Durch Kryptanalyse der Enigma gelang es den Alliierten bereits vor und auch während des Zweiten Weltkriegs die mithilfe dieser Rotor-Chiffriermaschine verschlüsselten deutschen Funksprüche erfolgreich zu entziffern.
Kryptographische Schwächen mini|Eine der vielen kryptographischen Schwächen war die viel zu geringe Anzahl von auswechselbaren Rotoren. Bei der Enigma I gab es nur zwei „Extra“-Walzen, hier mit IV und V markiert, also in Summe lediglich fünf. Basis für die erfolgreiche Kryptanalyse der Enigma und die anschließende nahezu kontinuierliche Entzifferung des mit dieser Schlüsselmaschine verschlüsselten deutschen Nachrichtenverkehrs waren kryptographische Schwächen, die offenbar von deutscher verantwortlicher Seite nicht erkannt wurden.Nigel West: Codeword Overlord – Axis Espionage and the D‑Day Landings. The History Press, 2022, ISBN 978-0750989930, S. 51. Zu den wesentlichen Schwachpunkten der Enigma I gehören:
Fixpunktfreie Permutation – Kein Buchstabe wird als er selbst verschlüsselt. Selbstinverse Permutation – Die Chiffrierung ist involutorisch. Reguläre Rotation – Die Fortschaltung der Walzen ist odometrisch. Kleiner Walzensatz – Nur drei nebeneinanderliegende Rotoren. Wenige Austausch-Walzen – Außer den drei ursprünglichen (I, II, III) nur zwei weitere (IV und V). Starre Umkehrwalze – Diese ist fest eingebaut, fest verdrahtet und rotiert nicht. Involutorisches Steckerbrett – Das außerhalb des Walzensatzes angeordnete Steckerbrett vertauscht Buchstabenpaare reziprok.
Ein Teil dieser Schwächen wurde bei späteren Modellen gelindert. So bestand das Walzensortiment bei der ab 1940 von der Kriegsmarine eingesetzten Enigma‑M3 aus acht (statt nur fünf Walzen). Und ab 1941 wurde dort die „Form M4“ eingeführt, bei der vier (statt nur drei) Rotoren sich nebeneinander im Walzensatz befanden. Im Jahr 1944 wurde bei der Luftwaffe eine „stöpselbare“ Umkehrwalze D sporadisch verwendet. Gegen Kriegsende kam die innovative „Lückenfüllerwalze“ nicht mehr zum Einsatz.
Wären alle diese Verbesserungen bereits Anfang der 1930er-Jahre implementiert worden, statt erst in den 1940ern, dann wäre die Kryptanalyse wesentlich erschwert worden und das Brechen der Enigma womöglich nicht geglückt – aber das sind Spekulationen. Tatsache ist, dass die Maschine die genannten kryptographischen Schwächen aufwies. Darüber hinaus unterliefen den deutschen Betreibern diverse Verfahrensfehler, wie beispielsweise die Spruchschlüsselverdopplung, wodurch der Einbruch in die Enigma-Verschlüsselung weiter erleichtert wurde.
mini|Die Umkehrwalze hat nur Kontakte auf einer Seite und sorgt so dafür, dass der Strom die rotierenden Walzen ein zweites Mal durchläuft. Sie verursacht eine der kryptographischen Schwächen der Enigma. Ein elementares Beispiel für eine systembedingte Schwäche ist die am linken Rand des Walzensatzses angeordnete Umkehrwalze (UKW), also der Reflektor, der den zunächst von rechts nach links durch den Walzensatz hindurchfließenden Strom umlenkte und von links nach rechts zurückschickte. Scherbius’ Mitarbeiter Willi Korn erreichte durch diese Umkehrwalze, dass das Schlüsselverfahren involutorisch wird, das heißt, wenn bei einer bestimmten Stellung der Walzen ein U in ein X verschlüsselt wird, dann wird bei dieser Stellung auch ein X in ein U verschlüsselt. So vereinfachte er Bedienung und Konstruktion der Maschine, denn man muss nicht mehr zwischen Verschlüsselung und Entschlüsselung unterscheiden. Darüber hinaus erhoffte er sich auch eine Steigerung der Sicherheit, denn der Strom durchfließt die Walzen ja nun zweimal:
Mit diesen Worten erläutert Korn die Vorteile seiner Umkehrwalze in der Patentschrift (DRP Nr. 452 194).Patentschrift Elektrische Vorrichtung zum Chiffrieren und Dechiffrieren DRP Nr. 452 194, S. 1. cdvandt.org (PDF; 0,4 MB) Abgerufen: 4. Nov. 2013. Dies war jedoch ein Trugschluss mit weitreichenden Konsequenzen.
Zum einen bewirkt die Umkehrwalze, dass nun kein Buchstabe mehr in sich selbst verschlüsselt werden kann, denn der Strom kann ja in keinem Fall genau den Weg durch den Walzensatz wieder zurücknehmen, den er gekommen ist. Er wird stets auf einem anderen Weg zurückgeleitet, als er zur Umkehrwalze hingeflossen ist. Mathematisch spricht man hier von fixpunktfreien Permutationen. Diese Einschränkung mag als unwesentliche Kleinigkeit erscheinen, denn es bleiben ja noch 25 weitere Buchstaben des Alphabets zur Verschlüsselung, tatsächlich bedeutet dies jedoch eine drastische Reduzierung der zur Verschlüsselung verfügbaren Alphabete und darüber hinaus eine neue Angreifbarkeit des Geheimtextes. Zum anderen verursacht die Umkehrwalze dadurch, dass die Permutation und damit die Verschlüsselung involutorisch wird, eine weitere Verringerung der Alphabetanzahl.
Die durch die Umkehrwalze eingefügten kryptographischen Schwächen, insbesondere die Reduzierung der Anzahl der zur Verfügung stehenden Alphabete, lassen sich leicht klarmachen, wenn man statt von 26 Buchstaben vereinfacht von beispielsweise nur vier Buchstaben ausgeht. Mit vier Buchstaben lassen sich 4! = 24 unterschiedliche Alphabete (damit meint der Kryptograph unterschiedliche Anordnungen der Buchstaben) erzeugen, nämlich
ABCD ABDC ACBD ACDB ADBC ADCB BACD BADC BCAD BCDA BDAC BDCA CABD CADB CBAD CBDA CDAB CDBA DABC DACB DBAC DBCA DCAB DCBA
Beschränkt man sich hier, statt auf alle 24 möglichen, nur auf die fixpunktfreien Permutationen, so fallen alle Alphabete weg, bei denen ein Buchstabe in sich selbst verschlüsselt wird, also auf seinem gewohnten alphabetischen Platz steht. Aus der obigen Liste sind damit die folgenden fünfzehn Alphabete zu streichen, da sie einen oder mehrere Fixpunkte aufweisen (unten rot und unterstrichen).
ABCD ABDC ACBD ACDB ADBC ADCB BACD BCAD BDCA CABD CBAD CBDA DACB DBAC DBCA
Übrig bleiben nur die folgenden neun fixpunktfreien Permutationen:
---- BADC ---- BCDA BDAC ---- ---- CADB ---- ---- CDAB CDBA DABC ---- ---- ---- DCAB DCBA
Berücksichtigt man jetzt noch, dass die Umkehrwalze nicht nur alle Permutationen mit Fixpunkten eliminiert, sondern auch alle nichtinvolutorischen Permutationen, so müssen aus der obigen Tabelle noch weitere sechs Fälle gestrichen werden, nämlich die, bei denen die zweifache Anwendung der Permutation nicht wieder zum ursprünglichen Buchstaben führt. Übrig bleiben von allen möglichen 24 Permutationen eines Alphabets aus vier Buchstaben lediglich die drei fixpunktfreien und involutorischen Fälle. Sie werden als „echt involutorische Permutationen“ bezeichnet.Friedrich L. Bauer: Entzifferte Geheimnisse. Methoden und Maximen der Kryptologie. 3., überarbeitete und erweiterte Auflage. Springer, Berlin u. a. 2000, S. 49.
---- BADC ---- ---- ---- ---- ---- ---- ---- ---- CDAB ---- ---- ---- ---- ---- ---- DCBA
mini|Bei diesem Exponat wurde Enigma irrtümlich mit „Geheimnis“ übersetzt (siehe Tafel), richtig ist „Rätsel“.
Bei der Enigma mit ihren 26 Buchstaben bewirkt diese Beschränkung, dass statt der 26! (Fakultät), also ungefähr 4·1026 insgesamt möglichen permutierten Alphabete lediglich die 25·23·21·19···7·5·3·1 = 25!! (Doppelfakultät), also etwa 8·1012 echt involutorisch permutierten Alphabete genutzt werden können. Durch die Umkehrwalze verschenkt man so den Faktor von etwa 5·1013 an Möglichkeiten – eine gigantische Schwächung der kombinatorischen Komplexität der Maschine. Übrig bleibt weniger als die Quadratwurzel der ursprünglich möglichen Permutationen.
Kryptographisch noch katastrophaler als diese drastische Reduktion der Alphabetanzahl ist jedoch, dass durch die Vermeidung von Fixpunkten Aussagen über den Text möglich sind wie „Nichts ist jemals es selbst“, die bei der Entzifferung eine ganz wesentliche Hilfe waren. Weiß der Angreifer, dass niemals ein Buchstabe die Verschlüsselung seiner selbst ist, dann eröffnet ihm diese Kenntnis Abkürzungen, und er muss nicht mehr mühsam jeden einzelnen Fall abarbeiten, wie an folgendem Beispiel illustriert wird.
Ein seit Jahrhunderten bekanntes und bewährtes Entzifferungsverfahren ist die „Methode des wahrscheinlichen Wortes“.Friedrich L. Bauer: Entzifferte Geheimnisse. Methoden und Maximen der Kryptologie. 3., überarbeitete und erweiterte Auflage. Springer, Berlin u. a. 2000, S. 276.Claude Shannon: Communication Theory of Secrecy Systems. Bell System Technical Journal, Vol 28, 1949 (Oktober), S. 710 f. (PDF; 0,6 MB) Abgerufen: 4. Nov. 2013. Hierbei errät, vermutet oder weiß der Angreifer, dass im Text eine bestimmte Phrase (, ) auftritt, beispielsweise „OBERKOMMANDODERWEHRMACHT“. Liegt dem Angreifer zum Beispiel ein mit der Enigma verschlüsseltes Geheimtextfragment wie das folgende vor, so kann er ganz leicht ermitteln, an welcher Stelle im Text das vermutete wahrscheinliche Wort sich nicht befinden kann, indem er für jede mögliche Lage prüft, ob ein Zeichen in sich selbst verschlüsselt würde, was, wie er von der Enigma weiß, unmöglich ist. Dazu schreibt er das wahrscheinliche Wort in den verschiedenen Lagen unter den Geheimtext und prüft auf Kollisionen (),David Kahn: Seizing the Enigma – The Race to Break the German U‑Boat Codes, 1939–1943. Naval Institute Press, Annapolis, MD, USA, 2012, S. 131. ISBN 978-1-59114-807-4. die im unteren Beispiel rot und unterstrichen hervorgehoben sind:
BHNCXSEQKOBIIODWFBTZGCYEHQQJEWOYNBDXHQBALHTSSDPWGW 1 OBERKOMMANDODERWEHRMACHT 2 OBERKOMMANDODERWEHRMACHT 3 OBERKOMMANDODERWEHRMACHT 4 OBERKOMMANDODERWEHRMACHT 5 OBERKOMMANDODERWEHRMACHT 6 OBERKOMMANDODERWEHRMACHT 7 OBERKOMMANDODERWEHRMACHT 8 OBERKOMMANDODERWEHRMACHT 9 OBERKOMMANDODERWEHRMACHT 10 OBERKOMMANDODERWEHRMACHT 11 OBERKOMMANDODERWEHRMACHT 12 OBERKOMMANDODERWEHRMACHT 13 OBERKOMMANDODERWEHRMACHT 14 OBERKOMMANDODERWEHRMACHT 15 OBERKOMMANDODERWEHRMACHT 16 OBERKOMMANDODERWEHRMACHT 17 OBERKOMMANDODERWEHRMACHT 18 OBERKOMMANDODERWEHRMACHT 19 OBERKOMMANDODERWEHRMACHT 20 OBERKOMMANDODERWEHRMACHT 21 OBERKOMMANDODERWEHRMACHT 22 OBERKOMMANDODERWEHRMACHT 23 OBERKOMMANDODERWEHRMACHT 24 OBERKOMMANDODERWEHRMACHT 25 OBERKOMMANDODERWEHRMACHT 26 OBERKOMMANDODERWEHRMACHT 27 OBERKOMMANDODERWEHRMACHT BHNCXSEQKOBIIODWFBTZGCYEHQQJEWOYNBDXHQBALHTSSDPWGW
Die Anzahl der durch Kollisionen auszuschließenden Lagen lässt sich nach folgender Überlegung abschätzen: Bei einem wahrscheinlichen Wort der Länge 1 (also nur ein einzelner wahrscheinlicher Buchstabe) ist die Wahrscheinlichkeit für eine Kollision 1/26. Folglich ist die Wahrscheinlichkeit für keine Kollision 1−1/26. Bei einem wahrscheinlichen Wort wie oben mit der Länge 24 ist dann die Wahrscheinlichkeit für keine Kollision (1−1/26)24, das sind etwa 39 %. Das heißt, bei 27 untersuchten Lagen erwartet man im Mittel für 27·(1−1/26)24 der Fälle keine Kollisionen. Der Ausdruck ergibt etwa den Wert 10,5 und stimmt recht gut mit den im Beispiel beobachteten (und grün gekennzeichneten) acht kollisionsfreien Crib-Lagen überein.
Mithilfe dieser äußerst simplen kryptanalytischen Angriffsmethode lassen sich so von den 27 möglichen Lagen des wahrscheinlichen Worts hier 19, also mehr als zwei Drittel, als unmöglich eliminieren – eine erhebliche Arbeitsvereinfachung für den Angreifer.
Polnische Erfolge mini|Der polnische Codeknacker Marian Rejewski (1932) mini|Beim polnischen Enigma-Nachbau, von dem Mitte der 1930er Jahre mindestens 15 Stück gefertigt wurden,Krzysztof Gaj: Polish Cipher Machine –Lacida. Cryptologia. Rose-Hulman Institute of Technology. Taylor & Francis, Philadelphia PA 16.1992,1, , S. 74. waren Tasten (1), Lampen (2) und Steckbuchsen (7), wie bei der deutschen Enigma‑C, einfach alphabetisch angeordnet.
Die Betreiber der Schlüsselmaschine Enigma waren der Meinung, dass die durch sie maschinell verschlüsselten Texte im Gegensatz zu fast allem, was bis 1918 gebräuchlich war, mit manuellen Methoden nicht zu knacken sind. Übersehen wurde, dass einer maschinellen Verschlüsselung durch maschinelle Entzifferung begegnet werden kann.