DE69733424T2 - Datendekorrelationsverfahren - Google Patents

Description

• Die vorliegende Erfindung betrifft ein Dekorrelationsverfahren für auf einem Arbeitsmedium gespeicherte Daten mittels einer Berechnungseinheit.
• Man kennt zahlreiche Verfahren zur Verschlüsselung von Daten oder zur Kryptografie. Sie stellen die Kodierung der Daten in einer Weise sicher, dass sie nur durch einen autorisierten Empfänger lesbar sind, Besitzer eines Schlüssels. Ihre Wichtigkeit entwickelt sich zugleich damit, dass die Informationsnetze und ihre Benutzung sich in Übereinstimmung mit der in Kraft stehenden Gesetzgebung verallgemeinern sollten.
• Bestimmte Chiffrierverfahren erlauben es, eine unbedingte Sicherheit zu gewährleisten, benötigen aber bedeutende technische Mittel, welche die Kommunikation bremsen oder die Vornahme des Austausches der Schlüssel sehr kostspielig machen, und bestimmte können nicht einmal in der Praxis benutzt werden.
• So benötigt die Verschlüsselung nach Vernam, um eine Menge von Botschaften im Klartext zu verschlüsseln, die Benutzung einer Menge von Schlüsseln der gleichen Länge. Die Synchronisierung des Senders und des Empfängers ist somit schwer zu realisieren.
• Die Bedingungen der unbedingten Sicherheit wurden durch Shannon 1949 formalisiert, welcher ausgehend von der Informationstheorie zeigen konnte, dass die unbedingte Sicherheit bedingt, dass der Schlüssel zumindest gleich der gesamten Größe der Botschaften, welche, ohne sie zu korrumpieren, verschlüsselt werden können, ist.
• So wird zum Sicherstellen des Schutzes von auf einem Arbeitsmedium gespeicherten Daten durch eine Berechnungseinheit, wobei die Daten geeignet sind, übertragen zu werden, ein Verschlüsselungsvorgang realisiert. Damit die Chiffrierung von Botschaften sicher ist, ist es nötig, diese Vorgänge über eine geringe Anzahl von Botschaften unabhängig zu machen.
• Die hauptsächliche momentan benutzte Chiffrierfunktion ist der numerische Chiffrierstandard DES (Data Encryption Standard), welcher von der amerikanischen Regierung verwendet wird. Diese Funktion beruht auf der (6-maligen) Iteration von einfachen Funktionen gemäß einem Schema, welches als „nach Feistel" bezeichnet wird. Das Ziel der großen Anzahl von Iterationen ist es, die Korrelation der chiffrierten Nachrichten zu verringern.
• Eine Vielzahl von Dokumenten beschreibt den DES und insbesondere das Werk mit dem Titel „Cryptographie, theorie et pratique" von Douglas STINSON (International Thomson Publishing).
• Um die Verlässlichkeit der Verschlüsselung zu verbessern und sich gegen umfangreiche Nachforschungen zu wappnen, wurde vorgeschlagen, die Länge des Schlüssels zu vergrößern oder auch eine Dekorrelation erster Ordnung einzuführen. Dies ist, was die Autoren der zwei folgenden Artikel vorgeschlagen haben: Advances in Cryptology – CRYPTO '96, 16th Annual International Cryptology Conference in Santa Barbara, 18.-22. August 1996, Proceedings Nr. Conf. 16, 18. August 1996, Koblitz N (Editor), Seiten 252-267 von KILIAN J. et al., und Advances in Cryptology – ASIACRYPT, Fujiyoshida, 11.-14. November 1991, Nr. Conf. 1, 11. November 1991, Hideki Imai, Rivest R L, Tsutomu Matsumoto, Seiten 210-224 von EVEM S. et al.
• Derartige Maßnahmen reichen jedoch nicht aus, sich vor durch die durch lineare und differenzielle Kryptoanalyse, welche kürzlich entwickelt wurde, ermöglichten Angriffen zu schützen.
• Das Ziel der Erfindung ist daher ein Kryptographieverfahren für Daten, welches eine optimale Sicherheit gewährleistet und mit relativ einfachen Funktionen, welche begrenzte Berechnungsmittel erfordern, realisiert werden kann.
• Hierzu betrifft die Erfindung ein Kryptographieverfahren für auf einem Arbeitsmedium gespeicherte Daten mittels einer Berechnungseinheit, wobei die Berechnungseinheit eine Eingangsinformation x mit Hilfe eines Schlüssels verarbeitet, um eine durch eine Funktion F kodierte Information F(x) bereitzustellen.
• Erfindungsgemäß benutzt die Funktion F ein Dekorrelationsmodul M_K mit einem Rang mindestens gleich zwei derart, dass F(x) = [F'(M_K)](x), wobei K ein zufälliger Schlüssel und F' eine kryptographische Funktion ist.
• In allgemeiner Weise stellt ein Dekorrelationsmodul die Transformation einer Botschaft x durch die einen Schlüssel implizierende Funktion M_K in einer Weise sicher, dass die ausgehend von irgendwelchen t unterschiedlichen Botschaften mit einer zufälligen Variation des Schlüssels erhaltene Verteilung M_K(x₁), ..., M_K(x_t) eine gleichförmige oder quasi gleichförmige Aufteilung aufweist.
• Ein derartiges Dekorrelationsmodul kann daher innerhalb einer Vorrichtung zur Kryptographie von Daten benutzt werden, gegebenenfalls nach einer Vorrichtung zum Aufteilen von Informa tionen, welche ausgehend von der Eingangsinformation x Daten x₀ fester Länge bereitstellt.
• Seine Verwendung ermöglicht es, dass t Blöcke von durch die Funktion F chiffrierten Botschaften c₁, ...,c_t keine statistische Information über diese Funktion geben.
• Bei verschiedenen Ausführungsformen, welche jeweils bestimmte Vorteile aufweisen, kann die Erfindung die folgenden Eigenschaften mit allen ihren technischen möglichen Kombinationen aufweisen:
• – die Eingangsinformation x wird in Elemente x₀ fester Länge aufgeteilt,
• – die Funktion F weist die Form F(x) = F'(M_K(x)) auf,
• – die Kodierungsfunktion F' wird in zwei Funktionen F'' und G'' aufgeteilt, und F(x) = F''(MK(G''(x))),
• – der Dekorrelationsmodul M_K ist invertierbar,
• – der Dekorrelationsmodul M_K(x) = ax + b, wobei K = (a, b) mit a ≠ 0,
• – der Dekorrelationsmodul ist
  
  wobei K = (a, b, c) mit a ≠ 0,
• – die Funktion F ist eine Feistel-Funktion, welche n Iterationen jeweils mit einer Funktion F_i anwendet,
• – der Dekorrelationsmodul M_K ist nicht invertierbar,
• – bei jeder Iteration ist F_i(x) = F'_i(M_K(x)),
• – bei jeder Iteration ist F_i(x) = F''_i(M_K(G''_i(x))),
• – M_K(x) = k₁ + k₂x + k₃x² + ... + k_tx^t-1, wobei K = (k₁, k₂, k₃, ..., k_t).
• Die Erfindung wird nun detaillierter unter Bezugnahme auf die Zeichnung und auf bestimmte Ausführungsbeispiele beschrieben.
• 1 stellt die Anwendung der Erfindung in einem Schema nach Feistel mit acht Iterationen dar.
• Das erfindungsgemäße Chiffrierverfahren von gespeicherten Daten benutzt vorteilhafterweise einen geheimen Schlüssel unter Benutzung eines Dekorrelationsmoduls M_K derart, dass F(x) = [F'(M_K)](x), wobei K ein zufälliger Schlüssel und F' eine Kodierfunktion ist.
• Die Funktion F' wird vorteilhafterweise in zwei Funktionen F'' und G'' aufgeteilt, und F(x) = F''(M_K(G''(x))).
• Die Benutzung derartiger Dekorrelationsmoduln kann auf invertierbare Funktionen F und ebenso auf beliebige Funktionen F angewendet werden.
• Wenn die Funktion F invertierbar ist, ist das Kryptographieverfahren ein Chiffrierverfahren; der Besitzer des Schlüssels kann somit die Eingangsinformation wieder herstellen. Wenn die Funktion F nicht invertierbar ist, ermöglicht das Kryptographieverfahren die Authentifizierung der Daten.
• So ist für einen Wert des Parameters t = 2 die Funktion M_K vorteilhafterweise: MK(x) = ax + bwobei K = (a, b) mit a ≠ 0, und wobei das Vorzeichen + eine Verschiebung des Raumes der Botschaften darstellt.
• Die Dekorrelation wird somit mit der Ordnung 2 durchgeführt. Die inverse Operation ist: (MK)-1(y) = a-1y – a-1bbei einem anderen Ausführungsbeispiel für einen Wert des Parameters t = 3 ist die Funktion M_K vorteilhafterweise:

  

  wobei K = (a, b, c) mit a ≠ 0. Man vereinbart dann, dass bei dieser Operation 1 / 0 = 0. Die inverse Operation ist demnach:

  
• Die Benutzung eines Dekorrelationsmoduls M_K ist auch im Fall von nicht invertierbaren Funktionen vorteilhaft.
• Man benutzt eine algebraische Struktur wie Botschaften, was die Addition und die Multiplikation definiert. Man benutzt beispielsweise die Arithmetik in einem endlichen Körper oder auch eine Arithmetik modulo einer zuerst abgeschnittenen Zahl.
• Für jeden Wert des Parameters t kann somit eine Dekorrelationsfunktion der Form M_K(x) = k₁ + k₂x + k₃x² + ... + k_tx^t-1 vorgeschlagen werden, wobei K = (k₁, k₂, k₃, ..., k_t).
• Das Schema einer derartigen Feistel-Verschlüsselung ist in 1 dargestellt.
• Ein Block Klartext x von 64 Bits: man schreibt daher x = LoRo, wobei Lo die 32 ersten Bits der Kette x und Ro die 32 übrigen Bits enthält.
• Vier Iterationen der gleichen Funktion f werden auf x angewandt. L_iR_i für 1 ≤ i ≤ 4 wird gemäß der Regel:

  

  berechnet, wobei das Vorzeichen + das bitweise Exclusiv-oder der zwei Ketten darstellt, K₁, K₂, K₃, K₄ sind ausgehend von K berechnete Ketten mit 32 Bits.
• Das Ergebnis ist (L₄, R₄). Es wird in der Form L₄R₄ zusammengesetzt, auf welche der Dekorrelationsmodul, beispielsweise: K5K6 × L4R4 + K7K8 angewendet wird, wobei K₅, K₆, K₇, K₈ jeweils Ketten von 32 Bits sind.
• Das Ergebnis dient als Eingang L'₀R'₀ für eine zweite Funktion gemäß dem Schema nach Feistel, entsprechend der vorhergehenden, welche ein Ergebnis L'₄R'₄ = F(x) erzeugt.
• K'₁, K'₂, K'₃, K'₄ sind ebenso Ketten von 32 Bits.
• Der Schlüssel ist hier K₁, K₂, K₃, K₄, K'₁, K'₂, K'₃, K'₄, K₅, K₆, K₇, K₈.
• In allgemeiner Weise können die Funktionen F'' und G'' irgendwelche Kryptographiefunktionen sein.
• Nun werden detailliert zwei bestimmte Ausführungsbeispiele beschrieben.
• Bei dem ersten Beispiel dieser bevorzugten Ausführungsbeispiele wird ein Schema nach Feistel mit acht Iterationen benutzt. G'' ist die aufeinanderfolgende Anwendung von vier Funktionen f₁, f₂, f₃, f₄ und F'' ist die aufeinanderfolgende Anwendung von vier Funktionen f₅, f₆, f₇, f₈, wobei die Funktionen f_i ausgehend von einer Funktion f und dem zufälligen Schlüssel K definiert sind.
• Die Funktion f selbst ist in folgender Weise definiert: wenn x ein 32 Bit-Wort ist, wird zunächst φ(x) definiert: φ(x) = x + 256.S(xmod 256)mod232 wobei S beispielsweise eine durch die Tabellen des Anhangs 1 dargestellte Funktion ist, wobei das auf der Abszisse darge stellt u und das auf der Ordinate dargestellte v jeweils hexadezimale Zahlen sind und dem Paar (u, v) = x der Wert S(x) zugeordnet ist, welcher den durch die Koordinaten (u, v) angezeigten Wert hat.
• f(x) ist durch: f(x)=φ(R11L (φ(x)) + rmod232)definiert, wobei R 11 / L eine ringförmige Permutation von 11 Bit nach links und r eine Konstante ist, welche beispielsweise selbst durch f in der folgenden Weise definiert ist:

  
• Der Schlüssel K ist eine Kette von 256 Bits, welche durch die Verkettung von acht Ketten K_i von jeweils 64 Bits gebildet ist: K = K₁, K₂, K₃, ..., K₈).
• Das Schema nach Feistel wird dann mit den Funktionen f_i durchgeführt: fi(x) = f(x⨁ki),wobei die k_i dann wie folgt definiert sind:

  
• Der Dekorrelationsmodul ist: M(uv) = (uv⨁K5K6)×K7K8
• Bei dem zweiten Beispiel dieser bevorzugten Ausführungsbeispiele wird ein Schema nach Feistel mit 32 Iterationen benutzt:
• Bezüglich des ersten Beispiels ist der Schlüssel K eine Kette von 2048 Bits, r kann seinen Wert behalten und die Funktion f wird durch f' ersetzt: f'(x) = R11L (x) + rmod232
• Die Funktionen f_i werden durch die Funktionen f ' / i ersetzt: f'i (x) = f'(x.K2i-1 + K2imod232 – 5)
• ANHANG 1

  

  Tabelle 1: S(u, v) für v < 8
• 

  Tabelle 2: S(u, v) für v ≥ 8

Claims (12)

1. Kryptographieverfahren für auf einem Arbeitsmedium gespeicherte Daten mittels einer Berechnungseinheit, wobei die Berechnungseinheit eine Eingangsinformation x mit Hilfe eines Schlüssels verarbeitet, um eine durch eine Funktion F kodierte Information F(x) bereitzustellen, dadurch gekennzeichnet, dass die Funktion F ein Dekorrelationsmodul M_K mit einem Rang mindestens gleich zwei derart benutzt, dass F(x) = [F'(M_K)](x), wobei K ein zufälliger Schlüssel und F' eine kryptographische Funktion ist.
2. Kryptographieverfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Eingangsinformation x in Elemente x₀ fester Länge aufgeteilt wird.
3. Kryptographieverfahren nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass die Funktion F die Form F(x) = F'(M_K(x)) aufweist.
4. Kryptographieverfahren nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass die Kodierungsfunktion F' in zwei Funktionen F'' und G'' aufgeteilt ist und dass F(x) = F''(MK(G''(x))).
5. Kryptographieverfahren nach einem der Ansprüche 1-4, dadurch gekennzeichnet, dass der Dekorrelationsmodul M_K invertierbar ist.
6. Kryptographieverfahren nach Anspruch 5, dadurch gekennzeichnet, dass der Dekorrelationsmodul M_K(x) = ax + b ist, wobei K = (a, b) mit a ≠ 0.
7. Kryptographieverfahren nach Anspruch 5, dadurch gekennzeichnet, dass der Dekorrelationsmodul

   

   wobei K = (a, b, c) mit a ≠ 0.
8. Kryptographieverfahren nach einem der Ansprüche 1-4, dadurch gekennzeichnet, dass der Dekorrelationsmodul M_K nicht invertierbar ist.
9. Kryptographieverfahren nach Anspruch 5, dadurch gekennzeichnet, dass die Funktion F eine Feistelfunktion ist, welche n Iterationen jeweils mit einer Funktion F_i anwendet.
10. Kryptographieverfahren nach Anspruch 9, dadurch gekennzeichnet, dass bei jeder Iteration F_i(x) = F'_i(M_K(x)).
11. Kryptographieverfahren nach Anspruch 9, dadurch gekennzeichnet, dass bei jeder Iteration F_i(x) = F''_i (M_K(G''_i(x))).
12. Kryptographieverfahren nach Anspruch 11, dadurch gekennzeichnet, dass M_K(x) = k₁ + k₂x + k₃x² + ... + k_tx^t-1, wobei K = (k₁, k_2, k₃, ..., k_t).