Einführung

In diesem Tutorial möchte ich euch etwas über den RSA Algorithmus berichten.Wenn ihr wenig,
oder gar keine Ahnung von der Kryptographie habt, empfehle ich euch zuerst andere Kryptographietuts zu lesen, indenen einige Grundlagen erläutert sind.

Der RSA Algorithmus ist nach seinen Erfinden benannt: Ron Rivest, Adi Shamir und Len Adleman.
Der RSA Algorithmus war das erste Publik Key Verfahren und ist bis heute noch das wichtigste.
Die Schwierigkeit der Entschlüsselung des RSA-Algorithmus beruht darauf, dass es sehr schwierig ist 2 grosse Primzahlen zu Faktorisieren.Im Normalfall sind die Primzahlen häufig 1024 Bit lang.Das heisst sie haben mindestens 100 Stellen.

Schlüsselerzeugung

In diesem Abschnitt möchte ich erläutern, wie man seinen privaten, und seinen öffentlichen Schlüssel erzeugt.Die Schlüsselerzeugung läuft in 4 Schritten ab:

1. Man wählt 2 Primzahlen: p und q

2. Man bildet das Produkt dieser Primzahlen: n= p*q

3.Man wählt eine Zahl e, die grösser ist als 1, kleiner als n und keine gemeinsamen Faktoren mit dem Produkt (p – 1) * (q – 1) hat.Ausserdem muss

gcd(e,(p-1)*(q-1)) = 1 sein und e muss ungerade sein.(gcd = greatest common divisor = Grösster gemeinsamer Teiler)

4.Man berechnet eine Zahl d , die grösser ist als 1 und kleiner ist als (p-1)*(q-1) und
d*e = 1 mod (p – 1)*(q – 1).Diese Zahl kann mit dem erweiterten euklidischen Algorithmus berechnet werden.Oder man versucht eine Zahl x zu finden , für die gilt:
d= (x(p-1)(q-1)+1)/e ist ein ganzzahliges Ergebnis.Diese Zahl ist durch probieren herauszufinden..

Nun haben wir zwei Primzahlen p und q, das Produkt n, die Zahl e und die Zahl d.
Das Paar (n,e) bildet den öffentlichen Schlüssel und d den privaten Schlüssel.
Man nennt die Zahl

n : RSA – Modul

e : Verschlüsselungsexponent

d : Entschlüsselungsexponent

Damit haben wir unsere Schlüssel erzeugt und können uns der Verschlüsselung widmen.Aber zuvor zur Veranschaulichung noch ein Beispiel:

1.Man wählt 2 Primzahlen : p = 11 und q = 23
2.Das Produckt n ist dann : 253
3.Die Rechnung (p-1)*(q-1) ergibt: 10 * 22= 220. In Primfaktoren zerlegt ist diese Zahl:
4 * 5 * 11.Das einfachste e das wir wählen können ist e=3.e erfüllt auch die bedingung dass: gcd(e,(p-1)*(q-1)) = 1 ist.
4.Nun brauchen wir die Zahl d mit d= (x(p-1)(q-1)+1)/e oder d*e = 1 mod (p – 1)*(q – 1).Wir berechnen d und kommen auf:

d = 147

Fassen wir nun unsere Zahlen einmal zusammen:
p= 11
q= 23
n= 253
e= 3
d= 147
Der öffentliche Schlüssel ist: (253 , 3)
Jeder der diesen Schlüssel kennt kann Nachrichten verschlüsseln.
Der private Schlüssel lautet : d = 147

Somit können wir nun zur Verschlüsselung kommen.

Verschlüsselung
Im folgenden steht

c für Chiffre
m für Klartext
N für die Länge eines angenommen Alphabets
k für die Blocklänge

Einen Klartext veschlüsselt man folgendermaßen:

c = m^e mod n

Wir erstellen uns nun ein Alphabet der Länge N.Wie nehmen:

Diese Alphabet hat die Länge N = 4.Wir berechnen k = log ₄ 253 = 3.Die Zahl k=3 ist unsere Klartextblocklänge.

Wir werden nun den Klartextblock “abb” verschlüsseln.Aus unserer Alphabetstabelle entnehem wir das “abb” der Zahl 122 entspricht.

Nun können wir m berechnen: m = 1 * 4² + 2 * 4¹ + 2 * 4⁰ = 26

Daraus folgt c= 26³ mod 253 = 119.

Die Zahl müssen wir nun zur Basis N = 4 schreiben.Die Quadratzahlen von 4 lauten:

1 ; 4 ; 16 ; 64

Wir teilen nun 119 durch 64: 119/64 = 1 Rest 55

Nun teilen wir 55 durch 16: 55/16 = 3 Rest 7

Nun teilen wir 7 durch 4: 7/4 = 1 Rest 3

Schliesslich teilen wir noch 4 durch 1 : 4/1 = 4 rest 0

Die Zahl 119 lautet zur Basis 4 geschrieben also: 1313

Wenn wir uns nun unsere Alphabetstabelle anschauen sehen wir das 1313 der Buchstaben kombination:

“acac” entspricht.Jeder der den Public Key ” (253 ; 3 ) kennt kann beliebige Nachrichten verschlüsseln.

Aber nur derjenige der den privaten Schlüssel d = 147 kennt kann diese Nachricht auch wieder entschlüsseln

Dies wird im nächsten Abschnitt gezeigt.

Entschlüsselung

Entschlüsselt wird nach folgender Rechnung:

m = c^d mod n

Auf den Beweis des Satzes werde ich hier nicht näher eingehen.

Er hängt damit zusammen das : e*d kongruent zu 1 mod (p – 1)(q – 1) ist.

Wir werden nun als Beispiel unser im letzten Abschnitt verschlüsselten Klartext wieder entschlüsseln.

Wir hatten im letzten Abschnitt:

n = 253

e= 3

d = 147

c= 119

Wir setzten nun diese zahlen in unsere Entschlüsselungsformel ein:

119¹⁴⁷ mod 253 = 26

Tatsächlich haben wir im letzten Abschnitt m= 26 berechnet.

Vorteile:
räumlich flexibel innerhalb eines Empfangsbereichs
Ad-hoc-Netzwerke ohne vorherige Planung machbar
keine Verkabelungsprobleme
Unanfälliger gegenüber Katastrophen wie Erdbeben
und auch unachtsamen Benutzer, die gern mal die Stecker ziehen!

Nachteile:
im Allgemeinen noch sehr niedrige Übertragungsraten bei größerer Nutzerzahl
Beachtung vieler nationaler Regelungen, globale Regelungen werden erst langsam geschaffen.
begrenztes Frequenzspektrum, Interferenzen der Frequenzen

Kommunikationstechnologien

WLAN (Wireless LAN) – IEEE 802.11 (Institute of Electrical and Electronics Engineers)

Drahtlose Netzwerk Adapter sind erheblich langsamer als herkömmliche Netzwerkkarten.
(Datenraten momentan 2 bzw. 11 MBit/s) Innerhalb der Reichweite
(je nach Gebäudestruktur etwa 10-50 m) teilen sich die drahtlos vernetzten Computer die
Übertragungsleistung. Die Netto-Geschwindigkeit sinkt dadurch weiter.
Die Kosten für drahtlose Adapter liegen weit über jenen für konventionelle 100-MBit/s Netzwerkkarten.
Bei den meisten Lösungen sind zusätzlich teure Access Points (Basisstationen) nötig,
die die Schnittstelle zwischen einem Kabel Netzwerk und drahtlosen Workstations darstellen.

IrDA (Infrared Data Association)

Infrarotstandard, Datenrate bis 4 Mb/s
Für den Kurzstreckenbereich ausgelegt (wenige Meter)
Hardware sehr preisgünstig (Grundausstattung in Notebooks, PDA (Personal Digital Assistant), Handys)
Sender und Empfänger benötigen eine direkte Sichtverbindung /nur Punkt zu Punkt Verbindungen möglich)
Anfällig gegenüber Interferenzen, aber keine Rangeleien um Funkfrequenzen
Bluetooth (IEEE 802.15)

Datenrate von ca. 1 Mb/s
Chip sendet im Mikrowellenbereich von 2,4 GHz bis 2,48 GHz.
Dieser Abschnitt des gebührenfreien ISM-Bands (ISM= Industrial, Scientific and Medical)
liegt sehr nahe an der Arbeitsfrequenz eines Mikrowellenherds, dessen Magnetron
in der Regel bei 1,450 GHz schwingt. Dass der Funkverkehr trotzdem störungsfrei verläuft
und auch neben anderen Wireless – Netzen funktioniert, soll eine Technik garantieren,
die sich in dem So genannten Baseband-Protkoll manifestiert.
Hierin ist festgelegt, dass die Trägerfrequenz nicht konstant bleibt,
sondern in einer zeitlichen Abfolge verschiedene Werte aus einer festen Menge von Frequenzen annimmt.
Der Sender springt bis zu 1600 mal in der Sekunde zwischen 29 Stufen einer Frequenztreppe, die mit 1 MHz großen Abständen den Bereich von 2440 MHz bis 2480 MHz abdecken. Ein Gerät, das die Nachricht empfangen will,
muss mit dem Sender synchronisiert sein und genau die gleiche Sprungfolge für die Trägerfrequenz verwenden.
Nur Nachrichten, die diesen Fingerabdruck tragen, landen bei den Teilnehmern eines Bluetooth – Netzes, Signale
anderer Quellen werden herausgefiltert. Die Daten schließlich werden der Sprungfolge durch eine binäre Frequenzmodulation angehängt. Reichweite bis ca. 15 m (mit höherer Sendeleistung bis zu 100m), Bildung kleiner Funkzellen Ad-hoc Networking: spontaner (automatischer) Zusammenschluss mehrerer mobiler Geräte (max. zu einem kleinen netz Einsatz bei Handys, PDAs, usw…
DECT (Digital Enhanced Cordless Telecommunications)

Standard für Schnurlostelefone und für mikrozellulare Funknetzwerke mit einem Radius von 300 Metern.
DMAP (DECT Multimedia Access Profile), die um Datendienste erweiterte Variante des DECT-Standards:
bertragung von Audio- und Videosignalen mit bis zu 128 kBit/s
DMAP
Hat im Gegensatz zu Bluetooth den Vorteil, dass es mit dem 1,9 GHz-Band ein reserviertes Frequenzband benutzt. So sind Komplikationen mit anderen Anwendungen ausgeschlossen.

Faktoren, die die Ausbreitung beeinflussen:

Die Ausbreitung verläuft geradlinig, das Signal wird auf dem Ausbreitungsweg abgeschwächt
(Die Empfangsleistung ist proportional zu 1/d2, d= Abstand zwischen Sender und Empfänger)
Interferenzen und Phasenverschiebung der verwendeten Frequenzen
Natürliche Umgebung: Gebirge, Wasser, Vegetation, Regen, Schnee
Künstliche Umgebung: Gebäude etc.

Mit LDAP steht eine Schnittstelle zu dem bei meinem Arbeitgeber eingesetzten Microsoft Active Directory zur Verfügung. Doch der Teufel steckt im Detail… Nach kurzer Suche im Meta-Wiki bin ich auf den LDAP-Authentification-Patch für die aktuellen MediaWiki-Versionen gestoßen. Nach anfänglichen Schwierigkeiten mit den Konfigurationsbeispielen brachte ich schließlich immerhin die Funktion zum Laufen, dass der Login eines Benutzers im AD geprüft wird und sich der Benutzer bei korrektem Passwort erfolgreich einloggen kann. Die hierfür nötige Konfiguration lautet wie folgt:

# LDAP Authentication patch
require_once( “includes/LdapAuthentication.php” );
$wgAuth = new LdapAuthenticationPlugin();
$wgLDAPDomainNames = array( “unseredomain” );
$wgLDAPServerNames = array( “unseredomain”=>”domaincontroller.unseredomain.firma.net” );
$wgLDAPSearchStrings = array( “unseredomain”=>”unseredomain\USER-NAME” ); //do not change “USER-NAME”!
$wgLDAPUseSSL = false; //not recommended but OK for testing
$wgLDAPUseLocal = false;
$wgMinimalPasswordLength = 1;
$wgLDAPRetrievePrefs = false;
$wgLDAPBaseDNs = array( “unseredomain”=>”dc=unseredomain,dc=firma,dc=net” );[/geshi]

Folgende Einstellungen sollte man noch vornehmen, um grundsätzlich ein Login der Benutzer zu erzwingen, zusammen mit ein bisschen Kosmetik (wir möchten keine IP bei anonymen Benutzern sehen!):
# This snippet prevents new registrations from anonymous users
# (Sysops can still create user accounts)
$wgGroupPermissions['*']['createaccount'] = false;

# This snippet prevents editing from anonymous users
$wgGroupPermissions['*']['edit'] = false;

#$wgWhitelistRead = array( “Main Page”, “Special:Userlogin”, “-”, “MediaWiki:Monobook.css” );
$wgWhitelistRead = array( “Hauptseite”, “Spezial:Userlogin”, “-”, “MediaWiki:Monobook.css” );
$wgGroupPermissions['*']['read'] = false;

# remove IP display in header for non logged-in users
$wgShowIPinHeader = false; # For non-logged in users [/geshi]

Das war allerdings nicht genug. Die Anforderungen besagen, dass es nur bestimmten Benutzern ermöglicht werden soll, auf das jeweilige Wiki zuzugreifen. Bei einem vorhandenen Active Directory kann man dies natürlich wunderbar über eine Gruppe abbilden. Ich habe nun die vergangenen Tage mehrmals die Dokumentation (hier auch) und die Diskussionsseiten gewälzt und sämtliche Parameter durchprobiert – immer ohne Erfolg.

Als kleines Nebenprodukt ist dabei unter Verwendung der Klasse adLDAP ein PHP-Skript enstanden, mit der wir uns nun webbasiert sämtliche wichtigen Infos zu einem Benutzer oder einer Gruppe ausgeben lassen können. Immerhin hatte ich mittlerweile die doch relativ wilde Struktur des AD verinnerlicht, auch dank einer gewohnt guten Präsentation von Kris Köhntopp.

Mir blieb nichts anderes übrig, als den Code step-by-step durchzugehen und nachzuvollziehen, was genau passiert. Herausgekommen ist folgender Patch für die LdapAuthentication.php (1.0g):

# Changed by Fabian Fischer (ff@nodomain.cc) to really work with our
# Active Directory, 24.08.2006 (see LocalSettings.php for configuration!)
754,756c756,761
if ( in_array( $group, $reqgroups ) ) {
$this->printDebug(“Found user in a group.”,1);
return true;
—
//case-insensitive search
foreach ($reqgroups as $item) {
if (strtolower($item) == $group) {
$this->printDebug(“Found user in a group.”,1);
return true;
}
848,849c853,854
foreach ($info as $i) {
$mem = strtolower($i['dn']);
—
foreach ($info[0]['memberof'] as $i) {
$mem = strtolower($i);
852c857,858
—
array_shift($groups);

Mit diesen Parametern in der LocalSettings.php bin ich nun endlich in der Lage, definierte Gruppen auf das Wiki zu berechtigen:

# groups
$wgLDAPRequiredGroups = array( “unseredomain”=>array(“CN=WIKIGRUPPE,OU=Group,DC=unseredomain,DC=firma,DC=net”) );
$wgLDAPGroupUseFullDN = array( “unseredomain”=>false );
$wgLDAPGroupObjectclass = array( “unseredomain”=>”*” );
$wgLDAPGroupAttribute = array( “unseredomain”=>”samaccountname” );
$wgLDAPGroupSearchNestedGroups = array( “unseredomain”=>false );

Ein Link zur LDAP Extension und damit auch zur LdapAuthentication.php findest du HIER.