DE102005044949A1

DE102005044949A1 - Verfahren zur Authentifizierung

Info

Publication number: DE102005044949A1
Application number: DE102005044949A
Authority: DE
Inventors: Dirk Dr. Westhoff
Original assignee: NEC Europe Ltd
Current assignee: NEC Europe Ltd
Priority date: 2005-09-20
Filing date: 2005-09-20
Publication date: 2007-03-29
Also published as: JP2007089147A; US20070067631A1

Abstract

Ein Verfahren zur Authentifizierung zwischen mindestens zwei Knoten in einem Netzwerk, vorzugsweise einem drahtlosen Sensornetzwerk, wobei durch einen Sendeknoten eine t Bit lange Hashwert durch Anwenden einer Hashfunktion h berechnet wird, ist im Hinblick auf Übertragung von möglichst wenigen zusätzlichen Daten über das Netzwerk derart ausgestaltet, dass zur Authentifizierung lediglich t-k Bits der Hashwert als gekürzte Hashwert von dem Sendeknoten zu einem Empfangsknoten übertragen werden, wobei k eine feste aber beliebige natürliche Zahl zwischen 1 und t-1 ist, und wobei beim Empfangsknoten der übertragenen Hashwert mit einer Soll-Hashwert verglichen wird.

Description

Die Erfindung betrifft ein Verfahren zur Authentifizierung zwischen mindestens zwei Knoten in einem Netzwerk, vorzugsweise einem drahtlosen Sensornetzwerk, wobei durch einen Sendeknoten ein t Bit langer Hashwert durch Anwenden einer Hashfunktion h berechnet wird.

In den meisten Netzwerken ist die Zuverlässigkeit und Sicherheit der Datenübertragung eine zentrale Anforderung. Dies beinhaltet zum einen, dass die Daten zuverlässig von dem Sendeknoten zu dem Empfangsknoten übertragen werden, zum anderen muss eine Einspeisung von Datenpaketen oder eine Manipulation der übertragenen Daten durch Unberechtigte ausgeschlossen oder verhindert werden. Insbesondere bei drahtlosen Netzwerken sind diese Anforderungen von besonders zentraler Bedeutung, da sich drahtlose Netzwerke physikalisch kaum gegenüber unberechtigtem Zugriff abschotten lassen. Je nach Einsatzbereich ist ein Verhindern des Mitlesens der übertragenen Daten zusätzlich von Bedeutung.

Aus der Praxis sind die verschiedensten Verfahren zur Sicherung der Datenübertragung bekannt. Zum einen werden Protokolle zur Zugangskontrolle eingesetzt, zum andern werden durch entsprechende Sicherheitsmechanismen die übertragenen Daten geschützt. Ein Verändern während der Übertragung oder ein unberechtigtes Einspeisen von Daten in das Netzwerk wird durch verschiedenste Authentikation- und Signierverfahren erschwert. Das Ausspähen der übertragenen Daten kann wirkungsvoll durch eine Verschlüsselung der Daten verhindert werden. Hierzu können Verfahren wie beispielsweise nach PGP (Pretty Good Privacy), S/MIME (Secure/Multipurpose Internet Mail Extension) oder DSA (Digital Signature Algorithm) verwendet werden. Im Bereich der Authentikationsverfahren in restriktiven Umgebungen sei exemplarisch auf die Arbeiten von R. Anderson „A family of new authentication protocols", In Operating System Review, 32(4):9–20, 1998 oder F. Stanjano, R. Anderson, "The Resurrecting Duckling: Security Issues in Ad-Hoc Wireless Networks", 3rd ATT Software Symposium, 1999 verwiesen.

Mit Authentikations-, Signier- und/oder Verschlüsselungsverfahren werden einer zu übertragenden Nachricht zusätzliche Informationen ergänzt, die eine eindeutige Zuordnung der Nachricht zu einem Sender ermöglichen, eine korrekte und verfälschungsfreie Übertragung anzeigen und/oder die Nachricht während der Übertragung in einen nicht-lesbaren Zustand versetzen. Erkauft werden diese Effekte immer dadurch, dass erhebliche Redundanz der übertragenen Nachricht angefügt wird.

Bei vielen Netzwerkverbindungen ist die zusätzlich übertragene Datenmenge unkritisch, da ausreichend Bandbreite zur Verfügung steht. Liegt jedoch beispielsweise ein drahtloses Sensornetzwerk vor, sind meist relativ leistungsschwache Netzwerkverbindungen implementiert. Zusätzlich sind die Leistungsfähigkeit der Prozessoren zur Berechnung der Authentikationskennungen, der Signatur oder der verschlüsselten Nachricht und die Energiereserven sehr beschränkt. Da viele Verfahren sehr rechenintensiv sind, scheiden diese bereits aus diesem Grund aus. Schnell zu berechnende Authentikationsverfahren wie MAC (Message Authentication Code) weisen jedoch häufig den Nachteil auf, dass die erzeugte Redundanz verhältnismäßig groß ist. Derzeit sind keine Verfahren bekannt, die diese gegenläufigen Zielsetzungen zufrieden stellend lösen.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art derart auszugestalten und weiterzubilden, dass eine einfache Berechnung der zusätzlichen Informationen möglich ist, das Netzwerk durch die Übertragung möglichst weniger zusätzlicher Daten belastet wird und dennoch eine möglichst sichere Authentifizierung möglich ist.

Erfindungsgemäß wird die voranstehende Aufgabe durch die Merkmale des Patentanspruches 1 gelöst. Danach ist das in Rede stehende Verfahren zur Authentifizierung dadurch gekennzeichnet, dass zur Authentifizierung lediglich t – k Bits des Hashwerts als gekürzter Hashwert von dem Sendeknoten zu einem Empfangsknoten übertragen werden, wobei k eine feste aber beliebige natürliche Zahl zwischen 1 und t – 1 ist, und wobei beim Empfangsknoten der übertragene Hashwert mit einer Soll-Hashwert verglichen wird.

In erfindungsgemäßer Weise ist zunächst erkannt worden, dass zum Erreichen einer ausreichend sicheren Authentifizierung der Nachricht nicht zwangsläufig eine große Menge an zusätzlichen Bits notwendig sind. Vielmehr reicht eine relativ geringe Anzahl an Bits aus, die durch günstige Wahl der Bitfolge innerhalb der Authentikationskennung ein Erraten der korrekten Bitfolge erheblich erschwert. Für das erfindungsgemäße Verfahren wird eine Hashfunktion eingesetzt, die leicht zu berechnen sind. Durch die Hashfunktion wird ein t Bit langer Hashwert erzeugt. Zur Authentifizierung der Nachricht werden erfindungsgemäß nicht alle t Bits übertragen. Vielmehr wird bei der Übertragung lediglich ein erheblich geringerer Teil des Hashwerts berücksichtigt. Dazu werden t – k Bits des Hashwerts ausgeschnitten und zur Authentifizierung eingesetzt. Der Wert von k ist dabei eine relativ beliebige natürliche Zahl zwischen 1 und t – 1, behält jedoch nach einmaliger Festlegung im Allgemeinen einen festen Wert bei. Der gekürzte Hashwert wird dem Empfangsknoten übermittelt und dort mit einem Soll-Hashwert verglichen und damit eine Authentifizierung durchgeführt. Durch eine Authentifizierung mit t – k Bits des Hashwerts erhöht sich zwar die mögliche Zahl an Kollisionen, allerdings sind dennoch bis zu 2^t-k Versuche notwendig, um zufällig eine passende Authentikationskennung zu erzeugen. Kollisionen sind die Fälle, bei denen trotz unterschiedlicher Eingangswerte in die Hashfunktion derselbe Hashwert generiert wird. Da nicht t Bits sondern lediglich t – k Bits zusätzlich zur zu übertragenden Nachricht gesendet werden müssen, kann die Netzwerkverbindung wesentlich effizienter genutzt werden. Trotz des sehr geringen Mehraufwands kann durch das erfindungsgemäße Verfahren eine sehr effiziente Authentifizierung erreicht werden. Durch eine einfache Berechnung der Hashwert und eine erheblich reduzierte Belastung der Netzwerkverbindung durch die Authentifizierung ist das erfindungsgemäße Verfahren außerordentlich energiesparend. Zusätzlich bietet es einen Schutz gegenüber DoS(Denial of Service)-Attacken.

Vorzugsweise wird der gekürzte Hashwert dadurch erzeugt, dass t – k direkt aufeinander folgende Bits verwendet werden. Besonders einfach wird die Auswahl dann, wenn die ersten t – k Bits des berechneten Hashwerts ausgewählt werden. Da sehr viele Systeme, insbesondere im Bereich der drahtlosen Sensorsysteme, entsprechende Berechnungen mit Hilfe eines Mikrocontrollers durchführen, kann das Verwenden der ersten Bits besonders einfach realisiert werden. Meist handelt es sich um Prozessoren mit einem 8 Bit- oder 16 Bit-breiten Speicher, so dass die Kürzung des Hashwerts durch einfaches Verwenden des Speicherregisters erreicht wird, das die ersten Bits des Hashwerts speichert. Es sei jedoch darauf hingewiesen, dass aus dem Hashwert auch beliebige andere t – k Bits ausgewählt werden können. Dabei ist unerheblich welche Bits der Hashwert verwendet werden. Insbesondere müssen die Bits nicht zwangläufig direkt aufeinander folgen. Einzige Voraussetzung ist, dass dem Sende- und dem Empfangsknoten vor Inbetriebnahme des Systems die Regel bekannt ist, nach der die Bits aus dem Hashwert ausgewählt werden.

Hinsichtlich einer möglichst effektiven Reduktion der übertragenen Datenmenge wird k vorzugsweise derart gewählt wird, dass der gekürzte Hashwert eine Länge in der Größenordnung von 8 Bit aufweist. Üblicherweise beträgt die Länge von Hashwerten 128 Bits, wodurch das erhebliche Potenzial für eine Reduktion der übertragenen Datenmenge deutlich wird. Da im Allgemeinen die Übertragung eines einzelnen Bits ein vergleichbarer Aufwand darstellt wie die Ausführung eines Prozessorbefehls, reduziert sich durch das erfindungsgemäße Verfahren der Aufwand massiv.

Zur Erreichung einer möglichst großen Sicherheit der berechneten Authentikationskennung wird vorzugsweise als Hashfunktion eine geschlüsselte Hashfunktion eingesetzt. Geschlüsselten Hashfunktionen sind Hashfunktionen, deren Ergebnis nicht nur von dem Eingangswert sondern zusätzlich von einem bei der Berechnung gewählten Schlüssel abhängt. Besonders effektiv wird der Einsatz einer geschlüsselten Hashfunktion dann, wenn für jede Authentifizierung ein anderer Schlüssel als Parameter für die geschlüsselte Hashfunktion Verwendung findet.

Damit die Vielzahl von Schlüsseln nicht gesondert bei dem Sende- und Empfangsknoten gespeichert werden müssen, wird als Schlüssel für die geschlüsselte Hashfunktion vorzugsweise ein weiterer Hashwert verwendet, der durch eine weitere Hashfunktion berechnet wird. Die i-te Authentifizierung wird durch einen Hashwert x_n-i durch (n-i)-fache iterative Anwendung der Hashfunktion berechnet. Dabei ist die Hashfunktion derart definiert, dass durch die Anwendung der Hashfunktion auf einen Hashwert x_j ein Hashwert x_j+1 berechnet wird. Eine Umkehrfunktion einer Hashfunktion kann durch die spezielle Wahl der Funktion nicht auf einfache Weise bestimmt werden, d. h. durch Kenntnis eines Hashwerts x_j kann selbst bei vorliegender Hashfunktion nicht ohne sehr großen Aufwand die Hashwert x_j-1 bestimmt werden. Daher werden die Hashwerte in umgekehrter Reihenfolge bekannt gegeben, d. h. die Zahl der iterativen Berechnungen nimmt mit jeder Authentifizierung ab.

Da bei einer Authentikationskennung nicht nur eine Authentifizierung des Senders möglich sein sollte, sondern auch eine verfälschungsfreie Übermittlung der Nachricht überprüft werden soll, könnte die Authentikationskennung von der übermittelten Nachricht abhängen. Deshalb erhält die geschlüsselte Hashfunktion die Nachricht als Parameter und berechnet einen Hashwert, der von der Nachricht und dem Schlüssel abhängig ist. Der auf diese Weise berechnete Hashwert wird schließlich entsprechend gekürzt und gemeinsam mit der zu übermittelnden Nachricht an den Empfangsknoten übermittelt.

Vorteilhafterweise sind nicht nur dem Sendeknoten der Anfangswert x₀, die Hashfunktionen und die Anzahl n der Iterationen der Anwendung der Hashfunktion bekannt. Vielmehr sollten diese Daten auch dem Empfangsknoten bekannt gegeben werden. Vorzugsweise geschieht dies vor Inbetriebnahme des Systems. Am einfachsten könnte dies bereits bei der Fertigung der einzelnen Geräte geschehen.

Am Empfangsknoten könnte basierend auf die empfangene Nachricht, die dort gespeicherten Hashfunktionen, den Anfangswert x₀ und die Anzahl n ebenso eine Authentikationskennung berechnet werden. Dabei kommen in vorteilhafter Weise dieselben oder zumindest vergleichbaren Berechnungsschritte zum Einsatz wie sie am Sendeknoten verwendet wurden. Die am Empfangsknoten berechnete Authentikationskennung dient dann als Soll-Hashwert und wird zur Authentifizierung der empfangenen Nachricht eingesetzt. Stimmen die beiden Hashwerte überein, so wird davon ausgegangen, dass die empfangene Nachricht von dem angegebenen Absender stammt und während der Übertragung nicht verfälscht wurde. In diesem Fall werden die in der Nachricht enthaltenen Informationen und/oder Anweisungen weiterverarbeitet. Differieren die beiden Hashwerte, so wird die empfangene Nachricht verworfen. Dadurch kann eine gewisse Robustheit gegenüber DoS-Attacken erreicht werden.

Es gibt nun verschiedene Möglichkeiten, die Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die dem Patentanspruch 1 nachgeordneten Patentansprüche und andererseits auf die nachfolgende Erläuterung eines bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung zu verweisen. In Verbindung mit der Erläuterung des bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung werden auch im Allgemeinen bevorzugte Ausgestaltungen und Weiterbildungen der Lehre erläutert.

In der Zeichnung zeigt die
einzige Fig. in einer schematischen Darstellung ein System zur Implementierung eines erfindungsgemäßen Verfahrens
Die einzige Fig. zeigt in einer schematischen Darstellung ein drahtloses Sensornetzwerk, das zur Implementierung eines erfindungsgemäßen Verfahrens verwendet werden kann. Mehrere Sensorknoten 1 werden dabei über drahtlose Netzwerkverbindungen 3 mit einer Senke 2 verbunden. Mit dieser Senke 2 ist ein entfernter Rechner 4 über eine drahtgebundene Verbindung 5 verbunden.
Vor Installation der drahtlosen Sensoren 1 wird jedem einzelnen Sensor 1 ein Startwert x₀, eine geschlüsselte Hashfunktion h zum Berechnen der Authentikationskennung, eine weitere Hashfunktion zum Erzeugen des Schlüssels und die maximale Anzahl n von Iterationen zur Anwendung der weiteren Hashfunktion eingespeichert. Bei der geschlüsselten Hashfunktion h handelt es sich um einen MAC (Message Authentication Code), die weitere Hashfunktion ist zum Erzeugen von Lamport's Hashwerten ausgebildet. Dabei gilt, dass durch Anwendung der weiteren Hashfunktion aus einem Hashwert x_j ein Hashwert x_j+1 berechnet werden kann, wobei x₀ als Startwert dient. Zusätzlich können zur Reduzierung des Berechnungsaufwandes für eine bestimmte Anzahl von Anwendungen der weiteren Hashfunktion, beispielsweise nach 64 aufeinander folgenden Berechnungen, Zwischenwerte der Hashwerte abgespeichert sein. Die Senke 2 erhält ebenso eine Kopie der jeweiligen Werte und Funktionen.
Beispielhaft soll eine Abfrage eines Sensorwertes bei Sensor 1.2 gestartet werden und über die Senke 2 an den entfernten Rechner 4 geleitet werden. Dazu startet die Senke 2 eine entsprechende Anfrage bei dem Sensor 1.2. Die Anfrage wird zunächst codiert und dann zur Sicherung gegen unberechtigtes Mitlesen verschlüsselt. Da das Verschlüsselungsverfahren hier nicht von Belang ist, wird davon ausgegangen, dass ein beliebiges aus der Praxis bekanntes Verfahren verwendet wird. Es sollte lediglich sichergestellt sein, dass durch das gewählte Verschlüsselungsverfahren möglichst wenig zusätzliche Redundanz ergänzt wird. Die ver schlüsselte Anfrage bildet schließlich die Nachricht, die an den Sensor gesandt werden soll.
Zur Berechnung der Authentikationskennung wird zunächst ein Schlüssel bestimmt. Dazu wird überprüft, wie viele Anfragen seit Inbetriebnahme des Systems getätigt wurden. Diese Zahl i könnte in einem entsprechenden Register gespeichert sein. Durch (n-i)-faches Anwenden der weiteren Hashfunktion auf den Startwert x₀ wird ein Hashwert x_n-i als Schlüssel berechnet. Nachdem der Schlüssel vorliegt, wird der Schlüssel der geschlüsselten Hashfunktion h übergeben und auf die Nachricht angewandt. Das Ergebnis der Berechnung wird hier mit MAC(m, x_n-i) bezeichnet. Danach werden die t – k ersten Bits der Hashwert ausgeschnitten und mit der Nachricht m zu einer neuen Nachricht <m, (t-k)-MAC(m, x_n-i)> zusammengefasst, wobei (t-k)-MAC(m, x_n-i) die t – k ersten Bits des Hashwerts MAC(m, x_n-i) bezeichnet. Diese neue Nachricht wird schließlich an den Sensorknoten 1.2 übermittelt.
Der Sensorknoten 1.2 – in diesem Fall der Empfangsknoten – extrahiert die Nachricht m' aus der empfangenen Nachricht und berechnet ebenso den Wert x_n-i mit dem Wert von i, der am Sensorknoten bekannt ist. Dazu werden die Werte und Hashfunktionen verwendet, die vor der Installation des Netzwerks in den Sensor eingespeichert wurden. Im Empfangsknoten wird der Hashwert MAC(m', x_n-i) für die empfangene Nachricht bestimmt. Nach einem Ausschneiden der ersten t – k Bits des Hashwerts wird die gekürzte Hashwert mit der empfangenen Hashwert verglichen. Stimmen die beiden gekürzten Hashwerte überein, so wird die Anfrage bearbeitet und der Messwert oder eine weitere Nachricht als Teil eines unter Umständen notwendigen Protokolls an die Senke übermittelt Stimmen die Hashwerte nicht überein, so kann für den nächsten Hashwert x_n-i-1 der Vorgang wiederholt werden. Da x_n-i-1 bereits berechnet wurde, muss lediglich MAC(m', x_n-i-1) bestimmt werden. Dies ist daher sinnvoll, da in einem drahtlosen Netzwerk Anfragen durch den Adressat nicht empfangen werden könnten. Je nach Bedarf können diese Berechnungen in einem vorgegebenen Rahmen mit weiteren Hashwerten wiederholt werden. Wird ein korrekter Hashwert gefunden, so kann die Anfrage bearbeitet werden. Die Senke sollte über die geänderte Anfragenummer informiert werden.
Abschließend sei ganz besonders hervorgehoben, dass das zuvor rein willkürlich gewählte Ausführungsbeispiel lediglich zur Erörterung der erfindungsgemäßen Lehre dient, diese jedoch nicht auf das Ausführungsbeispiel einschränkt.

Claims

Verfahren zur Authentifizierung zwischen mindestens zwei Knoten in einem Netzwerk, vorzugsweise einem drahtlosen Sensornetzwerk, wobei durch einen Sendeknoten ein t Bit langer Hashwert durch Anwenden einer Hashfunktion h berechnet wird, dadurch gekennzeichnet, dass zur Authentifizierung lediglich t – k Bits des Hashwerts als gekürzter Hashwert von dem Sendeknoten zu einem Empfangsknoten übertragen werden, wobei k eine feste aber beliebige natürliche Zahl zwischen 1 und t – 1 ist, und wobei beim Empfangsknoten der übertragene Hashwert mit einem Soll-Hashwert verglichen wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass zur Bestimmung des gekürzten Hashwerts t – k aufeinander folgenden Bits, vorzugsweise die ersten t – k Bits des Hashwerts verwendet werden.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass k derart gewählt wird, dass der gekürzte Hashwert eine Länge in der Größenordnung von 8 Bit ausweist.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass als Hashfunktion h eine geschlüsselte Hashfunktion verwendet wird.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass bei jeder Authentifizierung ein anderer Schlüssel als Parameter für die geschlüsselte Hashfunktion h verwendet wird.
Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass als Schlüssel für die geschlüsselte Hashfunktion h für die i-ten Authentifizierung ein Hashwert x_n-i verwendet wird, der durch eine weitere Hashfunktion berechnet wird.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass der Hashwert x_n-i durch iteratives Anwenden der weiteren Hashfunktion aus einer Startkette x₀ be rechnet wird, wobei durch einmaliges Anwenden der weiteren Hashfunktion aus einem Hashwert x_j ein Hashwert x_j+1 berechnet wird.
Verfahren nach einem der Ansprüche 4 bis 7, dadurch gekennzeichnet, dass der geschlüsselten Hashfunktion die zu übermittelnde Nachricht als Parameter übergeben wird.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass der durch die Hashfunktion h berechnete Hashwert von der übergebenen Nachricht abhängig ist.
Verfahren nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass die Nachricht gemeinsam mit dem gekürzten Hashwert vom Sendeknoten an den Empfangsknoten übermittelt wird.
Verfahren nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass der Soll-Hashwert bei dem Empfangsknoten berechnet wird.
Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass der Soll-Hashwert unter Verwendung der empfangenen Nachricht berechnet wird.
Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass zur Berechnung des Soll-Hashwerts dieselben oder zumindest vergleichbare Berechnungsschritte eingesetzt werden wie am Sendeknoten.
Verfahren nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, dass dem Sende- und dem Empfangsknoten der Startwert x₀, die beiden Hashfunktionen und die Anzahl n der möglichen Anwendungen der weiteren Hashfunktion auf den Startwert bekannt sind.