Triple DES: Die Lebensdauer von DES verlängern

Die naheliegende Lösung für die geringe Schlüssellänge von DES besteht darin, DES zweimal anzuwenden (Double DES): C = DES_K2(DES_K1(P)). Mit zwei 56-Bit-Schlüsseln beträgt der nominale Schlüsselraum 2^112.

Ein Meet-in-the-Middle-Angriff macht diese Lösung jedoch zunichte: Verschlüsseln Sie alle Klartexte mit allen 2^56 Werten für K1, entschlüsseln Sie alle Geheimtexte mit allen 2^56 Werten für K2 und suchen Sie nach übereinstimmenden Zwischenwerten. Der Angriff benötigt nur einen Rechenaufwand von 2^56 und einen Speicherplatz von 2^56. Double DES bietet damit keinen Sicherheitsvorteil gegenüber einfachem DES.

Triple DES mit zwei Schlüsseln verwendet drei DES-Operationen, aber nur zwei Schlüssel: C = DES_K1(DES^-1_K2(DES_K1(P))). Die Reihenfolge EDE (Encrypt-Decrypt-Encrypt) wird aus Gründen der Abwärtskompatibilität verwendet.

Die Sicherheit von 2-Key 3DES beträgt gegen bekannte Angriffe ungefähr 112 Bit, wird durch Meet-in-the-Middle-Angriffe jedoch etwas reduziert. 2-Key 3DES wird in vielen älteren Bank- und Zahlungssystemen eingesetzt.

3-Key 3DES verwendet drei unabhängige Schlüssel K1, K2 und K3: C = DES_K3(DES^-1_K2(DES_K1(P))). Die nominale Schlüssellänge beträgt 3 x 56 = 168 Bit, aber die effektive Sicherheit gegen die besten bekannten Angriffe liegt bei etwa 112 Bit.

3-Key 3DES bietet eine höhere Sicherheit als 2-Key 3DES und wurde in Standards wie NIST SP 800-131A für neue Anwendungen empfohlen, bevor 3DES selbst als veraltet eingestuft wurde.

Die Struktur Encrypt-Decrypt-Encrypt (EDE) von Triple DES ist nicht willkürlich gewählt. Wenn K1 = K2 = K3 gilt, macht die mittlere Entschlüsselung die erste Verschlüsselung rückgängig, und die abschließende Verschlüsselung erzeugt dasselbe Ergebnis wie einfaches DES.

Diese Abwärtskompatibilität mit einfachem DES war für eine schrittweise Migration entscheidend. Vorhandene DES-Hardware und -Software konnten während einer Übergangsphase mit 3DES-Systemen zusammenarbeiten, ohne dass Daten verloren gingen.

Triple DES kann zu einfachem DES zurückfallen, indem alle drei Schlüssel gleich gesetzt werden. Dadurch kann 3DES-Hardware sowohl DES-verschlüsselte als auch 3DES-verschlüsselte Daten mit derselben Schaltung verarbeiten.

Dies war besonders für Bank- und Zahlungssysteme wichtig, in denen Infrastruktur auf DES-Basis im Wert von Milliarden US-Dollar vorhanden war. 3DES ermöglichte eine schrittweise, abwärtskompatible Umstellung, ohne alle Geräte gleichzeitig ersetzen zu müssen.

3DES wird in der Bankeninfrastruktur weiterhin häufig eingesetzt, obwohl es für neue Anwendungen als veraltet eingestuft ist. Zahlungskarten mit EMV-Chip verwenden 3DES zur Kartenauthentifizierung und für die Transaktionskryptografie.

Auch der Interbanken-Nachrichtendienst SWIFT verwendet 3DES für ältere Message Authentication Codes. Aufgrund des enormen Umfangs der eingesetzten Finanzinfrastruktur wird 3DES trotz seiner Einstufung als veraltet noch viele Jahre im Einsatz bleiben.

NIST stufte 3DES 2023 durch die zweite Überarbeitung von SP 800-131A offiziell als veraltet ein. Jede Verwendung von 3DES gilt nun als veraltet. Das bedeutet, dass 3DES nicht für neue Systeme eingesetzt und in bestehenden Systemen schrittweise ersetzt werden sollte.

AES ist der empfohlene Ersatz. AES ist schneller, verwendet größere Blöcke (128 statt 64 Bit), bietet Schlüssellängen von 128, 192 oder 256 Bit und weist keine bekannten praktischen Schwächen auf.

Sweet32, 2016 veröffentlicht, demonstrierte einen praktischen Angriff auf 3DES in HTTPS. Die Blockgröße von 64 Bit führt dazu, dass nach 2^32 Blöcken (etwa 32 GB Daten) Kollisionen aufgrund des Geburtstagsparadoxons im CBC-Modus beginnen, Informationen über Klartexte preiszugeben.

Bei HTTPS-Sitzungen benötigte Sweet32 etwa 785 GB Datenverkehr unter demselben Schlüssel, was mit einer lang laufenden authentifizierten Sitzung erreichbar ist. Der Angriff führte dazu, dass Browser AES-GCM bevorzugten und 3DES aus den standardmäßigen Cipher-Suites entfernten.

Triple DES führt pro Block drei DES-Operationen aus. DES ist auf moderner Hardware langsam, weil es für Hardware der 1970er-Jahre mit anderen Bitoperationen als denen moderner CPUs entwickelt wurde.

AES, das auf effiziente Software und moderne Hardware mit AES-NI-Instruktionen ausgelegt ist, ist in Software 10- bis 100-mal schneller als 3DES. AES-NI in modernen Intel- und AMD-CPUs kann mehrere Gigabyte pro Sekunde verschlüsseln, während 3DES kaum 100 MB/s erreicht.

Trotz der Verwendung von drei DES-Operationen und längeren Schlüsseln behält 3DES die 64-Bit-Blockgröße von DES bei. Die Blockgröße ist ein grundlegender Parameter der Feistel-Struktur und kann nicht geändert werden, ohne den Algorithmus neu zu entwerfen.

Diese 64-Bit-Blockgröße ist die Hauptursache der Sweet32-Schwachstelle. Aufgrund der 128-Bit-Blockgröße von AES erfordern Geburtstagsangriffe 2^64 Blöcke (~18 Exabyte), was in der Praxis rechenzeitmäßig nicht durchführbar ist.

NIST SP 800-131A stellt einen detaillierten Migrationsleitfaden für den Übergang von 3DES zu AES bereit. Als Ersatz für alle 3DES-Verwendungen empfiehlt die Richtlinie AES mit 128-, 192- oder 256-Bit-Schlüsseln – von TLS-Chiffrensammlungen bis zur Verschlüsselung gespeicherter Daten.

Die Migration wird umfassend unterstützt: Jede moderne kryptografische Bibliothek und Hardwareplattform unterstützt AES, häufig mit Hardwarebeschleunigung. Organisationen wird empfohlen, die Migration als Aktualisierung der Softwarekonfiguration und nicht als Hardwareaustauschprojekt zu behandeln.

Triple DES wurde entwickelt, um die Lebensdauer von DES mithilfe der EDE-Struktur zu verlängern. Meet-in-the-Middle-Angriffe verhindern, dass Double DES die doppelte Sicherheit bietet. 3DES mit identischen Schlüsseln wird auf einfaches DES reduziert und ermöglicht so die Abwärtskompatibilität.

3DES ist bei NIST (2023) aufgrund der Schwachstelle der 64-Bit-Blockgröße (Sweet32) und der schlechten Leistung im Vergleich zu AES veraltet. In Bank- und EMV-Infrastrukturen bleibt es als Altsystem bestehen.