SE426128B - Metod vid overforing av datameddelanden mellan tva stationer, samt overforingsanleggning for utforande av metoden - Google Patents

Description

8102268-5 De hot som berör själva informationen innebär att man genom aktiv eller passiv avlyssning kan avslöja informationsinnehållet, modifiera informationsin- nehållet eller helt förvrägna informationen. För dessa hot finns principiellt tvâ lösningar, dels kan överföringsledningarna och andra berörda systemelement skyddas fysiskt, dels kan informationen skyddas genom kryptering. I sammanhang- et med bankterminalsystem innebär den vanliga typen av överföring att en termi- nalstation kommunicerar med centraldatorn. Därvid utnyttjas vanligtvis ett pu- blikt eller allmänt datanät. Att fysiskt skydda ett sådant nät skulle om ens möjligt medföra mycket stora kostnader. Den praktiskt möjliga lösningen innebär således kryptering av informationen.

Hârdvaran i systemet hotas av att falsk hårdvara kan uppträda. Sålunda kan en falsk uttagsautomat uppträda i ett banksystem. Detta hot är än allvarligare i s k POS-system ("point of sales system") innebärande att en kund kan betala varor vid ett inköpsställe genom användning av sin personliga databärare i en vid inköpsstället placerad terminalstation, som kan vara falsk. Ett annat hot är att falska personliga databärare kan uppträda i systemet.

I dagsläget förhindras användning av falska databärare genom att en kund måste inmata sin hemliga personkod för att uppnå åtkomst till systemet. Denna procedur ger emellertid inget skydd i fallet med falska terminaler.

Problemet med falska terminaler och falska databärare kan illustreras ge- nom det inom branschen omtalade “garderobsfallet". Detta tänkta fall innebär att en kund påträffar en falsk terminal, som för kunden uppträder som en äkta terminal. Denna falska terminal har förbindelse med den s k "garderoben" i vil- ken det finns utrustning för avläsning av de informationsignaler som härrör från databäraren och från knappsatsen i terminalutrustningen, samt utrustning för att på korrekt sätt vidarebefordra information mellan den falska terminalen och centraldatorn i systemet. Genom avlyssningen utvinnes den inmatade, hemliga personkoden och motsvarande information från databäraren. Dessa informationer kan sedan användas för tillverkning av en falsk databärare. Om en sådan falsk databärare användes frân och till inom ett större geografiskt område kan avse- värd tid förflyta innan förfalskningen upptäckes och motgärder insättas.

"Garderobsfallet" belyser dels problemet med att överföra oskyddad infor- mation på ledningar som är eller kan göras fysiskt åtkomliga. Fallet illustre- rar även behovet av ömsesidig identifiering mellan användare och terminal, d.v.s inte bara användaren mäste tillföra information som efter utvärdering i terminalen utsäger att användaren och hans databärare är behöriga i systemet utan dessutom måste tenninalen tillföra användaren information, som vid använ- darens utvärdering utsäger att terminalen är behörig eller äkta. Denna ömsesi- diga identifiering möjliggöres genom att användarens personliga databära- 8102268-5 re ges formen av ett aktivt kort, på vilket den från terminalen utsända iden- tifieringsinformationen kan utvärderas. Ett sådant aktivt kort kan utgöra en station enligt den ovan använda nomenklaturen.

Genom ömsesidig identifiering av verksamma stationer och kryptering av informationen vid överföring kan sålunda de nämnda hoten avvärjas och de därav följande problemen elimineras. Den uppnådda säkerheten blir då beroende av va- let av identifieringsprocedur och krypteringsmetod. Kryptering av tradionellt slag innebär att behöriga stationer i ett system har tillgång till en krypte- ringsalgoritm och en dekrypteringsalgoritm samt en krypteringsnyckel som tjänstgör som parameter i nämnda algoritmer. Om ett klartextmedelande betecknas x, den krypterade versionen därav eller kryptogrammet betecknas y, krypterings- nyckeln betecknas k, krypteringsalgoritmen betecknas E och dekrypteringsalgo- ritmen betecknas D, så kan detta uttryckas enligt följande y = E(X.k) och x = D(y,kl varvid D utgör den inversa funktionen till E för alla tänkbara värden på k. I ett sådant krypteringssystem behöver algoritmerna ej hemlighållas medan nyckeln k endast får vara känd för behöriga stationer. Krypteringssäkerheten bestämmes av svårigheten att fastställa k. Med kännedom om x och y skall det således vara svårt att fastställa k-värdet för vilket gäller y = E(x,k). Man talar om att fastställandet av k skall vara “databehandlingsmässigt ogenomförbart" innebä- rande praktiskt omöjliga krav på databehandlingskapacitet och/eller tidsåtgång.

Svagheterna med ett sådant krypteringsförfarande är att en och samma krypte- ringsnyckel måste distribueras till alla behöriga stationer i systemet och där- efter hemlighållas vid respektive stationerna. I en större organisation kan distributionen av nycklarna innebära ett stort problem. Som nämnts tidigare utnyttjas i bankterminalsammanhang, liksom även i andra sammanhang, det allmän- na datanätet vid överföring mellan stationer. Överföringen sker då i en oskyd- dad eller s k öppen kanal. Det inses att en nyckel ej utan vidare kan distribu- eras via en sådan kanal. Detta har lett fram till utveckling av system där nyckeln eller delar därav distribuerats i modifierad form till behöriga statio- ner för att vid respektive station kunna återställas under användning av hemlig information. Sålunda erhålles återigen ett system med för stationerna gemensamt hemlig information, vilket inverkar negativt på säkerheten.

Problemet med distribution av krypteringsnycklar förstärks ytterligare av att man eftersträvar tämligen frekventa byten av krypteringsnycklar. önskemålet är att använda en ny krypteringsnyckel vid varje överföringstillfälle. En sådan nyckel benämnes sessionsnyckel. I beroende av tillämpning kan en "session" 8102268-5 omfatta överföring av en viss datamängd vid ett tillfälle eller olika datamäng- der vid olika tillfällen inom en viss tidsrymd, t.ex. en dag.

Uppfinningsändamålet är att åstadkomma en metod för dataöverföring som uppfyller ovannämnda krav och möjliggör ömsesidig identifiering av aktiva sta- tioner och kryptering av informationen under användning av krypteringsnycklar som etableras via överföringskanalen.

Uppfinningsändamålet uppnås genom en metod av inledningsvis nämnt slag som enligt uppfinningen är kännetecknad av att stationen A tillför stationen B ett krypterat första talvärde, som kan dekrypteras av enbart stationen B; att stationen B tillför stationen A ett krypterat andra talvärde, som kan dekrypte- ras av enbart stationen A; att ömsesidig identifiering av stationerna åstad- kommes genom återföring av information under användning av talvärdena; och att både stationen A och stationen B bildar meddelandekrypteringsnyckeln på grundval av de utväxlade talvärdena, vilka företrädesvis har karaktär av slump- tal, under användning av en modifieringsfunktion, varigenom varje datameddelan- de kan överföras mellan stationerna i krypterad fonn under användning av en meddelandekrypteringsfunktion och den bildade meddelandekrypteringsnyckeln.

Enligt en föredragen utföringsform av metoden enligt uppfinningen innebär återföringen av information att varje station återför det från motparten er- hållna talvärdet i en form som kan dekrypteras eller utvärderas av enbart mot- parten. Det framhålles att återföringen av information även kan innebära att ett för parterna känt meddelande återföres efter kryptering genom meddelande- krypteringsfunktionen och den i stationen bildade meddelandekrypteringsnyckeln.

On det krypterade meddelandet har felaktig form har meddelandekrypteringsnyc- keln ej bildats på korrekt sätt ur talvärdena. Sändande station är sålunda ej behörig.

Den uppnådda metoden har följande fördelar: meddelandekrypteringsnyckeln har karaktär av sessionsnyckel och kan etableras via en oskyddad eller öppen kanal, till följd av att nämnda första och andra talvärden kan dekrypteras enbart av stationen B respektive stationen A möjliggöres ömsesidig identi- fiering av stationerna, ömsesidig identifiering och nyckeletablering kan uppnås genom ett litet antal sändningsföljer.

Sistnämnda fördel erhålles vid en föredragen utföringsform av metoden enligt uppfinningen som är kännetecknad av att stationen A sänder ett första kryptogram innehållande det första talvärdet; att stationen B sänder ett andra kryptogram innehållande det andra talvärdet och det genom dekryptering erhållna första talvärdet; och att stationen A sänder ett tredje kryptogram 5 8102268-5 innehållande det genom dekryptering erhållna, andra talvärdet.

Det framhålles att benämningen kryptogram avses innebära en sändnings- sekvens vara informationsinnehåll dolts genom kryptering och/eller på annat sätt så att dekryptering eller utvärdering kan ske endast av behörig mottagare.

Vid tillämpning av metoden enligt uppfinningen i en dataöverföringsanlägg- ning kan hot uppträda i fonn av s.k. "tvillingar". Med en "tvilling" eller tvillingstation till exempelvis stationen A menas en obehörig station, som har tillgång till stationens A hemliga information och sålunda parallellt med den sanna stationen A passivt kan mottaga och dekryptera och/eller utvärdera infor- mation som berör stationen. Till skillnad från det tidigare relaterade "garde- robsfallet" är en tvillingstation okänd för den sanna stationen. Problemet med en passivt lyssnande "tvilling" elimineras enligt ett föredraget utföringsexem- pel på metoden enligt uppfinningen som är kännetecknat av att det andra tal- värdet omvandlas i stationen A genom en omvandlingsfunktion vid återföringen till stationen B; att det första talvärdet omvandlas i stationen B genom om- vandlingsfunktionen vid återföringen till stationen A; och att identifiering sker genom att varje station omvandlar sitt talvärde genom omvandlingsfunk- tionen och jämför detta internt omvandlade talvärde med det återförda, omvand- lade talvärdet.

En "tvillingstation" kan även uppträda aktivt genom att inträda istället för den sanna stationen. Ett sådant hot kan avvärjas genom att man inför varje ny överföring "ser tillbaka" på stationens tidigare transaktioner, vilket exempelvis kan innebära att transaktionerna ges löpnummer och att löpnummer- ställningen avkännes.

Vid metoden enligt uppfinningen kan antalet inledande sändningsföldjer göras minsta möjliga genom att redan det tredje kryptogrammet åtföljs av ett datameddelande, varigenom endast en sändning från vardera stationen behövs för ömsesidig identifiering och nyckeldistribution.

Enligt ännu ett föredraget utföringsexempel på uppfinningen kännetecknas metoden vidare av att att nämnda första och andra kryptogram bildas och dekryp- teras under användning av en krypteringsfunktion och dess invers samt olika nycklar för kryptering och dekryptering, varvid varje station är tilldelad en öppen krypteringsnyckel och en med denna associerad och i stationen hemlighål- len dekrypteringsnyckel, medan varje station vid utgångsläget har kännedom om sin tillhörande hemliga dekrypteringsnyckel, motpartens öppna krypteringsnyckel samt krypteringsfunktionen och dess invers. Genom detta utföringsexempel uppnås en radikal minskning av den gemensamma, hemliga informationen i systemet.

Den gemensamma hemliga informationen kan elimineras helt enligt ett annat föredraget utföringsexempel på uppfinningen enligt vilket den använda omvand- 8102268-5 lingsfunktionen är av typen envägsfunktion. Härigenom uppnås att varje station endast behöver hemlighålla sin tillhörande dekrypteringsnyckel, medan däremot nämnda krypteringsfunktion, meddelandekrypteringsfunktion, omvandlingsfunktion, modifieringsfunktion och, som redan nämnts, krypteringsnycklarna kan vara offentliga.

Uttryckt på annat sätt innebär metoden enligt uppfinningen att man åstad- kommer ömsesidig identifiering av stationerna under användning av ett första och ett andra talvärde som alstras i stationen A respektive stationen B. Iden- tifieringsförloppet resulterar i att varje station känner båda talvärdena. Tal- värdena sammanställes eller modifieras därefter på samma sätt i de båda statio- nerna så att en gemensam och för överföringstillfället unik meddelandekrypte- ringsnyckel (sessionsnyckel) erhålles. Med användning av sessionsnyckeln och en för båda stationerna känd meddelandekrypteringsfunktion överföres sedan medde- landen mellan stationerna.

Uppfinningen beskrivs närmare i det följande under hänvisning till rit- ningarna, där: fig_l_visar ett förenklat blockschema för tre samverkande stati- oner AK, A, B; jjg_§ visar ett diagram innehållande den följd av operations- steg som utföres i två samverkande stationer fram till överföring av ett första datameddelande; jjg_§ visar ett mera detaljerat funktionsblockschema för sta- tionen A vid genomförandet av operationsstegen enligt fig 2.

Den i fig 1 visade stationen AK representerar en såsom aktivt kort upp- byggd, personlig databärare. Liksom övriga stationer i dataöverföringsan- lägg- ningen innefattar AK en identifieringsanordning ID för ömsesidig identifiering mellan AK och en därmed samverkande station. Dessutom ingår en modifieringsan- ordning MODIFI för alstring av en meddelandekrypteringsnyckel genom modifiering av talvärden som utväxlas under den ömsesidiga identifieringen. Meddelandekryp- teringsnyckeln användes sedan för kryptering respektive dekryptering i en med- delandekrypterings-dekrypteringsanordning MCRY, MDECRY. De datameddelanden som skall sändas från AK till motparten erhålles från en meddelandegenerator MGEN och datameddelanden från motparten mottages i en meddelandemottagare MREC.

Stationen AK innefattar därutöver en knappsats PIN för inmatning till kor- tet av en för innehavaren personlig, hemlig kod, s.k. PIN-kod. Den inmatade personkoden överföres till en utvärderingsanordning innefattnde en koincidens- krets COINC och ett referenskodminne REF. I minnet REF finns motsvarigheten till den korrekta personkoden lagrad, vilken tillföres koincidenskretsen. Vid överensstämmelse mellan inmatad och tidigare lagrad personkod alstrar koinci- denskretsen en signal, som tillföres ett organ ACT som då temporärt aktiverar de tidigare nämnda funktionerna på det aktiva kortet. Endast genom denna akti- vering kan ömsesidig identifiering och utväxling av datameddelanden ske mellan 8102268-5 det aktiva kortet AK och samverkande station. Aktiveringsorganet ACT är lämp- ligtvis så utfört att kortet automatiskt inaktiveras efter avslutad överföring.

Före nästa överföring måste AK åter aktiveras genom förnyad inmatning av PIN- koden. Genom detta arrangemang försvåras obehörigt utnyttjande av AK.

Fig 1 visar även två stationer A och B, vilka exempelvis kan utgöras av en bankterminalanordning eller en POS-terminalanordning. I likhet med stationen AK innefattar vardera stationen A respektive B en identifieringsanordning ID, en modifieringsanordning MODIFI, en meddelandekrypterings-dekrypteringsanordning MCRY, MDECRY samt en meddelandegenerator-mottagare MGEN, MREC. I likhet med AK kan stationerna A och B innefatta nämnda medel för PIN-styrd aktivering, d.v.s.

PIN, REF, COINC, ACT, såsom är visat vid A.

Stationerna kan sättas i förbindelse med varandra via en överföringskanal, som i fig 1 är representerad genom dubbelriktade pilar mellan ingående identi- fieringsanordningar och meddelandekrypterings-dekrypteringsanordningar. Överfö- ringskanalen kan innebära galvanisk förbindelse eller en radioförbindelse och kan utgöras av en kanal i ett tidsmultiplexsystem eller ett frekvensmultiplex- system. I bankterminalsammanhang kan överföringskanalen innefatta en del av det allmänna datanätet. Det framhålles att kanalen kan vara upprättad via ytterli- gare stationer, vilka endast vidarebefordrar informationen i oförändrad form.

Diagrammet i fig 2 visar de inledande operationsstegen vid en överföring mellan stationen A och stationen B via överföringskanalen CH. Diagrammet inne- fattar en kolumn ST i vilken operationsstegen är numrerade i följd. Det fram- hålles att numreringen av operationsstegen genomförts utan hänsyn till att vis- sa av stegen kan genomföras samtidigt i de respektive stationerna. I tidplanet betraktat kan därför antalet steg vara färre. Dessutom ingår för varje station en kolumn MEM, i vilken anges vad som finns lagrat i stationen vid varje steg, samt en kolumn OPERATION, som anger de operationer som utföres i stationen. I kolumnen CH visas de sändningsföljder som passerar genom överföringskanalen.

Vid föreliggande utföringsexempel på identifieringsförloppet enligt upp- finningen utnyttjas en krypteringsfunktion E och dess invers D, som arbetar med dubbla nycklar, d.v.s. för varje station en krypteringsnyckel och en med denna associerad dekrypteringsnyckel. Krypteringsnyckeln är öppen, d.v.s. tillgänglig för samtliga stationer i anläggningen, medan stationens dekrypteringsnyckel hemlighâlles i stationen.

Relationen mellan en krypteringsnyckel ka och tillhörande dekrypterings- nyckel da är entydig och kan med hjälp av en funktion F uttryckas enligt ka = F(da) Säkerheten i ett krypteringssystem med öppen nyckel sammanhänger med svårighe- ten att fastställa den hemliga nyckeln med kännedom om den öppna nyckeln. Med 8102268-3 8 hjälp av funktionen F innebär detta att det skall vara "databehandlingsmässigt ogenomförbart" enligt tidigare given definition, att beräkna aa = F'1n vilket innebär att funktionen F skall vara en s.k. envägsfunktion.

Den i förening med ett nyckelpar k, d använda krypteringsfunktionen utgör en s.k. lönndörrsfunktion ("trap door function"). En lönndörrsfunktion har karaktär av envägsfunktion för var och en som ej har tillgång till fullständiga informationer, d.v.s. båda nycklarna k och d samt funktionen och dess invers.

Ett exempel på lönndörrsfunktion är följande C = Mk mod n (1) där C utgör kryptogrammet av meddelandet M, k betecknar den öppna krypterings- nyckeln, n är ett heltal och mod n är en funktion som innebär erhållen rest efter upprepad division med n.

Funktionens “lönndörrsegenskap" innebär att dekryptering kan uppnås endast med kännedom om tillhörande, hemliga dekrypteringsnyckel d genom funktionen M = Cd mod n (2) Vid denna lönndörrsfunktion gäller följande funktionssamband mellan nycklarna k och d k . d = 1 . mod ø(n) (3) där ø(n) betecknar Eulers G-funktion.

Nämnda krypterings- och dekrypteringsfunktion E respektive D kan ha den fonn som anges av uttrycken (1) och (2) ovan. De använda nyckelparen uppfyller då funktionssambandet (3).

I diagrammet i fig 2 användes därutöver följande beteckningar: ka = öppen krypteringsnyckel för stationen A da = hemlig dekrypteringsnyckel för stationen A kb = öppen krypteringsnyckel för stationen B db = hemlig dekrypteringsnyckel för stationen B R1 = talvärde som alstras i stationen A r2 = talvärde som alstras i stationen B f = omvandlingsfunktion av typen envägsfunktion enligt ovanstående definition t = modifieringsfunktion, som t.ex. kan innebära addition tm =för överföringen bildad meddelandekrypteringsnyckel (sessionsnyckel) TM = meddelandekrypteringsfunktion Th = meddelandedekrypteringsfunktion M1 = datameddelande TM1= utfallet från TM av M1 9 8102268-5 gen = generera calc = beräkna tr = sänd re = mottag comp = jämför cgl, cgz cg3 = kryptogram 1, 2, 3 BL = blockeringssignal Förutom vad som framgår av kolumnerna MEM har varje station i utgångsläget kännedom om de öppet tillgängliga funktionerna E,D,f,t,TM och TM. Beträf- fande funktionen f framhålles att den kan realiseras genom samma lönndörrsfunk- tion som krypteringsfunktionen, vilket uppnås genom att välja den ena nyckeln i ett nyckelpar som fast nyckel och undanröja den andra.

Meddelandekrypteringsfunktionen TM och dess invers TM, som användes i kombination med den bildade, s.k. sessionsnyckeln tm, är av den typ som arbe- tar med en nyckel som är känd av både sändare och mottagare. Flera sådana kryp- teringsfunktioner är kända. Ett lämpligt val är den s.k. DES-funktionen eller - algoritmen, där DES står för "The United States Data Encryption Algoritm". För en närmare beskrivning av denna algoritm hänvisas till tidskriften Ericsson Technics No. 2. 1978, sid 104.

Av diagrammet i fig 2 framgår att varje station i utgångsläget, steget O, har lagrat sin hemliga dekrypteringsnyckel och motpartens öppna krypterings- nyckel. Den ömsesidiga identifieringen inleds med att stationen A alstrar ett talvärde rl, som företrädesvis har karaktär av slumptal, varvid rl samti- digt lagras. Under steget 2 krypteras rl med användning av kb, vilket ger sl. Ett första kryptogram cgl bildas av sl och stationens A adress a och överförs till stationen B.

Stationen B mottager egl och återvinner rl genom dekryptering av sl med användning av db och samtidigt lagras rl. Under steget 5 beräknas om- vandlingsfunktionens utfall av det mottagna talvärdet rl, vilket ger sz.

Steget 6 innebär alstring av ett andra talvärde r2, som företrädesvis har karaktär av slumptal, vilket samtidigt lagras. Nästa steg innebär att rz krypteras med användning av nyckeln ka, vilket ger s3. Under följande steg sänds ett andra kryptogram cgz till stationen A innehållande s2,s3,b. 5tätí°"e" Å m°ttë9@f C92. Detta följs av att omvandlingsfunktionens ut- fall av det egna talvärdet rl beräknas, vilket utfall under nästföljande steg 10 jämföres med motsvarande utfall i stationen B, dvs sz, som mottagits i det andra kryptogrammet. Vid missöverensstämmelse alstras under steget 11 blockeringssignalen BL, vilken blockerar eller bryter föbindelsen mellan sta- tionerna. Vid överensstämmelse beräknas talvärdet r2 genom dekryptering av 8102268-5 10 sa, som mottogs i det andra kryptogrammet. Samtidigt lagras beräknat rz.

Som framgår av kolumnerna MEM har i detta läge, d.v.s. vid steget 12, båda stationerna kännedom om både rl och rz. Under det följande steget 13 beräk- nar stationen A sessionsnyckeln tm ur rl,r2. Samtidigt lagras tm. Där- efter beräknas omvandlingsfunktionens utfall av återvunnet rz, vilket ger S4, som överförs i ett tredje kryptogram cg3 till stationen B.

Stationen B mottager cg3 och beräknar under följande steg, 16, omvand- lingsfunktionens utfall av det egna talvärdet r2, vilket utfall därefter jäm- föres med motsvarande utfall i stationen A, d.v.s. s4, som mottogs i det tredje kryptogrammet. Vid missöverensstämmelse alstras under steget 18 blocke- ringssignalen BL som blockerar eller bryter förbindelsen med stationen A. Vid överensstämmelse beräknas sessionsnyckeln tm och lagras.

Den ömsesidiga identifieringen är nu genomförd och om förbindelsen upp- rätthâlles har båda parter tillgång till den alstrade sessionsnyckeln tm, vilket innebär att text- eller datameddelandeöverföringen kan påbörjas. Därför krypterar stationen A ett första meddelande M1 under användning av tm, vil- ket ger TM1, som under nästföljande steg 21 överförs till stationen B och mottages där. I stationen B dekrypteras TMI under användning av tm, vilket ger M1.

Eftersom stationen A har tillgång till tm redan vid steget 13 kan det första meddelandet i krypterad form Tl överföras samtidigt med det tredje kryptogrammet cg3. Således behövs att endast en särskild sändningsföljd i vardera riktningen för att genomföra identifieringen och nyckeletableringen.

Fig 3 visar ett mera detaljerat funktionsblockschema för stationen A.

Blockens samverkan illustreras genom de signaler som alstras i stationen A enligt diagrammet i fig 2. Således kan signalernas uppträdandeordning härledas ur diagrammet. Eftersom fig 3 är ägnad att illustrera samverkande funktionella block, som även är realiserbara i form av programvara för en dator, och ej redovisar motsvarande fysiska uppbyggnad av stationen A, så har nödvändiga organ för tidsstyrning av förloppet utelämnats.

Identifieringsanordningen ID är markerad med en streckad linje. ID inne- fattar en talgenerator NGEN för alstring av stationens talvärde rl. Talgene- ratorn innefattar en såsom återkopplat skiftregister uppbyggd pseudeslumpgene- Päïflf- Täïväfdeï P1 tillföres en krypteringsanordning CRY innefattande medel för att kryptera rl genom nämnda lönndörrsfunktion under användning av mot- partens öppna krypteringsnyckel kb, som erhålles från ett nyckelminne KM.

ID innefattar dessutom en dekrypteringsanordning DECRY, vilken innefattar medel för att realisera lönndörrsfunktionens invers. I dekrypteringsanordningen återvinnes motpartens tal värde rz under användning av stationens hemliga de- 8102268-3 11 krypteringsnyckel da som erhålles från nyckelminnet KM. Därutöver ingår en jämförare COMP innefattande en koincidenskrets. Koincidenskretsen tillförs rl i omvandlad form från en talomvandlare NCONV, vilken innefattar medel för att omvandla tillförda talvärden enligt envägsfunktionen f. Som andra insignal tillföres koincidenskretsen rl i dess av motparten omvandlade form, dvs sz.

Jämföraren innefattar dessutom medel för att vid utebliven koincidens alstra blockeringssignalen BL.

Talvärdena ri och rz tillföres en modifieringsanordning MODIFI inne- fattande medel för att ur talvärdena bilda en sessionsnyckel tm enligt en fastställd modifieringsalgoritm t, som kan innebära en enkel addition eller annan kombination av talvärdena. Den bildade sessionsnyckeln tm tillföres dels en meddelandekrypteringsanordning MCRY, dels en meddelandedekrypterings anordning MDECRY, vilka innefattar medel för att realisera meddelandekrypte ringsalgoritmen TM respektive meddelandedekrypteringsalgoritmen Th. Nämnda medel kan exempelvis innefatta standardiserade kretsar för att realisera ovan nämnda DES-algoritm. Meddelandekrypteringsanordningen tillföres datameddelan den, som skall överföras i krypterad form till stationen B, från en meddelande generator MGEN. På motsvarande sätt är meddelandedekrypteringsanordningens ut gång ansluten till ett minne MREC för mottagna datameddelanden.

Därutöver innefattar stationen A en sändningsenhet TRU innefattande medel för att forma de sändningsföljder som utsändes av stationen. Till sändningsen- heten är ansluten en adressgenerator ADRGEN för alstring av stationsadressen a.

Sålunda sammanställer sändningsenheten exempelvis kryptogrammet cgl av sig- nalerna a och sl. På motsvarande sätt ingår en mottagningsenhet REU innefat- tande medel för att fördela signalerna i mottagna signalföljder till respektive funktionsblock. Sålunda fördelas i det mottagna kryptogrammet cgz signalen sz till jämföraren COMP och signalen s3 till dekrypteringsanordningen DECRI .

Som tidigare nämnts alstrar jämföraren COMP en blockeringssignal BL vid bristande koincidens d.v.s. när stationen B ej kunnat identifiera sig mot sta- tionen A genom återsändning av rl i korrekt omvandlad form. Blockeringssigna- len användes till att styra en ingående blockeringsanordning BLS, vilken är visad i form av en strömbrytare. När signalen BL uppträder bryts förbindelsen mellan sändningsenheten TRU och kanalen CH och därigenom förbindelsen mellan stationerna.

Claims (13)

is1o22es-5 1, Patentkrav.

1. Metod vid överföring av datameddelanden mellan två stationer, A respektive B, vilka kan tillhöra var sin grupp av lika behöriga stationer, i en över- föringsanläggning, varvid varje meddelande överförs i krypterad form under an- vändning av en meddelandekrypteringsnyckel (tm), k ä n n e t e c k n a d av att stationen A tillför stationen B ett krypterat första talvärde (rl), som kan dekrypteras av enbart stationen B; att stationen B tillför stationen A ett krypterat andra tal värde (rz), som kan dekrypteras av enbart stationen A; att ömsesidig identifiering av stationerna åstadkommes genom återföring av information under användning av talvärdena; och att både stationen A och sta- tionen B bildar meddelandekrypteringsnyckeln på grundval av de utväxlade tal- värdena (rl, ra), vilka företrädesvis har karaktär av slumptal, under an- vändning av en modifieringsfunktion (t), varigenom varje datameddelande kan överföras mellan stationerna i krypterad form under användning av en meddelan- dekrypteringsfunktion (TM; TM) och den bildade meddelandekrypterings- nyckeln (tm=t(r1,r2)).

2. Metod enligt patentkravet 1, k ä n n e t e c k n a d av att âterföringen av information innebär att varje station återför det från motparten erhållna talvärdet i en form som kan dekrypteras eller utvärderas av enbart motparten.

3. Metod enligt patentkravet 2, k ä n n e t e c k n a d av att stationen A sänder ett första kryptogram (cgl) innehållande det första talvärdet (r1); att stationen B sänder ett andra kryptogram (cgz) innehållande det andra talvärdet (ra) och det genom dekryptering erhållna första talvärdet (r1); och att stationen A sänder ett tredje kryptogram (cg3) innehållande det genom dekryptering erhållna, andra talvärdet (rg).

4. Metod enligt patentkravet 2 eller 3, k ä n n e t e c k n a d av att det andra talvärdet (rz) omvandlas i stationen A genom en omvandlingsfunktion (f) vid återföringen till stationen B; att det första talvärdet (rl) omvandlas i stationen B genom omvandlingsfunktionen vid återföringen till stationen A; och att identifiering sker genom att varje station omvandlar sitt talvärde ge- nom omvandlingsfunktionen och jämför detta internt omvandlade talvärde med det återförda, omvandlade talvärdet. 8102268-3 13

5. Metod enligt patentkravet 3 eller 4, k ä n n e t e c k n a d av att det tredje kryptogrammet åtföljs av ett datameddelande, som är krypterat genom meddelandekrypteringsfunktionen och meddelandekrypteringsnyckeln.

6. Metod enligt patentkravet 1,2,3,4 eller 5, k ä n n e t e c k n a d av att nämnda första och andra talvärden krypteras och dekrypteras under användning av en krypteringsfunktion (E) och dess invers (D) samt olika nycklar för krypte- ring och dekryptering, varvid varje station är tilldelad en öppen krypterings- nyckel (ka respektive kb) och en med denna associerad och i stationen hem- lighâllen dekrypteringsnyckel (da respektive db), medan varje station i utgångsläget har kännedom om tillhörande hemliga dekrypteringsnyckel, motpar- tens öppna krypteringsnyckel samt krypteringsfunktionen och dess invers.

7. Metod enligt patentkravet 4,5 eller 6, k ä n n e t e c k n a d av att omvandlingsfunktionen if) för omvandling av nämnda talvärden (rl,r2) utgör en envägsfunktion innebärande att talvärdet ej praktiskt kan återvinnas med kännedom om funktionen och talvärdet i dess genom funktionen omvandlade form (f(rl)) respektive f(r¿)).

8. Metod enligt något av patentkraven 4-7, k ä n n e t e c k n a d av att varje station är anordnad att bryta förbindelsen vid utebliven överensstämmelse mellan omvandlingsfunktionens (f) utfall av det egna talvärdet (f(rll) res- pektive (f(r2)) och det i nämnda andra respektive tredje kryptogram mottagna utfallet från omvandlingsfunktionen (S2 respektive S4).

9. Metod enligt något av föregående patentkrav, varvid en station kan utgöras av en såsom aktivt kort uppbyggd, personlig databärare (AK,fig 1), och varvid åtminstone en station innefattar organ för inmatning (PIN) och utvärdering (REF,COINC) av en personkod, k ä n n e t e c k n a d av att överföringen av nämnda talvärden initieras av en internt i stationen eller på databäraren ge- nomförd, godkänd utvärdering av den inmatade personkoden.

10. Üverföringsanläggning för utförande av metoden enligt något av föregående patentkrav, k ä n n e t e c k n a d av att varje station i anläggningen är försedd med en identifieringsanordning (ID) för ömsesidig identifiering av sam- verkande station (A,B;AK,A) under användning av en krypteringsfunktion (E) och dess invers (D) och ett till stationen tilldelat nyckelpar innefattande en öppen krypteringsnyckel och en i stationen hemlighållen dekrypteringsnyckel (t-eX- ka, da), varvid identifieringsanordningen innefattar en talgenera- *s1o22es-5 14 tor (NGEN) för aïstring av ett taïvärde (t.ex. rl), en krypteringsanordning (CRY) för kryptering av taïvärdet under användning av krypteringsfunktionen och motpartens öppna krypteringsnyckeï (kb), en dekrypteringsanordning (DECRY) för återvinning av ett från motparten erhå11et taivärde (rz) under användning av krypteringsfunktionens invers och stationens hemïiga dekrypteringsnyckeï (da); en modifieringsanordning (MODIFI) för aïstring av en meddeiandekryp- teringsnyckeï (tm) på grundvaï av de utväxïade taïvärdena; och en meddeian- dekrypterings-dekrypteringsanordning (MCRY, MDECRY) för kryptering och dekryp- tering av datameddeïanden under användning av den biidade meddeïandekrypte- ringsnyckeïn.

11. Anïäggning enïigt patentkravet 10, k ä n n e t e c k n a d av att identifieringsanordningen (ID) innefattar en taïomvandïare (NCONV) för omvand- iing av talvärdena (r1,r2) under användning av en omvandïingsfunktion (f), och en jämförare (COMP) för att jämföra stationens taïvärde i dess internt om- vandïade form t.ex. (f(r1)) med dess av motparten omvandïade form (sz) och för att vid missöverensstämmeïse aïstra en bïockeringssignaï (BL).

12. Aniäggning enïigt patentkravet 10 eiier 11, k ä n n e t e c k n a d av att varje station dessutom innefattar en bïockeringsanordning (BLS) för att i beroende av bïockeringssignaïen (BL) bïockera nyttjad överföringskanai (CH).

13. Anläggning enligt patentkravet 10, 11 e11er 12, varvid en station kan ut- göras av en såsom aktivt kort uppbyggd, personïig databärare (AK, fig 1), k ä n n e t e c k n a d av att åtminstone en station innefattar organ för in- matning (PIN) och utvärdering (REF, COINC) av en personkod samt organ (ACT) för att i beroende av en internt i stationen e11er på databäraren genomförd, god- känd utvärdering temporärt aktivera stationen eiïer databäraren och initiera utväxïingen av taïvärdena.