Kryptographie, symmetrische Verfahren

Transkript

1 Kryptographie, symmetrische Verfahren F. Knüppel Vorwort Die Kryptographie behandelt die Verschlüsselung und Entschlüsselung von Informationen. Ein Spion, der die sich die verschlsselte Nachricht verschafft, soll aus ihr nicht den Klartext (d.h. die unverschlsselte Information) erkennen knnen. Von den kryptographischen sind steganographischen Vefahren (concealment systems) zu unterscheiden. Bei der Steganographie geht es darum, die bloe Existenz einer der Nachricht zu verbergen (Geheimtinte, Mikropunkte, Schreiben auf der Kopfhaut). Der vorliegende Aufsatz handelt von klassischen symmetrischen Verschlsselungsmethoden. Dabei haben Sender und Empfäbger einen gemeinsamen Schlüssel. In einem anderen Aufsatz werden die moderneren asymmetrischen Verfahren beschrieben. Kryptographie ist nicht zu verwechseln mit Kodierungstheorie. In der fehlerkorrigierenden Kodierungstheorie geht es darum, eine Information zu übermitteln durch einen physikalisch unvollkommenen Übertragungskanal, der einzelne Zeichen verändert, und aus gestörten empfangenen Nachricht die richtige Information zu rekonstruieren. Die Quellkodierung möchte einen Klartext möglichst platzsparend speichern.

2 Chapter 1 Symmetrische Kryptosysteme (Klassische Systeme) 1.1 Schema Schema bei symmetrischer Chiffrierung Nachrichtenquelle Chiffrierer(=encryptor) geheim Spion Schlüsselquelle Empfänger Dechiffrierer(=decryptor) geheim Die Annahme, daß der Spion das gesamte Verfahren mit Ausnahme der verwendeten Schlüssel kennt, heißtkerckhoffs Maxime. 1 Unter einem symmetrischen Verfahren (=private- key-verfahren) versteht man ein Kryptosystem, bei dem der von zwei Partnern vereinbarte Schlüssel sowohl den Chiffrierschritt als auch den Dechiffrierschritt bestimmt [Ba: 142]. Zur Chiffriersicherheit ist die Geheimhaltung des Schlüssels unerläßlich. Sämtliche in diesem Kapitel behandelten Verschlüsselungsverfahren sind in diesem Sinne symmetrische Verfahren. Aber auch der in Abschnitt vorgestellte Vertreter moderner computergesteuerter Blockchiffrierung, der DES, ist ein symmetrisches Verfahren. 1 Auguste Kerckhoffs ( ), flämischer Professor und Verfasser von La cryptographie militaire, Er machte erstmals eine klare Unterscheidung zwischen dem Verfahren (dem systme ) und dem eigentlichen Schlüssel [Ba: 137]. 1

3 2 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) 1.2 Beispiele klassischer Systeme Transpositionen Die Transposition ist eines der schlichtesten symmetrischen Kryptosysteme. Die Verschlüsselung des Originaltextes wird bei der Transposition dadurch erreicht, daß die Plätze der Buchstaben des Textes permutiert werden (in deutschen Texten mitunter als Würfelverfahren oder Versatzverfahren). Bezeichnet man die Menge der möglichen Textzeichen ( Alphabet ) als V, so ist eine Transposition zur Verschlüsselung eines aus n Zeichen bestehenden Originaltextes eine Abbildung V n V n mit (x 1,..., x n ) (x π(1),..., x π(n) ), wobei π eine Permutation von {1,...,n} ist [Ba: 73]. Beispiel Chiffrierte Wörter Klartext Schlüssel GARUJA Jaguar ( ) BRUDSAS Bussard ( ) BLASWECH Schwalbe ( ) Ist die Anzahl n der Zeichen, aus denen der Originaltext besteht, sehr gro, wird der Schlüssel einer Transposition unübersichtlich, wenn man ihn wie oben als eine Permutation π von {1,...,n} definiert. Statt dessen wähle man eine Zahl d n und eine Permutation π d von {1,...,d}, zerlege den Klartext in Blöcke der Länge d (mathematisch korrekter Terminus: d-tupel) und wende π d auf jeden dieser Blöcke an. Dies gegenüber der oben beschriebenen einfachen Transposition leicht modifizierte Verfahren wird als Transposition der Periode d IN bezeichnet. Beispiel (Transposition der Periode d = 5) Es sei M = (m 1, m 2,..., m 15 ) der zu verschlüsselnde ( Klartext (die m i ) seien dabei Buchstaben des Alphabets). Die Permutation π = (123)(45) = sei der Schlüssel Zerlege nun den Klartext M in Blöcke der Länge 5 und wende auf jeden Block π an 2. Der chiffrierte Text lautet dann (m 3, m 1, m 2, m 5, m 4, m 8, m 6, m 7, m 10, m 9, m 13, m 11, m 12, m 15, m 14 ). Bemerkung Für Chiffrierung mittels Transpositionen offenbar: (1) Die Häufigkeiten der einzelnen Buchstaben im Text werden nicht verändert. 2 Die Permutation π wird meistens vereinfachend als Transposition bezeichnet.

4 1.2. BEISPIELE KLASSISCHER SYSTEME 3 (2) Wiederholungsmuster der Alphabetzeichen im Klartext erhalten sich nicht immer. Insbesondere wird die Häufigkeit von Buchstabenpaaren, -tripeln (für die deutsche Sprache typisch z.b. st und sch) verändert. Nummer (1) der Bemerkung findet in der Analyse verschlüsselter Texte z.b. insofern Anwendung, als man sie zur Ausschließung von Transpositionen als Chiffrierverfahren benutzen kann: dann nämlich, wenn die Häufigkeit 3 der Einzelzeichen des verschlüsselten Textes ganz und gar nicht der vermuteten Sprache entspricht. Eine Variation ist die einfache Spaltentransposition, die wir an einem Beispiel erklären. Beispiel (Einfache Spaltentransposition) Nach Wahl einer Zeilenlänge k wird der Originaltext waagerecht zeilenweise in ein Gitter der Zeilenlänge k eingeschrieben. Die Verschlüsselung des Textes erfolgt anschließend dadurch, daß die entstehenden Spalten in der durch eine Permutation π von 1,...,k vorgegebenen Reihenfolge senkrecht herausgelesen werden. Die als Schlüssel fungierende Permutation π kann durch ein aus k Zeichen bestehendes (ansonsten beliebig gewähltes) Schlüsselwort festgelegt werden: die Buchstaben des Schlüsselwortes werden gemäß ihrer Reihenfolge im Alphabet von 1 bis k durchnummeriert, wobei mehrfach auftauchende gleiche Buchstaben entsprechend ihrem Platz im Schlüsselwort aufeinanderfolgende Nummern bekommen. Illustration für k = 7 und Schlüsselwort HALIFAX: Zu verschlüsseln ist der Text: Wir treffen uns im Matheseminar. Durchnummerierung ( der Buchstaben ) von HALIFAX wie oben angegeben liefert die Permutation π = H A L I F A X W I R T R E F F E N U N S I M M A T H E S E M I N A R X 3 Die Häufigkeit der Einzelzeichen folgt inneren Gesetzen der jeweiligen Sprache. Dabei kommt jedem Zeichen χ i näherungsweise eine Wahrscheinlichkeit p i des Auftretens zu, so daß die Häufigkeit seines Vorkommens in einem Text der Länge M nahe bei M p i liegt[ba: 203]. Dieser Sachverhalt kann für die jeweilige Sprache graphisch als sogenanntes Häufigkeitsgebirge dargestellt werden (vgl. Ba: 203). Angaben zur Häufigkeitsreihenfolge der Einzelzeichen verschiedener Sprachen finden sich in vielen Werken, variieren jedoch von Autor zu Autor [Ba: 206].

5 4 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) Nach spaltenweisem Auslesen gemäß der durch π vorgegebenen Nummerierung erhält man als Chiffrat: IEMMESERRNHAWFMETUTNRNAIFISX. Eine Form der Transposition stammt aus dem 5.Jahrhundert v. Chr., die griechische Skytale: um einen Stab wird spiralförmig ein Pergamentstreifen gewickelt, auf den die Nachricht als Klartext der Länge des Stabes nach geschrieben wird [Ba: 81]. Auf dem wieder abgewickelten Streifen erscheint dann die Nachricht in Folge der veränderten Reihenfolge der Buchstaben verschlüsselt. Ein solches Chiffrat ist für Unberufene durch Ausprobieren verschiedener Stäbe als möglicher Schlüssel leicht zu entziffern Einfache Substitutionen Anders als bei Transpositionen, bei denen die Chiffrierung des Originaltextes durch Permutation der Buchstabenplätze erreicht wird, verschlüsselt die Substitution einen Klartext, indem die Buchstaben des verwendeten Alphabets durch andere Buchstaben (desselben oder eines anderen Alphabetes) ersetzt werden. Die Substitution wird daher in deutschen Texten auch als Ersatzverfahren oder als Tauschverfahren bezeichnet [Ba: 35]. Sei V das den Klartexten zugrundeliegende Alphabet und W ein Alphabet gleicher Mächtigkeit wie V. Dann ist für n INdie Abbildung V n W n mit (x 1,..., x n ) (π(x 1 ),..., π(x n )) eine Substitution, wobei π : V W eine Bijektion ist. Ist V = W und also π eine Permutation auf V, spricht man von homogener Substitution, sonst von heterogener Substitution [Ba: 36,37]. Substitutionen sind durch Häufigkeitsanalysen der Buchstaben leict herauszufinden 4. Polygramm-Substitution (=N-Gramm-Substitution) Die Polygramm- oder N-Gramm-Substitution zeichnet sich gegenüber der einfachen Substitution dadurch aus, daß hier anstatt einzelner Buchstaben ganze Buchstabenblöcke einer bestimmten Länge ersetzt werden. Beispiel (Das Playfair-Verfahren) Das Playfair-Verfahren ist ein Beispiel für eine Digram-Substitution: der Klartext wird in Blöcke zu zwei Buchstaben - sogenannte Digramme - zerlegt, welche dann nach einem bestimmten Modus jeweils durch andere zweielementige Blöcke ersetzt werden. Der diesen Modus bestimmende Schlüssel ist dabei ein 5 5-Quadrat, das aus einer bestimmten Anordnung der 25 Buchstaben des Alphabets besteht (es wird dabei I = J gesetzt, da J nur mit geringer Häufigkeit in Texten vorkommt und überdies leicht durch I darstellbar ist [We: 136]). 4 In deutschen Texten z.b. ist das e der am häufigsten, n der am zweithäufigsten auftauchende Buchstabe etc. [Ba: 206]. Entsprechend wird im durch einfache Substitution verschlüsselten Text π(e) das am meisten benutzte Zeichen sein, gefolgt von π(n) usf..

6 1.2. BEISPIELE KLASSISCHER SYSTEME 5 Der Einfachheit halber sollen hier die Buchstaben des Alphabets in gewohnter Reihenfolge in das Schlüsselquadrat eingeschrieben werden. Das Schlüsselquadrat wird mit einer 5 5-Matrix M identifiziert. A B C D E F G H I K L M N O P Q R S T U V W X Y Z a 1,1... a 1,5.. M =.... a 5,1... a 5,5 Wird der Klartext nun in Blöcke der Länge 2 zerlegt, entspricht jedes Digramm mit einem Paar (a i,j, a k,l ) mit Einträgen aus M (z.b.: das Digramm (c,f) entspricht dem Paar (a 1,3, a 2,1 ). Die Playfair-Substitution arbeitet nach folgender Vorschrift 5 : (1) (a i,j+1, a i,l+1 ) falls i = k gilt, Ersetze (a ij, a kl ) durch (2) (a i+1,j, a k+1,j ) falls j = l gilt, (3) (a i,l, a k,j ) sonst. Das Verfahren setzt voraus, daß keines der Klartext-Digramme aus zwei gleichen Buchstaben besteht. Die Verschlüsselungsvorschrift sagt: (1) liegen die Buchstaben des Klartext-Digrammes in einer gemeinsamen Zeile, so wird als Substitut das Raar der rechts stehenden Buchstaben genommen; (2) liegen Digrammbuchstaben in einer gemeinsamen Spalte, werden sie durch die jeweils unter ihnen stehenden Buchstaben ersetzt; (3) liegen die Digrammbuchstaben weder in derselben Zeile noch in derselben Spalte wie z.b. bei (G,O), so besteht das Substitut aus dem Buchstabenpaar in den anderen Ecken des durch G und O im Schlüsselquadrat definierten Rechtecks, also aus (I,M). Illustration: Zu verschlüsselnder Text Ich geh Klartext-Digramme (I,C) (H,G) (E,H) ausgedrückt in Einträgen aus M (a 2,4, a 1,3 ) (a 2,3, a 2,2 ) (a 1,5, a 2,3 ) Substitution (a 2,3, a 1,4 ) (a 2,4, a 2,3 ) (a 1,3, a 2,5 ) Verschlüsselter Text (H,D) (I,H) (C,K) 5 Addition der Indizes modulo 5.

7 6 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) Polyalphabetische Verschlüsselung Bei den bisher vorgestellten Substitutionen wird beim Chiffrieren ein spezifisches Symbol im Klartext stets durch dieselbe Chiffre ersetzt. Durch Frequenzanalysen sind diese Systeme leicht verwundbar [We: 134]. Gegen Angreifer besser geschützt ist dagegen ein Verschlüsselungsmodus, bei dem sich die Verschlüsselungsvorschrift eines spezifischen Klartext-Symbols während des Chiffrierens verändert, so daß die Elemente des Klartext-Alphabets nicht mehr eineindeutig den Elementen eines Alphabets zugeordnet werden können. Soche Verschlüsselungssysteme werden als polyalphabetisch bezeichnet. Beispiel (Chiffrierung mit individuellem Schlüssel, One-time-pad -Verfahren) Verschlüsselt werden soll die Nachricht SEND MORE MONEY, wobei die Leerstellen zwischen den Wörtern keine Berücksichtigung finden sollen. Das römische Alphabet wird zunächst mit Z 26 identifiziert, und zwar A mit 0, B mit 1, C mit 2 usw., sodann der Originaltext entsprechend dieser Identifizierung übersetzt. Aus Z 26 wird nun eine Zeichenfolge gewählt, die in bezug auf die Nachricht insofern als individueller Schlüssel anzusehen ist, als sie a) willkürlich festgelegt wird und b) aus genau so vielen Elementen besteht, wie die zu verschlüsselnde Nachricht. Das Chiffrat wird dadurch gewonnen, daß Nachricht und Schlüssel in Z 26 addiert werden: S E N D M O R E M O N E Y Nachricht Klartext in Z Schlüssel Chiffrat Nachteil: Schlüssel so lang wie die Nachricht, deshalb praktisch unbrauchbar. Beispiel (Vigenre -System) Das römische Alphabet möge wie oben mit Z 26 identifiziert werden. Der Schlüssel besteht bei diesem Verfahren aus einer kurzen Reihe von Zeichen aus Z 26, die wiederholt unter die Nachricht geschrieben und modulo 26 addiert werden. Als Beispiel sei wieder die NachrichtSEND MORE MONEY betrachtet. Die zu chiffrierende Zeichenreihe aus Z 26 möge durch das Wort BED vorgegeben sein, welches übersetzt lautet Die Vigenre 6 -Verschlüsselung sieht dann wie folgt aus: 6 Blaise de Vigenre( ), französischer Diplomat bis Danach verlegte er sich ganz aufs Schreiben und verfaßte bis zu seinem Tod diverse Schriften... über alles Mögliche [Ba: 100]. Für die Geschichte der Kryptographie ist sein Werk Traict des Chiffres von Interesse, in dem man eine genaue Wiedergabe des Standes der Kryptologie zu seiner Zeit findet [Ba: 100, 101].

8 1.2. BEISPIELE KLASSISCHER SYSTEME 7 S E N D M O R E M O N E Y Nachricht Klartext in Z iterierter Schlüssel Chiffrat Bemerkung (1) Wird das Vigenre-Verfahren mit einer Schlüsselzeichenkette der Länge 1 durchgeführt, so bezeichnet man diesen Sonderfall als Caesar-Chiffre, da angeblich Caesar auf diese Weise Botschaften verschlüsselt haben soll [We: 136]. (2) Das Vigenre-System kann auch mit Z 2 = {0, 1} anstatt Z 26 durchgeführt werden und wird dann als Vernam-Chiffrierung 7 bezeichnet. Beispiel (Verallgemeinerte Hill-Chiffrierung) Bei der Hill-Chiffrierung ist das verwendete Alphabet ein Ring (Σ, +, ), Σ = n. Der Klartext wird in Blöcke x der Länge n (n IN) zerlegt, x Σ n. Um x zu verschlüsseln, werden benutzt: eine Abbildung β Aut(Σ), eine invertierbare 8 nxn-matrix A über Σ und ein Vektor b Σ n. Damit wird das Cryptogramm T β,a,b (x) von x wie folgt definiert: T β,a,b (x) := A(β(x)) + b (d.h. es wird die durch A, β gegebene semilineare Bijektion angewendet, gefolgt von der Translation um b). Hill hat den Ring Σ := Z 26 verwendet und n {2, 3, 4, 5}), und β = id, b = (0,..., 0). Illustration: Der Originaltext Good wird verschl sselt mit dem Alphabet Σ := Z 37. Dabei stehen in diesem Alphabet 0 bis 9 für die ganzen Dezimalzahlen, 10 für das Leerzeichen und 11 bis 37 für die Elemente des römischen Alphabetes [We: 137]. ( Weiter soll ) mit den oben eingeführten Bezeichnungen n = 2, 3 13 β = id und b = (0, 0) gelten, A = (es gilt: det(a) = 241 = 19 0 in Z 37 und da Z 37 Körper ist, ist A also invertierbare Matrix über Z 37 ). Übersetzt man die Nachricht Good in das Alphabet Σ und zerlegt dies in Blöcke der Länge 2, so erhält man die Klartext-Vektoren x 1 = (17, 25) und x 2 = (25, 14) aus Z Daraus ergeben sich die folgenden Cryptogramme: 7 Eine ausführlichere Beschreibung des Vernam-Verfahrens findet sich in Bauer, S.101 f.. 8 Für eine Matrix A über einem kommutativem Ring Σ gilt, daß sie invertierbar ist, gdw. die det(a) eine Einheit in Σ ist (für den Spezialfall, daß Σ ein Körper ist, erfüllt det(a) 0 diese Anforderung, da dann jedes Element 0 Einheit in Σ ist). Für einen kommutativen Ring Σ wird die Determinante einer Matrix über Σ analog definiert bzw. konstruiert, wie bei einem Körper K und Vektorraum V über K. Anstatt im K-VR V wird dann entsprechend im Σ -Modul M gerechnet.

9 8 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) ( T β,a,b (x 1 ) = ) ( ) ( = 6 9 ) ( T β,a,b (x 2 ) = ) ( ) ( = ) Man erhält also als Chiffrat: (T β,a,b (x 1 ), T β,a,b (x 2 )) = (6, 9, 35, 20). Beispiel (Die Chiffrierscheibe von Alberti) Mit seiner Chiffrierscheibe lieferte Alberti 9 schon 1466 ein mechanisches Hilfsmittel zur Realisierung einer polyalphabetischen Verschlüsselung. Die Chiffrierscheibe besteht aus zwei gegeneinander drehbaren Einzelscheiben: einer äußeren, auf der das Klartextalphabet aufgetragen ist, und einer inneren, auf der das durch eine Permutation π in seiner Zeichenabfolge veränderte Alphabet zu sehen ist. Die Chiffrierscheibe ist in Ausgangsposition A, wenn die innere Scheibe so positioniert ist, daß sich unter jedem Zeichen z des Klartextalphabets auf der äußeren Scheibe das Symbol π(z) auf der inneren befindet. Die Verschlüsselung des Klartextes erfolgt, indem die Innenscheibe nach einem bestimmten Modus aus ihrer Ausgangslage gegenüber der Außenscheibe verdreht wird, so daß die Substitute der Klartextzeichen direkt unter diesen auf der Innenscheibe abzulesen sind. Der Verschlüsselungsmodus läßt sich wie folgt beschreiben. Außer der oben bereits erwähnten Permutation π des Klartextalphabetes werden benötigt: Verschiebungen σ j um j Schritte und eine Abbildung ι : IN IN. Für i IN gibt ι(i) an, um wieviele Stellen die Innenscheibe beim i-ten Schritt (d.h. bei der Verschlüsselung des i-ten Zeichen des Klartextes) aus ihrer Ausgangslage zu drehen ist. Die Einführung der Abbildung ι ist nötig, weil der Index j der Verschiebungen σ j vom Platz i des gerade zu verschlüsselnden Zeichens im Klartext abhängen soll. Der Klartext wird nun zeichenweise von 1 bis n (n IN) durchnumeriert. An der i-ten Stelle des Klartextes stehe der Buchstabe z i. Zum Verschlüsseln wird die Innenscheibe um ι(i) Stellen aus ihrer Ausgangsposition nach links gedreht. Auf der Innenscheibe steht dann unter dem gerade zu verschlüsselnden Zeichen z i das zu wählende Substitut, dies ist π(σ ι(i) (z i )). Es hängt nicht nur vom Buchstaben z i ab sindern auch von der Stelle i, an der er im Klartext steht. Illustration: Sei z.b. das 39ste Zeichen eines Klartextes ein b, also z i = z 39 = b, und es möge ι(39) = 3 sein. Geht man auf der Außenscheibe von b aus nun 3 Stellen nach rechts (Anwendung von σ ι(39) = σ 3 auf b), so erhält man e = σ 3 (b). Auf der Innenscheibe unterhalb von e befindet sich - da die Innenscheibe noch in Ausgangsposition A steht - c = π(e) = π(σ 3 (b)), also das gesuchte Substitut für b = z 39. Dieses kann man - wie oben erläutert - äquivalent erhalten, wenn man die Innenscheibe um ι(39) = 3 Stellen nach links aus ihrer Ausgangsposition dreht und dann das Substitut direkt unterhalb von b abliest. 9 Leon Battista Alberti ( ), italienischer Baumeister. Alberti war der erste in der Reihe der sogenannten Universalmenschen (uomo universale) der Renaissance. Er war v.a. als Kunsthistoriker und Baumeister wirksam [Me, Bd.1: 195].

10 1.2. BEISPIELE KLASSISCHER SYSTEME 9 Solche Scheiben wurden jedenfalls noch 1970 in der US-Army verwendet Rotorsysteme Zunächst soll das Prinzip der Textverschlüsselung mittels Rotorsystem mathematisch beschrieben werden. Dann wird die mechanische Realisierung dieser Chiffriertechnik dargestellt. Mathematische Beschreibung Das römische Alphabet wird mit Σ = Z 26 identifiziert (A = 0, B = 1,..., Z = 25). Es sei s IN und π 1,..., π s Permutationen auf {0,...,25}. Für l IN 0 sei σ l : Σ Σ, a (a + l) mod26 Verschiebung um l Stellen. π σ l r := σ l π r σ 1 l ist die Konjugation der Permutation π r (r {1,..., s}) unter der Verschiebung σ l. Weiter seien ι 1,..., ι s Abbildungen IN Z 26, gegeben, die Getriebefunktionen 10. Für i IN ist also ι j (i) Z 26. Die Getriebefunktionen können z.b. von folgender Form sein: ι j (i) = γ j + i für γ j Z 26, i IN; addiert wird dabei mod 26. Die γ j werden dann als Anfangsstellung der j-ten Getriebefunktion bezeichnet. Ist nun ein Klartext α = (a 1,..., a t ) gegeben (wobei t IN und a i Z 26 für i {1,..., t} sei), so wird der i-te Buchstabe a := a i des Klartextes α ersetzt durch (*) (π σ ιs(i) s... π σ ι 2 (i) 2 π σ ι 1 (i) 1 )(a) Dieser i-te Buchstabe des chiffrierten Textes hängt also sowohl von a als auch von i ab. Mechanische Realisierung Ein Rotor besteht aus zwei um eine zueinander parallelen starr verbundenen Kreisscheiben K1 und K2, auf denen jeweils 26 Kontakte auf einem Kreis äquidistant liegen. Sie entsprechen den 26 Elementen des Alphabets Σ. Die Kontakte von K1 sind nach Vorgabe einer Permutation( π auf {0,...,25} mit den ) Kontakten von K2 fest verdrahtet. Wenn also beispielsweise π = ist, so hat 0 von K1 elekrischen Kontakt mit 1 von K2, 1 auf K1 ist mit 25 auf K2 verbunden usw.. Der Rotor ist um eine Achse durch die Zentren der Kreisscheiben drehbar. Auf der Achse links vom Rotor ist die feststehende Eingangskontaktscheibe E montiert, über die der Klartext eingegeben werden kann. Rechts vom Rotor befindet sich - ebenfalls feststehend - die Ausgangskontaktscheibe A, von welcher der verschlüsselte Text schließlich abgelesen werden kann. 10 Diese Bezeichnung wird im Abschnitt über die mechanische Realisierung der Rotorsysteme motiviert.

11 10 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) Rotor E K1 π K2 A Rotor in Ausgangsstellung Bei Benutzung der so konzipierten Chiffriermaschine wird der Rotor auf bestimmte Weise gegen die beiden äußeren feststehenden Scheiben verdreht, so daß sich dabei die elektrischen Kontakte zwischen Eingangskontaktscheibe und K1 des Rotors einerseits und zwischen Rotorscheibe K2 und Ausgangskontaktscheibe andererseits ändern. Diese nderung der Verschaltungen entspricht den einzelnen Chiffrierschritten beim Verschlüsseln eines Originaltextes: wird der Rotor um l Schritte aus seiner Ausgangsstellung gedreht, entspricht das - mit den oben eingeführten Bezeichnungen - genau der Anwendung der Abbildung σ l π σ l 1 auf den Klartext α = (a 1,..., a t ) bzw. auf dessen Einzelzeichen a i. Das Getriebe der Maschine realisiert nun zusätzlich auf bestimmte Weise, welche als Getriebefunktion ι mathematisch beschreibbar ist (s.o.), daß der Index der Verschiebefunktion σ von der Position i des gerade verschlüsselten Klartextzeichens abhängig wird. Bei der Verchlüsselung des i-ten Klartextbuchstabens wird der Rotor damit automatisch um ι(i) Schritte aus seiner Ausgangslage gedreht, und der daraus resultierende Chiffrierschritt entspricht dann insgesamt der Abbildung σ ι(i) π σ 1 ι(i). Illustration: Es sei ein in Σ abgefaßter Klartext α = (a 1,..., a t ) vorgegeben und es sei dabei a 2 = 4. Weiter sei ι(2) = 3. Dann ist σ 1 ι(2) (a 2) = σ 1 3 (4) = 4 3 = 1. Ist nun beispielsweise π(1) = 25, so ergibt sich das Substitut von a 2 zu (σ ι(2) π σ 1 ι(2) )(a 2) = (σ 3 π σ3 1 )(4) = (σ 3 π)(1) = σ 3 (25) = 25+3 = 2 in Z 26. Die betreffende Rotoreinstellung sieht dann wie folgt aus:

12 1.2. BEISPIELE KLASSISCHER SYSTEME 11 Rotor E K1 π K2 A Rotor nach Drehung um drei Schritte Um einem Gegner das Spionieren zu erschweren, liegt es nahe, mehrere Rotoren hintereinanderzuschalten. Der daraus resultierende Chiffriervorgang entspricht dann der Anwendung einer Abbildung vom Typ (*) (s.o.) auf den Klartext bzw. dessen Einzelzeichen. Nach diesem Prinzip funktionierten die Chiffriermaschinen vom Typ ENIGMA der deutschen Wehrmacht 11. Bei diesen war die Ausgangskontaktscheibe A durch eine Umlenkscheibe U ersetzt [Ba: 87, 139]; d.h. einer entsprechend einer involutorischen Involution fest verdrahteten Kontaktscheibe. Die Eingangsscheibe wurde gleichzeitig als Ausgangsscheibe verwendet. Dadurch wird das Chiffriersignal nach Durchlaufen der Rotoren an der Umlenkscheibe involutorisch permutiert dann erneut durch die Rotoren geschickt zur Eingangsscheibe=Ausgangsscheibe. Die Anzahl der Rotoren, die das Signal durchläuft, wird somit verdoppelt, die Eingangskontaktscheibe E gleichzeitig zur Ausgangskontaktscheibe A. Sei ω auf {0,...,25} die involutorische Permutation der Umlenkscheibe. Damit erfolgt die Verschlüsselung des i-ten Klartextbuchstabens beispielsweise bei einer Chiffriermaschine mit zwei Rotoren nun durch eine Abbildung der Form Ω := (π σ ι 1 (i) 1 ) 1 (π σ ι 2 (i) 2 ) 1 ω π σ ι 2 (i) 2 π σ ι 1 (i) Ausführliche Informationen zur ENIGMA, insbesondere den historischen Aspekt betreffend, finden sich im Werk von Bauer.

13 12 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) Illustration: Rotor 1 Rotor 2 E = A K1 π 1 K2 K1 π 2 K2 U ω Rotor1 nach Drehung um drei, Rotor2 nach Drehung um 6 Schritte Hervorhebung: Stromverlauf bei der elektrischen Realisierung der Substitution des i-ten Klartextzeichen 4 durch das Chiffrat Da ω involutorische Permutation ist, gilt dies offensichtlich auch für Ω. Das hat den vermeintlichen Vorteil, daß mit der gleichen Maschine ohne Veränderung ver- und entschlüsselt werden kann 13. Da aber nur involutorische Permutationen vorkommen, und sogar nur Konjugierte von ω, ist die Anzahl der möglichen Permutationen stark eingeschränkt und damit das Verfahren ziemlich schlecht. Deshalb wurden beispielsweise ab 1943 fast alle Nachrichten der deutschen U-Boote entschlüsselt. Diese ENIGMA-Maschinen verletzten deutlich die Maxime von Kerckhoffs (vgl. S.5), nach der man damit rechnen muß daß ein Chiffriergerät in gegnerische Hände fällt; denn wenn die verwendeten Rotoren und Umlenkscheiben bekannt sind, bilden die möglichen Permutationen eine numerisch überschaubare Menge Kerckhoffs, 1883 [Ba: 166]: <<Il faut qu il puisse sans inconvnient tomber entre les mains de l ennemi>> 12 Dabei soll - wie oben - i = 2 sein, ι 1 (i) = 3, π 1 (1) = 25; des weiteren ist hier ι 2 (i) = 6 und π 2 (22) = 20, ω(0) = 6, π 1 2 (0) = 20 und letztlich π 1 1 (23) = 24. Wie man leicht sieht, erhält man mit diesen Werten sofort Ω(4) = Wäre ω nicht involutorisch und damit auch Ω nicht involutorisch, müßte zur Entschlüsselung eine Maschine mit einer anderen, ω 1 ( ω) entsprechenden Umlenkscheibe benutzt werden. 14 Bauer schreibt zu diesem Aspekt:...; hätte man Kerckhoffs Lehre befolgt, hätte die ENIGMA bereits zu Beginn des 2.Weltkrieges mindestens zur 5-Rotor-Maschine erweitert werden müssen, und die einzelnen Rotoren hätten nicht erst ab 1942 dreimal täglich gewechselt werden dürfen; vor allem hätte alle paar Monate der ganze Rotorsatz ausgewechselt werden müssen. Natürlich wäre das kein leichtes gewesen; schätzt man doch, daß bis zu ENIGMAs insgesamt bebaut und verwendet wurden. [Ba: 138]

14 1.2. BEISPIELE KLASSISCHER SYSTEME Data Encryption Standard (DES): Datenverschlüsselungsnorm Die Entwicklung der Datenverschlüsselungsnorm DES geht auf eine Initiative der US-Regierung zurück. Für den Datenaustausch per Computer sollten Normen für Sicherheit und Schutz der Bundesdatenbank und anderer Datenbanken festlegt werden. 1973/74 ein Wettbewerb für eine Datenverschlüsselungsnorm ausgeschrieben. Der Verschlüsselungsprozeß sollte mit einem preiswerten Chipsatz möglich sein. Gewählt und 1974 veröffentlicht wurde der Data Encryption Standard von IBM [We: 211]. DES ist ein komplexes und mathematisch unbefriedigendes System, weil man die Sicherheit des Systems nicht mathematisch exakt fassen kann. Trotzdem ist es das auch jetzt noch das beherrschende symmetrische Kryptosystem. Die folgende Darstellung ist lediglich eine Skizze 15. Mathematischer Hintergrund des Chiffrierverfahrens DES benutzt Σ := Z 64 2 (aufgefaßt als Z 2 -Vektorraum) als Alphabet, d.h. jeder Buchstabe ist ein 64-Tupel mit Einträgen aus {0,1}. Das Alphabet hat also 2 64 = 1, Buchstaben. Der im Chiffriervorgang benötigte (Haupt-)Schlüssel k ist ebenfalls Σ (de facto ist ein solcher Hauptschlüssel allerdings nur ein 56-Bit-Wort, d.h. 8 Bit werden quasi verschenkt). Bei der Verschlüsselung eines Originaltextes wird dieser in Blöcke von je 64 Bit aufgeteilt und jeder Block M nun als Buchstabe von Σ angesehen. Es wird ein Hauptschlüssel k Z 64 2 gewählt. Aus k werden anschließend nach einem bestimmten Modus 16 Unterschlüssel k 1, k 2,..., k 16 Z 48 2 berechnet, wobei jeder Unterschlüssel k i ein 48-Bit-Wort des 56-Bit-Schlüssels k ist. Anfangsumformung: Auf die einem Klartextblock entsprechende 64-Bit-Eingabeeinheit M Σ wird die sogenannte Initialpermutation IP angewandt, welche nicht von k abhängt und die damit keinerlei kryptographische Bedeutung hat. Dementsprechend wird hier die so permutierte 64- Bit-Einheit M auch im folgenden mit M bezeichnet. Schlüsselabhängige Codierung: M wird nun in eine linke 32-Bit-Hälfte M l und in eine rechte 32- Bit-Hälfte M r aufgespalten: M = (M l, M r ). Auf das Paar (M l, M r ) werden nun nacheinander 16 Runden angewandt; dabei gehört zur i-ten Runde der Schlüssel k i und jede Runde hat die Form: (*) Ml neu := M r Mr neu := M l + f(k i, M r ) Der in (*) benötigte Wert für f(k i, M r ) wird durch Nacheinanderausführen folgender Operationen erhalten: E: extended permutation ; diese wird auf M r angewendet (sie ist unabhängig von k i ); es werden 15 DES ist auch im Detail publiziert. Eine ausführliche Beschreibung bietet das Werk von Meyer und Matyas. Die 750 Seiten diesen Buches befassen sich praktisch ausschließlich mit DES. 16 Eine Kurzdarstellung der Herleitung der Teilschlüssel k i findet sich im Bauer, S.124.

15 14 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) dabei gewisse Bits von M r verdoppelt, so daß E(M r ) schließlich nicht mehr 32 sondern 48 Bit hat; außerdem wird auf das Resultat noch eine Transposition angewendet +: der Schlüssel k i wird zu E(M r ) addiert S: S-Box ; um E(M r ) + k i wieder auf 32 Bit zu bringen, wird der 48-Bit-Block in 8 6-Bit-Gruppen aufgeteilt, auf die verschiedene (nichtlineare) Substitutionen S angewandt werden; die einzelnen Substitutionen sind dabei von E(M r ) + k i abhängig P: das Ergebnis aus S wird einer festen Permutation P auf Z 32 unterworfen Bemerkung Man kann zeigen, daß schon nach wenigen Runden jedes Bit des Zwischenergebnisses von jedem Bit des Klartextblockes und jedem Bit des Schlüssels abhängt. nderungen an mehr als einer Stelle des Klartextes oder des verwendeten Schlüssels bewirken, daß sich etwa 50% der Bitpositionen verändern. Endumformung und graphische Darstellung: Nachdem die 16 Runden vollständig durchlaufen sind, wird auf das Resultat das Inverse der Initialpermutation angewandt. Das Ergebnis ist das gewünschte Chiffrat. Graphisch läßt sich der Verschlüsselungsprozeß nach Welsh [We: 212] wie folgt darstellen: Skizze aus Welsh Die Abkürzung SBB steht hierbei für standard-building-block (dt.: Standardbaublock) und bezeichnet die bauliche Einheit des Chiffrierchips, in der jeweils eine der 16 Runden durchgeführt wird. Die Vorgänge in dem der i-ten Verschlüsselungsrunde entsprechenden SBB lassen sich wie folgt skizzieren:

16 1.2. BEISPIELE KLASSISCHER SYSTEME 15 Skizze aus Welsh Entschlüsselung: Auch DES ist ein klassisch symmetrisches Kryptosystem. Chiffrierung und Dechiffrierung unterscheiden sich nur in der Reihenfolge, in der die einzelnen Codierschritte vollzogen werden. Das Umkehren der Verschlüsselung in den Standardbaublöcken geschieht wegen (*) nach folgendem Schema, wobei die Teilschlüssel k i hier in der Reihenfolge k 16 bis k 1 zu verwenden sind: M neu r = M l M neu l = M r f(k i, M l ) Zur Sicherheit von DES Der DES folgt der Maxime von Kerckhoffs (vgl. S.5), nach der man davon ausgehen muß daß der Gegner das System kennt: über die Verschlüsselungsprozedur ist mit Ausnahme des jeweils verwendeten Schlüssels alles bekannt und im Federal Register genau nachzulesen (vgl. NBS im Literaturverzeichnis). Die Sicherheit des Systems liegt entscheidend am nichtlinearen Charakter der Transformationen S in den Standardbaublöcken. Ein weiterer Sicherheitsfaktor des Systems ist die große Anzahl L der möglichen Hauptschlüssel k (es ist L = 2 56 = ), die allerdings gelegentlich trotzdem noch als zu gering eingestuft wird. Der also mitunter als zu kurz erachteten Schlüssellänge versucht man dementsprechend mit mehrfacher DES-Chiffrierung mit voneinander unabhängigen Schlüsseln zu begegnen.

17 16 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME) 1.3 Zusammenfassung: Gemeinsamer Rahmen und Nachteile symmetrischer Kryptosysteme Im Wesentlichen arbeiten alle symmetrischen Kryptosysteme mit den folgenden Elementen: Σ Alphabet; {A,B,...,Z} oder Z 26 oder Z n 2 (n IN), o.ä. M Σ m (m IN) Menge von Klartexten (M ist also Menge von m-tupeln mit Einträgen aus Σ) K Menge der Schlüssel C Menge der chiffrierten Nachrichten f : K M C Chiffrierfunktion Für jedes feste k K muß die von der Chiffrierfunktion f induzierte Funktion f k : M C, m f k (m) injektiv sein, damit das Entschlüsseln eindeutig möglich ist. Weiter müssen f k und f 1 k (bei Kenntnis des Schlüssels k) leicht zu berechnen sein. Außerdem muß für verschiedene Schlüssel k 1, k 2 K vorausgesetzt werden können, daß für sehr viele m M gilt: f k1 (m) f k2 (m). Gemäß der Maxime von Kerckhoffs muß davon ausgegangen werden, daß Spione f kennen und für viele m M auch f k (m) (k K fest). Wenn das betreffende Kryptosystem also sicher sein soll, muß es für den Lauscher trotz dieser Informationen schwer sein, daraus den speziellen Schlüssel k zu berechnen. Nachteile symmetrischer Kryptosysteme Schlüsselver-teilungsproblem: stets müssen sich Chiffrierer und Dechiffrierer über einen hinreichend gesicherten Kanal auf den gemeinsamen Schlüssel verständigen. Eine spontane gesicherte Kommunikation ist also nicht möglich. Dies ist insbesondere dann ein Problem, wenn die bermittlung von Nachrichten schnell und billig sein muß und die Schlüssel häufig geändert werden. Auch die Anzahl der benötigten Schlüssel kann problematisch werden. Soll beispielsweise bei einem ( ) Netz mit n Teilnehmern jeder mit jedem gesichert Daten austauschen können, so sind n = n(n 1)/2 Schlüssel erforderlich. Ist beispielsweise n = 1000, so ergibt das immerhin 2 schon nötige Schlüssel [Ba: 142]. Die Authentikation (Nachweis der Echtheit, Unterschrift der verschlüsselten Nachricht) stellt bei den private-key-systemen eine weitere erhebliche Schwierigkeit dar. Denn jede vom Chiffrierer mit dem verschlüsselten Text direkt übermittelte Unterschrift (wie z.b. mit dem verwendeten Kryptosystem verschlüsselter Name und Adresse) kann von einem Gegner, der das System gebrochen hat, ebenso gefälscht werden, wie eine gesamte Nachricht. Die Authentikation ist zwar auch mit symmetrischen Kryptosystemen möglich, jedoch nur unter Verwendung zusätzlicher persönlicher (d.h. benutzerspezifischer) Schlüssel, mit denen der Dechiffrierer dann zur Kontrolle jeweils den sogenannten message authentication codes (Abk.: MAC) berechnen und anhand dessen die Echtheit der Nachricht überprüfen mußḋie Authentication mittels MAC wird im Folgenden am Beispiel

18 1.3. ZUSAMMENFASSUNG: GEMEINSAMER RAHMEN UND NACHTEILE SYMMETRISCHER KRYPTOSYST eines Bankkunden illustriert, der mit seiner EC-Karte Geld am Automaten abhebt: Bankkunde (=Sender) gibt in den Bankautomaten ein: m M Klartext; Buchungsdaten, Name (Name wird von EC-Karte gelesen) k K persönl. Schlüssel; entspricht der Geheimnummer des Benutzers Bankautomat berechnet aus den Daten mittels Chiffrierfunktion f: MAC:= f k (m) Chiffre von m, mit Schlüssel k chiffriert Der Automat leitet nun an die Bankzentrale (=Empfänger) das Paar (m,mac) weiter; die Zentrale hat zusammen mit dem Namen des betreffenden Benutzers den persönlichen Schlüssel k gespeichert, berechnet damit f 1 k und prüft, ob dies gleich m ist 17. Ein großer Nachteil hierbei ist, daß der Dechiffrierer natürlich die persönlichen Schlüssel der möglichen Sender zusammen mit deren Namen gespeichert haben mußḋas Fälschen von Unterschriften wird korrupten Dechiffrierern also sehr leicht gemacht. Außerdem ergibt sich auch hier wieder das oben angesprochene Schlüsselverteilungsproblem. Es wird sich zeigen, daß die Authentikation bei den im folgenden Kapitel behandelten asymmetrischen Kryptosystemen möglich ist, ohne solche gravierenden Mängel in Kauf nehmen zu müssen. 17 Die die Abbildung f k induzierende Funktion f ist im Handel üblicherweise durch den DES gegeben (vgl. Abschnitt ).

19 18 CHAPTER 1. SYMMETRISCHE KRYPTOSYSTEME (KLASSISCHE SYSTEME)

20 Bibliography [1] Bauer, Friedrich, L.: Kryptologie, Springer 1993 [2] Koblitz, Neal: A Course in Number Theory and Cryptography, Springer 1987 [3] Meyer, C.H./Matyas, S.M.: Cryptography - A new dimension in computer data security, Wiley and Sons 1982 [4] National Bureau of Standards (US): Data Encryption Standard (DES), Federal Information Processing Standards Publication 46, National Technical Information Service, Springfield, VA, Apr Federal Register, March 17, 1975 und August 1, [5] Schuh, Frieder (Gesamtredaktion): Enzyklopädie Naturwissenschaft und Technik, Verlag Moderne Industrie 1979 [6] Welsh, Dominic: Codes und Kryptographie, VHC GmbH