Deutsch
Menü

Was ist Nonce?

Ein Wert, der in der Kryptografie unter demselben Schlüssel nur einmal verwendet wird, im Sinne von „number used once“. Wird beim CTR-Modus oder bei GCM dieselbe Kombination aus Schlüssel und Nonce zweimal verwendet, ist der Schlüsselstrom gleich und das XOR der Klartexte fließt ab; daher sorgt man etwa mit einem Zähler dafür, dass sich die Werte nicht wiederholen. Der im CBC-Modus verwendete Initialisierungsvektor (IV) darf sich nicht nur nicht wiederholen, sondern muss auch für Angreifer unvorhersagbar sein. Beide müssen nicht geheim sein und werden üblicherweise zusammen mit dem Geheimtext gesendet. Auch eine frische Zufallszahl, die in Authentifizierungsprotokollen gesendet wird, um das Wiedereinspielen alter Antworten (Replay) zu verhindern, heißt Nonce.

Japanische Bezeichnung: ナンス

„Nonce“ kommt in 5 Übungsfragen aus 1 Themen vor, z. B. Grundlagen und Anwendungen der Kryptografie.

Fachgebiet: Grundlagen und Anwendungen der Kryptografie

Jetzt üben: Fragen zu Nonce

Wie ist beim Einsatz von AES im CBC-Modus angemessen mit dem Initialisierungsvektor (IV) umzugehen?

  1. ADer IV wird wie der Schlüssel geheim gehalten, und für alle Nachrichten wird derselbe Wert weiterverwendet
  2. BDer IV muss nicht geheim sein, wird aber für jede Nachricht neu als Zufallswert gewählt, den ein Angreifer nicht vorhersagen kann
  3. CDer IV muss nicht geheim sein und darf jedes Mal auf einen mit dem Gegenüber vereinbarten festen Wert (etwa alles 0) gesetzt werden
Antwort und Erläuterung anzeigen

Antwort: B. Der IV muss nicht geheim sein, wird aber für jede Nachricht neu als Zufallswert gewählt, den ein Angreifer nicht vorhersagen kann

Im CBC-Modus wird jeder Klartextblock vor dem Verschlüsseln per XOR mit dem vorhergehenden Geheimtextblock verknüpft, der erste Block mit dem IV. Der IV wird üblicherweise dem Geheimtext vorangestellt und mitgesendet, er muss also nicht geheim sein. Wird jedoch jedes Mal derselbe IV verwendet, beginnen Nachrichten mit gleichem Anfang auch mit gleichem Geheimtext, und es wird offengelegt, dass Teile des Inhalts übereinstimmen. Kann ein Angreifer außerdem den als Nächstes verwendeten IV vorhersagen, ist bekanntermaßen ein Angriff möglich, bei dem er selbst gewählte Klartexte verschlüsseln lässt und so auf den Inhalt schließt (etwa der BEAST-Angriff auf TLS 1.0).

Im CTR-Modus wurden versehentlich zwei Nachrichten mit demselben Schlüssel und derselben Nonce verschlüsselt. Für das Byte an einer bestimmten Position ist der erste Klartext P₁ = 01001000 (ASCII „H“), sein Geheimtext C₁ = 01110100 und der zweite Geheimtext C₂ = 01010101. Welcher zweite Klartext P₂ an derselben Position ergibt sich, wenn ein Angreifer P₁ kennt?

  1. A00100001
  2. B00111100
  3. C01101001
Antwort und Erläuterung anzeigen

Antwort: C. 01101001

Mit demselben Schlüssel und derselben Nonce ist der Schlüsselstrom K gleich, also gilt C₁ = P₁ ⊕ K und C₂ = P₂ ⊕ K. Zuerst ergibt sich K = P₁ ⊕ C₁ = 01001000 ⊕ 01110100 = 00111100, dann P₂ = C₂ ⊕ K = 01010101 ⊕ 00111100 = 01101001 (ASCII „i“). Auch ohne Kenntnis des Schlüssels liefert der eine bekannte Klartext unmittelbar den anderen. Im CTR-Modus und bei GCM ist es deshalb eine unverzichtbare Bedingung, mit demselben Schlüssel niemals dieselbe Nonce zweimal zu verwenden.

„Nonce“ in den Erläuterungen

Fragen mit „Nonce“ (5)

  1. Wie ist beim Einsatz von AES im CBC-Modus angemessen mit dem Initialisierungsvektor (IV) umzugehen?
  2. Im CTR-Modus wurden versehentlich zwei Nachrichten mit demselben Schlüssel und derselben Nonce verschlüsselt. Für das Byte an einer bestimmten Position ist der erste Klartext P₁ = 01001000 (ASCII „H“), sein Geheimtext C₁ = 01110100 und der zweite Geheimtext C₂ = 01010101. Welcher zweite Klartext P₂ an derselben Position ergibt sich, wenn ein Angreifer P₁ kennt?
  3. Welche Aussage über die 96-Bit-Nonce (IV) bei AES-GCM ist richtig?
  4. Für die symmetrische Verschlüsselung gibt es Blockchiffren und Stromchiffren. Welche Aussage beschreibt ihren Unterschied richtig?
  5. Welche Eigenschaft des CTR-Modus (Counter-Modus) von Blockchiffren ist richtig?

Verwandte Begriffe

Betriebsmodus für Blockchiffren AES Authentifizierte Verschlüsselung (AEAD) TLS (Transport Layer Security) Symmetrische Verschlüsselung (Secret-Key-Verfahren) Diffie-Hellman-Schlüsselaustausch Elliptische-Kurven-Kryptografie Envelope Encryption Forward Secrecy Geburtstagsangriff

Zur Glossarübersicht