TW545023B

TW545023B - Synchronization of session keys

Info

Publication number: TW545023B
Application number: TW089112274A
Authority: TW
Inventors: Antonius Adriaan Maria Staring
Original assignee: Koninkl Philips Electronics Nv
Priority date: 1999-12-10
Filing date: 2000-06-22
Publication date: 2003-08-01
Also published as: CN1224211C; KR20010102046A; DE60027046T2; WO2001043335A2; EP1188270A2; US7110546B2; EP1188270B1; WO2001043335A3; DE60027046D1; CN1421080A; US20010007127A1; JP2003516658A; BR0008094A

Description

545023 五、發明說明π) 本發明說明一種安全通訊系統和方法，其中於通訊通話時係在一個原始裝置和至少一個插入裝置之間轉移資訊，包括將多個封包自該原始裝置轉移至該插入裝置中，且在動態變更之通話密鑰的控制下加密該等封包中的資料。本發明更進一步說明用於該一種系統中的一個插入裝置和該插入裝置可執行的軟體。

於傳輸期間、經由一個通訊通道用以保護資料的協，定一般係由若干不同的階段所組成。例如，該協定可由下面五個階段組成。於該第一個階段"該確認階段π期間，該等原始和插入裝置相互確認。於該第二個階段π該密鑰交換階段”中，產生、加密及交換隨機數和密鑰資料。於該第三個階段Μ該密鑰產生階段1’期間，利用交換之密鑰資料產生一個通話密鑰。於該第四個階段”該資訊傳輸階段"中，利用該通話密鑰加密該内容，將該内容自該原始裝置轉移至該插入裝置十，及由該插入裝置利用該相同的通話密鑰解碼該内容。最後，於該第五個階段π該密鑰更新階段lf中，更新該通話密鑰。於階段四期間，定期地執行該密鑰更新階段。該密鑰更新相位的最主要目地為確保中斷一個單一的通話密鑰僅將造成暴露該有限的内容。在許多系統中，利用一個該原始裝置和該插入裝置所熟知的通則產生一個通話密鑰序列。以兩個裝置在該密鑰交換階段中已交換的該密鑰資料啟始該通則。通常，該原始裝置控制何時更新該通話密鑰。此在該原始裝置和該插入裝置中產生了同步化該等密鑰更新的問題。

第5頁 545023 五、發明說明（2) 大部分的數位通訊系統以一連串的封包傳輸資料，像是 IEEE(電子電機工程師協會）1 3 94及USB。於某些系統中，可在該未加密之封包標頭中配置一個特殊的欄位，以同步化通話密錄更新。接著，該原始裝置可在該爛位中設定一個更新旗標，以表示通話密输的一個變更。然而，如必須將一個内容保護裝置修正成一個目前的通訊系統時，則將襴位增加到該封包標頭中通常係不可能的。於該事例中，可在該封包的該資料攔位中（該資料攔位其未加密的部分中；該資料欄位亦意指為p a y 1 〇 a d攔位）配置一個特殊的欄位。於兩個事例中，該等更新旗標為自由的（明碼的），並提供侵襲者某一資訊。已知以該目前的通話岔输解碼邊封包的貧料棚位以補救該不足，及選擇該解碼之資料理解的該密鑰。利用該方法，則將自動地偵測自一個通話密鑰到該下一個通話密鑰的轉變。然而，判定該解碼之資料是否合理需要知曉有關該正在傳輸的資訊。並非永遠以該事例限制該方法的使用。本發明的一個目地為提供克服上述缺點之一種安全的通訊系統、插入裝置及安全的通訊方法。為了滿足本發明的該目地，一種安全的通訊系統包括一個原始裝置和至少一個插入裝置；於一個通訊通話中將資訊自該原始裝置轉移至該插入裝置中，包括自該原始裝置轉移多個封包至該插入裝置中；每一個封包包括一個資料攔位，用以轉移該資訊的一部分；

545023 五、發明說明（3) 該原始裝置包括：一個密鑰產生器，用以於該原始裝置開始時，在一個預先決定的原始通話密論序列K s 〇 u r c e i中產生一個動態的原始通話密输；一個加密器，用以在該動態原始通話密鑰的控制下、將該一個封包其至少一部分的資料欄位加密；該資料欄位其加密之部分包括一個指定為一密餘檢查區段搁位的副補位；該插入裝置包括：一個密鑰產生器，用以在一個預先決定的插入通話密鑰序列K s i n h中產生多個候補插入通話密鑰，其中對該序列中的每一個指標i而言，該各別的插入通話密餘K s i n ki相對應至該各別的原始通話密鑰Ksourcei上；一個解碼器，用以在一個插入通話密鑰的控制下、將該一個接收之封包其至少一部分的資料欄位解碼；一個密鑰解譯，藉由每一次由該等多個候補插入通話密鑰中一個不同的候補插入通話密鑰之控制下，使該解碼器將該接收之封包其密鑰檢查區段欄位中的資料解碼、直至找到一個有效的解碼結果為止，以判定該哪一個候補插入通話密鑰相對應至用以加密該一個接收之封包其加密部分的該原始通話密鑰；及使該解碼器在產生該有效解碼結果之該候補插入通話密鑰的控制下，將該封包其資料欄位一個剩餘的加密部分解碼。藉由包括一個與該封包中該其它資料無關之各別的密錄

O:\64\64919.ptd 第7頁 545023

I i五、發明說明（4) 檢查區段，則該插入裝置可輕易地查證應使用該哪一個候補插入通話密鑰用以解碼該資料。以此方式，則該插入裝 I置不需事先知曉該正在轉移之加密資料。此外，該密鑰檢

I !查區段可以相當的短（例如一個CBC (密碼區段鏈）密碼其一 !個區段的大小），以便在一個以上密鑰的控制下、僅須將

I

|該加密之資訊的一小部分解碼。在該識別之插入通話密鑰的控制下，僅須將該加密之資料的主要部分解碼。正，規下，將僅使用兩個候補通話密鑰。同時，例如可測試更多個候補密鑰，以於傳輸期間克服損耗一個封包。最好不要對每一個連續的封包變更該通話密鑰，以減少產生密鑰時所花費的力氣。於該事例中，該組候補插入通話密输將包括該目前選取之插入通話密鑰Ks in h和至少一個在順序上為下一個之插入通話密鑰K si nki + 1 ;其中該目前選取之插入通話密鑰Ks i nh相對應至用以加密該一個先前接收之封包其加密部分的該原始通話密鑰Ksourcei。將察知每逢該插入裝置偵測出通話密鑰變更時，則在正規下該插入裝置將產生一下一個候插入通話密翁，以包括在該組候補密输中作為該下一個封包測試之用。

如該關連申請專利範圍第2項之步驟中所定義的，該密鑰檢查區段的内容可為公用的。此使得查證該等候補密鑰成為非常簡單。可將該等每一個候補密鑰的解碼結果僅與該公用的密鑰檢查區段比較；該匹配指示該插入通話密鑰相對應至用以加密該封包中該加密之資料的該原始通話密 545023 五、發明說明（5)

如該關連申請專利範圍第3項之步驟中所定義的，該整個通訊通話同意該資料區段。可使該同意作為該密鑰產生階段的一部分，其中利用該交換之密鑰資料產生一個密鑰檢查區段。藉由包括一在該整個通話期間為固定的密鑰檢查區段，則該密鑰更新處理仍係簡單的。如利用一個CBC 模式的區段密碼加密該封包的貧料’則該密输檢查區段的長度和該加密通則其區段大小的長度相同係較可取的，。不幸的是，該等結果為該系統的一個弱點，因該加密之密鑰檢查區段（通常為該封包其資料欄位中一個預先決定之位置上的一個區段）與該（公用）已知的密鑰檢查區段共同提供該資訊作為一個徹底的密鑰搜尋。不藉由利用一個公用密输檢查區段以增加安全性。如該關連申請專利範圍第4項之步驟中所定義的，該密输檢查區段於該通話期間變更。此於一個通訊通話内增加安全性和使成功徹底搜尋的機會減少。

如該關連申請專利範圍第5項之步驟中所定義的，利用一個預先決定的通則產生該密鑰檢查區段和引起區段的一個變更。該密鑰檢查區段產生器可係非常簡單的，像是產生一個循環數字序列。亦可使用更複雜的通則，類似於該等用以產生該等通話密鑰的通則。例如，可使用一個隨機數產生器，且由在該密鑰交換階段期間所交換之密鑰資料啟始該隨機數產生器。可預先決定該密鑰檢查區段的變更瞬間（例如每1 0 0個封包或每一個封包）。有利的是，該變更瞬間係視該通話密鑰的變更瞬間而定。例如，如偵測出

第9頁 545023 五、發明說明（6) 通話密鑰的更。如該關連鐵檢查區段的封包。可中導出該密改變，故可段。如合適則。如該關連餘檢查區段，複印，。於資料部分，成用以查證正規下資料同時變更。一個變更時，此亦表示密鑰檢查區段的一個變申請專利範圍第6項之步驟中所定義的，該密係視前一個封包的資料而定，像是該隨即在前利用一個適合的通則、自前一個封包内的資料鑰檢查區段。因在正規下該資料本身將顯著地使用一個相當簡單的通則產生該密鑰檢查區的話，亦可使用有力的通則，像是一個雜湊通申請專利範圍第8項之步驟令所定義的，該密為前一個封包中該一部分資料之一個直接的該事例中，最好以一個加密之形式轉移該一個其中由該先前封包中該資料部分的明文形式形該下一個封包其密鑰的該密鑰檢查區段。因在係於連續的封包中變更，故該密鑰檢查區段亦藉利用該變更之資料，則無需任何通則產生一

示該表在以，訊中資系 Λν 豆加的附取何可任較加個增一須於不。亦更 ’變列個序一段的區段杳一區檢查鑰檢密鑰個密料許資允密加以其分，段部 I區密欄杳一加段檢其區鑰位查密欄檢個料論一資密下該該該在定含位設包好時。最始號段開代區分別料部識資密的該加速的其快料位個資 I 梅至中和話置通裝訊始通原個個一一於在·，種法一方。供的中提訊段，通區地全個目安一的間後明之最發置或本裝個足入二滿插第了個該為一的少

第10頁 545023 五、發明說明（7) 將資訊自該原始裝置轉移至該插入裝置中，包括自該原始裝置轉移多個封包至該插入裝置中；每一個封包包括一個資料攔位，用以轉移該資訊的一部分；該方法包括：於該原始裝置開始時，在一個預先決定的原始通話密鑰序列Ksourcei中產生一個動態的原始通話密输；在該動態原始通話密鑰的控制下、將該一個封包其至少一部分的資料攔位加密；該資料欄位其加密之部分包括一個指定為一密錄檢查區段爛位的副棚位，將該封包自該原始裝置轉移至該插入裝置中；

在一個預先決定的插入通話密鑰序列Ksinh中產生多個候補插入通話密鑰，其中對該序列中的每一個指標i而言，該各別的插入通話密鑰Ks i nh相對應至該各別的原始通話密餘Ksourcei上；在每一次由該等多個候補插入通話密鑰中一個不同的候補插入通話密鑰之控制下，藉由解碼該接收之封包其密鑰檢查區段欄位中的資料、直至找到一個有效的解碼結果為止，以判定該哪一個候補插入通話密鑰相對應至用以加密該一個接收之封包其加密部分的該原始通話密鑰；及在產生該有效解碼結果之該候補插入通話密鑰的控制下，將該封包其資料攔位一個剩餘的加密部分解碼。藉參該等圖示中所說明的體系，將顯見和闡明本發明之該等觀點和其它觀點。圖1為說明根據本發明之系統1 0 0的一個方塊圖；圖2為說明一個代表性的封包結構；

第11頁 545023 五、發明說明（8) 圖3為例證說明一個體系的一個方塊圖，其中動態地變更該參考密繪檢查區段，圖4為例證說明一個用以獲得一動態變更參考密鑰檢查區段之較可取體系；圖5說明一個較可取的封包結構；圖6例證說明該明碼資料竊取方法；圖7說明一個較可取體系中的該等協定步驟。

圖1為說明根據本發明之系統1 0 0的一個方塊圖。該系統至少包括一個原始裝置，由裝置110和120說明之；及至少一個插入裝置，由1 3 0和1 4 0說明之。該等裝置可經由一個通訊媒體1 5 0通訊。此可為任何適合之纜線亦或無線式通訊媒體。該通訊可用作區域上，例如遍及一整個房屋或在一小簇房舍中，像是一簇影音設備、或是一串π —個電腦和週邊裝置π 。該通訊亦可在一個廣域中，例如利用國際網際網路、經由電話線路或一個電纜網路或某種衛星通訊形式作存取。正規下，該通訊為雙向的。圖1說明原始裝置1 1 0和插入裝置1 3 0的明細。於該說明中，假定將資訊 (即該實際資料，像是一個視訊程式或一個聲音標題）自一個原始裝置傳送至一個插入裝置中。實際上，有一個以上的插入裝置可接收該資訊（例如，利用各別的通訊通道或廣播/多元傳播技藝）。該等裝置包括經由媒體1 5 0傳輸和接收封包之傳統的裝置。依照該媒體，可由一個電話或纜線數據機或一個匯流排界面形成該裝置。圖2說明一個代表性的封包結構2 0 0，用以將該資訊的一

第12頁 545023 五、發明說明（9) — ~~-— i 部分自該原始裝置轉移至該插入裝置中。正規下，在一個通a舌中轉移該資訊包括一個封包序列，其中該等封包傳送 a亥紙轉移之資訊的一部分。該原始和插入裝置對一個通話執行若干操作，且僅執行一次，像是設定一個通訊通道和交換該基本的密鑰資料。正規下，封包2 〇〇包括一個標頭欄位2 1 〇，該標頭欄位2丨〇可致能該插入裝置中該接收τ器的一個低階同步化，且在正規下可包括識別該插入裝置（和視需要該原始裝置）和/或一個通訊通道的資訊。標頭2工0 亦可包括像是一個封包型態的資訊。就該標頭本S而論，其並未形成本發明的一部分。封包2 0 0亦可包括一個尾錄攔位220，該攔位可指示該封包的終端和可包括像是一個/、加總核對的資訊（例如以一個CRC (循環冗數核對）的形式）。尾錄欄位2 2 0亦非本發明的一部分。該封包包括一資料攔2 3 0 (亦意指為payload攔位），用以保持欲自該^ 裝置轉移至該插入裝置中的資料位元組。通常，—個涌: 開始¥，於该貧料攔位中傳送指令和特殊的資料以通話（通常利用非同步封包）。一旦真地啟始該通話時始該在正規下主要利用該資料欄位用以傳送該欲轉移之則，分（利用非同步亦或等時的封包視該應用和通訊系、乳的疋）。就本發明而i，是否利用非同步的封包型態或利而一個等時的通訊形式（或甚至兩者的一個混合）交換誃、用 :種安全方式轉移之資訊係無關的。如圖2中所示免二以料欄位包含一個密鑰檢查區段（KCB)副攔位232。由貝裝置（或在該原始裝置的控制下）利用該選2始 545023 五、發明說明（10) 一個通話密鑰加密該KCB欄位換期的部 -個事正規下，於該資訊交間，亦利用4相同的通話密餘加密資料攔2 3 〇其剩餘分。在某些情況下，可不須加密所有的資料。於該-例中，除了 KCB副欄位23 2之外，該資料攔位亦異有^ 。密之資料（E D )副攔位2 3 4和一個明碼資料（p j))副攔位2 3 β 故如由2 3 8所示、加密該κ C Β副攔位和該£ j)副攔位。於送剩餘的部分中’假定加密資料攔位2 3 0中所有的資料。，參考圖1 ，原始裝置11〇包括一個密鑰產生器112，用以

在一個預先決定的原始通話密鑰序列KS0urcei中產生一個原始通話密鑰。該密鑰產生器一次僅須產生一個通話密鑰。就該說明而言，假定僅在一個密鑰的控制下加密一個封包中的該資料。如合適的話，一個熟知此技藝的人可利用不同的通則和/或不同的密鑰輕易地將該系統修正成加密一個封包中該資料之不同的部分。可使用任何適合的密鑰產生通則。例如，可利用該原始和插入裝置間交換之啟始密餘資訊所提供的一個隨機數產生器。一個密餘變更器 114引起密鑰產生器112產生一個原始通話密鑰，用作為下一次欲加密之至少一個封包的該動態原始通話密输。控制

該密鑰變更的該通則可係#常簡單’例如可利用一下一個通話密鑰加密每一個連續的封包，或可在定期的時間上 (像是每秒鐘；例如由一個計時器控制）使用一下一個通話密鑰。剎用一個加密器1 1 6、在該動態原始通話密鑰的控 |制下加密該一個封包其至少一部分的資料欄位。如就圖2

I 丨的說明，該資料攔位的加密部分包括一個指定為用以保持

第14頁 545023 五、發明說明（1" 一一個密鑰檢查區段之副欄位。可使用任何谪人曰1 口的力ϋ密通則’像是以該CBC模式操作的DES(資料編密標準）。

插入裝置130包括一個密鑰產生器132，用以在一個決定的插入通話密鑰序列Ksinki中產生一個插入通与穷无鑰。該等原始和插入密鑰的序列相對應。故就該序列始母一個指標1而言，該各別的插入通話密鑰Ks丨η、相對廡、至該各別的原始通話密鑰KS0urcei。由該使用的加宓/ = 碼通則判定該等密鑰之間其相對應的明細。例如對稱的加密通則而言，像是DES，該解碼密鑰和該L宓= 鑰相同。就一個非對稱的通則而言，像是RSA，其在二: 密=解碼密输之間存在一個預先決定的關聯性/相較加选處理，該關聯性確保該解碼處理產生一個反效果。^ 入裝置130亦包括一個解碼器134，用以在一個插入通話密鑰的控制下將該一個接收之封包其至少一部分的資料欄二解碼。假定使用該等相對應的密鑰，則相較於加密器 2 6，解碼器1 3 4係操作，逆轉換，。該插入裝置亦包括一個密鑰解譯1 3 6，其藉檢查該哪一個密鑰成功地解碼該密鑰檢查區段、以測試多個候補插入通話密鑰。至此為止，密，解譯1 3 6使解碼器1 34在多個候補插入通話密鑰的控制下將該一個接收之封包其密鑰檢查區段欄位中的該資料解碼。密鑰解譯1 3 Θ最好在每一次解碼之後，查證該測試之候補插入通話密输是否經由該密鑰檢查區段襴位產生該轉移之密餘檢查區段其一個正確的解碼結果。重複此直至找到遠密綠為止。接著，選取該產生一個正確解碼結果之候

第15頁 545023 五、發明說明（12) ΞΞ:、甬^進一步使用之。利用解碼器134、在該選取，f k洁岔鑰的控制下將該封包其

加密部分解碼。密鑰Mq 會了 4 / J 1U〜餘I 表列保梏P確保將該候補插入密鑰 =一彻，/ 、。故如偵測出一個密鑰的變更，則最好中。ί = 候補增力口到該組候補插入通話密输表列

Ks】nk =為止，如一個不同於該目前選取之插入通話密鑰確的1 插±入通話密鑰產生該密鑰檢查區段其一個正

—下—馬、，’σ果柃，則抢鑰解譯1 3 6確保密鑰產生器1 3 2產生 :固插入通話密鑰作為一個候補插入通話密鑰。如該夕=k通活岔鑰的跳位，（例如於該傳輪期間克服一個 ^個封包的損耗），則密输解譯136最好偵測該正確的插 =通话密鑰在順序上不是該下一個，而是—更進一 ^子ί =個或多個位置上的通話密餘’且密錄解譯136最二保自该組候補插入通話密鑰中移除所有跳位之密鑰， =以該需求之新的候補密鑰總數更新該組候補插入通話密石I该密鑰產生器如何查證該密鑰檢查區段中該資料的解於疋=為有效的，係視定義該密鑰檢查區段的方式而定。 :下定義各種不同之選擇方式。 ^ 一個體糸中，在該密鑰檢查區段欄位中轉移之該密鑰 =—區段（即該參考密鑰檢查區段）的明文形式係為一個公的貢料區段。此使得查證哪一個候補插入密鑰相對應至用以加密該接收之封包的該插入密鑰變得非常簡單。^ 如，可利用該第一個候補插入密鑰解碼該密鑰檢杳^ 位中的該資料。如該解碼之資料與該參考宓:w又 / 1在鑰檢查區段相

545023 五、發明說明（13) 匹配，則該候補密鑰為該合適的密鑰。如該解碼之資料與 |該參考密鑰檢查區段不相匹配，則可利用該下一個候補密 ! 鑰、直至找到一個匹配為止。可將該參考密鑰檢查區段 (公用的資料區段）儲存在永久記憶體中，像是一個唯讀記憶體（ROM)中。

於一個體系t，在該密鑰檢查區段攔位中轉移之該密鑰檢查區段的明文形式，為啟始轉移該資訊之前在該原，始和插入裝置之間所同意、且用於該整個通訊通話中的一個資料區段。最好利用一種安全的方法同意用作該密鑰檢查區段（即該參考密鑰檢查區段）其明文形式的該資料區段。可利用任何適合的方法，例如根據公用密输加密。最好自該通話開始時所交換的該密鑰資料中導出該參考密鑰檢查區段，使其不須增加任何額外的秘密資料交換。證明該候補密鑰的方式與上述相同。然而，於該事例中，最好將該參考密鑰檢查區段儲存在一個可覆寫的記憶體中。該一個記憶體最好防護駭客的存取。

於一個體系中，該密鑰檢查區段欄位中之該密鑰檢查區段（該參考密鑰檢查區段）的明碼形式於該通訊通話期間至少變更一次。圖3例證說明一種獲得該參考密输檢查區段其動態變更之方式。於該體系中，原始裝置1 1 0包括一個密鑰檢查區段產生器118，用以產生該密鑰檢查區段的明文形式。該密鑰檢查區段產生器118亦最好effects該參考密鑰檢查區段的變更（例如，在傳送了預先決定之若干個封包之後或在一段預先決定的時間逝去之後）。插入裝置

第17頁 545023 I五、發明說明（16) 該等著名的資料區段而產生之可能的資訊洩漏。利用圖5 的該裝置時，則最好藉該密鑰交換階段中該原始和插入之間所交換的該資訊判定該第一個密鑰檢查區段（用於該序列中的該第一個封包）。

為了檢查欲對該目前的封包使用哪一個通話密鑰，故只須解碼該第一個區段。其中利用該目前的通話密鑰和該下一個通話密鑰解碼該第一個區段。如該密鑰檢查區段的大小等於該密碼的區段大小，則該結果明白地判定該正確的通話密鑰，因已知預期哪個密鑰檢查區段。如該密鑰檢查區段比該密碼區段大小短，則該結果可能為無決定性的。將察知，藉由利用該密鑰檢查區段（該前面的亦或該後面的密鑰檢查區段，或兩者的一個組合）可輕易地擴展該等上述之觀念，以導出使用一個CBC模式之區段密碼所需的該通話密鑰或該啟始化向量。

應注意，可克服封包的一個損耗（且因此使用該密鑰檢查區段的損耗、用以查證該下一個區段的通話密鑰）。參考圖5中所示的該情況，且假定損耗了封包N +1，則該插入裝置可能嘗試以兩個可能的候補插入通話密鑰解碼封包 N + 2其欄位2 3 2中的KCBn+2，並將該結果和封包N其KCBn+1 5 0 2的明文形式作比較。即使該其中一個候補密鑰為正確的，但因不應使用KCBn+1 5 0 2 (而應使用該損耗的KCBnh 5 1 2 )故不會找到任何匹配。繼之，應以兩個候補密鑰解碼 I封包N + 2其最後一個資料區段，其中該資料區段將該密鑰丨檢查區段保持給封包N + 3使用。該其中一個解碼將產生該

第20頁 545023 五、發明說明（I?) 有效的參考岔输檢查區段KCBN+3。接著，以所有的候補密鑰解碼封包N + 3的密鑰檢查區段欄位232 (如該密鑰可在每 —個封包之間變更，則該組候補密鑰現在可包括三個密鑰）。藉比較該等解碼結果和KCBn+3之該等兩個候補明文形式，則極可能僅找到一個匹配。該匹配識別出欲給封包 N + 2使用的該密鑰（即該密鑰在封包N + 2中產生KCBN+3其正確的解碼），及識別出給封包N + 3使用的該密鑰（即該密鑰在封包N + 3中產生KCBN+3其正確的解碼）。一個熟知此技藝的人可輕易地延伸該原理，以克服一個以上封包的損耗。較可取體系該區段密碼最好為密碼區段鏈（CBC)模式的該數位加密標準（DES)。為了保存資料payi〇ads*使資料payi〇ad的用費減至最少’故最好使用明碼資料竊取（CTS)。該DES通則使用一個8 -位元組的區段長度執行之。因此，每逢該資料 p a y 1 〇 a d不為八個位元、挺的一個倍數時（其中包含少於八個位元組的資料pay load)，則必須採取某些步驟加密該最後一個資料區段。一種選擇性為增加填補位元組，以便該區段長度再次等於8。然而，此增加了該資料pay 1〇ad的大小，此，必須將該填補之位元組總數傳遞給該解碼方，以正確地移除該等填補位元組。一種更好的方法為使用明碼資料竊取。循序地將所有的8_位元組區段加密，但該最後一個8 -位元組區段和該最後一個，不完全，資料區段中該等剩餘的位兀組除外。將該等位元組鏈結至一個延伸的區段中’並各別地處理該等位元組。如是，該延伸之區段長度

第21頁 545023 五發明說明（18) 區段中兮莖^個位兀組之間。首先，適當地加密該延伸之二算田^ :取後八個位元組。接著，加密該延伸之區段中通导取先八個位分έ ,, 士圖6例證說明該CTS方;^此忍指某些位元組被加密了兩次。資料PMoad的大小為26個何操作。如一個範例，假定一個資料區段和—個附加為2個位元組。此產生三個8-位元組密該區段3和4盆鏈而，未繼之加密區段3，而係加區段3。注音/已^;\等最後八個位元組。最後，加密並於該最後一個階、二，的階段中加密區段3的-部分，

間，僅保留該處理：；:;二區和？的接一^^ 產生！完全解碼之第-個部分和該仍在加密之分。瑕後:將該整個資料pay load的最後八個位元組解碼。違技藝使該總資料pay 1〇ad保持不變。然而，僅去：總貧料pay load的大小大於八時才可引用該技藝。田該該較可取之方法係以頻帶中密鑰變更發信號π為根據且因此在該主機（原始裝置）和該裝置（插入裝置）之 ’ 高精確的密鑰變更同步化。僅在封包之間中允許通j供、麦更，以便一個密餘變更決不會發生在一個封^的中山输此外，該主機和裝置同意該相同之用以計算通話贫= 則，以便一旦啟始時，該主機和該裝置可獨立地瞀阡，的，話密鑰。4消耗了該先前計算的通話密鑰之後：二

计异一下一個通話密鑰，以便隨時準備該下一思P 變更。 k洁後、繪

545023 五、發明說明（19) 該傳送器保留該先前封包中該等最後明碼電文之八個位元組（稱為該密鑰檢查區段），並以該目前的通話密鑰加密 |該區段。該主機可決定變更該先前封包和該目前封包之間的該通話密鑰。於該事例中，以一個不同於用以加密該先前封包中該等最後八個位元組之通話密鑰加密該密鑰檢查區段。將該密鑰檢查區段傳送至該接收器，作為該目前加密之資料pay load的一個標頭。該接收器亦保留該先前封包中該等最後八個位元組（解碼之後）。當接收了該目前的封包時，該接收器將該等最先八個位元組（該密鑰檢查區段）解碼，並比較該結果和該先前封包中該等保留之最後八個位元組。如有一個匹配，則該通話密输在封包之間中不變更，且解碼可繼續進行。如無匹配，則該接收器切換至該下一個通話密鑰，且將該密鑰檢查區段重新解碼。如 | 有一個匹配，則發生一個通話密鑰變更，且該接收器利用該新的通話密鑰繼續進行。如無匹配，則發生一個錯誤，且該接收器採取適當的行動。注意，因該8 -位元組密鑰檢查區段增加，故該封包其實際的資料pay load永遠大於八個位元組，且可永遠引用該明碼資料竊取方法。如該實際的資料P a y 1 ◦ a d少於八個位元組（總p a y 1 〇 a d少於1 6個位元組），則因CTS擷取該密鑰檢查區段，故該接收器必須將該整個封包完全解碼。該方法的優點為其將該等通話密鑰變更事件隱藏在該加密之資料中。必須在可判定該等通話密输變更事件之前先將該密输檢查區段解碼。 ! 該較可取之協定包括四個階段。該第一個階段為該確認 545023 五、發明說明（20) |階段，其中該鑰交換階段，該第三個階段生一個通話密生新利用主機行該等階入階的關段，啟始中0 的通話密在該第三和該裝置等先前定段。在可段Γ該確係。一旦其中以一密餘檢查於該可信主機和裝置其中產生、為該密鑰產鑰。在啟始繪。該第四個階段中所之間安全地義的階段，交換任何内任認階段Π C 完成此，則種安全的方區段（IKCB) 任關係的整相互確認。該箆一 ,^ ^ 個階段為該密 ,^ ^ 辦數和密鑰資料。生^又，其中刹gq . 、T利用該密鑰資料產之後’該階段可執行多次以產個階段為該資訊傳輸階段，其中產生之通話密鑰、將該内容在該轉移。就一個完全執行而言，執並根據圖7中所示的設計重複該容之前，該系統於步驟5 1 0中進於該階段期間設立一個可信任於步驟5 2 0中進入該第二個階式交換密鑰資料。同時，將一個安全地自該主機傳送至該裝置個期間，必須由該主機和該裝置

包留該區段。

於步驟5 3 0中、在第一次進入該第三個階段之前’先於步驟5 40中以一個隨機數啟始一個32—位元計數器C。該主機經由一個I n i t一C請求將該數子傳遞給該裝置。该主機和該裝置計算一個啟始通話密餘（C) °接著’進入該資訊傳輪階段和ί始該實際的資料轉移。同時，於步驟55〇中進入階段4之後，該主機和該裝置隨即於步鱗5 6 0中計算該下 —^ ^話密鑰（C^l )。當該資訊傳輸階段繼續時，該傳送器可決定更新該目前的通話密绩。在時間中的該某一個瞬間上，該傳送器利用先前已计异過的通話密输（c+1)開

第24頁 545023 五、發明說明（21) 始。該接收器通知該通話密鑰變更，亦依序地利用通話密鑰（C + 1 )開始。接著，在增加了計數器C之後，主機和裝置於步驟5 7 0中再次進入階段3。此導致產生一個新的通話密鑰（C +1 )，並準備於該下一個通話密鑰變更期間使用該新 |的通話密鑰（C + 1)。重複該處理直到傳輸了該所有的資料為止。該傳送器可自決定何時重新進入階段3，以更新該通話密鑰。就大體而論，必須考慮兩個事例：

- 利用該協定保護水流式内容。於該事例中，該傳送器可根據一個計時器事件決定更新該通話密鑰，其中該計時器事件週期性地激起和引起該通話密鑰變更事件。 - 利用該協定保護該一個内容區段的轉移。該區段可包含該内容本身（一個檔案）亦或任何必須用以解碼加密之内容的密鑰。於該事例中，該傳送器可決定在每一個區段開始轉移之前先更新該通話密鑰，以便利用另一個通話密鑰加密每一個區段。該主機和裝置通話密鑰產生處理可放棄同步化。特別是當處理水流式内容時，封包可能受到損耗或損害，致使無法再可靠地偵測出通話密鑰變更事件。每逢該資料流中發 ^ 生一個岔斷時，該接收器即通知該傳送器。此時，該主機 & 和該裝置知道該通話密鑰同步化可能有一個中斷。接著，該主藉發出一個I n i t__C請求重新同步化該通話密鑰產生處 !理。在成功的完成之後，又再次同步化該主機和該裝置， j 且該資訊傳輸階段可繼續進行。

第25頁 545023 五、發明說明（22) 注意，並不須執行所有的階段，其係視該應用而定。例如，僅在主機和裝置之間設立一個可信任的關係，即足以完成該確認階段。每一個内容安全方法（CSM)說明摘要包含足夠的資訊，使該主機判定其必須完成的階段。

正規下，將由一個載入適當軟體的處理器執行上述該原始裝置和該插入裝置的許多功能。就性能的動機而言，可由專屬硬體執行某些功能，像是該加密/解碼。此時，，通常亦利用硬體（像是一個通訊積體電路）用以經由該通訊媒體轉移資料。可以載入一個程式的該處理器（像是一個PC 型態的處理器、微控制器或像數位訊號處理器（DSP)的處理器）根據本發明執行該等步驟。通常自一個背景儲存體中載入該程式，像是一個硬式磁碟或唯讀記憶體。例如可使用一個電腦程式產品在最初將該程式儲存在該背景儲存體中。可在一個儲存媒體上分散該一個程式產品，像是一個唯讀光碟（CD-ROM);或是經由一個網路，像是該公用國際網際網路。

第26頁

Claims

54WL·^ 案號 89112274 修正 -六、申請專利範ffl 1 . 一種包括一個原始裝置和至少一個插入裝置之安全通訊系統；於一個通訊通話中將資訊自該原始裝置轉移至該插入裝置中，包括自該原始裝置轉移多個封包至該插入裝置中；每一個封包包括一個資料欄位，用以轉移該資訊的一部分；該原始裝置包括：先決定的原始通話密餘一個加密該一個封包加密之部分位；該插入裝一個密錄序歹丨J K s i n k i 中的每一個對應至該各一個解碼一個接收之一個密錄输中一個不將該接收之找到一個有一個密鑰產生器，用以於該原始裝置開始時，在一個預始通話密输序列K s 〇 u r c e i中產生一個動態的原器，用以在該動態原始通話密鑰的控制下、將其至少一部分的資料欄位加密；該資料欄位其包括一個指定為一密鑰檢查區段欄位的副欄置包括：產生器，用以在一個預先決定的插入通話密鑰中產生多個候補插入通話密鑰，其中對該序列指標i而言，該各別的插入通話密錄K s i n ki相別的原始通話密錄Ksourcei上；器，用以在一個插入通話密鑰的控制下、將該封包其至少一部分的資料欄位解碼；解譯，藉由每一次由該等多個候補插入通話密同的候補插入通話密鑰之控制下，使該解碼器封包其密鑰檢查區段欄位中的資料解碼、直至效的解碼結果為止，以判定該哪一個候補插入

O:\64\64919-910522.ptc 第28頁 545m :潮號 89112274 修正 ;、申諝專别範虻通話密餘相對應至用以加的該原始通話密鑰；及使之該候補插入通話密鑰的個剩餘的加密部分解碼。 2 . 如申請專利範圍第1 檢查區段欄位中該密鑰檢資料區段。 3. 如申請專利範圍第1 檢查區段搁位中該密錄檢移該資訊之前、在該原始料區段，且係用於該整個 4 . 如申請專利範圍第1 檢查區段搁位中該密输檢話期間至少變吏一次。 5. 如申請專利範圍第4 和插入裝置包括相對應的該密錄檢查區段的該明文段其明文形式的變更。 6. 如申請專利範圍第4 個封包中轉移之資訊中導之該明文形式，該一個封 7. 如申請專利範圍第6 個封包中轉移之資訊中導式，該一個封包隨即在該密該一個接該解碼器在控制下，將項之安全通查區段之該項之安全通查區段之該和插入裝置通訊通話中項之安全通查區段之該項之安全通密鑰檢查區形式，及用收之封包產生該有該封包其訊糸統’ 明文形式訊系統，明文形式之間所同〇訊糸統5 明文形式訊糸統’ 段產生器以引起該其加密部分效解碼結果資料欄位一其中該密鑰為一個公用其中該密鑰，為啟始轉意的一個資其中該密鑰於該通訊通其中該原始，用以產生密餘檢查區項之安全通訊系統，其中自在一出一個特殊封包其密鑰檢查區段包在該特殊封包之前。項之安全通訊系統，其中自在一出該密餘檢查區段之該明文形特殊封包之前。

O:\64\64919-910522.ptc 第29頁 545Pi^ •>]； 89112274 年夕月22 曰修正 8. 如申請專利範圍第6項或第7項之安全通訊系統，其中一個特殊封包其密鑰檢查區段的該明文形式與一個預先決定之資料區段其明文形式完全相同，但與該特殊封包之前的該一個封包其資料欄位之一個加密部分中的該密鑰檢查區段不同。 9 . 一個用於一安全通訊系統中之插入裝置，其中一個原始裝置可自治地變更一個原始通話密输，該原始通話密鑰係用以加密自該原始裝置轉移至該插入裝置中之一個封包其至少一部分的資料襴位；該資料欄位其加密之部分包括一個指定為^一密餘檢查區段搁位之副搁位，該插入裝置包括：一個密鑰產生器，用以在一個預先決定的插入通話密鑰序列K s i n ki中產生多個候補插入通話密鑰，其中對該序列中的每一個指標i而言，該各別的插入通話密鑰K s i n ki相對應至該各別的原始通話密鑰K sourcei上；一個解碼器，用以在一個插入通話密鑰的控制下、將該一個接收之封包其至少一部分的資料欄位解碼；一個密鑰解譯，藉由每一次由該等多個候補插入通話密鑰中一個不同的候補插入通話密鑰之控制下，使該解碼器將該接收之封包其密鑰檢查區段欄位中的資料解碼、直至找到一個有效的解碼結果為止，以判定該哪一個候補插入通話密鑰相對應至用以加密該一個接收之封包其加密部分的該原始通話密鑰；及使該解碼器在產生該有效解碼結果之該候補插入通話密鑰的控制下，將該封包其資料欄位一

O:\64\64919-910522.ptc 第30頁 51耀年、一日修正補充索號89112274 修正六、申請專利範Ί 個剩餘的加密部分解碼。 10. —種在一個原始裝置和於一個通訊通話通訊之方法至該插入裝入裝置中；訊的一部分置中，包括自該原每一個封包包括一該方法包於該原始裝置開始時序歹1JKsourcei中產生一在該動態一部分的資個指將在候補言，通話在補插檢查定為一該封包一個預插入通該各別密錄K s 每一次原始通話密料欄位加密密錄檢查區自該原始裝先決定的插話密鑰，其的插入通話 our cei Ji ; 由該等多個密鑰之控制位中的資料括：，在一個動態鑰的控 :該資段搁位置轉移入通話中對該密鑰Ks 至少一個插入裝置之間安全中將資訊自該原始裝置轉移始裝置轉移多個封包至該插個資料欄位，用以轉移該資個預先決定的原始通話密鑰的原始通話密鑰；制下、將該一個封包其至少料欄位其加密之部分包括一的副搁位，至該插入裝置中；密餘序列Ksinki中產生多個序列中的每一個指標i而 i nki相對應至該各別的原始入通話區段搁止，以判定該哪一個候該一個接收在產生該下，將該封之封包其加有效解碼結包其資料欄 11 種於一個安全候補插入通話密餘中一個不同的候下，藉由解碼該接收之封包其密鑰、直至找到一個有效的解碼結果為補插入通話密鑰相對應至用以加密密部分的該原始通話密鑰；及果之該候補插入通話密鑰的控制位一個剩餘的加密部分解碼。通訊系統内之一個插入裝置中偵測

O:\64\64919-910522.ptc 第31頁 ?/年孓月曰修正、厶2 〜案號89112274 六―、申請專利範圍… 由該系統中一個原始裝置所引起之一個通話密鑰變更之方法；於一個通訊通話中將資訊自該原始裝置轉移至該插入裝置中，包括自該原始裝置轉移多個封包至該插入裝置中；每一個封包包括一個資料欄位，用以轉移該資訊的一部分；在一個預先決定的原始通話密鑰序列Ksourcei中之一個動態原始通話密錄的控制下，加密該一個封包其至少一部分的資料欄位；該資料欄位其加密之部分包括一個指定為^一密錄檢查區段搁位的副搁位，該方法包括· 在一個預先決定的插入通話密输序列K s i n k i中產生多個候補插入通話密鑰，其中對該序列中的每一個指標i而言，該各別的插入通話密鑰Ksi nki相對應至該各別的原始通話密输Ksourcei上；在每一次由該等多個候補插入通話密鑰中一個不同的候補插入通話密鑰之控制下，藉由解碼該接收之封包其密鑰檢查區段欄位中的資料、直至找到一個有效的解碼結果為止，以判定該哪一個候補插入通話密鑰相對應至用以加密該一個接收之封包其加密部分的該原始通話密鑰；及在產生該有效解碼結果之該候補插入通話密鑰的控制下，將該封包其資料攔位一個剩餘的加密部分解碼。 12. 一種電腦程式產品，其中該程式產品使一個電腦執行如申請專利範圍第1 1項之方法。

O:\64\64919-910522.ptc 第32頁 5+?啦穿2日修正圖式號 89112274 Ϋ/ 年 5 月？2 a_ 234 ___ί_. Ν + 1 KCBn 1 KC8N + 1 1 / ( / 1 \ 232 500 502 234 ED / ^^ - --------- ^ ，---------------------------------------- ^ kcbn + 1 1 KCB N + 2 . I 1 232 511 1 512 圖5 26位元組資料payload r-Π 8 8 8 2 V/1 //1 Γ///， //2VJ ////Y///A 1 //3: ///// \////V/^/a 將該部分加密兩次圖6 0 \64\64919-910522.ptc 第頁