Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von Trint und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/365 Danke!
Ja, herzlichen Dank!
Es freut mich wirklich, dass so viele
Leute beim sehr technischen
und noch schlimmer auch teilweise
mathematischen Vortrag da sind.
Und um gleich mal was Hacker
Launiges zu sagen, ist es auch ein gutes
Ding, weil
ich habe in einigen Vorträgen
im letzten Jahr relativ deutlich gesagt
Kryptographie kann das garantieren, was
die Regierung uns nimmer bieten können,
nämlich Schutz der Privatsphäre.
Also dieser alte Hacker lyrIch, dass man
Sachen in die eigene Hand nehmen muss,
wird im Moment von der Realität in einer
relativ schmerzhaften Weise kommuniziert
und wie auch schon im
Eröffnungsvortrag genommen.
Ich Wir nehmen das durchaus mit Freude
zur Kenntnis, dass immer mehr US-Firmen
jetzt dazu übergegangen sind, z.B.
Ende zu Ende Verschlüsselung anzubieten,
was das Spiel ändert.
Nochmal zur Erinnerung Wenn ein Ende zu
Ende, wenn wir Ende zu Ende
Verschlüsselung haben, dann ist diese
Methode. Ich halte ein
eine eine Antenne in den
in den Äther. Oder ich gehe an das
Glasfasern, höre alles ab nicht mehr
möglich. Angriffe müssen dann wirklich
auf die Endgeräte vorgenommen werden.
Das ist auch noch keine große Sicherheit,
aber es ist besser als diese massenhafte
Überwachung.
Dieser Vortrag wird relativ voll sein,
weil ich eigentlich fast alle
Gebiete der Kryptographie vielleicht ein
kleines Update gibt,
was jetzt nach einem Jahr
Snowden da zu beachten
ist. Es sind glaub ich einige ganz
interessante Details, die
ich noch daher präsentieren will.
Also ich werde ganz kurz auf symmetrische
Verfahren eingehen.
Hash Funktion eine Sache, die uns
wahrscheinlich noch länger beschäftigt,
die leider, obwohl jetzt ein bisschen
mehr Interesse für dieses Thema
da ist, immer noch etwas stiefmütterlich
behandelt wird.
Wir werden Public Key verfahren und
elliptische Kurven ansehen.
Da gab es ja gestern auch einen sehr
interessanten Tork.
Wir werden das, was in der Ankündigung
war auch Post Quantum Kryptographie
uns mal überlegen was bedeutet das, wenn
wirklich Quantencomputer
in die Anwendbarkeit gehen?
Ich hab jetzt nochmal nachgelesen
Die TB war der Meinung, dass mit
mittlerer Sicherheit bis 2025
und mit hoher Sicherheit bis 2030
Quantencomputer relevant werden können.
Und das ist, wenn man sich
vor Augen hält, dass wir Geheimnisse
schützen, die vielleicht 30, 40 Jahre
halten müssen.
Ein bisschen problematischer Sache, also
ganz interessant über die Lebenszeit
von Crypto Algorithmen war die Diskussion
im Bereich ieS.
Da wurde gesagt, auch von englischen
Wissenschaftlern, dass das englische
Recht zum Beispiel bei In-vitro-Fertilisation
verpflichtet, dass der Name des Spenders
irgendwie bis zum Lebensende des Kindes
zu greifbar sein muss oder aber auch
geheim gehalten werden will, sodass sie
teilweise mit 150 Jahren
Laufzeit wirklich rechnen müssen.
Also wird die juristische Anforderung,
die für uns Kryptographie natürlich
auch schon sehr ambitioniert sind, weil
auch wenn wir uns bemühen, also ganz
die Zukunft voraussagen.
Das ist selbst für Mathematiker mitunter
relativ schwierig.
Der Punkt, der Punkt, der mir gute Laune
macht, ist einfach, dass es
fortgeschrittene Protokolle gibt,
die auch immer mehr eingesetzt
werden.
Also Protokolle, die wirklich
überraschende Eigenschaften haben, also
z.B. bekannteste ist vielleicht das OTR
Protokoll in Klapper, das garantiert,
dass wir wissen, dass eine Nachricht von
jemandem kommt, aber
diese Nachricht nicht gegen jemanden
verwenden können.
Also wir wissen während der
Kommunikation, dass es von diesem
Absender kommt.
Nach der Kommunikation wird der
Meck Schlüssel veröffentlicht, so dass
niemand vor Gericht gezerrt werden kann
für das, was er gesagt hat.
Das sind irgendwie soziale Anforderungen
an Protokolle, die man sehr schön krypto
graphisch adressieren kann.
Und da möchte ich auch ein paar Beispiele
machen.
Beginnen wir bei symmetrischen
Kryptographie. Das ist relativ einfach
zu zusammenzufassen.
Kefir ist wohl offensichtlich
kaputt. Also das haben wir irgendwie
vermutet.
Aber inzwischen können wir sagen, dass
auch in der Industrie Se4 massiv
zurückgedrängt wird.
Eine Industrie kompatible
Empfehlung ist immer noch a ist 256
Bit zu verwenden.
Wenns wirklich kritisch wird, dann kann
man auch durchaus überlegen,
2 Cypher zu benutzen.
A ist und hufig z b und
das ist eine Konstruktion.
Die gabs vor
über 10 Jahren bei Crypto Phon
gabs auch als Option bei TrueCrypt.
Das ist eine Konstruktion für wirklich
Paranoide.
Das sind Konstruktionen, die wirklich
jede Art von Angriffen unheimlich
stark erschweren.
Und insofern kann man sich das angucken.
Hier ist es relativ
wichtig, sich klarzumachen, dass wenn
man doppelt verschlüsselt, man doch
überlegen soll, wie.
Macht. Es gibt ein interessantes Paper
von Maurer über die Wichtigkeit
zuerst.
Der erste Verschlüsselungsverfahren zu
sein. Man kann zeigen, dass eine
Sicherheit sehr stark von einem ersten
Vorverfahren in einer Kaskade abhängt.
Der Hack, den wir uns als Hacker überlegt
haben Wenn man eine kommunikative
Verknüpfung haben Abo A plus
B gleich B plus A ist, dann ist
es egal, wer als erstes ist.
Wenn man eine kommunikativ kommunikative
Verknüpfung machen, dann haben wir
wirklich beweisbar die Sicherheit
des stärkeren Verfahrens.
Oder ein Angreifer muss halt beide
brechen.
Wie gesagt asymmetrische Kryptographie,
relativ wenig Neues.
Spannender ist es im Bereich Hash
Funktion SHA 1 Dass das praktisch
angreifbar ist, ist auch eine Sache.
Da können wir unsere CCC Vorträge
von vor 8 9 Jahren irgendwie zitieren.
Nicht besonders aufregend.
Aufregend ist die Tatsache, dass es immer
noch relativ massiv im Einsatz ist.
Und insbesondere bei neuen rastet
Computing STANDARD.
Zwar markiert als keine gute Idee,
aber ihr dürft es noch weiter benutzen.
Das ist natürlich der Alptraum.
Sie sind ein Hersteller von Hardware.
Sie haben die SHA 1 Funktion
schon fertig.
Und dann kommt der Kryptographie und
sagt, wir sollten es nicht benutzen.
Dann sagt natürlich Controlling dürfen
wir es benutzen, kostet nix, dann machen
wir es weiter.
Also wenn in den STANDARD weiterhin die
Verwendung von MD5 noch schlimmer.
Oder SHA 1 erlaubt, ist das
in der Realität eine drastische
Sicherheitsproblem.
Naja, was verbinden wir, wenn wir sicher
heißen wollen, verwenden wir im Moment in
der Regel SHA 2 zwar SHA
256 da ist allerdings
ein bisschen bitter. Das kommt auch
offiziell aus dem Haus NSA.
Es ist ähnlich konstruiert wie SHA 1
und bei dem Wettbewerb, der jetzt für
SHA 3 stattfand, war ein zentraler
Punkt von allen Kandidaten in die Runde,
dass er ganz anders konstruiert sind.
Also insofern SHA 2 zwar
SHA 256 das wird im Moment massiv
benutzen ist durchaus eine Sache, die
man etwas kritisch sehen sollten.
Besser sieht die Situation aus bei
SHA 3, aber das ist wie gesagt ganz ganz
ganz neu.
Es gab einen nachvollziehbaren
Auswahlkommission Prozess analog
von dem Auswahlprozess von IS.
Es ist eine neue Konstruktion.
Das bedeutet, die ganzen alten Probleme,
die man in alten Konstruktionen haben wir
nicht. Und wir freuen uns jetzt als
Wissenschaftler da jetzt neue Probleme zu
finden.
Es ist durchaus nachvollziehbar von guten
Leuten gemacht, aber es ist halt ganz neu
und deswegen halt auch eine Sache, die
etwas kritisch ist. Ich hab dann noch
eine freundliche Forderung an das NIST
nicht gehabt, eine Tendenz diese Crypto
Verfahren nochmal zu optimieren.
Leute, das sind Leute, die gerade den
Wettbewerb mit allen Kryptografie auf der
Welt gewonnen haben und jetzt kommen
in den US Government Mitarbeiter,
die meinen Ja, aber wir wissen es besser,
wir können schneller machen.
Keine gute Idee.
Und auch die Autoren waren
extrem verärgert und das NIST
hat dann auch auch den
Erfolg unseres politischen Drucks da
deutlich zurückgerudert.
Was haben wir für Workaround?
Naja, man kann das machen, was man
als Kryptographie macht.
Wenn man irgendwie unsicher ist, nimmt
man halt mal die größere Bazooka.
Also nimmt man vielleicht nicht die SHA
256, sondern wirklich die SHA
512.
Man kann sogar sagen, vielleicht ist es
sogar eine bessere Idee, selbst wenn man
nur 256 Bit braucht
die Scharz 512 zu nehmen
und dann nur 256 Bit die
Niedersetzen höherwertig zu verwenden.
Hintergrund ist scharz 512
macht mehr Runden und etwas
vereinfacht gesagt sind mehr Runden
bedeuten in aller Regel einen höheren
Sicherheit Spielraum oder der andere
Ansatz, den ich eigentlich ganz amüsanter
finde. Ich SHA 256 zu benutzen,
aber zu sagen naja, wir trauen es nicht
und dann machen wir halt russischer
Raumfahrt Technologie.
Wenn ein Balken nicht reicht, dann machen
wir halt zwei Balken nebeneinander
und das erhöht drastisch die
Sicherheit. Auch hier haben wir das
damals bei Krypto schon so gemacht und
es hat mich eigentlich gefreut und auch
ein Grinsen induziert, dass Bitcoin,
die sehr auf Hesch Funktionen
basieren, auch in allen Konstruktionen
hergegangen sind und SHA 256
grundsätzlich mal gemacht haben.
Wenn ja, da reingucken in die Protokolle,
da habt ihr irgendwie das Gefühl, das
sind Leute, die waren sich unsicher, ob
sicher ist. Dann machen wir noch einen
zweiten Balken Ring.
Ich glaube das ist gar nicht so eine
clevere Lösung.
Andere Punkt ist, wenn ich auch mehrfach
anrege. Wir können verschiedene Hash
Funktion verwenden, auch hier, wo das
interessanterweise in Bitcoin verwendet
die Kontonummer generieren, zu der man
dann später nochmal ganz kurz kommen
wird mit SHA 256 Reib
gemacht.
Hier ist ganz interessant, dass man eine
Sache vom US-Geheimdienst nimmt.
Es Reib ist von dorthin entwickelt
wurde, hat beim BSI gearbeitet.
Also man sagt also wenn man Geheimdienst
nicht vertraut, dann nimmt man halt beide
und kombiniert so, dass
man nicht die Sicherheitsprobleme von
beiden erbt.
Also man muss ein bisschen aufpassen.
Aber Bitcoin hat es im Prinzip
richtig gemacht.
Also diese ich sage mal russische
Raumfahrt. Tish Nichts davon.
Das sind die Sachen, wo man sagt Okay,
man können sie sehr elegant
und sexy machen oder stabil, dass es
hält.
Und wie gesagt, Bitcoin, da geht
es irgendwie um Geld. War die
Entscheidung, dass man irgendwas
Langweiliges machen, was aber sehr stabil
ist, glaube ich auch eine gute
Entscheidung, um da früheres Vertrauen zu
induzieren.
Also sämtliche Angriffe gegen SHA 256
werde man Bitcoin mit einem Grinsen
beantwortet. Ja, aber dann Hesemann
nochmal und dann viel Spaß.
Dann haste irgendwie die nächste an
Krebs Sachen, die dann die Sache nochmal
deutlich schwerer machen.
Das ist glaube ich eine relativ gute
Idee. Und das ist
auch eigentlich viel von der technischen
Seite. Sehr schön.
Wenn man z.B. die Sicherheit von einem
Programm Paket macht, dann ist es
durchaus sinnvoll neben SHA
256 auch das zu nehmen, was
noch rumliegt, das man dann
möglicherweise im D5 noch dahinter
macht. Was ist ein Angreifer muss
irgendwie wackeln, um dann bei Geschah
255 was zu
erreichen und bei jedem Wackeln wackelt
es auch durch MD5 durch.
Also diese Konstruktion verschiedene
Funktionen nebeneinander zu schreiben,
was auch bei einigen Software Paketen
gemacht wird, ist definitiv vom
Engineering Standpunkt eine gute
Idee.
So nach den Hauptfunktionen kommen wir zu
den spannenderen Sachen.
Wer war denn gestern in dem AEC talk
h hervorragend?
Ich war ja kurz davor irgendwie
jetzt ein lustiges
Bettle über unterschiedliche Basis
Darstellungen zu machen.
Aber ich glaube bei 30
Minuten muss das relativ kurz kommen.
Mit anderen Worten, ich verbindet hier
eine andere Darstellung
als TGB und Tanja
Lange nehme ich die klassische weier
Straß Form.
Es bedeutet, es ist eine Kurve.
Das sind also Punkte in einer in
in der normalen Ebene, die die
Eigenschaft haben, ein Quadrat
gleich x hoch 3 plus
a x plus B mit
verschiedenen Anforderungen an
A und B.
Hier ist nochmal der erste Ding, der
Respekt ein richten sollte.
Also diese Bedingung ist für Mathematiker
relativ einfach nachzuvollziehen.
Aber es zeigt, dass man bei der Auswahl
von Parametern darauf achten muss, welche
Kurve man kriegt, dass man keine
Singularitäten kriegt oder keine Kurven,
die sich etwas kOhm verhalten.
Hier eine kurze Bemerkung Da hab ich ein
bisschen andere Meinung als
Bernstein und Lange.
Es ist durchaus.
Richtig zu sagen, dass möglichst
die Implementierung möglichst deutlich
entlastet werden sollen.
Aber der Angriff, den DTTB gezeigt
hat mit einem Punkt, der nicht auf der
Kurve liegt, ist ehrlich
gesagt sehr trivial, genauer gesagt mit
einer einzigen Programmteile zu
verhindern.
Der Test, ob in Kurven Punkt, der uns
jetzt präsentiert wird auf der Kurve
liegt, besteht einfach die X Koordinate
und die Koordinate in X und
Epsilon einzusetzen und schauen, was
da rauskommt.
Mit anderen Worten, dieser Kurven Test,
den Bernstein als sehr problematisch
angesehen hat und große Freude ausge
löst, hat bei der Äußerung, dass die
Implementierung sich nicht darum kümmern
müssen, wenn sie seine tollen Kurven
verwenden.
Ich glaube, er hat bessere Argumente für
seine Darstellung als das
Vermeiden einer einzigen Zeile.
Und um nochmal ganz klar zu sagen
es ist gutes Ingenieurinnen Design
geht die Parameter, die man von
außen kriegt, zu testen.
Und wenn Mathematiker dann sagen Bitte
testet es, dann ist es eine gute Idee,
dass in der Regel zu tun.
Also nochmal, wenn da dringend stehe ich
teste bitte, ob die Parameter auf der
Kurve sind, gewöhnen wir uns das als
Implementierung an!
Wobei ich natürlich mit der mit der
generellen Konstruktion, dass wenn wir
Mathematiker schlechte Implementierung
verhindern können, das auch verhindern
sollten. Durchaus mit die
Bands einer Meinung bin.
Aber nochmal ich halte es durchaus
für sinnvoll, wenn man sich klarmacht,
dass dieses Testen, ob nicht ein Punkt
auf der Kurve ist, eine einzige
Programmteil ist es bitte doch drin
zu lassen.
Kommen mal zur elliptischen
Kurve. Ich hab da ein schöneres Bild aus
Wikipedia als dieses Urbild.
Hier sehen wir eine Kurve ganz normal.
Das sind die Punkte, die diese Sachen
machen und die Idee ist einfach relativ
schön. Der Punkt Verknüpfungen zu
definieren, die irgendwie geometrisch
gerechtfertigt ist.
Und die Punkte kann man so machen, indem
man zwei Punkte einfach verbindet.
Man nimmt den Schnittpunkt mit der Kurve.
Das ist geometrisch nachvollziehbar mit
ein bisschen Mittelstufe.
Mathematik kann man auch ausrechnen,
dass es da auf jeden Fall
eine einen Schnittpunkt geben muss.
Zwischen der Gerade und der Kurve muss
man einfach die Gleichung da setzen und
das spiegelt man dann auf der x-Achse
oder vornehmen ausgesagt.
Man nimmt das Inverse bezüglich irgendwie
dieses Punktes 0, das ist die
geometrische Präsentation und
da kann man zeigen, dass da die
Eigenschaften einer mathematischen Gruppe
sehr einfach zu erzeugen sind.
Nochmal das ist das Bild im normalen
reellen Raum.
In der Praxis verbinden wir natürlich
diskrete Sachen in Computern,
da ist keine grafische Darstellung.
Ich wollte die jetzt hier auch nur mal
zeigen, um die Formeln, die nachher
verwendet werden, ein bisschen
zu motivieren.
Also um es mal ganz schön mathematisch
hinzuschreiben diskrete Logarithmus
Problem auf einer durch Punkt Additionen
gebildeten zyklischen Gruppe eines
Generator Punkts auf einer elliptischen
Kurve mit einem über einem endlichen
Körper. Es ist immer schön, wenn man das
bei nicht Hackern und nicht Informatikern
zu beobachten, wie die Gesichter sich
bei der ersten Zeile und der zweiten
Zeile und der dritten Zeile ändern.
Also kurz wir machen das Problem das
Meer mit dem Meer irgendwie bisher
mit normalen Zahlen arbeiten
auf einer relativ interessanten
mathematischen Struktur.
Das ist eigentlich die Hauptidee, die wir
haben. Und basierend auf
dieser Hauptidee, sagen
wir dann könnte es unter Umständen
deutlich sicher sein.
Naja, ich hab jetzt vier Punkte,
die ich doch mal zu bedenken geben will.
Das erste ist ein generisches Problem.
Wenn wir Verfahren mit dem sogenannten
diskreten Logarithmus Problem verwenden,
dann haben wir das Problem,
dass wir bei jeder Signatur
in neuen Zufalls Werte brauchen.
Das ist bei Hackern natürlich
interessant. Warum?
Es gibt ein jahrzehntelanger Kampf
zwischen Smartcard Hackern und Smartcard
Herstellern.
Das wird teilweise auf der atomaren und
Support Art Ottomanen Ebene ausgetragen.
Im CCC Berlin steht so ein
Elektronenmikroskop.
Keine Ahnung was die jungen Leute damit
machen. Aber da kann man irgendwie halt
wirklich Atome hin und her schubsen.
Und das ist natürlich
ein Kampf.
In der Regel ist es natürlich deutlich
einfacher den Zufallsgenerator zu
manipulieren. Und wenn man jetzt hier
schon mal in einem Hacker Bereich sind.
Es reicht da einfach die Zeit nochmal
zu wiederholen. Also das einfach wenn
sich ein Wert wiederholt, dann knallt es
gewaltig. Und hier hab ich jetzt auch ein
bisschen mathematische Zahlen, aber
das ist aus dem Handbook erbleicht.
Kryptographie 1997.
Das ist frei im Netz Toolbar und
das Interessante ist, dass dieser Angriff
der Hoax Praxis irrelevant ist, den
Graphen irgendwie peinlich ist.
Also diese Sicherheitsprobleme stehen
nicht bei DSA, sondern nach
zwei verwaisen bei diesen allgemeinen
Signatur Bereich auch nicht als
Hauptpunkt bitte passt da auf, sondern
als Note 66, also
als eine der letzten Bemerkungen.
Und das ist natürlich auch ein Zeichen,
dass Mathematiker und Implementieren ein
bisschen stärker miteinander reden
sollen, weil es wirklich ein drastisches
Problem das ist ein drastisches
praktisches Problem. Ich wurde am 27.
C3 gezeigt wurde die Konsole
von PS3 gehackt?
Genau mit dem Problem.
Ich werde jetzt keinen Witz machen das
damals keine Nordkoreaner beteiligt sind,
sondern gleichen
Schritt weiter gehen. Und da danke ich
nochmal DTB weil das war in seiner
vorliegt. Das indisches Problem hatten
wir mit Bitcoin.
Bitcoin hatte einen kaputten Java
Zufallsgenerator und es
gab dann erste Kontobewegungen,
die nicht autorisiert waren aus der
Richtung.
Also ist es eine Praxis irrelevantes
Problem. Die PS3 ist damit hochgenommen
worden. Bitcoin ist teilweise oder
mittlern Implementierung sind adressiert
werden und im Bereich der Hardware
kann ich ehrlich gesagt nicht besonders
gut schlafen, wenn ich mir vorstelle,
dass jetzt elliptische Kurven und
dieses ganze elliptische Kurven
Kryptographie basiert auf dem diskreten
Logarithmus Problem an immer mehr Stellen
da sind. Also. Vereinfacht gesagt.
Wenn ich. Im elektronischen.
Sowas sind elliptische Kurven.
Wenn es mir gelingt.
Ich muss gar nicht an den gesicherten
Schlüssel ran. Ich muss einfach einen
Zufallsgenerator reinkommen und
da zweimal denselben Wert machen.
Ich muss überhaupt keine großen Mystikern
machen. Dann springt der Schlüssel mir
schon in den Schoß.
Das ist kein gutes Ding.
Also das ist ein Problem.
Das wäre ich bis zu meiner Pensionierung
glaube ich schon. Widerholen, weil
irgendwie nicken die Leute immer und
bestätigen das und ignorieren das dann
weiter. Insofern das ist ein
Problem, das mir vielleicht
mal vielleicht gucke ich mir doch
mal den elektronischen Personalausweis
an..
Kommen wir zum zweiten Programm
und da hab ich auch irgendwie im
gestrigen Talk leider nichts Neues
gehört.
Das einzige was wir wissen ist, dass zwei
ultra coole Angriffs Algorithmen,
nämlich der oh verdammt.
Der Index.
Der Index Calcio Lust an der Zahl Körber
sib diesen super exponentiell
aber super Paulo Manal nicht übertragbar
sein.
Können wir dann aussagen?
Wir haben zwei Angriffe, die nicht
übertragbar sind, können wir dann sagen.
Dann gibt's nur gegnerische Angriffe.
Wir können die Struktur der elliptischen
Kurven überhaupt nicht nutzen.
Wir müssen irgendwie die Angriffe
machen, die immer gehen.
Die gehen würde, wenn wir jetzt in Crypto
Verfahren auf Basis von
von Nudelsuppe generieren würden, dann
würde es auch Genia Richtern angreifbar
sein. Also mit anderen Worten, wir
machen kürzere Schlüssel, weil wir davon
ausgehen, dass nur
generelle Angriffe da sind, ihn kurz
zu machen.
Wir sagen, es gibt nur diesen kleinen
Babys Steeb Algorithmus, der hat die
Komplexität von Oven Wurzeln.
Da möchte ich mal ein bisschen, ein
bisschen böse sagen, dass es im
Wesentlichen Geburtstags, Paradoxon und
Folklore, also das, was man in einer
einführenden Vorlesung zeigen kann und
zu meinen, dass es nichts anderes geht
als diese ultra einfachen Verfahren,
halte ich für relativ problematisch.
Auch problematisch ist, wenn man 256
mitmachen, haben wir schon, wenn gar
nichts falsch läuft, höchstens eine
Sicherheit von 128 Bit.
Kommen wir zu den ein bisschen spooky
Jahren Sachen. Und zwar was ist mit
Quantencomputern und Quantencomputer
ist relativ wichtig.
Das ist glaube ich doch Praxis
irrelevant.
Aus zwei Gründen.
Der wichtigste Grund ist da.
Es ist sogar schon in Big Bang Theory
mal kurz aufgeführt worden in dem Physik
Quiz.
Und der zweite Punkt ist natürlich
relevanter.
Die NSA hat erhebliche Mittel
darauf gebrochen und wer
die Foi die Formel sieht, sieht
das eine Komplexität von
O Log hoch.
3. Wirklich sehr gering ist also,
dass diese Angriffe sehr schnell gehen.
Das sind Angriffe. Zunächst mal der
Algorithmus für Factory sehen wir ein
bisschen genauer liest, findet auch, dass
es diskrete Logarithmus Problem
adressiert ist und auch das diskrete ob
die jetzt recht locker Rhythmus Problem
bei elliptischen Kurven.
Womit wir bei einem Hauptproblem sind
elliptische Kurven haben kürzere
Schlüssel. Das bedeutet, wir können
mit deutlich weniger Qubits, also Quanten
Bits die Sachen angreifen.
Bissel vereinfacht gesagt, wenns durch
Brüche im Bereich der Quanten
Kryptographie knallst deutlich schneller
bei diesen coolen elliptischen Kurven
verfahren als bei den langweiligen
ersah Verfahren nach Snowden
wissen wir genau, dass die NSA erhebliche
Mittel in diese Sachen wirft.
Und wenn man wirklich sagen, dass
da irgendwie Fortschritte kommen sollen,
müssen wir uns wirklich überlegen, wie
wir damit weitergehen.
Problem Nummer 3 Seitan Angriffe
wurde auch schon gesagt Programmierfehler
anfällig ist relativ lustig.
Da kann ich gleich auf meinen nächsten
Vortrag
verweisen.
Microsoft hat eine Zertifikats Apokalypse
in den letzten Wochen hingelegt, die
wirklich sehr unterhaltsam ist.
Und der ganze Mist ging los beim
Überprüfen einer elliptischen Kurven DSA
Signatur mehr zu den schmutzigen
Details in zwei Stunden in meinem
Vortrag zu Windows 8
Problem.
So, dann noch eine Sache.
Ich war so beeindruckt, dass die Tippi
ein paar Payton
Snippets präsentiert hat und ich bin auch
ganz stolz, dass ich mal demonstrieren
kann, dass ich eleganter, knapper und
sicherer programmieren kann als
DTTB.
Zugegeben, nur, wenn ich ein bisschen
mogeln. Aber der ernsthafte Teil
dabei ist Asa ist genau
das, was da steht. Sie haben eine
Message. Sie haben eine Message hoch Ehe.
Das ist auch bekannt.
Das einzige Mystique, die noch da ist,
ist irgendwie dieses.
Und nochmal das bedeutet, dass da einfach
deutlich weniger Raum für
Programmierfehler gegeben ist.
Es hat auch eine Reihe von interessanten
Eigenschaften.
Insbesondere bei der Signatur die
Signatur Generierung haben wir keine
komplette Kernschmelze, wenn da
irgendetwas bei dem Zufallsgenerator
etwas komisch drauf ist.
Nächstes Problem da hab ich
auch nur eine kurze Sache.
Ich bin nur mäßig begeistert über die
Patent Situation
in dem Bereich, insbesondere, dass
einige mathematische Trivialitäten
patentiert sind.
Also bei elliptische Kurven verwendet
ist in der Patent Hülle
ziemlich angekommen.
Und nochmal es hilft nichts, das
was ich als Mathematiker dauer facepalm
Was jetzt wieder patentiert worden ist,
das ist leider die Welt in der wir
leben und Bittermann deutlich das
Argument, dass Softwarepatente
wirklich keine gute Idee sind.
Dann zu dem.
Ganze Standardfrage Kann man den NIST
doch trauen, kann man den NIST Kurven
grauen, die von der NSA, die sagen ja
offiziell das sind unsere Dienstleister,
die haben sich da was überlegt.
Das wird sicher eine gute Idee sein.
Ganz interessant 160 Bit und SHA 1
für die Pseudo Random Curve.
Naja, will ich jetzt nix sagen,
aber der elliptische Kurven und Zufall
irgendwie hat, erinnert sich doch, dass
wir bei diesem elliptisch kurvte der
Miese um mit Generator
wirklich die NSA eh da erwischt
haben, relativ schnell.
Und auch das nicht erwischt haben, die
eine kaputte, boshafte, backdoor
offensichtlich trivialer Weise Burgtor
versehene Sache standardisiert hat,
und es ist auch bekannt, dass Assa
das nach einem 10 Millionen Vertrag auch
als STANDARD eingebaut sind.
Also elliptische Kurven und rundum, sagen
wir mal, hat es nicht zumindest eine
einschlägige Vorstrafen?
Und deswegen sollte man sich in der
Tat überlegen, dass da Alternativen da
sind.
Alternativen sind die Brillen Storm,
Brainpool, Polyphem.
Die sind auf verschiedenen Dingern,
verschiedenen Forschungs Sachen in der
Europäischen Union entwickelt worden.
Die Arbeiten von Bernstein und Lange
sind auch sehr interessant,
wobei einige Marketing artige
Präsentationen vielleicht gar nicht so
nötig sind. Ich glaube, das ist wirklich
eine sehr interessante
Arbeit. Ist ja da,
liefert hat und ich freue mich auch, dass
das Ihnen immer mehr Produkte
eingebrannten. Aber ist es weiterhin
erheblicher Forschungs und
Entwicklungsbedarf?
Da ist es jetzt knapp in der Zeit,
aber ich habe Bitcoin angekündigt,
deswegen will ich noch kurz was sagen.
Ein Kritikpunkt bei Bitcoin ist in der
Tat die Verwendung einer Kurve,
die von Sati Corny ist 256 Bit
Schlüssel Länge hat und die speziell
konstruiert wurde ist, damit
Geschwindigkeit da ist.
Und jetzt mal das kurze Quiz
Was fallt euch da auf?
Was ist denn da besonders schräg?
Ist gleich Null.
Richtig heißt gleich Null
nochmal.
Ich zucke bei dem Wort zusammen, aber es
heißt mathematisch So ist es eine
entartete Kurve.
Wir sparen uns ein Parameter.
Wir können deswegen schneller rechnen und
macht euch keine Sorge, es bleibt
trotzdem sicher.
Waadt.
Also.
Schuldigung nochmal ernsthaft formuliert.
Also ein aggressives Performance
optimieren und das
des Weg Nullen von Parametern
ist vielleicht nicht das, was man sich an
Sicherheitsforscher in erster Linie
wünscht.
Gut, kommen wir doch zum anderen Punkt.
Post bangenden Kryptographie gibt's erste
Arbeiten, die sind schon forschungs
mäßig interessant.
Insbesondere hilft basierter Verfahren
finde ich ganz spannend.
Aber ist es sehr große Entwicklungs
Aufwand noch nötig?
Und da sollten Leute auch mal Geld drauf
schmeißen. Auch hier arbeitet der
Kollege DTB sehr
interessanten Sachen und wie gesagt,
da möchte ich doch auffordern, da
durchaus nochmal ein bisschen Geld rein
zu schmeißen. Mathematiker sind
auch nicht so teuer wie andere
Leute. Insofern ist es glaube ich
ne gute Idee.
Lernen von Bitcoin nochmal
Bitcoin ueberlebt Quantencomputer.
Weitere Härtung sind durchaus
wünschenswert.
Interessanteste Idee ist es, das Konzept
des Hidden Publicis.
Das bedeutet, ich offenbar
meinen öffentlichen Schlüssel nur, wenn
ich die Überweisung mache.
Und dann kommen wir wirklich zu der
zentralen Sache.
Sicherheitshinweise Man sollte
nach jeder Transaktion ein neues Konto
einrichten. Warum?
Wenn man sein Publicis ex post hat,
kann hier angegriffen werden.
Wenn man den nur ex post
für eine Überweisung und dann das Geld
nicht mehr auf dem alten Konto ist, dann
sind die Angreifer natürlich sehr
praktisch eingeschränkt.
Also das was aus Datenschutzgründen
empfohlen wurde, immer neues Konto zu
machen, möchte ich hier nochmal ganz
deutlich aus Sicherheitsgründen
hinweisen. Die meisten, die
meisten Implementierungen
machen das jetzt noch gut.
Letzten Folien und vielleicht schon
ein bisschen schneller. Also Forschung
sollen wir im Bereich der Kurven
Erzeugung machen.
Wir sollten wirklich wahrnehmen,
dass es Advanced Ciccone PostScript
Splint Signaturen, Gruppen, Signaturen.
Wir können die algebraischen
Eigenschaften nutzen, um damit Rollen
basierte Sicherheit zu machen, genauer
gesagt halt Sicherheitszaun Schätzung
mathematisch zu untermauern.
Ein Beispiel, das auch sehr interessant
ist, ist, dass durch durchaus, dass
unsere politischen Forderungen im
drastisch Computing lange Zeit
direkt anonymes ATIS Thesen drin war.
Das bedeutet, man kann Zusicherungen auf
dem System Eigenschaften machen, ohne
damit die Privatsphäre
zu verletzen ist ein sehr fein
Granularität Identitäts Management.
Der Kollege Lux und ich haben 2006
eine Analyse gemacht auf der sängen
Konferenz. Das müsste auch noch online
sein. Die zeigt das durchaus, da
Parameter sind, wo man einstellen kann,
wie einfach es ist, die Identität
aufzudecken.
Also das bedeutet, wir können
mathematisch wirklich rechtliche
Sachen absichern.
Fassen wir nochmal zusammen
eine der schönsten Zitate ist irgendwie
wirklich von Edward Snowden.
Krypto arbeitet.
Es ist keine dunkle Geheimwissenschaft.
Es ist eine basisdemokratische Basis.
Schutz gegen die
dunklen Mächte der Überwachung
in der digitalen Welt.
Ein bisschen lyrisch
formuliert, aber durchaus nach zu
vollziehen. Und damit möchte ich
schließen. Wir müssen es implementieren
und aktiv beforscht.
Und ich glaube, das ist ein Donk, wo wir
der Welt wirklich Gutes tun können.
Vielen Dank für eure Aufmerksamkeit.