Workshop führender Kryptographen Europas am IBM Forschungslabor in Rüschlikon über aktuelle Trends in der Informationssicherheit

English | Deutsch

Zürich, 28. November 2006—Aus Wirtschaft und Gesellschaft ist heute ein schneller, weltumspannender Informationsaustausch nicht mehr wegzudenken. Information kann dabei aber auch verfälscht, von Unbefugten eingesehen, missbraucht oder vernichtet werden. Um eine Nachricht vor unerlaubtem Zugriff zu schützen, müssen wir sie verschlüsseln. Dies gilt für Online-Bankgeschäfte und Bezahlung mit Kreditkarten ebenso wie für die Übermittlung vertraulicher Mitteilungen oder für Abstimmungen und Wahlen via Internet. Mit der Entwicklung von Verfahren zur Verschlüsselung von Daten befasst sich die Kryptographie – eine mathematische Disziplin, die rasch an Bedeutung gewinnt. Führende europäische Kryptographen trafen sich vor Kurzem zu einem vom Zurich Information Security Center (ZISC) veranstalteten Workshop im IBM Forschungslabor (NYSE: IBM) in Rüschlikon, um sich über den Stand der Technik und die sich abzeichnenden Entwicklungen auszutauschen. Das ZISC ist ein Forschungsverbund der ETH Zürich, des IBM Forschungslabors und weiterer Industriepartner. Es will durch koordinierte Anstrengungen der ETH und ihrer Industriepartner Forschung und Ausbildung auf dem Gebiet der Informationssicherheit auf einem weltweit führenden Niveau sicherstellen und Synergien optimal nutzen.

Zwar verfügen wir heute über standardisierte kryptographische Algorithmen, die als sicher gelten. Dass aber die Verschlüsselung digitaler Daten keineswegs als abschliessend gelöstes Problem betrachtet werden darf, zeigte bereits Arjen K. Lenstra von der ETH Lausanne in seinem Referat. Aufgabe der Kryptographen ist, die verfügbaren Methoden ständig zu hinterfragen, Schwachstellen aufzudecken und neue noch sicherere Lösungen zu entwickeln. Dies vor allem auch vor dem Hintergrund der laufenden markanten Steigerung der Computerleistung und der zunehmenden Komplexität der ICT-Systeme, die nicht zuletzt auch neue für unredliche Zwecke nutzbare Angriffsmöglichkeiten bieten.

Mit welchem technischen Raffinement heute nach Angriffspunkten für solche Attacken gesucht wird, legte Elisabeth Oswald von der Technischen Universität Bristol dar. Werden in integrierten Schaltkreisen, die auf der gängigen CMOS-Halbleitertechnologie basieren, Daten verarbeitet, so variiert die von den Schaltkreisen aufgenommene elektrische Leistung mit den jeweils ausgeführten Verarbeitungsschritten. An den von aussen zugänglichen Anschlüssen von Schaltkreisen auf SmartCards, die der Verschlüsselung von Daten dienen, lässt sich der Verlauf der Leistungsaufnahme aufzeichnen. Mittels komplexer Analyseverfahren sind in den aufgezeichneten Daten typische Muster zu erkennen. Aus diesen können Spezialisten Rückschlüsse auf die verwendeten Schlüssel ziehen und im Extremfall die Sicherheit des Systems brechen, was beispielsweise im Falle von Bank-Karten höchst problematisch sein kann. Aufgrund der durch ihre Forschungsarbeiten gewonnen Erkenntnisse entwickeln nun Kryptographen geeignete Gegenmassnahmen. Eine mögliche Lösung ist, die an den Anschlüssen messbaren Werte durch Überlagern von Zufallssignalen für Unbefugte unkenntlich zu machen.

Dass die Arbeit der Kryptographen von einem herausfordernden Wettlauf mit der technischen Entwicklung einerseits und dem Erfindungsreichtum sowie der kriminellen Energie von Hackern andererseits geprägt ist, war der kritischen Auseinandersetzung mit Hash-Funktionen von Bart Preneel von der Katholischen Universität Leuven zu entnehmen. Mit Hash-Funktionen wird, vereinfacht ausgedrückt, für eine Datenmenge eine kurze, möglichst eindeutige Identifikation gebildet. Dies ist sinnvoll, wenn zwei grosse ähnliche Dateien verglichen werden sollen. So lässt sich beispielsweise anhand der kurzen Hash-Werte zweier umfangreicher Texte rasch feststellen, ob sie mit höchster Wahrscheinlichkeit gleich oder mit Sicherheit verschieden sind. Hash-Werte werden unter anderem für digitale Signaturen verwendet. Aufgrund von Schwachstellenanalysen, bei denen Kryptographen die zu testenden Funktionen Hacker-Attacken aussetzen, wurden im Laufe der Zeit schon verschiedene Hash-Funktionen als unzuverlässig qualifiziert. Jüngste Attacken auf die heute leistungsfähigsten Hash-Funktionen zeigten zwar keine dramatische Gefährdung auf, legen jedoch eine Weiterentwicklung nahe. Die Erforschung robusterer Funktionen ist bereits im vollen Gange.

Angesichts der Tatsache, dass das "Knacken" einer gebräuchlichen Verschlüsselung im Extremfall einen weltwirtschaftlichen Kollaps auslösen könnte, überrascht auch die enorme Bedeutung nicht, die heute der Zertifizierung kryptographischer Verfahren und Produkte beigemessen wird. Will ein Hersteller ein kryptographisches Produkt durch die US-Regierung (Federal Information Processing Standard FIPS) zertifizieren lassen, muss er den detaillierten Nachweis für dessen Sicherheit gegenüber Manipulationen erbringen. Dass der Zertifizierungsprozess bis 12 Monate dauern und die einzureichende Dokumentation leicht einen Umfang von 15'000 Seiten erreichen können, schilderte Tamas Visegrady vom IBM Forschungslabor in Rüschlikon anschaulich anhand konkreter Beispiele von IBM. Auf dem zurzeit höchsten Sicherheitsniveau (FIPS 140-2 level 4) sind erst eine geringe Zahl von kryptographischen Produkten zertifiziert. Die meisten davon stammen von IBM.

Eine grosse Herausforderung für Kryptographen sind auch gegensätzliche Bedürfnisse verschiedener Anwendersegmente. Für umfassende Sicherheit der digitalen Kommunikation ist neben der Verschlüsselung auch die digitale Identifizierung erforderlich. Um über das Internet geschäftliche Transaktionen abwickeln zu können, müssen wir vertrauen können, dass die als Absender eines Dokumentes genannte Person auch tatsächlich der Absender ist. Diese Sicherheit gewährleistet eine neutrale Organisation durch das Ausstellen von digitalen Zertifikaten. Die heute üblichen Zertifikate enthalten jedoch weit mehr Angaben als für eine bestimmte Transaktion notwendig ist. E-Commerce-Anbieter zum Beispiel wünschen möglichst umfassende Informationen über ihre Kunden, um deren Identität zuverlässig überprüfen zu können. Kunden dagegen legen grossen Wert auf die Wahrung ihrer Privatsphäre. Wie IBM mit dem Identity Mixer ("Idemix")-System erfolgreich zur Lösung dieses Dilemmas beiträgt, legte Jan Camenisch vom IBM Forschungslabor in Rüschlikon dar. Mit dem Idemix-System haben die IBM Forscher eine innovative Sicherheitstechnologie für Online-Transaktionen entwickelt, mit der Benutzer ausgewählte Fakten – zum Beispiel die Zugriffsberechtigung auf einen bestimmten Online-Informationsdienst – nachweisen können, während alle weiteren persönlichen Informationen verborgen bleiben.

Nicht nur die Wirtschaft ist auf die ständige Weiterentwicklung der Kryptographie dringend angewiesen, sondern in zunehmendem Ausmass auch die Demokratie. E-Voting – elektronisches Abstimmen und Wählen – wird sich durchsetzen, wenn es gelingt, vertrauenswürdige Verfahren zu entwickeln. Solche Verfahren müssen unter anderem die vollständige Berücksichtigung aller abgegebenen Stimmen sowie die Anonymität der Stimmabgabe und die Geheimhaltung der Abstimmungsergebnisse bis zum Abschluss der Abstimmung gewährleisten. Dass sich diese Anforderungen mit einem durchdachten System, basierend auf asymmetrischer Verschlüsselung, lösen lassen, legte Martin Hirt von der ETH Zürich dar. Zusätzlich zeigte er auch, zurzeit noch theoretische, Möglichkeiten auf, den Stimmenkauf auszuschliessen – eine Sicherheitsvorkehrung, die bei der heute verbreiteten brieflichen Stimmabgabe nicht realisierbar ist.

Das IBM Forschungslabor Zürich, Gastgeber des diesjährigen ZISC Workshops, verfügt über eine der weltweit führenden Kryptographie-Forschungsgruppen. Mit einer weit zurückreichenden Tradition auf dem Gebiet der kommerziellen Kryptographie nimmt IBM in dieser faszinierenden Disziplin eine Spitzenposition ein.

Über das Zurich Information Security Center

Das Zurich Information Security Center (ZISC), ein Forschungsverbund der ETH Zürich, des IBM Forschungslabors in Rüschlikon und weiteren Industriepartnern, wurde im September 2003 gegründet. Ziel des ZISCs ist es, ein Forschungs- und Ausbildungsprogramm von Weltrang im Bereich der Informationssicherheit zu pflegen, und Zürich als Hotspot auf diesem Gebiet zu positionieren. ZISC wird geleitet von David Basin, Professor an der ETH Zürich und Inhaber des Lehrstuhls für Informationssicherheit. ZISC führt regelmässig Veranstaltungen zu Informatik-Sicherheitsfragen durch, welche interessierten Kreisen offen stehen.