Cipher Block Chaining Mode

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Cipher Block Chaining Mode (CBC Mode) ist eine Betriebsart, in der Blockchiffren betrieben werden können. Vor dem Verschlüsseln eines Klartextblocks wird dieser zunächst mit dem im vorhergehenden Schritt erzeugten Geheimtextblock per XOR (exklusives Oder) verknüpft.

Allgemeines[Bearbeiten]

Die Struktur der Verschlüsselung im CBC-Modus ist in nachfolgender Abbildung dargestellt:

CBC-Verschlüsselung

Man kann dieses Diagramm auch mathematisch in Formeln ausdrücken, bezeichne dazu E_K die Verschlüsselungsfunktion mit dem Schlüssel K, sei D_K die zugehörige Entschlüsselungsfunktion. Bezeichne P_i den i-ten Klartextblock, C_i den i-ten Geheimtextblock und sei IV der Initialisierungsvektor; in der Regel wird C_0 = IV definiert. Außerdem bezeichne \oplus das logische XOR. Dann ist die Verschlüsselung im CBC-Modus wie folgt rekursiv definiert:


\forall i \in \mathbb{N}^+ : C_i = E_K(P_i \oplus C_{i-1})

Die Struktur der Entschlüsselung im CBC-Modus ist in nachfolgender Abbildung dargestellt:

CBC Entschlüsselung

Die zugehörige Entschlüsselung ist im CBC-Modus hingegen nicht rekursiv und lautet mit den gleichen Bezeichnungen wie oben:


\forall i \in \mathbb{N}^+ : P_i = D_K(C_i) \oplus C_{i-1}

Als Initialisierungsvektor (IV) benutzt man entweder einen Zeitstempel oder eine zufällige Zahlenfolge. Manche Anwendungen benutzen auch eine vorhersagbare, einfach aufsteigende Zahl, aber dies ist nicht sicher, weil fremde Personen unerwünscht einen Wasserzeichenangriff (watermark attack) auf solche Daten ausführen können. Das Modul dm-crypt benutzt zur Generierung des IV das ESS-Verfahren.

Für die Sicherheit des Algorithmus ist es nicht notwendig, den Initialisierungsvektor geheim zu Übertragen.

Der CBC-Mode hat einige wichtige Vorteile:

  • Klartextmuster werden zerstört.
  • Identische Klartextblöcke ergeben unterschiedliche Geheimtexte.
  • Verschiedene Angriffe (Time-Memory-Tradeoff und Klartextangriffe) werden erschwert.

Da ein Geheimtextblock nur von dem vorherigen Block abhängt, verursacht ein beschädigter Geheimtextblock, wie beispielsweise ein Bitfehler bei der Datenübertragung, beim Entschlüsseln keinen allzu großen Schaden, denn es werden nur der betroffene Klartextblock und der darauffolgende Klartextblock falsch dechiffriert. Dies ist unmittelbar aus der Definition der Entschlüsselung und obiger Abbildung ersichtlich, da ein beschädigter Geheimtextblock C_i nur die Klartextblöcke P_i und P_{i+1} beeinflusst und sich nicht unbeschränkt weiter verbreitet. Trotzdem kann diese beschränkte Vervielfachung nur eines einzigen Bitfehlers im Chiffrat bei CBC eine Vorwärtsfehlerkorrektur des Klartextes erschweren bzw. unmöglich machen. Genauso verursacht ein beschädigter Initialisierungsvektor beim Entschlüsseln keinen allzu großen Schaden, da dadurch nur der Klartextblock P_1 beschädigt wird.

Der CBC-Modus ist wesentlich sicherer als der ECB-Modus, vor allem wenn man keine zufälligen Texte hat. Unsere Sprache und andere Dateien, wie z. B. Video-Dateien, sind keinesfalls zufällig, weswegen der ECB-Mode Gefahren birgt.

Beispiel[Bearbeiten]

Klartext
01 10
Aufgeteilt in Blöcke
01 = B_1, 10 = B_2
Schlüssel
11=k
Init. Vektor (IV)
01

Zur Vereinfachung wird als Verschlüsselungsfunktion E die binäre Addition und als Entschlüsselungsfunktion D die binäre Subtraktion verwendet.

Verschlüsselung[Bearbeiten]

Block 1:

  • B_1\oplus IV = 01 \oplus 01 = 00 = C_{1}'
  • E_k(C_1') = C_{1}'+k = 00 + 11 = 11 = C_1

Block 2:

  • B_2\oplus C_1 = 10 \oplus 11 = 01 = C_{2}'
  • E_k(C_2') = C_{2}'+k = 01 + 11 = 00 = C_2

Verschlüsselter Text:

  • C_1 C_2 = 11 00

Betrachtet man die Verschlüsselung von B_2, sieht man, dass dazu C_1 benötigt wird. Generell bedeutet das, dass für eine Verschlüsselung von B_i der Chiffratblock C_{i-1} benötigt wird. Eine Parallelisierung des Verschlüsselungsvorgangs fällt damit aus.

Entschlüsselung[Bearbeiten]

Block 1:

  • D_k(C_1) = C_1 - k = 11 - 11 = 00 = C_{1}'
  • C_{1}'\oplus IV = 00 \oplus 01 = 01 = B_1

Block 2:

  • D_k(C_2) = C_2 - k = 00 - 11 = 01 = C_{2}'
  • C_{2}'\oplus C1 = 01\oplus 11 = 10 = B_2

Klartext:

  • B_1 B_2 = 01 10

Betrachtet man die Entschlüsselung von C_2, sieht man, dass B_1 dafür nicht benötigt wird, sondern lediglich C_1. Generell bedeutet das, dass für eine Entschlüsselung von C_i nur C_{i-1} benötigt wird. Damit ist eine Parallelisierung des Entschlüsselungsvorgangs möglich.

Integritätssicherung mit CBC, CBC-MAC[Bearbeiten]

Struktur zur CBC-MAC-Berechnung

CBC kann auch zur Integritätssicherung benutzt werden, indem der letzte mit CBC verschlüsselte Block als MAC (dem sogenannten CBC-MAC oder CBC-Restwert) an die ursprüngliche unverschlüsselte Nachricht angehängt und diese samt diesem MAC versandt wird.[1] Der Empfänger kann mit Hilfe des CBC-Algorithmus den CBC-MAC der empfangenen Nachricht berechnen und nun vergleichen, ob der gerade selbst berechnete Wert mit dem an der Nachricht angehängten übereinstimmt. Falls eine mit CBC verschlüsselte Nachricht mit einem CBC-MAC gesichert werden soll, darf für die Generierung des CBC-MAC nicht derselbe Schlüssel verwendet werden wie für die Verschlüsselung. Würde derselbe Schlüssel verwendet, so wäre der MAC-Block gleich dem letzten Chiffratblock und ein Angreifer könnte unentdeckt die gesamte Nachricht mit Ausnahme des letzten Blocks verändern.

Einzelnachweise[Bearbeiten]

  1.  Mihir Bellare, Joe Kiliany, Phillip Rogaway: The Security of the Cipher Block Chaining Message Authentication Code. In: Journal of Computer and System Science. 61, Nr. 3, Elsevier, 2000, S. 362–399 (http://www.cs.ucdavis.edu/research/tech-reports/1997/CSE-97-15.pdf).

Literatur[Bearbeiten]