Schlüsselkapselungsverfahren

Ein Schlüsselkapselungsverfahren (engl. key encapsulation mechanism, KEM) ist eine kryptografische Technik, mit der ein Sitzungsschlüssel, der meist zur Verwendung mit einem symmetrischen Verfahren wie etwa AES gedacht ist, mit einem asymmetrischen Verschlüsselungsverfahren (zum Beispiel RSA) übermittelt wird. Teilnehmer A erzeugt mit einem Verkapselungsalgorithmus aus dem öffentlichen Schlüssel von Teilnehmer B einen geheimen Sitzungsschlüssel und ein Chiffrat, das an B über einen ungeschützten Kanal übermittelt wird. B kann daraus mit dem Entkapselungsalgorithmus und seinem privaten Schlüssel ebenfalls den geheimen Sitzungsschlüssel gewinnen.[1]

Herkömmlich erzeugt man zuerst einen Sitzungsschlüssel von typischerweise 128 oder 256 Bit, der dann mit RSA verschlüsselt und übermittelt wird. Da die Übermittlung zu kurzer Nachrichten per RSA unsicher ist, erweitert man den Sitzungsschlüssel vor dem Verschlüsseln mit einem Paddingverfahren. Dabei muss man sich Gedanken über ein geeignetes Paddingverfahren machen, und für diese gibt es häufig keinen vollständigen Sicherheitsbeweis.

Ein KEM vereinfacht das Verfahren durch direkte Erzeugung einer Zufallszahl ${\displaystyle m}$ von ausreichender Länge, die mit einer asymmetrischen Verschlüsselung übermittelt wird, wonach beide Parteien eine Schlüsselableitungsfunktion anwenden, um aus ${\displaystyle m}$ den Schlüssel zu gewinnen.[2] ${\displaystyle m}$ wird zufällig gleichverteilt aus der Menge der möglichen Klartexte des verwendeten asymmetrischen Verfahrens gewählt. Die Wahl der Schlüsselableitungsfunktion ist beliebig. Es gibt keine durch das Paddingverfahren festgelegten mathematischen Beziehungen zwischen ${\displaystyle m}$ und dem daraus gewonnenen Schlüssel mehr, die von einem Angreifer ausgenutzt werden könnten.

Im Unterschied zu einer Schlüsselvereinbarung wie beim Diffie-Hellman-Schlüsselaustausch bieten KEMs keine Folgenlosigkeit bei späterer Aufdeckung des Hauptschlüssels.