DE60217260T2

DE60217260T2 - Datenverarbeitungs- und Verschlüsselungseinheit

Info

Publication number: DE60217260T2
Application number: DE60217260T
Authority: DE
Inventors: Hitachi Takashi Chiyoda-ku Watanabe; Hitachi Masahiro Chiyoda-ku Kaminaga; Hitachi Takashi Chiyoda-ku Endo; Hitachi Seiichi Chiyoda-ku Kumano
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2001-10-30
Filing date: 2002-05-24
Publication date: 2007-07-12
Anticipated expiration: 2022-05-25
Also published as: US20030091191A1; US7284133B2; EP1308885B1; EP1308885A1; JP4045777B2; JP2003134103A; DE60217260D1

Description

HINTERGRUND DER ERFINDUNG
1. GEBIET DER ERFINDUNG
Die vorliegende Erfindung bezieht sich auf eine Datenverarbeitungseinheit, insbesondere auf ein Verfahren zum Verschlüsseln und Entschlüsseln von zu verarbeitenden Daten in einer Datenverarbeitungseinheit und noch genauer auf ein Verfahren zum Verschlüsseln und Entschlüsseln von Daten, die in einer Datenverarbeitungseinheit verwendet werden.
2. BESCHREIBUNG DES STANDES DER TECHNIK
Die meisten IC-Karten (Karten mit integrierten Schaltungen) und elektrischen Haushalts-Informationsgeräte sind mit Datenverarbeitungseinheiten ausgestattet, die auf einer gemeinsamen Struktur basieren, die in 1 gezeigt ist. Diese Datenverarbeitungseinheiten besitzen nur eine begrenzte Menge an Verarbeitungsleistung und Speicherplatz, wie z. B. eine 8-Bit-Zentraleinheit (CPU) E101, in der Größenordnung von 10 kB an flüchtigem Speicher (RAM E102) und eine gewisse Menge an nicht-flüchtigem Speicher (EEPROM E103 und ROM E104). Netzknotenvorrichtungen und Router, die im Allgemeinen eine kryptographische Verarbeitung verwenden, sie besitzen jedoch eine größere Menge an Verarbeitungsleistung und Speicherplatz, wie z. B. eine 32-Bit-CPU und mehrere hundert Megabytes an flüchtigem Speicher (RAM). Die letzteren besitzen auch weniger Beschränkungen hinsichtlich der Systemgröße und des maximalen Leistungsverbrauchs als die ersteren, die ihre Verarbeitungsfähigkeiten nicht durch Erhöhen der Taktrate des Prozessors oder durch Hinzufügen von externer Hardware erhöhen können.
Das Hinzufügen von Computerhardware zu einer Vielfalt von elektrischen Datenverarbeitungsgeräten und -systemen wird vorherrschend, weshalb die Speicherung und Verwendung von verschiedenen Informationen und der Austausch von Daten zwischen Computern häufiger durchgeführt wurden. Es ist daher zunehmend erforderlich, Daten zu verarbeiten, die einen Schutz gegen den Austritt nach außen während Datenaustauschvorgängen von Computer zu Computer erfordern, wie z. B. elektronisches Geld, Rechnungsinformationen und private Informationen. Kryptographische Verfahren sind für die geheime Verarbeitung solcher Informationen unentbehrlich.
Typisch für die kryptographischen Systeme, die nun verwendet werden, sind DES (Datenverschlüsselungsstandard) (National Bureau of Standards, Data Encryption Standard, US-Handelsministerium, FIPS pub. 46, Januar 1977) und RSA (nach seinen Erfindern Rivest, Shamir und Adleman benannt) (R. L. Rivest, A. Shamir und L.M. Adleman, A method for obtaining digital signatures and public-key cryptosystems, Communications of the ACM (2) 21 (1978), 120-126). Das erstere ist ein Geheimschlüssel-Kryptosystem und das letztere ist ein Kryptosystem mit öffentlichem Schlüssel. Ein Geheimschlüssel-Kryptosystem verwendet einen gemeinsamen geheimen Schlüssel zur Verschlüsselung und Entschlüsselung und wird auch als Kryptosystem mit gemeinsamem Schlüssel oder als Kryptosystem mit symmetrischem Schlüssel bezeichnet. Andererseits verwendet ein Kryptosystem mit öffentlichem Schlüssel verschiedene Schlüssel zur Verschlüsselung und Entschlüsselung und wird auch als Kryptosystem mit asymmetrischem Schlüssel bezeichnet. Im Allgemeinen beinhaltet der in einem Kryptosystem mit geheimem Schlüssel verwendete Schlüssel die Kombination von Eingangsdaten mit 64 bis 128 Bits mit 64 bis 128 Schlüsselbits durch Ersetzen von Bitbeziehungen und Permutation von Bitpositionen, die derzeit mehrere Male durchgeführt werden.
Die einzigen Berechnungen, die in einem Kryptosystem mit geheimem Schlüssel erforderlich sind, sind Bitoperationen und die Bezugnahme auf relativ kleine Tabellen, was es möglich macht, dass sogar eine Datenverarbeitungseinheit mit vergleichsweise mäßigen Fähigkeiten, die Verarbeitung in kurzer Zeit, wie z. B. einigen Millisekunden, vollendet.
Die Schlüssel in einem Kryptosystem mit öffentlichem Schlüssel sind durch mathematische Beziehungen eingeschränkt, die zwischen den Verschlüsselungs- und Entschlüsselungsschlüsseln gelten müssen, so dass die in diesen Systemen erzeugten Schlüssel wahrscheinlich lang sind, z. B. 1024 Bits. Außerdem werden umfangreiche numerische Berechnungen durchgeführt, die einige hundert Millisekunden für eine Datenverarbeitungseinheit mit vergleichsweise kleiner Verarbeitungsleistung dauern, selbst wenn ein Coprozessor verwendet wird.
Ein Kryptosystem mit geheimem Schlüssel stellt einen Schlüssel bereit, der vom Sender und Empfänger im Voraus gemeinsam genutzt wird, wodurch eine schnellere Verarbeitung ermöglicht wird; ein Kryptosystem mit öffentlichem Schlüssel legt den Verschlüsselungsschlüssel für die Öffentlichkeit für eine Seite zur Verwendung zum Verschlüsseln von Daten offen, während die andere Seite unter Verwendung eines geheimen Entschlüsselungsschlüssels entschlüsselt. Dieses System erzielt eine größere Sicherheit, aber es erfordert mehr Zeit für die Berechnung als ein Kryptosystem mit geheimem Schlüssel. Daher werden Kryptosysteme mit geheimem Schlüssel häufig für die kryptographische Verarbeitung von Daten verwendet, die innerhalb derselben Datenverarbeitungseinheit verwendet werden, während Kryptosysteme mit öffentlichem Schlüssel für die kryptographische Verarbeitung von Daten verwendet werden, die unter verschiedenen Datenverarbeitungseinheiten ausgetauscht werden.
Eine Datenverarbeitungseinheit, die geheime Informationen in der nicht flüchtigen Speichervorrichtung speichert, kann ein Kryptosystem mit geheimem Schlüssel verwenden, um die Informationen zu verschlüsseln und die verschlüsselten Informationen zu warten, falls die Speichervorrichtung entnommen und physikalisch analysiert wird, während das System abgeschaltet ist. Die geheimen Informationen können in dieser Weise sicher gehalten werden, indem der Benutzer den kryptographischen Schlüssel in einer verwürfelten Form speichert, die von einem Dritten nicht leicht entwürfelt werden kann. Verfahren unter Verwendung von DES und anderen Kryptosystemen mit geheimem Schlüssel werden auch durch eine offenbarte Software, wie z. B. PGP (Pretty Good Privacy), als kryptographische Algorithmen für Daten, die in externen Speichervorrichtungen gespeichert werden, implementiert.
Wegen der Sicherheit ist jedoch nur die Verschlüsselung von Daten, die in externen Speichervorrichtungen gespeichert werden sollen, unangemessen; es ist auch erforderlich, Daten innerhalb der Systemeinheit geheim zu halten, die die Verschlüsselung und Entschlüsselung der Daten durchführt. Die vorliegende Erfindung schafft eine Hardware, die dieses Ziel mit vergleichsweise kleinen Ressourcen erreicht, einschließlich nur ein paar Registern zum Halten von Schlüs seldaten, einer Berechnungsausrüstung und einer Datenverarbeitungseinheit mit vergleichsweise kleiner Verarbeitungsleistung, wobei der kleine Hardwaremaßstab auch eine schnellere Verarbeitung ermöglicht. Eine Datenverarbeitungseinheit gemäß der vorliegenden Erfindung kann eine Verarbeitung durchführen, die gegen Informationsaustritt sicher ist. Die Aufmerksamkeit wurde auf dieses Problem von einem kryptographischen Analyseverfahren gelenkt, das als DPA (Differentielle Leistungsanalyse) bekannt ist (siehe P. Kocher, J. Jaffe und B. Jun, Differential Power Analysis, Advances in Cryptology CYPT'99, Vortragsanmerkung in Computer Science 1666, Springer-Verlag, S. 388-397, 1999), 1998 von P. Kocher präsentiert. Die Offenbarung dieses Verfahrens (siehe auch WO 99/63696) zeigte die Notwendigkeit für den Schutz nicht nur von Daten, die in externen Speichervorrichtungen gespeichert sind, sondern auch von Daten, die in arithmetischen und logischen Einheiten verarbeitet werden. DPA ist ein Analyseverfahren, das beobachtet, wie sich der Stromverbrauch mit den verarbeiteten Daten ändert, um den Zustand eines bestimmten Bits zu bestimmen. Das Wesentliche dieses Analyseverfahrens liegt in der Verwendung der Korrelation zwischen den durch eine Datenverarbeitungseinheit verarbeiteten Daten und dem entsprechenden Stromverbrauch.
Der Stromverbrauch einer Datenverarbeitungseinheit ändert sich mit den verarbeiteten Daten. Die zu verarbeitenden Daten sind durch zwei Parameter gekennzeichnet: wobei einer ihre Schreibweise angibt und der andere ihre Stelle angibt, wie z. B. binäre Schreibweise in Computern und die Adresse in einem CPU-Adressraum. Herkömmliche Datenverarbeitungseinheiten präsentieren verarbeitete Daten in einer Kombination von Eingaben und Ausgaben. Aufgrund der Eigenschaften der in integrierten Schaltungen verwendeten CMOS-Chips unterscheidet sich der Stromverbrauch in Abhängigkeit davon, ob eine "1" oder eine "0" verarbeitet wird.
Es soll angenommen werden, dass der Stromverbrauch, wenn Daten x, die sich an der Adresse a befinden, verarbeitet werden, in der Form c(x, a) ausgedrückt wird; und die Anzahl von "1"-en von Daten x in binärer Schreibweise, die als Hamming-Gewicht bezeichnet wird, als H(x) ausgedrückt wird. Wenn die Busbreite der Datenverarbeitungseinheit w Bits ist, gilt offensichtlich 0 ≤ H(x) ≤ w. Es ist zu beachten, dass die binäre Schreibweise auch beim Zugreifen auf die Adresse a verwendet wird. Es soll auch angenommen werden, dass der Stromverbrauch bei der Verarbeitung einer "1" d1 ist und der Stromverbrauch bei der Verarbeitung einer "0" d0 ist. Wenn beispielsweise die Breiten des Datenbusses und des Adressenbusses der Datenverarbeitungseinheit 8 Bits sind, dann gilt C(x, a) = (H(x) + H(a))d1 + ((8 – H(x)) + (8 – H(a)))d0 + α + βwobei α der addierte Leistungsverbrauch ist, wenn ein spezieller Teil der Datenverarbeitungseinheit arbeitet und β Rauschen ist, das durch die Messausrüstung verursacht wird.
Zuerst müssen α und β, die von den Daten unabhängige Elemente sind, beseitigt werden. Wenn eine Datenverarbeitungseinheit in einem gegebenen Zustand gehalten wird und zwei verschiedene Elemente von Daten x0 und x1 verarbeitet, sind die Werte von α0 und α1 in den folgenden Gleichungen, die den Stromverbrauch bei der Verarbeitung von x0 bzw. x1 angeben, gleich. C(x0, a0) = (H(x0) + H(a0))d1 + ((8 – H(x0)) + (8 – H(a0)))d0 + α0 + β0 und C(x1, a1) = (H(x1) + H(a1))d1 + ((8 – H(x1)) + (8 – H(a1)))d0 + α1 + β1
Wenn die Rauschterme β0 und β1 beseitigt werden können, ist es dann möglich, die Daten x0 mit den Daten x1 zu vergleichen, indem c(x0, a0) und c(x1, a1) verglichen werden. Da β eine Rauschgröße ist, ist sein Mittelwert 0. Daher kann β durch Berechnen des Mittelwerts von n Stromverbrauchsmessungen c[0] bis c[n-1], durch Dividieren ihrer Summe durch n, wenn n ausreichend groß ist, beseitigt werden. Wenn β0 und β1 in dieser Weise beseitigt werden, dann gilt c(x0, a0) – c(x1, a1) = ((H(x0) + H(a))(H(x1) + H(a1)))d1 + ((H(x1) + H(a1)) – (H(x0) + h(a0)))d0und wenn die zwei Elemente von Daten an derselben Adresse angeordnet sind, d. h. a0 = a1, dann gilt c(x0, a0) – c(x1, a1) = H(x0) – H(x1))d1 – (H(x0) – H(x1))d0
Wenn d = d1 – d0, kann ferner die obige Gleichung auf C(x0, a0) – c(x1, a1) = (H(x0) – H(x1))d reduziert werden.
Es ist unpraktisch, zu verfolgen und zu wissen, welcher Teil der Datenverarbeitungseinheit zu einem gewissen Zeitpunkt arbeitet, so dass es schwierig ist, α zu erhalten. Es ist jedoch leichter, die Differenz d anstelle der Absolutwerte von d1 und d0 zu finden, indem Differenzen von Daten genommen werden, wobei α zu einem Versatz wird. Auf der Basis dieser Information ist es folglich möglich, die Hamming-Gewichtsdifferenz zwischen den Daten x0 und x1 aus dem Ausdruck c(x0, a0) – c(x1, a1) zu kennen. Bevor tatsächliche Daten abgeleitet werden, ist es für einen 8-Bit-Bus nützlich, den Leistungsverbrauch von neun Datenelementen mit Hamming-Gewichten von 0 bis 8 im Voraus beispielsweise als Basistest zu prüfen. Als neun Datenelemente soll angenommen werden, dass 0, 1, 3, 7, 15, 31, 63, 127 und 255 verwendet werden, die als b'0, b'1, b'11, b'111, b'1111, b'11111, b'111111, b'1111111 und b'11111111 in Binärschreibweise ausgedrückt werden und Hamming-Gewichte 0, 1, 2, 3, 4, 5, 6, 7 und 8 aufweisen. Wenn die Differenz zwischen den Basistestdaten und den erhaltenen Daten berechnet wird, ist es möglich, Daten mit einer Differenz von 0 im Hamming-Gewicht aus den zu verarbeitenden Daten zu erhalten.
Es soll angenommen werden, dass der während einer Berechnung mit den verarbeiteten Daten beobachtete Stromverbrauch Daten 1 entspricht, die aus dem Basistest erhalten werden. Dies bedeutet, dass das Hamming-Gewicht der zu verarbeitenden Daten 1 ist. 8-Bit-Zahlenwerte mit einem Hamming-Gewicht von 1 sind 1, 2, 4, 8, 16, 32, 64 und 128, so dass es möglich ist zu wissen, dass der Wert der verarbeiteten Daten einer dieser Werte ist. In Abhängigkeit von der Architektur der Datenverarbeitungstechnologie gibt es Fälle, in denen sich der Stromverbrauch in Abhängigkeit von den Bitpositionen (0 bis 7) in einem 8-Bit-Bus unterscheiden kann. In diesem Fall ist es möglich, die verarbeiteten Daten eindeutig zu bestimmen, indem alle 2⁸=256 Basistestdatenelemente im Voraus erhalten werden und sie mit den verarbeiteten Daten einzeln verglichen werden. Wenn Daten in dieser Weise im Schlüsseloperationsteil einer kryptographischen Verarbeitungseinheit erhalten werden können, können Schlüssel leicht entschlüsselt werden.
Die Beseitigung des Werts des vorstehend beschriebenen Rauschens β wird dann zu einem Problem. Im Allgemeinen wird veranlasst, dass eine Datenverarbeitungseinheit dieselben Daten n mal verarbeitet, wobei n eine angemessen große Zahl ist, so dass die Stromverbrauchsmuster c[0] bis c[n-1] erhalten werden und ihr Mittelwert berechnet werden kann. Der Mittelwert von β ist 0 und folglich kann β beseitigt werden. Es sollte beachtet werden, dass Informationen, die sich gewöhnlich nicht ändern, wie z. B. private Informationen, für einen Austritt anfälliger sind, wenn das Rauschen durch Mitteln von Daten, die mehrere Male gemessen werden, beseitigt wird. Der Wert von n kann nicht leicht definiert werden, da er von der Rauschquelle der Datenverarbeitungseinheit und von der Genauigkeit der Messausrüstung abhängt. Wenn jedoch der tatsächliche Wert von n nicht abgeleitet werden kann, ist es zulässig, einfach weiterhin die Messung zu wiederholen, bis das Rauschen beseitigt ist. Eine mögliche Gegenmaßnahme gegen eine solche Datenanalyse bestünde darin, Operationen, die mehrere Male wiederholt werden, was angemessen ist, um das Rauschen durch Mittelung zu beseitigen, zu sperren.
Da Datenverarbeitungseinheiten elektrischen Strom verarbeiten, ist es unpraktisch, die Korrelation zwischen den verarbeiteten Informationen und dem Stromverbrauch zu beseitigen. Daher müssen verarbeitete Daten verschlüsselt werden, um es für die Analysatoren unmöglich zu machen, die Dateninhalte abzuleiten. Das vorstehend beschriebene DES-Kryptosystem und andere derartige kryptographische Algorithmen können verwendet werden, aber sie brauchen zu lang und erfordern zu viele Hardware-Ressourcen wie z. B. Register und flüchtigen Speicherplatz für die Datenverschlüsselung, als dass sie zur Verwendung in Einheiten mit vergleichsweise kleiner Verar beitungsleistung geeignet wären, die Daten bei Bedarf verschlüsseln und entschlüsseln müssen. Verschlüsselungs-/Entschlüsselungseinheiten, die eine kryptographische Verarbeitung mit minimalen Hardware-Ressourcen und minimaler Verarbeitungszeit durchführen können, sind erforderlich.
US 4 746 788 offenbart, dass Daten, die für eine IC-Karte eindeutig sind, und verschlüsselte eindeutige Daten, die durch Verschlüsseln der eindeutigen Daten erhalten werden, vorher in der IC-Karte gespeichert werden. Die verschlüsselten eindeutigen Daten werden in einem IC-Karten-Endgerät entschlüsselt, um entschlüsselte Daten zu erhalten, und die entschlüsselten Daten und die in der IC-Karte gespeicherten eindeutigen Daten werden auf der Seite der IC-Karte und auch im IC-Karten-Endgerät verglichen, wodurch die Echtheit beider, der IC-Karte und des IC-Karten-Endgeräts, bestätigt wird.
DE 34 18 571 offenbart ein System für die Übertragung von verschlüsselten Daten zwischen einer Sendeeinheit und einer Empfangseinheit. Für die Verschlüsselung werden veränderliche Schlüssel auf der Basis eines geheimen Schlüsselteils und eines zufälligen Schlüsselteils erzeugt. Ein Schlüsselgenerator erzeugt eine Schlüsselimpulsfolge auf der Basis des variablen Schlüssels und eine Mischeinheit verschlüsselt den Klartext auf der Basis der Schlüsselimpulsfolge. Die Ansprüche sind gegen dieses Dokument abgegrenzt.
US 6 067 621 offenbart ein Benutzerauthentifizierungssystem zum Authentifizieren eines Benutzers unter Verwendung einer IC-Karte in Verbindung mit einem tragbaren Endgerät, das zum Erzeugen eines einmaligen Passworts verwendet wird.
Zusammenfassung der Erfindung
Es ist eine Aufgabe der vorliegenden Erfindung, eine Datenverarbeitungseinheit und ein Verfahren zum Verschlüsseln/Entschlüsseln von Daten mit verbesserter Sicherheit gegen Schlüsselangriffe zu schaffen.
Diese Aufgabe wird durch den Gegenstand der unabhängigen Ansprüche gelöst. Die abhängigen Ansprüche beziehen sich auf bevorzugte Ausführungsformen der Erfindung.
Eine Datenverarbeitungseinheit verschlüsselt die Inhalte von Daten, die zwischen einer Speichervorrichtung und einer Berechnungsausrüstung ausgetauscht werden, wodurch es möglich gemacht wird, die Korrelation zwischen zu verarbeitenden Daten und dem Stromverbrauch zu durchbrechen. Daher kann ein Analysator, der den Stromverbrauch prüft, wenn Daten verarbeitet werden, die Inhalte der Daten nicht lernen. Außerdem kann die Datenverarbeitungseinheit Daten sowohl automatisch als auch transparent verschlüsseln und entschlüsseln. Daher kann sie Sicherheit gegen Stromverbrauchsanalyse durch einen Dritten schaffen, ohne die Aufmerksamkeit des Benutzers auf die Verschlüsselungs- und Entschlüsselungsprozesse lenken zu müssen.
Eine Datenverarbeitungseinheit kann ferner Daten verschlüsseln, die in einer Speichervorrichtung gespeichert werden oder die neu erzeugt werden, und speichert die verschlüsselten Daten in der Speichervorrichtung. Da Daten aus der Berechnungsausrüstung in einer Form ausgegeben werden, die von einem externen Angreifer nicht vorhergesagt werden kann, kann der externe Angreifer keine Analyse unter Verwendung der Daten als Anhaltspunkt durchführen. Insbesondere kann das periodische oder zufällige Ändern der Schlüsseldaten, die zur Verschlüsselung verwendet werden, die Informationen über die Schlüsseldaten, die von einem externen Angreifer gespeichert wurden, nach einem gewissen Zeitpunkt ungültig machen. Wenn der Schlüssel geändert wird, wird eine erneute Verschlüsselung von Daten, die bereits verschlüsselt und gespeichert wurden, durchgeführt. Die erneute Verschlüsselung kann durch Entschlüsseln der verschlüsselten Daten mit dem ursprünglichen Schlüssel und Verschlüsseln der entschlüsselten Daten von neuem mit dem geänderten Schlüssel implementiert werden; diese Möglichkeit ist jedoch von der vorliegenden Erfindung nicht abgedeckt. Alternativ können die ursprünglichen verschlüsselten Daten mit dem geänderten Schlüssel verschlüsselt werden, ohne entschlüsselt zu werden, und ein neuer Schlüssel, der die Entschlüsselung der neu verschlüsselten Daten ermöglicht, kann aus dem ursprünglichen Schlüssel und dem geänderten Schlüssel erzeugt und gespeichert werden. In dieser Weise können die entschlüsselten Daten gegen einen externen Angriff geschützt werden, was zu verbesserter Sicherheit führt.
In einigen Fällen kann ein Angreifer bemerken, dass ein Element von Eingangsdaten mehrere Male in der Datenverarbeitungseinheit verarbeitet wird. Wie gerade vorstehend beschrieben, werden die verarbeiteten Daten verschlüsselt und nehmen in jeder Operation verschiedene Formen an. Wenn jedoch dieselben Daten in derselben Reihenfolge verarbeitet werden, kann es Fälle geben, in denen das Rauschen, das während der Stromverbrauchsanalyse beobachtet und gemessen werden kann, beseitigt werden kann. Daten, die sich über mehrere Blöcke erstrecken, werden im Allgemeinen nacheinander vom oberen Block verarbeitet, so dass ein Angreifer eine Datenana lyse unter dieser Annahme versuchen wird. Die vorliegende Erfindung führt die Verarbeitung von Datenblöcken in einer zufälligen Reihenfolge aus, die von Angreifern nicht vorhergesagt werden kann, wodurch die Analyse schwieriger gemacht wird. Wenn die Ausführungsreihenfolge geändert wird, ist es möglich, die Daten in einer vorbestimmten oder zufälligen Reihenfolge zu permutieren und die Verarbeitung nacheinander vom oberen Block durchzuführen, oder es ist möglich, Daten direkt von der Speicherposition zu entnehmen, ohne sie zu permutieren. Die Verschlüsselung von Daten mit deren Permutation kann die Analyse noch schwieriger machen.
Das physikalische oder logische Permutieren von Datenspeicherpositionen verhindert einen Informationsaustritt in Abhängigkeit von Adresseninformationen zum Bezeichnen von Datenspeicherpositionen oder physikalischen Eigenschaften der Speicherpositionen, selbst wenn dieselben Daten wiederholt verwendet werden, wodurch eine sicherere Datenverarbeitung ermöglicht wird. Die Datenspeicherpositionen können von den Inhalten von Daten abhängig gemacht werden, können durch die anwendbare Datenspeicherpositions-Steuereinheit bestimmt werden oder können zufällig gemacht werden.
Es sollte beachtet werden, dass die vorliegende Erfindung auf Datenverarbeitungseinheiten mit einer externen Schnittstelle wie z. B. einem E/A-Anschluss als Dateneingabeanschluss oder Ausgabeanschluss oder als beides anwendbar ist.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Damit die vorliegende Erfindung deutlich verstanden und leicht ausgeführt wird, wird die vorliegende Erfindung in Verbindung mit den folgenden Fig. beschrieben, in denen gleiche Bezugszeichen dieselben oder ähnliche Elemente bezeichnen, wobei die Fig. in die Patentbeschreibung integriert sind und einen Teil von dieser bilden, wobei:
1 ein Blockdiagramm ist, das die Basisstruktur einer Datenverarbeitungseinheit zeigt;
2 ein Blockdiagramm ist, das einen Basisoperationsablauf einer Datenverarbeitungseinheit zeigt;
3 ein Blockdiagramm ist, das eine Verschlüsselungs-/Entschlüsselungseinheit für Daten innerhalb einer Speichervorrichtung durch eine Berechnungsausrüstung zeigt;
4 ein Blockdiagramm ist, das eine Verschlüsselungs-/Entschlüsselungseinheit für Daten innerhalb einer Speichervorrichtung durch eine Berechnungsausrüstung mit einem Zufallszahlengenerator zeigt;
5 ein Blockdiagramm ist, das eine Verschlüsselungs-/Entschlüsselungseinheit für Daten mit undefinierter Länge unter Verwendung von mehreren Elementen von Schlüsseldaten zeigt;
6 ein Blockdiagramm ist, das eine Verschlüsselungs-/Entschlüsselungseinheit unter Verwendung eines Elements von Schlüsseldaten zeigt;
7 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die Daten von einer Speichervorrichtung unter Verwendung von Schlüsseldaten verschlüsselt und entschlüsselt und die Daten unter Verwendung von neuen Schlüsseldaten verschlüsselt und entschlüsselt (wenn anfängliche Daten gespeichert werden);
8 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die Daten, die aus einer Speichervorrichtung gelesen werden, unter Verwendung von Schlüsseldaten verschlüsselt und entschlüsselt, dann die Daten verschlüsselt und entschlüsselt und die Daten unter Verwendung von neuen Schlüsseldaten zurückschreibt (wenn die Daten gelesen werden);
9 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die Daten, die von einer Speichervorrichtung gelesen werden, unter Verwendung von Schlüsseldaten verschlüsselt und entschlüsselt, dann die Daten verschlüsselt und entschlüsselt und die Daten unter Verwendung von neuen Schlüsseldaten zurückschreibt (wenn die Daten erneut verschlüsselt werden);
10 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit (während der Verschlüsselung) zeigt;
11 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die die Verarbeitungsreihenfolge von Daten in der Speichervorrichtung unter Verwendung von Daten zum Bestimmen der Ausführungsreihenfolge ändert, eine Verschlüsselung und Entschlüsselung von Daten unter Verwendung von Schlüsseldaten durchführt und die Reihenfolge der verschlüsselten und entschlüsselten Daten auf die Reihenfolge zum Zeitpunkt der Eingabe unter Verwendung der Daten zum Bestimmen der Ausführungsreihenfolge wiederherstellt (während der Entschlüsselung);
12 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die eine Verschlüsselung/Entschlüsselung durch Ändern der Verarbeitungsreihenfolge durchführt;
13 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die Datenspeicherstellen ändert, dann Daten verschlüsselt und entschlüsselt und die Daten speichert;
14 ein Blockdiagramm ist, das eine Datenverarbeitungseinheit zeigt, die Datenspeicherstellen ändert, dann Daten verschlüsselt und entschlüsselt und die Daten speichert; und
15 ein erläuterndes Diagramm ist, das ein Verfahren zum Austauschen von Datenspeicherstellen derart, dass die ausgetauschten Speicherstellen aus den ursprünglichen Speicherstellen nicht abgeschätzt werden können, zeigt.
AUSFÜHRLICHE BESCHREIBUNG DER ERFINDUNG
Es soll selbstverständlich sein, dass die Fig. und Beschreibungen der vorliegenden Erfindung vereinfacht wurden, um Elemente, die für ein klares Verständnis der vorliegenden Erfindung relevant sind, darzustellen, während für Klarheitszwecke andere Elemente, die gut bekannt sein können, beseitigt sind. Fachleute werden erkennen, dass andere Elemente erwünscht und/oder erforderlich sind, um die vorliegende Erfindung zu implementieren. Da jedoch solche Elemente auf dem Fachgebiet gut bekannt sind und da sie ein besseres Verständnis der vorliegenden Erfindung nicht erleichtern, wird hierin eine Erörterung solcher Elemente nicht vorgesehen. Die ausführliche Beschreibung wird nachstehend mit Bezug auf die beigefügten Zeichnungen vorgesehen.
Ausführungsformen der Erfindung werden nun mit Bezug auf die beigefügten Zeichnungen unter der Annahme, dass die Verschlüsselung und Entschlüsselung unter Verwendung eines Kryptosystems mit geheimem Schlüssel durchgeführt werden, beschrieben.
Erste Ausführungsform
Diese Ausführungsform betrifft die Verschlüsselung von zu verarbeitenden Daten. Wie in 2 gezeigt, umfasst die Datenverarbeitung durch eine Datenverarbeitungseinheit E201 grundsätzlich: (a) das Lesen von Daten aus einer Speichervorrichtung E202 (Schritt S201); (b) die Berechnung durch eine Berechnungsausrüstung E203 (Schritt S202); und (c) das Schreiben von Daten in die Speichervorrichtung E202 (Schritt S203). Zu diesem Zeitpunkt werden verschiedene Arten von Datenelementen aus der Speichervorrichtung E202 in Abhängigkeit vom Zweck oder Status der Einheit gelesen. In diesem Beispiel wird angenommen, dass die Datenelemente feste Werte besitzen, wie z. B. die ID-Nummer der Datenverarbeitungseinheit, private Informationen des Eigentümers und die Verschlüsselungsschlüssel. Wenn solche festen Werte von einer Datenverarbeitungseinheit ohne die von der vorliegenden Erfindung bereitgestellten Gegenmaßnahmen gelesen werden, kann ein Angreifer die entsprechenden Daten unter Verwendung der vorstehend beschriebenen Verfahren erhalten.
Eine Datenverarbeitungseinheit E301 gemäß einem beispielhaften Aspekt, die in 3 und 4 gezeigt ist, die keinen Teil der vorliegenden Erfindung bildet, speichert anfänglich Daten d[0] in einer Spei chervorrichtung E302 durch Verschlüsseln der Daten d[0] mit Schlüsseldaten k[0], die in einer anderen Speichervorrichtung E304 gespeichert sind (Schritt S301), um verschlüsselten Daten d'[0] zu erhalten, die dann in der Speichervorrichtung E302 gespeichert werden (Schritt S302). Im vorstehend beschriebenen Schritt (a) kann nach dem Lesen der Daten d'[0] aus der Speichervorrichtung E302 die Berechnungsausrüstung E303 Daten d[0] durch Entschlüsseln von d'[0] mit den Schlüsseldaten k[0] erhalten (Schritt S304). Als nächstes verschlüsselt die Berechnungsausrüstung E303 die Daten d[0] erneut mit neuen Schlüsseldaten k[1], die in der Speichervorrichtung E304 gespeichert sind, um Daten d''[0] zu erhalten (Schritt S305), und speichert die Daten d''[0] in der Speichervorrichtung E302 (Schritt S306). Daher ändern sich die Daten vorzugsweise jedes Mal, wenn sie ausgelesen werden.
Obwohl d[0] mit k[1] in diesem Beispiel erneut verschlüsselt wird, kann d'[0] stattdessen verschlüsselt werden, um d'''[0] zu erhalten. In diesem Fall werden die Daten d'''[0] unter Verwendung von k[1] und k[0] nacheinander erhalten.
In einem weiteren Beispiel wird ein neuer Schlüssel k'[0] aus k[1] und k[0] für die direkte Entschlüsselung von d'''[0] und d[0] erzeugt. Insbesondere wenn eine Exklusiv-ODER-Operation als kryptographisches Verarbeitungsverfahren verwendet wird, gilt die folgende Beziehung
d''[0] = d'[0] Exklusiv-ODER k[1] = (d[0] Exklusiv-ODER k[0]) Exklusiv-ODER k[1] = d[0] Exklusiv-ODER (k[0] Exklusiv-ODER k[1])
Daher gilt, wenn k'[0] = k[0] Exklusiv-ODER k[1] verwendet wird, dann
d''[0] Exklusiv-ODER k'[0] = d[0] Exklusiv-ODER (k[0] Exklusiv-ODER k[1]) Exklusiv-ODER (k[0] Exklusiv-ODER k[1]) = d[0]
Folglich kann die Entschlüsselung implementiert werden. Die Additions- oder Multiplikationsoperationen in endlichen Feldern können auch anstelle der Exklusiv-ODER-Operation verwendet werden, um zu bewirken, dass dieselbe Beziehung gilt. Daten, die vom Benutzer vorbereitet werden oder von der Datenverarbeitungseinheit selbst bereitgestellt werden, können in der Speichervorrichtung zur Verwendung als nicht zufällige Schlüsseldaten gespeichert werden oder die Ausgabe aus einem Zufallszahlengenerator E405 kann in der Speichervorrichtung, wie in 4 gezeigt, zur Verwendung als Schlüsseldaten gespeichert werden.
In einem beispielhaften Aspekt, der keinen Teil der vorliegenden Erfindung bildet, können mehrere Verschlüsselungsschlüssel entsprechend jeder möglichen Datenlänge vorbereitet werden, wie in 5 gezeigt, oder ein gemeinsamer Schlüssel kann von der ganzen Speichervorrichtung verwendet werden, wie in 6 gezeigt. Die zwei Speichervorrichtungen E501 und E504, die in 5 gezeigt sind, können unabhängige Speichervorrichtungen sein oder sie können zu einer Speichervorrichtung kombiniert werden, aus der Daten gelesen und in die Daten geschrieben werden. Es können mehrere Speichervorrichtungen E502, E505 und E506 zum Speichern von Schlüsseldaten vorhanden sein oder die Speichervorrichtungen E502, E505 und E506 können ein einzelne Speichervorrichtung sein, in der die Schlüsseldaten sequentiell aktualisiert werden.
Wenn Schlüsseldaten k[0] auf Schlüsseldaten k[1] aktualisiert werden, werden Daten, die in einem Bereich gespeichert sind, der mit denselben Schlüsseldaten k[0] verschlüsselt ist, erneut mit den Schlüsseldaten k[1] verschlüsselt. Das Verringern der Größe des Bereichs verringert die Menge an erneuter Verschlüsselung, die erforderlich ist, wenn die Schlüsseldaten aktualisiert werden, wodurch die Verarbeitungslast verringert wird, erfordert jedoch das Hinzufügen einer neuen Speichervorrichtung zum Halten von mehreren Schlüsseldatenelementen oder zur Verarbeitung für die Aktualisierung von Schlüsseldaten.
Der Benutzer kann die Aktualisierung von Verschlüsselungsschlüsseln manuell lenken und Daten, die in einer Speichervorrichtung gehalten werden erneut verschlüsseln, oder eine Entschlüsselungs/Verschlüsselungseinheit kann die Aktualisierung automatisch durchführen lassen.
Es soll angenommen werden, dass DES als Verschlüsselungsalgorithmus verwendet wird. DES verwendet 56-Bit-Schlüsseldaten, eine 64-Bit-Eingabe und eine 64-Bit-Ausgabe. Nun soll angenommen, dass 64-Bit-Daten d'[0], die mit 56-Bit-Schlüsseldaten k[0] verschlüsselt und in der Speichervorrichtung gespeichert wurden, ausgelesen werden. Als nächstes werden neue 56-Bit-Schlüsseldaten k[1] durch den Zufallszahlengenerator erzeugt. Wenn die Anzahl von 64-Bit-Blöcken in dem mit den Schlüsseldaten k[0] verschlüsselten Bereich n ist (wobei n eine natürliche Zahl ist), werden die gespeicherten Daten d[i] (wobei i von 0 bis n variiert) in 64-Bit-Einheiten aus dem oberen Block in der Speichervorrichtung nacheinander oder in zufälliger Reihenfolge gelesen und (kein Teil der vorliegenden Erfin dung) mit Schlüsseldaten k[0] entschlüsselt, was Datenelemente d[0] bis d[n-1] ergibt. Anschließend werden diese Datenelemente mit den Schlüsseldaten k[1] gleichzeitig oder anschließend erneut verschlüsselt und die resultierenden Datenelemente d''[0] ... d''[n-1] werden in der Speichervorrichtung gespeichert. Die Datenelemente d'[0] ... d'[n-1] können auch mit den Schlüsseldaten k[1] erneut verschlüsselt werden, um d'''[0] ... d'''[n-1] zu erhalten. Das Entschlüsselungsverfahren ist wie vorstehend beschrieben.
In dieser Ausführungsform werden verschlüsselte Daten nur in den Speichervorrichtungen gespeichert, die in der Datenverarbeitungseinheit vorgesehen sind, und werden nicht nach außen ausgegeben. Ferner werden Datenverarbeitungseinheiten mit hoher Sicherheit mit verfälschungssicheren Vorrichtungen geschaffen, was den Zugriff auf die darin gehaltenen Vorrichtungen schwierig macht, was verhindert, dass intern gehaltene Daten bekannt sind. Daher ist es für einen Analysator schwierig, Eingabe-Ausgabe-Textpaare zu erkennen, die erforderlich sind, um die Verschlüsselungsschlüssel zu analysieren und um Schlüsseldatenelemente zu bestimmen, die in den Vorrichtungen verwendet werden. Folglich ist es möglich, dieselben Schlüsseldaten für einen festen Zeitraum zu verwenden, anstatt die Schlüsseldaten jedes Mal, wenn Daten verarbeitet und ausgelesen werden, zu aktualisieren.
Der folgende Absatz betrifft einen beispielhaften Aspekt, der keinen Teil der vorliegenden Erfindung bildet. Es ist offensichtlich, dass andere Kryptosysteme mit geheimem Schlüssel als DES verwendet werden können. Kryptosysteme mit öffentlichem Schlüssel können auch verwendet werden, aber die Verarbeitungsgeschwindigkeiten sinken. Wenn ein Kryptosystem mit öffentlichem Schlüssel verwendet wird, wird ein Paar von Schlüsseln e[0] und d[0] erzeugt, wobei e[0] ein Verschlüsselungsschlüssel ist und d[0] ein Entschlüsselungsschlüssel ist. Daten x, die mit e[0] verschlüsselt werden, werden in einer Speichervorrichtung gespeichert. Die Daten x werden aus der Speichervorrichtung gelesen und mit d[0] entschlüsselt, was die entschlüsselten Daten x' ergibt. Ein neues Paar von Schlüsseln e[1] und d[1] wird erzeugt, wobei e[1] ein Verschlüsselungsschlüssel ist und d[1] ein Entschlüsselungsschlüssel ist. Die entschlüsselten Daten x' werden mit dem Verschlüsselungsschlüssel e[1] erneut verschlüsselt und die erneut verschlüsselten Daten x'' werden in der Speichervorrichtung gespeichert.
In einem Kryptosystem mit geheimem Schlüssel muss derselbe Schlüssel mindestens zweimal verwendet werden, einmal für die Verschlüsselung und einmal für die Entschlüsselung, während in einem Kryptosystem mit öffentlichem Schlüssel verschiedene Schlüssel zum Zeitpunkt der Verschlüsselung und Entschlüsselung verwendet werden, so dass es möglich ist, die Anzahl von Verwendungen von jedem Verschlüsselungsschlüssel und Entschlüsselungsschlüssel nur auf eine zu begrenzen. Dies kann es schwierig machen, den Entschlüsselungsschlüssel vorherzusagen, selbst wenn der Verschlüsselungsschlüssel offenbart wird, und umgekehrt. Da die Datenanalyse schwieriger wird, wenn die Anzahl von Möglichkeiten, die Daten zu beobachten, abnimmt, ist es im Allgemeinen bevorzugt, Kryptosysteme mit öffentlichem Schlüssel für sicherheitskritische Anwendungen zu verwenden. Obwohl die kryptographische Verarbeitung unter Verwendung eines Kryptosystems mit geheimem Schlüssel angenommen wird, wenn nicht anderweitig angegeben, ist folglich ein Kryptosystem mit öffentlichem Schlüssel auch anwendbar.
Zweite beispielhafte Ausführungsform
Diese Ausführungsform betrifft das Zufälligmachen der Ausführungsreihenfolgen und Datenstellen.
(2-1) Entschlüsselungsverfahren unter Verwendung von Datenstelleninformationen
Im Folgenden wird ein beispielhafter Aspekt, der keinen Teil der vorliegenden Erfindung bildet, beschrieben. Es soll angenommen werden, dass die modulare Potenzierung y^x mod N durchgeführt wird. Die modulare Potenzierung ist eine wesentliche Operation im kryptographischen RSA-Algorithmus mit öffentlichem Schlüssel. Bei RSA ist N ein öffentlicher Schlüssel und bekannte Informationen, y sind Eingangsdaten und x ist ein geheimer Exponent. Die modulare Potenzierung muss durchgeführt werden, um den Austritt des geheimen Exponenten zu verhindern.
Ein bekanntes Verfahren zum Durchführen von modularen Potenzierungsoperationen mit hoher Geschwindigkeit ist das Additionskettenverfahren. Diese Ausführungsform stellt ein Beispiel unter Verwendung des 2-Bit-Additionskettenverfahrens bereit. Es soll angenommen werden, dass x 2048 Bits lang ist und x[i] den i-ten 2-Bit-Block darstellt. Das heißt 0 ≤ x[i] ≤ 3. Die folgende Operation wird durchgeführt.
Die Operation wird in vier Zweige (b-1) bis (b-4) in Abhängigkeit von dem Wert des geheimen Exponenten unterteilt. Wenn x eine Zufallszahl ist, werden die Operationen (b-1) bis (b-4) 256 mal jeweils im Durchschnitt verarbeitet. Für Operationen (b-1) bis (b-4) müssen, um y⁰ mod N, y¹ mod N, y² mod N und y³ mod N durch Durchführen von Multiplikation modulo N zu erhalten, Daten, die in der Speichervorrichtung gespeichert sind, ausgelesen werden. Durch Beobachten der Daten, die übertragen und zum Zeitpunkt der Multiplikation modulo N verwendet werden, kann ein Angreifer mitteilen, welche Operation unter den Operationen (b-1) bis (b-4) durchgeführt wird, und folglich das entsprechende x[i] identifizieren. Der geheime Exponent kann in dieser Weise ermittelt werden.
Die Datenverarbeitungseinheit gemäß dieser Ausführungsform erzeugt y⁰ mod N, y¹ mod N, y² mod N und y³ mod N aus der Eingabe y als anfängliche Berechnung, verschlüsselt sie unter Verwendung der Schlüsseldaten k[0] E707, k[1] E7088, k[2] E709 bzw. k[3] E710, speichert sie dann in Form einer Tabelle E703, E704, E705, E706, so dass auf sie später Bezug genommen werden kann (siehe 7). Eine Schleife im Additionskettenprozess unterteilt die Operation in einen der Zweige (b-1) bis (b-4) und die Tabellendaten werden in der in 8 gezeigten Weise ausgelesen (Schritte S801, S802, S803 und S804). Die gelesenen Daten werden mit den entsprechenden Schlüsseldaten (E807, E808, E809 und E810) in einer Verschlüsselungs/Entschlüsselungseinheit E802 entschlüsselt und werden dann zum externen Ausgang E801 der Berechnungsanlage oder zur Speichervorrichtung oder zur Datenverarbeitungseinheit übertragen. Die Daten gemäß den Berechnungen y⁰ mod N, y¹ mod N, y² mod N und y³ mod N, die in der Speichervorrichtung gespeichert sind, werden alle erneut mit neuen Verschlüsselungsschlüsseln k'[0] E907, k'[1] E908, k'[2] E909 und k'[3] E910, wie in 9 gezeigt, verschlüsselt, dann in der Speichervorrichtung gespeichert (Schritte S901, S902, S903 und S904). Dies verhindert, dass der Analysator weiß, welche der Operationen (b-1) bis (b-4) verwendet wird, da, wenn y⁰ mod N in einer Schleife verwendet wird und anschließend wieder verwendet wird, die in jedem Fall ausgelesenen Werte unterschiedlich sind.
In dieser beispielhaften Beschreibung, die nicht auf die vorliegende Erfindung Bezug nimmt, wird angenommen, dass die Schlüsseldatenelemente von k[0] bis k[3] und von k'[0] bis k'[3] voneinander verschieden sind, aber es möglich ist, die Speichervorrichtung, die zum Speichern von Schlüsseldaten verwendet wird, kompakter zu machen, indem k[0] = k[1] = k[2] = k[3] und k'[0] = k'[1] = k'[2] = k'[3] definiert wird. Außerdem ist es möglich, verschiedene Speichervorrichtungen für k[0] bis k[3] und k'[0] bis k'[3] zu verwenden, und es ist auch möglich, die Speichervorrichtung kompakter zu machen, indem Daten umgeschrieben werden, um die Verwendung derselben Speichervorrichtung zu ermöglichen. Ferner kann die Steigerung der Verarbeitungszeit minimiert werden, wenn nur Daten, die verwendet wurden, mit einem neuen Verschlüsselungsschlüssel erneut verschlüsselt werden. In diesem Fall werden die Verschlüsselungsschlüssel mit den Datenelementen in Zusammenhang gehalten, wie in 7, 8 und 9 gezeigt.
Obwohl diese Ausführungsform in Bezug auf das 2-Bit-Additionskettenverfahren beschrieben wurde, kann es auch auf das allgemeine n-Bit-Additionskettenverfahren, das Gleitfensterverfahren und andere Verfahren, in denen es erforderlich ist, dieselben Daten wiederholt auszulesen, einschließlich anderer Fälle als der modularen Potenzierung, anzuwenden.
Der folgende Abschnitt ist eine beispielhafte Beschreibung von weiteren Aspekten der Erfindung.
(2-2) Zufälligmachen der Ausführungsreihenfolge
10 zeigt eine Verschlüsselungseinheit, die eine Verschlüsselungsverarbeitung in einer zufälligen Reihenfolge durchführt, und 11 zeigt die entsprechende Entschlüsselungseinheit. In der Datenverarbeitungseinheit liest eine Ausführungsreihenfolge-Steuereinheit E1002 Daten aus einer Speichervorrichtung E1001 mit Ausführungsreihenfolge-Steuerdaten s[0], die in einer Speichervorrichtung E1004 gespeichert sind, und speichert Daten in einer permutierten Stellenreihenfolge in einer Speichervorrichtung E1003. Die Berechnungsausrüstung E1006 in der Verschlüsselungs-/Entschlüsselungseinheit verschlüsselt die in der Speichervorrichtung E1003 gespeicherten Daten mit Schlüsseldaten k[0] nacheinander und speichert die verschlüsselten Daten in einer anderen Speichervorrichtung E1007. Eine Ausführungsreihenfolge-Steuereinheit E1008 führt die Permutationen, die in der Ausführungsreihenfolge-Steuereinheit E1002 durchgeführt werden, unter Verwendung der Ausführungsreihenfolge-Steuerdaten s[0] umgekehrt durch und speichert die Daten in einer Speichervorrichtung E1009 in derselben Reihenfolge, in der die verschlüsselten Daten in der Speichervorrichtung E1001 gespeichert wurden. Die Ausführungsreihenfolge-Steuerdaten, die in der Speichervorrichtung E1004 gespeichert werden, können willkürlich vom Benutzer definiert werden oder können von einem Zufallszahlengenerator eingegeben werden. Insbesondere besteht keine Notwendigkeit, dass die Ausführungsreihenfolge-Steuerdaten s[0] E1004 und s[1] E1104 gleich sind.
Obwohl in dieser Ausführungsform die Speichervorrichtungen E1001 und E1003 in der Verschlüsselungseinheit und E1007 und E1009 in der Entschlüsselungseinheit in 10 und die Speichervorrichtungen E1101 und E1103 in der Verschlüsselungseinheit und E1007 und E1009 in der Entschlüsselungseinheit in 11 als verschiedene Speichervorrichtungen beschrieben sind, kann jedes Paar von Speichervorrichtungen zu einer Speichervorrichtung kombiniert werden, indem die darin gespeicherten Daten aktualisiert werden. Die Speichervorrichtungen E1001, E1003, E1007 und E1009 und die Speichervorrichtungen E1101, E1103, E1107 und E1109 können auch jeweils als eine Speichervorrichtung implementiert werden.
Wie in 12 gezeigt, ist ferner eine schnellere kryptographische Verarbeitung durch Permutieren nur der Ausführungsreihenfolgen der Prozesse S1201, S1202, S1203, S1204, S1205, S1206 und S1207, anstatt der Prozedur zu folgen, die die Reihenfolge von Daten, die aus der Speichervorrichtung gelesen werden, in der Ausführungsreihenfolge-Steuereinheit permutiert und die Daten nach der Permutation vor dem Beginn der Verschlüsselungs- und Entschlüsselungsoperation wiederherstellt, möglich. Insbesondere wird die Verarbeitungsreihenfolge, die gewöhnlich sequentiell von d[0] bis d[6] ist, so manipuliert, dass sie immer unvorhersagbar ist. Wie in der ersten Ausführungsform können die Ausführungsreihenfolge-Steuerdaten gehalten werden, um die Ausführungsreihenfolge zu definieren, wodurch ermöglicht wird, dass der Benutzer die Reihenfolge selbst definiert, oder ein Zufallszahlengenerator kann die Ausführungsreihenfolge-Steuerdaten erzeugen, um zu bewirken, dass die Verarbeitung in einer Reihenfolge durchgeführt wird, die vom Analysator nicht vorhergesagt werden kann. In 12 wird angenommen, dass die Schlüsseldatenelemente E1204 bis E1210 voneinander verschieden sind, aber sie können zu Schlüsseldaten (kein Teil der vorliegenden Erfindung) als k[0] = k[1] = k[2] = k[3] = k[4] = k[5] = k[6] kombiniert werden.
(2-3) Zufälligmachen von Datenstellen
Wie vorstehend beschrieben, sind durch Datenverarbeitungseinheiten zu verarbeitende Daten durch zwei Parameter gekennzeichnet: wobei einer ihre Schreibweise angibt und der andere ihre Stelle angibt, wie z. B. binäre Schreibweise in Computern und die Adresse in einem CPU-Adressraum. Datenanalyseverfahren und ihre Gegenmaßnahmen in Abhängigkeit von der Schreibweise sind wie vorste hend beschrieben. Eine Ausführungsform der Gegenmaßnahmen gegen die Datenanalyse unter Verwendung von Datenadressen wird nun beschrieben.
Diese Ausführungsform nimmt eine modulare Potenzierung an. Das 2-Bit-Additionskettenverfahren wird verwendet, wie vorstehend beschrieben.
Dieses Verfahren verbirgt die Ausdrücke y⁰ mod N, y¹ mod N, y² mod N und y³ mod N durch Verschlüsseln derselben, um zu verhindern, dass der Analysator vorhersagt, welche von (b-1), (b-2), (b-3) und (b-4) verwendet wird, und speichert sie in der Speichervorrichtung. Außerdem ändert diese Ausführungsform die Datenstellen. Als Beispiel werden Permutationen von Datenstellen beschrieben.
Wie in 13 gezeigt, stellt eine Datenverarbeitungseinheit vier Blöcke b[0] (E1304), b[1] (1305), b[2] (1306) und b[3] (1307) bereit, um y⁰ mod N, y¹ mod N, y² mod N bzw. y³ mod N zu speichern. Als anfängliche Berechnung werden y⁰ mod N, y¹ mod N, y² mod N und y³ mod N aus der Eingabe y erzeugt und mit dem Verschlüsselungsschlüssel k[0] verschlüsselt, dann in den vorstehend beschriebenen entsprechenden Blöcken gespeichert. Zu diesem Zeitpunkt werden die Werte von y⁰ mod N, y¹ mod N, y² mod N und y³ mod N, die mit dem Verschlüsselungsschlüssel k[0] verschlüsselt wurden, in einer zufälligen Reihenfolge in den Blöcken b[0] bis b[3] gespeichert (Schritte S1301, S1302, S1303 und S1304).
Diese Ausführungsform permutiert die Blöcke b[0] bis b[3] in zufälliger Reihenfolge in jeder Verarbeitungsschleife und verschlüsselt alle von y⁰ mod N, y¹ mod N, y² mod N und y³ mod N, die in den Blöcken b[0] bis b[3] in einer undefinierten Reihenfolge gespeichert sind, erneut mit einem neuen Verschlüsselungsschlüssel k[1] und speichert die Ergebnisse (Schritte S1401 bis S1404 in 14). Es besteht jedoch kein Bedarf, alle Blöcke b[0] bis b[3] in jeder Verarbeitungsschleife zu permutieren. Es soll beispielsweise angenommen werden, dass ein in b[0] gespeicherter Wert ausgelesen wird. Eine Permutation von b[0] und einem der Blöcke b[1] bis b[3] wird unter Verwendung der Ausgabe aus dem Zufallszahlengenerator mit der Wahrscheinlichkeit von 3/4 durchgeführt. Die Wahrscheinlichkeit, dass jeder der Blöcke b[1] bis b[3] zur Permutation mit b[0] ausgewählt wird, wird auf 1/3 gesetzt. Wie durch die Zustandsänderung von E1501 auf E1503 in 15 gezeigt, wenn b[0] mit b[1] permutiert wird, dann werden b[2] und b[3] auch permutiert. wenn b[0] mit b[2] permutiert wird, dann werden ebenso b[1] und b[3] permutiert (E1504); wenn b[0] mit b[3] permutiert wird, dann werden b[1] und b[2] permutiert (E1505). Durch Folgen dieser Prozedur wird die Wahrscheinlichkeit, dass das Zugreifen auf b[0] erneut auf die vorherigen Daten trifft, zu 1/4. Wie aus 15 ersichtlich ist, wird die Wahrscheinlichkeit, dass dieselben Daten gespeichert werden, wenn auf b[1], b[2] und b[3] erneut zugegriffen wird, jeweils auch zu 1/4. Jedes von E1502, E1503, E1504 und E1505 in 15 tritt mit der Wahrscheinlichkeit von 1/4 auf, so dass der Analysator keine Informationen über die verarbeiteten Daten aus den Stellen, an denen auf die Daten zugegriffen wird, erhalten kann.
Es besteht eine gewisse Wahrscheinlichkeit, dass die Permutationszielstellen aus den Stellen bestimmt werden können, auf die zum Zeitpunkt der Permutation zugegriffen wird. Unterschiede unter den Permutationen b[0] und b[1], b[0] und b[2] und b[0] und b[3] können beispielsweise aufgrund der Stellen, auf die zugegriffen wird, beo bachtet werden. Daher ist es bevorzugt, wenn Zugriffe auf alle Blöcke durchgeführt werden, damit nicht unausgeführte Permutationen beobachtet werden sollen.
In dieser Ausführungsform werden Permutationen von Stellen durchgeführt, um den Bedarf für zusätzlichen Platz in der Speichervorrichtung zu beseitigen. Ein ähnlicher Effekt kann durch Bereitstellen eines Speicherbereichs, der größer ist als die Größe der zu speichernden Daten, und willkürliches Ändern der Speicherstellen erzeugt werden. Wenn die Verarbeitungsreihenfolge der Schritte, durch die die Speicherstellen geändert werden, in der vorstehend beschriebenen Weise zufällig gemacht wird, kann die Analyse schwieriger gemacht werden.
Es ist unmöglich, Rauschen, das in Messdaten enthalten ist, wie z. B. Größen von Stromverbrauchsdaten und Daten von elektromagnetischer Strahlung, durch Verarbeitung von einem Messdatenelement zu beseitigen. Es ist erforderlich, solches Rauschen durch Mitteln von Messdaten, die von mehreren Messungen erhalten werden, zu beseitigen. Wenn jedoch die Daten bei jeder Messung variieren oder variieren, bevor eine angemessene Anzahl von Messabtastwerten erhalten ist, um das Rauschen zu beseitigen, mischt eine Mittelungsoperation nur die Signalelemente in den Daten. Daher kann der Analysator die Inhalte der Zieldaten durch Beobachten des Stromverbrauchs nicht ableiten.
Durch Verringern der Korrelation zwischen den verarbeiteten Daten und dem Stromverbrauch und der elektromagnetischen Strahlung der Datenverarbeitungseinheit, obwohl eine Hardware mit vergleichsweise kleinem Maßstab und mit vergleichsweise geringem Rechen mehraufwand verwendet wird, können es die Ausführungsformen der vorliegenden Erfindung schwierig oder unmöglich machen, dass ein Analysator Informationen erhält.
Nichts in der obigen Beschreibung soll die vorliegende Erfindung auf irgendwelche speziellen Materialien, irgendeine spezielle Geometrie oder Orientierung von Teilen begrenzen. Viele Teil/Orientierungs-Austauschvorgänge werden innerhalb des Schutzbereichs der vorliegenden Erfindung in Betracht gezogen. Die hierin beschriebenen Ausführungsformen wurden nur beispielhaft dargestellt und sollten nicht verwendet werden, um den Schutzbereich der Erfindung, der durch die beigefügten Ansprüche definiert ist, zu begrenzen.
Obwohl die Erfindung hinsichtlich spezieller Ausführungsformen in einer Anwendung beschrieben wurde, kann ein üblicher Fachmann angesichts der Lehren hierin zusätzliche Ausführungsformen und Modifikationen erzeugen, ohne vom Schutzbereich der beanspruchten Erfindung abzuweichen. Folglich ist es selbstverständlich, dass die Zeichnungen und die Beschreibungen hierin nur beispielhaft angeboten sind, um das Verständnis der Erfindung zu erleichtern, und nicht zur Begrenzung von deren Schutzbereich aufgefasst werden sollten.

Claims

Datenverarbeitungseinheit, die umfasst: eine erste Speichervorrichtung (E302); Berechnungsmittel (E303), die einen zweiten Speicher (E304) enthalten; eine Busleitung, die die Berechnungsmittel (E303) und die erste Speichervorrichtung (E302) verbindet, wobei die Berechnungsmittel (E303) im Gebrauch so beschaffen sind, dass sie Daten unter Verwendung erster Schlüsseldaten, die in dem zweiten Speicher (E304) gespeichert sind, verschlüsseln und die verschlüsselten Daten in dem ersten Speicher (E302) speichern; dadurch gekennzeichnet, dass die Berechnungsmittel (E303) so beschaffen sind, dass sie die verschlüsselten Daten aus dem ersten Speicher (E302) auslesen und die verschlüsselten Daten unter Verwendung zweiter Schlüsseldaten erneut verschlüsseln, ohne die verschlüsselten Daten zu entschlüsseln, und die erneut verschlüsselten Daten speichern, und so beschaffen sind, dass sie die erneut verschlüsselten Daten aus dem ersten Speicher (E302) auslesen und die erneut verschlüsselten Daten unter Verwendung dritter Schlüsseldaten, die aus den ersten und den zweiten Schlüseldaten erzeugt werden, entschlüsseln, wobei die zweiten Schlüsseldaten von den ersten Schlüsseldaten verschieden sind.
Datenverarbeitungseinheit nach Anspruch 1, bei der die zweite Speichervorrichtung (E304) ein internes Register ist.
Datenverarbeitungseinheit nach Anspruch 1, bei der die erste Speichervorrichung (E302) ein Schreib-Lese-Speicher (RAM) ist.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 3, bei der die Berechnungsmittel (E303) ferner so beschaffen sind, dass sie für jede vorgegebene Datenlänge unterschiedliche Schlüsseldaten als erste und zweite Schlüsseldaten aus dem zweiten Speicher (E304) auslesen.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 4, bei der die Berechnungsmittel (E303) ferner so beschaffen sind, dass sie für jede Verschlüsselung und erneute Verschlüsselung unterschiedliche Schlüsseldaten als erste und zweite Schlüsseldaten aus dem zweiten Speicher (E304) auslesen.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 5, die ferner einen Zufallszahlengenerator (E405) umfasst, wobei der Zufallszahlengenerator (E405) so beschaffen ist, dass er als erste und zweite Schlüsseldaten Zufallszahlen erzeugt.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 6, bei der die Berechnungsmittel so beschaffen sind, dass sie eine Exklusiv-ODER-Operation für die Verschlüsselung, die erneute Verschlüsslung und die Entschlüsselung verwenden.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 7, bei der die Berechnungsmittel (E303) ferner so beschaffen sind, dass sie die dritten Schlüsseldaten unter Verwendung einer Exklusiv-ODER-Operation an den ersten und den zweiten Schlüsseldaten erzeugen.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 8, bei der die Berechnungsmittel (E303) ferner so beschaffen sind, dass sie den Datenort, von dem die verschlüsselten oder die erneut verschlüsselten Daten ausgelesen werden, und den Datenort der anderen Daten der Verschlüsselung oder der erneuten Verschlüsslung permutieren.
Datenverarbeitungseinheit nach einem der Ansprüche 1 bis 9, bei der die Berechnungsmittel (E303) ferner so beschaffen sind, dass sie gleichermaßen aus den Datenorten der verschlüsselten oder der erneut verschlüsselten Daten und der anderen Daten einen Ort auswählen und den Datenort, von dem die verschlüsselten oder die erneut verschlüsselten Daten ausgelesen werden, und den ausgewählten Datenort der anderen Daten nach der Verschlüsselung oder der erneuten Verschlüsselung permutieren.
Verfahren zum Verschlüsseln/Entschlüsseln von Daten intern in einer Datenverarbeitungseinheit, die Berechnungsmittel (E303), die erste und zweite Schlüsseldaten speichern, eine Speichervorrichtung (E302) und eine Busleitung, die die Berechnungsmittel (E303) und die Speichervorrichtung (E302) verbinden, umfasst, das die folgenden Schritte umfasst: Verschlüsseln von Daten unter Verwendung erster Schlüsseldaten, Speichern der verschlüsselten Daten in der Speichervorrichtung (E302), gekennzeichnet durch Auslesen der verschlüsselten Daten aus der Speichervorrichtung (E302), erneutes Verschlüsseln der verschlüsselten Daten unter Verwendung zweiter Schlüsseldaten ohne Entschlüsselung der verschlüsselten Daten, Speichern der erneut verschlüsselten Daten, Auslesen der erneut verschlüsselten Daten aus der Speichervorrichtung (E302) und Entschlüsseln der erneut verschlüsselten Daten unter Verwendung dritter Schlüsseldaten, die aus den ersten und den zweiten Schlüsseldaten erzeugt werden, wobei die zweiten Schlüsseldaten von den ersten Schlüsseldaten verschieden sind.