Moderne Blockchiffren

Substitution: Der 8-Bit-Block wird in zwei Nibbles zerlegt; jedes wird nach der festen, nichtlinearen Tabelle der S-Box ersetzt. Das verschleiert den Zusammenhang zwischen Schlüssel und Geheimtext — Konfusion.

Permutation: Die Bits werden nach festem Schema umgelegt, sodass jedes Nibble seine Bits auf beide Nibbles verteilt. In der nächsten Runde wirkt ein Eingangsbit so auf beide S-Boxen — Diffusion.

Schlüsseladdition: XOR mit dem Rundenschlüssel bringt den geheimen Schlüssel ein; ohne diesen Schritt könnte jeder die Runde umkehren, denn S-Box und Permutation sind öffentlich (Kerckhoffs).

S-Box: \(S(6) = \mathrm{A}\), \(S(9) = \mathrm{E}\). Permutation: links \(1010\), rechts \(1110\) im Reißverschluss \(1\,1\;0\,1\;1\,1\;0\,0\). XOR stellenweise ergibt den Geheimtextblock \(0110\,1110\).

Der Empfänger kennt \(K_1\) und führt die Schritte in umgekehrter Reihenfolge aus:

1. XOR mit \(K_1\) (selbstinvers): \(0110\,1110 \oplus 1011\,0010 = 1101\,1100\).
2. Umkehrpermutation — Positionen 1, 3, 5, 7 bilden das linke, 2, 4, 6, 8 das rechte Nibble: \(1010\,1110\).
3. Umgekehrte S-Box: \(S^{-1}(\mathrm{A}) = 6\), \(S^{-1}(\mathrm{E}) = 9\) → \(0110\,1001\), der Klartext.

Schritt 3 ist nur möglich, weil jeder Wert 0 bis F in der S-Box genau einmal als Ausgang vorkommt (bijektiv). Hätten zwei Eingänge denselben Ausgang, wüsste der Empfänger nicht, welcher Klartext gemeint war — die Entschlüsselung wäre nicht eindeutig.

Es kommen nur drei verschiedene Geheimtextblöcke vor: Block 1 (Dateikopf), \(X =\) 8AF28601… (Blöcke 2, 3, 5, 8) und \(Y =\) 7DF76B0C… (Blöcke 4, 6, 7). Im ECB-Modus gilt \(c_i = E_k(p_i)\) mit demselben Schlüssel — gleiche Geheimtextblöcke bedeuten also gleiche Klartextblöcke.

In einem Schwarz-Weiß-Scan sind die häufigsten Blöcke einfarbige Flächen: 128 weiße bzw. 128 schwarze Pixel. Der Schüler kann den Blöcken daher mit hoher Wahrscheinlichkeit „Hintergrund“ (häufigster Block) und „andere einfarbige Fläche“ zuordnen und aus der Lage aller Blöcke den Umriss des Formulars, der Schrift und der Unterschrift rekonstruieren — wie beim bekannten ECB-Pinguin. Den Schlüssel erfährt er nicht, und Blöcke mit individuellen Mustern kann er nicht lesen.

Weil alle Dateien denselben Schlüssel nutzen, sind \(X\) und \(Y\) in jeder Datei gleich; außerdem verraten gleiche Blöcke an gleicher Stelle, welche Scans auf demselben Formular beruhen.

def cbc_entschluesseln(bloecke, iv, D):
    klartext = []
    vorher = iv                  # c0 = IV
    for c in bloecke:
        p = D(c) ^ vorher        # D(c_i) XOR c_(i-1)
        klartext.append(p)
        vorher = c               # c merken, nicht p
    return klartext

Getestet mit AG-8 aus Aufgabe 1 als Blockchiffre (\(E\), \(D\) mit \(K_1\)) und IV \(= \mathrm{3C}\): Die Klartextblöcke 69 69 69 00 FF ergeben im CBC-Modus B2 D8 23 DF CA (im ECB-Modus dagegen 6E 6E 6E 42 BE), und cbc_entschluesseln liefert wieder 69 69 69 00 FF.

Bewertet werden: Startwert IV, richtige Formel (erst entschlüsseln, dann XOR), Merken des Geheimtextblocks, Rückgabe der Liste.

Pro: Innerhalb einer Datei beseitigt CBC das Problem aus a): Jeder Block wird vor dem Verschlüsseln mit dem vorigen Geheimtextblock verknüpft, gleiche Pixelblöcke ergeben verschiedene Geheimtextblöcke; der Umriss ist nicht mehr zu sehen. Der Aufwand ist gering, die Verschlüsselung bleibt AES-128.

Contra: Mit festem IV und festem Schlüssel wird jede Datei deterministisch verschlüsselt. Zwei Dateien mit gleichem Anfang (dasselbe Formular, derselbe Dateikopf) haben identische Geheimtextblöcke bis zum ersten Unterschied — ein Angreifer erkennt, welche Formulare übereinstimmen und ab welchem Block sie sich unterscheiden. Eine Datei, die zweimal gespeichert wird, ist als identisch erkennbar. Außerdem schützt CBC nicht vor unbemerkten Veränderungen des Geheimtexts (keine Integrität).

Urteil: Der Vorschlag ist eine deutliche Verbesserung gegenüber ECB, aber in dieser Form nicht ausreichend. Empfehlung: für jede Datei einen neuen zufälligen IV erzeugen und offen zusammen mit dem Geheimtext speichern (er muss nicht geheim sein); zusätzlich die Integrität sichern, z. B. mit einem Prüfwert bzw. einem Modus, der Verschlüsselung und Echtheitsprüfung verbindet. Vollständig ist ein Urteil, das mindestens einen Vorteil und den Nachteil des festen IV begründet und zu einer klaren Empfehlung kommt.