Quelltext der Seite Output Feedback Mode

'''Output Feedback Mode''' ('''OFB''') ist eine [[Betriebsmodus (Kryptographie)|Betriebsart]], in der [[Blockchiffre]]n betrieben werden können. Dabei wird ein Blockalgorithmus wie beispielsweise [[Data Encryption Standard]] (Blocklänge 64 Bit) oder [[Advanced Encryption Standard]] (Blocklänge 128 Bit) genutzt, um daraus eine ([[Stromverschlüsselung#Synchron|synchrone]]) [[Stromchiffre]] zu bilden.

[[Datei:OFB encryption.svg]]

Der Klartext <math display="inline">P_i</math> wird in jedem Schritt <math display="inline">i</math> mit der <math display="inline">i</math> fachen Verschlüsselung des Initialisierungsvektors per [[XOR]] (exklusives ODER) verknüpft. Dabei gilt <math>1 \leq i \leq u</math> mit <math>u</math> gleich der Anzahl an Blöcken.

<math>C_{i} = P_{i} \oplus E_K^{i}(IV)</math>

In diesem Modus wird, wie in der Abbildung dargestellt, die Ausgabe der Blockchiffre mit dem [[Klartext (Kryptographie)|Klartext]] bitweise per [[XOR]] verknüpft, um daraus den [[Geheimtext]] zu bilden. Dieses Verfahren ergibt eine Stromchiffre. Die Ausgabe der Blockchiffre wird wieder ihrem Eingang zugeführt, so dass ein kontinuierlicher Strom an chiffrierten Blöcken entsteht. Für die Verknüpfung mit dem Klartext werden nur so viele Bits wie nötig verwendet. Dies muss nicht einer vollen Blocklänge entsprechen. Der Bitstrom ist [[Pseudozufall|pseudozufällig]], weil er von der Blockchiffre, dem Schlüssel und dem Initialisierungsvektor abhängig ist. Deshalb bezeichnet man dieses System auch als ''Pseudo-[[One-Time-Pad]]''.<ref name="bishop">{{Literatur | Autor=Matt Bishop | Titel=Computer security | TitelErg=art and science | Seiten=231 | Verlag=Addison-Wesley | Ort=Boston | Jahr=2003 | ISBN=0201440997 }}</ref> Der Initialisierungsvektor ist ähnlich wie beim [[Cipher Block Chaining Mode]] als Startwert zu sehen und vom gewählten (geheimen) Schlüssel unabhängig. 

Einer der Vorteile besteht darin, dass die Bitfolge, mit der die Klartextdaten bitweise XOR-verknüpft werden, bereits vorab berechnet werden kann. Weiter besteht bei OFB wie bei allen Stromchiffren der Vorteil, dass sich bei der Entschlüsselung Übertragungsfehler (Bitfehler) im Chiffrat nur auf die entsprechende Bitstelle im entschlüsselten Klartext auswirken und sich der Fehler nicht im Klartext fortpflanzt. Bei anderen Betriebsmodi führt nur ein Bitfehler im Chiffrat zu mindestens einem komplett zerstörten Klartextdatenblock. Dies erschwert bzw. macht eine [[Vorwärtsfehlerkorrektur]] unmöglich. 
Andererseits kann die Tatsache, dass die verursachten Bitfehler im Klartext vorhersagbar sind, ausgenutzt werden, um Nachrichten unbemerkt zu verfälschen.

Ein weiterer Vorteil des Verfahrens ist, dass keine separate Entschlüsselungsfunktion notwendig ist, denn Ver- und Entschlüsselung sind identisch. Außerdem wird nur die Verschlüsselung des Blockalgorithmus (oder nur die Entschlüsselung) benötigt. Die Konstruktion ist sogar so, dass sich als Blockalgorithmus auch Verfahren eignen, die nicht bijektiv sind. Beispielsweise könnte als Blockalgorithmus auch eine sichere [[Hashfunktion]] wie SHA-256 verwendet werden. Die Blockgröße wäre dann die Ausgabegröße der Hashfunktion, bei SHA-256 also 256 Bits.

[[Datei:OFB decryption.svg]]

Identisch zur Verschlüsselung wird bei der Entschlüsselung auch die <math display="inline">i</math> fache Verschlüsselung des Initialisierungsvektors (IV) per [[XOR]] verknüpft. Statt <math display="inline">P_i</math> wird hierbei nun der Ciphertext <math display="inline">C_i</math> eingesetzt.

<math>P_{i} = C_{i} \oplus E_K^{i}(IV)</math>

Ein Nachteil von OFB ist die aufwendige Synchronisation der Blockchiffren zwischen Sender und Empfänger, da OFB im Gegensatz zu [[Cipher Feedback Mode]] (CFB) grundsätzlich nicht selbstsynchronisierend ist. Der Blockchiffre am Empfänger wird dabei wie in obiger Abbildung dargestellt, ebenfalls wie bei der Verschlüsselung betrieben, erzeugt also bei gleichem Initialisierungsvektor und gleichem Schlüssel die gleiche binäre Datenfolge mit der die XOR-Operation des Senders rückgängig gemacht werden kann. Das dafür notwendige, genaue zeitliche Zusammenspiel muss, durch geeignete Verfahren, in den Übertragungsprotokollen sichergestellt werden.

Wenn mehrere Nachrichten mit dem gleichen Schlüssel verschlüsselt werden, muss für jede Nachricht ein anderer Initialisierungsvektor verwendet werden, da ansonsten der gleiche Schlüsselstrom erzeugt wird. In diesem Fall ist das Verfahren gegen einen einfachen Angriff anfällig, bei dem zwei Chiffrate XOR-verknüpft werden. Dadurch löschen sich die zur Verschlüsselung verwendeten (gleichen) Schlüsselströme aus, und als Ergebnis bleibt das XOR der beiden Klartexte, aus dem die Klartexte leicht ermittelt werden können. 
Ist sogar der Klartext einer Nachricht bekannt, kann ein [[Known-Plaintext-Angriff|Klartextangriff]] durchgeführt werden: Durch XOR-Verknüpfung von Klar- und Geheimtext kann man den verwendeten Schlüsselstrom bestimmen und die entsprechenden Abschnitte der anderen Nachrichten entschlüsseln.

== Einzelnachweise ==
<references />

{{Navigationsleiste Blockchiffremodi}}

[[Kategorie:Kryptologisches Verfahren]]

[[en:Block cipher modes of operation#Output Feedback (OFB)]]