Ein sicherer Kanal ist ein kryptographisches Protokoll das ungeschützte Netzwerkverbindungen absichert. Die prominentesten Beispiele, Transport Layer Security (TLS) und Secure Shell (SSH), erhielten aufgrund ihrer weiten Verbreitung besondere Aufmerksamkeit von Seiten akademischer Forschung. Beginnend mit den Arbeiten von Bellare, Kohno, und Namprempre (BKN; CCS 2002) über die Sicherheit von SSH haben zahlreiche Autoren kryptographische Kanalprotokolle mit einem Ansatz ähnlich dem von BKN analysiert, nämlich Kanäle als zustandsbehaftete authentisierte Verschlüsselung modellierend. Verbreitete Protokolle wie TLS und SSH sind jedoch ihrem Wesen nach komplex, und eine einzelne mathematische Abstraktion kann schwerlich alle für ihre Sicherheit relevanten Aspekte berücksichtigen.

In dieser Dissertation stellen wir die Eignung der Abstraktion als zustandsbehaftete authentisierte Verschlüsselung für die Analyse von Kanalprotokollen in der realen Welt in Frage. Insbesondere zeigen wir auf, dass eine solche Abstraktion zu restriktiv ist, auf eine Weise die wir im Folgenden erklären, um drei wichtige Aspekte abzudecken, die in bisher existierenden kryptographischen Modellierungen von Kanälen nicht auftreten.

Zunächst stellen wir den allgegenwärtigen Ansatz in Frage, der Kanäle aufgrund entsprechend formalisierter Schnittstellen als Transportmittel für atomare Nachrichten auffasst. Der genannte Ansatz ignoriert, dass viele Protokolle in der realen Welt, einschließlich TLS und SSH, tatsächlich strom-orientierte Schnittstellen anbieten. Zum Studieren des nicht-atomaren Verhaltens solcher Protokolle und ihrer Sicherheit entwickeln wir Vertraulichkeits- und Integritätsbegriffe auf Basis des Modells für zustandsbehaftete authentisierte Verschlüsselung von BKN, um den Eigenheiten von strom-basierten Protokollen Rechnung zu tragen. Inspiriert vom TLS 1.3-Protokoll präsentieren wir eine generische Konstruktion eines strom-basierten Kanals, auf Grundlage von authentisierter Verschlüsselung mit assoziierten Daten (AEAD), und beweisen ihre Sicherheit.

Zweitens stellen wir fest, dass TLS, SSH, und viele weitere Kanalprotokolle typischerweise für bidirektionale Interaktion verwendet werden, während kryptographische Modelle solche Protokolle ausschließlich im Hinblick auf unidirektionale Kommunikation bewerten, d.h., mit genau einem Sender und einem Empfänger. Entsprechend fragen wir: Lassen sich Ergebnisse über unidirektionale Kanäle auf den bidirektionalen Fall übertragen? Und, unmittelbarer, was bedeutet Sicherheit im bidirektionalen Fall überhaupt? Wie skalieren diese Eigenschaften wenn mehr als zwei Teilnehmer vorhanden sind? Um diese Fragen zu beantworten studieren wir Sicherheitsbegriffe für bidirektionale Kanäle und ihre Verallgemeinerung zum Broadcast Setting, in dem mehrere Teilnehmer vorhanden sind und jede Sendung eines Teilnehmers alle übrigen Teilnehmer erreicht. Im letzteren Fall müssen die Definitionen von Vertraulichkeit und Integrität Aspekte von Kausalität in Verteilten Systemen umfassen, die keine Entsprechung im viel einfacheren Fall unidirektionaler Kommunikation haben. Kausale Zusammenhänge zwischen ausgetauschten Nachrichten sind besonders relevant, in Hinblick auf sowohl Funktionalität als auch Sicherheit, im Kontext von Protokollen zum Instant Messaging, etwa TextSecure. In diesem Teil der Dissertation geben wir generische Konstruktionen von Broadcast-Kanälen auf Basis von AEAD an. Wir analysieren und validieren die traditionelle heuristische Methode (benutzt etwa für TLS), einen bidirektionalen Kanal durch die Kombination zweier unidirektionaler Kanäle zu erhalten.

Im dritten Teil dieser Arbeit studieren wir Vorwärtssicherheit, die reguläre Sicherheitsdefinitionen durch die Forderung stärkt, dass sogar im Fall wenn Angreifer (durch Korrumpierung) zu einem Zeitpunkt Zugriff auf verwendetes Schlüsselmaterial erhalten, vergangene Anwendungen des Kryptosystems nicht kompromittiert werden. Obwohl dies ein standardmäßiges Sicherheitsziel von authentisiertem Schlüsselaustausch ist, wurde sein Erreichen bisher nicht als ein Ziel von kryptographischen Kanälen verstanden, zumindest nicht nach den Modellen von BKN und seinen Nachfolgern. Es wird jedoch als Folklore-Ergebnis aufgefasst, dass vorwärtssichere authentisierte Verschlüsselung auf modulare Weise erreicht werden kann durch Ersetzen der Schlüsselerzeugungsprozedur durch eine, die eine Folge von vorwärtssicheren Schlüsseln erzeugt, um dann diese zum Erneuern der Schlüssel von Ver- und Entschlüsselungsroutine zu verwenden. Dieser Ansatz kann auch zum Realisieren vorwärtssicherer Kanäle verwendet werden. Dem folgend verlassen wir im dritten Teil der Dissertation das Gebiet sicherer Kanäle und konzentrieren uns auf die Konstruktion vorwärtssicherer Schlüsselerzeugungsmechanismen. Sichere Lösungen bereits in der Vergangenheit vorgeschlagen worden. Hier komplementieren wir das aktuelle Bild durch explizit effizienzsteigernde Verbesserungen für vorwärtssicheren Schlüsselerzeugungsmechanismen, und illustrieren, dass unsere Lösungen insbesondere eine natürliche Anwendung in der Authentisierung von Log-Dateien finden. Implementationen einer unserer Konstruktionen sind auf Millionen von Computern weltweit installiert.