DE10045463A1 - Selbstsynchronisierende Stromchiffre zur Streckenverschlüsselung über einen fehlerbehafteten Übertragungskanal - Google Patents

Abstract

Bei einer digitalen Übertragungsstreckenverschlüsselung muss meist der Verlust oder das Einfügen eines Datenpaketes (Schlupf) berücksichtigt werden. Heutige Stromchiffrestandards tolerieren Schlupf nur mittels Redundanzen oder erhöhten Rechenaufwands. Einige Patente bieten eine Verschlüsselung mit automatischer Resynchronisierung nach einem Schlupf trotz niedriger Rechenleistung an, ihre Sicherheit lässt sich meist nicht beweisen. Diese Erfindung soll trotz geringstem Rechenaufwand automatisch resynchronisieren und beweisbar sicher sein. DOLLAR A Zur Selbstsynchronisation und gleichzeitigen Rechenleistungseinsparung besitzen Sender (V) und Empfänger (E) einen Zähler (V6/E6), der bei einem im vorhergehenden Schlüsseltext (4, 13) gesuchten Bitmuster (6, 7; 15, 16) zurückgesetzt wird. Dieser bestimmt (9, 18), wann der gesendete/empfangene Schlüsseltext verschlüsselt (V3/E3) und mit dem Klartext/Schlüsseltext zur Ver-/Entschlüsselung vermischt (V1/E1) wird. Durch die direkte Kopplung der Verschlüsselungsfunktion (V3/E3) an den Schlüsseltext (3, 10) lediglich über Zwischenspeicher (V2, V4; E2, E4) wird diese Stromchiffre kryptographisch analysierbar. DOLLAR A Diese Stromchiffre kann durch gezielte Anpassung des Bitmusters auf bessere Schlupftoleranz oder geringere Rechenleistung eingestellt werden und insbesondere in Abstimmung mit Kommunikationspartnern unterschiedlicher verfügbarer Rechenleistung eingesetzt werden.

Description

Zur effizienten Verschlüsselung von Nachrichten (Klartext) fester Länge werden meist sogenannte Blockchiffren eingesetzt. Hierbei wird ein Block fester Länge aus Nachrichtenbits mit einem gehei­ men Schlüssel in einen Schlüsseltextblock derselben Länge (Blockchiffrelänge) verschlüsselt. Unter Kenntnis des geheimen Schlüssels kann der Empfänger aus dem Schlüsseltextblock den Klartext­ block zurückberechnen. Der Schlüssel soll nur Sender und Empfänger bekannt sein. Zu den be­ kannten und häufig eingesetzten Blockchiffren gehören z. B. der US-amerikanische Standard DES [Federal Information Processing Standards Publication 46] und das IDEA-Verfahren von J. L. Mas­ sey und X. Lai (EU-Patent 482154).

In vielen Kommunikationsnetzen beruht die Datenübertragung nicht auf der Übermittlung einzelner Nachrichtenblöcke, sondern auf der Übertragung eines Nachrichtenstroms variabler Länge. Um ei­ nen Datenstrom zu verschlüsseln werden die sogenannten Betriebsarten der Blockchiffren einge­ setzt. Sie übersetzen auf unterschiedliche Art und Weise den Datenstrom in eine Aneinanderket­ tung von Paketen, auf die dann z. B. eine Blockchiffre angewandt werden kann. Häufig eingesetzte Vertreter dieser Betriebsarten sind: Output Feedback (OFB), Cipher Block Chaining (CBC) und Cipher Feedback (CFB) ["MeOV": Menezes, Oorschot and Vanstone: Handbook of Applied Cryp­ tography, 1996, 228-233].

In realen Nachrichtenkanälen treten bei der Übertragung eines Nachrichtenstroms verschiedenarti­ ge Fehler auf, wovon hier nur zwei genannt werden sollen: Ändert sich während der Übertragung der Wert eines Bits, so liegt ein Bitfehler vor. Gehen während der Übertragung Nachrichtenblöcke aus dem Datenstrom verloren oder werden Nachrichtenblöcke in ihn eingefügt, so liegt ein Schlupf vor. In beiden Fällen kann die Synchronisation zwischen Sender und Empfänger und folglich die Entschlüsselung gestört werden.

Die Möglichkeit, durch Redundanz eine Fehlererkennung, -korrektur oder eine Synchronisationser­ kennung zu realisieren, muss oft ausgeschlossen werden. Insbesondere zur Effizienz- und Band­ breitenerhaltung des Übertragungsmediums muss auf das Einfügen zusätzlicher Daten verzichtet werden. Beispielsweise soll im ISDN-Netz ein Datenstrom mit einer Bandbreite von 64 kBit/s ver­ schlüsselt werden, zur Übertragung des Schlüsseltextes stehen aber ebenfalls nur 64 kBit/s zu Ver­ fügung. Aus diesem Grund muss bei der Auswahl des Betriebsmodus darauf geachtet werden, dass die Synchronisation auch ohne Redundanz erhalten bleibt.

Die in [MeOV, 232f.] beschriebene OFB-Betriebsart toleriert keinen Schlupf; dieser führt immer zum Abreißen der Synchronisation zwischen Ver- und Entschlüsselung. Das Verfahren CBC ist immerhin in der Lage zu resynchronisieren, wenn die Länge der verlorenen (eingefügten) Nachrichtenblöcke ein Vielfaches der Blockchiffrelänge darstellt. Insbesondere wegen der zunehmenden Blocklängen der gängigen Blockchiffren (DES: 64 Bits, AES: 128 Bits) kann davon ausgegangen werden, dass die übertragenen Nachrichtenblöcke meist kleiner als die Länge der eingesetzten Blockchiffre sind, so dass diese Anforderung für die Synchronisation oft nicht zu erfüllen ist. Beispielsweise werden Da­ ten im ISDN-Netz in Einheiten zu je einem Byte übertragen.

Die CFB-Verschlüsselung (MeOV; 231, 229 Abb 7.1) - in Abb. 1 vereinfacht dargestellt - kann hin­ gegen an die Nachrichtenblocklänge angepasst werden. Die Größe des eingesetzten Mischers (z. B. XOR, bitweise Addition modulo 2) und des gesamten CFB-Apparates wird so dimensioniert, dass immer genau ein Nachrichtenblock verarbeitet wird. Hierdurch entsteht jedoch eine Effizienzmin­ derung. Für jeden übertragenen Nachrichtenblock muss, unabhängig von der tatsächlichen Länge, eine Verschlüsselung mit der vollen Blocklänge der Blockchiffre durchgeführt werden. Im schlech­ testen Fall entspricht die Nachrichtenblocklänge einem einzelnen Bit, so dass für jedes Bit eine zeitaufwendige Verschlüsselung durchgeführt werden muss. Bei einer 128-Bit Blockchiffre bei­ spielsweise erhält man dadurch den 128-fachen Rechenaufwand. Die übrigen Ausgabebits der Ver­ schlüsselungsfunktion werden jedes Mal verworfen.

Vor allem ausgehend vom OFB-Modus werden in einigen Patenten effizientere und schlupftolerante Verfahren beschrieben. In der Auslegeschrift DE 10 76 733 und im Patent DE 18 03 062 werden Ver­ fahren beschrieben, die auf Pseudozufallszahlengeneratoren beruhen, deren Pseudozufallsdaten mit dem Klartext vermischt werden. Das erstgenannte System leitet bei Eintreten des gesuchten Bitmusters ein Zurücksetzen des Pseudozufallszahlengenerators ein. Dies widerspricht jedoch durch das so eintretende Wiederholen bereits benutzter "Zufallszahlen" den Anforderungen an eine sichere Verschlüsselung. Im Patent DE 18 03 062 wird der Einsatz mehrerer verknüpfter Zähler be­ schrieben, die unabhängig voneinander - basierend auf der Zufälligkeit des Schlüsseltextes - auf ihre Anfangszustände gesetzt werden, so dass nur mit geringer Wahrscheinlichkeit alle Zähler zu einem Zeitpunkt gleichzeitig wieder ihre Grundstellung besitzen. Die Wiederholung eines vorherge­ henden Zufallszahlenverlaufs wird damit eher vermieden.

In Patent EP 0 549 047 A1 wird vorgeschlagen, den dem Bitmuster folgenden Datenblock zur Initia­ lisierung des Registers/Zählers zu benutzen, arbeitet bis auf das Zurücksetzen aber wie die zuvor angeführten Verfahren unabhängig vom Schlüsseltext. Der Schlüsseltext wird also in Patent EP 0 549 047 A1 nur zur Bitmustersuche benutzt und in keiner Weise rückgekoppelt.

In Patent CH 658 759 A5 wird vorgeschlagen, statt des Initialisierungswerts den Schlüssel in Ab­ hängigkeit von diesem Datenblock zu verändern, um Zufallszahlenwiederholungen zu umgehen. In früheren Patenten kann insbesondere die Sicherheit bemängelt werden. In einigen Patenten wird durch das Zurücksetzen eines Pseudozufallszahlengenerators ein Sicherheitsproblem geschaffen. Andere versuchen durch aufwendige Zählerkonstruktionen und Schlüsselwechsel die Sicherheit zu bewahren. Das Ziel dieser Erfindung ist es, eine selbstsynchronisierende Stromchiffre mit zu bishe­ rigen Patenten vergleichbarer Effizienz zu erzeugen, im Gegensatz zu bisherigen Patenten durch einen kompakten Aufbau eine kryptographische Analyse zu erleichtern und eine höhere Sicherheit zu gewähren.

Dies wird durch die in Anspruch 1 beschriebene Erfindung gelöst.

Ausgehend vom CFB-Standard wird eine Effizienzsteigerung erzielt, indem man das Auswahlregister am Ausgang der Verschlüsselungsfunktion durch eine Ausgabeeinheit (z. B. Schieberegister) ersetzt und die vormals verworfenen Daten nach und nach benutzt. Die aufwendige Verschlüsselung er­ folgt in festen Abständen nach jeweils Nachrichtenblocklänge/Blockchiffrelänge Schritten, wobei x die größte Zahl kleiner oder gleich x ist. Hierdurch verliert das CFB-Verfahren allerdings seine Schlupftoleranz.

Der Mischer wird weiterhin entsprechend der Nachrichtenblocklänge dimensioniert. Neu ist, dass nicht in jedem Takt sondern in variablen Abständen eine Verschlüsselung erfolgt. Die vormals ver­ worfenen Ergebnisbits der Verschlüsselung lassen sich deshalb weiterverwenden; so kann man nach einer Verschlüsselung einige folgende Verschlüsselungen einsparen.

Verschlüsselt man beispielsweise 8-Bit-Blöcke mittels DES, so können nach einer durchgeführten DES-Verschlüsselung 7 folgende Verschlüsselungen eingespart werden, da aus dem ersten DES- Ergebnis 56 Bits noch nicht benutzt wurden und auf die folgenden sieben 8-Bit-Blöcke angewandt werden können.

Zur Erhaltung der Schlupftoleranz muss jedoch zusätzlich eine Vergleichseinheit eingesetzt werden, die auf dem Nachrichtenkanal nach einem zuvor festgelegten Bitmuster sucht. Wird dieses gefun­ den, synchronisieren Sender und Empfänger ihre Verschlüsselungseinheiten und sind nach einem Schlupf und dem ersten folgenden Auftreten des Synchronisationsbitmusters wieder in einem syn­ chronen Zustand.

Eine vorteilhafte Ausgestaltung dieser Erfindung ist in Patentanspruch 2 angegeben. Sie ermöglicht es, die Effizienz der Verschlüsselung an die zugrundeliegende Hardware anzupassen, indem das Bitmuster in seiner Gestalt frei definiert werden kann.

Eine mögliche Ausführung der Erfindung ist in Abb. 2 gegeben und im folgenden näher beschrie­ ben: Sie beschränkt sich auf eine unidirektionale Übertragung; bei bidirektionaler Übertragung wird die Rückrichtung durch Verdoppelung der Systeme und Vertauschen der Sender- und Empfänger­ rolle auf dem Rückweg aufgebaut. Hierzu kann wieder der gleiche Schlüssel k oder ein zweiter ver­ einbarter Schlüssel benutzt werden.

Die verschlüsselte Datenübermittlung erfolgt in drei Einrichtungen, die selbst wiederum aus einzel­ nen Einheiten zusammengesetzt sind. Die Verschlüsselungseinrichtung V übersetzt den Klartext­ strom m (1) in einen Schlüsseltextstrom c (3), der über die Übertragungseinrichtung Ü an die Ent­ schlüsselungseinrichtung E übermittelt wird. Diese berechnet aus dem Schlüsseltextstrom c (10) wieder den Klartextstrom m (12). Klar- und Schlüsseltextstrom m bzw. c werden mit einem gemein­ samen Übertragungstakt übertragen.

Im Folgenden beschreibt l₁ die Länge der übertragenen Nachrichtenblöcke, l₂ die Eingabelänge und l₃ die Ausgabelänge der Verschlüsselungseinrichtung; l₁ darf hierbei weder l₂ noch l₃ überschreiten. Meistens werden Blockchiffren als Verschlüsselungseinrichtung eingesetzt, wobei dann l₂ identisch zu l₃ ist. Bei anderen Verschlüsselungsverfahren sind l₂ und l₃ unter Umständen unterschiedlich groß.

Die Verschlüsselung basiert auf einem l₁-Bit Mischer V1, der ein l₁-Bit langes Klartextstrompaket (1) mit einem vorausberechneten l₁-Bit langen Schlüsselstrompaket (2) zum Beispiel mit Hilfe einer bitweisen modulo-2-Addition verknüpft. Der Schlüsselstrom (2) wird aus dem l₃-Bit breiten Aus­ gangsschieberegister V4 gebildet, das im Übertragungstakt um l₁ Bits verschoben wird. Der Schlüs­ seltextstrom c (3) wird ebenfalls mit dem Übertragungstakt durch die Übernahmeeinheit V2 in die Verschlüsselungseinrichtung V3 zurückgeführt. Übernahmeeinheit V2 - üblicherweise als Schiebe­ register realisiert - dient dazu, l₂ Bits des zuvor übertragenen Schlüsseltextes zwischenzuspeichern. Die in V2 enthaltenen l₂-Bit langen Daten liegen an der Verschlüsselungseinheit V3 - bestehend aus einer Verschlüsselungsfunktion und eventuell einer Bitauswahl zur Ergebnisverkürzung - an und werden bei Aktivierung von Signal (9) durch V3 mit dem Schlüssel k verschlüsselt und in das Schie­ beregister V4 übernommen.

Das Signal (9) wird durch den Zähler V6 erzeugt, der in regelmäßigen Abständen eine Verschlüsse­ lung und ein Auffüllen der Ausgabeeinheit V4 mit neuen l₃-Bit langen Daten anfordert. Der Zähler V6 wird im Übertragungstakt von 0 bis l₃/l₁ - 1 inkrementiert und dann auf 0 zurückgesetzt. Er löst nach dem Zurücksetzen das Signal (9) aus.

Zusätzlich führt ein Synchronisationsbitmuster zu einer Nullstellung (Synchronisation) des Zählers V6. Der Mustervergleicher V5 erzeugt ein Rückstellsignal (8), falls er das Synchronisationsbitmuster in c entdeckt. Mustervergleicher V5 arbeitet auf dem Inhalt der Übernahmeeinheit V2, der unter Anwendung der festgelegten Bitmaske (7) mit dem gesuchten Bitmuster (6) verglichen wird. Zur Entschlüsselung schiebt der Empfänger den Schlüsseltextstrom c in die Übernahmeeinheit E2. Bei Eintreffen des Signals (18) von Zähler E6 verschlüsselt die Verschlüsselungseinheit E3 die Da­ ten (13) aus E2 und legt das Ergebnis (14) in der Ausgabeeinheit E4 ab. Hierbei arbeiten E3 und V3 mit dem gleichen Schlüssel k. Aus E4 wird im Übertragungstakt der Schlüsselstrom (11) entnom­ men, mit dem Mischer E1 aus c den Klartext m wiederherstellt.

Das Signal (18) wird durch den Zähler E6 ausgelöst, der in seiner Arbeitsweise V6 entspricht. Der Empfänger besitzt ebenfalls einen Bitmustererkenner E5, der den Zähler E6 zurücksetzt, wenn Ü­ bernahmeeinheit E2 unter der Bitmaske (16) das gesuchte Bitmuster (15) ergibt.

Zur korrekten Entschlüsselung müssen Schlüssel k in Ver- und Entschlüsselung V und E überein­ stimmen. Damit Sender und Empfänger ihre Synchronisation korrekt einstellen können, müssen je das gesuchte Bitmuster (6, 15) und die eingestellten Bitmasken (7, 16) übereinstimmen.

Ver- und Entschlüsselung arbeiten auf dem gleichen Schlüsseltextstrom c. Hieraus resultiert im feh­ lerfreien Fall der stets gleiche Inhalt der Übernahmeeinheiten V2 und E2. Wird nun auf beiden Sei­ ten immer synchron die Verschlüsselung aktiviert, so ist auch der Inhalt von V4 und E4 identisch. Die Einheiten V4 und E4 geben mit dem gleichen Übertragungstakt auf gleichen Eingaben die glei­ chen l₁-Bit Pakete (2) und (11) aus. Durch die modulo2-Addition der Mischer wird auf diese Weise aus c in der Entschlüsselungseinrichtung E wieder m berechnet.

Nach einem Schlupf in der Übertragung des Schlüsseltextstroms führen V und E zu unterschiedli­ chen Zeitpunkten eine V3/E3-Verschlüsselung durch. Ihr Synchronlauf wird durch ein auf den Schlupf folgendes Auftreten des Bitmusters im Schlüsseltextstrom wiederhergestellt, da V und E bei Erkennung des Musters in V2/E2 ihre Zähler auf 0 synchronisieren.

Es ist nicht erforderlich, dass Bitmuster (6, 15) und Maske (7, 16) geheim gehalten werden. Es kann gezeigt werden, dass der Angreifer keine nützlichen Informationen aus der Kenntnis des Bitmusters gewinnen kann. Die sichere Geheimhaltung des Klartextes beruht alleine auf der zugrundeliegen­ den Verschlüsselungseinheit V3 und E3 und dem geheimen Schlüssel.

Im Gegensatz zu den zuvor genannten Patenten basiert diese Erfindung ausschließlich auf einer vollständigen Rückkopplung des Schlüsseltextstroms, der durch die jeweils vorangehende Ver­ schlüsselung als pseudozufällig angenommen werden kann. Durch die Ableitung des Verfahrens vom CFB-Modus kann - je nach zu Verfügung stehender Rechenleistung des eingesetzten Ver- und Entschlüsselers - zwischen der niedrigen Fehlerempfindlichkeit des Standard-CFB und hoher Effi­ zienz des optimierten Verfahrens skaliert werden. Hierzu muss lediglich das gesuchte Bitmuster (6, 15) und die entsprechende Bitmaske (7, 16) zwischen den Kommunikationspartnern an die zu Ver­ fügung stehende Rechenleistung angepasst werden.

Je häufiger das Synchronisationsbitmuster auftritt, desto fehlertoleranter und stabiler ist die ver­ schlüsselte Verbindung. Gleichzeitig wird aber auch der Rechenaufwand erhöht. Nimmt man statt­ dessen ein längeres und damit seltener auftretendes Synchronisationsbitmuster, spart man Re­ chenaufwand auf Kosten einer störungsanfälligeren Verbindung.

Der kryptographische Vorteil dieser Erfindung besteht zusätzlich darin, dass unter der Annahme ei­ ner sicheren Verschlüsselungsfunktion die Geheimhaltung der verschlüsselten Daten formal unter­ sucht und bewiesen werden kann.

Claims (5)

1. Verfahren zur sicheren verschlüsselten Datenübertragung, bestehend aus Sende- und Emp­ fangseinrichtung, jeweils über einen Mischer und eine Verschlüsselungseinrichtung verfügend, das sendeseitig den Klartext im Mischer mit einem Schlüsselstrom zum Schlüsseltextstrom vermischt, empfangsseitig den Schlüsseltext im Mischer mit einem Schlüsselstrom zum Klartextstrom vermischt, dadurch gekennzeichnet, dass
sende- und empfangsseitig eine Übernahmeeinheit zuvor eingelesenen Schlüsseltext zwischen­ speichert und an die Chiffriereinrichtung übergibt,
sende- und empfangsseitig die Chiffriereinrichtung aus dem Schlüsseltextstrom der Übernah­ meeinheit und einem geheimen Schlüssel den Schlüsselstrom berechnet,
je eine Ausgabeeinheit an die Chiffriereinrichtung angeschlossen ist und an den jeweiligen Mi­ scher weitergibt und diese Ausgabeeinheit Daten von der zugehörigen Chiffriereinrichtung ge­ nau dann übernimmt, wenn ein Synchronisationssignal aktiv ist,
dieses Synchronisationssignal durch einen Zähler ausgelöst wird, der die durch den Mischer verarbeiteten Datenblöcke zählt und bei Erreichen eines feststehenden Wertes zurückgesetzt wird, oder durch eine Vergleichseinheit unter gleichzeitigem Zurücksetzen des Zählers ausge­ löst wird,
diese Vergleichseinheit den Schlüsseltext auf ein zuvor festgelegtes Bitmuster untersucht.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das zu überwachende Bitmuster in Form, Länge und Wert frei bestimmt und so an das Übertragungsprotokoll angepasst werden kann.

3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Übernahmeeinheit mit Hilfe von Schieberegistern realisiert ist.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Mischer und Zähler synchron im Takt der Datenübertragung arbeiten.

5. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Mischer als bitweise modulo-2-Addition (Exklusiv-Oder, XOR) realisiert sind.