Durch die Hintertür - Methoden der Kryptanalyse

Kryptographie ist die Lehre vom Verschlüsseln, Kryptanalyse die Wissenschaft davon, die Algorithmen und Protokolle zu knacken. Erst die Kenntnis kryptanalytischer Methoden erlaubt es, die Sicherheit von Verschlüsselungsverfahren einzuschätzen.

21.10.2003, 10:23 Uhr

Lesezeit: 23 Min.

Security

Von

Dr. Reinhard Wobst

Daten durch Verschlüsselung zu schützen, ist mittlerweile weit verbreitet. Wie man aber Verschlüsselung bricht, können sich anscheinend selbst IT-Fachleute oft nicht vorstellen. Es scheint zwei beliebte Extrem-Vorstellungen darüber zu geben: "Die Geheimdienste können sowieso alle Algorithmen brechen" oder "Ich habe mir ein ganz wildes Verfahren ausgedacht, das garantiert keiner knacken kann".

Die erste Ansicht ist genauso falsch wie die zweite. Leider sind Verfechter der zweiten Aussage oft deutlich hartnäckiger und richten sogar Schaden an, wenn sie katastrophal unsichere Verschlüsselungsprodukte (so genanntes "snake oil") als Stein der Weisen anpreisen. Um es vorwegzunehmen: Gegen moderne, jahrelang öffentlich untersuchte Algorithmen wie AES, 3DES und RSA können mit an Sicherheit grenzender Wahrscheinlichkeit selbst Geheimdienste nichts ausrichten. Sie werden nicht die Algorithmen selbst angreifen, sondern nach Schwachstellen in der konkreten Implementierung oder den Protokollen zum Schlüsselaustausch suchen.

Sichere Verschlüsselungsverfahren bauen nicht darauf, dass das Verfahren unbekannt ist -- für fast alle renommierten Verfahren sind die Algorithmen öffentlich verfügbar. "Der Feind kennt Dein System", schrieb Shannon schon 1949, und dieser Spruch ist nach wie vor aktuell. Geheimhaltung beruht auf Schlüsseln, nicht auf Verfahren. Bei renommierten Verfahren wie Blowfish oder AES ist der Algorithmus öffentlich bekannt und eben damit lässt sich beweisen, dass derzeit kein effektiver Angriff gegen diese Verfahren existiert.

Der Wunschtraum jedes Kryptanalytikers ist, aus möglichst kleinen Mengen Geheimtexts den Schlüssel zu rekonstruieren und damit gleich die gesamte Nachricht zu dechiffrieren. Dieser "Geheimtextangriff" führt leider in den seltensten Fällen zum Ziel, es sei denn, man kann die Brechstange ansetzen: Beim so genannten Brute-Force-Angriff werden einfach alle möglichen Schlüssel durchprobiert. Schlüssellängen von 40 Bit, entsprechend etwa 10¹² Möglichkeiten, bewältigt ein heutiger PC noch in realistischer Zeit. Bei jeder probeweisen Dechiffrierung wird getestet, ob sich ein sinnvoller Klartext ergibt. Genau genommen ist es also doch kein reiner Geheimtextangriff. Allerdings hat man in der Praxis immer ausreichend Kenntnis über die Art des Klartextes.

Spezielle Hardware wie Deep Crack [1] beweist, dass für finanzstarke Angreifer auch 56 Bit lange DES-Schlüssel keine Hürde mehr sind. Dies hatte dem 20 Jahre lang standardmäßig genutzten DES-Algorithmus endgültig das Genick gebrochen [2] Jedoch waren umsichtige Anwender schon längst auf 3DES mit einer Schlüssellänge von 112 Bit umgestiegen.

Eine Verdoppelung der Schlüssellänge bedeutet, dass die Anzahl der Schlüssel quadriert wird. Daher ist auch die naive Annahme falsch, dass das Knacken von 128-Bit-Schlüsseln eine reine Finanz- und Zeitfrage wäre: Mit hypothetischen Prozessoren im Terahertz-Bereich, die eine Billion Dechiffrierungen pro Sekunde ausführen könnten, bräuchte man etwa 10¹⁹ solcher CPUs, um alle Schlüssel binnen eines Jahres durchzuprobieren. Selbst wenn nur 1 Gramm Silizium pro Prozessor dafür ausreichen würde, entspräche die Gesamtmasse der Rechner ungefähr dem 10⁸-fachen der Erdmasse. Da Silizium nur im vergleichsweise dünnen Erdmantel vorkommt, besteht doch der Verdacht, dass diese Kryptanalyse schlicht am Rohstoffproblem scheitern würde (von Energieverbrauch und Arbeitskraft mal ganz abgesehen). Zum Brute-Force-Angriff auf 256 Bit müsste auch der utopischste Rechner bereits ein schwarzes Loch bilden.

Länge ist nicht alles

Den Kryptanalytiker jedoch beeindrucken große Schlüssellängen wenig, er sucht gezielt nach Schwachstellen. Ein simples Beispiel soll das verdeutlichen: Substitutionsverfahren, bei denen einfach ein Buchstabe durch einen anderen ersetzt wird, sind uralt und werden schon lange von Hobbykryptologen gebrochen. Wie das geht, wird in Edgar Allan Poes Erzählung "Der Goldkäfer" sehr gut beschrieben. Es ist ein statistischer Angriff: Das Zeichen, das den Buchstaben "e" ersetzt, wird (im Englischen wie im Deutschen) am häufigsten im Geheimtext vorkommen -- in der Erzählung war es die "8". Auch die nächsthäufigsten Buchstaben wird man mit einiger Sicherheit so noch erkennen können. Poes Kryptanalyse war jedoch intelligenter: Relativ oft kam im Text "88" vor, was die Hypothese, "e" sei durch "8" ersetzt worden, erhärtete, und oft stand am Ende eines dreibuchstabigen Wortes eine "8". Wahrscheinlich handelte es sich dabei um "the" -- und schon war die Codierung für "t" und "h" bekannt. So rekonstruierte der Analytiker Schritt für Schritt die Substitutionstabelle.

Aus naiver Sicht heraus ist der Angriff erstaunlich, denn bei einem Zeichensatz von nur 26 Buchstaben sind bereits 2⁸⁸ Substitutionstabellen möglich (26! = 4 · 10²⁶ = 2⁸⁸). Schlüssellängen von 88 Bit dürften heute noch Geheimdienst-resistent sein, aber kein Substitutionsverfahren, denn es verbirgt die Klartextstruktur kaum, und sowohl die Häufigkeiten einzelner Zeichen als auch die von Paaren und Tripeln lassen sich unmittelbar ablesen.

Poe beschreibt Handarbeit, ein Gefühl für die Sprache ist Voraussetzung. Heutige Kryptanalytiker würden vermutlich anders vorgehen. Sie würden Paare von fast nie aufeinanderfolgenden Buchstaben sammeln und bei Probe-Dechiffrierungen auf das Auftreten solcher "verbotener" Paare im erzeugten Klartext testen. Ein geschickt programmiertes Branch-and-Bound-Verfahren könnte die Entzifferung von nur wenig Dutzend Zeichen langen Geheimtexten in Sekundenbruchteilen ermöglichen.

So primitiv die Substitutionsmethode ist, so lehrreich ist ihre Kryptanalyse. Angreifer werden immer nach der schwächsten Stelle suchen. Eine feste Methode gibt es dafür nicht. Ist jedoch erst einmal ein Bit entziffert, folgt oft das nächste -- und dann ist es meist nicht mehr weit bis zum Erfolg. Deswegen werden Algorithmen schon beim ersten Anzeichen einer Schwäche verworfen.

"Selbstgebackene" scheitern oft daran, dass sie eben nicht eingehend geprüft wurden. Selbst ein erfahrener Kryptanalytiker, der weiß, wo sich typischerweise Schwachstellen befinden, kann alleine kaum alle finden. Die verwirrend komplizierte und trotzdem unsichere Pkzip-Chiffrierung (siehe Kasten) liefert ein schönes Beispiel hierfür.

Alles ist erlaubt

Bisher gibt es nur ein Verfahren, dessen Sicherheit beweisbar ist: Das One-Time-Pad, bei dem eine zufällige Bitfolge per XOR mit dem Klartext verknüpft wird. Die Methode hat allerdings zwei Nachteile: Erstens dürfen One-Time-Pads nur einmalig verwendet werden und zweitens muss die Bitfolge (der Schlüssel) genauso lang sein wie der Klartext. In der Praxis ist dieses Verfahren daher kaum anwendbar. An den Schwierigkeiten des "Schlüsselnachschubs" scheiterte der KGB nach dem zweiten Weltkrieg in den USA. Agenten tauschten untereinander ihre Pads. Das war ein grober Fehler. Wenn zwei verschiedene Texte mit dem gleichen Pad chiffriert werden, dann ergibt das XOR-Produkt beider Geheimtexte keinen "reinen Zufall" mehr, sondern hat Struktur. Auf diese Weise fand der damalige Vorläufer der NSA zunächst die kritischen Paare von Nachrichten heraus.

Damit besaßen die amerikanischen Geheimdienstler noch keine Klartexte, nur XOR-Produkte von Klartexten: C = P1 ^ P2. Nun konnten sie die Zickzack-Methode anwenden: Sie nahmen ein möglichst langes Wort, das beispielsweise in P2 wahrscheinlich auftreten würde, an und schoben es über C entlang. In bestimmten Stellungen ergab sich beim XOR mit C ein sinnvolles Stückchen Klartext aus P1, vielleicht "hite hou". Das könnte von "white house" stammen. Ergab das XOR von "white house" mit dem entsprechenden Stück von C ein sinnvolles Fragment von P2, konnte man damit fortfahren. Schritt für Schritt wurden so die Klartextportionen vergrößert. Im Zickzack sprang man dabei zwischen P1 und P2 hin und her. Genauso geht man übrigens vor, wenn Ausschnitte aus Shakespeares Werken oder von Bundestagsreden aus dem Internet als One-Time-Pad verwendet werden.

Diese Kryptanalyse brachte Julius und Ethel Rosenberg als Atomspione auf den elektrischen Stuhl, wobei ihre Schuld niemals eindeutig bewiesen wurde [1]. Das One-Time-Pad bleibt trotzdem hundertprozentig sicher -- wenn es denn richtig angewendet wird.

Klartext ist notwendig

Als 1977 der Chiffrierstandard DES verabschiedet wurde, bissen sich die besten Forscher die Zähne daran aus. Erst 1990 entwickelten die beiden israelischen Mathematiker Biham und Shamir die differenzielle Kryptanalyse, mit der DES erstmals schneller als mit Brute Force gebrochen werden konnte -- allerdings nur theoretisch. Der Gedanke dahinter ist folgender: Wenn man bei einem "ideal sicheren Blockalgorithmus" [3, 4, 1] in einem Klartextblock ein Bit ändert, dann müsste sich statistisch jedes der Bits im erzeugten Geheimtextblock mit genau 50% Wahrscheinlichkeit ändern, unabhängig vom verwendeten Schlüssel. In der Praxis kommt es jedoch vor, dass für bestimmte Bits die "Änderungswahrscheinlichkeit" im Geheimtext von einem bestimmten Schlüsselbit abhängt, etwa in der Art: Wenn man im Klartext die Bits 3, 11 und 45 gemeinsam ändert, dann ändert sich das Bit 17 im Geheimtext nur mit 49,999% Wahrscheinlichkeit, falls Bit 5 des Schlüssels gleich 1 ist, ansonsten mit 50%. Kann man dem Chiffrierer große Massen an ausgewähltem Klartext unterschieben, dann lässt die statistische Analyse Rückschlüsse auf einige Bits des verwendeten Schlüssels zu. Die restlichen Schlüsselbits ermittelt man per Brute Force.

Das Problem der Praxis ist, dass bei guten Verfahren der Unterschied zum "Idealverhalten" minimal ist und man riesige Mengen an Klar- und Geheimtext braucht, um an den Schlüssel heranzukommen. Konkret bei DES wären über ein Petabyte (1000 Terabyte) an gewähltem Klartext notwendig. Es nützt nichts, dass die anschließende Rechenarbeit schneller geht als bei Brute Force. Die Entdeckung der differenziellen Kryptanalyse war dennoch ein großer Fortschritt. Erstaunlicherweise war DES bereits von Anfang an gegen differenzielle Kryptanalyse optimiert -- offenbar von der NSA, die den Algorithmus damals für IBM "begutachtete". Es stellte sich heraus, dass jede Änderung der so genannten S-Boxen von DES (das sind spezielle nichtlineare Transformationen) einen schwächeren Algorithmus ergeben hätte. Die Entwickler des geplanten DES-Ersatzes FEAL hingegen kannten diese Art des Angriffs nicht.

Die Weiterentwicklung der Methode heißt lineare Kryptanalyse und wurde 1993 von Matsui veröffentlicht. Dabei verknüpft man ausgewählte Bits von Klar- und Geheimtext per XOR. Theoretisch müsste das Ergebnis für exakt 50% aller Schlüssel gleich 0 und für den Rest gleich 1 sein. Der Kryptanalytiker sucht Abweichungen von diesem Idealwert in Abhängigkeit von Schlüsselbits. Diese Methode ist deutlich leistungsfähiger: Zum Knacken von DES braucht man "nur noch" 70 Terabyte an ausgewähltem Klartext, und bei FEAL-4 lediglich 40 Byte (beim stark verbesserten FEAL-8 reduzierte sich die Zahl von 80 KByte auf 96 Byte).

In der Praxis lässt sich DES immer noch nur per Brute Force knacken, und gegen 3DES (drei DES-Chiffrierungen nacheinander, effektiv 112 Bit Schlüssellänge) spricht eher die sehr niedrige Geschwindigkeit als zu geringe Sicherheit bei Datenübertragungen.

Matsui stellte 1996 zwei Algorithmen unter dem Namen Misty vor, die erstmals vom Design her sicher gegen differenzielle und lineare Kryptanalyse sind. Eine Weiterentwicklung davon ist Kasumi, der in UMTS-Telefonen zum Einsatz kommt.

Der RC5-Algorithmus chiffriert in Blöcken zu 64 Bit. Die abgebildete Transformation wird zwölfmal hintereinander ausgeführt, jedesmal mit einem anderen Rundenschlüssel.

Wer Algorithmen entwickelt, muss auch differenzielle und lineare Kryptanalyse sicher beherrschen. Manchmal fällt das nicht so leicht. Das überraschend einfache Verfahren RC5 zum Beispiel (siehe Bild) nahm den Angreifern erst einmal den Wind aus den Segeln. Bits in 32-Bit-Wörtern werden zyklisch vertauscht; der Betrag der Rotation hängt dabei vom Klartext selbst ab und ist nicht vorhersagbar. Mit Mühe bewies man, dass differenzielle und lineare Kryptanalyse bei RC5 wenig fruchtet.

Dann hatten John Kelsey, Bruce Schneier und David Wagner (der Artikel findet sich auf der CD in [1]) eine sehr einfache Idee: Wenn "<<<" die Rotation um ein Bit nach links bedeutet, dann gilt für 32-Bit-Wörter x:

x <<< 1 ? 2x (mod 3)

Das heißt: Das um ein Bit rotierte Wort x lässt bei Teilung durch 3 den gleichen Rest wie 2x. Durch 3 teilbare Zahlen x bleiben also bei Rotation durch 3 teilbar -- das sind fast ein Drittel aller Zahlen. Bei den restlichen zwei Dritteln der Zahlen ist der Rest modulo 3 wieder der gleiche, wenn man sie zweimal nach links rotiert. Man folgert daraus, dass für zufällige x und n die Gleichung

x <<< n ? x (mod 3)

ungefähr mit Wahrscheinlichkeit 2/3 gilt.

Die datenabhängige Rotation, die den Kryptanalytikern soviele Kopfschmerzen bereitete, verwischt also doch eine Information nur ungenügend. Zusammen mit Computersimulation an einer Stelle, wo die Theorie nicht weiterführte, griff man eine Modifikation von RC5 an, die man für ebenso sicher wie RC5 selbst hielt. Glück gehabt, dass RC5 auf das richtige Pferd setzte! Als "Nebeneffekt" konnte das beim FireWire-Standard eingesetzte M6-Verfahren sogar praxiswirksam geknackt werden.

Algebraische Angriffe

In neuester Zeit gibt es Versuche, Algorithmen mit algebraischen Methoden anzugreifen: man stellt sie als sehr große, nichtlineare Gleichungsysteme dar, die zu lösen sind. Besonders spektakulär erscheinen solche Bemühungen bei AES, das sich erstaunlich einfach beschreiben lässt und daher schon Misstrauen weckte [2]. Die Fachwelt ist gespalten: Manche verwerfen die neuesten Forschungen als ungangbar, andere bezeichnen sie als sehr spannend. Fakt ist: Wenn solche Methoden greifen, dann stellen sie hocheffektive Geheimtextangriffe dar.

Einen praktikablen algebraischen Angriff gibt es gegen GSM-Mobiltelefone, die "auf Anforderung" (zum Beispiel von einem IMSI-Catcher!) vom mäßig sicheren A5/1-Algorithmus auf den bekannt unsicheren A5/2-Algorithmus umschalten. Die Klartexte werden bei GSM mit einer CRC-Prüfsumme gesichert, was eine zusätzliche Abhängigkeit darstellt. Die israelischen Mathematiker Barkan, Biham und Keller stellten kürzlich einen Angriff vor, der chiffrierte A5/2-Kommunikation bereits nach wenigen Hundertstel Sekunden Mithörens sowie einer Sekunde Rechenzeit entziffern kann [5]. Allerdings wurde auch A5/1 schon vor Jahren beunruhigend effektiv gebrochen [6] – zwei Minuten Mithören und eine Sekunde Rechnen auf einem PC mit zwei Festplatten zu je 73 GByte sind dazu notwendig. Dennoch beschränkt sich algebraische Kryptanalyse auf besonders "geeignete" Algorithmen; eine Anwendung beispielsweise auf DES oder Twofish erscheint nicht aussichtsreich.

Gemeine Tricks

Besonders kritisch verfolgen Kryptologen die Entwicklung bei asymmetrischer Kryptographie (Public-Key-Kryptographie), die genaugenommen nur auf zwei Prinzipien beruht: Der Schwierigkeit, den so genannten diskreten Logarithmus zu berechnen und die Faktoren des Produkts zweier riesiger Primzahlen zu ermitteln [3, 4, 1]. Die Forschung hier ist reine Mathematik und macht zwar Fortschritte, doch der große Durchbruch ist noch nicht in Sicht. Parallel dazu greift man kryptographische Protokolle an. Schon die geringste Unachtsamkeit hat auf diesem Gebiet katastrophale Folgen. Der Vorteil asymmetrischer Kryptographie ist allerdings, dass sich das schwächste Glied der Kette -- die Absicherung mittels Passwörter/Passphrasen -- bei richtiger Handhabung nicht auf die Netzsicherheit auswirkt (denn der private, asymmetrische Schlüssel sollte niemals über ein Netz laufen, auch nicht chiffriert).

Alle Versuche, asymmetrische Kryptographie auf andere Prinzipien als die beiden bekannten zu stützten, wurden bisher Opfer findiger Kryptanalytiker. Die geschätzte Zeit zum Knacken des Verfahrens NTRU-256 wurde in einem Vortrag auf der EUROCRYPT 2001 mit 658 Milliarden Jahren angegeben. Am gleichen Abend noch hatte sie sich auf 3 Minuten reduziert -- inklusive Vorführung der Software.

Wenn Algorithmen "zu sicher" sind, lassen sich Kryptanalytiker etwas anderes einfallen. In der Regel wird wenigstens ein Bestandteil eines Systems per Passwort geschützt. Dort setzt der Wörterbuchangriff an: Nicht alle 2¹²⁸ möglichen Schlüssel interessieren, sondern nur die wenigen Millionen oder Milliarden, die aus bekannten Wörtern und Begriffen der Alltagssprache nebst ihren Verballhornungen erzeugt werden. Wörterbuchangriffe sind nichts anderes als Brute Force auf wahrscheinlichen Teilmengen. Ein Paradebeispiel liefert die Verschlüsselungstechnik, die Microsoft für seinen LAN-Manager erfunden hat und die Windows-Server bis heute standardmäßig vewenden. Dort werden die Passwort-Hashes ohne "Salt" erzeugt, also ohne zufällige Bits, die man vor dem Hashen hinzufügt (ein Anfängerfehler, der schon vor 30 Jahren vermieden wurde). So ergibt jedes Passwort immer wieder den gleichen Hash. In der Folge können die Passwörter des LAN-Managers nach nur einmal auszuführenden Vorberechnungen in durchschnittlich 13 Sekunden gefunden werden [7].

Jeder Trick ist erlaubt. Bei privaten, stromchiffrierten RSA-OpenPGP-Schlüsseln kann ein Angreifer ein Bit verändern (der Schutz durch die CRC-Prüfsumme ist zu schwach). Das verändert einen der beiden Faktoren. Der Schlüssel wird so zum Produkt einer großen Primzahl und kleiner Primzahlen: Er lässt sich leicht faktorisieren. Schon ist der eine große Faktor bekannt und damit auch der andere. Der Angreifer muss dazu allerdings dem Besitzer einen so manipulierten Schlüssel unterjubeln. Mit der ersten Signatur, die das Opfer damit erzeugt, wird der alte private Schlüssel bekannt. GnuPG wie PGP prüfen inzwischen auf diesen Angriff [1].

Noch einfacher: In alten Smartcards, die einen geheimen DES-Schlüssel enthielten, setzte man mit primitiven Mitteln ein Schlüsselbit auf 1 (das Auslesen war schwierig, das Setzen nicht). Gab es einen Paritätsfehler, war das Bit vorher 0. So kam man an den Schlüssel heran. Heute analysiert man bei Chipkarten zeitliche Änderungen des Stromverbrauchs (inklusive der benötigten Taktzeiten), um an geheime, gespeicherte Schlüssel heranzukommen. Einzelne Hersteller wie IBM wollen hier nachgebessert haben, etwa mit eingeschobenen Taktzeiten und firmware-gesteuerte Blindströmen, doch billig ist diese Art von Abwehr gewiss nicht.

Sicherheit lässt sich auf viele Weisen durchlöchern: Mit Pufferüberläufen, Blumensträußen für die Sekretärin, Lasermikrofonen, Reparaturen an der Heizungsanlage und unchiffrierten Mails. Kryptanalyse ist nur eine Angriffsmethode. Sie ist nicht immer erfolgreich, doch die "unsichtbarste" und daher potenziell die gefährlichste.

pkzip-Verschlüsselung gebrochen

Pkzip verwendet eine Stromchiffrierung: Eine Folge von Schlüsselbytes K wird mit den Klartextbytes P per XOR zu Geheimtextbytes C verknüpft (die Dechiffrierung verläuft genauso). Nach jeder Chiffrierung eines Bytes wird K aktualisiert. Das Klartextbyte selbst und ein Schlüssel aus drei 32-Bit-Wörtern key0, key1 und key2 gehen dabei mit ein. Als C-Programm sähe das so aus:

C = P ^ K;
key0 = crc32(key0, P);
key1 = (key1 + (key0 & 0xff)) * 134775813 + 1;
key2 = crc32(key2, key1 >> 24);
tmp = key2 | 3;
K = (tmp * (tmp ^ 1)) >> 8;

tmp ist ein 16-Bit-Wert, crc32() eine leicht berechenbare CRC-Prüfsumme. Der Schlüssel ist immerhin 3**·**32 = 96 Bit lang, und sogar einige moderne Designprinzipien finden sich hier. Dennoch gibt es ein frei verfügbares Kryptanalyseprogramm, das mit Hilfe von 12 bekannten Klartextbytes spätestens nach wenigen Stunden das Archiv entziffert. Der erste ausgenutzte Angriffspunkt ist, dass von tmp die beiden niederwertigsten Bits bekannt sind. Bei bekanntem Schlüsselbyte K bleiben dadurch nur noch 64 mögliche Werte für tmp übrig -- und so geht es weiter. Für Liebhaber von Denksport wird das Ganze in [1] detailliert erklärt (Errata-Seite beachten! Auf der beigelegten CD ist auch das Crackprogramm enthalten).

Der Entwickler des Verfahrens hat offensichtlich nicht wie ein Kryptanalytiker gedacht, sondern nur etwas "möglichst Kompliziertes" entwerfen wollen. Übrigens arbeitet auch der Editor vim mit dieser Chiffrierung. Man sollte sie dort also nicht nutzen.

Glossar

Algebraischer Angriff: Versucht, den Algorithmus als großes, nichtlineares Gleichungssystem darzustellen und dieses zu lösen. In Spezialfällen sehr gefährlich, hochaktuelle Forschung.

Angriff mit ausgewähltem Klartext: Der Klartext wird vom Angreifer vorgegeben. Möglich bei Smartcards und bei "zentraler" Chiffrierung mit geheimem Schlüssel (wie IPsec und SSH-Tunnel, allerdings gelten dort die Algorithmen als sicher).

Angriff mit adaptivem Klartext: Vorgegebener Klartext wird chiffriert. In Abhängigkeit vom Ergebnis wird neuer Klartext erstellt, wieder chiffriert usw. Sehr leistungsfähig; möglich bei Smartcards. Praktische Anwendung: Knacken des Authentifizierungsalgorithmus COMP128 bei GSM-Mobiltelefonen.

Brute Force: Durchprobieren aller Schlüssel. Bei modernen Verfahren unrealistisch.

Differenzielle Kryptanalyse: Setzt Klartextkenntnis voraus und dass sich Geheimtext bei Änderungen von Klartextbits nicht "zufällig" ändert, sondern in Abhängigkeit von bestimmten Schlüsselbits. Die Abhängigkeiten sind extrem schwach, die benötigten Klartextmengen bei guten Algorithmen unrealistisch groß. Standard-Analysemethode.

Einfügeangriff: Wenn bei Stromchiffrierungen der Schlüsselstrom wiederverwendet wird und im gleichen Klartext ein Bit eingefügt wird, kann der Klartext leicht ab diesem Bit berechnet werden [1].

Geburtstagsangriff: Angriff gegen schwache Hashfunktionen. Unter vielen Varianten eines Dokuments sucht man zwei mit dem gleichen Hashwert, um digitale Unterschriften zu fälschen. Bei modernen Hashfunktionen zum Glück nicht praktikabel.

Geheimtextangriff: Nur aus abgefangenem chiffrierten Text sollen der Klartext und möglichst noch der Schlüssel gewonnen werden. Das ist der schwierigste, bei Erfolg aber auch gefährlichste Angriff. Er ist nur in ausgewählten Fällen möglich. Beispiele: Substitutionsmethode (statistische Analyse), GSM-Algorithmus A5/2 (algebraische Methoden), sogenannte Vigenere-Chiffrierung bei mittels Lempel-Ziv-Verfahren komprimiertem Klartext (Branch-and-Bound-Methode, siehe [1]; dort ist auch ein Crackprogramm enthalten).

Klartextangriff: Aus bekannten Teilen des Klartextes und dem zugehörigen Geheimtext versucht man, auf den Rest des Klartextes zu schließen und eventuell sogar den Schlüssel zu rekonstruieren. Beispiele: Angriff auf Pkzip-Chiffrierung; Enigma-Maschine im zweiten Weltkrieg: Die gleiche Nachricht wurde sowohl mit drei Rotoren (für das Festland) als auch mit vier Rotoren (für U-Boote) chiffriert; die Enigma mit drei Rotoren konnte man bereits brechen (siehe [1]).

Lineare Kryptanalyse: ähnlich wie differenzielle, betrachtet aber XOR-Produkte ausgewählter Klar- und Geheimtextbits. Schwieriger und leistungsfähiger, ebenfalls Standardmethode.

Schwache Schlüssel: besonders leichtes Dechiffrieren bei ausgewählten Schlüsseln. Wichtig für die so genannte Schlüsselgenerierung: Das Generieren schwacher Schlüssel aus einem Passwort muss ausgeschlossen werden können.

Seitenangriffe: Aus physikalischen Parametern wie Rechenzeiten, Stromverbrauch beim Chiffrieren und dergleichen wird der Schlüssel berechnet. Sehr wichtig bei Smartcards, kann hocheffektiv sein.

Sicherer Algorithmus: Ein Algorithmus gilt als sicher, wenn Brute Force die effektivste bisher (!) bekannte Angriffsmethode ist. Es gibt viele noch sichere Algorithmen; entscheidend sind Performance, Ressourcenverbrauch und universelle Einsetzbarkeit.

Statistische Methode: Im engeren Sinne Ausnutzen statistischer Gesetzmäßigkeiten im Geheimtext. Nur bei äußerst unsicheren (antiken) Chiffrierungen möglich. Die Umkehrung gilt nicht: statistische "Reinheit" besagt rein gar nichts über Sicherheit!

Wörterbuchangriff: Brute Force auf einer erfolgversprechenden Teilmenge, zum Beispiel alle Wörter und Begriffe einer Sprache. Sehr effektiv.