Was ist ein One-Time-Pad? Verschlüsselung und OTP erklärt

Ein One-Time-Pad verschlüsselt eine Nachricht mit einem geheimen Zufallsschlüssel, der genauso lang ist wie die Nachricht. Für jede Verschlüsselung wird frisches Schlüsselmaterial verwendet. Unter strengen Voraussetzungen liefert das beobachtete Chiffrat einem Angreifer keine zusätzlichen Informationen über die Nachricht.

Die Abkürzung OTP kann auch für ein Einmalpasswort oder einen Anmeldecode stehen. Ein One-Time-Pad, ein Login-OTP und ein Link, der sich einmal öffnen lässt, lösen unterschiedliche Probleme.

Voraussetzungen für ein echtes One-Time-Pad

Für eine Nachricht mit n Bit benötigt die binäre Konstruktion n frische geheime Schlüsselbits:

Das Pad muss gleichverteilt gezogen werden: Jeder n-Bit-Schlüssel muss dieselbe Auswahlwahrscheinlichkeit haben.
Es muss unabhängig von der Nachricht und von anderem Pad-Material erzeugt werden.
Es muss vor dem Beobachter geheim bleiben.
Jeder Pad-Abschnitt darf nur eine Nachricht verschlüsseln. Überlappende Abschnitte dürfen niemals für eine weitere Verschlüsselung verwendet werden.

Auf diesen Annahmen beruht der Sicherheitsbeweis in Mike Rosuleks Kapitel zum One-Time-Pad. Ein leicht merkbarer Satz oder ein sich wiederholender Schlüssel erfüllt sie nicht.

Ein XOR-Beispiel mit vier Bit

XOR wird als ⊕ geschrieben. Stimmen zwei Bits überein, ist das Ergebnis 0; unterscheiden sie sich, ist es 1. Zur Verschlüsselung werden Nachricht und Pad verknüpft, zur Entschlüsselung wird dasselbe Pad erneut angewendet.

Schritt	Operation	Ergebnis
Verschlüsseln	`1010 ⊕ 0110`	`1100`
Entschlüsseln	`1100 ⊕ 0110`	`1010`

Hier ist die Nachricht 1010, das Pad 0110 und das Chiffrat 1100. Die erneute XOR-Verknüpfung hebt die Wirkung des Pads auf. Das Beispiel zeigt die Mathematik; für tatsächliche Kommunikation sind auch sichere Schlüsselverwaltung und Authentifizierung nötig.

Was perfekte Geheimhaltung wirklich bedeutet

In Abschnitt 10 von Claude Shannons Originalarbeit bedeutet perfekte Geheimhaltung: Die Wahrscheinlichkeiten, die der Beobachter den Nachrichten zuordnet, ändern sich durch Kenntnis des Chiffrats nicht.

Die Nachrichten müssen dafür nicht alle gleich wahrscheinlich sein. War eine gleich lange Nachricht vorher plausibler, kann sie es auch nachher bleiben. Das Chiffrat liefert keine weiteren Anhaltspunkte. Das übliche Modell mit fester Länge verbirgt außerdem weder Kommunikationszeitpunkte noch Beteiligte oder Nachrichtenlängen.

Warum die Wiederverwendung des Pads die Garantie aufhebt

Verwenden zwei gleich lange Nachrichten dasselbe Pad K, gilt C1 = M1 ⊕ K und C2 = M2 ⊕ K. Durch Verknüpfen der Chiffrate fällt K weg:

C1 ⊕ C2 = M1 ⊕ M2

Der Angreifer erfährt eine Beziehung zwischen den Nachrichten. Dadurch werden nicht automatisch beide vollständigen Klartexte bekannt. Ein bekannter Klartextabschnitt legt jedoch den passenden Pad-Abschnitt und den entsprechenden Teil der anderen Nachricht offen. Vorhersehbare Strukturen können ebenfalls helfen, Vermutungen zu prüfen.

Praktische Grenzen jenseits der Gleichung

Beide Seiten müssen bereits genügend geheimes Pad-Material gemeinsam besitzen. Sie müssen dessen Speicherung absichern, ihre Verwendungspositionen synchron halten und verhindern, dass verbrauchte Abschnitte erneut zum Einsatz kommen. Mit der Menge übertragener Informationen wächst auch das zu verteilende Schlüsselmaterial; die XOR-Operation löst dieses Problem nicht.

Ein Pad allein bietet weder Integrität noch Authentifizierung des Absenders. Wird ein Bit des Chiffrats verändert, ändert sich das entsprechende Bit nach der Entschlüsselung, ohne eingebauten Warnhinweis. Vertraulichkeit allein beweist nicht, wer die Nachricht gesendet hat oder ob sie verändert wurde.

One-Time-Pad, Login-OTP und Link zum einmaligen Anzeigen

Begriff	Zweck	Bedeutung von „einmalig“
One-Time-Pad	Nachrichteninhalt verschlüsseln	Pad-Material wird für eine Verschlüsselung verwendet
Login-OTP	Besitz eines Authentifikators nachweisen	Ein erzeugter Code wird während seiner Gültigkeit einmal akzeptiert
Link zum einmaligen Anzeigen	Zugriff über einen Dienst begrenzen	Nach erfolgreichem Entsperren werden neue Entsperrungen blockiert

Abschnitt 3.1.4 der NIST-Richtlinie zu Authentifikatoren beschreibt Login-OTPs, die aus einem Geheimnis des Authentifikators und einem Zeitwert oder Zähler erzeugt werden. Sie dienen der Authentifizierung und sind keine Pads zur Nachrichtenverschlüsselung.

Wie LOCK.PUB einzuordnen ist

Die passwortgeschützte Notiz von LOCK.PUB bietet Zugriffskontrollen. Sie implementiert kein One-Time-Pad und bietet weder Ende-zu-Ende-Verschlüsselung noch ein Zero-Knowledge-Verfahren: Der Server verarbeitet den Klartext der Notiz. Normale Notizlinks lassen sich standardmäßig mehrfach öffnen. Bei einer gewählten Einmalansicht verhindert eine erfolgreiche Anzeige mit dem richtigen Passwort neue Entsperrungen; sie löscht gespeicherte Inhalte nicht sofort und kann Downloads, Bildschirmfotos oder andere Kopien nicht zurückholen.

Für das praktische Teilen hilft der Leitfaden für geheime Notizen. Der Leitfaden zur Textverschlüsselung erläutert, worauf es beim Schutz von Texten ankommt.

Häufige Fragen

Ist ein One-Time-Pad unknackbar?

Das ideale Verfahren bietet unter seinen Annahmen perfekte Geheimhaltung. Offengelegte Pads, wiederverwendete Abschnitte, kompromittierte Endgeräte und Manipulationen müssen gesondert betrachtet werden.

Kann ein kurzer Startwert ein echtes Pad erzeugen?

Ein sicherer Pseudozufallsgenerator kann einen kurzen Startwert in eine längere Maske erweitern und unter bestimmten Annahmen rechnerische Sicherheit bieten. Seine Ausgabe ist jedoch nicht über alle längeren Bitfolgen gleichverteilt und bietet daher nicht die perfekte Geheimhaltung des Pads.

Bedeutet „einmalig“, dass die Nachricht verschwindet?

Beim Pad beschreibt das Wort die Schlüsselverwendung, beim Link den Zugriff. Keiner der Begriffe beweist allein eine Löschung oder entfernt Kopien, die bereits angefertigt wurden.