Was ein sicheres Protokoll ausmacht

Authentifizierung dient dazu, die Identität der Kommunikationspartner festzustellen. Ohne Authentifizierung ist ein Protokoll anfällig für Identitätsvortäuschung: Ein Angreifer kann sich als vertrauenswürdiger Server ausgeben und die Kommunikation abfangen. Die Authentifizierung in Protokollen wird typischerweise durch digitale Zertifikate, vorab geteilte Schlüssel oder Challenge-Response-Mechanismen erreicht, die die Kenntnis eines Geheimnisses nachweisen, ohne es preiszugeben.

Vertraulichkeit stellt sicher, dass der Inhalt einer Nachricht nur für die vorgesehenen Empfänger zugänglich ist. Sie wird durch Verschlüsselung mit Schlüsseln erreicht, die nur den beteiligten Parteien bekannt sind. Eine Verletzung der Vertraulichkeit bedeutet, dass ein Angreifer Nachrichten während der Übertragung mitlesen kann. Vertraulichkeit allein verhindert weder die Manipulation von Nachrichten noch Replay-Angriffe; sie muss mit einem Integritätsschutz kombiniert werden.

Integritätsschutz stellt sicher, dass empfangene Nachrichten genau dem entsprechen, was der Absender übertragen hat, ohne Hinzufügungen, Löschungen oder Änderungen. Message Authentication Codes und authentifizierte Verschlüsselungsmodi bieten Integritätsschutz. Ohne Integritätsschutz kann ein Angreifer, der den Chiffretext nicht lesen kann, möglicherweise dennoch bestimmte Bits auf vorhersehbare Weise umlegen und dadurch den entschlüsselten Klartext verändern, wie es bei Padding-Oracle-Angriffen ausgenutzt wird.

Nichtabstreitbarkeit bedeutet, dass ein Absender später nicht leugnen kann, eine Nachricht gesendet zu haben. Sie wird durch digitale Signaturen mit asymmetrischen Schlüsseln erreicht: Nur der Besitzer des privaten Schlüssels konnte die Signatur erzeugt haben, und der zugehörige öffentliche Schlüssel verifiziert sie. MACs bieten keine Nichtabstreitbarkeit, weil sowohl der Absender als auch der Empfänger das gemeinsame Geheimnis kennen und beide den MAC erzeugt haben könnten.

Aktualität stellt sicher, dass eine alte, zuvor gültige Nachricht nicht von einem Angreifer erneut gesendet werden kann, um dieselbe Wirkung noch einmal auszulösen. Zu den Mechanismen für Aktualität gehören Nonces (Zufallswerte, die in Nachrichten enthalten sind und sich nicht wiederholen dürfen), Zeitstempel mit eng begrenzten Gültigkeitsfenstern und Sequenznummern, die strikt ansteigen müssen. Ohne Aktualität kann das erneute Senden einer abgefangenen Authentifizierungsnachricht die Authentifizierung vollständig umgehen.

Perfect Forward Secrecy stellt sicher, dass die Kompromittierung langfristiger Schlüssel keine früheren Sitzungsschlüssel offenlegt. Sie wird erreicht, indem für jede Sitzung mithilfe von Diffie-Hellman kurzlebige (temporäre) Schlüsselpaare erzeugt werden. Die Sitzungsschlüssel werden aus den kurzlebigen Schlüsseln berechnet und nach der Verwendung verworfen. Selbst wenn der langfristige private Schlüssel des Servers später gestohlen wird, kann der Angreifer zuvor aufgezeichnete Sitzungen nicht entschlüsseln, da die kurzlebigen Schlüssel nicht mehr existieren.

Bei der einseitigen Authentifizierung wird nur eine Partei verifiziert: Bei HTTPS präsentiert der Server ein Zertifikat, das der Client verifiziert, während der Server die Identität des Clients normalerweise nicht überprüft. Bei der gegenseitigen Authentifizierung (oder Mutual TLS, mTLS) müssen beide Parteien Zertifikate präsentieren und verifizieren. mTLS wird häufig in Microservice-Architekturen, API-Gateways und Unternehmens-VPNs eingesetzt, bei denen beide Endpunkte verifiziert werden müssen, bevor vertrauliche Daten ausgetauscht werden.

Protokolldesigner können sich nicht allein auf Intuition verlassen. Ein Protokoll, das offensichtlich sicher erscheint, kann auf subtile Weise scheitern. Das Needham-Schroeder-Public-Key-Protokoll wurde 1978 veröffentlicht und als sicher angesehen. 1995 entdeckte Gavin Lowe mithilfe eines Tools zur formalen Verifikation einen Fehler, der einen Identitätsvortäuschungsangriff ermöglichte. Die formale Verifikation mit Model Checkern wie Tamarin oder ProVerif ist bei der Entwicklung sicherheitskritischer Protokolle inzwischen Standardpraxis.

Das Dolev-Yao-Modell ist das Standardbedrohungsmodell für die Analyse kryptografischer Protokolle. Es geht davon aus, dass der Angreifer das gesamte Netzwerk kontrolliert: Er kann jede Nachricht abfangen, blockieren, ändern, wiederholen und einschleusen. Kryptografische Primitive werden als perfekt angenommen, also ohne mathematische Schwächen. In diesem Modell ist ein Protokoll nur dann sicher, wenn es seine Ziele erreicht, obwohl der Angreifer die vollständige Kontrolle über die gesamte Kommunikation hat.

Der Entwurf kryptografischer Protokolle ist bekanntermaßen schwierig, weil Schwachstellen oft subtil und nicht offensichtlich sind. Das Zusammenspiel mehrerer Nachrichten, Nonces, Zeitstempel und Schlüssel kann unerwartete Angriffspfade schaffen. Prinzipale können unterschiedliche Ansichten über den Protokollzustand haben. Gleichzeitig ausgeführte Sitzungen können sich gegenseitig beeinflussen. Bei jedem bedeutenden eingesetzten Protokoll, einschließlich SSL, TLS, WPA2 und 802.11, wurden nach der Einführung erhebliche Schwachstellen entdeckt.

SSL 3.0 wurde durch den POODLE-Angriff gebrochen. TLS 1.0 und 1.1 wurden aufgrund mehrerer Schwachstellen als veraltet eingestuft. Die WEP-WLAN-Verschlüsselung war bereits innerhalb ihres ersten Einsatzjahres vollständig gebrochen. PPTP-VPN gilt wegen der Schwachstellen von MS-CHAPv2 als unsicher. Jeder dieser Fehler hat der Sicherheitsgemeinschaft etwas über die Lücke zwischen informeller Sicherheitsintuition und dem Entwurf von Protokollen beigebracht, deren Korrektheit unter dem Dolev-Yao-Modell nachweisbar ist.

Welche Sicherheitseigenschaft stellt sicher, dass eine Nachricht, die ein Angreifer heute aufgezeichnet hat, später nicht erfolgreich erneut an den Server gesendet werden kann, um eine Aktion zu wiederholen?

Sichere Protokolle müssen Authentifizierung, Vertraulichkeit, Integrität, Nichtabstreitbarkeit und Aktualität gewährleisten. Perfect Forward Secrecy schützt vergangene Sitzungen vor einer zukünftigen Kompromittierung von Schlüsseln. Die gegenseitige Authentifizierung verifiziert beide Parteien. Das Dolev-Yao-Modell geht von einem vollständig böswilligen Netzwerk aus. Der Protokollentwurf erfordert formale Verifikation und darf sich nicht nur auf Intuition stützen. Bei jedem bedeutenden Protokoll wurden nach der Einführung Schwachstellen entdeckt, was die kontinuierliche Weiterentwicklung kryptografischer Standards vorantreibt.