Schlüsselverteilung ist das Problem.

In Ihrem Szenario verwenden Sie einen Server, um den Benutzern die einmaligen Pads zu übermitteln. Aber wie ist diese Kommunikation geschützt? Nicht mit einem einmaligen Pad, sonst wäre es nicht nötig. Nehmen wir an, es ist SSL mit AES 128. Dann ist Ihr Kryptosystem genauso sicher wie SSL mit AES 128 - ziemlich sicher, aber nicht so sicher wie ein einmaliges Pad.

Die Mils-Typen, auf die Sie verweisen, werden angezeigt physische Geräte anzubieten, auf die Sie einen einmaligen Schlüsselstrom laden (und von denen aus Sie ihn verwenden können). Auch hier ist die Schlüsselverteilung ein Problem. Sie könnten zwei Festplatten kaufen, Terabyte Keystream darauf laden und eine an Ihren Kumpel senden ... wie? Vertrauen Sie USPS? Fedex? Kurier? Diplomatischer Beutel? All dies kann beeinträchtigt werden. Die einzige perfekt verschlüsselte Möglichkeit, sie zu senden, besteht darin, sie mit einem einmaligen Fehler zu verschlüsseln. Es ist wieder passiert.

Nein, weil Sie die Bedeutung von "am besten" in einem Sicherheitskontext falsch verstehen. Entgegen der landläufigen Meinung sind "am sichersten" und "am besten" keine Synonyme, sondern bei der Sicherheit geht es ausschließlich darum, Benutzerfreundlichkeit und Sicherheit in Einklang zu bringen. Es geht um Risikomanagement.

Das sicherste Laufwerk der Welt ist das Schreiben an DevNull (den Bit-Eimer) auf dem Meeresboden in einer verschlossenen Box in einem Betonhaufen in einem Faradayschen Käfig. versenkt in Lava ohne Kabel oder Drähte. Absolut niemand wird jemals Daten davon erhalten, aber legitime Benutzer werden auch niemals Daten davon erhalten.

Einmalige Pads haben den Luxus, nachweislich unmöglich zu brechen, wenn sie richtig verwendet werden, obwohl sie umständlich sind benutzen. Wenn sie die "beste" Option wären, würde keines der anderen Systeme existieren, die wir heute kennen, da sie fast alle nach der Idee des One Time Pad entstanden sind (was ein wirklich altes Konzept ist).

Die beste Option ist vielmehr die, die Ihre Risiken auf ein akzeptables Maß reduziert und gleichzeitig ein akzeptables Maß an Benutzerfreundlichkeit beibehält. In vielen Fällen ist die beste Sicherheit möglicherweise keine Sicherheit. Zum Beispiel ist es mir egal, ob Sie meine Cookie-Rezepte kennen. Wenn Sie sich also bemühen, sie zu schützen, wird die Benutzerfreundlichkeit unnötig beeinträchtigt. Es ist mir egal, ob meine Kochrezepte verloren gehen, daher möchte ich möglicherweise mehrere Kopien speichern und irgendwo sichern, aber ich würde sie nicht kontrollieren, da dies Zeitverschwendung wäre.

Die Der gleiche Denkprozess gilt nicht weniger für Hochsicherheitssituationen als für meine Kochrezepte. Es kommt darauf an, das Risiko zu analysieren, das auf mich zutrifft (Oreo kümmert sich möglicherweise mehr um den Schutz ihres Rezepts) und dann zu entscheiden, was meine beste Option ist. Es ist für jeden und jede Situation anders und es gibt keine universelle Antwort.

Nein. Ein One-Time-Pad leidet nicht nur unter Problemen bei der sicheren Schlüsselverteilung, die Mike und Gowenfawr in ihren Antworten erwähnt haben, sondern auch:

Auch wenn Sie einen Mechanismus zur sicheren Verteilung von Schlüsseln hatten, die Ein Zeitblock (für sich) hat keinen Mechanismus zur Gewährleistung der Integrität. Der Chiffretext wird als "formbar" bezeichnet, was bedeutet, dass er von einem Angreifer manipuliert werden kann, um die Klartextnachricht auf vorhersehbare, nicht erkennbare Weise zu ändern.

Obwohl das One-Time-Pad eine informationstheoretisch perfekte Geheimhaltung bietet, ist es an sich keine sichere Chiffre und in der realen Welt einfach zu authentifizieren Chiffren mit ausreichend großen Schlüsseln wie AES-CTR-HMAC oder AES-GCM sind deutlich besser.

Sie versuchen, ein kryptografisches Grundelement mit einem kryptografischen System zu vergleichen. Hier werden wirklich Äpfel und Orangen verglichen.

Kryptografische Grundelemente werden zu einem kryptografischen System zusammengestellt, und Sie können nur die Sicherheit eines Systems bewerten Sobald Sie die Anwendungsfälle und die Umgebung verstanden haben, in denen das System arbeitet, einschließlich Angreifern, Benutzern, Protokollen auf der Leitung, Speichermechanismen, Kompromissmöglichkeiten, Verfügbarkeitsanforderungen, Anzahl der Benutzer, Knoten, Netzwerke zwischen, abhängigen Diensten usw.

Also zu Ihrer Frage:

Außerhalb des Kontexts des One Time Pad-Grundelements sollte das System wahrscheinlich andere Techniken / Grundelemente einführen, um die folgenden Anforderungen zu unterstützen.

• Integrität der Nachricht (Prüfsummen, Signieren)
• Stellen Sie die Synchronisierung sicher, um DOS zu vermeiden. (Ein Angreifer führt möglicherweise eine falsche Nachricht ein, um die Kommunikation zwischen den Parteien zu de-synchronisieren.)
• Verhindert, dass ein Mann in der Mitte ein einzelnes Bit während der Übertragung ändert (kann die Bedeutung eines teilweise bekannten Klartextes durch Umdrehen ändern ein Bit. dh "LaunchMissiles = 0" versus "LaunchMissiles = 1"
• Stoppt Wiederholungsangriffe ("Attack at Dawn" wird drei Tage später wiederholt)

und andere optionale Optionen Anforderungen

• Absenderüberprüfung (Signieren)
• Empfängerüberprüfung (Zertifikate)

Sie können also nur versuchen, die Sicherheit von a zu bewerten Kryptosystem, sobald es vernünftig artikuliert ist.

Das Problem mit einem einmaligen Pad besteht darin, es an beide Parteien zu verteilen. Sie können es nicht einfach auf einen Server stellen, damit beide es herunterladen können. Wenn Sie einen sicheren Kanal dafür hätten, könnten die beiden Parteien diesen sicheren Kanal trotzdem verwenden, um zu kommunizieren. Sie müssen beide Parteien physisch zusammenbringen, was offensichtlich sehr einschränkend ist.

Ein dauerhaftes Problem bei jeder Verschlüsselung ist Vertrauen . Sie müssen darauf vertrauen, dass die Person, an die Sie eine Nachricht senden, auf Ihrer Seite ist und die Nachricht oder den Schlüssel nicht an jemanden übermittelt, der sie nicht haben sollte. Sie müssen darauf vertrauen, dass die Personen, die das von Ihnen verwendete Verschlüsselungsschema erfunden haben, keine Hintertür oder einen Unfallfehler enthielten. Bei OTP besteht das Problem des Vertrauens mit dem Empfänger. Wenn Sie dem Empfänger den Schlüssel jedoch nicht selbst physisch geben können, müssen Sie jetzt einer Entität eines Drittanbieters vertrauen, an die der Schlüssel geliefert werden kann Der Empfänger. Dieses Problem besteht auch heute noch bei der modernen Verschlüsselung und Authentifizierung.

Wenn ich ein potenzieller Benutzer wäre, würde ich niemals einem Drittanbieter vertrauen, der einen Schlüssel generiert und über eine Netzwerkverbindung überträgt. Es gibt auch keine Möglichkeit für einen Benutzer, sicherzustellen, dass Sie wirklich zufällige Schlüssel generieren oder wenn Sie kompromittiert wurden. Es ist definitiv keine ordnungsgemäße Verwendung von OTP, da die Verschlüsselung nur so stark ist wie ihre schlimmste Schwäche. Wenn Sie den Schlüssel über das Internet senden, haben Sie alle Vorteile verloren, die echtes OTP bieten kann, und Sie können sich auch für AES-256 entscheiden.

Ich denke, man kann mit Sicherheit sagen, dass OTP technisch ist die beste Transportverschlüsselung, das Wort "am besten" für Sicherheit. Dies bedeutet nicht, dass es für die meisten Anwendungsfälle "am besten" ist, und OTP weist einige schwerwiegende Nachteile auf. Der Schlüssel muss irgendwo aufbewahrt werden, was bedeutet, dass der Schlüssel in die falschen Hände geraten kann. Moderne Blockchiffren haben normalerweise kürzere Schlüssel, die sich ein Mensch merken kann, was es für Dritte viel schwieriger macht, sie zu extrahieren. Es ist auch sehr schwierig, so etwas wie AES mit der richtigen Software schlecht zu implementieren.

Worauf Sie mehr als auf die Sicherheit von OTP zählen können, ist die Faulheit der Menschen. Wir sind natürlich bestrebt, das zu tun, was am einfachsten ist, und dies hat in der Vergangenheit dazu geführt, dass Menschen einige wirklich knochige Entscheidungen getroffen haben, die sie die Sicherheit ihres Kommunikationskanals kosten. Manchmal entscheiden sich faule Menschen dafür, Schlüssel wiederzuverwenden, sobald ihr Schlüssel oder Codebuch aufgebraucht ist und sie nicht über die Mittel verfügen, um einen neuen &-Transport zu generieren. Das Ergebnis kann viel schlimmer sein, als die Kommunikation vollständig einzustellen.

Definieren Sie am besten, und die Antwort kann Ja oder Nein sein.

Das Hauptproblem ist der sichere Schlüsselaustausch! Wenn Sie sich irgendwie mit einem immer online verfügbaren Server verbinden und mit diesem Server 100% sicher kommunizieren können - warum leiten Sie Ihre Nachricht nicht einfach über diesen Server weiter?

Ein perfekt gültiges Szenario ist das Folgende: Sie treffen sich jemand persönlich und tauschen OTPs mit ihm aus. Danach können Sie sicher mit ihm kommunizieren, solange die OTPs bestehen. Um die Integrität der Nachrichten zu gewährleisten, fügen Sie Ihrem Klartext N zufällige Bytes hinzu und hashen dann alles, bevor Sie mit dem OTP verschlüsseln (normalerweise würde ich vor der Verschlüsselung auch Klartext komprimieren, um eine geringere Größe und eine höhere Informationsdichte sicherzustellen). Dadurch wird die Authentifizierung und Verschlüsselung gleichzeitig sichergestellt. Da die Authentifizierung im Wesentlichen nur die Überprüfung der anderen Partei ist, kennt sie ein Geheimnis, das nur er kennen kann. Bei symmetrischen geheimen Schlüsseln ist der Schlüssel jedoch bereits ein Geheimnis, das nur Sie beide kennen. Wenn also eine Nachricht mit dem gemeinsam genutzten geheimen Schlüssel erfolgreich entschlüsselt wird und noch intakt ist (Dekomprimieren + Hash prüfen), wurden Integrität und Authentifizierung überprüft.

Wenn Sie jedoch OTP gegen Brute-Force-Ansätze verwenden möchten, können Sie genauso gut eine ausreichend große symmetrische Verschlüsselung (wie AES) verwenden, die ebenfalls nicht realisierbar ist. Der interessante Teil der Krypto ist der Schlüsselaustausch. Wie kann ich diese gesamte Verschlüsselung / Authentifizierung durchführen, ohne mich mit allen Personen zu treffen, mit denen ich sicher kommunizieren möchte? Aus diesem Grund gibt es eine asymmetrische Verschlüsselung.

OTP löst also ein ziemlich gutes Problem, das bereits gut genug gelöst ist (symmetrische Verschlüsselung), aber die eigentlichen Probleme, die der Grund dafür sind, überhaupt nicht löst asymmetrische Verschlüsselung!