Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2636 Danke!
[Musik]
ja schön dass ihr euch am späten Abend
noch her getraut habt der nächste
Vortrag ist auf deutsch und ich freue
mich dass ich Professor Rüdiger weiß von
der welche technische Hochschule Berlin
Berliner Hochschule für Technik es gibt
zu viele Hochschulen in Berlin ich komme
da selber her also Berliner Hochschule
für Technik Professor weiß wird uns was
über picoberries
erzählen
[Applaus]
geht das ja ja also vielen Dank dass so
viele Leute da sind obwohl der
Untertitel des talks war also
postquanten Signaturen für raspy P
raspery Pico und ja das ist in der Tat
hört sich das Biss
mathematig schwierig an und es gibt eine
gute und eine schlechte Nachricht es ist
ch schwierig allerdings ist es aus
hackersicht überraschend dass man da
sehr einfache Lösungen fangen kann und
die auch so gebaut sind dass man
wirklich in ganz wenigen Schritten da zu
ganz faszinierenden Ergebnissen führen
kann und die Sachen die ich heute
vorstelle sind Teil einer laufenden
Masterarbeit von per kotzler der leider
heute nicht da sein kann und es war
wirklich unsere Überlegung wir nehmen
mal ein wirklich möglichst schwaches
Gerät und gucken ob wir damit wirklich
zukunftskompatible Kryptografie machen
können und irgendwie freut mich das
Thema aus mindestens drei Gründen einmal
ist es mathematisch interessant und es
gibt eine sehr schöne Lösung die
Mathematik involviert aber nicht mehr
Mathematik involviert als man in ein
masterter Seminar darstellen kann und
das ist für sehr viele andere Sachen im
Bereich quantenu und postquanten
wirklich nur in sehr beschränktem Maße
der Fall zum zweiten ist es ein hoch
interessantes Hardware device dieser
raspy Pico und was halt fasziniert ist
sind die geringen Kosten also die gehen
für den Einzelnen Chip auch durchaus
auch knapp unter 1 € und sehr ausgebaute
Varianten mit auch sehr umfassender
Bluetooth und wfline Unterstützung sind
jetzt glaube ich bei 5,70 € oder so also
ganz faszinierend und der dritte
interessante Aspekt ist dass wir uns da
mal micropyon ner angeguckt haben und da
finde ich es auch spannend dass man mit
einer sehr sehr niedrigen ersten
lernschwelle da auch fantastische
Ergebnisse machen kann da das hier aber
ein CCC Vortrag ist und ich ohnehin zu
viel Matte mach kann ich auch
versprechen dass hier in dem mit dem
Vortrag mindestens zwei Einhörner
vorkommen und ansonsten auch einige
andere Ideen die glaube ich jetzt für
hackerpjekte ganz wertvoll sein können
fangen wir an mit dem ersten Einhorn und
das ist durchaus eine kleine Verbeugung
vor diete Bernstein weil diete Bernstein
hat seit Mitte der 2000er Jahre oder
früher die Probleme von Quantencomputern
für normale Kryptografie
aufge zeigt und hatte in einem seiner
ersten Torks da in der Tat ein sehr
schlecht gelauuntes Einhorn im
Hintergrund das also alles verwüste und
ähm na ja man kann sagen Kryptographen
haben manchmal eine ser
deutliche Bildsprache aber eine
interessantere Sache ist es von 2014 wo
das nist eigentlich geschrieben hat
das Sky ist falling und da unten ist es
auch meine eine meiner wenigsten Folien
wo ich da was vom nist direkt übernommen
habe im Pakt ASA kaputt elliptische
Kurven kaputt fin also DSA also di
helellmen basierte Systeme kaputt äh ja
und auch die digital signature
Algorithmus hier sei mir doch mal
erlaubt dass ich jetzt doch auf einige
Jahre CCC Vorträge zurücksehen kann und
da immer aus verschiedenen Gründen vor
elliptischen Kurven gewarnt habe und ich
kann ganz deutlich sagen das was ich
damals als Warnung formuliert hat
nämlich dass wegen der kürzeren
Schlüssellänge äh Quantencomputer
elliptische Kurven noch viel schneller
brechen würden als kritische als
klassische kryptoverfahren das ist eine
Position die glaube ich 2017 auch von
Koblitz und Miller also den eigentlich
Haupt äh Entwicklern der elliptischen
Kryptografie durchaus auch eingeräumt
werden aber gehen wir mal weiter hier
unten sinden wir symmetrische Krypto
braucht längere Schlüssel längere
Schlüssel ist im Fall von AES äh ähm na
ja äh kurz vorm as 256 ist ausreichend
lang bei tripleeds bin ich ganz gespannt
wo wie sie da längere Schlüssel
generieren wollen da gibt'sus ein paar
Ideen aber das dürfte bisschen
schwieriger sein und die letzte Folie
die also die letzte Zeile die wir auf
dieser Folie haben ist ein Punkt wo uns
schon ein bisschen Hoffnung erahnen
lässt hechfunktionen sind auch
betroffen aber da können wir mit einem
längeren Output weiterarbeiten und wie
ihr hier si haben wir Schar 1 Shar 2
Shar 3 und charar 2 gibt's bei Shar 256
und Schar 512 bei charar 3 gibt's sogar
höhere Flexibilität also die Kurzform
ist hechfunktion haben wir einigermaßen
unter Kontrolle wer ein bisschen tiefer
da einsteigen will sein noch mal die
beiden zentralen Algorithmen genannt
einmal der shorealgorithmus der
Faktorisierung und diskrete
logarithmusprem adressiert und zum
anderen der grobe Algorithmus der so
suchen in großen Datenbanken sehr
vereinfacht da sind und dieser grober
Algorithmus führt in der Tat zu einer zu
einer
ja zu einer Reduzierung des
schlüsselraums aber in einem rase des
noch beherrschbar erscheint insbesondere
jetzt ganz vereinfacht gesagt hat man
bei sch 256 auch mit Quantencomputer
noch so
etwas na ja jetzt ein bisschen blumig
gesprochen aber immer noch 128 Bit
Sicherheit was für die meisten Anwendung
ausreichend sein sollte also das ist die
Sache die auch das nist geschrieben hat
die die kryptografen und das ist auch
jetzt sind wir ja nach 2014 ja fast 10
Jahre weiter ist es auch soweit dass es
inzwischen auch ein interessanten
Wettbewerb gab mit ersten Kandidaten zu
demätum komme ich ganz später
ganz interessant vielleicht
Quantencomputer eine Sache wo ich doch
Lächeln müsste war GM der Doom
Programmierer hat hat mal auf eine Frage
Quantencomputern gesagt der hat sich
angeguckt aber eine schreckliche
Technologie weil man kann es für kaum
was brauchen oder für nichts brauchen
was eher was Ihnen interessiert aber es
zerstört was was nie zerstört werden
sollte nämlich die Sicherheit von RSA
elliptischen Kurven und anderen
kryptosystemen und noch einm um drauf
hinzuweisen das Problem ist bei diesen
Verfahren wären dann wenn der
Quantencomputern arbeiten nicht nur die
aktuellen Kommunikation oder alle
Kommunikation die mit dem Verfahren
geschützt wird sondern alle
aufgezeichnete Kommunikation auf einmal
sperangelweit offen also das ist ein
Problem die Frage wie schnell das kommt
ist ist eine Frage die würde ich ganz
gerne an die Physiker etwas weiterleiten
aber wir können sagen dass inzwischen
doch durchaus problemewusstsein auch bei
den standardisierern drin ist wer die
aktuellen Empfehlung des BSI zum
Signaturgesetz aufmerksam gelesen hat
sieht da durchaus eine Entwicklung das
für
längerfristige im Einsatz seine Systeme
schon diese quantenprobleme zu
berücksichtigen sind aber kommen wir zu
der guten Nachricht was sehr gut
formuliert ist hchfunktion und nicht nur
weil sie sehr stabil gegen äh diese
Quantencomputer Sachen sind oder
stabiler als DLP und RSA Sachen sondern
weil man mit diesen hfunktionen
wirklich schon mit ganz alter
Technologie na im Wesentlichen von Lesli
lamport dem L von latch äh und auch ser
anderen sehr wichtigen ergebn
lamportohren und so weiter
ähm entwickelte System der onetime
Signaturen da so wirklich militant
einfach ist dass selbst die Sicherung
sicherheitsbeweise in der normalen
Vorlesung dargestellt werden können es
bewst im Wesentlichen auf der
einwegeigenschaft von kryptographischen
Funktion und hier auch sehr blumig
gesagt äh wenn wir Probleme mit der
Einweg Eigenschaft von hechfunktion
haben ist sowieso alles unter Wasser
ähm insofern ähm ist es schon
interessant wir kommen nachher
vielleicht bei den teils noch mal so mit
leichten Modifikation kann man sogar
erreichen dass selbst eine
kollisionsbehaftete hechfunktion noch
hohe Stabilität erreicht also mit
anderen Worten das habe ich mit diesem
sehr lyrischen kryptographisches gutes
Bauchgefühl da unten versucht zu
kommunizieren ich kann es auch hatter
formulieren ich glaube und das bin ich
mir relativ sicher dass auch in der
kryptografischen Forschungsgemeinde das
ein Konsens ist das
hchbasierte Systeme das einzige sind wo
ich Sicherheit wirklich guten Gewissens
empfehlen kann die neuen Verfahren sind
sehr neue Verfahren sind sehr
faszinierende Verfahren aber sagen wir
mal warm und fassy Feeling um brchneid
zu zitieren hat man eigentlich nur bei
den
hbasierten
Signaturen also wie gesagt es ein
onetime L die sind sehr einfach ich
glaube die Arbeit ist von
1979 man kombiniert es in der Regel mit
zwei zusatzsachen nämlich mit derer
Organisation der Schlüssel in ein
merkele in in den fortschrittlicheren
Sachen auch ein multilevel trees aber
sagen wir mal für die einfache
Einführung reicht da Merkel trees und
vielleicht sogar zwei Punkte die jetzt
in dem Vortrag etwas relevanter sind als
diese B Konstruktion sind die
sogenannten winternetz time memory Trade
Offs und prefixes und bitmask also
prefixes und bitmask da ich schon hier
die 10 Minuten wordnung erhalten habe
werde ich nur kurz drauf eingehen sind
leichte Modifikationen die dazu führt
dass wirklich die Anforderung an die
hechfunktion noch geringer gewerden und
wer gerne trollt kann mal reingucken
diese wiernitzparameter und Konstruktion
sind zu sind sind durchaus ganz
generische
hechtchains und wer ein bisschen Leute
ärgern will kann natürlich auch von
einem Block blockchainartigchen
Protokoll sprechen auf der unteren Ebene
aber das will ich heute Abend nicht
machen aber bei der nochmalen Lektüre
hätte man das durchaus so definieren
können aber Spaß bei Seite es ist ein
einfacher sehr einfacher memory TR of
der nachher bei den Folien bei der
Implementierung noch mal relativ wichtig
sein muss aber vielleicht ist noch einm
um das mal aus kryptographis als
professorinicht zu sehen lampignaturen
kann man wirklich in der Bachelor
Vorlesung umfassend erklären Merkle
trees glaube ich auch wenn Sie da
Datenbanken gehört haben Wintern
tredammer ist auch eine Sache die noch
ist das einzige wo man vielleicht ein
bisschen tiefer reingehen müsste in die
Sicherheitsbereiche prefix das ist eine
Master Vorlesung das ist eigentlich
interessant dass man da Vorlesung halten
kann weil ehrlich gesagt die anderen
kryptoalgorithmen die jetzt in der in
der in der Kandidaten Schar für
postquantenkryptografie sind sind so
schwierig dass glaube ich nur ganz
wenige Leute das vernünftig vermitteln
konnen ich habe es bisher noch nicht
hingekriegt ich werde vielleicht bis zum
nächsten Camp daran mal arbeiten aber
jetzt kommen wir vielleicht für Hacker
relevantes Sachen noch mal
Entschuldigung jetzt muss ich noch ein
eine mattefolie aber dann kommen wir
gleich zu den hacksachen noch eine
mattefolie ich geb's zu UPS war ich das
ja
danke die aktuellen Empfehlung für
statef Signaturen sind einmal die
Extended Merkle Signaturen XMMS xmss so
rum leiten m K Signaturen dazu gibt's
paar passende RFCs wer 50 Seiten relativ
nett geschriebene Empfehlung schreiben
kann diesen nicht Standard von 2020
hören und das ist immer das Problem von
Professoren wenn man meint das ist eine
nette Idee und das hat noch niemand
gemacht vor ein paar Wochen sind diese
leiton mckelli Signatur auch ins open
TDK das ist irgendeine andere
Programmiersprache eingebaut
worden gut kommen wir aber jetzt zu den
Sachen die mir wirklich als Hacker tief
gute Laune machen und das ist echt der
rasbery Pico also wenn man sich mal
gammern das hat ziemlich genau die Größe
von dem kleinen Finger also überall wo s
ein kleinen Finger hintun können können
Sie ein Pico hin einzollen sie nicht
überall tun aber könnten sie halt von
den von den Maßen
das hat allerdings ein Dual Cortex drin
und mein Kumpel der irgendwie in der
Industrie arbeitet sagt wenn man die
Prozessoren nur nimmt geht es unter 1
€ also der Dumme D bringen wir Chips mit
Computer Chips oder Kartoffelchips was
was billiger ist äh ist inzwischen so
dass er in in der Tat also immer ein
eurob Bereich und sagen wir mal die
vollblunen Version mit der wir auch ganz
gerne rumspielen mit weflern und
Bluetooth kostet glaube ich 5,70 € und
da ist ein Dualcore
armprozessor drin also nicht der ganz
fixest da allerdings immerhin mit
flexibler äh glocking Möglichkeit bis zu
133 megahz was eigentlich für einige
Anwendung ausreichte 256 KS RAM 2 megb
und botflecht und für sagen wir mal
lehere Forschung und spielen auch
höchstrevant er wird freundlicherweise
in derselben Programmiersprache
programmiert wie unser blinkebet hier
auf dem Camp nämlich micropiten man kann
es natürlich auch mit C programmieren es
wäre vielleicht sogar vernünftiger
einiges in C direkt zu machen aber
micropinen fasziniert mich einfach wegen
der Einfachheit äh des Zugangs insofern
haben wir das jetzt erstmal adressiert
ein Punkt den ich auch in der
Ankündigung hatten wir nehmen das
durchaus ernst dass wir aber als
Informatiker zu ein paar Sachen
beitragen können die potenziell die Welt
besser machen können und eine Sache ist
dass wir halt überlegt haben wir
programmieren für dieses Gerät was für
sensoraufgaben wirklich fantastisch
geeignet ist es hat ein Low
powerers sleepmus es hat sogar noch
einen tieferen Sleepmodus wo wirklich
die Stromverbrauch glaube ich unter
einem Milliampere legen s 26 GPA Pins
damit kann man alles anschließen was
nicht bei dre auf dem Bäumen ist es hat
einen eigenen Temperatursensor und für
eine Sache die ich nachher noch mal ganz
kurz eingehen weil ich mit der Zeit doch
schon bisschen zu stark hängen geblieben
sind es hat eine eigene eingebaute Glock
und eigenen onchip Timer da kommen wir
später noch mal dazu also was haben wir
da kurz gemacht die Arbeit läuft noch
ich glaube nach einer Verlängerung bis
zum September also wir haben uns den
passenden RFC angeschaut wir haben das
möglichst langweilig gemacht wir haben
die Schlüssel aufs online flash gemacht
wir haben Cash für die Notz des hchtries
gemacht und wir haben lien oder
Entschuldigung der Student hat dann die
leiten die LM Signatur gewählt und ja
das ist am arbeiten was ein interessant
ist wo rausnmen was ich auch spannend
finde sind die wiernitzparameter wo ich
gesagt habe dass da so eine Art hchain
gebaut wird da haben wir ein Teil memory
tradeof also kurz gesagt wir können mit
schlüsser kleineren Schlüssel arbeiten
wenn wir zwei hoch also wenn wir 2 hoch
W W ist dieser
winternitzparameter hches berechnet und
wir haben mal für 4 gewählt 2 hoch 4 das
scheint mir eine relativ überschaubare
Zahl
zu sein und dann haben wir halt
Schlüssel nur signaturlängen von etwa 2
kb das ist für die Leute die die
klassischen Signatur lecken kennen
natürlich immer noch sehr groß aber ich
glaube für sehr viele Anwendungen
bewältigbar die Implementierung wo der
Student gerade arbeitet arbeitet in der
Tat mit winternitzpamet 4 und da benutzt
der 20
93,5 K
für 128 Schlüssel wir kommen noch später
ne ganz schnell noch dazu warum das
durchaus relevant se ein Vorschlag der
der Student abgegeben hat ist für so ein
ein sensornetzwerk da war wirklich
unsere Idee möglichst also ein
sensornetzwerk das wir aus ökologischen
Gründen irgendwohin schmeißen und das
Messergebnisse schicken soll die
Messergebnisse sollen signiert werden
auch der Update für die Dinger soll
signiert werden wesentlich soll das Ding
schla en soll manchmal wflanverbindung
machen um wirklich es rauszukriegen dass
wir mit einer
Fotozelle die Sache betreiben können da
müssen wir gucken wie weit wir kommen
aber das ist unser unser unser anstreben
dass wir das möglichst also wirklich mit
möglichst limitierten also mit der
bilistenvsion adressieren und sag wir
mal der Ablauf ist auch nicht überrein
wir sindag wir generieren Schlüssel wir
tun das Gerät mit dem insbes public ke
Webservice oder sonst wo registrieren
wir sammeln die die Sensor dann schicken
die an den Server wenn der letzte
Schlüssel da ist generieren wir die
Schlüssel neu und schicken das an den
Server also das ist jetzt ein Ding da
kann sich doch durchaus sehr viele
andere Sachen sen so jetzt bin ich doch
in der Zeit etwas knapp insofern möchte
ich dann mal zu noch ein paar kurzen
Anregungen führen also ich möchte
wirklich Werbung machen dass man sich
diese e basierten Signaturen anschaut
sie sind die Lösung des
Problems na ja genauer gesagt ist ein
böses Wort da dass ich nur nur ganz kurz
erwähnt habe aber immer noch drin das
heißt
Stateful das bedeutet das sind
Signaturen wo sie sich merken müssen ob
der Schlüssel schon mal
verwendet
wurde und das ist natürlich eine an neue
Herausforderung an public Infrastruktur
auf der anderen Seite um da mal wieder
was zum Nachdenken in dem Bereich zu
kriegen gab es durchaus 1996 ein Paper
von Ron res der meint hat wie
eliminieren wir überhaupt die
Notwendigkeit für revucation Listen und
sag wir mal kurzvion ist das er gesagt
hat arbeitet halt einfach mal mit
kurzlebchen Schlüsseln und diese
kurzlebischen Schlüssel sind natürlich
bei onetime Signaturen per Definition
gegeben weil man sie nur einmal
verwenden darf und eine Sache wo wir
denke ich dann als nächstes
weiterarbeiten ist dass man einfach mal
gucken ob wir die Schlüssel so machen
dass die an der eingebauten
eingebauten uh mit ich sehe gerade eine
Null das bedeutet ich soll demnächst zum
Ende kommen insofern komme ich dann für
die verprochene letzte Folie wo auch ein
fröhliches Einhorn ist vom letzten Camp
und das steht zwar beeindruckend aber
immerhin doch machtlos vor einem
mächtigen hechbaum der sich da aufgebaut
hat jedenfalls war das meine
Interpretation soweit vielen Dank für
eure
Aufmerksamkeit ja herzlichen Dank
Professor Rüdiger weiß von der Berliner
Technischen Hochschule für Technik ich
krieg irgendwann noch hin so ja vielen
Dank leider haben wir jetzt keine Zeit
mehr für Fragen aber man kann ihn
bestimmt irgendwo hier auf dem Camp noch
finden oder am Rande hier noch kurz
ansprechen ansonsten vielen Dank noch
ein schönen Abend trinkt auch nachts
viel Wasser oder andere Dinge schlaft
schön hört den nächsten Vortrag an wird
bestimmt auch spannend noch mal vielen
Dank für den tollen
Vortrag
[Musik]