Summary

  • RFC 1750 unterschied zwischen statistisch überzeugenden Zufallsfolgen und einem Startwert, den ein Angreifer kaum erraten kann. Eine bekannte ungefähre Startzeit kann den Suchraum eines mit der Uhr gespeisten Generators stark einengen.
  • Die Autoren untersuchten Uhren, Hardwarekennungen, menschliche Eingaben und Paketankunftszeiten. RFC 4086 ersetzte die Empfehlung 2005 und ergänzte Quellen sowie Entropiepools.

Auf dem Bildschirm steht ein langer Schlüssel. Die Ziffern sehen aus, als hätten sie sich mit großer Mühe gegen jede Ordnung gewehrt. Ein Angreifer könnte nun den ganzen Schlüsselraum durchsuchen. Oder er schaut nach, wann der Rechner eingeschaltet wurde. Hat dessen Uhr den Startwert geliefert, beginnt die Suche bei einer Handvoll plausibler Zeitpunkte.

Diese Verschiebung des Blicks war die Pointe von RFC 1750 aus dem Dezember 1994. Softwaregestützte Kryptografie hielt Einzug in Netzwerke, Passwörter und Schlüssel benötigten geheime Zahlen. Die Autoren fragten nach den Umständen ihrer Entstehung. Für einen Gegner konnte es einfacher sein, diese Umstände nachzubauen, als die nominell riesige Zahl möglicher Schlüssel abzuklappern. Der schöne Endwert verriet wenig über die Breite seines Anfangs.

Ein Generator kann Folgen erzeugen, die in statistischen Tests glänzen. Trotzdem bleibt er berechenbar, sobald sein Anfangszustand feststeht. RFC 1750 führte eine öffentlich zugängliche CRC-Tabelle als Beispiel an: Ihre Zahlen mögen ordentlich verteilt wirken, doch jeder kann die Tabelle lesen. Die Frage der Sicherheit lautet deshalb nicht, ob eine Folge unregelmäßig aussieht. Sie lautet, was ein informierter Gegner bereits weiß.

Uhren boten sich als Startwert an. Sie waren vorhanden, schnell auszulesen und lieferten viele Stellen. Aus angezeigten Mikrosekunden folgt allerdings keine entsprechende Menge unbekannter Information. RFC 1750 beschrieb Systeme, bei denen niedrige Stellen wiederkehren oder Software künstlich fortgezählt. Hardware-Seriennummern konnten ebenso mehr verraten als verbergen: Herstellerfelder und Vergabestrukturen begrenzten die tatsächlich offenen Möglichkeiten. Ein Wert kann eindeutig sein und dennoch vorhersehbar.

Menschen und Netzwerke lieferten andere Spuren. Tastendruckabstände, Mausbewegungen und Ankunftszeiten von Paketen konnten unvorhersehbare Schwankungen tragen. Aber ein Tastaturpuffer konnte die interessanten Zeitabstände verschlucken; Eingaben konnten sich wiederholen; den Verkehr konnte ein Angreifer teilweise selbst beeinflussen. Entscheidend war nicht die poetische Bezeichnung der Quelle, sondern welche Schwankung das Programm wirklich erfasste und wer sie kontrollieren konnte.

Der Abschnitt über den Irrtum komplexer Verarbeitung traf einen verbreiteten Ingenieursreflex. Man nehme einen raffinierten Generator, füttere ihn mit der aktuellen Uhrzeit und lasse ihn Unmengen von Bits liefern. Wer das ungefähre Startfenster kennt, probiert die möglichen Zeitwerte und vergleicht die Ergebnisse. Die Ausgabe wird länger, die Liste der Eingaben bleibt kurz. Eine Druckerei kann tausend Exemplare herstellen; dadurch bekommt sie noch lange nicht tausend verschiedene Originalmanuskripte.

Ein zweites Gedankenexperiment griff auf eine damals große USENET-Datensammlung zurück, die auch dem Gegner offenstand. Das Herausgreifen von 32 Bytes verbarg unter diesen Voraussetzungen im Wesentlichen die gewählte Position, nicht den Inhalt der ganzen Sammlung. Für genau dieses Beispiel setzte RFC 1750 die Ungewissheit der Position bei höchstens rund 25 Bit an. Das war eine Rechnung mit Bedingungen aus dem Jahr 1994, kein Maßstab für beliebige heutige Datenbestände. Eine große öffentliche Quelle macht die Auswahl aus ihr noch nicht zu einem großen Geheimnis.

Die technische Arbeit zerfiel damit in mehrere Aufgaben. Unvorhersehbare physikalische oder äußere Vorgänge finden. Ihre Schwankungen tatsächlich aufnehmen. Verschiedene Beiträge sinnvoll mischen. Erst dann aus dem vorhandenen geheimen Zustand die benötigten Zahlen ableiten. Jede Stufe konnte etwas erhalten oder verlieren. Was am Anfang nie gesammelt wurde, ließ sich am Ende nicht durch zusätzliche Rechenkunst herbeizaubern.

RFC 4086 vom Juni 2005 löste RFC 1750 ab. Die Neufassung ergänzte Ringoszillatoren, Entropiepools und damals gebräuchliche Betriebssystemmechanismen. Zehn Jahre technische Entwicklung veränderten den Werkzeugkasten. Die unbequeme Eingangsfrage blieb: Woher kam die Unvorhersehbarkeit, bevor der Schlüssel glänzte? Wer sie beantworten kann, darf anschließend gern die Ziffern bewundern.