Cipher Block Chaining Mode

Cipher Block Chaining Mode (CBC) ist eine Betriebsart, in der Blockchiffre betrieben werden können. Vor dem Verschlüsseln eines Klartextblocks wird dieser erst mit dem im letzten Schritt erzeugten Geheimtextblock per XOR (exklusives Oder) verknüpft. Die Struktur von CBC ist in nachfolgender Abbildung dargestellt:

Die Verschlüsselung ist im CBC-Modus rekursiv definiert:

${\begin{matrix}&C_{0}&=&IV&\\\forall \left(i\in \mathbb {N} ^{+}\right):\left(\right.&C_{i}&=&E_{K}(P_{i}\oplus C_{i-1})&\left.\right)\end{matrix}}$

Die zugehörige Entschlüsselung ist im CBC-Modus hingegen nicht rekursiv:

${\begin{matrix}&C_{0}&=&IV&&\\\forall \left(i\in \mathbb {N} ^{+}\right):\left(\right.&P_{i}&=&D_{K}(C_{i})\oplus C_{i-1}&&\left.\right)\\\forall \left(i\in \mathbb {N} ^{+}\right):\left(\right.&C_{i}&=&E_{K}(P_{i}\oplus C_{i-1})&=E_{K}(D_{K}(C_{i})\oplus C_{i-1}\oplus C_{i-1})&\left.\right)\end{matrix}}$

Hierbei ist $E_{K}$ die Verschlüsselungsfunktion mit dem Schlüssel $K$ , $D_{K}$ ist die zugehörige Entschlüsselungsfunktion. $P_{i}$ bezeichnet den i. Klartextblock, $C_{i}$ den i. Geheimtextblock, $IV$ ist der Initialisierungsvektor. $\oplus$ bezeichnet das logische XOR.

Als Initialisierungsvektor (IV) benutzt man

entweder einen Zeitstempel
oder eine zufällige Zahlenfolge.
Manche Anwendungen benutzen auch eine vorhersagbare, einfach aufsteigende Zahl, aber dies ist nicht sicher, weil fremde Personen unerwünscht einen Wasserzeichenangriff (watermark attack) auf solche Daten ausführen können.
Das Modul dm-crypt benutzt zur Generierung des IV das ESS-Verfahren.

Wenn man diesen Initialisierungsvektor geheim überträgt, trägt es nicht zur Sicherheit des Algorithmus bei.

Der CBC-Mode hat einige wichtige Vorteile:

Klartextmuster werden zerstört.
Jeder Geheimtextblock hängt von allen vorherigen Klartextblöcken ab.
Identische Klartextblöcke ergeben unterschiedliche Geheimtexte.
Verschiedene Angriffe (Time-Memory-Tradeoff und Klartextangriffe) werden erschwert.

Da ein Geheimtextblock nur von dem vorherigen Block abhängt, verursacht ein beschädigter Geheimtextblock, wie beispielsweise ein Bitfehler bei der Datenübertragung, beim Entschlüsseln keinen allzugroßen Schaden, denn es werden nur der betroffene Klartextblock zu 50% und im darauffolgende Klartextblock ein Bit falsch im Klartext dechiffriert. Dies ist unmittelbar aus der Definition der Entschlüsselung und obiger Abbildung ersichtlich, da ein beschädigter Geheimtextblock $C_{i}$ nur die Klartextblöcke $P_{i}$ und $P_{i+1}$ beeinflusst und sich nicht unbeschränkt weiter verbreitet. Trotzdem kann diese beschränkte Vervielfachung nur eines einzigen Bitfehlers im Chiffrat bei CBC eine Vorwärtsfehlerkorrektur des Klartextes erschweren bzw. unmöglichen machen. Genauso verursacht ein beschädigter Initialisierungsvektor beim Entschlüsseln keinen allzugroßen Schaden, da dadurch nur der Klartextblock $P_{1}$ beschädigt wird.

Der CBC-Modus ist wesentlich sicherer als der ECB-Modus, vor allem wenn man keine zufälligen Texte hat. Unsere Sprache und andere Dateien, wie z. B. Video-Dateien, sind keinesfalls zufällig, weswegen der ECB-Mode im Gegensatz zum CBC-Mode Gefahren birgt. Generell sollte ein Blockchiffre immer im CBC-Modus betrieben werden - Ausnahmen sollten gut begründet sein.

Beispiel

Klartext:             01 10
                      ^  ^
                      |  |
Aufgeteilt in Blöcke:  $B_{1}$   $B_{2}$ 

Schlüssel:            11
Init. Vektor (IV):    01

Zur Vereinfachung wird als Codierfunktion + (plus) verwendet (dementsprechend als Decodierfunktion - (minus)) und Überträge mitgezogen

Verschlüsselung

Verschlüsselung (Block 1):

 $B_{1}$   $\oplus$  IV = 01  $\oplus$  01 = 00 =  $C_{1}'$ 
 $C_{1}'$  + Schlüssel = 00 + 11 = 11 =  $C_{1}$

Verschlüsselung (Block 2):

 $B_{2}$   $\oplus$   $C_{1}$  = 10  $\oplus$  11 = 01 =  $C_{2}'$ 
 $C_{2}'$  + Schlüssel = 01 + 11 = 100 =  $C_{2}$

Verschlüsselter Text = $C_{1}$ $C_{2}$ = 11 100

Betrachtet man die Verschlüsselung von $B_{2}$ , sieht man, dass dazu $C_{1}$ benötigt wird. Generell bedeutet das, dass für eine Verschlüsselung von $B_{i}$ der Codeblock $C_{i-1}$ benötigt wird. Eine Parallelisierung des Kodiervorgangs fällt damit aus.

Entschlüsselung

Verschlüsselter Text: 11 100
                      ^   ^
                      |   |
Aufgeteilt in Blöcke:  $C_{1}$    $C_{2}$

Entschlüsselung (Block 1):

 $C_{1}$  - Schlüssel = 11 - 11 = 00 =  $C_{1}'$ 
 $C_{1}'$   $\oplus$  IV  = 00  $\oplus$  01 = 01 =  $B_{1}$

Entschlüsselung (Block 2):

 $C_{2}$  - Schlüssel = 100 - 11 = 01 =  $C_{2}'$ 
 $C_{2}'$   $\oplus$  C1 = 01  $\oplus$  11 = 10 =  $B_{2}$

Klartext = $B_{1}$ $B_{2}$ = 01 10

Betrachtet man die Entschlüsselung von $C_{2}$ , sieht man, dass $B_{1}$ dafür nicht benötigt wird, sondern lediglich $C_{1}$ . Generell bedeutet das, dass für eine Dekodierung von $C_{i}$ nur $C_{i-1}$ benötigt wird. Damit ist eine Parallelisierung des Entschlüsselungsvorgangs möglich.

Integritätssicherung mit CBC, CBC-MAC

CBC kann auch zur Integritätssicherung benutzt werden, indem der letzte mit CBC verschlüsselte Block als MAC (dem sogenannten CBC-MAC oder CBC-Restwert) an die ursprüngliche unverschlüsselte Nachricht angehängt und diese samt diesem MAC versandt wird. Der Empfänger kann mit Hilfe des CBC-Algorithmus den CBC-MAC der empfangenen Nachricht berechnen und nun vergleichen, ob der gerade selbst berechnete Wert mit dem an der Nachricht angehängten übereinstimmt.

Literaturhinweis

Abenteuer Kryptologie von Reinhard Wobst, ISBN 3-8273-1413-5