Kryptologie CBC = Cipher Block Chaining

a7Hzq .#5r< kÜ\as TâÆK$ ûj(Ö2 ñw%h: Úk{4R f~`z8 ¤˜Æ+Ô „&¢Dø

Beschreibung

Mit einem zufällig gewähltem Startwert c₀ (=IV = »Initialisierungsvektor«) sieht das Verfahren so aus:

Verschlüsselung nach der Formel:

Entschlüsselung:

Eigenschaften

• Jeder Geheimtextblock hängt von allen vorhergehenden Klartextblöcken ab (Diffusion).
• Ein Angreifer kann Textblöcke nicht unbemerkt ersetzen oder einfügen.
• Gleiche Klartextblöcke werden i. a. verschieden chiffriert.
• Ein Angriff mit bekanntem Klartext ist hingegen, im Vergleich zum ECB, nicht erschwert.
  
  
• Jeder Klartextblock hängt von zwei Geheimtextblöcken ab.
• Bei fehlerhafter Übermittlung eines Geheimtextblocks werden (nur) zwei Klartextblöcke unleserlich (»Selbstsynchronisation« des Verfahrens).

Kann der Startwert c₀ bei Geheimhaltung als zusätzlicher Schlüssel dienen? (Das wären im Beispiel DES aus 56 Bits des Schlüssels und 64 Bits des Startwerts insgesamt 120 Bits.)

Antwort: Nein!

Denn nur a₁ hängt beim Entschlüsseln von c₀ ab, d. h., es wird lediglich bekannter Klartext am Anfang etwas besser verschleiert, wenn c₀ geheim bleibt. Ist der zweite oder ein späterer Klartextblock bekannt, kann der Angreifer wie bei EBC den Schlüssel bestimmen (durch vollständige Suche oder einen anderen Angriff mit bekanntem Klartext.

Bemerkungen

1. CBC ist die Komposition f °(Geheimtext-Autokey). Ist also f = 1_S, so bleibt das (völlig untaugliche) Geheimtext-Autokey-Verfahren mit Schlüssellänge 1 übrig.
   
   
2. [John KELSEY in der Mail-Liste cryptography@c2.net, 24 Nov 1999] Falls eine »Kollision« c_i = c_j für i ¹ j auftritt, folgt f(a_i*c_i-1) = f(a_j*c_j-1), also a_i*c_i-1 = a_j*c_j-1 und daraus a_j^-1*a_i = c_j-1*c_i-1^-1. Der Gegner gewinnt also etwas Information über den Klartext.
   
   Erwarten kann man diese Situation wegen des Geburtstagsphänomens nach ca. Ö (#S) Blöcken.
   
   Je länger der Text, desto mehr solcher Kollisionen sind zu erwarten. Auch dies bestätigt wieder die Faustregel, wie rechtzeitig Schlüssel zu wechseln sind.

E-Mail an Pommerening@imsd.uni-mainz.de.