Schlüsselaustausch und hybride Verschlüsselung

Bei symmetrischer Verschlüsselung müssen beide Parteien denselben geheimen Schlüssel teilen, bevor sie sicher kommunizieren können. Doch wie lässt sich dieser Schlüssel sicher teilen, wenn noch kein sicherer Kanal vorhanden ist? Dieses Schlüsselverteilungsproblem galt bis 1976 als unlösbar, als Whitfield Diffie und Martin Hellman eine bahnbrechende Abhandlung veröffentlichten. Ihre Lösung – der Diffie-Hellman-Schlüsselaustausch – ermöglicht es zwei Parteien, über einen unsicheren Kanal einen gemeinsamen geheimen Schlüssel zu vereinbaren, ohne den Schlüssel selbst jemals zu übertragen, sodass er für Lauscher sichtbar wäre.

Diffie-Hellman (DH) nutzt einen mathematischen Trick, der auf dem Problem des diskreten Logarithmus beruht. Beide Parteien einigen sich auf zwei öffentliche Werte (eine große Primzahl p und einen Generator g). Jede Partei erzeugt eine private Zufallszahl, berechnet daraus einen öffentlichen Wert und tauscht die öffentlichen Werte aus. Anschließend kann jede Partei aus ihrer eigenen privaten Zahl und dem öffentlichen Wert der anderen Partei dasselbe gemeinsame Geheimnis berechnen. Ein Lauscher, der nur die öffentlichen Werte sieht, kann das gemeinsame Geheimnis jedoch nicht berechnen, ohne das Problem des diskreten Logarithmus zu lösen, was bei großen Zahlen praktisch nicht möglich ist.

Elliptic Curve Diffie-Hellman (ECDH) ist die moderne, effizientere Variante des Diffie-Hellman-Schlüsselaustauschs. Statt modularer Exponentiation verwendet es die Mathematik elliptischer Kurven und erreicht damit dasselbe Sicherheitsniveau mit deutlich kleineren Parametern. Ein 256-Bit-ECDH-Schlüssel bietet ein Sicherheitsniveau, das einem 3072-Bit-DH-Schlüssel entspricht. ECDHE (das „E“ steht für Ephemeral) erzeugt für jede Sitzung ein neues Schlüsselpaar und bietet dadurch Perfect Forward Secrecy. TLS 1.3 schreibt ECDHE für den Schlüsselaustausch vor, wodurch es zum vorherrschenden Schlüsselaustauschmechanismus moderner Websicherheit geworden ist.

Perfect Forward Secrecy (PFS) stellt sicher, dass Sitzungsschlüssel auch dann nicht kompromittiert werden, wenn der langfristige private Schlüssel des Servers später gestohlen wird. PFS wird durch ephemere Schlüsselpaare für den Schlüsselaustausch jeder Sitzung erreicht. Der Sitzungsschlüssel wird aus einem temporären Schlüsselpaar abgeleitet, das nach Ende der Sitzung verworfen wird. Ohne PFS (bei Verwendung des RSA-Schlüsselaustauschs) kann ein Angreifer, der heute verschlüsselten Datenverkehr aufzeichnet und später den privaten Schlüssel stiehlt, den gesamten vergangenen Datenverkehr nachträglich entschlüsseln. Mit PFS bleiben vergangene Sitzungen auch nach einer Schlüsselkompromittierung sicher.

Hybride Verschlüsselung kombiniert asymmetrische und symmetrische Kryptografie, um sowohl die Vorteile der Schlüsselverwaltung der asymmetrischen Verschlüsselung als auch die Leistung der symmetrischen Verschlüsselung zu nutzen. Der Ablauf: (1) einen zufälligen symmetrischen Sitzungsschlüssel erzeugen, (2) die eigentlichen Daten mit diesem symmetrischen Schlüssel verschlüsseln (schnell), (3) den symmetrischen Schlüssel mit dem öffentlichen Schlüssel des Empfängers verschlüsseln (sichere Schlüsselübertragung), (4) sowohl die verschlüsselten Daten als auch den verschlüsselten Schlüssel senden. Der Empfänger entschlüsselt den symmetrischen Schlüssel mit seinem privaten Schlüssel und anschließend die Daten mit dem wiederhergestellten symmetrischen Schlüssel.

Der TLS-Handshake ist die häufigste praktische Umsetzung hybrider Verschlüsselung. In TLS 1.3: (1) Der Client sendet unterstützte Cipher-Suites und seinen Key Share (öffentlicher ECDHE-Wert). (2) Der Server antwortet mit seinem Key Share, seinem Zertifikat (das seinen öffentlichen Schlüssel enthält) und einer Signatur. (3) Beide Seiten berechnen über ECDH dasselbe gemeinsame Geheimnis. (4) Der gesamte nachfolgende Datenverkehr wird mit einem aus dem gemeinsamen Geheimnis abgeleiteten symmetrischen Schlüssel (AES-256-GCM) verschlüsselt. Der gesamte Vorgang richtet in einem Round Trip einen verschlüsselten Kanal ein, ohne den symmetrischen Schlüssel jemals direkt zu übertragen.

Die moderne Kryptografie verwendet Schlüssel-Kapselungsmechanismen (KEM) als formelleren und sichereren Ansatz für den Schlüsselaustausch als die direkte asymmetrische Verschlüsselung eines Sitzungsschlüssels. Ein KEM ermöglicht es einer Partei, einen symmetrischen Schlüssel zu erzeugen und ihn mithilfe des öffentlichen Schlüssels des Empfängers so zu „kapseln“, dass nur der Empfänger ihn entkapseln und wiederherstellen kann. Der Post-Quanten-Standard CRYSTALS-Kyber von NIST basiert auf Gitterproblemen statt auf der Faktorisierung ganzer Zahlen oder elliptischen Kurven und ist dadurch resistent gegen Angriffe durch Quantencomputer.

Bis TLS 1.3 war der RSA-Schlüsselaustausch weit verbreitet: Der Client erzeugte ein Pre-Master-Secret, verschlüsselte es mit dem öffentlichen RSA-Schlüssel des Servers und sendete es an den Server. Das Problem: Dieses Verfahren bietet keine Forward Secrecy. Wird der private Schlüssel des Servers später kompromittiert, können alle auf diese Weise verschlüsselten früheren Sitzungen entschlüsselt werden. TLS 1.3 entfernt den RSA-Schlüsselaustausch vollständig (es erlaubt ausschließlich ECDHE), um Forward Secrecy für alle Verbindungen verbindlich zu machen. Deshalb ist es eine Sicherheitsverbesserung, TLS 1.0 und 1.2 zu deaktivieren (die weiterhin statisches RSA erlauben) und TLS 1.3 vorzuschreiben.

Das durch einen Diffie-Hellman-Austausch erzeugte gemeinsame Geheimnis wird nicht direkt als Verschlüsselungsschlüssel verwendet. Stattdessen wird es einer Schlüsselableitungsfunktion (KDF) zugeführt, die daraus die tatsächlichen Verschlüsselungsschlüssel und Initialisierungsvektoren erzeugt. TLS 1.3 verwendet HKDF (HMAC-basierte Schlüsselableitungsfunktion), um separate Schlüssel für die Verschlüsselung in jede Richtung abzuleiten. KDFs erhöhen den Rechenaufwand (und erschweren dadurch Brute-Force-Angriffe), erweitern kurze Geheimnisse auf die benötigte Anzahl von Schlüssel-Bytes und stellen sicher, dass die abgeleiteten Schlüssel gute statistische Eigenschaften für die Verwendung als symmetrische Schlüssel besitzen.

Pretty Good Privacy (PGP) und das quelloffene Gegenstück OpenPGP verwenden hybride Verschlüsselung für E-Mails. Wenn Alice Bob eine verschlüsselte E-Mail sendet, erzeugt PGP einen zufälligen symmetrischen Sitzungsschlüssel, verschlüsselt den E-Mail-Text damit (AES), verschlüsselt den Sitzungsschlüssel mit Bobs öffentlichem RSA- oder ECC-Schlüssel und sendet beides zusammen. Bei signierten E-Mails bildet PGP einen Hash der Nachricht und signiert den Hash mit Alices privatem Schlüssel – dadurch wird Nichtabstreitbarkeit gewährleistet. Das PGP-Modell des Web of Trust (Benutzer signieren gegenseitig ihre Schlüssel) ist eine Alternative zu einer PKI auf Basis von Zertifizierungsstellen.

Der Diffie-Hellman-Schlüsselaustausch ist gegen passive Lauscher sicher, aber anfällig für aktive Man-in-the-Middle-Angriffe (MITM), wenn sich die Parteien nicht gegenseitig authentifizieren. Ein Angreifer kann Alices öffentlichen Wert abfangen, durch seinen eigenen ersetzen und separate DH-Sitzungen mit Alice und Bob aufbauen – beide glauben dabei, mit dem jeweils anderen zu kommunizieren. Deshalb kombiniert TLS den DH-Schlüsselaustausch mit einer Zertifikatsauthentifizierung: Das von einer vertrauenswürdigen CA signierte Zertifikat des Servers bestätigt dessen Identität und verhindert, dass der öffentliche Schlüssel während des Handshakes durch einen Angreifer ersetzt wird.

In dieser Lektion haben Sie Folgendes gelernt: Diffie-Hellman löst das Problem des Schlüsselaustauschs, indem Parteien über einen unsicheren Kanal ein gemeinsames Geheimnis ableiten können; ECDHE (ephemer) bietet Perfect Forward Secrecy; hybride Verschlüsselung kombiniert den asymmetrischen Schlüsselaustausch mit symmetrischer Verschlüsselung großer Datenmengen und ist dadurch effizient; und TLS 1.3 schreibt ECDHE für alle Verbindungen vor. Als Nächstes beschäftigen wir uns mit Zertifizierungsstellen und Vertrauensketten.