SHA-3: Neue kryptografische Hashfunktion

Ich wollte schon früher berichten, nach einem Kurzurlaub an der See ist es jetzt soweit…

Letzte Woche wählte das National Institute of Standards and Technology (NIST) den Gewinner der NIST hash function competition. Ziel dieses öffentlichen Wettbewerb war es, eine neue kryptografische Hash-Funktion SHA-3 zu entwickeln. Keccak – der  Beitrag der NXP- und STMicroelectronics-Mitarbeiter Guido Bertoni, Joan Daemen, Michaël Peeters sowie Gilles Van Assche – wurde am 2. Oktober 2012 zum Gewinner gekürt.

Kryptografische Hashfunktionen dienen dazu, Veränderungen in Daten zu erkennen. Eine Änderung an einer Nachricht führt zu einem anderen Hashwert. Das Finden von Nachrichten mit gleichem Hashwert gilt als schwierig. Kryptografische Hashfunktionen werden daher u.a. bei digitalen Unterschriften eingesetzt.

2007 rief das NIST auf, Kandidaten für die neue Hashfunktion einzureichen, da zu befürchten war, dass SHA-2 mit neuen Methoden der Kryptoanalyse bald geknackt werden würde. Diese Befürchtung hat sich bisher nicht bestätigt. Nachdem Angriffe auf MD5, SHA-0 und SHA-1 bekannt sind, betrachtet das NIST SHA-2 weiterhin als sicher. SHA-3 wird daher neben SHA-2 koexistieren.

Das Verfahren unterscheidet sich deutlich von SHA-2, so dass es nicht mit den gleichen Methoden zu knacken wäre. Es basiert auf einer Sponge-Konstruktion. – Das klingt nach einem Schwamm. Und in der Tat leitet sich die Bezeichnung daraus ab, dass die Funktion die Eingabe quasi aufsaugt und die Ausgabe durch ‚Drücken‘ dieses Schwammes entsteht.

Keccak wurde auch gewählt, weil es mit wenig Aufwand in Hardware realisierbar ist. Auf einer Intel Core 2 CPU benötigt das Verfahren 12.5 Taktzyklen pro Byte. Mit einer reinen Hardware-Implementierung ist es deutlich schneller als alle anderen Finalisten des Wettbewerbs. Das macht es auch für eingebettete Systeme interessant.

Eine schnelle einfache Hardwareimplementierung begünstigt jedoch auch Brute-Force-Angriffe auf ‚verschlüsselte‘ Passwörter. Um gehashte Passwörter zu knacken, würde ein Angreifer eine schnelle spezialisierte Hardware einsetzen, um damit viele Passwortvarianten schnell durchzuprobieren. Ein hardwarefreundliches Verfahren bringt eben auch Angreifer weiter, die uns am liebsten Verschlüsselungstechnik nutzen sehen, die einfach zu knacken ist, sofern genügend Ressourcen zur Verfügung stehen.