmtenklartextenzudechirieren.dieheutigenchif- nachvorgegebenenklartextensuchenkann.dabeisindfolgendepunktezuberuck- durchgefuhrtwird. erscheintalsklartextimhauptspeicherdescomputers,mitdemdiesuche frieralgorithmenarbeitendafurvielzulangsam.eswurdestundenodertage auchaussicherheitsgrundensehrbedenklich,dennderkomplettedatenbestand dauern,biseinesuchaktionabgeschlossenware.ferneristdiesevorgehensweise BeiKlartextdatenbankenkannmandurchgeeigneteDatenstrukturen,wie m-wege-suchbaume,erreichen,daeindurchsuchenderdatenmitwenigen ZugrienaufdenDatenbestandabgeschlossenwerdenkann.BeiverschlusseltenDatenbestandenistdasnichtmoglich,dam-Wege-SuchbaumeundanderegeeigneteDatenstrukturendielexikographischeodernumerischeOrdnung ZurBewaltigungdieserProblemewirdoftvorgeschlagen,dieKryptogrammevom seordnungjedochnichtmehrerkennbar. derklartextdatenverwenden.andenentsprechendenkryptogrammenistdie- DBMSebensowieKlartexteverarbeitenzulassen,alsoinderublichenFormeines 1DasKrebsregisterprojektwirdimAnhangderArbeitkurzvorgestellt. 68