Warum die Länge kryptografischer Schlüssel wichtig ist

In der Kryptografie bezeichnet der Sicherheitsparameter lambda die angestrebte Sicherheitsstufe. Er bestimmt Schlüssellängen, die Größe von Hashausgaben und weitere Parameter im gesamten kryptografischen System. Ein System mit lambda = 128 bedeutet, dass ein Angreifer ungefähr 2^128 Operationen benötigt, um es zu brechen. Alle Parameter werden konsistent gewählt, sodass die schwächste Komponente mindestens diese Sicherheitsstärke bietet.

80-Bit-Sicherheit galt einst als ausreichend für nicht-sensible Anwendungen. Um sie zu brechen, sind ungefähr 2^80 oder etwa 10^24 Operationen erforderlich. Mit modernen GPU-Clustern und optimierten Algorithmen nähert sich dies für gut finanzierte Angreifer der praktischen Machbarkeit. NIST hat die 80-Bit-Sicherheit 2010 als veraltet eingestuft, und sie wird für keine neue kryptografische Implementierung mehr empfohlen. Altsysteme mit 80-Bit-Parametern sollten aktualisiert werden.

112-Bit-Sicherheit, die durch Triple DES (3DES) bereitgestellt wird, bietet moderaten Schutz und war NISTs Mindestempfehlung für symmetrische Verschlüsselung, nachdem DES veraltet war. 3DES wendet DES dreimal mit unterschiedlichen Schlüsseln an und erreicht trotz seines 168-Bit-Schlüssels effektiv eine Sicherheitsstärke von 112 Bit. NIST plant, 3DES ab 2024 für die Nutzung durch Bundesbehörden nicht mehr zuzulassen, da die Rechenleistung weiter zunimmt und AES es vollständig ersetzt hat.

AES-128 bietet 128-Bit-Sicherheit und ist der aktuelle Standard für symmetrische Verschlüsselung. Gegen AES-128 existiert auf klassischen Computern kein praktikabler Angriff. NIST betrachtet 128-Bit-Sicherheit mindestens bis 2030 als ausreichend für langfristigen Schutz. Die meisten kryptografischen Protokolle, darunter TLS 1.3, WireGuard und Signal, verwenden standardmäßig symmetrische Schlüssel mit 128 Bit oder mehr.

AES-256 bietet 256-Bit-Sicherheit gegen klassische Angriffe und eine effektive Sicherheit von 128 Bit gegen Grovers Quantenalgorithmus. Die Verwendung symmetrischer Schlüssel mit 256 Bit stellt sicher, dass die Verschlüsselung selbst bei Verfügbarkeit leistungsfähiger Quantencomputer mit einer Stärke von 128 Bit sicher bleibt. Deshalb stellen staatliche und militärische Anwendungen, die einen langfristigen Datenschutz erfordern, bereits jetzt auf symmetrische Verschlüsselung mit 256 Bit um.

Die Sicherheit von RSA basiert auf der Schwierigkeit, große ganze Zahlen zu faktorisieren. Faktorisieren ist ein einfacheres mathematisches Problem als das Durchprobieren eines symmetrischen Schlüssels per Brute Force. Deshalb benötigt RSA für eine gleichwertige Sicherheit deutlich größere Schlüssel. Ein 2048-Bit-RSA-Schlüssel bietet nur etwa 112 Bit Sicherheit. Ein 3072-Bit-RSA-Schlüssel bietet ungefähr 128 Bit Sicherheit. Für dieselbe Sicherheit wie AES-256 wäre ein RSA-Schlüssel mit etwa 15.360 Bit erforderlich.

Elliptische-Kurven-Kryptografie erreicht durch die Ausnutzung der mathematischen Schwierigkeit des diskreten Logarithmusproblems auf elliptischen Kurven dieselbe Sicherheit wie RSA mit deutlich kleineren Schlüsseln. Ein 256-Bit-ECC-Schlüssel (etwa P-256 oder Curve25519) bietet ungefähr 128 Bit Sicherheit und entspricht damit einem 3072-Bit-RSA-Schlüssel. Kleinere Schlüssel ermöglichen schnellere Berechnungen und kleinere TLS-Handshake-Nachrichten, weshalb ECC für leistungssensitive Anwendungen vorzuziehen ist.

Die NIST Special Publication 800-57 ist der maßgebliche Leitfaden für die Verwaltung kryptografischer Schlüssel. Sie legt fest, welche Algorithmen und Schlüssellängen auf den jeweiligen Sicherheitsstufen zugelassen sind, wie lange Schlüssel vor einem Schlüsselwechsel verwendet werden sollten und welche Anforderungen für die Speicherung und Vernichtung von Schlüsseln gelten. Die Befolgung von SP 800-57 stellt sicher, dass kryptografische Entscheidungen den staatlichen Standards entsprechen und bei Compliance-Prüfungen begründet werden können.

Der gängigste Vergleich lautet: 128 Bit symmetrische Sicherheit (AES-128) bieten ungefähr dieselbe Sicherheit wie 3072-Bit-RSA oder 256-Bit-ECC. Der Grund ist, dass symmetrische Schlüssel durch Brute Force mit exponentiellem Aufwand geschützt sind, während asymmetrische Schlüssel durch mathematische Algorithmen mit subexponentiellem Aufwand geschützt werden. Der Unterschied bei den Schlüssellängen spiegelt die unterschiedliche Schwierigkeit der zugrunde liegenden mathematischen Probleme wider.

Die Bitsicherheit ist aussagekräftiger als die reine Schlüssellänge. Wenn ein System eine Sicherheit von 128 Bit besitzt, bedeutet das, dass für sein Brechen unabhängig vom verwendeten Algorithmus ungefähr 2^128 Operationen erforderlich sind. Ein 2048-Bit-RSA-Schlüssel bietet 112 Bit Sicherheit. Ein 128-Bit-AES-Schlüssel bietet 128 Bit Sicherheit. Der Vergleich von Schlüssellängen verschiedener Algorithmen ohne Berücksichtigung der Bitsicherheit führt zu falschen Schlussfolgerungen über ihre relative Stärke.

Daten, die heute verschlüsselt werden, müssen während ihrer gesamten Einstufungsdauer sicher bleiben. Eingestufte Regierungsdokumente müssen möglicherweise jahrzehntelang vertraulich bleiben. Es reicht nicht aus, die Schlüssellängen ausschließlich anhand der heutigen Rechenleistung zu wählen: Schlüssel sollten so dimensioniert sein, dass sie Angriffen durch künftige Hardwareverbesserungen und potenzielle Quantencomputer widerstehen. Eine großzügigere Schlüssellänge verursacht nur geringe Kosten, bietet aber einen erheblichen Schutz für die Zukunft.

Welche Schlüssellänge bietet ungefähr dieselbe Sicherheitsstärke wie AES-128?

Der Sicherheitsparameter lambda gibt das angestrebte Sicherheitsniveau in Bit an. 80 Bit gelten als veraltet, 112 Bit sind das Minimum, 128 Bit sind der Standard und 256 Bit bieten Reserven für die Post-Quanten-Kryptografie. Für eine gleichwertige Sicherheit benötigt RSA deutlich größere Schlüssel als symmetrische Algorithmen: 3072-Bit-RSA entspricht AES-128. ECC erreicht dieselbe Sicherheit wie RSA mit deutlich kleineren Schlüsseln. Beim Vergleich von Algorithmen ist die Bitsicherheit aussagekräftiger als die reine Schlüssellänge.