DIPLOMARBEIT

Das Enigma SystemAufbau und Kryptoanalyse

Ausgefuhrt am Institut fur

Informationssysteme, E184-3Abteilung fur wissensbasierte Systeme

der Technischen Universitat Wien

unter der Anleitung von

Ao.Univ.Prof. Dipl.-Ing. Dr.rer.nat. Uwe Egly

durch

Thomas MayrGerlgasse 10/5

1030 WienOsterreich

Wien, im Oktober 2003

Zusammenfassung

Die Enigma und das Enigma System1 ist schon seit einiger Zeit historischund technisch ausgiebig erforscht worden. Diese Arbeit bietet einen Uber-blick uber die allgemeine Funktionsweise des Enigma Systems und diskutierteinige spezielle Unterschiede zwischen den Systemen. Zudem werden wir unseingehend mit den Methoden zur Kryptoanalyse der Enigma beschaftigen.

Zur grafischen Veranschaulichung habe ich Im Rahmen dieser Arbeit zweiSimulatoren implementiert. Ein Simulator bildet den Aufbau und die Funk-tionsweise fur eine Reihe unterschiedlicher Enigma-Modelle nach. Mit demzweiten Simulator konnen einige Methoden der Kryptoanalyse, die in dieserArbeit behandelt werden, einfach nachvollzogen werden.Diese Simulatoren wurden fur das Schreibmaschinenmuseum Peter Mitter-hofer entwickelt und sind dort sowohl am Multimedia-Terminal, als auch aufder Homepage2 in Verwendung.

Schlagworter: Enigma, Enigma Modelle, Kryptoanalyse, Enigma Simulator

1“Das Enigma System“ bezeichnet in weiterer Folge das gesamte Kommunikationssy-stem bestehend aus der Enigma Maschine, der Ubertragungseinrichtung, dem Schlussel-system und deren Anwendungsvorschriften.

2www.schreibmaschinenmuseum.com

Danksagung

In erster Linie mochte ich mich bei meinem Betreuer, Herrn Professor UweEgly, fur die vielen fachlichen Impulse und Verbesserungsvorschlage wahrenddes Fortgangs meiner Arbeit bedanken.

Mein spezieller Dank gilt dem Schreibmaschinenmuseum Peter Mitterhoferin Partschins, insbesondere meiner Schwester Maria Mayr, fur die Bereitstel-lung zahlreicher Unterlagen und Artikel uber die Enigma.

An dieser Stelle mochte ich mich auch bei meinen Eltern und meinen Ge-schwistern bedanken, die mir mein Studium erst ermoglicht haben.

Weiters bedanke ich mich bei meiner Freundin Christine Dickert und ih-rer Familie fur ihre menschliche und kulinarische Unterstutzung.

Zu guter Letzt vielen Dank auch an all jene, die durch ihre fachliche undpersonliche Unterstutzung zum Gelingen dieser Arbeit beigetragen haben.

Inhaltsverzeichnis

1 Einleitung 11.1 Ubersicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2

2 Ein kurzer historischer Uberblick 42.1 Die ersten Rotormaschinen . . . . . . . . . . . . . . . . . . . . 42.2 Evolution der Enigma . . . . . . . . . . . . . . . . . . . . . . 42.3 Bruch der Enigma . . . . . . . . . . . . . . . . . . . . . . . . 5

2.3.1 Polen (1932-1939) . . . . . . . . . . . . . . . . . . . . . 52.3.2 Bletchley Park England (1939-1945) . . . . . . . . . . . 8

3 Funktionsweise und Anwendung 93.1 Rotierte Alphabete . . . . . . . . . . . . . . . . . . . . . . . . 93.2 Aufbau der Maschine . . . . . . . . . . . . . . . . . . . . . . . 12

3.2.1 Walzen . . . . . . . . . . . . . . . . . . . . . . . . . . . 123.2.2 Steckerbrett . . . . . . . . . . . . . . . . . . . . . . . . 153.2.3 Tastenfeld . . . . . . . . . . . . . . . . . . . . . . . . . 163.2.4 Lampenfeld . . . . . . . . . . . . . . . . . . . . . . . . 173.2.5 Stromfluss . . . . . . . . . . . . . . . . . . . . . . . . . 17

3.3 Allgemeine Einstellungen . . . . . . . . . . . . . . . . . . . . . 193.4 Schlusselraum . . . . . . . . . . . . . . . . . . . . . . . . . . . 203.5 Schlusselverteilung . . . . . . . . . . . . . . . . . . . . . . . . 21

3.5.1 Das Schlusselbuch . . . . . . . . . . . . . . . . . . . . . 21

4 Modellvariationen und verwandte Maschinen 234.1 Kommerzielle Modelle der Enigma . . . . . . . . . . . . . . . 23

4.1.1 Enigma A . . . . . . . . . . . . . . . . . . . . . . . . . 234.1.2 Enigma B . . . . . . . . . . . . . . . . . . . . . . . . . 244.1.3 Enigma C . . . . . . . . . . . . . . . . . . . . . . . . . 244.1.4 Enigma D . . . . . . . . . . . . . . . . . . . . . . . . . 25

4.2 Militarische Modelle . . . . . . . . . . . . . . . . . . . . . . . 264.2.1 Enigma I . . . . . . . . . . . . . . . . . . . . . . . . . 26

i

4.2.2 Enigma II . . . . . . . . . . . . . . . . . . . . . . . . . 284.2.3 Wehrmacht-Enigma . . . . . . . . . . . . . . . . . . . . 284.2.4 Marine Enigma . . . . . . . . . . . . . . . . . . . . . . 294.2.5 Reichsbahn-Enigma . . . . . . . . . . . . . . . . . . . . 294.2.6 Abwehr-Enigma . . . . . . . . . . . . . . . . . . . . . . 29

4.3 Enigma Nachbauten . . . . . . . . . . . . . . . . . . . . . . . 294.3.1 GREEN . . . . . . . . . . . . . . . . . . . . . . . . . . 304.3.2 TYPEX . . . . . . . . . . . . . . . . . . . . . . . . . . 304.3.3 M-325 . . . . . . . . . . . . . . . . . . . . . . . . . . . 30

4.4 Andere Rotormaschinen . . . . . . . . . . . . . . . . . . . . . 304.4.1 C-38 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30

5 Kryptoanalytische Methoden 315.1 La Methode des Batons . . . . . . . . . . . . . . . . . . . . . 315.2 Erste Polnische Erfolge . . . . . . . . . . . . . . . . . . . . . . 37

5.2.1 Hilfe von Außen . . . . . . . . . . . . . . . . . . . . . . 375.2.2 Der Durchbruch . . . . . . . . . . . . . . . . . . . . . . 375.2.3 Dechiffrierung der Spruchschlussel . . . . . . . . . . . . 385.2.4 Die Bestimmung der Walzenverdrahtungen . . . . . . . 435.2.5 Bestimmen des schnellen Rotors . . . . . . . . . . . . . 485.2.6 Die Charakteristik-Methode . . . . . . . . . . . . . . . 545.2.7 Geanderte Chiffriervorschriften . . . . . . . . . . . . . 575.2.8 Zygalski-Lochblatter . . . . . . . . . . . . . . . . . . . 605.2.9 Bomba . . . . . . . . . . . . . . . . . . . . . . . . . . . 645.2.10 Schwache der polnischen Methoden . . . . . . . . . . . 67

5.3 Bletchley Park . . . . . . . . . . . . . . . . . . . . . . . . . . . 715.3.1 Modifizierung der polnischen Bomba . . . . . . . . . . 715.3.2 Turing-Welchman-Bombe . . . . . . . . . . . . . . . . 735.3.3 Marine-Enigma M3 und M4 . . . . . . . . . . . . . . . 89

5.4 Uberblick aller Methoden . . . . . . . . . . . . . . . . . . . . . 935.5 Ciphertext-only Angriffe . . . . . . . . . . . . . . . . . . . . . 94

5.5.1 Gillogly Angriff . . . . . . . . . . . . . . . . . . . . . . 94

6 Der Simulator 996.1 Enigma-Simulator . . . . . . . . . . . . . . . . . . . . . . . . . 99

6.1.1 package enigma.data . . . . . . . . . . . . . . . . . . . 996.1.2 Weitere packages . . . . . . . . . . . . . . . . . . . . . 1016.1.3 Bedienungsanleitung . . . . . . . . . . . . . . . . . . . 1056.1.4 Ausblick . . . . . . . . . . . . . . . . . . . . . . . . . . 112

6.2 Bomben-Simulator . . . . . . . . . . . . . . . . . . . . . . . . 1136.2.1 Bombe - Implementierungsdetails . . . . . . . . . . . . 113

ii

6.2.2 Graphische Darstellung . . . . . . . . . . . . . . . . . . 115

A Glossar 122

iii

Abbildungsverzeichnis

3.1 Schematischer Aufbau und Stromkreis der Enigma . . . . . . . 18

4.1 Enigma Modell A mit offenem Deckel . . . . . . . . . . . . . . 244.2 Enigma Modell B . . . . . . . . . . . . . . . . . . . . . . . . . 254.3 Enigma Modell C . . . . . . . . . . . . . . . . . . . . . . . . . 264.4 Enigma Modell D . . . . . . . . . . . . . . . . . . . . . . . . . 27

5.1 Walzen fur Batons-Methode . . . . . . . . . . . . . . . . . . . 345.2 Tastenanordnung der Enigma . . . . . . . . . . . . . . . . . . 425.3 Außenansicht eines Zyklometer . . . . . . . . . . . . . . . . . 555.4 Schematisches Diagramm des Zyklometer . . . . . . . . . . . . 565.5 Zygalski-Lochblatt K413

14 , Grundstellung 〈RL〉 = k . . . . . . . 615.6 Zygalski-Lochblatt, 51× 51 . . . . . . . . . . . . . . . . . . . 625.7 Schaltungsdiagramm der polnischen Bomba . . . . . . . . . . 655.8 Polnische Bomba . . . . . . . . . . . . . . . . . . . . . . . . . 665.9 Turingsche Version der polnischen Bomba . . . . . . . . . . . 735.10 Alle zusammenhangenden Zyklen des Ubergangsgraphen . . . 775.11 Schaltung der Turing-Welchman-Bombe . . . . . . . . . . . . 825.12 Falsche Haltekonfiguration einer Bombe . . . . . . . . . . . . . 845.13 Haltekonfiguration mit diagonal board Verbindung . . . . . . 845.14 Erfolgsquote als Funktion verschiedener Parameter . . . . . . 97

6.1 Auszug aus der XML-Definition einer Enigma . . . . . . . . . 1026.2 DTD zur Definition von Enigma-Maschinentypen . . . . . . . 1036.3 Enigma Simulator: Konfiguration einer Enigma . . . . . . . . 1056.4 Enigma Simulator: Außenansicht . . . . . . . . . . . . . . . . 1066.5 Enigma Simulator: Einstellen der Grundstellung . . . . . . . . 1076.6 Enigma Simulator: Einstellen des Steckerbretts . . . . . . . . . 1086.7 Enigma Simulator: Stecker setzen . . . . . . . . . . . . . . . . 1086.8 Enigma Simulator: Offnen des Deckels . . . . . . . . . . . . . 1096.9 Enigma Simulator: Außenansicht ohne Deckel . . . . . . . . . 1106.10 Enigma Simulator: Innenansicht . . . . . . . . . . . . . . . . . 111

iv

6.11 Ablauf der “Stromausbreitung“ . . . . . . . . . . . . . . . . . 1146.12 Bombe-Wizard 1 . . . . . . . . . . . . . . . . . . . . . . . . . 1186.13 Bombe-Wizard 2 . . . . . . . . . . . . . . . . . . . . . . . . . 1196.14 Bombe-Wizard 3 . . . . . . . . . . . . . . . . . . . . . . . . . 1206.15 Bombe-Wizard 4 . . . . . . . . . . . . . . . . . . . . . . . . . 121

v

Tabellenverzeichnis

3.1 Rotiertes Alphabet R . . . . . . . . . . . . . . . . . . . . . . . 103.2 Beispiel zur Rotorfortschaltung mit Doppelschritt . . . . . . . 143.3 Kerben zur Walzenfortbewegung bei der Wehrmachtsenigma . 143.4 Steckerverbindungen und Anzahl moglicher Permutationen . . 163.5 Große des Schlusselraums der Wehrmachtsenigma . . . . . . . 20

5.1 Methode des Batons mit Streifen . . . . . . . . . . . . . . . . 355.2 65 chiffrierte Spruchschlussel zugehorig zu einem Tagesschlussel 395.3 Dechiffrierte Spruchschlussel . . . . . . . . . . . . . . . . . . . 435.4 Kerben zur Walzenfortbewegung bei der Wehrmachtsenigma . 525.5 Methode des Batons (rodding) im Uberblick . . . . . . . . . . 695.6 Dechiffrierung der Spruchschlussel und Ermittlung der Wal-

zenverdrahtungen im Uberblick . . . . . . . . . . . . . . . . . 695.7 Uhrzeigermethode im Uberblick . . . . . . . . . . . . . . . . . 695.8 Charakteristik-Methode und Zyklometer im Uberblick . . . . . 705.9 Zygalski-Lochblatter und Bomba im Uberblick . . . . . . . . . 705.10 Trefferwahrscheinlichkeit bei negativer Mustersuche . . . . . . 755.11 Ruckkopplung in einer Bombe . . . . . . . . . . . . . . . . . . 795.12 H-M-Faktoren fur eine zusammenhangende Komponente . . . 835.13 Erforderliche Anzahl von Schleifen bei wenigen Stopps . . . . 835.14 Historische Methoden im Uberblick . . . . . . . . . . . . . . . 93

A.1 Vigenere-Quadrat . . . . . . . . . . . . . . . . . . . . . . . . . 123

vi

Kapitel 1

Einleitung

Noch vor dem Ende des Ersten Weltkriegs begann der deutsche IngenieurArthur Scherbius mit der Entwicklung einer Chiffriermaschine. Diese solltedie unzulanglichen manuellen Chiffriermethoden aus dem Ersten Weltkriegersetzen. Sein erstes Patent erhielt er am 23. Februar 1918 fur eine Chiffrier-maschine, die zur Verschlusselung Rotoren verwendete. Auch andere Kon-strukteure, in Amerika, den Niederlanden und Schweden, entwickelten fastzeitgleich die Idee der Rotoren.Aus Scherbius Entwicklungen entstand die Enigma, die bekannteste Chif-friermaschine uberhaupt. Ein erstes kommerzielles Modell dieser Maschinewurde erstmals 1923 vorgestellt, spatere Modelle wurden sogar noch nachdem Zweiten Weltkrieg gebaut und verwendet. Der enorme Bekanntheitsgradder Enigma resultiert aber nicht aus der zivilen Anwendung, sondern durchderen Einsatz im Zweiten Weltkrieg. Dort war sie ein wichtiges Element inder Kriegsfuhrung der Deutschen. Ihr Einsatz und die Entschlusselung durchdie Alliierten war ausschlaggebend bei Hitlers “Blitzkrieg“ und dem U-Boot-Krieg im Atlantik.

Nun zum Aufbau der Maschine. Die Enigma ist eine elektromechanische, aufRotoren1 basierende, Chiffriermaschine. Sie ist aus folgenden Komponentenzusammengesetzt:

• ein 26-Buchstaben Tastenfeld;

• ein 26-Buchstaben Lampenfeld;

• eine Chiffriereinheit bestehend aus drei beweglichen Chiffrierwalzen;

• und in den meisten Fallen noch durch ein so genanntes Steckerbrett.

1In weiterer Folge auch Walzen genannt.

1

Die Verschlusselung bzw. Entschlusselung eines Textes erfolgt sehr ein-fach. Der zu verschlusselnde bzw. zu entschlusselnde Text wird wie bei einerSchreibmaschine mittels des Tastenfelds eingegeben, wobei bei jedem Tasten-druck eine Gluhlampe aufleuchtet, die das verschlusselte Zeichen anzeigt. Furjedes Zeichen der Mitteilung ist also das zugehorige verschlusselte Zeichenvom Lampenfeld ablesbar. Weiters besitzt die Maschine einen involutorischenCharakter. Dessen Auswirkung wollen wir mit Hilfe eines Beispiels erlautern.Wenn zum Beispiel der Buchstabe A im Tastenfeld gedruckt wird und dannder Buchstabe L aufleuchtet, so wurde, sofern die Maschine von der selbenKonfiguration aus startet, der Buchstabe A aufleuchten wenn der Buchsta-be L gedruckt wird. Dieser Umstand hat zur Folge, dass eine Verschlusselungund die dazugehorige Entschlusselung eines Textes, durch eine Maschine mitder gleichen Startkonfiguration bewerkstelligt werden kann. Dies hat zwarpraktische Vorteile (es wird nur eine Startkonfiguration zum Ver- und Ent-schlusseln benotigt), stellt aber, wie die Geschichte gezeigt hat, eine Schwachedes Verschlusselungssystems dar.

1.1 Ubersicht

In Kapitel 2 bekommen wir einen kurzen historischen Uberblick. Dabei be-trachten wir die Entwicklung der ersten Rotormaschinen, und speziell auchdie Evolution der Enigma, ein wenig genauer. Zusatzlich begeben wir unsauf die Seite der Kryptoanalytiker und betrachten deren Erfolge bei der Ent-schlusselung der Enigma.Kapitel 3 befasst sich mit dem Aufbau und der Anwendung der Enigma. Dazubetrachten wir zuerst die grundlegenden Eigenschaften und die mathemati-sche Definition einer Rotormaschine. Diese wird in den folgenden Kapitelnnoch gebraucht. Danach wenden wir uns der Funktionsweise der Enigma undderen internen Aufbau zu. Weiters beschaftigen wir uns mit der Anwendungder Maschine und mit dem damit verbundenen Schlusselsystem.Kapitel 4 verschafft einen kurzen Uberblick uber die Modellvariationen derEnigma. Es werden die grundlegenden Eigenschaften der kommerziellen undmilitarischen Modelle besprochen. Dazu werden noch einige, zur Enigma ver-wandte, Rotormaschinen betrachtet.Kapitel 5 bildet den Kern dieser Arbeit. Hier werden die Methoden zur Kryp-toanalyse der Enigma vorgestellt. Dabei ist dieses Kapitel in drei große Ab-schnitte aufgeteilt. Der erste Teil beschaftigt sich mit den in Polen von 1932bis 1938 entwickelten Methoden. Der zweite Teil beschaftigt sich mit den Me-thoden, die in Bletchley Park, dem britischen Zentrum der Kryptoanalyse,entwickelt und eingesetzt wurden. Am Ende dieses Kapitels betrachten wir

2

noch die Funktionsweise eines ciphertext-only Angriffs (aus 1995), der mitheutiger Computerunterstutzung durchgefuhrt wurde.In Kapitel 6 ist der Software-Simulator der Enigma und der Simulator derkryptoanalytischen Methoden beschrieben. Dabei wird sowohl die interneFunktionsweise, sowie die Bedienung durch den Benutzer beschrieben.

3

Kapitel 2

Ein kurzer historischerUberblick

2.1 Die ersten Rotormaschinen

Die Idee eines beweglichen Rotors zur Chiffrierung hatten, wie es scheint,verschiedene Leute zur selben Zeit (siehe dazu das Standardwerk von Da-vid Kahn [Kah79]). Laut Kahn hatte der Amerikaner Edward Hebern 1917als erster die Idee dazu, das Patent dazu wurde allerdings erst 1924 erteilt.Nachweisbar Zweiter war Arthur Scherbius, welcher schon im Februar 1918ein Patent darauf anmeldete. Schon bald darauf kamen zwei weitere dazu,namlich der Niederlander Hugo Koch (Patentanmeldung am 7.10.1919) undder Schwede Arvid Damm (Patentanmeldung am 10.10.1919).Aus all diesen Ideen und Patenten resultierten verschiedene Maschinen. DiePatente von Koch wurden von Scherbius Firma gebaut. Hebern baute eineMaschine fur die amerikanische Regierung. Die Firma von Damm wurde vonBoris Hagelin gekauft, welche auch verschiedene Maschinen baute. Scherbiusstellte sein erstes Modell der Enigma erstmals 1923 auf dem internationalenPostkongress vor.

2.2 Evolution der Enigma

Die Enigma wurde eine der meist verbreiteten und bekanntesten Chiffrierma-schinen uberhaupt. Es gab mehr als vier zivile Modelle und acht militarischeModelle bzw. Varianten allein in Deutschland. Zusatzlich wurde die zivi-le Version (Modell D, Modell K) von vielen Landern gekauft. Einige dieserLander wie zum Beispiel die Schweiz adaptierten diese Maschinen. In Japanwurde die Enigma D nachgebaut (von den Amerikanern Green genannt), in

4

Polen hieß ein Nachbau der Enigma Lacida. Auch in den USA und in Eng-land wurde die Enigma als Vorbild genommen. In der USA wurde sie zurM-235 und in England zur Typex weiterentwickelt. Sogar nach dem ZweitenWeltkrieg wurden, die von den Alliierten erbeuteten Maschinen, an Entwick-lungslander weitergegeben. Auch in der Schweiz und in Italien wurden nachdem Krieg neue Rotormaschinen, mit der Enigma als Vorbild, gebaut undverwendet. Weiteres uber die einzelnen Modelle ist in Kapitel 4 Modellvaria-tionen und verwandte Maschinen zu finden.

2.3 Bruch der Enigma

Die Enigma galt lange Zeit als sichere Maschine. Vor dem Zweiten Weltkrieghatten die Englander und Franzosen keine große Hoffnung das System derEnigma zu brechen. Es schien, dass die Maschine sicher ist. Zu viele Moglich-keiten um alle Schlussel durchzuprobieren, keine offensichtliche Schwache, dieeinen erfolgversprechenden Angriff ermoglicht, dies war, wie sich herausstell-te, eine zu pessimistische Annahme.

2.3.1 Polen (1932-1939)

Polen war nach dem Ersten Weltkrieg von den Landern Deutschland und derSowjetunion umgeben. In Polen sah man sich durch diese beiden Landergefahrdet, denn Deutschland musste, laut Friedensvertrag von Versailles,große Teile seines Territoriums an Polen abtreten und war gewillt diese wie-derzugewinnen. Auch die kommunistische Sowjetunion schien eine Gefahr furPolen. Da war es naturlich, dass die Polen moglichst viele Informationen uberihre Nachbarn sammelten.Schon gegen Ende des Ersten Weltkrieges wurde ein Dechiffrierdienst einge-richtet, das Biuro Szyfroow . Im polnisch-sowjetischen Krieg von 1920 erzieltedieser Dienst sehr gute Erfolge. Schon im Jahr 1920 begannen die Polen eineKooperation mit dem franzosischen Deuxieme Bureau zu bilden.

Im Jahr 1926 begann die deutsche Marine mit einer Version der Enigma(Funkschlussel C1 basierend auf dem Modell C) zu experimentieren. 1928startete das Heer mit einer Version basierend auf dem Modell D, Funkspruchezu Ubungszwecken zu senden. Diese Funkspruche wurden unter anderem vonden Polen aufgefangen und sie erkannten, dass die Deutschen offensichtlicheine neue unbekannte Chiffriermethode einsetzten. Sie vermuteten, dass eineVariante der kommerziellen Enigma eingesetzt wurde. Dies half den Kryp-toanalytikern aber nicht viel weiter und so blieben die polnischen Versucheeiner Entschlusselung von Nachrichten bis 1931 ganzlich erfolglos.

5

Franzosische Hilfe

In der Chiffrierstelle der Reichswehr arbeitete Hans-Thilo Schmidt. Dieserwandte sich 1931 an die franzosische Botschaft in Berlin mit dem Ange-bot geheime Dokumente zu verkaufen. So kam Schmidt in Kontakt mit demAgenten “Rex“, welcher fur den franzosischen Geheimdienst arbeitete. Am 8.November verkaufte Schmidt (Deckname “Asche“) erstmals zwei Dokumen-te an seinen Kontaktmann. Diese Unterlagen wurden von einem erfahrenenfranzosischen Kryptoanalytiker untersucht. Dieser erklarte, dass die Unter-lagen zwar teilweise interessant seien, aber zu einer Entschlusselung nichtsbeitragen. In weiterer Folge wurden diese Unterlagen auch den Briten ge-zeigt, die damit auch nichts anzufangen wussten. Nur die Polen, die schonseit 1920 mit den Franzosen Informationen austauschten, waren besser be-wandert und konnten genau beschreiben, welche Dokumente wichtig waren.So floss geheimes Material von Deutschland uber Frankreich zu den Polenund das bis zum Jahr 1938.Die Polen erkannten die enorme Wichtigkeit, den verschlusselten Funkver-kehr zu entschlusseln. Deshalb versuchten sie neue Mitarbeiter zu rekrutieren.Dazu wurden Mathematikstudenten1 einem speziellen Eignungstest unterzo-gen. Die drei besten, namlich Marian Rejewski, Hendryk Zygalski und JerzyRozycki wurden ausgewahlt, und erhielten ab dem 1. September 1932 einefixe Stelle beim polnischen Dienst.

Erste Erfolge

Als erstes wurde Rejewski damit beauftragt sich mit der Enigma und denverfugbaren Dokumenten zu beschaftigen. Es dauerte nicht lange und Rejew-ski konnte erste Erfolge vermelden. Er fand die Substitution der Eintritts-walze heraus und ermittelte die Verdrahtung einiger Walzen. Damit konnteder polnische Dienst ab 1933 laufend Enigma-Funkspruche mitlesen. Zygalskiund Rozycki wurden auch mit den neuen Erkenntnissen vertraut gemacht,und in weiterer Folge entwickelten beide neue Methoden. Zygalski entwarfdie nach ihm benannten Lochblatter und Rozycki die sogenannte Uhrzeiger-methode2. Bis 1939 hatten die Polen nichts von ihren Erfolgen an die Fran-zosen weiter gegeben. Erst als Hitler im April 1939 den Nichtangriffspaktaufkundigte und im Laufe der Monate die Spannungen weiter zunahmen,entschlossen sich die Polen alle gewonnenen Erkenntnisse uber die Enigmaan die Franzosen und die Briten weiter zu geben. Dieser Sinneswandel hatteaber auch noch einen anderen Grund. Die Deutschen erhohten die Anzahl der

1Zu dieser Zeit war der klassische Kryptoanalytiker meistens erfahren in Linguistik2Mit diesen Methoden werden wir uns in einem spateren Kapitel genauer beschaftigen

6

verfugbaren Walzen von drei auf funf. Dies verzehnfachte die vorhandenenEinstellungsmoglichkeiten fur die Enigma und damit auch den Aufwand zumEntschlusseln der Nachrichten entsprechend. Die wenigen Ressourcen reich-ten damit fur eine Entschlusselung nicht mehr aus, sie mussten mit anderenLandern kooperieren.Frankreich und England erhielten jeweils ein nachgebautes Exemplar derEnigma (mit 5 Walzen und der Umkehrwalze B), die Plane fur eine Bombaund die Zygalski-Lochblatter (siehe dazu spatere Kapitel).

Damit war die Erfolgsgeschichte der polnischen Kryptoanalytiker schon fastvorbei. 1939 mussten sie nach Frankreich fluchten, wo sie mit Hilfe der Loch-blatter weiterhin Nachrichten entzifferten. Nach der Kapitulation Frankreichsim Jahre 1940 flohen sie fur kurze Zeit nach Algerien, kehrten aber bald in denfreien Teil Frankreichs zuruck. Erst mit der Besetzung des freien Frankreichsflohen sie uber Spanien nach England. Dort arbeiteten sie fur die polnischeEntzifferungszentrale. Bletchley Park und die britischen Erfolge blieben ih-nen verschlossen.

7

2.3.2 Bletchley Park England (1939-1945)

In Bletchley Park, dem neuen Zentrum der britischen Entzifferung, konn-te man die von den Polen gelieferten Informationen gut gebrauchen. Schongegen Ende 1939 entwarf Alan Turing das Konzept der britischen Bombe,welche Mitte des Jahres 1940 gebaut wurde und auch gute Ergebnisse lie-ferte. Alle Informationen, die durch die Entzifferung der Enigma gewonnenwurden, mussten vorsichtig verwendet werden. Denn wenn bei den Deutschender Verdacht einer Lucke bei der Enigma aufgekommen ware, hatten sie mitSicherheit das System verbessert und somit die Entschlusselung erschwert.Aus diesem Grund wurden alle Informationen aus Bletchley Park mit demDecknamen ULTRA gezeichnet, wobei dieser Name nach außen hin ein realexistierendes Agentennetz darstellen sollte.Immer wieder gab es Ruckschlage, Blackouts bei der Entzifferung deutscherFunkspruche, die auf Veranderungen auf deutscher Seite zuruckzufuhren wa-ren. Ab 1943 waren aber alle Probleme gelost und die Funkspruche konnten,ohne langere Verzogerung, entziffert werden.

Auch in den USA wurde nach Kriegseintritt die Entzifferung von japani-schen und deutschen Nachrichten immer wichtiger. Die Briten schlossen eineumfangreiche Kooperation mit den Amerikanern und tauschten alle Informa-tionen zur Enigma aus. Mit der Zeit holten die USA ihren Ruckstand durchihre uberlegenen Ressourcen auf. Sie bauten mit Hilfe der Briten eigene Bom-ben, die um einiges schneller (20-mal) als ihre britischen Vorbilder waren. Sokonnten sie zum Beispiel bald alleine alle Nachrichten des Funknetzes Tritonder deutschen U-Boote im Atlantik entschlusseln.

8

Kapitel 3

Funktionsweise undAnwendung

Die Enigma arbeitet elektromechanisch. Alle wichtigen Komponenten (Ta-stenfeld, Chiffrierwalzen, Lampenfeld, Steckerbrett) der Maschine sind durcheinen 26-adrigen (Kabel-)Bus verbunden. Wird eine Taste geruckt, so wirdSpannung auf ein Kabel des Buses gelegt, der Strom fließt nun je nach aktu-eller Einstellung der Maschine durch das System und bringt eine Gluhlampeim Lampenfeld zum Leuchten. Damit beim wiederholtem Drucken einer Ta-ste nicht immer die gleiche Lampe aufleuchtet1, wird bei jedem Tastendruckder interne Zustand der Maschine, durch mechanisches Fortbewegen eineroder mehrerer Walzen, verandert. Die Verschlusselung der Enigma basiertsomit hauptsachlich auf dem Konzept der rotierten Alphabete.

3.1 Rotierte Alphabete

Ein rotiertes Alphabet kann auf folgende Weise (siehe [Bau00a]) definiertwerden. Sei

{p−iRpi|i ∈ N}

die Menge der R-rotierten Standardalphabete, wobei R der Rotor ist. AlsAlphabet verwenden wir das 26-Buchstaben Alphabet (A-Z). Als Beispiellegen wir die Permutation des Rotors R auf

EKMFLGDQVZNTOWYHXUSPAIBRCJ

fest.

1Dies wurde nur sonst eine einfache monoalphabetische Substitution darstellen.

9

Der Rotor R wird jetzt mit Hilfe von p rotiert, wobei p einen Zyklus des Stan-dardalphabets darstellt. Das Standardalphabet potenziert in Zyklenschreib-weise:

p0 = (abcdefghijklmnopqrstuvwxyz)p1 = (bcdefghijklmnopqrstuvwxyza)p2 = (cdefghijklmnopqrstuvwxyzab)...p−i stellt jeweils die inverse Substitution von pi dar.

In der Tabelle 3.1 ist das rotierte Alphabet fur den Rotor R angegeben.

i a b c d e f g h i j k l m n o p q r s t u v w x y z0 E K M F L G D Q V Z N T O W Y H X U S P A I B R C J1 K F L N G M H E R W A O U P X Z I Y V T Q B J C S D2 E L G M O H N I F S X B P V Q Y A J Z W U R C K D T3 U F M H N P I O J G T Y C Q W R Z B K A X V S D L E4 F V G N I O Q J P K H U Z D R X S A C L B Y W T E M5 N G W H O J P R K Q L I V A E S Y T B D M C Z X U F6 G O H X I P K Q S L R M J W B F T Z U C E N D A Y V7 W H P I Y J Q L R T M S N K X C G U A V D F O E B Z8 A X I Q J Z K R M S U N T O L Y D H V B W E G P F C9 D B Y J R K A L S N T V O U P M Z E I W C X F H Q G10 H E C Z K S L B M T O U W P V Q N A F J X D Y G I R11 S I F D A L T M C N U P V X Q W R O B G K Y E Z H J12 K T J G E B M U N D O V Q W Y R X S P C H L Z F A I13 J L U K H F C N V O E P W R X Z S Y T Q D I M A G B14 C K M V L I G D O W P F Q X S Y A T Z U R E J N B H15 I D L N W M J H E P X Q G R Y T Z B U A V S F K O C16 D J E M O X N K I F Q Y R H S Z U A C V B W T G L P17 Q E K F N P Y O L J G R Z S I T A V B D W C X U H M18 N R F L G O Q Z P M K H S A T J U B W C E X D Y V I19 J O S G M H P R A Q N L I T B U K V C X D F Y E Z W20 X K P T H N I Q S B R O M J U C V L W D Y E G Z F A21 B Y L Q U I O J R T C S P N K V D W M X E Z F H A G22 H C Z M R V J P K S U D T Q O L W E X N Y F A G I B23 C I D A N S W K Q L T V E U R P M X F Y O Z G B H J24 K D J E B O T X L R M U W F V S Q N Y G Z P A H C I25 J L E K F C P U Y M S N V X G W T R O Z H A Q B I D

Tabelle 3.1: Rotiertes Alphabet R

10

In der Tabelle 3.1 ergibt sich z.B. das Element in der Spalte m und Zeilei = 14 in der Substitutionsschreibweise auf folgende Weise. Die Substitution

p14 =

(abcdefghijklmnopqrstuvwxyz

opqrstuvwxyzabcdefghijklmn

)ergibt sich durch Verschieben des Alphabets um 14 Positionen nach links.Dann ergibt sich

p−14 =

(abcdefghijklmnopqrstuvwxyz

mnopqrstuvwxyzabcdefghijkl

)durch Verschieben des Alphabets um 14 Positionen nach rechts. Mit

R =

(ABCDEFGHIJKLMNOPQRSTUVWXYZ

EKMFLGDQVZNTOWYHXUSPAIBRCJ

)bezeichnen wir die Substitution des Rotors R. Dann gilt:

p−14Rp14 =

(abcdefghijklmnopqrstuvwxyz

mnopqrstuvwxyzabcdefghijkl

)(ABCDEFGHIJKLMNOPQRSTUVWXYZ

EKMFLGDQVZNTOWYHXUSPAIBRCJ

)(abcdefghijklmnopqrstuvwxyz

opqrstuvwxyzabcdefghijklmn

)=

(ABCDEFGHIJKLMNOPQRSTUVWXYZ

CKMVLIGDOWPFQXSYATZUREJNBH

)

Betrachten wir als Beispiel, was mit dem Buchstaben m passiert. Wir startendie Substitution mit m tauschen ihn mittels der ersten Substitution durchy. Nun wird das y mit Hilfe der zweite Substitution durch C ersetzt, C wirdwiederum in der dritte Substitution durch q ersetzt. Durch Anwenden diesesVorgehens auf alle Elemente ergibt sich die gesamte Substitution fur i = 14.

11

3.2 Aufbau der Maschine

3.2.1 Walzen

Die wichtigste Komponente der Enigma ist die Chiffriereinheit (siehe dazuAbbildung 4.4). Diese besteht aus drei Walzen2, der Umkehrwalze und einerEintrittswalze, welche zusammen die eigentliche Verschlusselung (bzw. Ent-schlusselung) erledigen. Eine Walze ist ein flacher Zylinder aus Metall. Aufden beiden flachen Seiten hat die Walze jeweils 26 Kontaktstifte gleichmaßigangeordnet. Eine Offnung in der Mitte dient zum Aufstecken der Walze aufeine Achse. Die seitliche Flache des Zylinders ist mit 26 Buchstaben oderZahlen von 1 bis 26 beschriftet, wobei deren Position jeweils nach einemKontaktstift ausgerichtet ist. Im Inneren der Walze befinden sich Drahte, wel-che jeweils zwei außere Kontakte verbinden. Die Verdrahtung sollte zufalliggewahlt werden, womit 26! verschiedene Moglichkeiten existieren. Beispiels-weise ist bei der Wehrmachtsenigma die Verdrahtung des Rotor I (Rotor Nr.1) durch (

ABCDEFGHIJKLMNOPQRSTUVWXYZ

EKMFLGDQVZNTOWYHXUSPAIBRCJ

)gegeben.

Es konnen drei Walzen auf eine Achse aufgesteckt werden, wobei die Lagender Walzen beliebig sind sein konnen. Bei drei Walzen ergibt das 3! = 6Moglichkeiten. In der Abbildung 4.4 ist eine Enigma mit offenem Deckel ab-gebildet. Die drei Walzen (Nr. 4) mit ihren Buchstabenringen sind gut zuerkennen. Liegt eine Walze nun ganz rechts spricht man von der schnellenWalze oder kurz RN , liegt sie in der Mitte bezeichnet man sie mit RM undwenn eine Walze ganz links liegt wird sie langsame Walze (weil sie sichnur selten dreht) oder RL genannt.Sind die drei Walzen montiert, muss noch eine so genannte Umkehrwalze3

eingesetzt werden. Die Umkehrwalze ist ahnlich wie eine Walze aufgebaut,hat aber nur Kontakte auf einer Seite. Jeder Eingangskontakt ist intern miteinem anderen4 Eingangskontakt verbunden.Ist die Chiffriereinheit komplett zusammengesteckt, so kann sie in die Ma-schine eingesetzt werden. Die Stellung der Walzen kann durch ein Sichtfenstervon den Walzen direkt abgelesen werden. Der Anwender kann die Stellung

2Im falle der Marine Enigma M4 sind es vier Walzen.3Oft auch Reflektor genannt.4Hier ist zu Bemerken, dass kein Kontakt mit sich selbst verbunden wurde. Dies fuhrt

in weiterer Folge dazu, dass die Enigma keinen Buchstaben durch sich selbst verschlusselt.Dieser Umstand stellt eine Schwache des Systems dar, welcher im Zweiten Weltkrieg durchdie Alliierten auch ausgenutzt wurde.

12

einer Walze durch Drehen von Hand um die Achse andern. Jede Walze kann26 verschiedene Positionen einnehmen. Dadurch ergeben sich bei drei Walzen26× 26× 26 = 17576 Einstellmoglichkeiten.Fest eingebaut in die Maschine war die Eintrittswalze (ETW). Diese ist ei-gentlich keine richtige Walze, denn sie Stellte nur den Kontaktpunkt zurWalzeneinheit dar. Zusatzlich wurde durch die Eintrittswalze eine fixe Sub-stitution durchgefuhrt.

Walzenfortbewegung

Der eigentliche polyalphabetische Charakter der Maschine ergibt sich ausdem Umstand, dass sich eine oder mehrere Walzen bei der Verschlusselungjedes Zeichens drehen. Damit andert sich bei jedem Tastendruck das Ver-schlusselungsalphabet. Wie vorher berechnet sollten sich 17576 verschiedeneAlphabete ergeben. Das ist bei den meisten militarischen Modellen nicht derFall, da diese Maschinen eine mechanische Besonderheit aufweisen. In weite-rer Folge werden wir diesen besonderen Fortbewegungsmechanismus Enigma-Fortbewegung nennen. Diese Art der Fortbewegung ist mittels eines gewohn-lichen Kilometerzahlers sehr einfach zu erklaren. Jedes mal wenn eine Scheibeeine komplette Umdrehung macht (d.h. vom Buchstaben Z auf den Buchsta-ben A weiter schaltet) wird auch die nachst hohere Scheibe (Stelle) um einsweiter geschaltet. Der Enigma-Fortbewegungsmechanismus ist diesem einfa-chen Mechanismus sehr ahnlich. Jede Walze hat auf der linken Seite eineNute (Kerbe). Auf der rechten Seite hat die Walze 26 Nuten. Als Gegenstuckzu diesen Nuten gibt es fur jede Walze eine Stoßklinke (Metallstange), diebei jedem Tastendruck nach oben stoßt. Die rechte Walze5 (gut zu erkennenin der Abbildung 6.9) hat also auf ihrer rechten Seite 26 Nuten, in solch einerNute rastet die Stoßklinke nach jeder Bewegung ein. Beim nachsten Tasten-druck druckt die eingerastete Klinke wieder nach oben, und somit wird dieWalze jedes mal fortbewegt. Die mittlere Walze RM hat wieder eine eigeneStoßklinke, dabei wird das Einrasten in eine der 26 Nuten aber durch dierechts davon liegende Walze RN verhindert, da diese auf ihrer linken Seitenur eine Nute hat. Somit kann die mittlere Stoßklinke nur jedes 26. Mal ein-rasten. Die Walze RM bewegt sich nur einmal fort, wahrend sich die rechteWalze RN schon 26 Mal bewegt hat. Die linke Walze6 bewegt sich auf die sel-be Weise fort. Die Scheibe der mittleren Walze RM verhindert das Einrastender Stoßklinke in eine Kerbe der linken Walze in den meisten Fallen, genauwie im vorher beschriebenen Fall zwischen der rechten und mittleren Walze.Durch diese Konstruktion ergibt sich eine Fortschaltung wie bei einem Ki-

5Auch als schneller Rotor RN bezeichnet.6Auch als langsamer Rotor RL bezeichnet.

13

lometerzahler, die aber eine kleine Anomalie aufweist. Nehmen wir an, dieStoßklinke zum Fortschalten der mittleren Walze ist eingerastet (d.h. dieKerbe der rechten Walze befindet sich zur Zeit in der richtigen Position).Beim nachsten Tastendruck wurde sich der Rotor RN und RM fortbewegen.Erreicht die mittlere Walze nach ihrer Fortbewegung auch die Kerbenstellung(d.h. die Stoßklinke zwischen den Walzen RM und RL kann einrasten), dannbewegt sich das nachste mal die linke Walze RL und die mittlere Walze RM

fort. Die mittlere Walze hat sich also zweimal nacheinander gedreht. DieserUmstand wird in der Literatur auch haufig Doppel-Schritt Anomalie (engl.double step anomaly) genannt.Durch diese Anomalie verkurzt sich die Periode der Maschine auf 26× 25×26 = 16900. Dies verursachte im Zweiten Weltkrieg auch einige Probleme beider Entschlusselung der Enigma durch die Alliierten. In Tabelle 3.2 ist einBeispiel fur eine Rotorfortschaltung mit Doppel-Schritt abgebildet. In diesem

Lage RL RM RN

Rotor I II IIIPosition A D T

A D UA D V (RN eingerastet)A E W (RM eingerastet)B F XB F Y

Tabelle 3.2: Beispiel zur Rotorfortschaltung mit Doppelschritt

Beispiel ist eine Wehrmachtsenigma mit drei Walzen gegeben. Die Walzen-lage ist I II III. Das heißt der Rotor I ist in der linken Lage, Rotor II in dermittleren Lage und Rotor III ist in der rechten Lage 7. Jetzt betrachten wirbestimmte Eigenschaften der Walzen.Die Daten in Tabelle 3.3 deuten wir folgendermaßen: Rotor I hat seine Kerbe

Rotor Kerbe AnzeigeI Y QII M EIII D V

Tabelle 3.3: Kerben zur Walzenfortbewegung bei der Wehrmachtsenigma

7siehe dazu auch im Glossar auf Seite 124

14

beim Buchstaben Y. Ist der Rotor I eingerastet, ist im Sichtfenster nicht Ysondern Q abzulesen. Ahnliches gilt auch fur die Walzen II und III.

Daraus ergibt sich folgender Ablauf. Die Startposition ist ADT. Wird eineTaste gedruckt, so bewegt sich der Rotor RN fort. Bei einem weiteren Ta-stendruck bewegt sich wieder RN fort und rastet in der Position V ein. Beimnachsten Tastendruck wird zusatzlich der mittlere Rotor RM bewegt, da dieStoßklinke in die Kerbe des rechten Rotor RN eingerastet ist und somit allebeide Rotoren durch diese Fortbewegt werden. In dieser Position (AEW) istnun der mittlere Rotor eingerastet. Beim nachsten Tastendruck bewegt sichder langsame Rotor RL fort, der mittlere Rotor bewegt sich aber auch mit,da seine eigene Kerbe eingerastet ist.Beim schnellen Rotor RN tritt die selbe Anomalie (Doppelschritt) auf, nurwird sie nicht bemerkt, da sich der schnelle Rotor, infolge seiner Kerben aufder rechten Seite, sowieso jedes mal fortbewegt.

3.2.2 Steckerbrett

Zusatzlich zu den Walzen hat die Enigma ein Steckerbrett. Dieses Brett wirdwahrend einer Schlusselung8 nicht geandert. Jeder Enigma mit Steckerbrettliegen vier bis maximal 13 Kabel bei, die jeweils eine Steckerverbindung zwi-schen zwei beliebigen Buchstaben erlaubt. Bei der Verschlusselung wird einBuchstabe, bevor er zur Walzeneinheit gelangt, durch das Steckerbrett gelei-tet. Ist der Buchstabe gesteckt, so wird er durch den mit ihm verbundenenBuchstaben vertauscht (substituiert). Diese Substitution ist involutorisch,d.h. ist A mit K gesteckt, dann wird A durch K substituiert und K wird durchA substituiert. Der involutorische Charakter der gesamten Enigma wird nichtbeeinflusst, denn, nachdem das Signal durch die Walzeneinheit geflossen ist,wird es noch einmal durch das Steckerbrett geleitet. Dabei unterscheiden sichdie Steckerverbindungen nicht von denen, die vor der Walzenchiffrierung an-gewandt wurden9.

Durch das Steckerbrett konnten die moglichen Einstellungen der Enigma zurVerschlusselung betrachtlich gesteigert werden. Jeder Buchstabe konnte mitallen anderen Buchstaben verbunden sein. Fur einen Stecker ergibt das schon26×25 = 650 Moglichkeiten. Um doppelte Permutationen nicht mitzuzahlenmuss diese Zahl noch durch zwei dividiert werden. Somit ergeben sich 325Moglichkeiten zwei beliebige Buchstaben zu verbinden. Dieser Wert kann

8Kann entweder eine Ver- oder Entschlusselung sein. Die Maschine macht da dabeikeinen Unterschied.

9Jedes Kabel hat zwei getrennte Drahte und jeder Stecker hat zwei Metallstifte.

15

durch die Verwendung von mehreren Steckern noch enorm gesteigert wer-den. Durch die Formel 3.1 konnen die moglichen Permutationen fur einebestimmte Anzahl von Steckerverbindungen berechnet werden.

26!

(26− 2k)!× k!× 2k(3.1)

Mit Hilfe obiger der Formel 3.1 wurde die Tabelle 3.4 berechnet. In der Ta-belle kann man erkennen, dass 11 Steckerverbindungen die maximale Anzahlvon Permutationen ergibt. Laut Bauer [Bau00a] wurden von den Deutschenab 19.8.1939 fur die Wehrmachtsenigma 10 Steckerpaare verwendet.

Anzahl der beeinflussteSteckerverbindungen mogliche Permutationen Zeichen [%]

0 0 01 325 152 44850 283 3, 5× 106 414 1, 6× 108 525 5, 0× 109 626 1, 0× 1011 717 1, 3× 1012 798 1, 1× 1013 859 5, 4× 1013 9110 1, 5× 1014 9511 2, 1× 1014 9812 1, 0× 1014 9913 7, 9× 1012 100

Tabelle 3.4: Steckerverbindungen und Anzahl moglicher Permutationen

3.2.3 Tastenfeld

Das Tastenfeld der Enigma ist wie bei einer Schreibmaschinentastatur ange-ordnet, mit dem Unterschied, dass die Buchstaben P und L in der unterstenBuchstabenreihe ganz links bzw. ganz rechts positioniert sind. Die Verbin-dung der Tasten (uber das Steckerbrett) zur Chiffriereinheit erfolgt uber denStator10. Dabei ist die Art der Verdrahtung wichtig. Die Verdrahtung bei eini-gen Modellen11 erfolgt durch das Tastatur-Schema. Dabei werden die Tasten

10Der Stator wird auch Eintrittswalze (ETW) genannt.11Beispiele sind die Reichsbahn-Enigma, die Abwehr-Enigma und die Enigma K

16

durch folgende Substitution mit den Walzen verbunden.(abcdefghijklmnopqrstuvwxyz

QWERTZUIOASDFGHJKPYXCVBNML

)Die Wehrmachtsenigma hat keine besondere Substitution, alle Buchstabenwerden direkt verbunden. Somit ergibt sich:(

abcdefghijklmnopqrstuvwxyz

ABCDEFGHIJKLMNOPQRSTUVWXYZ

)Ein wichtiges Detail bei der Fortschaltung der Walzen ist, dass diese immerbewegt werden wenn eine Taste gedruckt wird, aber noch bevor die eigentlicheVerschlusselung durchgefuhrt wird (siehe dazu Abschnitt 3.2.5).

3.2.4 Lampenfeld

Das Lampenfeld ist auf die selbe Weise wie das Tastenfeld angeordnet. Un-ter jedem Sichtfenster, welches jeweils mit einem Buchstaben versehen ist,befindet sich eine Gluhlampe.

3.2.5 Stromfluss

Beim Hinunterdrucken einer Taste werden alle Stoßklinken nach oben be-wegt. Je nach Position der Kerben wird eine oder mehrere Walzen fortbewegt.Wahrend die Taste gedruckt ist, bleibt ein Stromkreis geschlossen. Dieser bil-det sich folgendermaßen (siehe dazu Abbildung 3.1).Jede Taste ist mit einem Pol der Spannungsquelle (1) verbunden und nurwenn die Taste gedruckt ist, wird der Kontakt geschlossen. Das Tastenfeld(2) ist mit dem Steckerbrett (3) verbunden, der Strom fließt zu diesem. Fallsder betatigte Buchstabe gesteckert ist, wird der Strom zu dem verbundenenBuchstaben umgeleitet, falls der Buchstabe nicht gesteckert ist, fließt derStrom ohne Umleitung weiter.Vom Steckerbrett breitet sich der Strom durch die Eintrittswalze (4), de-ren Ausgang mit der rechten Walze verbunden ist, weiter aus. Der Stromnimmt nun, je nach Walzenstellung, einen bestimmten Weg durch die Wal-zen (5). Die Umkehrwalze (6) leitet den Strom zuruck in die Walzeneinheit,wodurch er wiederum die Eintrittswalze und das Steckerbrett durchwandert.Vom Steckerbrett aus fließt der Strom nun direkt zum Lampenfeld (7), wo ereine Gluhlampe (welche mit dem anderen Pol der Spannungsquelle verbundenist) zum Leuchten bringt. Diese Lampe zeigt das Resultat der Verschlusse-lung eines Buchstabens an.

17

Abbildung 3.1: Schematischer Aufbau und Stromkreis der Enigma

18

Abbildung 3.1 zeigt schematisch den internen Aufbau der Wehrmachtse-nigma. Dabei wurden folgende Einstellungen verwendet: Walzenlage IV I II,Umkehrwalze B, Ringstellung AAA, Grundstellung UEY, Steckerverbindun-gen (AS)(GN)(UI)(QM)(EX). All diese Einstellungen werden in einem dernachsten Abschnitte erklart.Auf der Tastatur wird gerade der Buchstabe W betatigt. Beim Hinunter-drucken bewegen sich zuerst die Walzen fort. Der schnelle Rotor RN bewegtsich von Y zur Position Z weiter. Vom W aus breitet sich der Strom Rich-tung Steckerbrett aus. Dort wird er, da der Buchstabe W nicht gesteckert ist,nicht substituiert. Der Strom fließt also in der Leitung uber W zur nachstenEinheit, der Eintrittswalze weiter. Diese verbindet (bei der Wehrmachtse-nigma) alle Leitungen direkt an den schnellen Rotor RN weiter. Infolge deraktuellen Position des schnellen Rotors ist der W Kontakt der Eintrittswalzemit dem V Kontakt von RN verbunden. Nun erfolgt durch diese Walze eineSubstitution, denn bei der Walze II ist V mit Y intern verbunden. Infolge derrelativen Position der beiden Rotoren RN und RM zueinander wird das Y inein D verwandelt. Analog dazu geht dieser Substitutionsprozess bis zur Um-kehrwalze weiter (es ergeben sich die Substitutionen (DF), (FV) und (VD)).Diese transformiert das D in ein X, welches wiederum ruckwarts durch dieRotoren lauft (es ergeben sich die Substitutionen(XR), (RM), (MW), (WN),(NI) und (IF)). Das F ergibt, wiederum infolge der Position des schnellenRotors, ein G. Der Strom fließt nun auf der Leitung G zum Steckerbrett.Dort wird der Strom durch eine Steckerverbindung auf N “umgeleitet“, wel-che mit einem Kontakt einer Gluhlampe verbunden ist. Diese leuchtet nunauf und gibt somit das resultierende Zeichen (N) der Verschlusselung an.

3.3 Allgemeine Einstellungen

Die Enigma wurde meistens in einer Holzkiste transportiert und zur Be-nutzung ist noch ein Satz an Zubehor vorhanden. Fur den Betrieb warenmindestens drei austauschbare Rotoren notig, teilweise standen sogar funfoder acht zur Auswahl. Auch die Umkehrwalze war austauschbar, es gab biszu drei verschiedene Umkehrwalzen. Fur das Steckerbrett waren Kabel mitSteckern notig. Bis zu 10 Steckerpaaren waren gebrauchlich. Zum Betrieb desLampenfeldes war entweder eine Batterie oder ein Netzanschluss notig. Auseinem Buch, dem sogenannten Schlusselbuch, konnten die aktuellen Schlusselfur die Verschlusselung genommen werden.Die Vorbereitung der Maschine fur die Verschlusselung erfordert nur wenigeHandgriffe. Der Deckel der Maschine muss geoffnet und die Walzen aus derKiste entnommen werden. Jetzt werden die gewunschten Walzen ausgewahlt

19

und in der richtigen Reihenfolge auf die Achse aufgesteckt. Dann werden dieWalzen wieder eingelegt und fixiert. Eine weitere Einstellung an den Walzenist die Ringstellung. Jede Walze hat einen Buchstabenring, welcher im Sicht-fenster einen Buchstaben angezeigt. Dieser Ring kann relativ zum Kern (derVerdrahtung) gedreht werden. Dies geschieht durch Anheben einer Feder unddurch Drehen des Buchstabenringes in die gewunschte Position. Nun wird derDeckel der Maschine geschlossen und jede Walze wird so lange gedreht bisim Sichtfenster der gewunschte Buchstabe erscheint.Bei den meisten Modellen ist jetzt nur mehr die Einstellung der Steckerver-bindungen notig.

3.4 Schlusselraum

Die fur die Verschlusselung relevanten Einstellungen der Enigma sind:

1. Auswahl der Walzen (Welche Walzen werden ausgewahlt?);

2. Lage der Walzen (In welcher Position werden sie montiert?);

3. Ringstellung fur jede Walze;

4. Grundstellung12 fur jede Walze;

5. Steckerbrett.

Ein Schlussel fur die Enigma setzt sich also aus 5 verschiedenen Elementezusammen. Hier soll anhand der Wehrmachtsenigma mit funf Walzen dieSchlusselraumgroße berechnet werden.

Einheit Formel PermutationenWalzenauswahl 3 Walzen aus 5 auswahlen 6

Walzenlage13 3 Walzen anordnen 10Ringstellung 263 17.576

Grundstellung 263 17.576Steckerbrett 26!

6!×10!×210 150.738.274.937.250

Gesamt 2.793.925.870.508.516.103.360.000

Tabelle 3.5: Große des Schlusselraums der Wehrmachtsenigma

12Im Sichtfenster ablesbarer Buchstabe.13Auswahl und Reihenfolge der Walzen kann auch als 5×4×3 = 60 (Wie viele Moglich-

keiten gibt es 5 Walzen auf 3 Platze aufzuteilen) angeschrieben werden.

20

Wie leicht aus der Tabelle 3.5 zu erkennen ist wird die Große des Schlussel-raums maßgeblich durch die Einstellmoglichkeiten des Steckerbretts. Diesbeinhaltet etwa 2, 7× 1024 mogliche Schlussel.

3.5 Schlusselverteilung

Im vorigen Abschnitt haben wir gesehen, wie viele Einstellmoglichkeiten dieEnigma zur Verfugung stellt. Nun werden wir sehen, welche Einstellungenwie oft geandert wurden und wie sie ausgetauscht wurden.Im Dritten Reich gab es verschiedene Enigma-Systeme. Das Heer und dieLuftwaffe verwendeten gleiche Modelle, die Wehrmachtsenigma. Die Marineverwendete auch die Wehrmachtsenigma, allerdings mit kleinen Anderungen.Die Reichsbahn und der Abwehrdienst hatten wiederum eigene Modelle imEinsatz. Somit waren die Modelle der unterschiedlichen Abteilungen nichtkompatibel zueinander. Zusatzlich zu den verschiedenen Modellen gab esnoch viele verschiedene Schlusselnetze. Verschiedene Heeres-Einheiten, Flie-gerkorps und SS Einheiten benutzten alle verschiedene Schlusselnetze. Furjedes Schlusselnetz waren bestimmte Regeln definiert und es gab ein so ge-nanntes Schlusselbuch.

3.5.1 Das Schlusselbuch

Ein Schlusselbuch enthielt fur das jeweilige Schlusselnetz die Schlussel fureinen bestimmten Zeitraum. Diese Bucher wurden alle paar Monate auf kon-ventionellem Weg verteilt. Fur jeden Tag existieren verschiedene Einstellun-gen, einige Einstellungen anderten sich weniger oft einige sogar mehrmals amTag.Die Walzenauswahl und Lage war fur jeden Tag angegeben, genauso war dieRingstellung sowie die Steckerbrett-Einstellungen jeden Tag verschieden. Alldiese Einstellungen bildeten den Tagesschlussel. Zusatzlich gab es die Grund-stellung. Sie diente zur Verschlusselung eines Spruchschlussels.

Spruchschlussel

Jede Verschlusselung erforderte vier Parameter (Walzenlage, Ringstellung,Grundstellung, Steckerbrett). Damit nicht jede Nachricht mit den gleichenTageseinstellungen verschlusselt wurde, hat man so genannte Spruchschlusselverwendet. Ein Spruchschlussel bestand aus dem aktuellen Tagesschlusselund einer Walzenstellung. Die Stellung der Walzen musste vom Verschlusslerfrei gewahlt werden, und mit Hilfe der Grundstellung verschlusselt werden.

21

Eine Verschlusselung lauft also folgendermaßen ab. Zuerst wird der Tages-schlussel eingestellt: Die Walzen mit der richtigen Reihenfolge in die Maschineeingesetzt, die Ringstellung fur jede Walze einzeln gesetzt und das Stecker-brett gesteckt. Danach wird in den Sichtfenstern die Grundstellung eingestelltund dann wird ein frei gewahlter Drei-Buchstaben-Schlussel (z.B. WKR) mitdiesen Einstellungen verschlusselt. Dieser Schlussel wird dabei zur Sicherheitzweimal14 hintereinander eingetippt. Nun wird der vorher gewahlte Schlusseleingestellt und damit wird die eigentliche Nachricht verschlusselt.Ein Beispiel15 soll hier gegeben werden.

Der erste Teil der verschlusselten Nachricht lautet:

HCALN UQKRQ AXPWT WUQTZ KFXZO MJFOY RHYZW VBXYS IWMMV

WBLEB DMWUW BTVHM RFLKS DCCEX IYPAH RMPZI OVBBR VLNHZ

UPOSY EIPWJ TUGYO SLAOX RHKVC HQOSV DTRBP DJEUK SBBXH

TYGVH GFICA CVGUV OQFAQ WBKXZ JSQJF ZPEVJ RO -

Bei dieser Nachricht wurden folgende Einstellungen verwendet: Wehrmacht-senigma mit Rotorlage II I III, Umkehrwalze B, Ringstellung ZWD, Grund-stellung FRX, Steckerbrett (EZ)(BL)(XP)(WR)(IU)(VM)(JO).Wenden wir uns nun der Entschlusselung des verschlusselten Textes zu. Dieersten sechs Zeichen stellen die Verschlusselung des Spruchschlussels dar. Mitdem bekannten Tagesschlussel und der bekannten Grundstellung FRX ergibtsich bei der Eingabe von HCALNU die Zeichenfolge AGIAGI. AGI ist alsoder Spruchschlussel fur den weiteren Text. Der entschlusselte Text fur dieseTeilnachricht ohne Spruchschlussel lautet:

AUFBE FELDD ESOBE RSTEN BEFEH LSHAB ERSSI NDIMF ALLEX

ZXZTX UNWAH RSCHE INLIC HENFR ANZOE SISQE NANGR IFFSD

IEWES TBEFE STIGU NGENJ EDERZ AHLEN MAESS GENUE BERLE

GENHE ITZUM TROTZ ZUHAL TENX

Transkribiert man diesen Text um, entsteht folgende Nachricht:

Auf Befehl des Obersten Befehlshabers sind im Falle, (z.Zt =) zurZeit unwahrscheinlichen, franzosischen Angriffs die Westbefesti-gungen jeder zahlenmaßigen Uberlegenheit zum Trotz zu halten.

14Dies stellt eine kryptographische Schwache dar (Geheimtext-Geheimtext-Kompromittierung).

15Dieses Beispiel ist eine authentische Nachricht der Wehrmacht von 1938, und wurdeschon in [DK90] angefuhrt.

22

Kapitel 4

Modellvariationen undverwandte Maschinen

4.1 Kommerzielle Modelle der Enigma

4.1.1 Enigma A

Die Enigma A wurde 1923 von der Chiffrierenmaschinen AG das erste Malvorgestellt. Sie hatte vier Rotoren, aber noch keine Umkehrwalze. Sie lasstsich auf folgende Weise charakterisieren

R(i1,i2,i3,i4) = ρ−i1RNρi1−i2RMρi2−i3RLρi3−i4RKρi4 .

In obiger Gleichung ist R(i1,i2,i3,i4) die durch die Maschine erhaltene Substi-tution, dabei geben die i1, i2, i3, i4 die Stellung der Rotoren an. Die vierRotoren werden durch RN , RM , RL und RK beschrieben. Mit ρi wird diePosition (siehe auch Abschnitt 3.1) der Rotoren beschrieben.Die Rotoren der Enigma A haben 281 Kontakte. Die Rotorfortschaltung istunregelmaßig, es werden dazu gezahnte Antriebsrader mit Lucken verwen-det. Jeder Rotor wird durch ein solches Rad angetrieben. Sie bewegen sichregelmaßig mit Perioden von 11, 15, 17, 19 fort. Das 11er-Rad hat funf Zahneund sechs Lucken. Das 15er-Rad hat neun Zahne und sechs Lucken, wahrenddas 17er und 19er-Rad 11 Zahne und sechs bzw. acht Lucken hat. Damit lasstsich die Anzahl der Grundstellungen durch 11×15×17×19×284 berechnen.Diese Maschine hatte aber noch kein Steckerbrett, wodurch die Schlusselmen-ge nicht allzu groß war. Vom ersten Modell wurden nicht viele Exemplare

1Es wurden zusatzlich drei deutsche Sonderzeichen (AOU) verwendet, laut [DK02] wur-de ein nicht haufig gebrauchter Buchstabe des normalen Alphabets weggelassen, vermutlichX, welcher somit nicht verschlusselt wurde.

23

verkauft2, es wurde bald durch das Modell B ersetzt.

Abbildung 4.1: Enigma Modell A mit offenem Deckel

4.1.2 Enigma B

Die Enigma B war ahnlich dem Modell A und wurde wenig spater als ver-bessertes Modell prasentiert. Dieses Modell hatte zum Unterschied zum Mo-dell A nur 26 Zeichen, schaute aber immer noch wie eine Schreibmaschineaus und war auch nicht transportabel.

4.1.3 Enigma C

Erst das Modell C von 1926 war transportabel. Es war auch den spaterenmilitarischen Modellen außerlich und aus technischer Sicht sehr ahnlich. Indiesem Modell wurde zum ersten mal eine Umkehrscheibe verwendet und so-mit gab es drei auswechselbare Rotoren (RL, RM , RN) und einen Reflektor.

2Was man verstehen kann, denn es war sperrig (65cm× 45cm× 38cm) und schwer (50kg).

24

Abbildung 4.2: Enigma Modell B

Durch den Einsatz des Reflektors durchfloss der Strom alle Walzen zweimalund die Maschine war echt involutorisch, d.h. zwischen dem Verschlusselnund Entschlusseln bestand kein Unterschied. Das stellte in der Praxis einebesondere Erleichterung dar, war in Bezug auf die Sicherheit aber ein schwe-rer Nachteil.

4.1.4 Enigma D

Das Modell D war wieder sehr ahnlich zum Modell C, war aber erstmals kom-merziell erfolgreich und wurde von vielen europaischen Staaten und Militarslegal gekauft. Ein Unterschied zum Modell C war z.B. dass der Reflektoreinstellbar war.

25

Abbildung 4.3: Enigma Modell C

4.2 Militarische Modelle

Auch die militarischen Modelle haben eine Weiterentwicklung durchgemacht.Die deutsche Marine hat erstmals 1926 mit einem Modell der Enigma (Funk-schlussel C) experimentiert, welches vermutlich auf der kommerziellen Enig-ma C aufbaute. Im Jahre 1933 wurden in Funkschlussel C kleine Anderungenvorgenommen, aber wie es scheint wurde diese Linie nicht weiter entwickelt.Das deutsche Heer benutzte eine Version der Enigma, die als Modell G be-kannt ist. Diese wurde erstmals 1928 eingefuhrt und basierte auf dem kom-merziellen Modell D. Das Modell G diente nun als Basis fur die Enigma I desHeeres und das Modell M der Marine.

4.2.1 Enigma I

Die Enigma I war das erste bedeutende militarische Modell (Einfuhrung um1930). Sie ist den kommerziellen Modellen C und D sehr ahnlich (hatte abernaturlich andere Walzenverdrahtungen), die Verbindung zum Stator erfolgte

26

Abbildung 4.4: Enigma Modell D

nun in alphabetischer Reihenfolge, der Reflektor war nicht mehr beweglichund ein Steckerbrett wurde eingesetzt.

27

Durch dieses Modell wurde die sogenannte Enigma-Gleichung

ci = piTSiUS−1i T−1

definiert. Dabei gibt pi das Klartextzeichen (plain) an, T die Steckerbrett-substitution, Si die variable Substitution der Walzen und U die Substitutionder Umkehrwalze. Da die fixe Substitution T involutorisch ist, kann sie mitihrer Umkehrsubstitution T−1 gleich gesetzt werden (T = T−1). Auf der lin-ken Seite der Gleichung steht ci, das Geheimtextzeichen (cipher).Die Substitution S(i1,i2,i3) schaut fur das ein 3-Walzen Modell folgendermaßenaus:

S(i1,i2,i3) = ρ−i1RNρi1−i2RMρi2−i3RLρi4

In obiger Gleichung werden die Rotoren in den Lagen Links, Mitte und Rechtsdurch RN , RM und RL definiert. Durch ρi und deren Differenzen (ρix−iy) wer-den die Position der Rotoren relativ zueinander beschrieben.

4.2.2 Enigma II

Dieses Modell war technisch gleich dem Modell I, hatte zusatzlich aber nochein Schreibwerk. Es wurde nur wenig benutzt, da es als unpraktisch galt.

4.2.3 Wehrmacht-Enigma

Aus der Enigma I des Heeres wurde spater das so genannte Wehrmachts-Modell, das im Heer und in der Luftwaffe eingesetzt wurde. Es gab funfverschiedene Rotoren zum Auswechseln, diese waren mit denen der Marineidentisch.

Umkehrwalze D

1944 wurde das erste mal die Umkehrwalze D benutzt. Diese Walze konn-te variabel verdrahtet werden, was auch mehrmals im Monat durchgefuhrtwurde.

Uhr Box

Die Uhr war eine zusatzliche Vorrichtung, welche in Kombination mit derWehrmacht-Enigma eingesetzt wurde. Dabei wurde diese Box mit dem Stecker-brett verbunden. Durch einen Drehknopf konnten 40 verschiedene Positionengewahlt werden. Jede Position bewirkt eine andere Permutation, dabei bliebder involutorische Charakter der Maschine nur bei 10 Positionen erhalten.

28

Dies bot zusatzliche Sicherheit, da einige Angriffe den involutorischen Cha-rakter der Maschine ausnutzen.

4.2.4 Marine Enigma

Die Enigma M3 der Kriegsmarine hatte drei Rotoren, welche aus einem Satzvon funf, sieben und spater acht Rotoren ausgewahlt werden konnten. DieRotoren I–V waren auch bei der Wehrmacht-Enigma im Einsatz, VI–VIIIwurden nur bei der Marine eingesetzt. Im Jahr 1942 wurde die Version M4der Marine-Enigma mit einer vierten Walze (Griechenwalze) eingefuhrt. DieseWalze (β, γ) bewegt sich nicht mit. Damit die M4 kompatibel zur M3 war,wurden die Umkehrwalzen in B dunn und C dunn aufgespalten, wodurchmit dem Modell M4 Nachrichten fur das Modell M3 verschlusselt werdenkonnten3.

4.2.5 Reichsbahn-Enigma

Das Modell der Reichsbahn war ein alteres Modell ohne Steckerbrett, undwar deshalb auch weniger sicher. Es basierte auf der kommerziellen Enigmamit drei Walzen, die Umkehrwalze konnte gesetzt werden, bewegte sich abernicht fort.

4.2.6 Abwehr-Enigma

Die Abwehr-Enigma wurde vom deutschen Abwehr-Dienst verwendet. Siehatte kein Steckerbrett, dafur aber bewegte sich der Reflektor mit. Damitwar sie eine Vier-Walzen Maschine. Die Walzen wurden mit Hilfe eines Ge-triebes und Schaltnocken fortbewegt (ahnlich wie bei der Enigma A), siehatten 11, 15 und 17 Nocken (Zahne), bei einer Periode von 26. Deshalbwurde die Maschine auch 11-15-17 Modell genannt.

In den nachsten beiden Abschnitten werden wir einige der bekanntestenRotor-Maschinen kurz betrachten.

4.3 Enigma Nachbauten

Die kommerzielle Enigma (Modell D) wurde von vielen Landern gekauft,auch deren Patente konnten eingesehen werden. Deshalb war es nur logisch,dass viele Lander diese nachbauten.

3Die Kombination von β und B dunn ergibt die Umkehrwalze B.

29

4.3.1 GREEN

Die von den Amerikanern mit GREEN bezeichnete Maschine wurde von denJapanern 1934 gebaut. Sie war ein Nachbau der Enigma D, wobei das Be-sondere daran die horizontal liegenden Rotoren waren.

4.3.2 TYPEX

Die Typex war wiederum ein Nachbau der kommerziellen Enigma. Sie wur-de 1935 in England von einer Regierungskommission entwickelt. Sie war imPrinzip kompatibel mit der Wehrmacht-Enigma und wurde sogar zur Ent-schlusselung von deutschen Funkspruchen genutzt. Im richtigen Einsatz hat-te sie funf Rotoren, wovon sich zwei Rotoren aber nicht fortbewegten. Diesestellten somit eine nicht involutorische Eingangs-Substitution dar (im Gegen-satz zum Steckerbrett der Enigma). Auch die Fortbewegung unterschied sichzu der Fortbewegung der Walzen, wie sie in Enigma-Maschinen implemen-tiert war. Diese war auch regular, aber die Rotoren hatten mehrere Kerbenzum Fortschalten. Es gab auswechselbare Ringe mit funf, sieben oder neunKerben. Als Ausgabe diente nicht eine Anzeige mit Gluhlampen, sondern einStreifendrucker.

4.3.3 M-325

In den Jahren 1935-36 entwarf der beruhmte amerikanische Kryptologe Wil-liam Friedman fur die US Army die Maschine M-325. Diese basierte auch aufder Enigma, wurde aber wegen einiger Mangel zuerst nicht eingefuhrt. Erst1944 wurde sie unter dem Namen SIGFOY gebaut.

4.4 Andere Rotormaschinen

4.4.1 C-38

Die Maschine C-38 ist nicht kompatibel zur Enigma, denn sie basiert nichtauf dem Prinzip der rotierten Alphabete, sondern sie bildete BEAUFORT-Chiffrierschritte nach. Dabei wurde eine unregelmaßige Fortschaltung durchfunf (C-35, C-36) oder sechs (C-38) Antriebsrader bewirkt. Entworfen wurdedie C-38 vom Schweden Boris Hagelin, die Maschinen C35 und C36 warenVorlaufer der C38.Ihren Einsatz fand die C-38 in der US Army als M-209 (140.000 Stuck) undin der US Navy als CSP 1500.

30

Kapitel 5

Kryptoanalytische Methoden

Dieses Kapitel ist nicht nach der Klassifizierung der verwendeten Verfahren(z.B. Geheimtext-Geheimtext-Angriff, Klartext-Geheimtext-Angriff) geglie-dert, sondern chronologisch nach der ersten Verwendung und nach Landern.

5.1 La Methode des Batons

Diese Methode war schon sehr fruh bekannt. Sie wurde schon 1935 vom Bri-ten Alfred Dillwyn Knox gegen die kommerzielle Version der italienischenEnigma benutzt. Dort wurde sie cliques on the rods oder auch rodding ge-nannt. Bei den Franzosen war sie als methode des batons bekannt. Zum Ein-satz dieser Methode kam es im spanischen Burgerkrieg 1938-1939, in demeine kommerzielle Version der Enigma von allen Beteiligten, den Briten, denDeutschen, den Italienern und den Spaniern eingesetzt wurde.Mit dieser Methode, auch Isomorphie-Methode1 genannt, konnte der schnel-le Rotor RN und seine Startposition bestimmt werden. Dazu mussten aberfolgende Bedingungen erfullt sein:

1. Die internen Verdrahtungen der Walzen mussen bekannt sein.

2. Es darf kein Steckerbrett vorhanden sein.

3. Wahrscheinliche Worter mussen bekannt sein.

4. Nur der schnelle Rotor darf sich drehen.

Der erste Punkt war bei der kommerziellen Version der Enigma gegeben, beianderen Modellen mussten zuerst die Verdrahtungen ermittelt werden. Dies

1Wir werden spater sehen woher der Name ruhrt.

31

war bei der enormen Anzahl von aufgefangenen Funkspruchen, die zur Er-mittlung der Verdrahtung eingesetzt wurden, bald moglich. Bezuglich PunktZwei ist zu vermerken, dass die kommerzielle Enigma noch kein Steckerbrettbesaß, wahrend spatere deutsche militarische Modelle alle mit einem Stecker-brett ausgerustet waren2. Ausnahme war die italienische Marine, welche nochbis 1941 ein schwacheres Modell ohne Steckerbrett einsetzte und das Mo-dell der deutschen Abwehr, welches auch kein Steckerbrett, aber dafur eine“unregelmaßige“ Walzenfortschaltung besaß. Das Problem, wahrscheinlicheWorter zu finden, war auch gering, denn deutsche (bzw. italienische) Ein-heiten begannen Nachrichten meist mit Stereotypen wie ANXDEN (wobei Xfur ein Leerzeichen steht). Die Erfullung des vierten Punktes ist bei diesemVerfahren auch leicht erreichbar, da schon ein kurzes wahrscheinliches Wortfur dieses Verfahren ausreicht und somit die Wahrscheinlichkeit, dass sich einanderer Rotor dreht (ausgenommen dem Schnellen), klein ist.Betrachten wir nun ein Modell mit drei Walzen

S(i1,i2,i3) = ρ−i1RNρi1−i2RMρi2−i3RLρi3

Dabei seici = piSiUS−1

i

eine polyalphabetische Substitution3, wobei pi Klartextzeichen (plain text)und ci Geheimtextzeichen (cipher text) sind. Si gibt die oben definiertenbekannten Alphabete an und U ist die Umkehrwalze. Formuliert man dieobige Gleichung um zu4

ciSi = piSiU,

so ist die Folge ciSi das Bild der Folge piSi mit der monoalphabetischenSubstitution U , woraus folgt, dass die beiden Folgen isomorph sind.Der kryptoanalytische Angriff besteht nun darin, fur das wahrscheinlicheWort

pi, pi+1, .., pi+n,

(zusammengesetzt aus den Zeichen pi) einen Index i zu finden, sodass dieWorte

ciSi, ci+1Si+1, .., ci+nSi+n

undpiSi, pi+1Si+1, .., pi+nSi+n

2Auch den Deutschen war diese Schwache der Enigma bewusst, weshalb das Stecker-brett bei der Wehrmachtsenigma eingefuhrt wurde.

3Wird auch allgemein als Enigma-Gleichung bezeichnet.4Voraussetzung dafur ist die Bedingung S−1

i × Si = ε, d.h. Si muss involutorisch sein.

32

isomorph zueinander sind. Gibt es Widerspruche zum erwarteten Isomorphis-mus, kann der Index i ausgeschlossen werden.Diese Ausschlussmethode funktioniert, da zwei beliebige (d.h. zufallige) Fol-gen nicht isomorph sind. Je langer die Folgen, desto weniger Fehltreffer wer-den erzielt. Als Beispielfolgen sollen hier “eine“ und “sehr“ dienen. Die Paare(es) und (ie) widersprechen sich, sie kreischen (engl. screech), und konnensomit ausgeschlossen werden.Im Falle einer Maschine mit drei Walzen ergeben sich sechs Moglichkeitendie Walzen einzulegen und 26× 26× 26 = 17576 verschiedene Moglichkeitensie zu positionieren. Es waren also insgesamt 17576 × 6 = 105456 verschie-dene Positionen zu testen. Bei genauerer Betrachtung sieht man, dass dasnicht notig ist. Die regelmaßige Walzenfortschaltung der Enigma fuhrt dazu,dass sich der mittlere und langsame Rotor (RM , RL) nur selten bewegen. Dermittlere Rotor dreht sich z.B. nur nach jeder 26-sten Bewegung des schnellenRotors. Das macht es wahrscheinlich, dass sich bei der Eingabe eines kurzenWortes nur der schnelle Rotor bewegt. Die beiden “unbewegten“ Rotorenbilden mit der Umkehrwalze U also eine Pseudo-Umkehrwalze (siehe Abbil-dung 5.1).Diese Walze

U ′(i2,i3) = ρ−i2RMρi2−i3RLρi3 · U · ρ−i3RMρi3−i2RLρi2

hat die gleichen Eigenschaften wie die U , sie ist monoalphabetisch und in-volutorisch. Daraus ergibt sich nun die einfachere Ausgangslage

Si = ρ−iRNρi

undciSi = piSiU

′(i2,i3),

wobei Si hier von einfacherer Form ist.Jetzt mussen nur alle Walzen in der “schnellen Lage“ in allen Positionen

getestet werden. Daraus kann der schnelle Rotor und seine Position ermitteltwerden. Ist der schnelle Rotor und seine Position bestimmt, so kann aus densich ergebenden fixen Zyklen die Lage und Position der weiteren Rotorenbestimmt werden. Dazu kann ein Katalog mit 2× 262 = 1352 Eintragen furalle U ′(i2,i3) herangezogen werden. Somit konnen alle Einstellungen wie Lageund Position aller Rotoren bestimmt werden.

33

Abbildung 5.1: Walzen fur Batons-Methode

34

Als Beispiel soll hier das von Deavours und Kruh in [DK85] verwendeteangefuhrt werden. Wir nehmen an

reconnaissance

wird zuUPYTEJOJZEGBOT

verschlusselt, wobei Rotor I als schneller Rotor verwendet wurde.

In Tabelle 5.1 sind die zur Entschlusselung notigen Informationen aufgeli-

r U e P c Y o T n E n Z a O i J s Z s E a G n B c O e TA U A F W J C R Y Q R N G X U A Q W I B N D N R D M S H QB R H B S D H O N N U J A J B P M B M C O I J X K U X E CC N Z N P Z I K X J H T W N T L J C P U W C G R L J Y A GD X O R L L A U D T M A I Q I I F U C Z L J C W T F Q K JE E Y U V P F B X A G S M D S E P Z H T H K M X I C V R WF W E H C S Z T C S N H P I Y O W T B P E S T P E Y P J BG L Y M U F V I D H O R C C S V O P I B A H L U B I L Y VH V D G J K H S V R W X H J X N D B J F K D A O X P X I CI B E N T E L Y A X L R B K Y C N F R I R A K K H H B O DJ V W O Z L O S U R H W I S Q M T I G V J W Q W O W E I LK A B W T M B X Q W E X J H V S N V C A Y G K A G G R N AL B V L Y U G Y C X A P R D P M S A Z U I N P D V M W O WM T R H Z J A Q G P K U G A L R T U V B O F Q Q F G Q G TN Y D E R F H V J U R O C W X S L B F C I U I V L L X L PO S H A W C I P W O J K Z G B K Q C M K N E N P F M Y F ZP O K K Q Y Q L B K Y W V N E P K K E Z O K H W K E G B GQ A X R M I F X V W I A F F R J G Z T V G E D X L J V N YR E C J Y P B B C A O D M U W F S V D S L J P F D D R R NS H W Y C H Y E D D I Q E E Q R W S J O F K T U I Z O U XT U D I F W U R L Q N V T K X V Z O D Y B C W Q C L K H DU Z E O S G E W A V O P D E Y Y M Y I F N H J N Y P U M XV T M I X M L Q W P G W J J G L R F J X R B O J K S B G CW A B N R G D X T W L X D K V Q L X B M U X I T O F T N DX B X O Y L S Y P X F F I C R K S M G W H J P A R K I O VY J U G Z M C G Z F B U J H O R T W A C M N Q S E E S W AZ Y Q L H E I V G U N Q B B K S B C W W G Q Y H J L Y L U

Tabelle 5.1: Methode des Batons mit Streifen

stet. Dazu werden die Spalten des rotierten Alphabetes von Rotor I (sieheTabelle 3.1) als Streifen verwendet. Fur jedes Klartext- und Geheimtext-Buchstaben-Paar werden zwei Streifen der jeweiligen Spalte des rotierten

35

Alphabetes platziert. Dabei wird das Streifenpaar je nach Spaltenindex ver-schoben. Zum Herausfinden der richtigen Rotorposition muss jede Zeile aufInvolution uberpruft werden. In Tabelle 5.1 ist nur eine Zeile involutorisch,Zeile Y. In allen anderen Zeilen gibt es Paare, die den Isomorphismus ver-letzen. In Zeile A sind zwei Paare, welche nicht isomorph sind fettgedruckteingezeichnet. Aus Zeile Y

JGMGFUHRWCNSEW

UZCZBJOTAMQESA

ergeben sich neun Paare (AW), (ES), (BF), (CM), (GZ), (HO), (JU), (NQ),(RT), welche alle Zweierzyklen der Pseudo-Umkehrwalze U ′i2,i3

sind. Somithaben wir den rechten Rotor identifiziert und seine Position ermittelt. Dermittlere und linke Rotor kann in weiterer Folge auch identifiziert werden. Da-zu benutzen wir, wie schon vorher erwahnt, einen Katalog mit allen moglichenSubstitutionen fur U ′i2,i3

. Mit den vorher erhaltenen Substitutions-Paarenkonnen wir die richtige Walzenlage und Walzenposition im Katalog iden-tifizieren.

36

5.2 Erste Polnische Erfolge

Die Polen waren die Ersten, die ernsthafte Erfolge beim Brechen der Enigmaerzielt haben. Laut [DK85] haben sie schon 1928 den Einsatz einer neuenmaschinellen Verschlusselung registriert, als die Enigma G, ein Vorlaufer derEnigma I, am 15.07.1928 vom deutschen Heer eingefuhrt wurde. Am 1.6.1930wurde dann die Enigma I eingefuhrt, welche spater auch zur Wehrmacht-Enigma wurde. Zwischen 1928 und 1932 war noch nicht viel bekannt uberdie Maschinen, nur der 6-Buchstaben-Schlussel am Anfang einer Nachrichtwar geklart. Wenn zum Beispiel an einem Tag eine Nachricht mit KSRPIRbegann, war auffallig, dass jede andere abgefangene Nachricht an diesem Tagwelche K an erster Stelle hatte auch ein P an vierter Stelle hatte. Das sel-be galt fur die Stellen zwei und funf und den Stellen drei und sechs. ImJahre 1932 war es dann klar, dass eine modifizierte Enigma im Einsatz warund dass die ersten sechs Buchstaben die verdoppelte Rotorstartposition inverschlusselter Form darstellte, wobei bei allen Nachrichten eines Tages dieselben Einstellungen (Rotorlage, Steckerbrett, Ringstellung) verwendet wur-den.

5.2.1 Hilfe von Außen

Im Jahre 1931 kam Hilfe von den Franzosen. Hans-Thilo Schmidt, ein Mit-arbeiter der Chiffrier-Stelle des Reichswehrministeriums, bekannt unter demDecknamen “Asche“, hat von 1931 bis 1938 dutzende Dokumente wie Ge-brauchsanleitungen, Schlusselanleitungen und sogar Tagesschlussel uber denfranzosischen Agenten Rex an den franzosischen Chiffrierdienst weiter gelei-tet. Die Franzosen gaben die Dokumente wiederum an die Briten und Polenweiter. Wie wichtig dieser Verrat fur die Alliierten war, ist leicht aus demubergebenen Material zu ersehen. Gebrauchsanleitungen gaben den Krypto-logen Aufschluss uber die gemachten Veranderungen der Enigma gegenuberdem kommerziellen Modell, kurze Klartext-Geheimtext-Beispiele und Tages-schlussel fur zwei ganze Monate halfen die neu verdrahteten Walzen zu ana-lysieren.

5.2.2 Der Durchbruch

Durch diese neu gewonnenen Informationen gelang den Polen der Durch-bruch. Auf britischer Seite passierte zu diesem Zeitpunkt noch nicht viel;dies mag daran gelegen haben, dass in Polen, als kleines Land direkt anDeutschland angrenzend, mehr “Angst“ herrschte. Im September 1932 stell-te das polnische Chiffrier-Buro in Warschau drei junge Mathematiker ein.

37

Diese wurden aus zwei Dutzend Mathematik-Studenten ausgewahlt, und siemussten vorher einen kurzen kryptoanalytischen Lehrgang besuchen. Diesejungen Mathematiker hießen Marian Rejewski, Jerzy Rozycki, Hendryk Zy-galski. Rejewski konzentrierte seine Arbeit bald auf die abgefangenen Funk-spruche.

5.2.3 Dechiffrierung der Spruchschlussel

Die Walzenverdrahtungen wurden von den Polen auf Basis des umfangreichenFunknachrichtenmaterials, mit Hilfe von bekannten Tagesschlusseln und ausBeispielen in den Enigma-Handbuchern ermittelt. Aber noch vor der Be-stimmung der Walzenverdrahtungen entzifferten die Polen die chiffriertenSpruchschlussel.Marian Rejewski vermutete, dass die frei gewahlten Spruchschlussel eine be-stimmte charakteristische Abweichung von der Gleichverteilung haben. Vonden Deutschen wurden tatsachlich viele stereotype Spruchschlussel wie aaa,sss und andere Buchstabenwiederholungen verwendet. Die reine Buchstaben-wiederholung wurde zwar 1937 explizit verboten, es kamen aber immer nochStereotype vor. Es wurden horizontale (WER, ASD), vertikale (QAY, RFV)und andere Folgen des Tastenfeldes benutzt.Taglich wurden eine große Menge von Nachrichten aufgefangen. Von jederNachricht stellten die ersten sechs Zeichen den verschlusselten, verdoppeltenSpruchschlussel dar. Waren ca. 80 Nachrichten vorhanden, kam jeder Buch-stabe an jeder Stelle der ersten drei Positionen mindestens einmal vor. Dieswar notig fur das folgende Verfahren.Betrachten wir sechs Permutationen P1, P2, P3, P4, P5 und P6 bezeichnet5.Beispielsweise heißt das, dass P4 die Permutation bei fixer Grundstellungan der vierten Position ist. Als Beispiel nehmen wir das i-te Zeichen desSpruchschlussels als a an. Es ergibt sich also XPi = a und XPi+3 = b (furi ∈ 1, 2, 3), wobei die erste Permutation Pi X nach a und die zweite Per-mutation Pi+3 X nach b abbildet. Mit X = aP−1

i ergibt sich die zweiteGleichung zu aP−1

i Pi+3 = b. Ist zusatzlich noch der involutorische Charakterder Enigma bekannt, so kann P−1

i durch Pi ersetzt werden und es ergibt sich

XPiPi+3 = Y.

Die Zeichen a und b legen also die Produkte PiPi+3 der unbekannten Permu-tationen Pi fur i ∈ 1 . . . 6 fest6. In Tabelle 5.2 sind 65 chiffrierte, verdoppelte

5In [Rej80] mit A, B, C, D, E und F bezeichnet.6Anschaulich kann man sich diesen Umstand so vorstellen: Der Bediener der Maschine

gibt als ersten Buchstaben X ein, dabei leuchtet die Lampe a auf, beim zweiten Drucken

38

1. AUQ AMN 14.IND JHU 27.PVJ FEG 40.SJM SPO 53.WTM RAO

2. BNH CHL 15.JWF MIC 28.QGA LYB 41.SJM SPO 54.WTM RAO

3. BCT CGJ 16.JWF MIC 29.QGA LYB 42.SJM SPO 55.WTM RAO

4. CIK BZT 17.KHB XJV 30.RJL WPX 43.SUG SMF 56.WKI RKK

5. DDB VDV 18.KHB XJV 31.RJL WPX 44.SUG SMF 57.XRS GNM

6. EJP IPS 19.LDR HDE 32.RJL WPX 45.TMN EBY 58.XRS GNM

7. FBR KLE 20.LDR HDE 33.RJL WPX 46.TMN EBY 59.XOI GUK

8. GPB ZSV 21.MAW UXP 34.RFC WQQ 47.TAA EXP 60.XYW GCP

9. HNO THD 22.MAW UXP 35.SYX SCW 48.USE NWH 61.YPC OSQ

10.HNO THD 23.NXT QTU 36.SYX SCW 49.VII PZK 62.YPC OSQ

11.HXV TTI 24.NXT QTU 37.SYX SCW 50.VII PZK 63.ZZY YRA

12.IKG JKF 25.NLU QFZ 38.SYX SCW 51.VQZ PVR 64.ZEF YOC

13.IKG JKF 26.OBU DLZ 39.SYX SCW 52.VQZ PVR 65.ZSJ YWG

Tabelle 5.2: 65 chiffrierte Spruchschlussel zugehorig zu einem Tagesschlussel

Spruchschlussel aufgelistet. Zur Zyklenbestimmung fur das Produkt P1P4

wird nun folgendermaßen vorgegangen. Wir beginnen beim SpruchschlusselNr. 1. Hier geht a in a uber und bildet somit einen Einerzyklus (a). Das Zei-chen s geht laut Nr. 35–44 nur in sich selbst uber und bildet somit ebenfallseinen Einerzyklus (s). Weiter geht es mit den Zweierzyklen. (bc) wird durchdie Nr. 2-4 folgendermaßen gebildet. Das b in Nr. 2 (oder Nr. 3) geht in einc uber, das c wiederum geht laut Nr. 4 direkt wieder in ein b uber. Ein Zwei-erzyklus hat sich gebildet. Ebenso wird (rw) durch Nr. 30–34 und Nr. 53–56gebildet. Es bilden sich auch langere Zyklen, wie (dvpfkxgzyo) und (eijmun-qlht), welche durch Nummer 5, 49, 27, 7, 17, 57, 8, 63, 61 und 26 sowie durchNummer 6, 12, 15, 21, 48, 23, 28, 19, 9 und 45 definiert sind. Alle Zyklenzusammen ergeben folgende Zyklenzerlegung:

P1P4 = (a)(s)(bc)(rw)(dvpfkxgzyo)(eijmunqlht)P2P5 = (d)(k)(axt)(cgy)(blfqveoum)(hjpswizrn)P3P6 = (abviktjgfcqny)(duzrehlxwpsmo)

Diese komplette Zyklenzerlegung ist von großer Wichtigkeit und wird alscharacteristic set oder als die Charakteristik eines bestimmten Tages (weilja die Grundstellung taglich geandert wurde) bezeichnet. Auch die Einer-

von X leuchtet die Lampe b auf. Durch den involutorischen Charakter der Maschine sollteauch der umgekehrte Vorgang moglich sein. Wird in der ersten Position a gedruckt, sosollte X aufleuchten, in der vierten Position sollte nach drucken von b auch X aufleuchten.Betrachten wir nun folgende Operationen nacheinander: a geht in X uber und X gehtwiederum in b uber. Diese Operation nennt man Produkt der Permutationen. Wenn wirnun die Buchstaben a und b verbinden ergibt sich das unbekannte Produkt PiPi+3.

39

zyklen nehmen eine besondere Rolle ein. Sie werden als Weibchen (female)bezeichnet, ihr Auftreten war, wie wir spater sehen werden, auch fur eineandere kryptoanalytische Methode von entscheidender Bedeutung.

Bevor wir mit der eigentlichen Dechiffrierung der Spruchschlussel fortfahren,betrachten wir einen fur uns wichtigen Satz aus der Gruppentheorie.

Satz (Rejewski) 1 Wenn zwei Permutationen des selben Grades nur ausdisjunkten Transpositionen bestehen, dann enthalt ihr Produkt eine geradeZahl von disjunkten Zyklen der selben Lange.

Interessanter fur unsere Anwendung ist die Umkehrung dieses Satzes

Satz (Rejewski) 2 Wenn eine Permutation mit geradem Grad aus einergeraden Anzahl von disjunkten Zyklen der selben Lange besteht, dann kanndiese als Produkt von zwei, aus disjunkten Transpositionen bestehenden, Per-mutationen dargestellt werden.

Dieser Satz trifft genau auf unseren Fall zu. Das bekannte Produkt P1P4 sollin seine Bestandteile P1 und P4 zerlegt werden. In [Bau00a] steht dieser Satznochmals anders formuliert:Bei einer echt involutorischen Permutation Pk mit geradem Alphabetumfangtreten die Zyklen des Produktes PiPi+3 in Paaren gleicher Lange auf.

Wenn Pi die Zweierzyklen (x1y1), (x2y2), ..., (xkyk) enthaltund Pi+3 die Zweierzyklen (y1x2), (y2x3), ..., (ykx1) enthalt,dann enthalt PiPi+3 die k-Zyklen (x1x2...xk), (yk, yk−1...y1).

Wird ein k-Zyklus von PiPi+3 in umgekehrter (gekennzeichnet mit←) und ei-ner in normaler (gekennzeichnet mit→) Reihenfolge angeschrieben, so stehendie Paare der Zweierzyklen von Pi und Pi+3 direkt oder versetzt ubereinan-der.

→ ( x1 x2 ... xk−1 xk )← ( y1 y2 ... yk−1 yk )

Hier gibt ← an, dass der Zyklus in umgekehrter Reihenfolge angeschriebenist. Zur Bestimmung, ob und wie viel der zweite Zyklus verschoben werdenmuss, nutzte Rejewski den Umstand, dass die Chiffrierer aus Faulheit sichmeistens Stereotype Spruchschlussel ausdachten. In Tabelle 5.2 sieht man,dass der chiffrierte Spruchschlussel SYX SCW an den Stellen Nr. 35–39 funfmal vorkommt (und damit am haufigsten). Man kann sich leicht vorstellen,dass hier der am haufigsten verwendete Spruchschlussel aaa chiffriert wurde.Diese Annahme legt folgende Zweierzyklen fest:

40

P1 (as) P4 (as)P2 (ay) P5 (ac)P3 (ax) P6 (aw)

Daraus kann fur P3 (ax) die richtige Paarung gefunden werden. Diese ist miteinem vertikalen Pfeil markiert.

↓→ ( a b v i k t j g f c q n y )← ( x l h e r z u d o m s p w )

fur P6 (aw) findet sich die Paarung

↓← ( x l h e r z u d o m s p w )→ ( b v i k t j g f c q n y a )

Daraus ergeben sich wiederum die Zweierzyklen von P3 und P6:

P3 = (ax)(bl)(vh)(ie)(kr)(tz)(ju)(gd)(fo)(cm)(qs)(np)(yw)P6 = (xb)(lv)(hi)(ek)(rt)(zj)(ug)(df)(oc)(mq)(sn)(py)(wa)

Um alle weiteren Pi bestimmen zu konnen, fuhrt man dieses Verfahren auf dieselbe Weise fort. Dabei konnen die schon gefundenen Zyklen eines Pi verwen-det werden. Falls diese nicht ausreichen, muss man wiederum durch Intuitionden Schlussel erraten. Hier soll skizziert werden, wie Bauer in [Bau00a] diesfur dieses Beispiel bewerkstelligt hat.Wenn wir aus P3 den Zyklus (qs) auf die Nr. 1 AUQ AMN anwenden, er-halten wir einen Spruchschlussel der Form **s (wobei * ein noch fehlendesZeichen bedeutet). Weiterhin wissen wir durch unsere erste Annahme (SYXSCW entspricht aaa), dass P1 den Zyklus (as) enthalt und somit erhaltenwir s*s. Der stereotype Spruchschlussel sss liegt hier nahe, in P2 ergibt sichzusatzlich der Zyklus (su).

↓ ↓← ( a x t ) ( b l f q v e o u m ) ( d )→ ( y g c ) ( j h n r z i w s p ) ( k )

Daraus ergeben sich die Zweierzyklen fur P2 und P5:

P2 = (ay)(xg)(tc)(bj)(lh)(fn)(qr)(vz)(ei)(ow)(us)(mp)(dk)P5 = (yx)(gt)(ca)(jl)(hf)(nq)(rv)(ze)(io)(wu)(sm)(pb)(kd)

41

Jetzt sind nur mehr die Zyklen von P1 und P4 zu bestimmen. Der Spruch-schlussel Nr. 30–33 RJL WPX hat die Gestalt *bb. Laut P1 kann das r ander ersten Position nur (rb) oder (rc) bilden. (rb) ist in unserem Fall wahr-scheinlicher, der Spruchschlussel ist dann bbb. Mit dieser Information kanndie Paarung der beiden Zweierzyklen erfolgen. Fur die Paarung der Zehner-zyklen wird ein weiterer Spruchschlussel benotigt. Der Schlussel Nr. 19–20LDR HDE ergibt sich zu *kk (aus P2, P3, P5, P6). Wiederum verwenden wirdie Stereotype kkk, aus welcher (lk) und (kh) fur P1 und P4 folgt. FolgendePaarung ergibt sich:

↓ ↓← ( a ) ( b c ) ( d v p f k x g z y o )→ ( s ) ( r w ) ( i e t h l q n u m j )

Daraus ergeben sich die Zweierzyklen fur P1 und P4:

P1 = (as)(br)(cw)(di)(ve)(pt)(fh)(kl)(xq)(gn)(zu)(ym)(oj)P4 = (sa)(rc)(wb)(iv)(ep)(tf)(hk)(lx)(qg)(nz)(uy)(mo)(jd)

Mit den Permutationen P1, P2 und P3 konnen nun alle Spruchschlussel de-chiffriert werden.

P1 = (as)(br)(cw)(di)(ve)(pt)(fh)(kl)(xq)(gn)(zu)(ym)(oj)P2 = (ay)(xg)(tc)(bj)(lh)(fn)(qr)(vz)(ei)(ow)(us)(mp)(dk)P3 = (ax)(bl)(vh)(ie)(kr)(tz)(ju)(gd)(fo)(cm)(qs)(np)(yw)

Mit diesem Verfahren konnten, sofern genug Funkspruche (ca. 50–100) ei-nes Tages vorhanden waren, alle gewahlten Spruchschlussel dechiffriert wer-den. In Tabelle 5.3 sind die entzifferten Spruchschlussel aufgelistet. Von den65 Schlusseln sind 25 doppelte weggefallen, die restlichen teilen sich in 18Buchstaben-Wiederholungen, 16 horizontale Buchstaben-Gruppen und viervertikale Buchstaben-Gruppen auf. Nur die zwei Schlussel abc und uvwentsprechen nicht einer Buchstabenreihe auf dem Tastenfeld (siehe Abbil-dung 5.2), trotzdem sind sie, da die Buchstaben im Alphabet aufeinander-folgen, leicht vorherzusehen.Die Entzifferung dieser Spruchschlussel lieferte den Polen zwar keinen In-

Q W E R T Z U I O

A S D F G H J K

P Y X C V B N M L

Abbildung 5.2: Tastenanordnung der Enigma

halt, ermoglichte ihnen aber ab 1933 die innere Verdrahtung der Walzen zubestimmen.

42

AUQ AMN sss IKG JKF ddd QGA LYB xxx VQZ PVR ert

BNH CHL frv IND JHU dfg RJL WPX bbb WTM RAO ccc

BCT CGJ rtz JWF MIC ooo RFC WQQ bnm WKI RKK cde

CIK BZT wer KHB XJV lll SYX SCW aaa XRS GNM qqq

DDB VDV ikl LDR HDE kkk SJM SPO abc XOI GUK qwe

EJP IPS vbn MAW UXP yyy SUG SMF asd XYW GCP qay

FBR KLE hjk NXT QTU ggg TMN EBY ppp YPC OSQ mmm

GPB ZSV mnl NLU QFZ ghj TAA EXP pyx ZZY YRA uvw

HNO THD fff OBU DLZ jjj USE NWH zui ZEF YOC uio

HXV TTI fgh PVJ FEG tzu VII PZK eee ZSJ YWG uuu

Tabelle 5.3: Dechiffrierte Spruchschlussel

5.2.4 Die Bestimmung der Walzenverdrahtungen

Die chiffrierten Spruchschlussel waren nur sechs Zeichen lang, infolgedessenbewegte sich in den meisten Fallen nur der schnelle Rotor RN (in 20 von26 Fallen standen die anderen Rotoren still). Dadurch stellen der mittlereund langsame Rotor (RM , RL) mit der Umkehrwalze nur eine fixe Transpo-sition dar (siehe methode des batons) und somit konnte der schnelle Rotoreingehend untersucht werden. Hilfreich war auch der Umstand, dass sichdie Rotorenlage bis 1936 nur vierteljahrlich anderte (spater monatlich undtaglich).Zur Bestimmung der Walzenverdrahtungen mussen wir zuerst die Enigma-Gleichungen aufstellen. Dabei vereinfachen wir ihre Form und betrachten nurdie Falle in denen sich nur der schnelle Rotor RN fortbewegt (da wir nur die6-Zeichen Spruchschlussel analysieren werden). Die Variable P stellt dabeieine Permutation dar, mit welcher wir die Fortbewegung der Walze RN be-schreiben konnen (wie schon erwahnt werden die Bewegungen der anderenWalzen nicht betrachtet). Die Permutation P hat folgende Form:

P = (abcdefghijklmnopqrstuvwxyz)

Jeder Buchstabe wird in seinen Nachfolger im Alphabet uberfuhrt. Nun Be-trachten wir die sechs Gleichungen, fur jede Position des Spruchschlusselseine:

P1 = TP 1RNP−1RMRLUR−1L R−1

M P 1R−1N P−1T−1 (5.1)

P2 = TP 2RNP−2RMRLUR−1L R−1

M P 2R−1N P−2T−1 (5.2)

P3 = TP 3RNP−3RMRLUR−1L R−1

M P 3R−1N P−3T−1 (5.3)

P4 = TP 4RNP−4RMRLUR−1L R−1

M P 4R−1N P−4T−1 (5.4)

43

P5 = TP 5RNP−5RMRLUR−1L R−1

M P 5R−1N P−5T−1 (5.5)

P6 = TP 6RNP−6RMRLUR−1L R−1

M P 6R−1N P−6T−1 (5.6)

Zur Wiederholung wollen wir nun kurz die Bezeichnungen in den obigen Glei-chungen erklaren. Die Substitution des Steckerbretts wird mit T bezeichnet,die drei Rotoren werden mit RL, RM und RN bezeichnet. Die Umkehrwal-ze wird mit U bezeichnet und mit P x wird die Bewegung eines Rotors Rbeschrieben (siehe Abschnitt 3.1). Zusatzlich zu erwahnen ist hier, dass dieGleichungen 5.1 bis 5.6 nur dann gelten, wenn sich nur der schnelle Rotor RN

fortbewegt.Weiters stellen wir drei Gleichungen fur die, im vorigen Abschnitt schon be-trachteten, Produkte der Permutationen auf:

P1P4 = TP 1RNP−1RMRLUR−1L R−1

M P 1R−1N P 3

RNP−4RMRLUR−1L R−1

M P 4R−1N P−4T−1

P2P5 = TP 2RNP−2RMRLUR−1L R−1

M P 2R−1N P 3

RNP−5RMRLUR−1L R−1

M P 5R−1N P−5T−1

P3P6 = TP 3RNP−3RMRLUR−1L R−1

M P 3R−1N P 3

RNP−6RMRLUR−1L R−1

M P 6R−1N P−6T−1

Da das Produkt RMRLUR−1L R−1

M fix ist und wir uns sowieso nur auf dieBestimmung des schnellen Rotors RN konzentrieren, schreiben wird die Glei-chungen vereinfacht an, indem wir die Rotoren samt Umkehrwalze RMRLU -R−1

L R−1M , durch eine Pseudoumkehrwalze R ersetzen. Damit ergibt sich auch

obigen Gleichungen:

P1P4 = TP 1RNP−1RP 1R−1N P 3RNP−4RP 4R−1

N P−4T−1 (5.7)

P2P5 = TP 2RNP−2RP 2R−1N P 3RNP−5RP 5R−1

N P−5T−1 (5.8)

P3P6 = TP 3RNP−3RP 3R−1N P 3RNP−6RP 6R−1

N P−6T−1 (5.9)

In den Gleichungen 5.7 bis 5.9 sind nur mehr die Permutationen T , RN und Runbekannt. Die linken Seiten (PiPi+3) haben wir im vorigen Abschnitt schonaus einer Menge von chiffrierten Spruchschlusseln ermittelt. Die Ermittlungder linken Seiten der Gleichungen 5.1 bis 5.6 haben wir auch schon im vorigenAbschnitt gezeigt.

Bestimmung der Verdrahtungen des Rotors RN

Die Gleichungen 5.1 bis 5.6 besitzen immer noch 3 Unbekannte und es istnicht sicher ob sie losbar sind. Hier hatten die Polen aber Hilfe von außen

44

bekommen. Sie erhielten 1932 vom franzosischen Chiffrierdienst verschiede-ne Dokumente, unter anderem auch Schlusselunterlagen. Aus den neuen Un-terlagen entnahmen sie die Daten fur das Steckerbrett T. Mit deren Hilfekonnten sie die Gleichungen neu formulieren:

T−1P1T = P 1RNP−1RP 1R−1N P−1 (5.10)

T−1P2T = P 2RNP−2RP 2R−1N P−2 (5.11)

T−1P3T = P 3RNP−3RP 3R−1N P−3 (5.12)

T−1P4T = P 4RNP−4RP 4R−1N P−4 (5.13)

T−1P5T = P 5RNP−5RP 5R−1N P−5 (5.14)

T−1P6T = P 6RNP−6RP 6R−1N P−6 (5.15)

Die linke Seite der Gleichungen sind wiederum bekannt, die Unbekanntensind immer noch RN und R (als Stellvertreter fur die restlichen Walzen).Somit sind die Gleichungen 5.10 bis 5.15 losbar.

Nichtsdestoweniger haben die Polen einen eleganten Losungsweg gefunden,der Fehler in der Berechnung (und in Situationen, in denen sich nicht nur derschnelle Rotor bewegt), aufzeigt. Die Idee dabei basiert auf dem Isomorphis-mus von Permutationen. Wenn wir drei Permutationen G, H, T und folgendeGleichung

G = T−1HT (5.16)

haben, dann sprechen wir davon, dass die Permutation G von der Permuta-tion H durch die Permutation T transformiert wird.Bei unbekanntem T ist ist die Gleichung 5.16 losbar, wenn G und H diegleiche Zyklenstruktur haben. Wir erhalten so viele Losungen fur T , wiees Moglichkeiten gibt, G unter H anzuschreiben. Besteht G oder H nuraus Transpositionen, dann gibt es, in unserem Fall, bei 13 Transpositionen,213 × 13! verschiedene Moglichkeiten. Darum mussen wir, um zur Losung zukommen, noch einige Transpositionen eliminieren.

Als ersten Schritt transformierten wir die Gleichungen um.

A = P−1T−1P1TP 1 = P 1RNP−1RP 1R−1N P−1

B = P−2T−1P2TP 2 = P 2RNP−2RP 2R−1N P−2

C = P−3T−1P3TP 3 = P 3RNP−3RP 3R−1N P−3

D = P−4T−1P4TP 4 = P 4RNP−4RP 4R−1N P−4

E = P−5T−1P5TP 5 = P 5RNP−5RP 5R−1N P−5

F = P−6T−1P6TP 6 = P 6RNP−6RP 6R−1N P−6

Als nachstes bilden wir die Produkte und bringen alle Gleichungen in eineahnliche Form (indem wir nach dem Bilden des Produktes jeweils P x heraus

45

heben). Wir erhalten:

AB = RNP−1(RP−1RP )P 1R−1N

BC = RNP−2(RP−1RP )P 2R−1N

CD = RNP−3(RP−1RP )P 3R−1N

DE = RNP−4(RP−1RP )P 4R−1N

EF = RNP−5(RP−1RP )P 5R−1N

Nun benutzen wir den in allen Gleichungen vorkommenden Ausdruck RP−1RPund setzen fur ihn ein. Wir erhalten somit vier Gleichungen.

BC = RNP−1R−1N (AB)RNPR−1

N

CD = RNP−1R−1N (BC)RNPR−1

N

DE = RNP−1R−1N (CD)RNPR−1

N

EF = RNP−1R−1N (DE)RNPR−1

N

Nun erhalt man aus der ersten Gleichung, je nach Struktur von AB, einigedutzend Losungen fur RNPR−1

N . Von der zweiten Gleichung bekommen wirwiederum die gleiche Anzahl von Losungen und eine Losung, die wir auchaus der ersten Gleichung erhalten haben. Daraus konnen wir Losungen (26,welche nur verschoben sind) fur R−1

N berechnen und haben somit auch RN

erhalten.

Beispiel

Als Beispiel wollen wir hier die schon vorher ermittelten Permutationen P1 bisP6 verwenden. Zusatzlich verwenden wir (uber den Geheimdienst) bekannteSteckerbrett-Daten fur den untersuchten Tag:

T = (ap)(bl)(cz)(fh)(jk)(qu)

Auch die Permutationen P i fur die Walzenfortschaltung konnen wir leichtmittels

P = (abcdefghijklmnopqrstuvwxyz)P 2 = (acegikmoqsuwy)(bdfhjlnprtvxz)P 3 = (adgjmpsvybehknqtwzcfilorux)P 4 = (aeimquycgkosw)(bfjnrvzdhlptx)...

berechnen.Nun berechnen wir die Werte fur A, B, C und D (E und F lassen wir weg,da sie nicht notig sind)

46

A = (ax)(bu)(ck)(dr)(ej)(fw)(gi)(lp)(ms)(nz)(oh)(qt)(vy)B = (ar)(bv)(co)(dh)(fl)(gk)(iz)(jp)(mn)(qy)(su)(tw)(xe)C = (as)(bz)(cp)(dq)(eo)(fw)(gj)(hl)(iy)(kr)(mu)(nt)(vx)D = (ap)(bf)(cu)(dv)(ei)(gr)(ho)(jn)(jy)(lx)(mz)(qs)(tw)

und bestimmen deren Produkte

AB = (aepftybsnikod)(rhcgzmuvqwljx)BC = (akjcevzydlwnu)(smtfhqibxopqr)CD = (aqvloikgnwbmc)(puzftjryehxds)

Wie erwartet haben die Produkte die selbe Zyklenstruktur. Wir schreibenjetzt das Produkt BC unter dem Produkt AB in jeder moglichen Positionubereinander und erhalten fur jede Position eine Losung. Das selbe machenwir fur CD und BC und vergleichen diese Losungen mit den vorherigen.Nur eine Losung stimmt uberein. Hier sind die Zyklen in richtiger Positionubereinander aufgelistet:

AB = (aepftybsnikod)(rhcgzmuvqwljx)BC = (ydlwnuakjcevz)(ibxopqrsmtfhq)BC = (ydlwnuakjcevz)(ibxopqrsmtfhq)CD = (uzftjryehxdsp)(caqvloikgnwbm)

Wir erhalten

RNPR−1N = (ayuricxqmgovskedzplfwtnjhb).

Um daraus RN zu berechnen, schreiben wir die Permutation P unter RNPR−1N

an und sortieren nachher die Spalten um.

RN =(ayuricxqmgovskedzplfwtnjhbabcdefghijklmnopqrstuvwxyz

)=

(abcdefghijklmnopqrstuvwxyzazfpotjyexnsiwkrhdmvclugbq

)Naturlich gibt es 26 verschiedene Moglichkeiten P unter RNPR−1

N anzuschrei-ben und somit RN zu ermitteln. Die richtige Position hangt nur von denRingstellungen ab.

Schlussbemerkungen

Schließlich traten bei diesem Verfahren noch einige Schwierigkeiten auf, diees noch komplexer werden ließ. Zum Beispiel besaß die Enigma noch eineEintrittswalze (ETW), welche anscheinend andere Verdrahtungen wie diekommerzielle Version hatte. Dieses Problem loste Rejewski durch Intuition.

47

Die kommerzielle Version hatte die Kontakte zur Eintrittswalze in der Rei-henfolge wie die Anordnung der Buchstaben auf der Tastatur (QWERTZ...).Rejewski dachte sich “die Deutschen setzen auf Ordnung“ und probierte esmit der alphabetischen Reihenfolge. Ein weiteres Problem fur die Gleichun-gen lag darin, dass sich auch der mittlere Rotor fortbewegen konnte.

5.2.5 Bestimmen des schnellen Rotors

War einmal die Walzenverdrahtung des schnellen Rotors bestimmt, konntendie anderen Schlusselelemente bestimmt werden. Als ersten Schritt dientedabei die Identifizierung des schnellen Rotors. Dies war auch insofern wich-tig, da man dadurch herausfinden konnte, ob der eingesetzte schnelle Rotorschon bekannt war.Nehmen wir einmal an, wir entschlusseln zwei Spruchschlussel an einem Tag(gleiche Tagesschlussel), die Nah beieinander liegen, wie zum Beispiel kydund kyg. Damit konnte man nun diese zwei Nachrichten verschoben uberein-ander legen, sodass sie im gleichen Schlussel liegen wurden. Welchen Abstanddie Nachrichten hatten, wurde von der Walzenstellung (noch genauer, wie dieWalzen weiterschalten) abhangen. Betrachten wir also, wie sich die Walzenin verschiedenen Stellungen fortbewegen:

1. Fall: Rotor I ist schneller Rotor RN

RN D E F G H I J K L M N O P Q R S T U V W X Y Z A B C D E . . .RM Y Y Y Y Y Y Y Y Y Y Y Y Y Y Z Z Z Z Z Z Z Z Z Z Z Z Z Z . . .RL K K K K K K K K K K K K K K K K K K K K K K K K K K K K . . .

↑ ↑

2. Fall: Rotor II ist schneller Rotor RN

RN D E F G H I J K L M N O P Q R S T U V W X Y Z A B C D E . . .RM Y Y Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z Z . . .RL K K K K K K K K K K K K K K K K K K K K K K K K K K K K . . .

↑ ↑

3. Fall: Rotor III ist schneller Rotor RN

RN D E F G H I J K L M N O P Q R S T U V W X Y Z A B C D E . . .RM Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Y Z Z Z Z Z Z Z Z Z . . .RL K K K K K K K K K K K K K K K K K K K K K K K K K K K K . . .

↑ ↑

Alle drei Rotoren (I, II, III) schalten an einer anderen Stelle fort (siehe Tabel-le 3.3). Rotor I schaltet, wenn im Sichtfenster Q steht, bei E schaltet Rotor II

48

und bei V schaltet Rotor III.

Wenn wir jetzt den Text der Nachricht, der mit kyg beginnt, unter dem Text,beginnend mit kyd um drei Stellen nach rechts versetzt hinschreiben, dannbefinden sich die beiden Texte ab dieser Position im selben Schlussel. Wurdeder Rotor II verwendet, gilt dieser Fall naturlich nicht da hier der Schlusselkzg ist7. Ein Beispiel solcher Superimposition von zwei Texten ist hier gege-ben:

R H I P K N E T V R V M F V X N O B J N Q M G G G E T C F SP K N E X N H Q B M R E X T J C G S J M O R P R H R P

Am Beginn der Uberlagerung stimmen die vier Buchstaben PKNE uberein.Dies zeigt uns an, dass die Texte sich wirklich im selben Schlussel befinden,denn die Wahrscheinlichkeit, dass das durch Zufall passiert ist (1/26)4. Wirkonnen somit den Rotor II als schnellen Rotor ausschließen.

Naturlich konnen wir nicht immer darauf hoffen, dass sich zwei haufig verwen-dete Worter zufallig im selben Schlussel befinden, wir brauchen ein besseresWerkzeug zum uberprufen einer Superimposition.

Friedman’s index of coincidence

Betrachten wir zwei Texte T = t1t2t3 . . . tM und T ′ = t′1t′2t′3 . . . t′M , die die

selbe Lange M besitzen und die sich aus dem selben Zeichenvorrat bedienen.Wir legen diese beiden Texte nun ubereinander und bestimmen die relati-ve Haufigkeit der zeichenweisen Ubereinstimmung, die Zeichenkoinzidenz.Diesen Wert bezeichnen wir mit κ (Kappa) der beiden Texte oder auch indexof coincidence (abgekurzt IC) nach William F. Friedman. Kappa berechnetsich folgendermaßen

Kappa(T, T ′) =M∑i=1

δ(ti, t′i)/M,

wobei die Indikatorfunktion δ folgendermaßen definiert ist

δ(x, y) =

{1 falls x=y0 sonst

Nimmt man nun zwei zufallig gewahlte Texte einer bestimmten Sprache undberechnet deren κ, so bekommt man dafur einen bestimmten Wert. Sinddie Texte entsprechend lang, ergeben sich immer ahnliche Werte. Hier sinddie empirisch gefundenen Werte fur κ (Kullback 1976) fur einige Sprachenaufgelistet:

7in diesem Fall musste man um 26− 3 Positionen nach links schieben

49

Sprache N κ (%)

Englisch 26 6,61Deutsch 26 7,62Franzosisch 26 7,78Italienisch 26 7,38Spanisch 26 7,75Japanisch (Romaji) 26 8,19Russisch 32 5,29

Hat man nun die relativen Haufigkeiten fur jedes Zeichen einer Sprache schonermittelt, kann man auch daraus einen Erwartungswert fur κ bestimmen. DieWahrscheinlichkeit, dass das i-te Zeichen auftritt sei pi. Somit lasst sich dasKappa fur eine Sprache S mit einem Zeichenvorrat der Große N berechnen.

〈κ(T, T ′)〉S =N∑

i=1

p2i

Fur Deutsch und Englisch ergibt sich

〈κ(T, T ′)〉Deutsch = κd = 0, 07619〈κ(T, T ′)〉Englisch = κe = 0, 06577

Nimmt man eine Gleichverteilung der Buchstabenhaufigkeiten (bei N=26)an, so erhalt man

〈Kappa(T, T ′)〉R = κR =1

26= 0, 03846

Wie wir sehen weicht das Kappa der Sprachen (Deutsch, Englisch) deutlichvon einer “gleichverteilten Sprache“ ab. Das Kappa (d.h. die Ubereinstim-mung) einer Sprache ist ungefahr doppelt so groß.

Bis jetzt wurde uns das nicht weiter helfen, wenn nicht folgender Satz gegebenware:

Invarianzsatz 1 Fur alle polyalphabetischen, funktionalen monographischenChiffrierungen gilt, dass das Kappa von zwei Texten, die mit dem gleichenSchlussel chiffriert werden, erhalten bleibt.

Mit diesem Satz besitzen wir ein starkes Werkzeug. Zum Beispiel konnenwir die Sprache eines geheimen Textes bestimmen, sofern das Kappa furjene Sprache kennzeichnend ist bzw. konnen wir zumindest eine zufalligeAnsammlung von Zeichen von einem chiffrierten Text unterscheiden.

50

Nun aber zuruck zu unserem eigentlichen Problem. Wir mussen die Supe-rimposition von zwei Texten uberprufen. Als Beispiel (siehe dazu [DK85])haben wir zwei Spruchschlussel die xat und xaw lauten. Diese liegen nahbeieinander, deshalb konnen wir versuchen, die beiden Texte zu uberlagern.Dies machen wir fur die Rotoren I und III (Rotor II haben wir schon imvorigen Beispiel ausgeschlossen).

1. Fall: Rotor I ist schneller Rotor RN

RN T U V W X Y Z A B C D E F G H I J K L M N O P Q R S T U V WRM A A A A A A A A A A A A A A A A A A A A A A A A B B B B B BRL X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X

↑ ↑

2. Fall: Rotor III ist schneller Rotor RN

RN T U V W X Y Z A B C D E F G H I J K L M N O P Q R S T U V WRM A A A B B B B B B B B B B B B B B B B B B B B B B B B B B BRL X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X

↑ ↑

Im 1. Fall (Rotor I) mussen wir die Nachricht mit dem Spruchschlussel xawum drei Positionen nach rechts verschieben, wurde jedoch Rotor III verwen-det wird umgekehrt der Spruchschlussel xat nach 23 Schritten von xaw auserreicht.

Schreiben wir nun je zwei Nachrichten ubereinander (versetzt) an, so erhal-ten wir folgende drei Zeilen

XAT O F T VNA T VN Z VKV J A K YY P CGL B X LF N D CNLY A T KCVL D I Z X GYZXXAW DP E F QY OAQUT H N CHW S YT I WHTO J QAQMT C FKYQY ZVY MFVGXAT O F TVN A T VNZ VVKV J AKYY

R CH Z CM L NX B B OHX G V FOC KBMA L DRWB J I CH AWVKUE E J Q S O I RPMDU QGY AVH YG B J T XWBA L D J X S L UE E VMPF L Z AMYFB RGFWWXPGP CG L BX L F N D C NLY A T KCV LD I Z XGY Z X R CHZ C M LNXB B OHX GVFO

XUN S F Z S P CMC XBMWB I L C VNNLMZA Z P R CZX XWTNTVKQL D TKYLWJ T OA Z B UQ KMRYH A DML K ZQ S N Z CYH J KREC P U QDL E UVR S YXYAC KBMAL DRWB J I CH AWVKU E E J Q S O I R P XUN S F Z S PCMC XBMWB I L

E KN YUK T Z Q GCMQBWC VP L BU S UQ EZ J B T BLG F E ARNP AVP A DGYJL KWPNX L T Z Z B Z EX V P OK Z ML EON BR I A S KXOW L DGDC T YCQ X Z SBC VN NLM Z A Z P R C ZX XWTNT VKQL DTKY L E KNY U K T ZQGCMQBWCVP

WRX ARN F TD RMYCN C T QTMKAAUDAS U H J N I RM T V JNT B ← RI

H Z O ALDWXT L T YYC Q B J V I J OAF L RYXMH ZQV Z G E EFC TL B U S UQ E Z J B T B LG F E ARN PAVP ADGY J WRXA R N FTDRM ← RIII

Schaut man nun die beiden ersten Zeilen an, sieht man, dass sich 169 Buch-staben der Nachricht uberschneiden und davon acht Buchstaben ubereinstim-men. Zwischen der zweiten und dritten Zeile uberschneiden sich 146 Buchsta-ben, wovon 11 ubereinstimmen. Diese ermittelten Haufigkeiten ergeben eine

51

Zeichenkoinzidenz von 8/169 = 0, 047 bzw. 11/146 = 0, 075. Das bedeutet,dass 4,7% bzw. 7,5% der Zeichen ubereinstimmen. Dies lasst uns zum Schlusskommen, dass Rotor III der schnelle Rotor ist, da ein Kappa von 0,075 sehrnahe an κd = 0, 076 fur die Deutsche Sprache kommt und 0,047 eher einerzufalligen Gleichverteilung (κR = 0, 038) nahe kommt.Wurden nun aber die “neuen“ Rotoren VI, VII oder VIII in der schnellen La-ge eingesetzt. konnen diese nicht mit dieser Methode unterschieden werden,da alle drei Walzen die Kerben an den selben Position haben. In Tabelle 5.4sind alle Walzen der Wehrmachtsenigma mit ihren jeweiligen Kerbenpositio-nen angegeben.

Rotor Kerbe AnzeigeI Y QII M EIII D VIV R JV H ZVI H,U Z,MVII H,U Z,MVIII H,U Z,M

Tabelle 5.4: Kerben zur Walzenfortbewegung bei der Wehrmachtsenigma

Diese Superimpositions-Methode wurde, laut Deavours und Kruh (siehe[DK85]), erstmals vom Polen Jerzy Rozycki verwendet. Sie ist als Uhr-zeigermethode (clock method) bekannt.

Bestimmen der restlichen Rotoren

Manchmal konnte auch der mittlere Rotor RM mit dieser Methode bestimmtwerden8. War das nicht der Fall musste mit einer anderen Methode weitergearbeitet werden.

Nimmt man die schon ermittelten Permutationen9 P1 bis P6, so kann mandie Auswirkung des gerade ermittelten schnellen Rotors aus diesen entfer-nen. Dabei mussen jeweils fur alle 26 moglichen Positionen des schnellenRotors die neuen Transpositionen ermittelt werden. Zusatzlich gilt hier zu

8Dies geschah nicht sehr oft, denn der mittlere Rotor drehte sich nur alle 676 Zeichenund somit war es sehr schwer zwei Spruchschlussel zu finden, die zufallig nebeneinanderlagen.

9P1 bis P6 sind sogar Transpositionen.

52

berucksichtigen, dass aufgrund der von den Deutschen damals verwendetensechs Steckerverbindungen alle Permutationen von diesen Verbindungen be-einflusst waren, wodurch nur drei oder vier Zyklen der Transpositionen10

richtig waren. Bei drei Rotoren gibt es nur sechs verschiedene Moglichkeiten,wie diese auf die restlichen Lagen (Mitte, Links) aufgeteilt werden konnenund zusatzlich konnen die Rotoren in diesen beiden Lagen nur 676 (26× 26)Positionen einnehmen. Insgesamt ergibt das 4056 Moglichkeiten. Die Polenerstellen nun einen Katalog, in dem fur jede dieser Moglichkeit die Permu-tationen aufgelistet waren und verwendeten diese als Index, um die dazu-gehorigen Lagen und Positionen der mittleren und linken Walze (RM , RL)zu bestimmen.

Nun sind fast alle Elemente des Schlussels bestimmt. Die Walzenlage, dieWalzenpositionen fur die Verschlusselung der Nachricht und der Spruch-schlussel selbst. Die wenigen Permutationen des Steckerbretts konnten leichtdurch einen Vergleich der Substitutionen aus einer Tabelle (ohne Steckerver-bindungen) mit den schon bestimmten Permutationen Pi (mit Steckerverbin-dungen) ermittelt werden.Allerdings waren immer noch die Ringstellungen, welche fur eine korrekteEntschlusselung notig waren, unbekannt. Diese wurden von den Polen teil-weise mit der Isomorphie-Methode ermittelt. Dabei verwendeten sie als Klar-text den haufig am Beginn einer Nachricht stehenden Trigraph “ANX“. DerEffekt des Steckerbretts war bekannt und konnte “herausgerechnet“ werden.Dieser kurze Klartext reicht zwar nicht aus, um die Position des rechtenRotors zu bestimmten, aber durch Anwendung dieser Methode auf mehrereNachrichten (10 bis 15) konnten pro Nachricht ein oder zwei Positionen aus-geschlossen werden. Nur wenige Positionen blieben ubrig. Die verbleibenden676 Positionen der mittleren und linken Walze konnte per Hand durchpro-biert werden, indem die Geheimtextzeichen eingetippt wurden und auf dasKlartextwort ANX gewartet wurde. Waren diese Walzenpositionen11 nun er-mittelt, konnte man die Ringstellung fur den schnellen Rotor ermitteln indemman den Geheimtext eingibt und den Klartext abliest. Da die Ringstellungaber wahrscheinlich falsch ist, dreht sich die Walze an der falschen Stelle.Dadurch ist der Geheimtext plotzlich nicht mehr entzifferbar. Die Ringstel-lung muss angepasst werden. Ein viel schnellerer Angriff zum ermitteln derWalzenlage und der Walzenpositionen war die Charakteristik-Methode.

10Es gibt 13 Transpositionen, wobei die Wahrscheinlichkeit das eine Transposition voneiner der sechs Steckerverbindungen nicht beeinflusst wird 14

26 ×1326 = 7

26 = 0, 27 ist, dassind sieben Buchstaben bzw. 3,5 Paare.

11D.h. die Positionen der Walzenverdrahtungen, nicht die Position welche im Sichtfensterder Maschine zu sehen war

53

5.2.6 Die Charakteristik-Methode

Mit Hilfe der internen Rotorverdrahtungen konnten die Polen Enigma-Ma-schinen (Replicas) nachbauen, aber damit konnten sie noch keine Funk-spruche entschlusseln. Dazu waren noch weitere Einstellungen wie Stecker-brett und Walzenlage notig. Zur Ermittlung der Walzenlage wurde die so-genannte Charakteristik-Methode (characteristic method) eingesetzt. DieseMethode basiert auf der Zyklenzerlegung aller PiPi+3. Jede Zerlegung stellteine sogenannte Charakteristik eines bestimmten Tages dar. Diese wurdedurch die Rotorenlage und Grundstellung beeinflusst, die SteckerverbindungT beeinflusst die Zyklen nicht. Dieser Umstand basiert im wesentlichen aufeinem Satz uber Permutationsgruppen.

Satz 1 S und TST−1 haben ubereinstimmende Zyklenstruktur.

Dadurch waren nur 6 × 26 × 26 × 26 = 6 × 17576 = 105.456 (6 Rotorlagen,17576 Positionen) verschiedene Grundstellungen zu unterscheiden. Zyklengleicher Lange treten immer nur zweifach auf, dadurch betragt der langsteZyklus 13 (2×13er-Paar). Es ergeben sich 101 verschiedene Partitionen von13. Verwendet man jetzt alle drei vorhandenen Zyklen von PiPi+3 ergebensich in Kombination theoretisch 101 × 101 × 101 = 1.030.301 verschiedeneCharakteristiken. Das reicht aus um unsere 105.456 verschiedenen Grund-stellungen eindeutig zu identifizieren. Mit Hilfe der rekonstruierten Enigmawurde ein Katalog erstellt, in dem fur jede der 105.456 Grundstellungen dieZyklenzerlegungen aufgelistet waren. Fur unser Beispiel im vorigen Abschnitthaben wir folgende Zyklenaufteilung: 10+2+1, 9+3+1, 13 (d.h. zwei Zyklender Lange 10, zwei Zyklen der Lange 2, zwei Zyklen der Lange 1, ...).

Zum Zwecke der Mechanisierung der Zyklenbestimmung wurde ein me-chanisches Gerate gebaut, ein sogenanntes Zyklometer.

Zyklometer

Das Zyklometer diente zur Bestimmung aller Zyklenpartitionen. In Abbil-dung 5.3 ist ein Zyklometer von außen zu sehen. Mit der Nummer 1 und2 ist jeweils ein Satz von Walzen gekennzeichnet, welche intern durch einenStromkreislauf mit Gluhlampen verbunden waren.In Abbildung 5.4 ist der interne Aufbau des Zyklometers schematisch dar-

gestellt. I und II bezeichnen dabei jeweils die zwei Walzengruppen, N denschnellen Rotor RN , Q die Pseudoumkehrwalze (bei uns mit R bezeichnet)bestehend aus den restlichen Walzen und der Umkehrwalze.Das Zyklometer funktioniert nun folgendermaßen. Bei jedem Buchstaben be-findet sich ein Schalter, mit dem der Strom fur eine bestimmte Lampe einge-schaltet werden kann. In Abbildung 5.4 ist der Schalter beim Buchstaben l

54

Abbildung 5.3: Außenansicht eines Zyklometer

aktiviert (gekennzeichnet durch ein +), die dazugehorige Lampe (rechts ne-ben dem Buchstaben l) leuchtet auf und der Strom breitet sich weiter in denGruppen I und II aus. Es bildet sich ein Zyklus und somit wird der Stromkreisgeschlossen und alle beteiligten Lampen leuchten auf. Damit das System auchkorrekt mit dem verwendeten Indikatorsystem funktioniert ist zu beachten,dass der Walzensatz II immer um drei Positionen nach vorne verschoben seinmuss (schließlich sollen die Produkte von PiPi+3 dargestellt werden). Die An-zahl12 der nun aufleuchtenden Lampen gibt nun das Zweifache (es leuchtetimmer eine gerade Anzahl von Lampen auf) einer Zykluslange an. Weite-re Zykluslangen werden bestimmt, indem man die Schalter von bisher nichtaufleuchtenden Lampen aktiviert und danach wiederum alle aufleuchtendenLampen zahlt.Ein weiteres technisches Detail ist der Regulierungswiderstand (in Abbil-dung 5.3 Nummer 3), welcher den Stromfluss durch die Lampen steuert.Durch ihn wird sichergestellt, dass die Lampen (eine unbekannte Anzahl)uberhaupt aufleuchten bzw. nicht durchbrennen. In Abbildung 5.3 sind die

12Es ist hier nicht wichtig welche Lampen aufleuchten, da die Buchstaben in den Permu-tationszyklen der chiffrierten Spruchschlussel sowieso durch das Steckerbrett beeinflusstwerden; nur die Zyklenlangen bleiben erhalten.

55

Lampen durch die Nummer 4 und die Schalter durch die Nummer 5 gekenn-zeichnet.

Mit dem Zyklometer stellten die Polen bis 1937 einen Katalog mit Charak-

Abbildung 5.4: Schematisches Diagramm des Zyklometer

teristiken zusammen, mit dem es in 10 bis 20 Minuten gelang, die Tages-schlussel (Rotorenlage und Position) zu ermitteln. Am 01.11.1937 haben dieDeutschen dann die Umkehrwalze A durch die Umkehrwalze B ausgetauscht.Der gesamte Katalog wurde wertlos, ein neuer musste erstellt werden.

56

5.2.7 Geanderte Chiffriervorschriften

Am 15. September 1938 anderten die Deutschen die Chiffriervorschrift undspater, im selben Jahr noch, kamen zwei weitere Rotoren zur Auswahl hinzu.Die Anderung betraf nicht die Maschine selbst sondern das verwendete In-dikatorsystem. Bis zu diesem Zeitpunkt wurde mit Hilfe des Tagesschlusselsein zufallig frei zu wahlender Spruchschlussel verdoppelt und chiffriert. Lautneuer Vorschrift musste der Chiffrierer fur jede Nachricht eine eigene Grund-stellung (Position der Rotoren) wahlen, eine fixe Grundstellung fur den gan-zen Tag existierte nicht mehr. Diese Grundstellung wurde unverschlusselt derNachricht vorangestellt, danach folgte der immer noch verdoppelte Spruch-schlussel, welcher mit der vorangegangenen Grundstellung verschlusselt wur-de. Ein Spruch begann also mit neun Zeichen RTJWA HWIK, wobei rtj dieGrundstellung ist, mit der der verdoppelte Spruchschlussel chiffriert wurde.WAH WIK ist der chiffrierte Spruchschlussel. In spezieller Schreibweise siehtdas folgendermaßen aus:

rtj | WAH WIK

Die Grundstellung war zwar bekannt, dies brachte dem Dechiffrierer abernicht viel, da die Rotorenlage und die Ringstellung unbekannt waren. Somitgab es immer noch 6 × 17567 = 1.054.560 Wahlmoglichkeiten (spater kamnoch ein Faktor von 10 dazu, da die drei Rotoren jetzt aus funf ausgewahltwerden konnten). Auch die Produkte PiPi+3 konnten nicht mehr fur jedenTag berechnet werden, da jeder Spruchschlussel mit einer anderen Grund-stellung verschlusselt wurde. Trotzdem bestand immer noch eine Beziehungzwischen dem ersten und vierten, zweiten und funften und dritten und sech-sten Buchstaben.

Einfache Losungen

Schon zu Beginn wurden kleine Schwachen dieses neuen Schlusselsystems er-sichtlich. Wenn zwei Spruchschlussel von folgender Form

tkp | ANV CKB

tlr | VTS JQM

abgefangen wurden, konnte sehr leicht der Schluss gezogen werden, dass derRotor I nicht der schnelle Rotor war. Dies ergibt sich aus folgender Uber-legung. Wir wissen, Rotor I bewegt den mittleren Rotor, wenn er sich vonder Position q zur Position r bewegt. An der dritten Stelle wird der Buch-stabe V erzeugt, wenn der Indikator bei der ersten Nachricht den Wert tlrhat (und somit die Startposition der zweiten Nachricht). Nun ist aber der

57

Buchstabe V auch an der ersten Stelle der zweiten Nachricht vertreten, in-folgedessen musste der Buchstabe B in der Nachricht 1 mit dem BuchstabenJ in der zweiten Nachricht ubereinstimmen (da die Spruchschlussel immerverdoppelt sind). Da diese Buchstaben aber nicht ubereinstimmen kann dieAnnahme, dass Rotor I der schnelle Rotor ist, nicht richtig sein.

Weitere ahnliche Beispiele existieren:

tkp | ANV CKB

tlr | VTS BQM

Aus obigem Beispiel konnen wir schließen, dass Rotor I der schnelle Rotor ist.Dies konnen wir aus den folgenden Uberlegungen Schlussfolgern. Nehmen wiran Rotor I ist der schnelle Rotor, dann wissen wir, dass dieser seinen “linken“Nachbar beim Ubergang q→r mitdreht (tkp→tkq→tlr). Nun konnen wirdie Nachrichten aneinander Ausrichten, denn laut unserer Annahme wur-de der dritte Buchstabe der ersten Nachricht (V) mit den Einstellungen tlrverschlusselt, genau wie der erste Buchstabe der zweiten Nachricht. In dernachstehenden Tabelle sind die beiden Nachrichten aneinander ausgerichtetaufgelistet.

Position Nachricht 1 Nachricht 2tkp A

tkq N

tlr V V

tls C T

tlt K S

tlu B B

tlv Q

tlw M

Wie wir in der oben stehenden Tabelle sehen, stimmt der Buchstabe V undder Buchstabe B bei beiden Nachrichten uberein. Zusatzlich entstehen durchdie anderen Buchstaben keine Widerspruche zu unserer gemachten Annah-me. Aus alledem konnen wir zwar nicht mit 100%-iger Sicherheit sagen, dassRotor I der schnelle Rotor ist, aber die Wahrscheinlichkeit dafur ist sehr groß.

Im nachsten Beispiel konnen wir den Rotor I mit großer Wahrscheinlichkeitals schnellen Rotor ausschließen.

tkp | ANV CKB

tkr | VTS BQM

Nehmen wir nun an der Rotor I liegt nicht in der schnellen Lage, d.h. der

58

mittlere Rotor schaltet nicht bei q, wie im vorigen Beispiel, weiter. Die beidenGrundstellungen tkp und tkr liegen somit nur zwei Positionen auseinander(tkp→tkq→tkr). Wir konnen die Nachrichten wieder aneinander ausrichten.Die beiden Ubereinstimmenden Buchstaben V und B bestatigen wieder un-sere Annahme, ananlog zum vorigen Beispiel.

Ein Beispiel diesmal fur den Rotor IV lautet

tjg | VXS PKR

ukh | XCL KBI

Hier konnen wir mit großer Wahrscheinlichkeit sagen, dass Rotor IV in dermittleren Lage ist. Nehmen wir an der Rotor IV ist in der Mitte. Nun wissenwir, dass dieser seinen “linken“ Nachbar beim Ubergang j→k mitdreht. Mitdiesem Wissen konnen wir nun die beiden Nachrichten aneinander ausrichten.

Position Nachricht 1 Nachricht 2tjg V

ukh X X

uki S C

ukj P L

ukk K K

ukl R B

ukm I

Die beiden Nachrichten sind nur eine Position voneinander verschoben. Wirsehen in obiger Tabelle, dass der Buchstabe X und der Buchstabe K uber-einstimmen und konnen daraus folgern, dass unsere Annahme richtig war.

Fixpunkte

War der Fall gegeben, dass im chiffrierten Spruchschlussel der erste (bzw.zweite oder dritte) und vierte (bzw. funfte oder sechste) Buchstabe der glei-che war (wie in unserem Fall WAH WIK), dann nennt man diesen Zyklusder Lange eins auch Fixpunkt der Permutation oder nach dem Jargonder Kryptoanalytiker auchWeibchen. Da, wie wir wissen, die Lange der Zy-klen einer Permutation invariant bezuglich der Transformation durch dasSteckerbrett T ist, ist auch die Anwesenheit bzw. das Fehlen eines Fixpunk-tes invariant bezuglich dieser Transformation.Um diese Information zu nutzen, wird jetzt nicht, wie im vorigen Fall, ein Ka-talog der Zyklenlangen der Produkte, sondern ein Katalog von Fixpunktenaller 17576 moglichen Produkte (fur jede Walzenlage ein eigener Katalog)

59

erstellt. Damit konnen Fixpunkte in den chiffrierten Spruchschlusseln mitdenen im Katalog verglichen werden.Da die Ringstellung aber noch unbekannt war, waren nur die relativen Ab-stande (sie sind durch die unchiffrierte Grundstellungen gegeben) der Fix-punkte zwischen den Schlusseln eines Tages bekannt.

Wurde ein solcher Katalog fur ein bestimmtes Produkt PiPi+3 erstellt, wa-ren ungefahr 40% der Positionen mit Fixpunkten besetzt. Wurde man diesenKatalog durch ein langes Band, durch Stanzen von Lochern (ein Loch be-deutet, dass ein Fixpunkt existiert), darstellen, wurde ein charakteristischesMuster entstehen. Dieses Band konnte mit einem zweiten Band, auf dem al-le Fixpunkte eines Tages (in relativer Position) aufgetragen sind, verglichenwerden. Dieses eben erwahnte Verfahren ist nur hypothetisch und konntetechnisch nicht realisiert werden. Es musste eine andere Methode gefundenwerden.

5.2.8 Zygalski-Lochblatter

Hendryk Zygalski hat eine schnelle Methode zum Uberprufen dieser Fix-punkte gefunden. Dazu waren ungefahr 10 bis 12 tagliche Spruchschlusselmit Fixpunkten notwendig.Zuerst wurden sogenannte Lochblatter hergestellt. Diese bestanden aus ei-

ner 26×26-Matrix, an dessen 676 Positionen jeweils ein Loch bzw. kein Locheingestantzt war. Jedes Loch zeigte an, ob an dieser Position ein Fixpunktauftritt. Die Achsen waren mit den Grundstellungen 〈RM〉, 〈RN〉 der RotorenRM , RN beschriftet, fur jede Stellung 〈RL〉 des Rotors RL musste ein eigenesBlatt hergestellt werden. Ein solches Blatt galt also fur eine bestimmte Roto-renlage, ein Produkt von Permutationen PiPi+3 und eine Stellung des RotorsRL. In Abbildung 5.5 ist ein einfaches Lochblatt fur folgende Parameter dar-gestellt: Rotorenlage IV-I-III, Fixpunkte des Produktes P1P4, Grundstellungdes Rotors RL ist k.Zum Uberprufen mehrerer Fixpunkte mussen die Lochblatter nun, entspre-chend der Grundstellung 〈RM〉 〈RN〉 verschoben, ubereinander gelegt wer-den. Dazu mussten die Lochblatter aber “zyklischen“ Character haben, d.h.die Lochblatter mussten, um volle Uberdeckung zu erzielen, waagrecht undsenkrecht dupliziert werden. Die Lochblatter waren jetzt also in 51×51 Berei-che13, die mit a, b, c, ..., z, a, b, c, ..., y beschriftet waren, aufgeteilt. Warendie Lochblatter entsprechend ubereinander gelegt, konnten sie von hintenbeleuchtet werden und wenn nur mehr ein Loch erhalten blieb, hatte man

13Eine Reihe bzw. eine Spalte war nicht notwendig, da die Blatter maximal nur um 25Positionen verschoben wurden.

60

〈RN〉a ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦b ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦c ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦d ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦e ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦f ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦g ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦h ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦i ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦j ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦k ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦l ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦m ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦n ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦o ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦p ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦q ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦r ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦s ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦t ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦u ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦v ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦w ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦x ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦y ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦z ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦ ◦

a b c d e f g h i j k l m n o p q r s t u v w x y z 〈RM〉

Abbildung 5.5: Zygalski-Lochblatt K41314 , Grundstellung 〈RL〉 = k

eine Losung gefunden. Die Rotorenlage wurde schon durch die verwendetenLochblatter definiert, die Ringstellung konnte durch eine einfache Transfor-mation der Koordinaten berechnet werden. In Abbildung 5.6 ist ein solchesLochblatt abgebildet.

Im Dezember 1938 hatten die Polen zwei Satze solcher Lochblatter fertiggestellt. Ein Satz bestand aus sechs Sammlungen (fur jede Rotorlage eine).Jede Sammlung wiederum bestand aus 26 Lochblattern, fur jede Position desRotor RL eine. Zusammen ergibt das also 156 Lochblatter (6× 26) fur einenSatz von Lochblattern. Ein solcher Satz von Lochblattern stellte eine enorme

61

Arbeit fur die Polen dar.

Abbildung 5.6: Zygalski-Lochblatt, 51× 51

62

Noch im Dezember 1938 fuhrten die Deutschen zwei zusatzliche Rotoren (III,IV) ein. Jetzt konnten die drei taglichen Rotoren aus einem Satz von funfstatt von drei Rotoren ausgewahlt werden. Die Anzahl aller Rotorlagen be-tragt somit 60 statt 6. Die Polen konnten die internen Verdrahtungen derneuen Walzen durch ihre kryptoanalytischen Methoden zwar bald ermitteln,aber zur Herstellung der neuen Lochblatter reichten die Ressourcen der klei-nen polnischen Chiffrierabteilung nicht aus.

Beispiel

Wir nehmen an, dass folgende Grundstellungen

PTJ CEH BUG BSU EON XLV

BWY AGY KGS XET CWI

aus den Spruchschlusseln gewonnen wurden, die fur P1P4 einen Fixpunkt ent-halten haben. Mit diesen Grundstellungen konnen jetzt (bei drei verfugba-ren Rotoren) fur jeden der sechs Rotorlagen und jeden Buchstaben fur denlangsamen Rotor RL Lochblatter ubereinander gelegt werden. Das ergibt 156verschiedene Moglichkeiten zum Probieren. Sind wir bei der Rotorlage I III IIund der Ringstellung QZZ (Q wird dadurch getestet) angekommen, stapelnwir die Lochblatter folgendermaßen ubereinander.Zuerst wird ein Lochblatt fur PTJ hingelegt. Dabei dienen die KoordinatenZZ als Referenz fur den nachsten Indikator CEH. Die Verschiebung fur EHerrechnet sich folgendermaßen Q, (Z + E − T ), (Z + H − J), es ergibt sichQAX. Je mehr Blatter daruber gelegt werden, desto weniger Locher bleibenerhalten. Zum Schluss bleibt ein Loch ubrig, namlich JT. Diese Koordina-ten (Ringstellungen) mussen noch umgerechnet werden: Q, (T −J), (J −D),somit ergibt sich QJF als verwendete Ringstellung.

63

5.2.9 Bomba

Eine andere Art der Mechanisierung zur Mustersuche entwickelte Rejewskiim Herbst 1938. Sie basierte, genau wie die Zygalski-Lochblatter, auf derExistenz von Fixpunkten in den Produkten. Gesucht war in diesem Fall wie-derum die Rotorenlage und die Ringstellung. Zur Ermittlung dieser lies Re-jewski eine elektromechanische Maschine bauen, die alle moglichen Ringstel-lungen probierte. Diese sogenannte “Bomba“ bestand aus drei Paaren vonRotorsatzen, welche alle 17576 verschiedenen Ringstellungen durchprobier-ten. Trat ein Fixpunkt, wie hier der Buchstabe W,

rtj | WAH WIK

dqx | DWJ MWR

hpl | RAW KTW

an verschiedenen Stellen auf, konnte man mit Hilfe dieser Informationen dieBomba einstellen. Das erste Rotorsatz-Paar wurde auf rtj und um 3 Stellenverschoben auf rtj+3 eingestellt, das zweite Paar auf dqx und dqx+3, dasdritte Paar schließlich auf hpl und hlp+3. Jetzt wurde auf den Eingangen allersechs Rotorensatze der Testbuchstabe W eingegeben und alle 17576 verschie-denen Ringstellungen wurden durchprobiert. Auf den Ausgangen musste jetztnur noch kontrolliert werden, dass in allen Paaren jeweils ein gleicher Buch-stabe auftrat. Wurde ein solches Muster (123123, z.B. AKFAKF) von Buch-staben gefunden, hielt die Maschine (durch eine einfache Relais-Schaltung)automatisch an und das Ergebnis konnte, zwecks auftretender Fehlstopps,auf einer nachgebauten Enigma uberpruft werden. Zum schnelleren Durch-suchen aller Positionen wurden sechs Bombas gebaut und parallel betrieben,um jede der sechs Rotorlagen zu testen. Somit konnten die Polen in ungefahr90 Minuten alle Rotorlagen und Ringstellungen durchprobieren.

Ein Nachteil der Bomba war, dass sie gegen Steckerverbindungen empfindlichwar. In unserem Fall also durfte der Buchstabe W nicht “gesteckert“ sein, dadas Steckerbrett diesen Buchstaben bei der Eingabe (bzw. Ausgabe) in einenanderen (unbekannten) Buchstaben transformiert hatte. Bei der Einstellungder Bomba musste nun aber dieser unbekannte Buchstabe benutzt werden.Beim Einsatz von funf bis acht Steckern (von maximal 13 Moglichen) wardie Wahrscheinlichkeit, dass ein Buchstabe gesteckert war, ungefahr 50%, dieBomba funktionierte damit also nur in der Halfte aller Falle. Als aber vonden Deutschen 10 Steckerverbindungen verwendet wurden, und somit nursechs Buchstaben ungesteckert blieben, wurde die Bomba beinahe nutzlos.In Abbildung 5.8 ist die Skizze einer polnischen Bomba zu sehen. Die Num-mer 1 zeigt die sechs Rotoren, Nummer 2 zeigt den elektrischen Motor, Num-mer 3 zeigt drei Reihen von Schaltern.

64

Abbildung 5.7: Schaltungsdiagramm der polnischen Bomba

65

Abbildung 5.8: Polnische Bomba

66

5.2.10 Schwache der polnischen Methoden

Bis jetzt haben wir nur kryptologische Angriffe der Polen und andere fruhbekannte Methoden betrachtet. Blicken wir nochmal zuruck und betrachtenunter welchen Umstanden die einzelnen Methoden eingesetzt werden konn-ten.

Methode des Batons

Diese einfache Isomorphie-Methode war schon bald in vielen Landern be-kannt. Sis basiert auf einer Klartext-Geheimtext-Kompromittierung, es ge-nugten aber schon kurze wahrscheinliche vorkommende Worter, um gute Er-gebnisse zu erzielen. Da diese Methode aber allseits bekannt war, wurde siebei der Konstruktion bzw. bei der Verbesserung der Maschinen berucksich-tigt. Die Deutschen fuhrten zum Beispiel das Steckerbrett ein, welches dazufuhrte, dass nach der Transformation der zwei Texte (Klartext, Geheimtext)zwischen ihnen kein Isomorphismus mehr auftrat. Auch die Briten und dieAmerikaner bauten Gegenmaßnahmen in ihren Maschinen ein. Die Britenrusteten ihren Nachbau der Enigma (Typex), mit schnell drehenden Walzen(mit funf, sieben oder neun Kerben zum Weiterschalten) und zwei Eintritts-walzen, welche eine nicht involutorische Substitution durchfuhrten, aus. DerAmerikaner William Friedman versuchte in seiner Enigma-ahnlichen M-325das Isomorphie-Problem durch schnellere Walzenfortbewegung (funf Kerbenzum Weiterschalten auf jeder Walze erhohten die Fortbewegung und teiltendie isomorphen Texte somit in kleinere Stucke auf) und durch Einfuhren ei-nes schnellen Rotors gegenuber der Eintrittswalze also neben dem Reflektor)zu umgehen.Schon bald waren fast (außer die kommerzielle Enigma und das Modell derdeutschen Reichsbahn) aller eingesetzten Rotormaschinen gegen diese Metho-de unempfindlich und somit verlor die Methode schon bald an Bedeutung.

Ermittlung der Walzenverdrahtungen

Bei der Ermittlung der Walzenverdrahtungen werden die aus den Spruch-schlusseln ermittelten Produkte PiPi+3 jeweils in Pi und Pi+3 zerlegt. Dabeikam die stereotype Form der Schlussel sehr zum Tragen. Sobald die Produk-te zerlegt und somit auch die Spruchschlussel ermittelt waren, konnte mitHilfe der Daten ein Gleichungssystem zur Bestimmung der Verdrahtungenerstellt werden. Dieses Verfahren basiert somit auf dem speziellen 6-Zeichen-Indikatorsystem (genauer auf der Spruchschlusselverdopplung), welchesnur bis zum Herbst 1938 eingesetzt wurde. Zu diesem Zeitpunkt waren aber

67

schon alle Verdrahtungen der in Gebrauch befindlichen Walzen ermittelt unddamit ist das Verfahren sehr erfolgreich gewesen.

Charakteristik-Methode und Zyklometer

Die Charakteristik-Methode basiert auf dem 6-Zeichen-Indikatorsystem. Wer-den genug Spruchschlussel eines Tages aufgefangen, so kann daraus das Pro-dukt PiPi+3 und somit auch deren Zyklenzerlegung bestimmt werden. DieZyklenlangen sind charakteristisch fur eine Walzenlage und Position undkonnen mit dem Zyklometer katalogisiert werden. Ein Vorteil dieser Methodeist, dass das Steckerbrett keinen Einfluss darauf hat. Weit wichtiger ist aber,dass die Charakteristiken nur bei einem speziellen Indikatorsystem ermitteltwerden konnen. Dies stellt einen viel großeren Nachteil dar.

Zygalski-Lochblatter und Bomba

Bald nach der Einfuhrung des 9-Zeichen-Indikatorsystems wurde die Me-thode basierend auf den Fixpunkten entwickelt, welche wiederum nur infolgeder Spruchschlusselverdopplung auftraten. Damit ist auch diese Methode nurvom verwendeten Indikatorsystem abhangig.Die Zygalski-Lochblatter und die Bomba basieren zwar auf dem gleichenPrinzip (Mustersuche von Fixpunkten), die Bomba hatte konstruktionsbe-dingt aber den Nachteil, dass sie nur bei einem Steckerbrett mit maximalfunf bis acht Steckern einsetzbar war.

Die meisten polnischen Methoden beruhten somit auf dem Prinzip der Spruch-schlusselverdopplung und waren damit anfallig gegenuber Anderungen imverwendeten Indikatorsystem14.

In der nachfolgenden Tabelle 5.5–5.9 fassen wir die Eigenschaften der einzel-nen Methoden nochmals kurz zusammen.

14Am 15.09.1938 wurde das 6-Zeichen Indikatorsystem durch das 9-Zeichen Indikator-system ersetzt, welches teilweise wiederum nur bis zum 01.05.1940 eingesetzt wurde.

68

Entwickelt Knox, England 1935Kompromittierung Klartext-GeheimtextBasiert auf Isomorphie zweier transformierter TexteVoraussetzungen wahrscheinliche Worter, kein Steckerbrett, mittlere Walze

darf sich nicht fortbewegenErgebnis Identifizierung und Bestimmung der Grundstellung der

schnellen Walze, weitere Walzen und Positionen konnenmit Hilfe eines Kataloges bestimmt werden

Nachteile funktioniert nur ohne Steckerbrett, wenig Erfolgsaussich-ten bei Maschinen mit schneller Walzenfortbewegung

Tabelle 5.5: Methode des Batons (rodding) im Uberblick

Entwickelt Rejewski, Rozycki, Polen ab 1932Kompromittierung Geheimtext-GeheimtextBasiert auf SpruchschlusselverdopplungVoraussetzungen viele (50-100) Nachrichten mit verdoppelten Spruch-

schlusseln, die mit der selben Grundstellung chiffriert wur-den

Ergebnis entzifferte Spruchschlussel und Verdrahtung der schnellenWalze

Nachteile Funktioniert nur mit einem speziellen Indikatorsystem

Tabelle 5.6: Dechiffrierung der Spruchschlussel und Ermittlung der Walzen-verdrahtungen im Uberblick

Entwickelt Rozycki, Polen 1933Kompromittierung Geheimtext-GeheimtextBasiert auf Index of Coincidence (Statistiken)Voraussetzungen mehrere Nachrichten mit ahnlichen Grundstellungen, Lage

der Nut muss bei den Walzen verschieden sein (I-IV)Ergebnis Identifizierung und Bestimmung der Position der schnel-

len Walze, weitere Walzen und Positionen konnen mit Hilfeeines Kataloges bestimmt werden (bei wenigen Steckerver-bindungen)

Nachteile Unterscheidung nur moglich, wenn die Walzen Kerben anverschiedenen Stellen haben

Tabelle 5.7: Uhrzeigermethode im Uberblick

69

Entwickelt Polen 1937Kompromittierung Geheimtext-GeheimtextBasiert auf SpruchschlusselverdopplungVoraussetzungen viele (50-100) Nachrichten mit verdoppelten Spruch-

schlusseln, die mit der selben Grundstellung chiffriert wur-den

Ergebnis Grundstellung des TagesNachteile funktioniert nur mit einem speziellen Indikatorsystem

Tabelle 5.8: Charakteristik-Methode und Zyklometer im Uberblick

Zygalski-Lochblatter BombaEntwickelt Zygalski, Polen 1938 Rejewski, Polen 1938Kompromittierung Geheimtext-Geheimtext Geheimtext-GeheimtextBasiert auf Spruchschlusselverdopp-

lungSpruchschlusselverdopp-lung

Voraussetzungen 10-12 verdoppelte Spruch-schlussel jeweils mit Fix-punkten, wobei die jewei-ligen Grundstellungen ver-schieden sein mussen

drei verdoppelte Spruch-schlussel mit Fixpunkten andrei verschiedenen Stellen

Ergebnis Lage und Position der Wal-zen

Lage und Position der Wal-zen

Nachteile funktioniert nur mit einemspeziellen Indikatorsystem

funktioniert nur mit einemspeziellen Indikatorsystem;bei vielen Steckerverbin-dungen wenig Erfolgsaus-sichten (ausgenommen beider Turingschen ruckgekop-pelten Variante)

Tabelle 5.9: Zygalski-Lochblatter und Bomba im Uberblick

70

5.3 Bletchley Park

Nachdem wir uns im vorigen Abschnitt ausgiebig mit den polnischen Metho-den beschaftigt haben, wollen wir nun die britischen (und amerikanischen)Methoden der Kryptoanalyse der Enigma genauer betrachten.

Seit Herbst 1938 hatten die Briten eine Ausweichmoglichkeit des Room 47desForeign Office geschaffen. Ungefahr 80 km nordlich von London unterhieltensie Bletchley Park (BP), welches auch unter dem Decknamen Station X15

bekannt ist. Zu Beginn 1940 wurden dort polnische Methoden eingesetzt.Zum Beispiel wurden die canvasses, bei den Polen als Zygalski-Lochblatterbekannt, wurden unter der Leitung von John Jeffreys hergestellt. Deshalbwurden sie auch Jeffreys sheets genannt.In Bletchley Park arbeiteten bis Kriegsende Tausende von Menschen an derEntschlusselung von Funkspruchen, viele davon waren Mathematiker. Diebekannteste Personlichkeit darunter war Alan Turing.

Alan Turing

Der Mathematiker Alan M. Turning hatte sich schon als Logiker einen Namengemacht, als er mehrfach in Kontakt mit Alfred Dillwyn Knox kam. Schonvon der Kindheit an interessierte er sich fur Chiffrierung und jetzt hatte erauch theoretisches Interesse an der Kryptologie. Auch zur Government Co-de and Cypher School (GC&CS) hatte Turing Kontakte, 1938 besuchte erdort Kurse. Bei Kriegsbeginn begann er dann mit der Arbeit in BletchleyPark. Als eines seiner ersten Arbeiten versuchte er die polnischen Methodenzu verfeinern und robuster zu machen. Insbesondere versuchte er die pol-nische Bomba gegen Steckerverbindungen unempfindlich zu machen, da dieDeutschen schon einmal die Anzahl der Steckerverbindungen erhohten.

5.3.1 Modifizierung der polnischen Bomba

Turing versuchte im Herbst 1939 durch Einfuhren einer 26-adrigen Leitungparalleles “simultaneous scanning“ aller 26 Moglichkeiten des Testbuchsta-bens zugleich durchfuhren. Dadurch war die Bomba nicht mehr auf die nun-mehr wenigen ungesteckerten Buchstaben angewiesen.Auch die von den Polen (der original Enigma ahnlichen) eingesetzten Wal-zensatze ersetzte Turing durch sogenannte Vertauscher (double-ended scram-bler). Dabei lief das Signal nicht wie bei der Bomba hinein und wurde durchden Reflektor wieder durch die gleichen Walzen zuruckgeschickt, sondern es

15Bletchley Park war die 10. erworbene Immobilie des Foreign Office.

71

lief durch drei Walzen, dann durch eine weitere Walze (welche den Reflek-tor darstellte) und schlussendlich durch drei weitere Walzen. Dabei hatte einsolcher Vertauscher die besagten 26-Eingange und 26-Ausgange, bildete abertrotzdem die klassische Enigma-Substitution Pi = SiUS−1

i ab.

Diese modifizierte Bomba bestand nun, wie die alte Bomba, aus jeweils dreiVertauscher-Paaren, welche jeweils eine geschlossene Schleife bildeten. Dasbesondere an Turings Version war aber, dass er sich der Ruckkopplung be-diente. Er verband die Ausgange des Vertauschers #4 mit den Eingangen desVertauschers #1.Wurde jetzt Strom auf die Leitung des Testbuchstabens (in unserem Fall W)gelegt, so breitete sich der Strom durch die Ruckkopplung weiter aus.Weiters war noch ein Testregister mit Lampen an die 26-adrige Leitung an-geschlossen. Wurde jetzt die Leitung W aktiviert, so breitete sich der Stromdurch die Vertauscher aus. Durch die Ruckkopplung bildete das Aufleuchtender Lampen ein bestimmtes Muster. Leuchteten alle Lampen auf war keinFixpunkt gegeben, leuchtete nur eine Lampe auf (die Ruckkopplungsschleifewar also galvanisch von den anderen Leitungen getrennt) existierte ein Fix-punkt und die Steckerverbindung wurde getroffen. Leuchteten nun aber alleLampen bis auf eine auf, existierte ein Fixpunkt der gesteckert war. Einfacherklart funktionierte diese Ruckkopplung fur einen ungesteckerten Buchsta-ben folgendermaßen.Wird Spannung auf die Leitung des Testbuchstabens gelegt, so breitet sichdarauf Strom aus. Der Strom fließt durch den Vertauscher #1, welcher denStrom auf eine andere Leitung (nicht Leitung W, da die Enigma keine Buch-staben mit sich selbst verschlusselte) z.B. Leitung X “umleitet“. Der Aus-gang des Vertauschers #1 ist jetzt mit dem Eingang des Vertauschers #4verbunden. Befinden sich die Walzen gerade in der richtigen Stellung, danntransformiert der Vertauscher #4 den Buchstaben X in den Buchstaben W.Da der Ausgang des Vertauschers #4 nun aber mit dem Eingang des Vertau-schers #1 ruckgekoppelt ist, bildet sich in unserem Fall (der Eingang W desVertauschers #1 befindet sich ja schon unter Spannung) eine geschlosseneSchleife. Es leuchtet also nur eine Lampe auf.

Ist der Buchstabe W nun aber gesteckert (d.h. er hatte vom Steckerbrettvorher transformiert werden mussen, damit eine Schleife entsteht), so breitetsich der Strom infolge der Ruckkopplung auf fast allen Leitungen aus (jedesmal wenn der Strom die beiden Vertauscher durchfließt wird am Ausgangeine neue Leitung unter Strom gesetzt). Deshalb leuchten fast alle Lampenauf. Ein Weg bleibt aber galvanisch von den anderen Leitungen getrennt,und zwar die Leitung des Buchstabens, welcher durch das Steckerbrett mit

72

W vertauscht wird16.

In Abbildung 5.9 sind zwei Vertauscher, welche mit einem Testregister ver-

+12V��

s s s s s s s s s s s s s s s s s s s s s s s s s s⊃

s s s s s s s s s s s s s s s s s s s s s s s s s s⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗⊗26

��

a b c d e f g h i j k l m n o p q r s t u v w x y zr#1

#4

rtj

rtj+3

Abbildung 5.9: Turingsche Version der polnischen Bomba

bunden sind, dargestellt.

Werden nun drei Paare von Vertauschern simultan zusammen geschaltet,und wird der Zustand der Testregister durch eine Relaisschaltung automa-tisch uberpruft, so ware die polnische Bomba um einiges verbessert worden.Turing entwickelte aber einen allgemeineren Ansatz fur eine Bombe, dennihm war klar, dass das Prinzip der polnischen Bomba nur auf dem Verwen-deten Indikatorsystem (mit Schlusselverdopplung) beruhte und dass diesesfruher oder spater, wie schon zuvor, ersetzt werden wurde.

5.3.2 Turing-Welchman-Bombe

Schon im Herbst 1939 wurde, nach einem Entwurf von Turing, durch die Bri-tish Tabulating Machine Company, mit dem Bau einer Bombe begonnen. Die-se hatte den Vorteil, dass sie nicht, wie die polnische Bomba und die Zygalski-Lochblatter von der Verdopplung des Spruchschlussels abhing. Ein viel all-gemeiner Klartext-Geheimtext-Angriff wurde bei der Turing-Bombe verwen-det. Den Briten war bekannt, dass die Deutschen in ihren Nachrichten haufigstereotype Wendungen, wie “Obersturmbannfuhrer“, “Obergruppenfuhrer“oder den haufigen Satz “keine besonderen Ereignisse“, benutzten.Turing verwendete in seiner Bombe statt den drei Paaren von Vertauschernder polnischen Bomba, die nur jeweils Zweierzyklen ruckkoppelten, eine gan-ze Reihe von ruckgekoppelten Maschen, welche mit Hilfe von 10 bis 12 Ver-

16In Wirklichkeit ist bei dieser Schaltung die Sache noch ein wenig komplizierter. Da einFixpunkt bei mehreren Buchstaben auftreten kann, konnten mehrere galvanisch getrennteWege existieren. D.h. einige wenige Lampen wurden dadurch nicht aufleuchten.

73

tauschern gebildet wurden. Bei der Bomba wurde noch eine Geheimtext-Geheimtext-Kompromittierung verwendet, wahrend Turing Klartext-Geheim-text-Kompromittierung verwendete. Folgendes Beispiel fur eine Kompromit-tierung geht auf [DK85] zuruck. Wir nehmen an, dass irgendwo in der Nach-richt “oberkommandoderwehrmacht“ verwendet wurde. Es ist somit unserwahrscheinliches Wort. Der abgefangene Geheimtext lautet

OVRLJ BZMGE RFEWM LKMTA WXTSW VUINZ GYOLY FMKMS GOFTU...

Wie wir wissen kann die Enigma keinen Buchstaben durch sich selbst ver-schlusseln, da der Reflektor keine Buchstaben in sich selbst uberfuhrt unddie Maschine involutorisch aufgebaut ist. Wenn wir nun den vermutetenKlartext entlang des chiffrierten Textes schieben, konnen wir alle Positionenausschließen, in denen zwei gleiche Buchstaben vorkommen, es gibt einencrash (Krach). Dieses Verfahren nennt man negative Mustersuche und kannnoch bei einigen anderen Chiffrierverfahren eingesetzt werden. Buchstabendie “Krach machen“ sind fett dargestellt.

O VRL J BZMGERFEWMLKMTAWXT SWVU I NZGYOLYo b e r k omm a n d o d e r w e h r m a c h t

o b e r k omma n d o d e r w e h r m a c h t→ ob e r k o mma n d o d e r w e h r ma c h t→ o b e r k omma n d o d e r w e h r m a c h t

o b e r k omma n d o d e r w e h r m a c h to b e r k omm a n d o d e r w e h r m a c h t

→ o b e r k omm a n d o d e r w e h r ma c h to b e r k o mm a n d o d e r w e h r ma c h t

o b e r k o mma n d o d e r w e h r m a c h to b e r k o mm a n d o d e r w e h r ma c h t

o b e r k omm a n d o d e r w e h r ma c h to b e r k omma n d o d e r w e h r ma c h t

Mit dem Pfeil sind jene Zeilen markiert, die fur einen Klartext-GeheimtextAnsatz (crib) geeignet waren.

Bei der negativen Mustersuche erhalten wir eine Trefferwahrscheinlichkeitvon P (n) = (1− 1/N)n, wobei n die Lange des Wortes und N die Lange desAlphabetes (26) ist. In der Tabelle 5.10 sind Wahrscheinlichkeiten fur ver-schiedene Wortlangen in Prozent angegeben. Hier sieht man, dass Worter abeiner Lange von 100 Buchstaben eine sehr gute erwartete Wahrscheinlichkeitvon unter 2% haben. Damit wurde nur jeder 50-ste Vergleich einen Treffer

74

n P (n) in% n P (n) in%1 96,15 12 62,452 92,45 16 53,393 88,90 24 39,014 85,48 32 28,515 82,19 48 15,226 79,03 64 8,138 73,07 96 2,3210 67,56 128 0,66

Tabelle 5.10: Trefferwahrscheinlichkeit bei negativer Mustersuche

und damit eine Moglichkeit liefern.

Unser wahrscheinliches Wort hat 24 Buchstaben, damit haben wir eine Wahr-scheinlichkeit von 39,01%. Im obigen Beispiel haben wir 12 Positionen uber-pruft und drei Treffer erhalten. Berechnen wir die erwartete Wahrscheinlich-keit so erhalten wir 12× 0, 3901 = 4, 68 Treffer. Bei 25 Vergleichen erhaltenwir 11 Treffer bei 9,75 erwarteten. Bauer ermittelt in [Bau00a] fur das selbeBeispiel in 36 Vergleichen 14 Treffer bei 14,04 erwarteten.

Wir versuchen es nun mit dem dritten Ansatz.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24Klartext: o b e r k o m m a n d o d e r w e h r m a c h tGeheimtext: Z M G E R F E W M L K M T A W X T S W V U I N Z

Die Bombe beruhte nun auf folgendem Prinzip: Jeder Ubergang (oben miteiner Nummer von 1 bis 24 beschriftet) wurde in der Bombe durch einen Ver-tauscher dargestellt. Jeder Vertauscher wurde um x Positionen relativ ver-stellt, d.h. Vertauscher #4 war also um drei Positionen dem Vertauscher #1voraus. Diese Vertauscher wurden nun mit einem 26-adrigen Leitungstrangmiteinander verbunden, wodurch auch Schleifen entstanden. Zum Beispielbildet sich durch die Verbindungen (#7, #9, #14) eine Schleife:

#9 #7 #14A → M → E → A

An der Position #9 geht a in M uber, m geht an der Position #7 in E uber,a geht an der Position #14 wiederum in A uber, wodurch dann diese Schleifeentsteht. Wir analysieren nun die Eigenschaften dieser Schleife:

75

T bezeichnet in unserem Fall die Steckerverbindungen, Pi die durch den Ver-tauscher #i bewirkte Substitution. Die Ubergange konnen jetzt geordnet auffolgende Weise angeschrieben werden:

eT = mTP7

mT = aTP9

aT = eTP14

Durch wiederholtes Einsetzen fur mT und aT ergibt sich daraus

eT = mTP7 = aTP9P7 = eTP14P9P7eT = eTP14P9P7.

eT ist also ein Fixpunkt von P14P9P7.

Obwohl in den oberen drei Gleichungen Stecker-Substitutionen fur alle dreiBuchstaben e, m, a vorkommen, kommt in dieser Gleichung nur eine Stecker-Substitution fur e vor. Wenn wir nun eine Substitution fur e annehmen (fureT gibt es nur 26 Moglichkeiten) und dann die Substitutionen fur P14P9P7

berechnen, sollten wir wieder unser ursprunglich angenommenes eT erhalten.Wenn wir die falsche Walzenposition (bzw. Lage) oder eine falsche Stecker-Substitution T gewahlt haben, bekommen wir in einem von 26 Fallen (auf-grund von Zufallen) trotzdem den selben Wert zuruck. Bei Verwendung einerzweiten Schleife wird die Wahrscheinlichkeit eines Fehlalarms deutlich gerin-ger. Die Verbindungen #4, #15, #8, #7 bilden eine zweite Schleife

#4 #15 #8 #7E → R → W → M → E

Die GleichungeneT = rTP4

wT = rTP15

wT = mTP8

eT = mTP7

ergeben nicht sofort eine Schleife, weshalb sie zuerst umgewandelt werdenmussen17.

eT = rTP4

rT = wTP15

wT = mTP8

mT = eTP7

17Dies ist moglich, da die Substitutionen involutorisch sind.

76

Durch gegenseitiges Einsetzen ergibt sich

eT = eTP4P14P8P7.

eT ist also ein Fixpunkt von eTP4P14P8P7.

Der Wert eT kann nun durch zwei unabhangige Schleifen laufen. Wenn dieRotorposition korrekt ist, muss das Ergebnis beider Schleifen die dem an-genommenen Wert eT entsprechen. Falsche Alarme treten nun nur mehr ineinem von 676 Fallen auf. Um fast alle falschen Alarme auszuschließen sindmindestens vier Schleifen notwendig.Kombinieren wir nun mehrere Schleifen in einem Netz, so entsteht ein so-genannter Ruckkopplungsplan, der ahnlich wie ein Ubergangsdiagrammeines Automaten ausschaut. In Abbildung 5.10 ist ein solcher Graph darge-stellt, wobei Buchstabenubergange, die in keinem Zyklus vorkommen weg-gelassen wurden. Der Graph ist gerichtet, genau so wie das Crib es ergibt.Dadurch wurde nur eine einzige geschlossene Schleife bestehen, alle anderenSchleifen sind ungerichtet. Da die Enigma aber involutorisch ist18, konnendie Richtungen im Graphen weggelassen werden und alle Schleifen verwendetwerden. Die Kanten des Graphs stellen einen Vertauscher dar, der mit seiner

K

W

R

D

M

E

T

A

O

Z6

#1

-#4

HHHHHHj#5

6

#7

� #8

�������

#9

����

���

#11

� #12

-#13

HHHHHHj

#14

?

#15

6

#17

HHHH

HHHHHH

HHHj

#24

Abbildung 5.10: Alle zusammenhangenden Zyklen des Ubergangsgraphen

relativen Walzenposition (angegeben durch die Nummer #) einen Buchsta-ben in einen anderen Buchstaben uberfuhrt. Der Vertauscher #17 substitu-iert den Buchstaben E in ein T, d.h. fließt Strom durch die Leitung E in den

18D.h. wird bei einer Walzenstellung ein Buchstabe x durch den Buchstaben y substi-tuiert, so wird auch umgekehrt y durch x substituiert.

77

Vertauscher hinein, fließt der Strom durch T hinaus. Zusatzlich zu den Ver-tauschern war die Bombe noch mit einem Testregister ausgestattet. Dieseswurde an die 26-adrige Leitung angeschlossen. Fur jede Leitung gab es eineLampe, welche anzeigte, ob Strom floss, und ein Schalter zum aktivieren desStroms war vorhanden. Beim Betrieb der Bombe wurde nun ein zentralerKnoten (in unserem Fall am besten E) ausgewahlt, daran wurde das Testre-gister angeschlossen und Spannung an eine Leitung (e) angelegt.Nehmen wir nun an, dass die Walzenstellung nicht die richtige ist. Der Strombreitet sich nun vom Knoten E in der Leitung e durch alle Zyklen aus. In-folge der falschen Stellung wird sich als Ergebnis aus den meisten Zyklennicht e ergeben, die Zyklen werden also nicht geschlossen. Somit bewirkt dieRuckkopplung, dass in einer Vielzahl von Durchlaufen (sofern genug Zyklenexistieren) alle Leitungen unter Spannung stehen. Alle Lampen leuchten auf.Wenn die Walzenstellung die richtige ist, konnen wir zwei Falle unterschei-

den:

1. Haben wir die Steckerbrettsubstitution richtig getroffen, d.h. der Buch-staben e wurde bei der Chiffrierung nicht gesteckert, dann wird sich derStrom im ersten Durchgang durch die Schleifen ausbreiten, das Ergeb-nis jeder Schleife wird dann aber wiederum nur “e“ sein. Es gibt somitkeine weiteren Durchlaufe, alle anderen Leitungen bleiben ohne Span-nung. Diesen Fall erkennen man dadurch, dass im Testregister nur derBuchstabe e aufleuchtet. Die Maschine erkennt diesen Fall durch eineRelais-Vergleichsschaltung und kann somit stoppen. Der Betreuer derBombe kann die Einstellungen nun ablesen und damit eine Entschlusse-lung probieren.

2. Wurde der Buchstabe e nun aber durch eine Steckerverbindung durcheinen uns unbekannten Buchstaben substituiert, legen wir trotzdem ander Leitung e eine Spannung an. Die Spannung breitet sich durch dieRuckkopplung lawinenartig durch die Schaltung aus, fast alle Lampenleuchten auf. Eine Lampe leuchtet nicht auf, diese zeigt den Buchsta-ben an, der bei der Chiffrierung durch eine Steckerverbindung mit everbunden war. Naturlich kann es auch einen Fehlhalt geben. Diesertritt auf, wenn durch Zufall durch einen anderen Buchstaben eine gal-vanisch getrennte Schleife gebildet wird. Je mehr Schleifen eingesetztwerden, desto unwahrscheinlicher ist ein Fehlhalt.

Hier folgt noch ein Beispiel fur den Stromfluss in einer Schleife, wobei dierichtigen Einstellungen verwendet wurden. Die Walzenlage IV I II, die Ring-stellung AAA, die Walzenposition fur Vertauscher #1 TGC und die Um-kehrwalze B. Die Vertauscher #7 #9 #14 besitzen mit diesen Einstellungen

78

folgende Substitutionen:

A B C D E F G H I J K L M N O P Q R S T U V W X Y ZV#7: R N V Q M X L Y S P W G E B Z J D A I U T C K F H OV#9: M C B P J U R I H E O W A T K D S G Q N F Y L Z V XV#14: E O D C A L M Q J I V F G X B R H P Y W Z K T N S U

Nehmen wir nun an, der Buchstabe e wurde durch eine Steckerverbindungvertauscht, z.B. durch a. Wir beginnen nun die Substitution mit dem Buch-staben a, dabei betrachten wir die erste Zeile in der Tabelle 5.11. Der Buch-

#7 #9 #14→ → →

a r g mm e j ii s q hh y v kk w l ff x z uu t n xx f u zz o k vv c b oo z x nn b c dd q s yy h i jj p d cc v y ss i h qq d p rr a m gg l w tt u f ll g r pp j e a →

Tabelle 5.11: Ruckkopplung in einer Bombe

stabe a wird durch den Vertauscher V#7 mein einem r substituiert, das rwiederum wird durch den Vertauscher V#9 in ein g umgewandelt. Dann

79

wird das g durch den Vertauscher V#14 in ein m umgewandelt. Mit dem mbeginnt nun eine Ruckkopplung, wir befinden uns in der zweiten Zeile derTabelle. Von hier aus arbeiten wir uns durch die gesamte Tabelle durch. Inder letzten Zeile der Tabelle 5.11 kommt schlussendlich wieder der Buchsta-be a heraus, die Ruckkopplungsschleife ist somit geschlossen.Nur die Leitungen b, e, w waren in V#7 nicht aktiv. Mit einer zweiten Schlei-fe wurden sicher auch diese Leitungen aktiviert werden und damit konntenwir erkennen, dass a eine falsche Annahme war. Fur dieses Lehrbeispiel sinduns die Steckerverbindungen bekannt, wir wissen e ist nicht gesteckert. Wirwiederholen den ganzen Vorgang also mit dem Buchstaben e. Es bildet sicheine Schleife ohne eine Ruckkopplung auf andere Leitungen. Wir haben somitalso die gemachten Einstellungen bestatigt.

#7 #9 #14→ → →

e m a e

Am 18.03.1940 wurde der erste Prototyp “Victory“ der Turing-Bombe instal-liert. Dieser hatte noch nicht jene entscheidende Verbesserung, die GordonWelchman gefunden hatte, integriert.

Diagonal Board

Gordon Welchman fugte zu Turing’s Bomben-Schaltung ein weiteres Ele-ment hinzu, das diagonal board. Deshalb spricht man auch von der Turing-Welchman-Bombe.Ein Problem bei der Turing-Bombe entstand durch den Einsatz von lan-gen Cribs. Lange Cribs waren notig um moglichst viele Schleifen bilden zukonnen, welche eine verstarkte Ruckkopplung bewirkten und somit falscheStopps verringerten. Dem entgegengesetzt war das Ziel kurze Cribs zu ver-wenden um die Wahrscheinlichkeit einer Bewegung des mittleren Rotors RM

auszuschließen.Wenn wir nun wiederum den Graphen in Abbildung 5.10 betrachten sehenwir, dass Vertauscher mit den Nummern zwischen 1 und 24 in den Schlei-fen vorhanden sind. Dabei ist es sehr wahrscheinlich (in 24 von 26 Fallen),dass sich bei dieser Spanne die mittlere Walze dreht und somit die Schaltungnicht korrekt ist19. Um dem entgegen zu wirken entfernen wir die Kanten

19Dieses Problem mit der bewegten mittleren Walze besteht im Prinzip darin, dasswir nicht wissen, an welcher Position im Wort sich die mittlere Walze gedreht hat. Nurmit Hilfe der Ringstellung, welche beeinflusst wann bei welcher Stellung sich die Walzendrehen, konnten wir die richtige Drehung bestimmen.

80

#1, #12, #24 und somit auch die Buchstaben O und Z aus dem Graphen.Die Walzenpositionen erstrecken sich jetzt nur mehr von 4 bis 15. Damit istdie Wahrscheinlichkeit, dass sich die mittlere Walze dreht 12/26 (das ist un-gefahr 1/2).

Neben unseren Schleifen gibt es noch eine Reihe von Buchstaben, die miteiner Schleife verbunden sind, aber selbst nicht Teil einer Schleife sind. DieseBuchstaben wurden von der Turing-Bombe nicht genutzt. Welchman gelanges durch seine Konstruktion diese Informationen zu nutzen. Er verband dassogenannte diagonal board mit den Vertauschern. Das diagonal board be-stand aus einer Matrix von 26×26 (A-Z, A-Z) Anschlussen. Auf der vorderenSeite wurden gegenseitig jeweils alle vorhandenen Buchstaben physikalischverbunden: Anschluss A in der Reihe B mit dem Anschluss B in der Reihe A,usw. Auf der hinteren Seite wurde jeweils eine Reihe (26 Leitungen) mit demdazu gehorigen Knoten verbunden. In Abbildung 5.11 ist die Schaltung ei-ner Bombe mit diagonal board dargestellt. Insgesamt bildet dieses Board dieSteckerverbindungen der Enigma nach, und alle nicht verbundenen Buchsta-ben erzeugten somit ein direkte Ruckkopplung. Tatsachlich waren jetzt keineSchleifen mehr notwendig, das Problem, viele Schleifen in einem kurzen Textzu finden, erubrigte sich.

Effizienz der Bomben

Turing stellt in seiner Treatise on Enigma ([Tur44]) eine Tabelle auf mit wel-cher die Anzahl der wahrscheinlichen Stopps bei einer Walzenlage einer Bom-be berechnet werden konnen. Die Anzahl verringert sich proportional zu 26c,wobei c die Anzahl der Schleifen in einem Menu (Graphen) angibt. Darausersieht man die Wichtigkeit einer Schleife. Mit Hilfe der Formel 264−c×H-M-Faktor kann die Anzahl der Stopps berechnet werden. Die Werte fur denFaktor H-M20 sind in der Tabelle 5.12 angefuhrt. Dabei gilt diese nur furden Fall eines Graphen bestehend aus einer zusammenhangenden Kompo-nente (Turings Ausdruck dafur war web).

Im US Bombe Report von 1944 ([US 45]), welcher zur Schulung des techni-schen Bedienpersonals einer Bombe geschrieben wurde (und deshalb fur jedenleicht verstandlich sein musste), ist Tabelle 5.13 aufgelistet. Darin ist aufge-listet wie viele Stopps pro Walzenlage (W.O.: wheel order) auftreten, wenneine bestimmte Anzahl von geschlossenen Schleifen (CLOSURES) existiertund zusatzliche Buchstaben (LETTERS) auftreten. Als Anweisung steht da-bei, dass nur Menus benutzt werden sollen die nicht mehr als vier Stopps

20Turing erklart nicht, wie er die Werte dafur ermittelt, die Bestimmung sei “very tediousand uninteresting“.

81

s s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s ss s s s s s s s s s s s s s s s s s s s s s s s s s

A⊂

@@

@@

@

�

�

@@

@@

@@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�

D⊂ @@

� �

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@@

�

�E⊂

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

@

�

�

K⊂

@@

@@

��

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

@@

@@

�

�M⊂

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

�

�

@@

@@

@@

@@

@@

@@

@@

@@

�

�

R⊂

@@

@@

��

@@

@@

@@

@@

�

�T⊂

@@

@@

@

�

�

W⊂

+12V���

w w w w w w w w w w w w w w w w w w w w w w w w w w⊃

w w w w w w w w w w w w w w w w w w w w w w w w w w⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗ ⊗a b c d e f g h i j k l m n o p q r s t u v w x y z

A

W

M

E

R

K

D

T

#17

#13

#11

#5

#4

#7

#8

#15

#14

#9

ss

sssssss

⊂

⊂

⊂

⊂

⊂

⊂

⊂

⊂

s

26

��

s

Abbildung 5.11: Schaltung der Turing-Welchman-Bombe

besitzen, da die Uberprufung eines falschen Alarms (false alarm) einiges anArbeit kostet.

In der Abbildung 5.12 sehen wir einen solchen falschen Alarm, d.h. eine Kon-figuration in der die Bombe eigentlich nicht halten sollte. Jeder Knoten istmit einem Großbuchstaben beschriftet, der Kleinbuchstaben gibt die (ein-zige) Leitung an, die in diesem Knoten aktiv ist. Im Knoten E fließt zum

82

# der Buchstaben H-M-Faktor2 0,923 0,794 0,625 0,446 0,297 0,178 0,0879 0,04110 0,01611 0,00612 0,001813 0,0004514 0,00009515 0,00001616 0,0000023

Tabelle 5.12: H-M-Faktoren fur eine zusammenhangende Komponente

LETTERS CLOSURES STOPS/W.O.0 4 17 3 59 3 29 3 110 2 1011 2 412 2 113 1 714 1 215 0 716 0 1

Tabelle 5.13: Erforderliche Anzahl von Schleifen bei wenigen Stopps

Beispiel Strom durch die Leitung e. Die Knoten D und T bilden ein Paar:Im Knoten D fließt Strom durch die Leitung t, wahrend die Leitung d imKnoten T aktiv ist. Dies bedeutet, dass die zwei Knoten durch eine Stecker-verbindung vertauscht wurden. Betrachten wir nun den Einfluss des diagonalboard. Uber dieses wird die Leitung t im Knoten D mit der Leitung d imKnoten T verbunden (siehe Abbildung 5.13). Dadurch wird die Haltekonfi-

83

Abbildung 5.12: Falsche Haltekonfiguration einer Bombe

guration nicht gestort und die Steckerverbindung wird bestatigt.Nun betrachten wir die Knoten W und M in der Abbildung 5.12. Diese wi-

Abbildung 5.13: Haltekonfiguration mit diagonal board Verbindung

dersprechen sich. Im Knoten W ist die Leitung m aktiv und es scheint so, alsware der Buchstabe W mit M durch eine Steckerverbindung vertauscht. ImKnoten M fließt der Strom aber nur durch die Leitung x, eine solche Konstel-lation wurde der involutorische Charakter des Steckerbretts nicht zulassen.Wir betrachten also eine falsche Haltekonfiguration. Wurden wir nun in die-sem Fall das diagonal board einsetzen, dann wurde ausgelost durch W-mauch Strom in M-w fließen. Dies wurde wiederum zu vielen Ruckkopplungfuhren, die Bombe wurde gar nicht erst anhalten.

Hat man mit der Bombe einen oder mehrere Stopps erzielt, hat man somit mit

84

hoher Wahrscheinlichkeit die richtige Walzenlage, die Walzenposition und ei-ne Steckerverbindung21 ermittelt. Es fehlt aber immer noch die Ringstellung.Zur Ermittlung dieser bedarf es einer weiteren Methode.

Ermittlung der Ringstellungen

Wurde die richtige Walzenstellung (und Position) ermittelt, kann nun folgen-dermaßen vorgegangen werden. Mit Hilfe einer Enigma (bzw. eines Enigma-Nachbaus) wird die chiffrierte Nachricht, welche zum Erstellen des Bomben-Menus benutzt wurde, in die Maschine eingetippt. Dabei muss die Maschinevorher in die richtige Walzenlage und Position gebracht werden. Die Ringstel-lung wird vorlaufig auf den Wert AAA eingestellt. Auch die Steckerverbin-dungen mussen richtig eingestellt werden. Der Bereich des chiffrierten Textes,der im Menu verwendet wird, sollte nun mit der Maschine richtig entschlusseltwerden konnen22, tippt man nun fortlaufend den chiffrierten Text ein, wirdder erhaltende Klartext ab einem bestimmten Punkt unleserlich. Der Grunddafur ist die falsche Ringstellung, denn diese bestimmt wann sich eine Walzefortbewegt. Es konnen zwei Falle unterschieden werden:

1. Die mittlere23 Walze hat sich zu fruh fortbewegt.

2. Die mittlere Walze hat sich zu spat fortbewegt.

Nun passt man die Ringstellung der rechten Walze (denn diese bestimmtwann sich die mittlere Walze fortbewegt) an, sodass sich die mittlere Walzezum richtigen Zeitpunkt fortbewegt und der entschlusselte Text “leserlich“bleibt. Dabei muss naturlich auch die Grundstellung der rechten Walze an-gepasst werden, denn der Walzenkern muss die gleiche relative Position zuden anderen Walzen beibehalten.Ist der Text lang genug kann mit dieser Methode auch die Ringstellung derlangsamen Walze bestimmt werden (bei 676 Zeichen bewegt sich diese mit100%-iger Sicherheit fort). Die Ringstellung der langsamen (linken) Walzehat im Prinzip keinen Einfluss auf die Dechiffrierung der Nachricht und kann

21Im Prinzip kann man bei einem Stopp alle Steckerverbindungen bestimmen. Dazu mussbei einem Stopp jeder Buchstabe im Testregister nacheinander aktiviert werden. Leuchtetnur der aktivierte Buchstabe auf, dann ist der Buchstabe nicht “gesteckert“, leuchten alleBuchstaben bis auf einen auf, dann ist der gewahlte Buchstabe mit dem nicht leuchtendenBuchstaben auf dem Steckerbrett verbunden. Siehe dazu auch die Erklarung auf Seite 78.

22Beobachtet man schon in diesem Bereich eine Drehung der mittleren bzw. linken Wal-ze, muss die Ringstellung der mittleren Walze angepasst werden (und somit auch dieGrundstellung, denn der Walzenkern muss seine relative Drehung beibehalten.

23Die Drehung der langsamen (linken) Walze wird in dieser Beschreibung nicht beruck-sichtigt, da diese sich im Normalfall nur alle 676 Zeichen fortbewegt.

85

mit dieser Methode auch nicht bestimmt werden.

Nun sind alle Parameter zur Entschlusselung der Nachricht bestimmt, siekann entschlusselt werden. Andere Nachrichten mit dem selben Tagesschlusselkonnen hiermit auch entschlusselt werden. Dazu wird zuerst mit dem gewahl-ten Spruchschlussel der zweite chiffrierte Spruchschlussel entschlusselt, mitdem dann die eigentliche Nachricht entschlusselt werden kann.Nun wollen wir noch einmal einen Blick auf den Anfang der Methode werfen.Dort haben wir ein wahrscheinliches Wort benutzt, ohne zu erlautern woherwir solche Worter bzw. Wortgruppen bekommen. Denn wenn wir in letzterZeit24 keine Nachrichten entziffert haben, haben wir auch keine guten wahr-scheinlichen Worter und somit keinen guten Ansatz fur unsere Methode. Hierhalf ein anderes Verfahren, beim entschlusseln von Nachrichten, womit dannschließlich wahrscheinliche Worter gefunden werden konnten.

Herivel tips, cillies

Herivel tips und cillies sind zwei einfache Hilfsmittel, die auf der Schlampig-keit der Chiffrierer basieren.John Herivel war ein junger Mathematiker in Bletchley Park. Ihm fiel auf,dass die Grundstellung der ersten Nachricht des Tages gleich oder nahe zurRingstellung war. Dieser Umstand ist sehr einfach zu erklaren, wenn man denVorgang beim Setzten des Tagesschlussels genauer betrachtet. Zuerst mussder Chiffrierer die Walzen herausnehmen, die richtigen Walzen nehmen, siein der richtigen Reihenfolge zusammen stecken und sie dann wieder in dieMaschine hinein geben. Erst jetzt wird die Ringstellung eingestellt. Dazumuss der Chiffrierer jede Walze so lange drehen bis er den Stift zum fixierendes Ringes sieht. Jetzt kann der Stift aus dem Ring-Zylinder heraus gezo-gen werden und der Ring durch drehen auf den richtigen Wert eingestelltwerden. Dieser Vorgang wird nun bei allen Walzen auf die selbe Weise an-gewandt. Wird nun der Deckel der Maschine geschlossen, kann man in denSichtfenstern die Ringstellung bzw. eine Stellung sehr nahe der Ringstellungablesen. Bis jetzt hat der Chiffrierer noch keinen Fehler gemacht. Wenn nunfur die erste Nachricht der offentliche Spruchschlussel (dieser wird immer un-verschlusselt der Nachricht vorausgeschickt) gewahlt werden muss, kann esvorkommen, dass der Chiffrierer aus Faulheit einfach die aktuelle Grundstel-lung so belasst. In der Praxis fuhrt das dazu, dass sich die Ringstellung aufungefahr neun Stellungen reduziert.

24Hier gilt zu beachten, dass Nachrichten von verschiedenen Funknetzen bzw. von ver-schiedenen Einheiten typischerweise verschiedene wahrscheinliche Worter haben. Wahr-scheinliche Worter andern sich auch im Laufe der Zeit. Deshalb ist es notig, den Katalogmit wahrscheinlichen Wortern standig zu erneuern.

86

Der Umstand, dass die Chiffrierer oft horizontale, vertikale und diagonaleReihen von Buchstaben des Tastenfeldes als Spruchschlussel (chiffrierte) ver-wendeten wird bei den Briten cillies genannt. Dieser Ansatz wurde schonvon den Polen bei der Entschlusselung der Spruchschlussel verwendet.Weitere Tips, die auch als cillies bezeichnet wurden, ergaben sich, wenn Chif-frierer als Spruchschlussel Teile von Sprichwortern und Satzen verwenden.Dabei fassten sie immer drei Buchstaben zu einem Spruchschlussel zusam-men: MAR IAI STM EIN LIE stammt also vom Satz “Maria ist mein Lieb-ling“.

Zur Ermittlung aller Parameter des Tagesschlussels konnen diese beidenAnsatze miteinander kombiniert werden. Dies wollen wir anhand eines Bei-spiels, das von Deavours und Kruh in [DK85] angegeben wird, genauer be-trachten.In der unten stehenden Tabelle sind vier Spruchschlussel aufgelistet, welcheaus einer Grundstellung und einer weiteren chiffrierten Grundstellung beste-hen. In der zweiten Spalte sind die dazugehorenden vermuteten Walzenposi-tionen aufgelistet. Diese wurden durch Vertrautheit mit dem Chiffrierer unddurch Berucksichtigung von cillies gewahlt.

Spruchschlussel Vermutete WalzenpositionP Y X X V P P Y XQ A P I B V O K LE D C V R A R F VA S D F R K Q A P

Wir nehmen jetzt eine Walzenlage (I II III) an und bilden mit obigen DatenKetten von Klartext/Geheimtext-Paaren (K/G). Zu jedem Paar schreibenwir die Walzenposition, die den Klartext-Buchstaben in den Geheimtext-Buchstaben verwandelt, dazu.

K/G-Paar WalzenpositionKette 1 R A A S F

A V E D FV R E D DR R E D EF Q A S E

Kette 2 B K Q A RK P A S GP X P Y Y

Kette 3 Y V P Y ZV L Q A S

87

Benutzen wir nun Herivel tips zum Bestimmen der Tages-Ringstellung, sokonnen wir mit allen bisherigen Annahmen und Daten nachfolgende Tabellenmit Substitutionen erstellen. Dabei ermitteln wir alle Substitutionen in einerSpalte, indem wir den oberen Buchstaben immer als Input verwenden. ZumBeispiel geht in der ersten Spalte bei Position ASF A in R uber, R geht beiPosition EDF in I uber, usw.

Kette 1A B C D E F G H I J K L M N O P Q R S T U V W X Y Z R

A S F R J L I U G F M D B X C H W P O S A Q V E T N K Z Y AE D F I W Y R M O K U H E Z T D J N G Q V S A B C P F X L VE D D D K A V N X W C E H P S I B M L F R T Y J U Z Q O G RE D E V U Y D X N T G B J Q I S E L M R F W A H K O P Z C FA S E Z R C P L S J W E T F A N B X O U Q G I K H M D V Y Q

Kette 2A B C D E F G H I J K L M N O P Q R S T U V W X Y Z B

Q A R O E I V B S J K C G H P Q U A L M X F W N Z T R D U KA S G K N L S Q Y X O A V D F B Z C I W J P M E U R T H G PP Y Y G C R O M E A S X U H Z T F N W I P J Q Y V L B D K X

Kette 3A B C D E F G H I J K L M N O P Q R S T U V W X Y Z Y

P Y Z Z E G X B U C S L O R I T P J N W K H M F Y Q D V A VQ A S C T Y Q M F Z D V R O P E I A K H N W B U G X S L J L

Die letzte Spalte gibt jeweils die Kette an, die wir aus den Indikatoren (die-se wurden bei der Chiffrierung durch das Steckerbrett beeinflusst) gebildethaben. Jetzt konnen wir zur Ermittlung der Steckerbrettverbindungen folgen-dermaßen vorgehen. Wir vergleichen nachfolgend die letzte Spalte mit jederSpalte der jeweiligen Tabelle. Da die Substitution des Steckerbretts involut-orisch ist, konnen wir einige Spalten ausschließen. Eine zufallig ausgewahlteSpalte fur Kette 1 und die dazugehorigen abgeleiteten Verbindungen desSteckerbretts.

Spalte L Kette abgeleitete SteckerverbindungL R (L,R)C A (C,A)T V (T,V)S R (S,R)I F (I,F)A Q (A,Q)

88

Wir sehen sofort, dass die Verbindungen (L,R) und (S,R) einen Widerspruchbilden, denn R kann nicht mit L und mit S verbunden sein. Somit konnen wirdie Spalte L ausschließen. Im Fall der Kette 1 ist nur die Spalte R moglich,alle anderen Spalten fuhren zu Widerspruchen. Wir wissen jetzt dass dieBuchstaben A, F, Q, R und V mit Sicherheit nur mit sich selbst verbundensind. Betrachten wir nun die Kette 3 (YVL). Da V mit sich selbst verbundenist, konnen nur jene Spalten richtig sein, in denen in der zweiten Zeile ein Vsteht. Dies trifft nur auf die Spalte Y zu.Wir erhalten weitere Informationen uber die Steckerverbindungen: L, Y sindauch mit sich selbst verbunden. Im Falle der Kette 2 konnen wir nun alleSpalten, bis auf die Spalte B, mit Hilfe der von Kette 1 und Kette 3 gewon-nenen Informationen, ausschließen. Es ergeben sich die Steckerverbindungen(E,K), (N, P), (C, X); B ist mit sich selbst verbunden. Jetzt bleiben nurmehr die Buchstaben DGHIJOSTUWZ ubrig. Weitere Verbindungen (in un-serem Beispiel gibt es nur zwei weitere, insgesamt nur funf) konnen durchEntschlusseln einer Nachricht durch Probieren leicht ermittelt werden.

5.3.3 Marine-Enigma M3 und M4

Die Nachrichten der Funknetze in der Marine waren schwerer zu brechen alsjene der Wehrmacht und der Luftwaffe. Dies mag daran liegen, dass die Ma-rine noch mehr von der Funkubertragung der Nachrichten abhangig war unddiese auch entsprechend schutzen musste. Die Marine erhohte schon bald dieverfugbare Anzahl der Walzen von funf auf acht. Wobei die drei neuen Wal-zen zwei Kerben zur Walzenfortbewegung hatten und somit die Frequenz derFortbewegung verdoppelt wurde. Diese Version mit acht Walzen wurde M3genannt.Im Jahr 1942 wurde eine weitere Anderung bei der Marine eingefuhrt. Eswurde eine vierte einstellbare Walze eingefuhrt. Diese bewegte sich wahrendder Chiffrierung aber nicht fort. Fur die Lage der vierten Walze standen ab1943 zwei Walzen zur Verfugung: β (Beta) und γ (Gamma). Diese Version derEnigma wurde mit M4 bezeichnet. Damit mit der M4 auch Funkspruche einer3-Walzen-Enigma verschlusselt werden konnten, wurden noch zwei neue Um-kehrwalzen eingefuhrt: B dunn und C dunn. Die Kompatibilitat wurde nunfolgendermaßen erreicht: Die Verdrahtung der Umkehrwalze B dunn wurdeso gewahlt, dass das Hintereinanderschalten von β, B dunn und β−1 die glei-che Substitution wie die Umkehrwalze B ergibt. Das selbe gilt fur C dunn.Im Jahr 1943 wurde die Umkehrwalze noch zusatzlich rotierbar gemacht. Dasmachte aus der M4 eine richtige 4-Walzen-Enigma.

Die vierte Walze erhohte die moglichen Einstellungen fur die Maschine enorm.

89

Ein Fehler der Deutschen half den Briten aber die Tagesschlussel zu er-mitteln. Wetterberichte (und andere spezielle Nachrichten25) wurden mitstandardisierten Kurzsignalen versendet. Diese wurden aber durch eine 3-Walzen-Enigma (bzw. eine M4 mit β und B dunn in kompatibler Position)verschlusselt. Der Fehler bestand nun darin, dass fur diese Kurzsignale dieselben Einstellungen wie fur die M4 verwendet wurden. Die Walzenlagen,Grundstellung, Ringstellung fur die drei rechten Walzen und die Stecker-verbindungen waren die selben. In [Sal00] ist das Beispiel fur die Verwen-dung dieser Kurzsignale zum Brechen des Marine-Codes, welches im Film“Enigma“ verwendet wurde, angegeben.

Waren keine Kurzsignale gegeben, so mussten die Nachrichten auf eine ande-re Weise gebrochen werden. Dazu wurde eine 4-Walzen-Version der Turing-Bombe benutzt. Das Problem dabei war aber der riesige Bereich, der durch-sucht werden musste. Die drei rechten Walzen konnten aus acht verschiedenenWalzen gewahlt werden (8 × 7 × 6 = 336). Die dunne Walze konnte aus ei-nem Satz von zwei Walzen26 gewahlt werden, das verdoppelt die moglichenWalzenlagen wiederum. Auch die Positionen, die eine Bombe durchprobierenmusste, waren enorm (26×26×26× = 456.976). Vor dem Einsatz der Bombemussen die moglichen Walzenlagen und Positionen eingeschrankt werden.

Reduzierung der Rotorlagen

Diese Methode ist die Verbesserung des Verfahrens, das schon der Pole JerzyRozycki (siehe ab Seite 48) zum bestimmen der schnellen Walze benutzt hat.Bei den Briten wurde diese Methode Banburismus27 genannt und wurde imwesentlichen von Alan Turing entwickelt.Wie schon erwahnt basiert diese Methode auf dem gleichen Prinzip wie die

von den Polen verwendete, namlich der Superimposition von zwei Nachrich-ten. Die Ubereinstimmung zweier beliebiger zufalliger Zeichenketten solltebei 3,85% liegen. Bei der Uberlagerung von zwei Nachrichten in deutscherSprache (bzw. deren Chiffren, die sich im selben Schlussel befinden) soll-te die Zeichenkoinzidenz bei ca. 7% liegen. Bei Texten, die aber nur einigehundert Zeichen lang sind, verschlechtern falsche Alarme die Effizienz dieser

25Insbesondere wurden standardisierte Kurzsignale von U-Booten zum Koordiniereneines gemeinsam gefuhrten “Rudel“-Angriffs verwendet, damit feindlichen Kraften nichtgenug Zeit fur eine Funkpeilung blieb. Das Ubertragen einer solchen kurzen Nachrichtdauerte per Morsecode weniger als 30 Sekunden.

26Deavours und Kruh schreiben in [DK85] dass es eine dritte dunne Walze α gegebenhat, eine solche wurde aber nie gefunden.

27Benannt nach der Stadt Banbury, denn dort wurden die dazu benotigten Banburysheets hergestellt.

90

Methode. Turing entwickelte eine neue Bewertung um die richtige Superim-position zweier Nachrichten zu erkennen (“weight of evidence“). Diese wurdein der Einheit ban bzw. deciban angegeben. Diese Bewertung berucksichtigtenicht nur die Zeichenkoinzidenz alleine, sondern auch die Verteilung dieserKoinzidenzen. Wurden zum Beispiel mehrere Ubereinstimmungen hinterein-ander gefunden, waren diese “mehr Wert“ als die selbe Anzahl von verteiltenKoinzidenzen. Diese komplizierte gewichtete Bewertungsmethode war der ei-gentliche Banburismus.Waren zwei Nachrichten einmal richtig zueinander ausgerichtet28, konnte dieDifferenz der unchiffrierten Spruchschlussel berechnet werden. Wurden meh-rere Nachrichten eines Tages zueinander ausgerichtet, so konnte meistens derschnelle Rotor identifiziert und einige Grundstellungen ausgeschlossen wer-den.In [DK85] und [Bau00a] wird dazu folgendes Beispiel angegeben. Aus hun-dert Nachrichten wurden einige Superimpositionen gefunden. Die chiffriertenSpruchschlussel fur den schnellen Rotor RN und die Differenz der Rotorpo-sitionen wurden in nachstehender Tabelle festgehalten:

Chiffrierte Positionen von RN Differenz der Positionen (mod 26)R F 7F K 12D Y 4T Y 2N Q 14M Q 21K O 6B Y 11M C 6N K 3

Aus diesen Daten lassen sich zwei Ketten bilden.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26R Q F M C N K OD T Y B

Durch Verschieben der ersten Kette entlang des Alphabetes erhalten wir aneiner Position eine Involution (K, N).

A B C D E F G H I J K L M N O P Q R S T U V W X Y ZF M C N K O R Q

28Zur ungefahren Ausrichtung konnten zwei Nachrichten genommen werden die einenahnlichen chiffrierten Spruchschlussel besaßen, da zur Chiffrierung dieser immer die gleicheGrundstellung benutzt wurde.

91

Jetzt fullen wir alle Buchstaben auf, sodass nur Involutionen entstehen. Undwenn wir die zweite Kette an der Ersten ausrichten, sehen wir dass keineKonflikte bestehen.

A B C D E F G H I J K L M N O P Q R S T U V W X Y ZF J M B C N D K T Y U O R Q

B D T Y

Damit haben wir 14 Stellen des schnellen Rotors aufgedeckt. Woraus dieLage der Nut der schnellen Walze bestimmt werden konnte und somit dieseidentifiziert war (fur die Walzen I bis V). Die Walzen VI bis VIII konntendamit zwar nicht unterschieden werden, trotzdem konnten durch Erkenneneiner 2-Kerben-Walze viele Walzenlagen ausgeschlossen werden.

92

5.4 Uberblick aller Methoden

Methode Voraussetzungen Ergebnis

Isomorphie-Methode (Baton,rodding)

kein Steckerbrett, wahr-scheinliches Wort

Lage und Position von RN

Charakteristik-Methode (Zyklo-meter)

6-Indikator (verdoppelt),50-100 Schlussel

Lage und Position allerWalzen

Zygalski-Lochblatter(Jeffrey sheets)

9-Indikator (verdoppelt),10-12 Schlussel mit Fix-punkten

Lage und Position allerWalzen

Bomba 9-Indikator (verdoppelt),max 5–8 Stecker, dreiWeibchen in drei verschie-denen Lagen

Lage und Position allerWalzen

Superimposition(IC), Banburis-mus

mehrere nah beieinanderliegende Schlussel

Lage und Position von RN

Turing-Bombe wahrscheinliches Wort Lage und Position allerWalzen, ein Stecker

Tabelle aller Al-phabete

rechter Rotor schon be-stimmt (nur mehr 676Moglichkeiten ubrig)

Lage und Position derrestlichen Walzen

Einfache Metho-den fur 9-Zeichen-Indikator

mehrere Spruchschlussel mogliche Lagen fur Bom-ba reduzieren

Cillies Buchstaben nach Ta-staturlayout verwenden,bzw. ganze Satze alsSchlussel

Positionen konnen direktuberpruft werden

Herivel Tips 1. Grundstellung des Ta-ges ist ahnlich oder gleichder Ringstellung

Tabelle 5.14: Historische Methoden im Uberblick

93

5.5 Ciphertext-only Angriffe

Schon wahrend des Zweiten Weltkrieges entwickelten die Briten einen cipher-text-only Angriff, der auf Statistiken beruhte. Dazu sollten alle Walzenlagenund Positionen durchgespielt werden und fur jede Moglichkeit sollte eineStatistik berechnet werden, welche die verwendeten Einstellungen bestatigteoder verwarf. Diese Methode wurde in der Praxis nie verwirklicht, da dietechnischen Mittel zu dieser Zeit nicht ausreichten. Ein anderer Grund dafurmag sein, dass laut deutscher Vorschrift verschlusselte Nachrichten nur 200bis 300 Zeichen (je nach Zeitspanne) lang sein durften.

5.5.1 Gillogly Angriff

Ein Verfahren, das auch auf Statistiken beruht wurde 1995 von James Gillo-gly in [Gil95] beschrieben. Es basiert auf der Berechnung des Index of Coin-cidence (IC), mit dem wir uns schon im Abschnitt 5.2.5 beschaftigt haben.Der Angriff nutzt eine Schwache beim Einsatz des Steckerbretts aus. Nicht al-le Buchstaben wurden durch das Steckerbrett beeinflusst. Bei der Einfuhrungdes Steckerbretts wurden nur vier Verbindungen benutzt. Ab 1939 wurdenin der Wehrmacht schon 10 von maximal 13 Steckerverbindungen verwendet.In manchen Netzen wurden sogar alle Buchstaben gesteckert. In Tabelle 3.4ist eine Ubersicht fur die Stecker gegeben. Fur uns ist nur die Spalte 1 undSpalte 3 von Interesse, in Spalte 3 konnen wir ablesen, wie viele Prozentder Buchstaben bei einer bestimmten Anzahl von Steckern beeinflusst wird.Zur Berechnung dieser Spalte gehen wir folgendermaßen vor: Wir berech-nen zuerst die Gegenwahrscheinlichkeit (Wie viele Prozent der Buchstabenwerden nicht beeinflusst). Bei 6 Steckerverbindungen sind 2× 7 = 14 Buch-staben nicht gesteckert. Die Wahrscheinlichkeit dass der Eingabe-Buchstabeund der resultierende Buchstabe nicht gesteckert ist (14/26)2 = 0, 2899. DieGegenwahrscheinlichkeit29 davon ist 1 − 0, 2899 = 0, 71, das sind 71%. Vondieser Prozentzahl hangt also, wie wir im folgenden noch sehen werden, dasVerfahren ab.Das Verfahren besteht aus drei Stufen. In der ersten Stufe wird die Wal-zenlage und Position bestimmt. In der zweiten Stufe wird die Ringstellungermittelt und in der dritten Stufe werden die Steckerverbindungen ermittelt.

29Man beachte dass diese Berechnung nur theoretisch ist und dass sie auf der Annahmebasiert, dass alle Buchstaben gleichverteilt sind (auch die Eingabe-Buchstaben). DurchFallbeispiele kann man aber feststellen, dass diese Werte doch sehr nahe an die Praxiskommen.

94

Stufe 1

In dieser Stufe wird die Lage und Position der Walzen ermittelt. Zuerst fixie-ren wir die Ringstellung auf AAA und entfernen alle Steckerverbindungen.Jetzt wird fur jede Einstellungsmoglichkeit der IC berechnet. Wir wissen,dass zwei zufallige Texte einen IC von ungefahr 0,038 besitzen, wahrenddeutscher Text einen IC von 0,07 hat. Wir merken uns nun die Einstellungenfur die hochsten erzielten Werte bei der Berechnung des IC. Diese Einstellun-gen benutzten wir dann wiederum als Ausgangsbasis fur die nachste Stufe.

In [Bir00] sind einige zusatzlichen Bemerkungen hierzu festgehalten, die esuns ermoglichen, den zu erwartenden IC bei richtiger Lage und Position zuberechnen. Zur Berechnung des zu erwartenden IC mussen wir folgendesberucksichtigen.

1. Sobald der Strom das Steckerbrett durchlaufen hat konnen wir zweiUnterscheidungen treffen: mache Buchstaben werden vertauscht, machewerden nicht vertauscht. Trotzdem wird die Statistik des IC davon nichtbeeinflusst.

2. Der Zeichenstrom, der bei der Verschlusselung durch eine Enigma resul-tiert, ist rein zufallig, gleichgultig welche Buchstaben gesteckert sind.Bei p Steckern wissen wir, dass p

13aller Zeichen30 beim zweiten Durch-

lauf des Steckerbretts beeinflusst werden und somit 13−p13

nicht beein-flusst werden.

3. Falls wir die richtige Walzenposition verwenden erhalten wir fur p13

der

Zeichen zufallige Werte (siehe Punkt zwei), fur 13−p13

aller Zeichen erhal-ten wir Werte, die fur unsere Statistik entscheidend sind (siehe Punkteins). Wir konnen nun die zu erwartende Frequenz eines Buchstabensbei gegebener Textlange n ermitteln:

fi =1

26

np

13+ gi(1−

p

13)n

Dabei ist gi die Wahrscheinlichkeit des Auftretens eines Zeichens indeutscher Sprache und 1

26ist die Wahrscheinlichkeit fur eine zufallige

Zeichenkette.

4. Jetzt konnen wir den zu erwartenden IC berechnen, wenn wir fi vonPunkt 3 hier einsetzen:

IC =∑26

i=1fi(fi−1)n(n−1)

. . .≈ p

13(2− p

13)IC(Random) + (1− p

13)2IC(German)− 1

n

30Das sind 2p26 aller Zeichen.

95

Berechnen wir nun den zu erwartenden IC, so erhalten wir 0,04218 mit einerVarianz von 0,0011. Das bedeutet wir sollten zufalligen Text mit einem ICvon 0,038 davon Unterscheiden konnen. Nun betrachten wir die Tabelle mitden sechs besten Ergebnissen

Walzenlage Walzenposition ICII I III BKF 0,0416III I IV THQ 0,0414V II I TPC 0,0413

II III IV TTZ 0,0412III I V SPT 0,0411IV I II DTG 0,0411

Fur jedes dieser Ergebnisse fuhren wir nun die Stufe 2 aus.

Stufe 2

In Stufe 1 haben wir die Einstellungsmoglichkeiten um einiges eingeschrankt.Jetzt mussen wir die richtige Ringstellung ermitteln. Diese beeinflusst denZeitpunkt der Walzenfortbewegung.Falls eine Ringstellung falsch ist, d.h. es bewegt sich zum Beispiel die mittlereWalze zum falschen Zeitpunkt fort, wird der Geheimtext fur eine bestimm-te Zeit nicht richtig entschlusselt. Im Falle einer falschen Ringstellung derschnellen Walze, werden maximal 13 Zeichen falsch verschlusselt.Die Ringstellung der linken Walze muss man nicht berucksichtigen, da diesedie Walzenfortbewegung nicht beeinflusst. Wir mussen also fur jede Moglich-keit nur 676 verschiedene Ringstellungen ausprobieren.

Zuerst nehmen wir die rechte Walze und berechnen fur alle Ringstellungen(Achtung! Bei diesem Vorgang muss auch standig die Walzenposition ange-passt werden) neue Werte fur den IC, genau wie in der vorangegangenenStufe. Jetzt fixieren wir die Ringstellung die den besten Wert fur den ICerzielt hat und probieren mit dieser Ringstellung alle Ringstellungen fur diemittlere Walze aus. Danach wahlen wir wiederum den besten Wert fur den ICaus und damit haben wir alle Parameter bis auf das Steckerbrett bestimmt.

Stufe 3

Bei der Bestimmung der Steckerverbindungen geben wir immer eine neueSteckerverbindung dazu und beobachten, welche unsere Bewertungsstatistikbevorzugt. Hier hat Gillogly eine andere Statistik verwendet, die wir hiernicht genauer erklaren werden (siehe dazu [Gil95]).

96

Effizienz

Mit diesem Verfahren wurden einige praktische Tests durchgefuhrt. Dabeiwurden die Anzahl der Steckerverbindungen von 0 bis 13 variiert, und Nach-richten mit einer Lange von 161 bis 1463 Zeichen verwendet. Abbildung 5.14zeigt die Erfolgsquote bei verschiedenen Parametern an. Wie wir sehen istdie Erfolgsquote bei 10 Steckerverbindungen bei allen Nachrichten nahezu0%.

Abbildung 5.14: Erfolgsquote als Funktion verschiedener Parameter

Entscheidende Verbesserungen

Entscheidende Verbesserungen dieses Verfahrens wurden von Heidi Williamsin [Wil00] durchgefuhrt und getestet. Im neuen Verfahren werden nicht nurmehr die besten sechs Ergebnisse analysiert, sondern die besten 100 bis 3000Ergebnisse und dies fur die Stufe 2 und 3. Weiters wurde der statistische TestIC durch andere Tests ausgetauscht. Dabei erzielte die Sinkov Statistik die

97

besten Ergebnisse, welche wie folgt definiert ist:

S =m∑

i=1

ni ln pi

ni ist die Frequenz des Buchstabens ipi ist die Wahrscheinlichkeit des Auftretens des Buchstabens i in der Sprache

Mit diesem Verfahren konnen Nachrichten ab 450 Buchstaben und 10 Stecker-verbindungen zu 100% entschlusselt werden.

98

Kapitel 6

Der Simulator

6.1 Enigma-Simulator

Der Enigma-Simulator (JEnigma) ist in Java geschrieben und kann als Java-Applet oder als Applikation gestartet werden. Es wurde versucht die Maschi-ne und deren Bestandteile moglichst durch Objekte abzubilden und nichtnur abstrakte Regeln auszufuhren. Die wichtigsten Klassen befinden sich imPackage enigma.data.

6.1.1 package enigma.data

AbstractEnigma

Ist ein abstraktes Interface, welches alle fur eine Maschine erforderlichenEigenschaften definiert.

WireModule

Dieses Interface beschreibt ein verdrahtetes Modul 1 der Enigma. Stator undPlugboard sind solche Module. Diese Module implementieren eine involuto-rische Substitution.

Stator

Diese Klasse reprasentiert den Stator und bildet somit eine einfache Substi-tution.

126 Kontakte mit 26 Drahtverbindungen

99

Plugboard

Diese Klasse implementiert die Funktionalitat eines Steckerbretts. Es sind 0bis 13 Steckerverbindungen moglich.

ExtendedWireModule

Dies ist die Erweiterung des WireModule. Es hat zusatzlich eine Ringstellungund weitere Eigenschaften wie dunn, rotierbar, positionierbar. Rotor undReflector sind solche Module.

Rotor

Diese Klasse bildet eine Walze der Enigma nach. Sie enthalt zusatzlich In-formationen zu den Kerben, welche zur Walzenfortschaltung notig sind.

Reflector

Der Reflector hat ahnliche Eigenschaften wie der Rotor2, hat aber keine Ker-ben und ist nicht immer beliebig dreh- und positionierbar3.

Enigma

Dies ist eine Implementierung des abstrakten Interfaces AbstractEnigma,welche die vier Hilfs-Klassen Slot, RotorSlot, ReflectorSlot und StaticSlot

benotigt.

Slot

Diese Klasse ist ein abstraktes Interface, welches ein Element einer verlink-ten Liste reprasentiert. Als Element der Liste ist ein WireModule oder derenSubklassen vorgesehen. Damit kann eine geordnete Abfolge von Rotoren undanderen verdrahteten Modulen gebildet werden, durch die schließlich die ei-gentliche Verschlusselung realisiert wird.

RotorSlot

Dieser Slot nimmt einen Rotor auf. Hier ist implementiert wie sich der Rotorfortbewegt und welche Position er zur Zeit hat. Die Position eines Rotors wirdauch zur Berechnung des Verlaufs eines (Strom-) Signals verwendet.

2Der Rotor ist, im Gegensatz zum Reflektor, nicht involutorisch.3Diese Eigenschaft gibt an, ob der Reflektor vor der Verschlusselung einstellbar ist.

100

ReflectorSlot

Dieser Slot ist fur einen Reflector implementiert. Dabei konnen keine wei-teren Elemente in die Liste angehangt werden. Das Signal wird somit, wiebei der richtigen Enigma, zuruck geschickt.

StaticSlot

Dieser Slot kann Objekte vom Typ WireModule aufnehmen und ist fur dasPlugboard und den Stator zustandig.

6.1.2 Weitere packages

Im Package enigma befinden sich nur wenige Klassen, die zum Starten desSimulators dienen. Die Klasse EnigmaApplet startet den Simulator als App-let. EnimgaApplication startet den Simulator als normale Java-Applikationund ConsoleEnigma startet eine Konsolenapplikation.

enigma.data.persistent

In diesem Package befinden sich Klassen zum Laden von Maschinen-Konfi-gurationen aus XML-Dateien. Hier soll nicht weiter auf die Klassen selbsteingegangen werden. Wir beschranken uns auf eine Beschreibung des eigensfur den Simulator erstellten XML-Formats zur Definition der Eigenschafteneiner Enigma. In Abbildung 6.1 ist ein Ausschnitt aus einer XML-Datei zurDefinition einer Enigma (genauer einer Wehrmachts-Enigma) angegeben. Diegenaue Definition fur eine solche XML-Datei ist in der DTD4 in Abbildung 6.2gegeben.

4Document Type Definition

101

<enigma-set>

<enigma name="Wehrmacht" maxslots="3">

<description>

Wehrmacht-Enigma (Herr, Luftwaffe)

</description>

<rotors>

<rotor name="I" notch="Q">EKMFLGDQVZNTOWYHXUSPAIBRCJ</rotor>

<rotor name="II" notch="E">AJDKSIRUXBLHWTMCQGZNPYFVOE</rotor>

<rotor name="III" notch="V">BDFHJLCPRTXVZNYEIWGAKMUSQO</rotor>

<rotor name="IV" notch="J">ESOVPZJAYQUIRHXLNFTGKDCMWB</rotor>

<rotor name="V" notch="Z">VZBRGITYUPSDNHLXAWMJQOFECK</rotor>

</rotors>

<reflectors>

<reflector name="B">YRUHQSLDPXNGOKMIEBFZCWVJAT</reflector>

<reflector name="C">FVPJIAOYEDRZXWGCTKUQSBNMHL</reflector>

</reflectors>

<stator>ABCDEFGHIJKLMNOPQRSTUVWXYZ</stator>

<configuration>

<plugboard maxplugs="10">

<switch>AS</switch>

<switch>GN</switch>

<switch>UI</switch>

<switch>QM</switch>

<switch>EX</switch>

<switch>CK</switch>

</plugboard>

<rotor-config>

<rotor-position>IV.I.II</rotor-position>

<ground-setting>AAA</ground-setting>

<ring-setting>AAA</ring-setting>

</rotor-config>

<reflector-config name="B" />

</configuration>

</enigma>

...

</enigma-set>

Abbildung 6.1: Auszug aus der XML-Definition einer Enigma

102

<?xml version="1.0" encoding="us-ascii"?><!ELEMENT enigma-set (enigma*)>

<!ELEMENT enigma (plugboard?, rotors, reflectors?, stator?, configuration*)><!ATTLIST enigma name CDATA #IMPLIED><!ATTLIST enimga maxslots (3|4) "3"><!ATTLIST enigma plugboard (yes|no) "yes">

<!ELEMENT rotors (rotor*)><!ELEMENT rotor (#PCDATA)><!ATTLIST rotor name CDATA #IMPLIED><!ATTLIST rotor notch CDATA #IMPLIED><!ATTLIST rotor rotatable (yes|no) "yes"><!ATTLIST rotor ring (yes|no) "yes"><!ATTLIST rotor thin (yes|no) "no">

<!ELEMENT reflectors (reflector*)><!ELEMENT reflector (#PCDATA)><!ATTLIST reflector name CDATA #IMPLIED><!ATTLIST reflector rotatable (yes|no) "no"><!ATTLIST reflector settable (yes|no) "no"><!ATTLIST reflector ground-settings CDATA #IMPLIED><!ATTLIST reflector ring (yes|no) "no"><!ATTLIST reflector thin (yes|no) "no"><!ELEMENT stator (#PCDATA)>

<!ELEMENT configuration (plugboard?, rotor-config, reflector-config)><!ELEMENT plugboard (switch*)><!ATTLIST plugboard maxplugs (0|1|2|3|4|5|6|7|8|9|10|11|12|13) "10"><!ELEMENT switch (#PCDATA)>

<!ELEMENT rotor-config (rotor-position, ground-setting?, ring-setting?)><!ELEMENT rotor-position (#PCDATA)><!ELEMENT ground-setting (#PCDATA)><!ELEMENT ring-setting (#PCDATA)>

<!ELEMENT reflector-config><!ATTLIST reflector-config name CDATA #IMPLIED><!ATTLIST reflector-config ground-setting (A|B|C|D|E|F|G|H|I|J|K|L|M|N|

O|P|Q|R|S|T|U|V|W|X|Y|Z) "A"><!ATTLIST reflector-config ring-setting (A|B|C|D|E|F|G|H|I|J|K|L|M|N|O|

P|Q|R|S|T|U|V|W|X|Y|Z) "A">

Abbildung 6.2: DTD zur Definition von Enigma-Maschinentypen103

enigma.gui

In diesem Package befinden sich Klassen, welche die Funktionsweise der Enig-ma grafisch darstellen.

enigma.gui.config

In diesem Package befinden sich Klassen, welche Konfigurationsdialoge im-plementieren.

104

6.1.3 Bedienungsanleitung

Der Simulator wurde mit Unterstutzung des Schreibmaschinenmuseums Pe-ter Mitterhofer 5 entwickelt. Von dort stammen unter anderem alle Bilder,die im Simulator eingesetzt wurden.Nach dem Start des Simulators sollte zuerst die gewunschte Maschine aus-gewahlt werden. Dies kann unter dem Punkt Einstellungen vorgenommenwerden. In Abbildung 6.3 sieht man das Einstellungen-Fenster. Links oben

Abbildung 6.3: Enigma Simulator: Konfiguration einer Enigma

kann mit einer Auswahlbox die gewunschte Maschine (Enigma D, Enigma K,M3, M4, Reichsbahn, Wehrmacht, Enigma T) ausgewahlt werden. Darun-ter konnen durch verschiedene Kontrollelemente die Parameter Walzenlage,Ringstellung, Grundstellung eingestellt werden.

5siehe www.schreibmaschinenmuseum.com

105

Wechselt man nun zur Außenansicht ist eine Wehrmacht-Enigma mitSteckerbrett zu sehen (Abbildung 6.4).

Abbildung 6.4: Enigma Simulator: Außenansicht

106

Wie man sieht wurde hier schon ein Text eingetippt. Der Buchstabe Wwird gerade gedruckt und der Buchstabe G leuchtet im Lampenfeld auf. DieTasten konnen entweder mit der Maus oder uber die Tastatur gedruckt wer-den. Es werden nur die Buchstaben von A bis Z registriert. Mit der Ruckta-ste (backspace, ←) oder der Entfernen-Taste (delete) kann jeweils der letzteBuchstabe geloscht werden, dabei bewegen sich auch die Walzen in ihre vor-herige Position zuruck.Die Anderung der Grundstellung kann auch in dieser Ansicht erfolgen. Dazumuss man mit dem Mauszeiger uber eine der drei Walzen fahren, bis sich derZeiger in eine Hand mit ausgestrecktem Zeigefinger verwandelt. Nun kannman durch einen Mausklick die Grundstellung in eine der beiden Richtungenverandern. Dies ist in der Abbildung 6.5 genauer hervorgehoben.

Besitzt die Maschine ein Steckerbrett (Wehrmacht, M3, M4) kann dies durch

Abbildung 6.5: Enigma Simulator: Einstellen der Grundstellung

einen speziellen Dialog eingestellt werden. Dieser ist von der Außenansichtaus zuganglich. Bewegt man den Mauszeiger in den Bereich des Steckerbretts(unterhalb des Tastenfeldes) erscheint wieder eine Hand mit ausgestrecktemZeigefinger. Durch einen Mausklick offnet sich ein Fenster. In Abbildung 6.6ist dieses Fenster dargestellt.In diesem Fenster sieht man das Steckerbrett in der Draufsicht. Unten linkswird angezeigt wie viele Steckerverbindungen noch zur Verfugung stehen(noch 2 Stecker) und welche Verbindungen schon gemacht sind ((AS) (GN)(UI) (QM) (EX) (TH) (RZ) (PW)). Eine Verbindung wird im Brett durch

107

Abbildung 6.6: Enigma Simulator: Einstellen des Steckerbretts

zwei Stecker und eine farbiges Kabel dargestellt. Zum Setzen eines Steckersmuss der Mauszeiger uber einen leeren Kontakt bewegt werden, und nach-dem ein weißes Rechteck diesen umrandet (siehe Abbildung 6.7), kann ein

Abbildung 6.7: Enigma Simulator: Stecker setzen

108

neuer Stecker durch einen Mausklick gesetzt werden. Zum Erstellen einerVerbindung muss ein zweiter leerer Kontakt angeklickt werden.Das Entfernen einer Verbindung geschied auf eine ahnliche Weise: DurchAnklicken eines Steckers auf dem Steckerbrett.

In Abbildung 6.8 wird ein weiterer Ausschnitt aus der Außenansicht des Si-mulators angezeigt. Darin sieht man den Mauszeiger wie er auf eine Schrau-

Abbildung 6.8: Enigma Simulator: Offnen des Deckels

be6 zeigt. Wird der Mauszeiger in dieser Stellung gedruckt, kann damit derDeckel der Enigma entfernt werden.

In Abbildung 6.9 sieht man nun die Enigma ohne Deckel. In dieser Ansichtsind keine zusatzlichen Funktionen durchfuhrbar, man bekommt nur eineSicht auf die installierten Walzen und die Umkehrwalze B. Zum Schließendes Deckels reicht ein weiterer Klick in diesem Bereich.

Zum Schluss wollen wir noch die Innenansicht der Enigma genauer Betrach-ten, diese ist in Abbildung 6.10 dargestellt. Auf der linken Seite des Fenstersist die Walzeneinheit dargestellt. Diese besteht aus einer Umkehrwalze (ganzlinks), mehreren Walzen (3-4, in der Mitte) und der Eintrittswalze (ganzrechts). Unter der Walzeneinheit befinden sich zwei Textfelder, welche diebisher eingetippte Nachricht anzeigen. Auf der rechten Seite ist das Lampen-feld (oben), das Tastenfeld (Mitte) und falls gegeben das Steckerbrett (unten)schematisch dargestellt. Zwischen den Tasten und den Lampen befindet sich

6Diese dient zum Offnen des Deckels

109

Abbildung 6.9: Enigma Simulator: Außenansicht ohne Deckel

die Stromquelle (Batterie), dargestellt durch zwei horizontale Linien. Von hieraus breitet sich der Strom aus. Die grune Linie zeigt den Weg des Stromeszu den Walzen, die rote Linie zeigt den Weg von den Walzen zuruck an. Wei-ters sehen wir den Buchstaben W invertiert eingezeichnet, von dort fuhrt dieLinie weiter zum Steckerbrett (Buchstabe W), von wo aus der Strom weiterzum Buchstaben P fließt. Vom P aus bewegt sich die Linie weiter zur Wal-zeneinheit. Dort wird zuerst die Eintrittswalze durchquert. Die Verbindung

110

Abbildung 6.10: Enigma Simulator: Innenansicht

111

von einer Walze zur nachsten ist durch zwei halbe Kreisscheiben dargestellt.Nachdem die rote Linie wieder aus der Walzeneinheit heraustritt, fuhrt siedurch das Steckerbrett direkt zum Lampenfeld wo der Buchstabe C aufleuch-tet.

6.1.4 Ausblick

Der Simulator funktioniert deckt die Modelle Enigma D, Enigma K, Mari-ne Enigma M3, Marine Enigma M4, Reichsbahn-Enigma und Wehrmachts-Enigma ab. Das Abwehr-Modell ware durch eine kleine Anpassung auchmoglich. Altere Modelle, deren Funktionsweisen sich mehr unterscheiden,sind nicht mehr implementierbar, da die genauen internen Daten nicht mehrbekannt sind.

112

6.2 Bomben-Simulator

Der Bomben Simulator bildet die Funktionsweise einer Turing-Welchman-Bombe nach. Dazu wurden zwei verschiedene Implementierungen gemachter-stellt; eine in Java und eine in C.

6.2.1 Bombe - Implementierungsdetails

Die beiden Implementierungen basieren im wesentlichen auf dem gleichenPrinzip. Jede Bombe hat zumindest folgende Variablen bzw. Attribute (diein der weiteren Beschreibung verwendet werden):

bombeBus: Eine 26×26-Matrix, die den Zustand (Strom oder kein Strom)jeder Leitung in jedem Bus enthalt.

connectionMatrix: Eine 26× 26-Matrix in der der Graph (das Menu) ge-speichert ist, nach dem die Bombe arbeiten soll.

enigma: Eine Instanz der Klasse Enigma, welche die eigentliche Verschlusse-lung vornimmt.

testBus: Gibt den Bus an der getestet werden soll. Dazu wird der am haufig-sten im Graph vorkommende Buchstabe genommen.

registerBus: Das Register, das den Testbus darstellt.

Im wesentlichen funktioniert die Bombe folgendermaßen:Als Basis fur einen Bombendurchlauf dient das Menu. Dieses ist im Prin-zip ein Graph, der aus einem Crib (Ansatz) gewonnen wurde. Wir erinnernuns: Ein Ansatz ist eine chiffrierte Textstelle, die mit einem wahrscheinlichenWort uberlagert wurde. Der (ungerichtete) Graph wird nun gebildet, indemein Buchstabenpaar die “Koordinaten“ in der Matrix des Graphes angibtund die Position des Paares das Kantengewicht darstellt. Weiters muss nochder Typ der Maschine und deren Walzen definiert werden.Nun wird fur jede Walzenlage und Position der Algorithmus in Abbildung 6.11angewandt. Dabei wird die Stromausbreitung einer richtigen Bombe simu-liert. Zuerst wird fur die aktuelle Walzenlage die Enigma vorbereitet. ZurPerformanzsteigerung werden fur alle Buchstaben (A-Z) alle moglichen Po-sitionen der aktuellen Lage mit einer Enigma vorausberechnet. Dies erforderteine Tabelle von 17576 × 26 Werten7. Ist diese Tabelle einmal erstellt kann

7Zusatzlich zu den 17576 Zeilen werden entsprechend der Lange n des wahrscheinlichenWortes die ersten n Zeilen an die Tabelle angehangt, damit bei der Uberprufung der letztenEintrage keine modulo Berechnungen notig werden.

113

01 protected void enableSignalOnBus(int bus, int line) {02 if (registerFull)03 return;04 if (!bombeBus[bus][line]) {05 bombeBus[bus][line] = true;06 if ((bus == testBus) && (scrambleCounter > 350))07 if (count(registerBus, true) == 26) {08 registerFull = true;09 return;10 }11 int[] matrix = connectionMatrix[bus];12 for (int i = 0; i < 26; i++) {13 int pos = matrix[i];14 if (pos != Graph.EMPTY) // is connected?15 enableSignalOnBus(i, encode(pos, line));16 if (registerFull)17 return;18 }19 enableSignalOnBus(line, bus);// ’diagonal board’20 }21 }

Abbildung 6.11: Ablauf der “Stromausbreitung“

es mit dem eigentlichen Algorithmus losgehen. Eine Variable zeigt den aktu-ellen Index fur die Tabelle an. Fur jede Zeile der Tabelle wird die VariablebombeBus neu initialisiert und die Methode enableSignalOnBus(testBus,

testBus) aufgerufen. Damit wird das Anlegen einer Spannung auf dem test-Bus simuliert. Wir befinden uns jetzt in der rekursiven Methode, die in derAbbildung 6.11 dargestellt ist. Durch die Zeilen 2–3, 6–10 und 16–17 wirdein vorzeitiger Stop bei einer falschen Position erkannt und durchgefuhrt.Dazu werden die Leitungen mit Spannung des zu testenden Buses (bei derrichtigen Bombe war dieser mit 26 Gluhlampen verbunden) gezahlt, bei 26kann abgebrochen werden.In Zeile 4 wird uberpruft, ob die Leitung im Bus schon aktiviert wurde.Wenn nicht wird sie aktiviert (Zeile 5). Anschließend werden alle Leitun-gen, die durch einen Vertauscher verbunden sind, unter “Strom gesetzt“.encode(pos, line) stellt einen Vertauscher dar, pos gibt seine Nummeran, line stellt das Eingabezeichen dar. Der Ruckgabewert gibt schließlichjene Leitung an, die mit der gerade aktivierten Eingangsleitung verbunden

114

ist und somit auch unter Strom stehen sollte. In der Zeile 19 ruft sich dieMethode selbst rekursiv auf. Dabei werden nur die beiden Parameter bus

und line vertauscht. Dies hat die selbe Funktion wie das Diagonal Boardbei der richtigen Bombe (man betrachte dazu die Verbindungen des DiagonalBoard in der Abbildung 5.11).Wurde diese Methode (enableSignalOnBus) beendet, so wurden alle Leitun-gen aktiviert die auf irgend eine Weise mit der Testleitung verbunden waren.

Zur Auswertung werden jetzt alle aktivierten Leitungen des Testbuses gezahlt.Wurde nur eine Leitung (d.h. die von uns aktivierte) aktiviert, so haben wirdie richtige Walzenposition gefunden und zusatzlich wissen wir, dass dieserBuchstaben nicht “gesteckert“ war. Zahlen wir genau 25 aktive Leitungen,haben wir auch die richtige Position gefunden. Zusatzlich konnen wir darausschließen, dass unsere Testleitung (Testbuchstabe), bei der Verschlusselung,mit der nicht aktiven Leitung durch das Steckerbrett verbunden war. Ak-tivieren wir jetzt nacheinander jede Leitung mit enableSignalOnBus, dannerhalten wir fur jeden Buchstaben die Steckerverbindung.

Die C-Variante entstand mit Hilfe der Ideen und dem Code der Bombe vonvon Nik Shaylor8.

6.2.2 Graphische Darstellung

Die Bombe wurde noch erweitert. Sie lauft in einem eigenen Thread (Java-Thread) und kann von außen gesteuert werden. Dabei konnen sogenannteBreakpoints gesetzt werden, d.h. Punkte, an dem die Verarbeitung anhaltensoll. Bei einem Bombenstop, neuer Walzenlage, neuer Walzenposition und beider Aktivierung einer Leitung kann die Bombe jeweils anhalten. Somit kanndie Durchsuchung des Schlusselraums und die Mechanismen in der Bombeeinfach gesteuert werden. Die Bombe wurde zur SteppingBombe erweitert.

Zur eigentlichen Benutzung der Bombe wurde ein graphischer Wizard ent-wickelt, der im wesentlichen aus vier Schritten besteht. In Schritt 1 (sie-he Abbildung 6.12) muss die zu verwendende Maschine ausgewahlt werden,denn verschiedene Maschinen haben verschiedene Walzensatze. Eine chiffrier-te Nachricht kann dann eingegeben und ein wahrscheinliches Wort angegebenwerden. Weitere Parameter sind optional.In Schritt 2 (siehe Abbildung 6.13) wird ein Menu zum Laufen der Bombe

festgelegt. Dazu kann das wahrscheinliche Wort entlang des chiffrierten Tex-tes bewegt werden. Treten Konflikte auf, das heißt ein Buchstabenpaar istidentisch, werden diese rot markiert, denn diese Lage kann nicht zum Ziel

8http://frode.home.cern.ch/frode/crypto/Shaylor/bombe.html

115

fuhren. Unterhalb wird der Graph angezeigt, der aus dem aktuellen Ansatzgebildet wurde. Bei der Darstellung des Graphen konnen die Richtungen ein-gezeichnet oder weggelassen werden, weiteres kann angegeben werden, ob nurSchleifen oder auch einzelne Kanten oder Ketten dargestellt werden sollen.Zusatzlich gibt es noch zwei Moglichkeiten den Ansatz zu manipulieren:

1. Mit “Crib teilen“ wird der Ansatz in der Mitte geteilt (angezeigt durcheine vertikale Linie). Damit kann ein zu langes Menu in zwei Menusaufgeteilt werden.

2. Durch zwei Auswahlboxen kann die linke und rechte Grenze des An-satzes verschoben werden.

In Abbildung 6.14 ist der interne Aufbau einer Bombe als schematische Gra-fik dargestellt. Auf der linken Seite befindet sich ein Satz von nummeriertenVertauschern, die durch Linien miteinander verbunden sind. Jede Linie stelltein Bundel von 26 Leitungen dar. Jedes Bundel, auch als Bus bezeichnet,wird durch einen Buchstaben gekennzeichnet. Jeder Bus kann durch einenVertauscher mit einem anderen Bus verbunden sein. Weiters werden alle Bus-se mit dem Diagonal board auf der rechten Seite verbunden (dies wird durcheine Halbkreis angezeigt). Ein ausgewahlter Bus (der Testbus) wird zusatz-lich zu einem “Register“ gefuhrt.Das Testregister befindet sich rechts unten und besteht aus 26 Gluhlam-pen und Schaltern. In der untersten Zeile des Testregisters befinden sich 26schwarze Kreise. Sobald die Bombe lauft wird, je nach Menu, ein Kreis gelbmarkiert. Damit wissen wir, dass “Strom“ auf dieser Leitung fließt. Oberhalbgibt es die gleiche Anzahl von Lampen (durch einen Kreis mit einem Kreuzdargestellt). Fließt Strom durch eine Leitung des Testregisters, so leuchtetdie dazugehorige Lampe auf.Wie schon erwahnt befindet sich daruber das Diagonal board. Dieses bestehtaus einer Tafel mit 26 × 26 Steckern. Vor dem Betrieb der Bombe werdenalle im Menu vorkommenden Buchstaben mit jeweils allen anderen Buchsta-ben verbunden. Dies geschieht mit Leitungen die diagonal uber das boardgefuhrt werden. Sollte eine Leitung wahrend dem Betrieb der Bombe unter“Spannung“ stehen, so wird diese auch gelb markiert.

Die Steuerung der Bombe wird durch drei Buttons realisiert. Ein Play-Button,ein Pause-Button und ein Stop-Button. Durch den Play-Button wird dieBombe aktiviert und lauft bis zum nachsten definierten Haltepunkt. DerPause-Button halt die Bombe wahrend ihrer Durchfuhrung an, durch Playkann sie wiederum fortgesetzt werden. Durch ein Stop wird die Bombe ange-halten und alle Werte werden auf ihren Startwert gesetzt.

116

Die vorher erwahnten Haltepunkte konnen durch die vier Kontrollkastcheneingestellt werden. Dabei bedeutet “Bombenstops“, dass die Bombe anhaltensoll, sobald ein Ergebnis erzielt wurde, “Walzenlage“, sobald eine neue Wal-zenlage eingenommen wird und “Walzenposition“, sobald eine neue Positioneingenommen wurde. Wenn das Kontrollkastchen “Vertauscher“ angekreuztist, soll die Bombe immer dann anhalten, wenn Strom durch einen Vertau-scher fließt.

In Abbildung 6.15 ist eine echte Bombe von außen abgebildet. Dabei sind dieWalzensatze fur den aktuellen Job farblich9 hervorgehoben. Ein Vertauscherbesteht aus drei Walzen, welche vertikal ubereinander liegen. Uber den dreiWalzen befindet sich jeweils eine “Umkehrwalze“.

9Bei der echten Bombe hatte jede der acht Walzen eine bestimmte Farbe.

117

Abbildung 6.12: Bombe-Wizard 1

118

Abbildung 6.13: Bombe-Wizard 2

119

Abbildung 6.14: Bombe-Wizard 3

120

Abbildung 6.15: Bombe-Wizard 4

121

Anhang A

Glossar

Chiffrierschritt: Ein Chiffrierschritt χi ist Teil eines Chiffrierschritt-Systemsund ist folgendermaßen definiert:

χi : V (ni) 99K W (mi)

Wobei V der Zeichenvorrat des Klartextes und W der Zeichenvorrat desGeheimtextes ist. ni gibt an wie viele Zeichen in der Funktion verwendetwerden. Weiters existieren verschiedene Eigenschaften, mit denen dieseRelation genauer charakterisierbar ist.

monoalphabetisch: Eine Chiffrierung heißt monoalphabetisch, wenn sie le-diglich einen einzigen Chiffrierschritt benutzt. In der Praxis bedeutetdas, dass nur ein Alphabet verwendet wird. Eines der einfachsten undbekanntesten monoalphabetischen Verfahren ist das Caesar-Verfahren(benutzt von Julius Caesar). Dabei wird das Standardalphabet um dreiBuchstaben verschoben. In Substitutionsschreibweise schaut dies fol-gendermaßen aus:(

abcdefghijklmnopqrstuvwxyz

defghijklmnopqrstuvwxyzabc

)polyalphabetisch: Eine Chiffrierung heißt polyalphabetisch, wenn sie meh-

rere Chiffrierschritte benutzt. Das bekannteste Beispiel eines solchenVerfahrens ist das Vigenere Verfahren. Darin werden 26 verschiedeneAlphabete verwendet. In Tabelle A.1 sind diese Alphabete im sogenann-ten Vigenere-Quadrat festgehalten. Zum Verschlusseln eines Buchsta-bens wird nun jeweils ein anderes Alphabet (1-26) fur die Substitutionverwendet. Die Reihenfolge der Alphabete wird durch ein Kodewortdefiniert. Das Kodewort “geheim“ wurde somit folgende zyklische Rei-henfolge ergeben: 7, 5, 8, 5, 9, 13.

122

i a b c d e f g h i j k l m n o p q r s t u v w x y z1 B C D E F G H I J K L M N O P Q R S T U V W X Y Z A2 C D E F G H I J K L M N O P Q R S T U V W X Y Z A B3 D E F G H I J K L M N O P Q R S T U V W X Y Z A B C4 E F G H I J K L M N O P Q R S T U V W X Y Z A B C D5 F G H I J K L M N O P Q R S T U V W X Y Z A B C D E6 G H I J K L M N O P Q R S T U V W X Y Z A B C D E F7 H I J K L M N O P Q R S T U V W X Y Z A B C D E F G8 I J K L M N O P Q R S T U V W X Y Z A B C D E F G H9 J K L M N O P Q R S T U V W X Y Z A B C D E F G H I10 K L M N O P Q R S T U V W X Y Z A B C D E F G H I J11 L M N O P Q R S T U V W X Y Z A B C D E F G H I J K12 M N O P Q R S T U V W X Y Z A B C D E F G H I J K L13 N O P Q R S T U V W X Y Z A B C D E F G H I J K L M14 O P Q R S T U V W X Y Z A B C D E F G H I J K L M N15 P Q R S T U V W X Y Z A B C D E F G H I J K L M N O16 Q R S T U V W X Y Z A B C D E F G H I J K L M N O P17 R S T U V W X Y Z A B C D E F G H I J K L M N O P Q18 S T U V W X Y Z A B C D E F G H I J K L M N O P Q R19 T U V W X Y Z A B C D E F G H I J K L M N O P Q R S20 U V W X Y Z A B C D E F G H I J K L M N O P Q R S T21 V W X Y Z A B C D E F G H I J K L M N O P Q R S T U22W X Y Z A B C D E F G H I J K L M N O P Q R S T U V23 X Y Z A B C D E F G H I J K L M N O P Q R S T U V W24 Y Z A B C D E F G H I J K L M N O P Q R S T U V W X25 Z A B C D E F G H I J K L M N O P Q R S T U V W X Y26 A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

Tabelle A.1: Vigenere-Quadrat

Substitution: Eine Substitution ist eine Abbildung von der allgemeinenForm V (n) 99K W (m). Substitutionen konnen verschiedene Eigenschaf-ten annehmen. Einige Spezialfalle sind: involutorische Substitution,Permutationen, Transpositionen.

Involutorisch: Eine Chiffrierung wird involutorisch genannt, wenn der Chif-frierschritt gleich dem Dechiffrierschritt ist. D.h bei nochmaliger An-wendung der Chiffrierung erhalt man wieder den Klartext. Ist ein Sy-stem echt involutorisch, dann existieren keine Einerzyklen (kein Zei-chen wird durch sich selbst verschlusselt), sondern nur Zweierzyklen.Die Enigma-Chiffrierung ist echt involutorisch.

123

Permutation: Von einer Permutation spricht man, wenn die Abbildung dieForm V ↔ V hat. Das bedeutet Klartext und Geheimtext bestehenaus dem selben Alphabet und die Substitutionen sind eindeutig. Somitwerden zur Dechiffrierung die selben Schritte angewandt.

Transposition: Eine Transposition ist eine spezielle Art der Substitution.Dabei werden die Klartextzeichen nach einem definierten Schema ver-tauscht (verwurfelt).

Isomorph: Die zwei Texte (a1, a2, a3, ...) und (b1, b2, b3, ...) heißen isomorph,wenn ai = biS gilt, und dabei S eine feste Substitution ist.

Ringstellung: Die Ringstellung kann fur jede Walze (manchmal auch furdie Umkehrwalze) eingestellt werden. Jede Walze besteht aus zwei Tei-len: Dem Kern (mit den Verdrahtungen fur die Substitution) und demBuchstaben-Zylinder (zeigt die aktuelle Position der Walze an und be-einflusst die Fortbewegung). Die Ringstellung stellt nun die relativeLage zwischen Kern und Buchstaben-Zylinder dar.

Grundstellung: Die Grundstellung wird fur alle Walzen gesetzt. Dabei wirdeine Walze so lange gedreht bis die gewunschte Stellung (z.B. QFU) inder Anzeige aufscheint.

Walzenlage: Die Walzenlage definiert, an welcher Stelle eine Walze in derMaschine eingesetzt ist. Jede Walze kann an eine der drei Stellen (Links,Mitte, Rechts) liegen. Die Lagen werden auch mit RN (Links), RM

(Mitte), RL (Rechts) bezeichnet.

Spruchschlussel: Fur jede neue Nachricht wird ein zufalliger Schlussel aus-gewahlt. Dieser Schlussel besteht aus einer Grundstellung fur die Wal-zen. Spruchschlussel werden meist verschlusselt ubertragen oder einfachunverschlusselt einer Nachricht vorangestellt.

Tagesschlussel: In einem Tagesschlussel sind alle Parameter zur Einstel-lung der Enigma definiert. Er besteht in den meisten Fallen aus Wal-zenlage, Grundstellung, Ringstellung und Steckerbretteinstellung.

Schlusselsystem: Das Enigma-System besteht aus zwei Komponenten: Dereigentlichen Chiffrier-Maschine Enigma und einem Schlusselsystem. Durchdas Schlusselsystems werden die Schlussel fur die eigentliche Verschlusse-lung bestimmt. Fur die verschiedenen Funknetze wurden auch verschie-dene Schlusselsysteme (siehe Indikatorsysteme) verwendet.

124

6-Buchstaben Indikatorsystem, verdoppelter Spruchschlussel: DiesesIndikatorsystem wurde bis zum Jahr 1938 eingesetzt. In einem Schlussel-buch sind alle geheimen Tagesschlussel notiert. Die Walzenlage, Grund-stellung, Ringstellung und die Steckerverbindungen werden jeden Tagneu eingestellt. Fur jede Nachricht wird ein zufalliger Spruchschlusselgewahlt. Dieser wird nun zweimal hintereinander angeschrieben (ver-doppelt) und mit der Grundstellung des Tages chiffriert. Die eigentlicheNachricht wird nun mit dem Spruchschlussel als Grundstellung chif-friert und zusammen mit dem chiffrierten Spruchschlussel ubertragen.

9-Buchstaben Indikatorsystem: Dieses Indikatorsystem ist ahnlich dem6-Buchstaben Indikatorsystem. Der Unterschied besteht darin, dass kei-ne Grundstellung im Schlusselbuch definiert ist. Es wird eine zufalligeGrundstellung gewahlt und der Nachricht unverschlusselt vorangestellt.Dieses System wurde am 15. September 1938 eingefuhrt.

6-Buchstaben Indikatorsystem: Dieses System ist mit dem 9-BuchstabenIndikatorsystem identisch. Der einzige Unterschied besteht darin, dassder Spruchschlussel nicht verdoppelt wurde. Erstmals wurde dieses Sy-stem am 1. Mai 1940 eingesetzt.

Spruchschlusselverdopplung: Von einer Spruchschlusselverdopplung sprichtman wenn ein Spruchschlussel zweimal hintereinander angeschriebenwird.

125

Literaturverzeichnis

[Bau00a] Friedrich L. Bauer. Entzifferte Geheimnisse: Methoden und Ma-ximen der Kryptologie. Springer-Verlag Berlin Heidelberg, dritteuberarbeitete u. erweiterte edition, 2000.

[Bau00b] Friedrich L. Bauer. Marian Rejewski und die Alliierten im Angriffgegen die Enigma. Informatik-Spektrum, 5(23):325–333, Oktober2000.

[Bir00] Alex Biryukov. Cryptanalysis of Enigma, Lectures 4,5. 2000.Lecture notes taken by Jason Friedman,http://www.esat.kuleuven.ac.be/~abiryuko/Cryptan/enigma le-ture.ps.

[Blo87a] Gilbert Bloch. Enigma Before ULTRA Polish Work and the FrenchContribution. Cryptologia, XI(3), July 1987. Translated by C. A.Deavours.

[Blo87b] Gilbert Bloch. Enigma Before ULTRA The Polish Success AndCheck (1933-1939). Cryptologia, XI(4), October 1987. Translatedby C. A. Deavours.

[Blo88] Gilbert Bloch. Enigma Avant ULTRA (Enigma Before ULTRA).Cryptologia, XII(3), July 1988. Translated by C. A. Deavours.

[Car02a] Frank Carter. Rodding. 2002. A description of the rodding tech-nique.http://www.bletchleypark.org.uk/rodding.pdf.

[Car02b] Frank Carter. The Abwehr Enigma Machine. 2002. A descriptionof the Abwehr machine and its analysis.http://www.bletchleypark.org.uk/abwehr.pdf.

[Car03a] Frank Carter. Buttoing Up. 2003. A method for recovering thewiring of the rotors used in a non-stecker Enigma.http://www.bletchleypark.org.uk/buttoningup.pdf.

126

[Car03b] Frank Carter. From Bombe stops to Enigma keys. 2003. Thefollowing notes attempt to describe some of the difficulties thatcould arise at different stages of the task and the methods thatwere employed to deal with them.http://www.bletchleypark.org.uk/bombestops.pdf.

[Dea95] Cipher A. Deavours. The autoscritcher. Cryptologia, XIX(2), April1995.

[DK85] Cipher A. Deavours and Louis Kruh. Machine Cryptography andModern Cryptanalysis. Artech House, Norwood, Mass., 1985.

[DK90] Cipher A. Deavours and Louis Kruh. The Turing Bombe: Was itenough? Cryptologia, XIV(4), October 1990.

[DK02] Cipher A. Deavours and Louis Kruh. The Commercial Enigma:Beginnings of Machine Cryptography. Cryptologia, XXVI(1), Ja-nuary 2002.

[Eni45] The tentative list of enigma and other machine usages. Technicalreport, Marz 1945. Edited by Tony Sale,http://www.codesandciphers.org.uk/documents/eusage/usage.pdf.

[Geb] Chiffriermaschinen Aktiengesellschaft, Berlin. Enigma Chiffrier-maschinen. Gebrauchsanleitung zur kommerziellen Enigma.

[Geb37] Gebrauchsanleitung fur die Chiffriermaschine Enigma. Berlin, Ja-nuar 1937. Geheim, H. Dv. g. 13.

[Gil95] James J. Gillogly. Ciphertext-only Cryptanalysis of Enigma. Cryp-tologia, XIX(4):405–423, October 1995.

[GS93] R. Ganesan and A. T. Sherman. Statistical Techniques for Lan-guage Recognition. Cryptologia, XVII(4):321–326, October 1993.

[GS94] R. Ganesan and A. T. Sherman. Statistical Techniques for Lan-guage Recognition: An Empirical Study using real and SimulatedEnglish. Cryptologia, XVIII(4):289–331, October 1994.

[Ham97] David H. Hamer. Enigma: Actions involved in the ’double stepping’of the middle rotor. Cryptologia, XXI(1), January 1997.

[Ham00] David H. Hamer. An Abwehr Enigma. Cryptologia, XXIV(1),January 2000.

127

[Hod92] Andrew Hodges. Alan Turing: The Enigma. Vintage, London,1992.

[HSW98] David H. Hamer, Geoff Sullivan, and Frode Weierud. Enig-ma Variations: An Extended Family of Machines. Cryptologia,XXII(3):211–229, January 1998.

[Joh78] Brian Johnson. Streng Geheim, Wissenschaft und Technik imZweiten Weltkrieg. British Broadcasting Corporation, 1978.

[Kah79] David Kahn. The Codebreakers. MacMillan, New York, NY, 9.print edition, 1979. the story of secret writing.

[Kah93] David Kahn. An Enigma Chronology. Cryptologia, XVII(3), July1993.

[Mil95] A. R. Miller. The Cryptographic Methods in Cryptanalysis. Cryp-tologia, XIX(1):65–80, January 1995.

[Rej80] Marian Rejewski. An Application of the Theory of Permutations inBreaking the Enigma Cipher. Applicationes Mathematicae, 16(4),1980.

[Sal00] Tony Sale. Making the Enigma ciphers for the film ’Enigma’. 2000.An example how to use short signals (Kurzsignale) to break thecode of an M4.http://www.codesandciphers.org.uk/enigmafilm/index.htm.

[Sch40a] Oberkommando der Kriegsmarine, Berlin. Der Schlussel M: Ver-fahren M Allgemein, August 1940. Geheim, M. Dv. Nr. 32/1.

[Sch40b] Oberkommando der Wehrmacht, Berlin. Schlusselanleitung zurSchlusselmaschine Enigma, Januar 1940. Geheim, H. Dv. g. 14.

[SM01] Hugh Sebag-Montifiore. Enigma, The Battle for the Code. Phoenix,paperback edition, 2001.

[Tur44] Alan M. Turing. Turing’s Treatise on Enigma. Technical report,1944. http://frode.home.cern.ch/frode/crypto/Turing/.

[US 45] The US 6812 Bombe Report. Technical report, 6812TH SignalSecurity Detachment, US Army, Juni 1945. Edited by Tony Sale.

[Wil00] Heidi Williams. Applying Statistical Language Recognition Techni-ques in the Ciphertext-only Cryptanalysis of Enigma. Cryptologia,XXIV(1):4–17, January 2000.

128

Index

11-15-17 Modell, siehe Abwehr-Enigma

Abwehr-Enigma, 29

ban, 91Banburismus, 90Biuro Szyfroow, 5Bletchley Park, 8, 71Bomba, 64

modifizierte Version, 71–73Bombe, siehe Turing-Welchman-BombeBritish Tabulating Machine Com-

pany, 73

C-38, 30canvasses, 71characteristic set, siehe Charakte-

ristikCharakteristik, 39Charakteristik-Methode, 54cillies, 86Ciphertext-only, 94clock method, siehe Uhrzeigerme-

thodecrib, 74, 80

Damm, Arvid, 4Deuxieme Bureau, 5diagonal board, 80–81Doppel-Schritt Anomalie, 14double step anomaly, siehe Doppel-

Schritt Anomalie

EnigmaAbwehr-, siehe Abwehr-Enigma

Fortbewegungsmechanismus, 13Gleichungen, 43Lampenfeld, 17Marine, siehe Marine EnigmaReichsbahn-, siehe Reichsbahn-

EnigmaSchlusselbuch, 21Schlusselraum, 20Stromfluss, 17Tastenfeld, 16, 42Wehrmacht-, siehe Wehrmacht-

EnigmaEnigma-Gleichung, 28Enigma-Substitution, 72Enigma A, 23Enigma B, 24Enigma C, 24Enigma D, 25Enigma I, 26Enigma II, 28

female, siehe Weibchen, 60Fixpunkt, 64, 76Friedman, William F., 49Funkschlussel C, 5, 26

GC&CS, 71Green, 30Griechenwalze, 29, 89Grundstellung, 19–23, 38, 54, 57,

60, 85, 86, 124

H-M-Faktor, 81Hagelin, Boris, 4

129

Hebern, Edward, 4Herivel tips, 86

IC, siehe index of coincidenceindex of coincidence, 49–50, 94Invarianzsatz, 50isomorph, 32, 33, 36, 67, 124Isomorphie-Methode, 31, 53

Jeffreys sheets, 71

Kappa, 49Werte fur versch. Sprachen, 50

KerbeLagen, 52

Koch, Hugo, 4

M-209, 30M-325, 30M3, 29, 89M4, 29, 89methode des batons, 31–36, 43Marine Enigma, 29

negative Mustersuche, 74Trefferwahrscheinlichkeit, 75

Nute, 13

Permutation, 9, 38, 123Fixpunkt einer, 59Satz uber Gruppen, 54

PermutationenProdukt von, 38–40, 60

Permutationen, Isomorphismus von,45

Ruckkopplungsplan, 77Rozycki, Jerzy, 6Reichsbahn-Enigma, 29Rejewski, Marian, 6, 38, 40Ringstellung, 124Room 47, 71rotiertes Alphabet, 9

Rotor, siehe Walze

Scherbius, Arthur, 1, 4Schmidt, Hans-Thilo, 6, 37scrambler, double-ended, 71Sinkov Statistik, 97Spruchschlussel, 21–22, 124

Dechiffrierung der, 38–42stereotype, 40, 41

Spruchschlusselverdopplung, 125Station X, 71Steckerbrett, 15

mogliche Permutationen, 16Substitution, 123

involutorisch, 123involutorische, 2, 15, 28, 33, 36,

38, 74, 77monoalphabetisch, 122monoalphabetische, 9, 32, 33polyalphabetisch, 122polyalphabetische, 13, 32, 50

Superimposition, 49, 52, 90

Tagesschlussel, 21, 22, 37, 38, 57,86, 124

Testregister, 78Transposition, 40, 43, 45, 53, 124Triton, 8Turing, Alan M., 8, 71, 90Turing-Welchman-Bombe, 73

Effizienz, 81Stopps, 81–82

Typex, 30

Uhr Box, 28Uhrzeigermethode, 52Ultra, 8Umkehrwalze D, 28

Walze, 12Bestimmung der Verdrahtung,

43–47

130

Walzenfortbewegung, 13Walzenlage, 124Wehrmacht-Enigma, 28Weibchen, 40, 59, 64weight of evidence, 91

Zeichenkoinzidenz, 49Zygalski, Hendryk, 6, 60Zygalski-Lochblatter, 60–63Zyklometer, 54–56

131