Wat is een one-time pad? Versleuteling en OTP uitgelegd

Een one-time pad versleutelt een bericht met een geheime willekeurige sleutel die minstens even lang is als het bericht. Voor elke versleuteling is nieuw sleutelmateriaal nodig. Onder strikte voorwaarden levert het bekijken van de cijfertekst een aanvaller geen aanvullende informatie over het bericht op.

De afkorting OTP kan ook staan voor een eenmalig wachtwoord of een inlogcode. Een one-time pad, een OTP voor inloggen en een link die één keer opent, lossen verschillende problemen op.

Voorwaarden voor een echt one-time pad

Voor een bericht van n bits vereist de binaire constructie n nieuwe geheime sleutelbits:

Kies de sleutel uniform: elke sleutel van n bits moet dezelfde kans hebben om gekozen te worden.
Genereer de sleutel onafhankelijk van het bericht en van ander sleutelmateriaal.
Houd de sleutel geheim voor de waarnemer.
Gebruik elk sleutelsegment voor slechts één bericht. Gebruik overlappende segmenten nooit opnieuw voor een andere versleuteling.

Deze aannames vormen de basis van het beveiligingsbewijs in Mike Rosuleks hoofdstuk over het one-time pad. Een makkelijk te onthouden zin of een herhaalde sleutel voldoet er niet aan.

Een XOR-voorbeeld met vier bits

XOR, geschreven als ⊕, geeft 0 als twee bits gelijk zijn en 1 als ze verschillen. Bij versleuteling worden het bericht en de sleutel gecombineerd; bij ontsleuteling wordt dezelfde sleutel nogmaals toegepast.

Stap	Bewerking	Resultaat
Versleutelen	`1010 ⊕ 0110`	`1100`
Ontsleutelen	`1100 ⊕ 0110`	`1010`

Hier is het bericht 1010, de sleutel 0110 en de cijfertekst 1100. Door XOR nogmaals toe te passen valt de sleutel weg. Dit voorbeeld laat de wiskunde zien; echte communicatie vereist ook veilig sleutelbeheer en authenticatie.

Wat perfecte geheimhouding werkelijk betekent

In paragraaf 10 van Claude Shannons oorspronkelijke artikel betekent perfecte geheimhouding dat het leren kennen van de cijfertekst de kansen die een waarnemer aan berichten toekent niet verandert.

Dat vereist niet dat alle berichten even waarschijnlijk zijn. Als een bericht van dezelfde lengte vooraf aannemelijker was, kan het achteraf aannemelijker blijven. De cijfertekst voegt geen bewijs toe. Het gebruikelijke model met een vaste lengte verbergt ook niet de tijdstippen van de communicatie, de deelnemers of de lengte van het bericht.

Waarom hergebruik van de sleutel de garantie verbreekt

Als twee even lange berichten dezelfde sleutel K gebruiken, geldt C1 = M1 ⊕ K en C2 = M2 ⊕ K. Door de cijferteksten te combineren valt K weg:

C1 ⊕ C2 = M1 ⊕ M2

De aanvaller leert een verband tussen de berichten. Hierdoor worden niet automatisch beide volledige teksten zichtbaar. Maar een bekend stuk platte tekst onthult het bijbehorende sleutelsegment en het overeenkomstige deel van het andere bericht. Een voorspelbare structuur kan de aanvaller ook helpen om vermoedens te toetsen.

Praktische beperkingen buiten de formule

Beide partijen moeten vooraf voldoende geheim sleutelmateriaal delen. Ze moeten dit veilig opslaan, hun gebruiksposities gelijk houden en voorkomen dat gebruikte segmenten opnieuw worden toegepast. De hoeveelheid sleutelmateriaal die moet worden verspreid groeit met de hoeveelheid verzonden informatie; XOR lost dat probleem niet op.

Een pad alleen biedt geen integriteit en geen authenticatie van de afzender. Wie een bit in de cijfertekst verandert, verandert ook het overeenkomstige bit na ontsleuteling, zonder ingebouwde waarschuwing. Geheimhouding alleen toont niet aan wie een bericht heeft verstuurd of dat het ongewijzigd is.

One-time pad, OTP voor inloggen en eenmalig te openen link

Begrip	Doel	Betekenis van ‘eenmalig’
One-time pad	De inhoud van een bericht versleutelen	Sleutelmateriaal wordt voor één versleuteling gebruikt
OTP voor inloggen	Bezit van een authenticatiemiddel aantonen	Een gegenereerde code wordt binnen de geldigheidsduur één keer geaccepteerd
Eenmalig te openen link	Toegang via een dienst beperken	Na een geslaagde ontgrendeling zijn nieuwe onthullingen geblokkeerd

De NIST-richtlijn voor authenticatiemiddelen, paragraaf 3.1.4 beschrijft inlog-OTP's die worden gegenereerd met een geheim van het authenticatiemiddel en een tijdwaarde of teller. Ze dienen voor authenticatie; het zijn geen pads om berichten mee te versleutelen.

Welke rol LOCK.PUB speelt

De wachtwoordbeveiligde memo van LOCK.PUB is een standaardmemo die opnieuw kan worden geopend; hij is standaard niet beperkt tot één weergave. Hij gebruikt geen one-time pad en biedt geen end-to-endversleuteling: de server verwerkt de platte tekst van de memo.

Een limiet van één weergave is een afzonderlijk toegangsbeleid. Als die limiet geldt, blokkeert een geslaagde ontgrendeling met het wachtwoord nieuwe onthullingen. Dat verwijdert de opgeslagen inhoud niet en haalt geen downloads, schermafbeeldingen of andere al gemaakte kopieën terug.

Lees voor praktisch delen de gids voor geheime memo's. De gids voor tekst online versleutelen legt uit hoe het delen van tekst met wachtwoordbeveiliging werkt.

Veelgestelde vragen

Is een one-time pad onkraakbaar?

Het ideale schema biedt perfecte geheimhouding als aan de aannames wordt voldaan. Uitgelekte sleutels, hergebruikte segmenten, gecompromitteerde apparaten en manipulatie vragen om afzonderlijke aandacht.

Kan een korte seed een echt one-time pad opleveren?

Een veilige pseudowillekeurige generator kan een korte seed uitbreiden tot een langer masker en onder bepaalde aannames computationele veiligheid bieden. De uitvoer is niet uniform verdeeld over alle langere bitreeksen en biedt daardoor niet de perfecte geheimhouding van een one-time pad.

Betekent ‘eenmalig’ dat het bericht verdwijnt?

Bij een pad slaat het op het sleutelgebruik. Bij een link slaat het op toegang. Geen van beide termen bewijst op zichzelf dat iets wordt verwijderd of dat eerder gemaakte kopieën verdwijnen.