Ein geleakter Bericht mit dem Titel „SIGINT Strategy 2012–2016“ besagt, dass die USA versuchen werden, den „globalen kommerziellen Verschlüsselungsmarkt“ durch „Geschäftsbeziehungen“ zu beeinflussen. Das erinnert an das Fiasko mit der Schweizer Firma Crypto AG, die im Auftrag der Amerikaner manipulierte Verschlüsselungsgeräte an 120 Länder lieferte. Der Experte Bruce Schneier erzählte, wie sich Hersteller von kommerziellen Verschlüsselungsprodukten gegenseitig fragen: „Hast du Besuch bekommen von Lew Giles?“ Gemeint ist damit: „Hat die NSA dich bedrängt oder dich bestochen, damit du in dein Produkt geheime Schwachstellen einbaust?“ Schneier meint zwar, dass die Hersteller sich alle gegenseitig zusichern, „Lew Giles“ unverrichteter Dinge wieder weggeschickt zu haben, nennt aber doch Beispiele, wie Experten mit viel Mühe auf künstliche Schwächen gestoßen sind:
Brich den Zufallszahlengenerator und in den meisten Fällen hast du damit das gesamte Sicherheitssystem gebrochen. Ein aktuelles Paper fand eine Schwachstelle in dem Zufallszahlengenerator in Windows 2000. Ein weiteres Paper fand eine Schwachstelle in dem Zufallszahlengenerator von Linux. 1996 wurde eine frühe Version von SSL gebrochen wegen Schwachstellen im Zufallszahlengenerator.
Heute gibt es einen noch größeren Skandal um Dual_EC_DRBG. In einer Präsentation bei der CRYPTO 2007-Konferenz zeigten Dan Shumow und Niels Ferguson dass der Algorithmus eine Schwäche beinhaltet, der nur als Hintertür bezeichnet werden kann. Das funktioniert so: Es gibt einen Haufen Konstanten – feste Zahlen – in dem Standard, der verwendet wird, um die elliptische Kurve des Algorithmus zu definieren. Shumow und Ferguson haben gezeigt, dass diese Zahlen in Beziehung stehen mit einer zweiten, geheimen Reihe von Zahlen die als eine Art Generalschlüssel agieren. Wenn man die geheimen Zahlen kennt, kann man den Output des Zufallszahlengenerators vorhersehen, und das, nachdem man nur 32 bytes an Output gesammelt hat.
Die US-Behörden wollten einen transparenten Prozess vorgaukeln zur Ablösung der veralteten Verschlüsselungstechnik „Data Encryption Standard“ (DES) durch einen Advanced Encryption Standard (AES). Die NSA sollte zusammen mit der Industrie und den Wissenschaftlern agieren, um neue Verschlüsselungstechniken zu entwickeln. Fünf Algorithmen kamen in die engere Auswahl.
Das Projekt „New European Schemes for Signature, Integrity and Encryption“ (NESSIE) hatte seinerzeit interessante Untersuchungen angestellt zu AES. Finanziert wurde man dafür von der Europäischen Union; die Partner waren die Katholieke Universiteit Leuven (Belgien), die Ecole Normale Superieure (Frankreich), Fondazione Ugo Bordoni (Italien), Royal Holloway (UK), Siemens AG (Deutschland), Technion (Israel), Universie Catholique de Louvain (Belgien) und Universitetet i Bergen (Norwegen).
http://www.cryptonessie.org
http://csrc.nist.gov/archive/aes/round2/comments/20000524-bpreneel.pdf
„Wir glauben, dass der Aufwand für die Untersuchung der Sicherheit der fünf AES-Finalisten sehr begrenzt war, insbesondere im Vergleich zu den 17 Jahren, die IBM in den späten 1970er Jahren auf DES verwendet hatte. Es ist auffällig, dass die Mehrheit der wissenschaftlichen Papiere bei AES3 sich um die Bewertung der Performance drehten und nicht um die Bewertung der Sicherheit. Dafür gibt es mehrere Gründe:
Der Zeitmangel
Manche der Finalisten sind recht komplex, was es schwierig und zeitaufwändig macht, sie zu untersuchen“
Anscheinend wollte die amerikanische Behörde „National Institute of Standards and Technology“ (NIST), dass niemand allzu genau hinsieht. Die Prognose von NESSIE über die fünf AES-Algorithmen klang wenig optimistisch:
„Es ist jedoch wahrscheinlich, dass certicational attacks gegen manche der Finalisten gefunden werden, deren Komplexität unterhalb liegt von der Größe des Key Space. Es ist sicherlich so, dass mehr Kryptoanalyse sehr nützlich gewesen wäre, um unser Vertrauen in die langfristige Sicherheit dieser Algorithmen zu erhöhen. Darüberhinaus hätte dies in einer bedeutsamen Vergleichsmöglichkeit resultiert; von einer Sicherheitsperspektive aus betrachtet.“
„Wir sind uns bewusst, dass es nicht einfach ist, den ‚Sicherheitsspielraum‘ eines kryptographischen Algorithmus zu definieren. Wir wissen dass NIST um Input dahingehend gebeten hat, aber es scheint dass bisher kein Konsens existiert, über die relativen und absoluten Sicherheitsspielräume.“
Von NIST wurde der Algorithmus MARS zusammen mit den Kandidaten Serpent und Twofish als hoch-sicher eingestuft, während der Gewinner Rijndael nur als hinreichend-sicher eingestuft wurde. MARS wurde besonders wegen seiner Komplexität, die eine Sicherheitsanalyse erschwert, kritisiert. Je komplexer und verworrener ein Algorithmus, desto besser lassen sich Schwachstellen verbergen, die als Hintertür fungieren können. Statt Trillionen Jahre theoretische Rechenzeit, um den Klartext herauszubekommen, sind es per Hintertüren je nachdem vielleicht nur Wochen, Tage, Stunden oder Minuten.
MARS
Der Algorithmus MARS ist das Werk der Cryptography Research Group beim IBM Watson Research Center. IBM fertigte frühzeitig Supercomputer wie den IBM 7950 Harvest für die Codebrecher der NSA. Wie ironisch, dass IBM gleichzeitig Verschlüsselungsalgorithmen entwickelt, ohne auf den Moral Hazard hinzuweisen, zugunsten der NSA Hintertüren einzubauen. IBMs offizieller Bericht verlautbarte, dass MARS und ein anderer Kandidat namens Serpent die einzigen Finalisten gewesen wären, die überhaupt resistent waren gegen kommende Fortschritte des mathematischen Codebrechens. Don Coppersmith aus dem IBM-Team durchlief die Eliteuniversitäten MIT und Harvard. Später war er am Center for Communication Research (CCR) des Institute for Defense Analyses in Princeton. Ihr Hauptsitz ist in Alexandria (Virginia). Dort ist auch ihr größtes Forschungszentrum, das IDA Studies and Analyses Center (SAC). Das IDA Center for Communications and Computing arbeitet mit der National Security Agency (NSA) zusammen – vor allem in Kryptographie. Das IDA hat seine Ursprünge in der 1947 von Verteidigungsminister James Forrestal ins Leben gerufenen Weapons System Evaluation Group (WSEG). Die NESSIE-Wissenschaftler hatten ihre Bedenken gegenüber MARS:
„Das MARS-Design verwendet viele verschiedene Komponenten. Laut den MARS-Designern seien alle verwendeten Komponenten einfach zu analysieren. Wir sind anderer Meinung.“
„Es gibt auch manche Beziehungen zwischen den unterschiedlichen Outputs der E-Funktion (siehe Robshaw). Darüberhinaus erfüllen die S-boxes von MARS nicht all die Design-Anforderungen, die das Team anvisiert hatte. Während diese Beobachtungen nicht gleich zu einem Angriff gegen MARS führen, so zeigen sie doch dass es noch keine klare Erkenntnis gibt über die Sicherheit der Struktur von MARS. Es wird erwartet, dass weitere ähnliche Fehler in der Analyse von MARS des Design-Teams entdeckt werden.“
„Wir erkennen, dass alle Komponenten von Mars nicht zu der erwarteten Stärke der Verschlüsselung führen und es gibt Fragen, ob die Kombination der Einzelteile gegen all die Schwächen der einzelnen Komponenten schützt.“
Eine weitere Studie erklärt neue Angriffsmethoden gegen MARS:
„Auch wenn keine dieser Attacken bisher in der Lage ist, die gesamte Verschlüsselung zu brechen, denken wir, dass diese Ergebnisse wertvolle Einblicke liefern in die Sicherheit von MARS.
Wir betrachten diese Ergebnisse als vorläufig und wären nicht überrascht, mittelgradige Verbesserungen bei unseren Angriffen zu sehen. Wenn allerdings große Verbesserungen möglich sind, erwarten wir, dass dafür neue Techniken nötig sind.“
http://www.schneier.com/paper-mars-attacks.pdf
TWOFISH
Der Kandidat “Twofish” stammt von der Sicherheitsberaterfirma Counterpane, mitbegründet durch den Kryptografieexperten Bruce Schneier, der während dem Studium begonnen hatte, für das US-Verteidigungsministerium zu arbeiten und später bei dem mit der NSA verbandelten Konzern Bell Labs unterkam. Counterpane wurde umbenannt in BT Managed Security Solutions und ausgerechnet an den britischen Telekommunikationsgiganten BT Group verkauft. NESSIE zitiert aus zwei Studien über TWOFISH und findet allerlei Widersprüche und unkonventionelle Auffälligkeiten. Man spart nicht mit harscher Kritik an den Schwächen:
„Eine vorläufige Analyse mit Verwendung dieser Technik lässt auf die Existenz eines 8-Runden-Angriffs auf TwoFish schließen. Darüberhinaus wird behauptet, die wichtigen schlüssel-abhängigen S-Boxes von Two Fish würden die Sicherheit der Verschlüsselung erhöhen. Die Literatur enthält aber mehrere Beispiele, wo das Ersetzen von fixed S-Boxes mit schlüssel-abhängigen S-Boxes die Stärke der Block-Verschlüsselung reduziert.“
Bruce Schneier versichert immer wieder, wie im Magazin „Wired“, dass solche Algorithmen immer noch vor der NSA sicher seien und man ihnen völlig vertrauen könne.
Serpent
Serpent wurde gemeinsam von der Cambridge University, der Universität von Haifa in Israel und der Universität von Bergen in Norwegen entwickelt. Cambridge ist fest in der Hand des Britischen Geheimdienstes MI6, der dort u.a. neue Mitglieder rekrutiert. Der ehemalige MI6-Chef Sir Richard Dearlove ging nach seinem Rücktritt nach Cambridge und wurde dort der Boss eines University Colleges.
http://www.cambridge-news.co.uk/Education/Universities/Ex-boss-of-MI6-Sir-Richard-Dearlove-has-his-own-Iraq-dossier-20130721171515.htm
Die Universität von Haifa ist Mossad-Territorium. Die Entwickler von Serpent, Ross Anderson, Eli Biham und Lars Knudsen versprachen, dass ihr Algorithmus mindestens hundert Jahre lang sicher sein werde. Anderson machte seinen Doktor bei dem Royal Society-Mitglied Roger Needham. Wissenschaftler äußerten ihre Zweifel an Serpent:
„Die Sicherheit ist nur heuristisch. Die Autoren liefern ein heuristisches Argument für eine Version von Serpent die auf 8 Runden reduziert wurde und wählten ungewöhnlich große 32 Runden, um Vertrauen in die Sicherheit zu erwecken. Ein weiterer Anlass zu Besorgnis ist die unklare Herkunft der substitution boxes. Dies könnte die Kontroverse um versteckte Hintertüren aufflammen lassen.“
http://csrc.nist.gov/archive/aes/round1/conf2/papers/baudron1.pdf
Rijndael
Am 2. Oktober 2000 kürte NIST den Gewinner-Algorithmus „Rijndael“, geschaffen von Joan Daemen und Vincent Rijmen von der katholischen Universität Leuven in Belgien (die u.a. EU-Präsident van Rompuy hervorbrachte). Dass es sich um europäische Entwickler handelte, wirkte unverdächtiger als die Konkurrenz-Entwicklungen von IBM oder Cambridge-Leuten. Der Advanced Encryption Standard (AES) in der Variante Rijndael ist vorgeschrieben für geheime staatliche Kommunikationen der US-Regierung, und wurde auch der weltweite Standard für kommerzielle Verschlüsselungs-Software und -Hardware. Egal, von welchem Hersteller man einkauft, man muss sich letztendlich auf AES verlassen. Wäre Rijndael optimal designed, ohne irgendwelche absichtlich eingebauten Schwachstellen, würde man selbst mit Supercomputern an der Aufgabe scheitern, die Verschlüsselung zu brechen. Selbst mit einem speziell für diese Aufgabe gebauten Quantencomputer wäre ein Erfolg nicht garantiert. Sind hingegen Schwachstellen eingebaut worden auf Geheiß eines britischen oder amerikanischen Geheimdienstes, sieht es ganz anders aus.
Rijndael ist entworfen um sehr sicher zu sein gegenüber altbackenen approximation attacks, wie linear cryptanalysis, differential cryptanalysis usw. Da Rijndael aber sehr algebraisch ist, tauchten neue algebraische Angriffsmethoden auf. Die Schwäche von Rijndael sind effektive Angriffs-Algorithmen. Nicolas Courtois und Josef Pieprzyk untersuchten, wie man XL-Techniken verbessern könnte und schufen eine neue Art von Angriff namens XSL, die zumindest ein sehr spannender Ansatz ist. Courtois und Pieprzyk demonstrierten einen Angriff gegen AES 256, konnten aber noch nicht vollständig den Algorithmus brechen.
Zuerst war die NSA zurückhaltend in ihrer Bewertung von Rijndael; im Juni 2003 wurde er dann plötzlich überraschend für sämtliche US-Behörden empfohlen. Schneier und Ferguson schrieben in ihrem Buch „Practical Cryptography“ über AES:
„Wir trauen der Sicherheit nicht so recht. Kein anderer block cipher, den wir kennen, hat eine dermaßen simple algebraische Repräsentation. Wir wissen nicht, ob dies zu einem Angriff führt, aber dass man es nicht ausschließen kann, ist Anlass genug um skeptisch zu sein gegenüber der Verwendung von AES.“
„AES scheint übermäßig abgesichert worden zu sein im Hinblick auf differentielle oder lineare Kryptoanalyse; jedoch von der Perspektive algebraischer Angriffe aus betrachtet, handelt es sich um eine extrem schlechte Verschlüsselung“.
Die Forscher Alex Biryukov und Dmitry Khovratovich veröffentlichten Mitte des Jahres 2009 einen Angriff auf die AES-Varianten mit 192 und 256 Bit Schlüssellänge. Dabei nutzten sie Schwächen in der Schlüsselexpansion aus und konnten eine Komplexität von 2119 erreichen. Damit ist die AES-Variante mit 256 Bit Schlüssellänge formal schwächer als die Variante mit 128 Bit Schlüssellänge. Ende 2009 wurde mit einer Verbesserung des Angriffs eine Komplexität von nur noch 299,5 erreicht.
