DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE eine wichtige Rolle, und zwar in der Seitenkanalanalyse, also der Analyse auf Anfälligkeit für Seitenkanalangriffe, und als Werkzeug in der mathematischen Kryptoanalyse (vgl. Kapitel Kryptografie, Seite 75). Eine wesentliche Voraussetzung für den sicheren Einsatz von Kryptografie ist die Erzeugung von Zufallszahlen, die gewisse Gütekriterien erfüllen. Zufallszahlen werden in der Kryptografie unter anderem für die Erzeugung kryptografischer Schlüssel benötigt. Wie der Name schon sagt, dürfen sie nicht vorhersagbar sein. Je stärker die Zufallszahlen sind, desto schwieriger ist es, sie für Angriffe auszunutzen. Um dieser Ausnutzung vorzubeugen, definiert das BSI in den Anwendungshinweisen und Interpretationen zum Schema AIS 20 und AIS 31 Funktionalitätsklassen von Zufallszahlengeneratoren für verschiedene Einsatzzwecke. Zudem hat das BSI aktiv an der Entwicklung des Standards ISO/IEC 20543:2019 zur Evaluierung von Zufallszahlengeneratoren mitgewirkt, der im Oktober 2019 in Kraft getreten ist. Positiv hervorzuheben ist, dass mittlerweile viele Produkte über einen nach dem deutschen Common-Criteria-Schema (vgl. Kapitel Zertifizierung, Seite 60) zertifizierten physikalischen Zufallszahlengenerator verfügen. Aufgrund der effizienteren Ausnutzung von Halbleiterprodukten und der immer größeren Leistungsfähigkeit bei geringem Stromverbrauch verfügen neuere Produkte zudem über eine integrierte kryptografische Nachbearbeitung der Zufallszahlen. Diese verringert die bereits sehr geringe Wahrscheinlichkeit, dass die bereits sehr kleinen verbleibenden Schwächen physikalischer Rauschquellen ausgenutzt werden können, und verhindert sie vollends. Die Sicherheitsgarantien der heute eingesetzten kryptografischen Mechanismen gelten allerdings nicht mehr, sobald ein hinreichend leistungsstarker Quantencomputer zur Verfügung steht. Das Kapitel Kryptografie (vgl. Kapitel Kryptografie, Seite 75) zeigt Möglichkeiten auf, dieser Bedrohung zu begegnen, und stellt die Aktivitäten des BSI in diesem Bereich dar. Kollisionsangriffe gegen die Hashfunktion SHA-1 Kryptografische Hashfunktionen bilden Nachrichten beliebiger Länge auf Hashwerte fester Länge ab und werden unter anderem zur Integritätssicherung eingesetzt. Eine wichtige Sicherheitseigenschaft, die von einer kryptografischen Hashfunktion erfüllt werden muss, ist die Kollisionsresistenz. Das ist dann der Fall, wenn es praktisch unmöglich ist, eine Kollision, d. h. zwei unterschiedliche Nachrichten mit identischem Hashwert, zu finden. Die Kollisionsresistenz der weit verbreiteten Hashfunktion SHA-1 (Secure Hash Algorithm 1) wurde bereits im Jahr 2005 von den Forschern Xiaoyun Wang, Yiqun Lisa Yin und Hongbo Yu theoretisch widerlegt (X. Wang, Y.L. Yin, H. Yu: Finding Collisions in the Full SHA-1). Die erste Kollision wurde von einem Forscherteam um Marc Stevens praktisch berechnet und im Februar 2017 veröffentlicht (vgl. Quellenverzeichnis17: https://shattered.io). Im aktuellen Berichtszeitraum wurden die bekannten Kollisionsangriffe gegen SHA-1 weiter verbessert. Im Januar 2020 wurde von den Forschern Gaëtan Leurent und Thomas Peyrin die erste sogenannte Chosen-Prefix-Kollision von SHA-1 veröffentlicht (vgl. Quellenverzeichnis18: https://sha-mbles. github.io). Die Nachrichten einer Chosen-Prefix-Kollision enthalten nicht mehr wie zuvor ein identisches, vorab gewähltes Anfangssegement, sondern zwei verschiedene vorab gewählte Anfangssegmente. Diese höhere Flexibilität ermöglicht neue Angriffsszenarien. Darüber hinaus konnten die Forscher den Rechenaufwand für Kollisionsangriffe gegen SHA-1 ungefähr auf ein Zehntel reduzieren. Auch wurden die Kosten für die Erzeugung einer Kollision oder Chosen-Prefix-Kollision von SHA-1 mit gemieteter Hardware nach Einschätzung der Forscher stark reduziert. Für den allgemeinen Anwendungsfall wird die Hashfunktion SHA-1 vom BSI schon seit vielen Jahren nicht mehr empfohlen. Gegen eine Verwendung in Konstruktionen, die keine Kollisionsresistenz benötigen (z. B. bei einem der bekanntesten und wichtigsten Anwendungsfällen von SHA-1, dem Hash-based Message Authentication Code, kurz HMAC), bestehen aber aus sicherheitstechnischer Sicht nach gegenwärtigem Kenntnisstand keine Einwände. Dennoch wird empfohlen, auch in diesen Anwendungen als grundsätzliche Sicherungsmaßnahme eine Hashfunktion der SHA-2- oder SHA-3-Familie einzusetzen. 31