1 Komposition von Chiffren

Transkript

1 1 Komposition von Ciffren Ein erstes Konstruktionsprinzip für starke Ciffren, das auc in der klassiscen Kryptograpie oft angewendet wurde, ist die Naceinander- Ausfürung von Ciffrierscritten. Solce Verknüpfungen können zu beactlicer Verstärkung der Sicereit füren; selbstverständlic ist das aber nict und es stimmt auc nict immer. In diesem Abscnitt werden einige grundlegende Überlegungen dazu vorgestellt. Dabei wird unter einer Merfac-Ciffre die Naceinanderausfürung des gleicen Verfarens, aber mit versciedenen Sclüsseln, Kaskade die Naceinanderausfürung versciedener Verfaren verstanden. 2

2 1.1 Merfac-Ciffren und Gruppenstruktur Merfac-Ciffren Sei F = (f k ) k K eine Ciffre über dem Alpabet Σ, also f k : Σ Σ die zugeörige Versclüsselungsfunktion für jeden Sclüssel k K. Die gesamte Menge von Versclüsselungsfunktionen wird mit F = {f k k K} Abb(Σ, Σ ) bezeicnet. Der Sclüsselraum wird wesentlic vergrößert, nämlic von K zu K K, durc die Bildung der Zweifac-Ciffre F (2) = (f f k ),k K Natürlic kann man ebenso die Dreifac-Ciffre F (3),..., die n-fac-ciffre F (n) bilden. Sinnvoll ist das alles nur, wenn (A) F keine Halbgruppe ist. Ist nämlic F eine Halbgruppe, so gibt es zu zwei Sclüsseln, k K stets einen weiteren Sclüssel x K mit f f k = f x. Durc Komposition entsteen also keine neuen Versclüsselungsfunktionen, sie ist eine illusorisce Komplikation. Noc besser ist, wenn (B) F eine möglicst große Unter-Halbgruppe von Abb(Σ, Σ ) erzeugt. Und das beste, was man ier erreicen kann, ist: (C) Die Abbildung K K F (2) Abb(Σ, Σ ) ist injektiv; das kann man für einen endlicen Sclüsselraum K auc so ausdrücken: (C ) # F (2) = #{f f k, k K} = (#K) 2. Die Gruppen-Eigenscaft von Blockciffren Für Blockciffren gilt im wesentlicen auc die Umkerung; das folgt aus: Eine Blockciffre ist durc die Wirkung auf einem Σ r (für einen gegebenen Exponenten r) eindeutig festgelegt. (Um die Details der Fortsetzung auf Zeicenketten beliebiger Länge und des Auffüllens oder Padding von zu kurzen Ketten auf Blocklänge kümmern wir uns im Moment nict.) Eine Blockciffre eißt längentreu, wenn sie Σ r in sic abbildet. Insbesondere ist dann F auf natürlice Weise Teilmenge der symmetriscen Gruppe S(Σ r ), also endlic, und man kann den Sclüsselraum K one Einscränkung als endlic annemen. Für solce Blockciffren ist die Halbgruppen-Eigenscaft (also die Negation von (A) oben) zur Gruppen- Eigenscaft äquivalent. Das folgt aus dem bekannten einfacen: 3

3 Hilfssatz 1 Sei G eine endlice Gruppe, H G eine Unter-Halbgruppe, d.., H und HH G. Dann ist H Gruppe, insbesondere 1 H. Beweis. Jedes g G at endlice Ordnung, g m = 1. Ist nun g H, so 1 = g m H und g 1 = g m 1 H. Daer ist bewiesen: Satz 1 Sei F eine längentreue Blockciffre über einem endlicen Alpabet. Dann sind folgende Aussagen äquivalent: (i) Zu je zwei Sclüsseln, k K gibt es x K mit f f k = f x. (ii) Die Menge F der Versclüsselungsfunktionen ist eine Gruppe. Anmerkung Die Warsceinlickeit, dass zwei zufällige Elemente der symmetriscen Gruppe S n bereits die ganze Gruppe S n oder wenigstens die alternierende Gruppe A n erzeugen, ist > 1 2 (ln ln n) 2 für große n. Für n = 2 64, einen typiscen Wert bei Blockciffren, ist diese untere Scranke Eine nict ganz ungescickt gewälte Blockciffre wird also ser warsceinlic die volle oder wenigstens albe Permutationsgruppe auf den Blöcken erzeugen. Trotzdem ist der konkrete Nacweis davon oft scwer. Jedenfalls kann man davon ausgeen, dass eine Merfac-Ciffre in der Regel stärker als die Einfac-Ciffre ist. Quelle: Jon Dixon, Te probability of generating te symmetric group. Matematisce Zeitscrift 110 (1969),

4 1.2 Beispiele für Merfac-Ciffren Beispiele für Gruppen DES Jeweils eine Gruppe bilden die folgenden längentreuen Blockciffren: die Versciebeciffren über Σ bezüglic einer Gruppenstruktur auf Σ, die monoalpabetiscen Substitutionen über Σ, die Belaso-Ciffren fester Periode, die Block-Transpositionen fester Länge. DES ist eine Blockciffre auf F 64 2 mit Sclüsselraum F56 2. Campbell und Wiener aben gezeigt (Crypto 92), dass DES die alternierende Gruppe der Ordnung 2 64 erzeugt. Historisce Beispiele Die Komposition einer polyalpabetiscen Ciffre der Periode l mit einer der Periode q at die Periode kgv(l, q). Anwendung: Sclüsselerzeugermascinen, wie sie in Kapitel I am Ende des Abscnitts über Ciffrierzylinder sowie bei den istoriscen Rotormascinen kurz erwänt wurden. Weiteres istorisces Beispiel: Die doppelte Spaltentransposition, die wesentlic scwerer zu brecen ist, als die einface. Komposition von Belaso-Ciffren Die Komposition zweier Belaso-Ciffren der Perioden l und q at zwar die Periode kgv(l, q), also im wesentlicen das Produkt lq, die Sicereit entsprict aber öcstens der Summe l + q, wenn man einen Angriff mit bekanntem Klartext berücksictigt: Aus einem bekannten Klartext der Länge l + q gewinnt man l + q lineare Gleicungen für die ebensovielen Unbekannten, aus denen die beiden Sclüssel insgesamt besteen. Sei dazu o. B. d. A. l < q. Dann aben wir die Situation Klartext a 0 a 1... a l 1 a l... a q 1... Sclüssel l Sclüssel 2 k 0 k 1... k l 1 k l... k q 1... Geeimtext c 0 c 1... c l 1 c l... c q 1... Wir aben also eine Belaso-Ciffre mit dem Gesamtsclüssel ( 0 + k 0, 1 + k 1,...) 5

5 und der Periode kgv(l, q). Nemen wir nun bekannten Klartext der Länge l + q an, etwa o. B. d. A. (a 0,..., a l+q 1 ). Dann aben wir das folgende lineare Gleicungssystem für die l + q Unbekannten 0,..., l 1, k 0,..., k q 1 Z/nZ: 0 + k 0 = c 0 a 0, 1 + k 1 = c 1 a 1,. l 1 + k l 1 = c l 1 a l 1, 0 + k l = c l a l, l+q 1 mod l + k l+q 1 mod q = c l+q 1 a l+q 1. Dieses ist mit Sicereit nict eindeutig lösbar: Addiert man einen festen Wert x zu allen i und subtraiert x von allen k j, so at man ebenfalls eine Lösung. Daer kann man zunäcst der Einfaceit alber 0 = 0 annemen; sollten die Sclüssel nict zufällig gewält, sondern aus Sclüsselwörtern gebildet sein, kann man am Ende mit einer einfacen Caesar-Exaustion wie ganz am Anfang von Kapitel I die waren Sclüssel ermitteln. Für die Deciffrierung tun es auc die verscobenen Sclüssel. Und da wir eine Unbekannte weniger aben, reicen im allgemeinen sogar l + q 1 bekannte Klartext-Zeicen. Dies soll ier nict weiter ausgefürt werden; der Interessierte möge die folgende Aufgabe lösen.. Übungsaufgabe Gegeben sei der Geeimtext. CIFRX KSYCI IDJZP TINUV GGKBD CWWBF CGWBC UXSNJ LJFMC LQAZV TRLFK CPGYK MRUHO UZCIM NEOPP LK Für einen Angriff mit bekanntem Klartext bestee die berectigte Vermutung, dass der Klartext mit Ser geerter... beginnt, seien mit Trial & Error plausible Sclüssellängen ausprobiert; es sei 42 = 6 7 an der Reie, um zu testen, ob eine doppelte Belaso- Versclüsselung mit den Sclüssellängen 6 und 7 vorliegt. (Hierzu brauct man nict alle Sclüssellängen und Kombinationen durczuprobieren; die Koinzidenzanalyse ist wegen der Kürze des Textes nict allzu spezifisc, reict aber, um alle bis auf wenige plausible Sclüssellängen auszuscließen.) 6

6 1.3 Kryptoanalyse von Zweifac-Ciffren Der Treffpunkt-Angriff Diese Attacke auf Zweifac-Ciffren wurde 1981 von Merkle und Hellman unter dem Namen Meet in te Middle vorgestellt; sie ist nict mit einem Man in te Middle -Angriff auf kryptograpisce Protokolle zu verwecseln. Betractet wird die Komposition von zweimal der gleicen Ciffre mit versciedenen Sclüsseln: Σ f k Σ f Σ a b c. Sei ein bekanntes Klartext-Geeimtextpaar (a, c) gegeben. Dann bildet der Angreifer zwei Tabellen: alle f k (a), k K, alle f 1 (c), K, und vergleict diese. Jede Übereinstimmung ergibt ein möglices Sclüsselpaar (, k) K 2, das weiter getest werden kann, etwa an einem weiteren bekannten Klartext. Aufwand Benötigt werden für diesen Angriff 2 #K Versclüsselungsoperationen (nict etwa (#K) 2!), 2 #K Speicerplätze, wobei die Zal der nötigen Speicerplätze durc die Bemerkung albiert wird, dass man nur eine der beiden Tabellen abspeicern muss. Speicergrößen werden bekanntlic so bezeicnet: Kilo Mega Giga Tera Peta Dabei ist der Speicerbedarf noc mit der Größe eines Blocks des Versclüsselungsverfarens, etwa 64 Bit = 8 Byte, zu multiplizieren. Man siet, dass man scon mit 50-Bit-Sclüsseln in Größenbereice kommt, die mit eutigen Speicertecniken nict realisierbar sind. Da es bei der Kryptoanalyse allerdings mer auf den Zeit- als auf den Speicerbedarf ankommt, ist die allgemeine Aussage gerectfertigt: Eine Zweifac-Ciffre ist nict wesentlic sicerer als die zugrundeliegende Einfac-Ciffre. Insbesondere ist die Bitlänge für die exaustive Sclüsselsuce bei weitem nict verdoppelt. 7

7 Felalarme Eine Frage ist bei der Analyse offen geblieben: Wieviele der beim Tabellenabgleic gefundenen Übereinstimmungen füren zu einem falscen Sclüsselpaar? D.., wie groß ist die Warsceinlickeit eines Felalarms? Geen wir von einer Blockversclüsselung von n-bit-blöcken mit l-bit- Sclüsseln aus. Dann aben die Tabellen die Länge 2 l, es gibt also 2 2l Vergleice. Da es 2 n versciedene möglice Werte gibt, kann man etwa N 1 = 2 2l n Übereinstimmungen erwarten. (Annamen über die Zufälligkeit der Werte implizit. Die erste Übereinstimmung ist wegen des Geburtstagspänomens nac etwa 2 n/2 Versucen zu erwarten, aber das nützt ier kaum.) Probiert man die gefundenen Sclüsselpaare mit einem weiteren bekannten Klartext, so bleiben etwa N 2 = N 1 /2 n = 2 2l 2n Kandidaten übrig. Nac der Prüfung von insgesamt t bekannten Klartextblöcken kann man noc N t = 2 2l tn Kandidaten erwarten aber natürlic mindestens einen, nämlic den rictigen. Eine eindeutige Lösung wird also im allgemeinen erreict, wenn t 2l n. Beispiele 1. DES, n = 64, l = 56: N 1 = 2 48, N 2 = Es werden ungefär 2 bekannte Klartextblöcke benötigt. 2. IDEA, n = 64, l = 128: N 1 = 2 192, N 2 = 2 128, N 3 = 2 64, N 4 = 1. Es werden ungefär 4 bekannte Klartextblöcke benötigt. 3. AES, n = 128, l = 128: N 1 = 2 128, N 2 = 1. Es werden ungefär 2 bekannte Klartextblöcke benötigt. Allerdings ist wegen #K = die Zal der benötigten Speicerplätze ier ser weit außeralb der Möglickeiten. Time-Memory-Tradeoff Eine allgemeinere Überlegung fürt zu einer Ausbalancierung von Zeit und Speicerplatz ( Time-Memory-Tradeoff ): Man kann bei dem Treffpunkt-Angriff Speicerplätze auf Kosten von Recenzeit sparen, wenn man nur Teiltabellen anlegt: Hält man in einem Durcgang jeweils s Bits von und k fest, so benötigt man jeweils 2 l s Speicerplätze für die Tabellen der f k (a) bzw. f 1 (c). Zur Kompensation muss man 2 2s solce Durcgänge mit je einem Tabellenpaar- Abgleic macen. Der Aufwand beträgt: 8

8 2 2 l s Versclüsselungsoperationen für ein Tafelpaar, 2 2s Tafelpaar-Abgleice, also insgesamt 2 2 l+s Versclüsselungsoperationen, 2 2 l s Speicerplätze. Das Produkt aus der Anzal der Versclüsselungsoperation und der benötigten Speicerplätze ist 4 2 2l, unabängig von s. Der Angreifer kann also seine Ressourcen flexibel einsetzen. Beispiel DES: Hat der Angreifer 128 Terabyte Speicer zur Verfügung, so kann er 2 Tabellen von je 2 40 Blöcken anlegen, also s = = 16 wälen. Er benötigt dann insgesamt Versclüsselungsoperationen. Das liegt für den größten Geeimdienst der Welt zweifellos im Bereic des Macbaren. 9

9 1.4 Dreifac-Ciffren Die im vorigen Abscnitt gezeigte Scwäce der Zweifac-Ciffren fürt dazu, dass man, wenn man eine Verstärkung brauct, zu Dreifac-Ciffren überget. Üblicerweise verwendet man das EDE-Scema (Encryption, Decryption, Encryption) f g f 1 f k für g,, k K. Es at den Vorteil, dass man mit der Sclüsselwal g = = k die Kompatibilität mit der Einfac-Ciffre at. Der Treffpunkt-Angriff kann ier natürlic auc durcgefürt werden und ergibt, dass die Bitlänge für die vollständige Suce gegenüber der Einfac-Ciffre zwar nict verdreifact, aber doc immerin (mer als) verdoppelt ist. Üblic ist auc ein vereinfactes Scema: die Dreifac-Versclüsselung mit zwei Sclüsseln: f = f k f 1 f k für, k K. Dieses Scema at eine Scwäce bei einem Angriff mit gewältem Klartext, die allerdings nur für Paranoiker bedenklic ist. Die Situation sei Σ f k Σ f k Σ, a b b c. Σ f 1 Scritt 1: Mit #K Versclüsselungsscritten und #K Speicerplätzen wird für jeden Zwiscenwert b 0 die Tabelle vorausberecnet. {f 1 (b 0) K} Scritt 2: Dann wird für alle Sclüssel k K berecnet: a k := f 1 k (b 0), c k := f(a k ), b k := f 1 k (c k); die zweite Zuweisung ist möglic, weil wir einen Angriff mit gewältem Klartext durcfüren, d.., wir können f auf beliebige Klartexte anwenden. Das ganze benötigt 5 #K einface Versclüsselungsscritte. Falls b k = f 1 k (b 0), ist ein Kandidaten-Sclüsselpaar (, k) gefunden, das weiter untersuct wird. 10

10 Σ f k Σ f 1 Σ f k Σ b f 1 0 b k f 1 k f 1 k f 1 (b 0)? = f 1 k (c k) a k c k f Der effizienteste bekannte Angriff wird bescrieben in: Van Oorscot/Wiener: A known plaintext attack on two-key triple encryption. Eurocrypt

11 1.5 Kaskaden versciedener Ciffren Beispiele 1. Monoalpabetisce Substitutionen und Transpositionen sind vertauscbar. Eine Komposition von mer als jeweils einer solcen Operation bringt also nicts, da sie einzeln für sic je eine Gruppe bilden. Eine Komposition aus einer monoalpabetiscen Substitution und einer Transposition ist noc ziemlic leict sogar one bekannten Klartext zu brecen, da die wictigsten Bucstaben aufgrund irer Häufigkeiten erkannt werden. 2. Auc für periodisce polyalpabetisce Ciffren und Transpositionen gilt diese Bemerkung solange die Periodenlänge nict nac jedem Scritt geändert wird. Hier kann man scon rect komplizierte Ciffren erzeugen. 3. Die Enigma fürte die Komposition aus einer monoalpabetiscen, einigen polyalpabetiscen versciedener Periode und nocmal einer monoalpabetiscen Substitution aus. Das ganze war zusammengenommen auc wieder nur eine polyalpabetisce Substitution ser langer Periode. 4. Die ADFGVX-Ciffre der deutscen Wermact im 1. Weltkrieg bestand aus einer Substitution gefolgt von einer Spaltentransposition; die Substitution wurde ausgefürt, indem die 26 Bucstaben und 10 Ziffern in ein 6-mal-6-Quadrat nac Vorgabe eines Sclüssels gescrieben wurden und jedes Zeicen durc seine Koordinaten in diesem Quadrat ersetzt wurde, welce mit A, D, F, G, V, X bezeicnet waren. Es gelang den Franzosen (Painvin und Givierge) zum Teil, diese Ciffre zu brecen. 5. Die Komposition von monoalpabetiscer Ciffre und einer Autokey- Ciffre werden wir bald als Betriebsmodus bei Blockversclüsselung kennen lernen. Die Autokey-Ciffre erscwert einige Angriffe, eröt aber insgesamt die Sicereit nur unwesentlic. 6. Ferner sei noc einmal daran erinnert, dass die Dresceiben-Ciffre nac Porta sic als Komposition einer monoalpabetiscen Substitution und einer Belaso-Ciffre darstellen ließ sogar in beiden möglicen Reienfolgen. Insgesamt kann man sagen, dass Kaskaden versciedener Ciffren oft zu Verbesserungen der Sicereit füren, aber durcaus nict immer. Es ist in jedem Fall eine sorgfältige Analyse der entsteenden Produkt-Ciffre nötig, bevor man ir vertraut. 12