Sicherheit beurteilen

Nur Geheimtext (ciphertext-only), bekannter Klartext (known-plaintext), gewählter Klartext (chosen-plaintext). Der Mitschüler kennt den Geheimtext und dessen erste zehn Klartextbuchstaben: Es liegt ein Angriff mit bekanntem Klartext vor.

Die Folge BUEHNE|BUEH wiederholt sich nach sechs Stellen; da das Schlüsselwort höchstens zehn Buchstaben hat, lautet es BUEHNE. Probe: P + B = Q, R + U = L (17 + 20 = 37 ≡ 11).

N bis Z: \(210+506+272+272+1056+240+182+506+812+182+210+1406+72=5926\), also \(\sum n_i(n_i-1)=5340+5926=11\,266\).

\(I=\dfrac{11\,266}{511\cdot510}=\dfrac{11\,266}{260\,610}\approx0{,}043\).

Der Wert liegt deutlich unter dem deutschen Wert 0,0762 und nahe am Zufallswert 0,0385: Das Verfahren ist polyalphabetisch, die einfache Häufigkeitsanalyse scheitert.

Friedman: \(L\approx\dfrac{0{,}0377}{0{,}0432-0{,}0385}\approx8\). Die Schätzung liefert die richtige Größenordnung, trifft die tatsächliche Länge 6 aus b) aber nicht genau: Bei nur 511 Buchstaben (rund 85 je Alphabet) streut \(I\) merklich, und ein kleiner Fehler im Nenner \(I-0{,}0385\) verändert \(L\) stark. Gesamtaussage: Der Koinzidenzindex zeigt „polyalphabetisch, mittellanger Schlüssel“; die genaue Länge liefern Kasiski-Test oder — wie hier — schon ein kurzes bekanntes Klartextstück. Das Verfahren ist damit unsicher.

def koinzidenzindex(text):
    anzahl = [0] * 26
    n = 0
    for zeichen in text.upper():
        if "A" <= zeichen <= "Z":        # nur A–Z zählen
            anzahl[ord(zeichen) - 65] += 1
            n += 1
    if n < 2:
        return 0.0
    summe = 0
    for k in anzahl:
        summe += k * (k - 1)
    return summe / (n * (n - 1))

def mittlerer_index(text, laenge):
    buchstaben = ""
    for zeichen in text.upper():
        if "A" <= zeichen <= "Z":
            buchstaben += zeichen
    summe = 0
    for start in range(laenge):
        teiltext = buchstaben[start::laenge]  # jeder laenge-te
        summe += koinzidenzindex(teiltext)
    return summe / laenge

Tests: koinzidenzindex("Anna") liefert \(\frac{2+2}{4\cdot3}\approx0{,}333\), koinzidenzindex("SICHERHEITSLUECKE") liefert \(\frac{20}{272}\approx0{,}074\), koinzidenzindex("x") liefert 0.0. Wichtig ist, dass Nicht-Buchstaben weder gezählt noch in \(N\) eingerechnet werden und die Teiltexte aus dem bereinigten Text gebildet werden.

(1) 0,082 ist typisch deutsch (ein einzelner Text streut um 0,0762). (2) 0,040 liegt fast beim Zufallswert: Der Geheimtext zeigt insgesamt kaum Sprachspur. (3) Bei Länge 5 bleiben die Teiltexte zufällig — 5 passt nicht zum Schlüssel. (4) Bei Länge 8 steigt der Wert auf etwa die Mitte zwischen Zufall und Deutsch: Jeder Teiltext mischt nur noch zwei Alphabete — ein Hinweis, dass die Schlüssellänge ein Vielfaches von 8 ist. (5) Bei Länge 16 erreicht der mittlere Index den Wert des Klartexts: Jeder Teiltext ist mit einem einzigen Buchstaben verschoben, also Caesar-verschlüsselt. Die Schlüssellänge ist 16, jeder Teiltext lässt sich per Häufigkeitsanalyse knacken. (6) 0,039: Die AES-Ausgabe ist statistisch vom Zufall nicht zu unterscheiden.

Fazit: Der Gesamtwert (2) täuscht Sicherheit vor; erst die Zerlegung zeigt die Struktur.

Brute Force: \(26^{16}\approx4{,}4\cdot10^{22}\) ist tatsächlich größer als der DES-Schlüsselraum \(2^{56}\approx7{,}2\cdot10^{16}\), liegt aber weit unter \(2^{128}\approx3{,}4\cdot10^{38}\). Brute Force ist schon heute aufwendig, doch darauf kommt es gar nicht an.

Statistik: Die Messung zeigt (b): Mit dem mittleren Index findet man die Schlüssellänge 16; danach ist jeder Teiltext Caesar, und die Häufigkeitsanalyse liefert jeden Schlüsselbuchstaben. Bei rund 90 Buchstaben je Teiltext klappt das zuverlässig.

Klartext-Angriff: Der feste Anfang „LIEBEKUNDINNENUNDKUNDEN“ hat 23 ≥ 16 Buchstaben. Schlüssel = Geheimtext − Klartext liefert aus einem einzigen Brief sofort das ganze Schlüsselwort.

Handhabung: Weil das Schlüsselwort für alle Briefe gleich bleibt, sind mit ihm auch alle anderen Briefe offen.

Urteil: XVig ist unsicher; schon eine der drei letzten Schwächen genügt. Die Werbeaussage ist irreführend: Sie misst Sicherheit allein am Schlüsselraum und verschweigt Analyse und bekannten Klartext. Empfehlung: ein geprüftes Verfahren wie AES mit zufälligem 128-Bit-Schlüssel (Messwert 6) statt einer Eigenentwicklung — im Sinne von Kerckhoffs wird Sicherheit durch öffentlich geprüfte Verfahren erreicht. Vollständig ist eine Beurteilung, die mindestens drei Kriterien mit Bezug auf die Messwerte bzw. den Briefanfang prüft und zu einem klaren Urteil kommt.