Lehren aus DES: Was wir gelernt haben

Der 56-Bit-Schlüssel von DES wurde im Hinblick auf die Rechenleistung des Jahres 1977 entwickelt. Die Entwickler erwarteten, dass er mindestens 10–15 Jahre lang sicher sein würde. 1997, also 20 Jahre später, konnte er innerhalb von Monaten gebrochen werden; 1999 dauerte es nur noch Stunden.

Die Lehre daraus: Kryptografische Schlüssellängen müssen zukünftige Fortschritte in der Rechenleistung berücksichtigen. NIST empfiehlt inzwischen, dass Systeme über eine Sicherheitsmarge von mindestens 112 Bit verfügen, um bis 2030 sicher zu bleiben, und für langfristige Sicherheit mindestens 128 Bit.

Auguste Kerckhoffs formulierte 1883, dass eine Chiffre auch dann sicher sein sollte, wenn alles über das System außer dem Schlüssel öffentlich bekannt ist. DES war die erste staatlich standardisierte Chiffre, die ausdrücklich nach diesem Prinzip entwickelt wurde.

Die Veröffentlichung der vollständigen DES-Spezifikation ermöglichte es der kryptografischen Fachwelt, den Algorithmus 20 Jahre lang auf Schwachstellen zu untersuchen. Unter öffentlicher Beobachtung erwies sich die Chiffre als widerstandsfähiger als Alternativen, die auf der Geheimhaltung des Algorithmus beruhten.

Als DES erstmals veröffentlicht wurde, hielt die NSA die Kriterien für das S-Box-Design geheim. Das nährte Verschwörungstheorien über Hintertüren. In den 1990er-Jahren wurden die Kriterien offengelegt und zeigten, dass die S-Boxen gezielt so entwickelt worden waren, dass sie der differentiellen Kryptoanalyse widerstanden.

Diese Lehre aus der Transparenz führte zu modernen Chiffrenwettbewerben, bei denen die vollständige Begründung des Designs veröffentlicht werden muss. Die AES-Kandidaten veröffentlichten vollständige Designkriterien und Sicherheitsargumente und ermöglichten dadurch eine gründliche öffentliche Analyse.

Die Beteiligung der NSA an der Verkürzung der DES-Schlüssellänge von 128 auf 56 Bit und an der Änderung der S-Boxen führte zu einem anhaltenden institutionellen Misstrauen gegenüber staatlicher Beteiligung an kryptografischen Standards.

Dieses Misstrauen wurde durch den Skandal um die Hintertür in Dual_EC_DRBG (2013) verstärkt. Dabei wurde festgestellt, dass die NSA einen NIST-Standard für Zufallszahlengeneratoren absichtlich geschwächt hatte. Die Erfahrungen mit DES begründeten eine gesunde Skepsis gegenüber staatlichen Eingriffen in Chiffren.

Eine Lehre aus DES ist die Bedeutung der Algorithmusagilität: Systeme sollten so entwickelt werden, dass sich kryptografische Algorithmen bei ihrer Veraltung problemlos ersetzen lassen. Systeme, die fest auf DES ausgelegt waren, erforderten teure Komplettmigrationen.

Moderne kryptografische Protokolle wie TLS handeln die Algorithmen zu Beginn jeder Verbindung aus. Dadurch können beide Parteien die stärksten von beiden unterstützten Algorithmen vereinbaren. Neue Algorithmen lassen sich so einführen, ohne die Abwärtskompatibilität zu beeinträchtigen.

NIST lernte aus den Erfahrungen mit DES, dass ein abgeschottetes staatliches Verfahren Misstrauen und möglicherweise schwache Algorithmen hervorbringt. Der AES-Wettbewerb (1997–2001) war vollständig offen: Jede Organisation weltweit konnte einen Kandidaten einreichen.

Teams aus den USA, Europa und anderen Regionen reichten fünfzehn Algorithmen ein. Fünf Finalisten wurden drei Jahre lang öffentlich analysiert. Rijndael, entwickelt von belgischen Kryptografen, gewann aufgrund seiner technischen Qualität. Das offene Verfahren schuf umfassendes Vertrauen in AES.

Der AES-Wettbewerb setzte die Lehren aus DES unmittelbar um: große Schlüsselauswahl (128, 192, 256 Bit), eine 128-Bit-Blockgröße zur Vermeidung von Problemen durch Geburtstagsangriffe, vollständig öffentliche Designkriterien und mehrjährige offene Kryptoanalyse.

AES hat mehr als 20 Jahre öffentlicher Kryptoanalyse ohne praktische Angriffe überstanden. Die besten bekannten Angriffe auf AES sind nur geringfügig besser als Brute-Force-Angriffe. Das bestätigt, dass das offene Wettbewerbsverfahren eine starke Chiffre hervorgebracht hat.

In Geldautomaten, Zahlungsterminals, Satellitendecodern und industriellen Steuerungssystemen existieren Millionen von DES-Hardwareimplementierungen. Der Austausch von Hardware ist wesentlich teurer und langsamer als die Aktualisierung von Software.

Die Lehre daraus: Bei kryptografischen Hardwareimplementierungen muss der Algorithmusaustausch von Anfang an eingeplant werden. Moderne HSMs und Smartcard-Chips unterstützen mehrere Algorithmen und können per Firmware aktualisiert werden, um neue Standards hinzuzufügen.

Nach DES wurde der Standardisierungsprozess von NIST transparenter und inklusiver. Die Fristen für öffentliche Stellungnahmen wurden verlängert, Algorithmen wurden vor der Standardisierung vollständig veröffentlicht und die internationale Beteiligung wurde aktiv gefördert.

Die NIST-Standardisierung der Post-Quanten-Kryptografie (2016–2024) setzte all diese Lehren um: einen offenen internationalen Wettbewerb, mehrere Runden öffentlicher Kryptoanalyse, transparente Auswahlkriterien und die gleichzeitige Standardisierung mehrerer Algorithmen zur Förderung der Vielfalt.

Die moderne Kryptografie hat das Problem der Schlüssellänge gelöst: AES-256 bietet so große Sicherheitsmargen, dass Brute-Force-Angriffe auf absehbare Zeit unmöglich sind. Die verbleibende Herausforderung ist die Schlüsselverwaltung.

Schlüsselerzeugung (wirklich zufällig), Schlüsselspeicherung (vor unbefugtem Zugriff geschützt), Schlüsselverteilung (sicher mit den richtigen Parteien geteilt), Schlüsselrotation (Schlüsselwechsel ohne Unterbrechung des Dienstes) und Schlüsselwiderruf (Widerruf kompromittierter Schlüssel) sind die ungelösten Probleme, die die meisten kryptografischen Fehler in der Praxis verursachen.

Der Übergang zur Post-Quanten-Kryptografie (PQC) ist das heutige Gegenstück zum Übergang von DES zu AES. Quantencomputer bedrohen RSA und ECC, so wie das exponentielle Wachstum der Rechenleistung DES bedrohte.

NIST hat 2024 seine ersten PQC-Standards fertiggestellt: CRYSTALS-Kyber (jetzt ML-KEM) für die Schlüsselverkapselung und CRYSTALS-Dilithium (jetzt ML-DSA) für Signaturen. Die Lehren aus DES, darunter offene Wettbewerbe und Algorithmusagilität, wurden unmittelbar auf den PQC-Standardisierungsprozess angewendet.

Testen Sie Ihr Verständnis der Lehren aus der DES-Ära.

DES hat uns gelehrt, dass Schlüssellängen Moores Gesetz berücksichtigen müssen, dass öffentliche Prüfung Chiffren stärkt, dass die Kriterien für das S-Box-Design veröffentlicht werden sollten und dass staatliche Beteiligung an Standards Transparenz erfordert.

Algorithmusagilität, offene Wettbewerbe (AES, PQC) und Hardware, die für den Austausch von Algorithmen ausgelegt ist, sind direkte Reaktionen auf das Erbe von DES. Das schwierigste Problem der modernen Kryptografie ist nicht die Schlüssellänge, sondern die Schlüsselverwaltung.