2. Realisierung von Integrität und Authentizität

Transkript

1 2. Realisierung von Integrität und Authentizität Zur Prüfung der Integrität einer Nachricht oder Authentizität einer Person benötigt die prüfende Instanz eine zusätzliche Information, die nur vom Absender oder der Person stammen kann. Diese wird durch kryptographische Prüfsummen realisiert Einwegfunktionen Idee: Leicht zu berechnen, schwer zu invertieren. Einwegfunktionen sind Hilfsmittel zur Herstellung von Integrität und Authentizität. Einwegfunktionen stellen Sicherheitsmechanismen zur Verfügung, um Veränderungen an Nachrichten zu erkennen. Ihnen liegt eine Asymmetrie zu Grunde, welche zu einer neuen Klasse von Verschlüsselungsverfahren geführt hat. Einwegfunktionen können z.b. verwendet werden, um Passwörter in einen Hashwert zu transformieren. Dieser Hashwert kann (praktisch) nicht mehr umgekehrt werden und ist im System abgelegt. Bei einem Login wird aus dem eingegebenen Passwort wieder der Hashwert berechnet und mit dem abgespeicherten Wert verglichen. Eine Einwegfunktion f ist eine Abbildung f: D W mit folgenden Eigenschaften: 1. Für ein x D ist y = f(x) leicht zu berechnen, die Umkehrung, d.h. die Bestimmung des Urbildes x aus f(x), ist praktisch unmöglich. 2. Die Funktion f ist prinzipiell umkehrbar, d.h. aus x1 x2 f(x1) f(x2) (f ist injektiv), aber sehr schwierig. Seite 25

2 Beispiele Person Fingerabdruck Die Umkehrung ist nur mit einer Fingerabdruckdatei möglich. Zutaten für Coca-Cola Getränk Farbe1; Farbe2 Mischfarbe Rohes Ei ; kochendes Wasser Frühstücksei PIN; Scheckkarte Referenzwert auf der Karte Passwort + Benutzername Referenzwert im PC Schlechte Einwegfunktionen Name einer Person Telefonnummer Wie lässt sich diese Einwegfunktion leicht umkehren? Absicherung einer Überweisung durch Bildung der Quersumme aller Ziffern 2850 auf Konto Quersumme = 59 Ein Angreifer X könnte die folgende Überweisung aus sein Konto auslösen: 290 auf Konto Die Quersumme beträgt auch 59 Die Funktion f ist nicht mehr umkehrbar, da man leicht eine Kollision erzeugen kann: x1 x2 und f(x1) = f(x2). Aufgaben Welche der Vorgänge könnte man mit einer Einwegfunktion in Zusammenhang bringen? Bewerte die Einwegeigenschaft. - Ein aufgeräumtes Zimmer Zimmer in Unordnung bringen - Festplatte mit einmaligen Daten Löschen der Festplatte - Zutaten_Kuchen Kuchen backen - Natürliche Zahl n Letzte Ziffer von n - Zeichenkette Länge der Zeichenkette - Natürliche Zahl n Alternierende Quersumme(n) - Holz Holz verbrennen - Person Personalausweisnummer Erfinde weitere Beispiele. Seite 26

3 Trapdoor-Einwegfunktionen (trapdoor one way function) Eine Trapdoor-Einwegfunktion lässt sich mit Hilfe einer geheimen Zusatzinformation leicht umkehren. Beispiel: Brief Einwurf in einen Briefkasten Der Absender kann den Vorgang nicht mehr umkehren. Der Empfänger kann mit seinem Schlüssel (= Zusatzinformation) den Briefkasten öffnen. Kryptographische Hashfunktionen (Einweg-Hashfunktionen) Anhand von kryptographischen Prüfsummen können Veränderungen in der Nachricht erkannt werden. Wir betrachten das sogenannte Hashing (to hash: zerhacken, extrahieren). Hashfunktionen sind Einwegfunktionen, die, z.b. Texte beliebiger Länge auf einen Wert fester Länge (im Binärsystem) abbilden. Seite 27

4 Eine kryptographische Hashfunktion ist eine Einwegfunktion h, die einen Funktionswert h(m) mit fester Anzahl von Bit liefert, wobei die Länge der Nachricht beliebig sein darf. Nachricht m h(m) = Prüfwert fester Länge (z.b. 160 Bit). Kryptographische Hashfunktion (Prinzip) Nachricht m, n Bit lang Nachricht m ( Länge n Bit) h Hashwert h(m) Hashwert mit b Bit Abbildung 9. Hashfunktion Forderungen (1) Eine Einweg-Hashfunktion ist extrem schwer umkehrbar und darf keine Rückschlüsse auf die Nachricht erlauben. (2) Es darf nicht (mit vertretbarem Aufwand) möglich sein, zu einem gegebenen Hashwert y eine Nachricht m' mit h(m') = y zu erzeugen (Unbestimmbarkeit von Urbildern, Pre-Image Resistance) (3) Es darf nicht möglich sein, zu einer gegebenen Nachricht m eine zweite Nachricht m' zu erzeugen, die denselben Hashwert besitzt (2nd Pre-Image Resistance). (4) Es darf nicht möglich sein, zwei beliebige Nachrichten m 1 und m 2 zu bestimmen, für die h(m 1 ) = h(m 2 ) gilt (Collision Resistance). (5) Die Änderung eines Eingabebits soll sich im Mittel auf die Hälfte der Ausgabebits auswirken (Avalanche- Effekt). Seite 28

5 Einweg-Hashfunktionen sind nicht mit Prüfsummen zu verwechseln, welche der Fehlererkennung dienen. Beispiele Zur Sicherung einer Kontonummer könnte man als Prüfziffer die Quersumme der Ziffern modulo 10 nehmen. Kontonummer = Quersumme mod 10 = 44 mod 10 = 4 Kontonummer mit Quersumme = Diese Prüfsumme ist nicht sicher, da z.b. Zifferndreher nicht erkannt werden. Fingerabdruck Aus dem Fingerabdruck lässt sich nicht auf die Person schließen. Zwei verschiedene Personen haben unterschiedliche Fingerabdrücke. Seite 29

6 2.2. MAC (Message Authentication Code) Der Gebrauch einer Hashfunktion verhindert nicht das Fälschen einer Nachricht m, da auch Mister X den Hashwert h(m) berechnen kann. Er dient nur der Erkennung von Veränderungen! Durch Einsatz eines geheimen Schlüssels k wird aus der Prüfsumme ein Message Authentication Code (= Prüfsumme mit Schlüssel). Man erreicht den Schutz dadurch, dass man in die Erzeugung des Hashwertes einen - beiden Partnern - bekannten Schlüssel k einbezieht. An die Nachricht wird der Schlüssel k angehängt: m + k. Der Wert m + k ist das Argument für die Hashfunktion. MAC Hashwert mit Schlüssel Nachricht m Schlüssel k Hashwert h(m + k) m, h(m + k) Empfänger Abbildung 10. Hashfunktion mit Schlüssel Warum kann Mister X die Nachricht jetzt nicht mehr fälschen? Beispiel Gewährleistung der Integrität eines Programms Aus dem Programm m und einem geheimen Schlüssel k wird der gesicherte Hashwert MAC = h( m + k) berechnet. Der Wert h( m + k) "versiegelt" das Programm m derart, dass ein Virus, der m verändert, die entsprechende MAC nicht erzeugen kann. Seite 30

7 Zusammenfassung Alice Einsatz einer MAC m, MAC m, MAC Bob Angreifer(in) X Alice berechnet aus der Nachricht m eine kryptographische Prüfsumme mit Schlüssel k. MAC = f k (m) (Message-Authentication-Code) f k ist eine Einwegfunktion, die m auf MAC abbildet k ist der geheime Schlüssel, der A und B bekannt sein muss Abbildung 11. Realisierung von Integrität und Authentizität Die Nachricht m wird unverschlüsselt gesendet, da m nur gesichert werden soll. Ist auch m zu verbergen, muss man m und MAC zusätzlich verschlüsseln. Der Empfänger berechnet f k (m ) und prüft, ob f k (m ) = MAC. Dann kann E ziemlich sicher sein, dass die Nachricht m nicht verfälscht wurde. Die Fälschung wird verhindert, wenn X den Schlüssel k nicht kennt. Dann kann X aus m' nicht MAC' berechnen. Der Empfänger E kann im Falle f k (m') MAC' sicher sein, dass die Nachricht oder der Absender nicht authentisch ist. Seite 31