Die (Un-)glaubwürdigkeit der Kryptographie

Von der (Un-)wissenschaftlichkeit einer Disziplin, in die hohes Vertrauen gesetzt wird und die hohe Maßstäbe für sich in Anspruch nimmt, aber weit davon entfernt ist, dessen würdig zu sein.

Es ist inzwischen über 10 Jahre her, daß ich die Universität und damit den Bereich kryptographischer Forschung verlassen habe. Seither treibe ich mich noch gelegentlich auf der ein oder anderen Konferenz herum, hatte besonders im Zusammenhang mit RMX damit zu tun und habe mich besonders in Zusammenhang mit meinem Promotionsstreit und der Aufdeckung von Korruption mit der Analyse von Fehlern und Schlamperei befaßt (siehe Adele).

Schon während meiner Zeit an der Uni, noch stärker dann im Zusammenhang mit dem Streit, dann bei der IRTF und IETF, bei einer Konferenz am MIT, auf vielen Mailinglisten und der Untersuchung von Titelhandel und Promotionsbetrug ist mir immer stärker aufgefallen, daß die Kryptographie – wie so viele andere Bereiche – eine höchst unseriöse Disziplin geworden ist, in der immer mehr Leute unter immer höherem Publikationsdruck immer mehr Schaum schlagen und unhaltbare Versprechungen machen. Publish or Perish, auf Qualität kommt es nicht mehr an. Der Peer Review ist längst durch Zitierkartelle ersetzt, und er kann auch nicht mehr funktionieren, wenn man bedenkt, wie sich Leute als Kryptologen ausgeben und sogar bei der IEEE als Fellow geführt werden, oder die für Nato und Bundesregierung als Sicherheitsexperten auftreten, und die dann, wenn es drauf ankommt, überhaupt nichts zustande bringen. Weil die IT Security zu jenen Teichen gehört, in denen jeder mitschwimmen will, der scharf auf Geld ist. Oder daß selbst der Editor in Chief des ach so angesehenen Journals of Cryptology der ach so angesehenen IACR, von dem man ja eigentlich erwarten würde, daß er beim Peer Review in Kryptographie zur Weltelite gehört, Blankogefälligkeitsgutachten herausgibt und dann, wenn er sie begründen soll, den Schwanz einzieht und nur noch stottert (siehe Adele). Wenn solche Leute schon fachlich und charakterlich zu einem Peer Review nicht befähigt sind, wer denn eigentlich dann?

Das Problem daran ist, daß die Kryptographie viel höhere Glaubwürdigkeitsanforderungen hat als andere Fächer.

Wenn beispielsweise im Bereich Robotik oder Bildverarbeitung einer schwindelt oder unseriös arbeitet, dann merkt das auch der Laie. Der Roboter läuft gegen die Wand und das Bild sieht schlecht aus. Mag die Technik kompliziert sein, kann man in vielen Fällen das Ergebnis aber auch mit weniger Wissen beurteilen. Es braucht Jahre und Talent, um ordentlich Geige spielen zu können. Auch wer es nicht kann, kann trotzdem hören, ob einer gut spielt oder nicht.

Bei der Kryptographie ist das anders. Das Zeug ist inwischen so abstrakt und bewußt unlesbar gehalten, daß man die Leute effektiv vom Lesen und Verstehen abhält. Vermutlich gibt es auf der Welt keine 1000 Leute mehr, die die Veröffentlichungen in Kryptographie noch lesen können, und keine 20 mehr, die es auch tun. Kryptographische Papers gehören inzwischen meist zu den Publikationen, die mehr Autoren als Leser haben. Meterweise steht das Zeug in den Bibliotheken, und meist völlig unberührt. Nicht selten merke ich an alten Journals, Konferenzbänden, Dissertationen, daß die Seiten vom Schnitt noch aneinanderhaften und ich der erste bin, der das Buch aufschlägt.

Trotzdem vertrauen wir diesen Techniken immer mehr an. Das gesamte Finanzsystem ist von der Zuverlässigkeit der Kryptographie abhängig. Reisepässe, Personalausweise, Steuererklärungen, Bürger-de-Mail. Basiert alles auf Kryptographie und dem Vertrauen auf die Wissenschaft. Und in den USA ist doch auch mal das Stromnetz im Zusammenhang mit Ungereimtheiten im IT-Bereich ausgefallen. Viele haben es noch nicht gemerkt, aber ein Versagen der Kryptographie könnte heute extreme Auswirkungen haben.

Massiv zugenommen hat auch das Maß an Pseudokonferenzen. Es entstehen Zirkel aus Leuten, die sich regelmäßig gegenseitig und im Kreis herum zu lokalen Seminarraum-Veranstaltungen einladen, die jeder Kritik und jeder Maßstäbe enthoben sind. Man besucht sich auf Universitätskosten, hat mal die eine oder andere angenehme Reise, und hinterher wieder einen Eintrag auf der Veröffentlichungsliste. Eine Hand nimmt der anderen Paper an.

Die Bilanz ist lausig. Nicht einmal die Begrifflichkeiten sind eindeutig geklärt, jeder macht, was er gerade will. Das allermeiste Zeug ist völlig nutz- und belanglos.

Was spielt denn an Kryptographie in der Realität wirklich eine Rolle? Wesentlich mehr als RSA, Hashsummen und Blockchiffren, hin und wieder noch ne Stromchiffre ist es doch nicht. Die werden dann alle paar Jahre weich, dann braucht mal längere Schlüssel, wieder mal ein neues Hash-Verfahren, eine neue Chiffre. Aber im wesentlichen Techniken, die es seit 30 Jahren gibt. Der ganze Rest ist write-only und bedeutungslos. Masturbative Wissenschaft.

Heute wies mich jemand auf eine Ankündigung einer Antrittsvorlesung hin. Über die Person des Jörn Müller-Quade und dessen Berufung habe ich genug geschrieben, darauf muß ich hier nicht näher eingehen. (Mehr dazu demnächst.) Bemerkenswert aber das Thema des Vortrages:

Aktuelle Probleme bei EC-Karten haben wieder gezeigt, dass ein einfaches »händisches Hinzufügen« von Sicherheitsmechanismen nicht ausreicht. Die Notwendigkeit von theoretischen Grundlagen steht damit außer Frage. Allerdings sind die Theorien, Modelle und Analysen in der IT- Sicherheit inzwischen so komplex geworden, dass sie für Menschen kaum noch handhabbar sind und sogar begutachtete, veröffentlichte Arbeiten Fehler enthalten:
»In our opinion, many proofs in cryptography have become essentially unverifiable. Our field may be approaching a crisis of rigor.« (Bellare/Rogaway)

Der Vortrag plädiert für mathematisch formale Modelle und maschinenüberprüfbare Beweise, um menschliche Fehler auszuschließen. Die große Herausforderung dabei ist, eine intuitive Beweisidee in einen maschinenüberprüfbaren Beweis zu überführen. Neue Konzepte aus der Kryptographie erlauben eine Modularisierung und eine stimmige Abstraktion, und ermöglichen so verständliche Sicherheitsgarantien für konkrete Softwaresysteme.

Die Vision ist ein Theoriegebäude, das jeder erweitern darf, das aber insgesamt maschinenüberprüfbar und korrekt bleibt.

Das muß man sich auf der Zunge zergehen lassen: „many proofs in cryptography have become essentially unverifiable”. Unverifiable Proofs. Contradiction in Terms.

Es bestätigt damit das, was ich schon länger sehe (und schreibe), daß die Kryptographie ein höchst unseriöser Sumpf geworden ist, in dem viel behauptet wird und wenig nachprüfbar ist. Ausgerechnet in der Wissenschaft ist durch diese Vetternwirtschaft ein Raum entstanden, in dem – auf Grundlage des gegenseitigen Annehmens von Papern – alles behauptet werden kann. Eine ganze Disziplin versinkt in Schwindel und Hochstapelei, gebaut aus nicht mehr nachvollziehbaren Behauptungen. Der Publikationsdruck hat die intellektuelle Produktivität weit überholt.

Ich glaube aber nicht, daß es durch maschinelles Beweisen besser wird. Im Gegenteil. Damit verschafft man sich nur ein Alibi für das „Weiter so”. Jetzt wird der Zustand, daß der Mensch etwas nicht versteht, nicht mehr als Mangel, sondern als Fortschritt und künftiger Normalzustand ausgegeben.

Wie gefährlich das ist, sieht man an der BAN-Logik. Einige Leute haben mit der BAN-Logik und deren Ablegern die Richtigkeit irgendwelcher Protokolle nachgewiesen, oder ganze Verifikatoren geschrieben. Und damit promoviert, habilitiert und so weiter.

Es hat nie jemanden gestört (und vermutlich hat es kaum einer gemerkt), daß man mit der BAN-Logik keinen Verifikator schreiben kann, weil die BAN-Logik nur Fehler finden aber keine Richtigkeit prüfen kann. Wenn überhaupt, könnte man einen Falsifikator schreiben. Aber nicht einmal das, denn Gollmann hat nachgewiesen, daß man mit BAN korrekte Protokolle falsifizeren und fehlerhafte Protokolle verifizieren kann. Also für die Tonne. Man lernt aber daraus, daß man den Formalismen nicht allzuweit trauen kann. Irgendwer erfindet irgend ein Kalkül, mit dem man irgendwas errechnen kann oder auch nicht, und hinterher kommt als Ergebnis „falsch” oder „richtig” raus. Sowas reicht für Papers und Dissertationen, aber eine semantische Übereinstimmung mit dem echten „falsch” und „richtig” gibt es nicht. Alle diese Kalküle und Verifikatoren leiden unter dem Problem, daß da irgendeine wilkürliche Eigenschaft (wie damals bei Beths transitiver aber völlig bedeutungsloser Definition von Sicherheit ohne Angreifer) bewiesen wird, von der man nicht weiß, was sie ist. Es bedeutet nichts, aber die Anzahl der Kalküle dürfte überabzählbar sein, womit die Publikationsdichte – nicht die Richtigkeit der Protokolle – gewährleistet sein dürfte.

Ein sehr schönes Beispiel dafür war auch as Bell-LaPadula-Modell, ebenso die nachfolgenden formalen Sicherheitsmodelle. Alles ganz toll, alles formal beweisbar. Und trotzdem in der Realität weder anwendbar noch sicher.

Selbst wenn dies aber alles möglich (und korrekt) wäre, so übersehen die Wissenschaftler dabei einen ganz erheblichen Punkt (der sich damals im RMX-Umfeld als sehr drastische Notwendigkeit herausgestellt hat):

Etwas ist nicht bereits dann sicher, wenn es abstrakt oder maschinell beweisbar ist und es vielleich faktisch oder auch tatsächlich keinen Angriff dagegen gibt. Etwas ist erst dann sicher, wenn der, der es benutzt, sich auch selbst von der Sicherheit überzeugen kann, es also keine Black Box ist und die Sicherheit nicht auf einem willkürlich-blinden Vertrauen in irgendwelche Wissenschaftler beruht. Das bedeutet aber, daß nicht nur die 100 spezialisiertesten Wissenschaftler, sondern ein nennenswerter und über die Länder und Kulturen gestreuter Teil der inzwischen über eine Milliarde Internetnutzer die Sicherheit verstehen und nachvollziehen kann. Sicherheit heißt nicht (nur), daß keiner einbrechen kann. Sie heißt auch, daß man sich darauf verlassen kann. Sicherheit kommt von altdeutsch sichur und lateinisch sed cur. Das bedeutet „ohne Sorge”, hat also eine subjektive Komponente.

Es zeigt sich wieder einmal, daß der Wissenschaftsbetrieb und die Publikations- und Mittelvergabepraxis die wissenschaftliche Qualität massiv beeinträchtigen.