NIST-Kurven

Wenn zwei Computer sicher miteinander kommunizieren wollen, müssen sie Schlüssel austauschen, ohne dass jemand Drittes mithören kann. Dafür nutzen sie Mathematik — und die gängigste Grundlage dafür sind elliptische Kurven. Das sind keine Kurven im geometrischen Alltagssinn, sondern Mengen von Punkten, die einer bestimmten Gleichung gehorchen und besondere Recheneigenschaften haben. Die US-Behörde NIST (National Institute of Standards and Technology, die offizielle amerikanische Normungsstelle für Technik und Sicherheit) hat Ende der 1990er Jahre eine Auswahl solcher Kurven festgelegt und als Standard veröffentlicht. Diese Kurven heißen seitdem NIST-Kurven. Die bekanntesten tragen Namen wie P-256, P-384 und P-521 — die Zahl gibt dabei an, wie viele Bits lang die Schlüssel sind.

Stellung in der modernen Verschlüsselung

NIST-Kurven stecken in einem Großteil der verschlüsselten Verbindungen im Internet. Wer heute eine Website über HTTPS aufruft, handelt im Hintergrund mit dem Server einen Sitzungsschlüssel aus. Das geschieht fast immer über ein Verfahren namens elliptische-Kurven-Kryptografie — und die Kurve dahinter ist in vielen Fällen P-256. Das gilt für Browser, Betriebssysteme, VPN-Software und viele Hardware-Chips.

Der entscheidende Vorteil gegenüber älteren Verfahren wie RSA ist die Effizienz. Eine P-256-Kurve bietet ähnliche Sicherheit wie ein RSA-Schlüssel mit 3072 Bit — ist aber deutlich kürzer und braucht weniger Rechenleistung. Das macht NIST-Kurven besonders attraktiv für Geräte mit wenig Strom und Speicher, etwa Chipkarten oder IoT-Sensoren.

Wie die Kurven mathematisch funktionieren

Eine elliptische Kurve ist durch eine Gleichung der Form y² = x³ + ax + b definiert, wobei a und b feste Zahlen sind. Auf dieser Kurve kann man Punkte auf eine spezielle Art « addieren »: Man zieht eine Gerade durch zwei Punkte und spiegelt den dritten Schnittpunkt mit der Kurve an der x-Achse. Das Ergebnis ist wieder ein Punkt auf der Kurve. Diese Operation kann man wiederholen — man « multipliziert » also einen Punkt mit einer ganzen Zahl.

Der sicherheitsrelevante Kern ist folgender: Es ist einfach, einen Punkt n-mal zu sich selbst zu addieren. Aber aus dem Ergebnis n zu rekonstruieren, ist rechnerisch so aufwendig, dass selbst die schnellsten Computer der Welt dafür länger bräuchten als das Universum alt ist. Auf diesem sogenannten diskreten Logarithmusproblem beruht die gesamte Sicherheit. Bei der Wahl von P-256 legt man fest, welcher konkrete Ausgangspunkt und welche Kurvenparameter verwendet werden — das ist der Standard, den NIST vorgegeben hat.

Die Kurvenparameter — also die konkreten Zahlen a und b sowie ein fester Startpunkt — wurden vom NIST festgelegt, ohne dass die Berechnungsmethode dahinter vollständig offengelegt wurde. Genau das ist der Ursprung einer bis heute nicht vollständig aufgelösten Debatte.

Backdoor-Verdacht und die Snowden-Dokumente

2013 veröffentlichte der Whistleblower Edward Snowden geheime Dokumente des US-Geheimdienstes NSA. Sie legten nahe, dass die NSA gezielt an einem NIST-Standard für Zufallszahlengeneratoren mitgewirkt hatte, um eine versteckte Hintertür einzubauen. Dieser Standard nutzte ebenfalls elliptische Kurven. In der Folge geriet auch die Wahl der NIST-Kurven unter Verdacht: Wurden die Parameter so gewählt, dass die NSA Verbindungen entschlüsseln kann, die für alle anderen sicher wirken?

Bewiesen ist das für P-256 und seine Geschwister bis heute nicht. Trotzdem hat die Debatte Konsequenzen gehabt. Viele Entwickler und Organisationen sind seither auf alternative Kurven umgestiegen, vor allem auf Curve25519, die vom Mathematiker Daniel J. Bernstein entworfen und mit vollständig offengelegten Parametern veröffentlicht wurde. Curve25519 ist heute in Anwendungen wie Signal, WhatsApp und modernen TLS-Versionen verbreitet. NIST-Kurven sind dennoch nicht verschwunden — in vielen staatlichen und industriellen Standards sind sie weiterhin vorgeschrieben, etwa in Behörden, die US-amerikanische Zertifizierungen einhalten müssen.