Suchen

Grundlegende Sicherheitsüberlegungen für Netzwerke – Teil 8 Asymmetrische Verschlüsselungsverfahren und Arbeitsprotokolle

| Autor / Redakteur: Karin Winkler / Dipl.-Ing. (FH) Andreas Donner

Es gibt zwei häufig verwendete, grundsätzliche Verschlüsselungsverfahren. Private Key Verfahren oder symmetrische Verschlüsselungsverfahren verwenden für die Verschlüsselung den gleichen Schlüssel wie für die Entschlüsselung. Public Key Verfahren oder asymmetrische Verschlüsselungsverfahren arbeiten mit zwei verschiedenen Schlüsseln, einem öffentlichen und einem privaten, die nur in Kombination wirken. Bestimmte Protokolle wie S-HTTP, HTTPS oder SSL erleichtern die Anwendung.

Firmen zum Thema

Die Sicherheit der Daten und die Fälschungssicherheit des Datenstroms sind höchste Güter in der Datenkommunikation; Bild: ktsdesign - Fotolia.com
Die Sicherheit der Daten und die Fälschungssicherheit des Datenstroms sind höchste Güter in der Datenkommunikation; Bild: ktsdesign - Fotolia.com
( Archiv: Vogel Business Media )

Public Key Verfahren oder asymmetrische Verfahren arbeiten mit zwei verschiedenen Schlüsseln. Wird eine Verschlüsselung mit einem der beiden Teilschlüssel durchgeführt, kann nur mit der entsprechenden passenden anderen Hälfte die korrekte Entschlüsselung erfolgen.

Die Verfahren sind so ausgelegt, dass man aus einem Schlüssel nicht den anderen ausrechnen kann. So kann man einen Teilschlüssel ruhig veröffentlichen. Dieser heißt dementsprechend auch öffentlicher Schlüssel.

Der andere Teil ist dann der private Schlüssel und muss geheim gehalten werden. So kommt man relativ leicht zu digitalen Unterschriften. Wenn man Daten mit einem geheimen Schlüssel codiert können diese nur mit Hilfe des dazugehörigen passenden öffentlichen Schlüssels decodiert werden.

Wenn jemand nun seine Daten mit seinem geheimen privaten Schlüssel „unterschreibt“, indem er sie verschlüsselt, kann jemand anders, der den dazu passenden öffentlichen Schlüssel kennt überprüfen, ob der Sender auch wirklich derjenige ist, der er vorgibt zu sein, denn nur dann passen beide Schlüssel zusammen und die Nachricht kann mit dem öffentlichen Schlüssel richtig decodiert werden.

Wenn das funktioniert, liegt ein Beweis für die Richtigkeit der Unterschrift vor. Mathematisch kann man dies nun alles so geschickt machen, dass die Erfolgsmöglichkeit bei der Fälschung einer realen Unterschrift viel größer ist als die, eine digitale Signatur erfolgreich zu „treffen“.

Public Key Verschlüsselung

Da die Public Key Verschlüsselung immer wieder auf Verständnisprobleme stößt, soll hier ein konkretes Bespiel für die Kommunikation zwischen einem Browser und einem Server gegeben werden.

Wir nehmen an, dass A ein ausgefülltes Formular für eine Versicherung ist. Der Browser verschlüsselt A indem er den öffentlichen Schlüssel S(p) des Servers benutzt, der ja öffentlich verfügbar ist. Dadurch entsteht das verschlüsselte Resultat E(A). E(A) wird jetzt über das Internet zum Server geschickt.

Mit E(A) kann ein externer Angreifer nichts anfangen, denn selbst wenn er weiß, dass das Dokument mit dem öffentlichen Schlüssel verschlüsselt wurde nützt ihm das nichts, denn zur Entschlüsselung benötigt man ja gerade den zu S(p) passenden privaten Schlüssel. Den hat aber nur der Server, der auch sofort E(A) erfolgreich zu A entschlüsseln kann.

Damit wäre das Formular sicher bei der Versicherung (dem Händler). Wenn, und das wollen wir voraussetzen, der Server die einzige Einrichtung in der Welt ist, die S(s) besitzt, ist die Übertragung sicher. Es wird aber noch mehr erreicht. Der Browser kann nämlich den Server auf diese Weise auch authentifizieren, denn wenn die Information erfolgreich entschlüsselt wurde, konnte dies nur der Server machen. So kann der Browser sicher sein, dass der Server „echt“ ist.

Was man mit diesem Verfahren noch nicht erreicht, ist die Nicht-Abstreitbarkeit, denn der Mensch hinter dem Browser kann jederzeit leugnen, die Versicherung bestellt zu haben, weil ja praktisch jeder an die öffentlichen Schlüssel kommt und mit irgendeinem Browser zum Spaß für andere Leute etwas bestellen kann, was diese gar nicht benötigen.

Um dieses Problem zu lösen, brauchen wir die digitale Unterschrift.

weiter mit: Die digitale Unterschrift

(ID:2052467)