AT528196B1 - Verfahren zur sicheren Übertragung von Daten sowie Datenübertragungsnetzwerk - Google Patents

Abstract

Verfahren und Datenübertragungsnetzwerk zur sicheren Übertragung von Daten von einem Sendeknoten (A) an einen Empfangsknoten (B) sowie zur Detektion von Übertragungsfehlern und/oder Manipulationen, die über einen Pfad von miteinander verbundenen Netzwerkknoten (P1, …, PN) Daten über eine erste Übertragungsart austauschen, wobei der Pfad eine Anzahl von sicheren Netzwerkverbindungen (L1, …, LN+1) zur unmittelbaren Datenübertragung zwischen jeweils zwei benachbarten Knoten auf dem Pfad (A, P1, P2, … , PN, B) aufweist, - wobei alle dem Pfad zugeordneten Knoten zusätzlich über ein Netzwerk miteinander in Datenverbindung stehen, über das Daten mittels einer zweiten Übertragungsart ausgetauscht werden können, und wobei a) der Sendeknoten: - mittels eines vorab vorgegebenen ihm zugeordneten Commitment- Algorithmus (CA) basierend auf der Nachricht (s) oder einem davon nach vorgegebenen Vorgaben abgeleiteten Wert, gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert (cmt) und einen dem Commitment- Wert zugeordneten Opening-Wert (o) ermittelt, - den Commitment-Wert (cmt) zum Abruf mittels der zweiten Übertragungsart zur Verfügung hält, und - die Nachricht (s) und den Opening-Wert (o) an seinen jeweils nachfolgenden Knoten im Pfad mittels der ersten Übertragungsart übermittelt.

Description

Ss N

Beschreibung

[0001] Die Erfindung betrifft ein Verfahren zur sicheren Datenübertragung.

[0002] Aus dem Stand der Technik sind unterschiedliche Verfahren zur Datenübertragung bekannt. Einzelne dieser Verfahren basieren dabei auf einer Quantum-Key-Distribution-(QKD)-sicheren Datenübertragung, auch als Quantenübertragung bezeichnet. Die Übertragung von Daten über längere Strecken ist aufgrund physikalischer Beschränkungen nicht oder nur mit sehr hohen Sendeverlusten möglich. Aus diesem Grund verwendet man — wenn man eine sichere Datenübertragung über weitere Strecken benötigt — im Zusammenhang mit einer Quantenübertragung Repeater im Signalweg.

[0003] Diese Repeater erhalten jedoch die übertragenen Daten in unverschlüsselter Weise, sodass diese Repeater besonderen Sicherheitsanforderungen unterliegen müssen. Auch beim Auftreten von Übertragungsfehlern ist es nicht klar, wo im Signalweg, dh zwischen welchen Repeater-Boxen oder in welcher zwischen den Repeater-Boxen gelegenen Datenverbindung ein Fehler aufgetreten ist.

[0004] Dem erfindungsgemäßen Verfahren liegt die Aufgabe zugrunde, eine Datenübertragung validierbar zu halten. Darüber hinaus besteht eine weitere Aufgabe der Erfindung darin, fehlerhafte Knoten oder kompromittierte Knoten oder Leitungsteile zu identifizieren.

[0005] Die Erfindung löst diese Aufgabe bei einem Verfahren der eingangs genannten Art mit den Merkmalen des Patentanspruchs 1. Dabei ist vorgesehen, dass a) der Sendeknoten: - mittels eines vorab vorgegebenen ihm zugeordneten Commitment-Algorithmus basierend auf der Nachricht oder einem davon nach vorgegebenen Vorgaben abgeleiteten Wert, gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert und einen dem Commitment-Wert zugeordneten Opening-Wert ermittelt, - den Commitment-Wert zum Abruf mittels der zweiten Übertragungsart zur Verfügung hält, und - die Nachricht und den Opening-Wert an seinen jeweils nachfolgenden Knoten im Pfad mittels der ersten Datenübertragungsart übermittelt, b) dass jeder weitere Knoten und der Endknoten auf dem Pfad bei Einlangen der Nachricht: ij) den vom jeweils vorangehenden Knoten zur Verfügung gestellten Commitment-Wert über die zweite Übertragungsart abruft, il) überprüft, ob die übermittelte Nachricht und der Opening-Wert und der abgerufene Commitment-Wert im Sinne der Vorgaben des Commitment-Algorithmus, der von dem die Nachricht sendenden Knoten verwendet wurde, konsistent sind, und sofern dies nicht der Fall ist, einen Übertragungsfehler oder eine Manipulation im Verbindungsweg zwischen diesem Knoten und seinem im Pfad unmittelbar vorangehenden Knoten feststellt, c) wobei jeder weitere Knoten, insbesondere nur dann, wenn in Schritt b) ii) eine Konsistenz festgestellt wurde, - mittels eines vorab vorgegebenen ihm jeweils zugeordneten Commitment-Algorithmus basierend auf der Nachricht oder einem davon nach vorgegebenen Vorgaben abgeleiteten Wert, gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert und einen dem Commitment-Wert zugeordneten Opening-Wert ermittelt, - den Commitment-Wert zum Abruf mittels der zweiten Übertragungsart zur Verfügung hält, und - die Nachricht und den Opening-Wert an seinen jeweils nachfolgenden Knoten im Pfad mittels der ersten Übertragungsart übermittelt.

[0006] Eine bevorzugte Methode zur Reduktion des Volumens der zu übertragenden Daten sieht vor, dass zur Bildung des abgeleiteten Werts von der Nachricht ein Hash-Wert basierend auf der Nachricht gebildet wird.

[0007] Eine erhöhte Sicherheit wird erreicht, indem - für die Knoten zur Kommunikation über die zweite Ubertragungsart eine Public-Key-Infrastruktur besteht, wobei jedem Knoten jeweils ein asymmetrisches Schlüsselpaar zugeordnet wird, wobei

A ‚hes AT 528 196 B1 2025-11-15

Ss N

der private Teil der Schlüssel im jeweiligen Knoten abgespeichert wird und der öffentliche Teil der Schlüssel für sämtliche Knoten im Netzwerk abrufbar zur Verfügung gehalten wird, und

- dass die Commitment-Werte zwischen den einzelnen Knoten über die zweite Übertragungsart übertragen werden, indem der jeweilige Commitment-Wert mit dem privaten Schlüssel des den jeweiligen Commitment-Wert zur Verfügung haltenden Knotens von diesem Knoten signiert wird, wobei der Knoten, an den der so signierte Commitment-Wert übertragen wird, anschließend unter Verwendung des zugeordneten öffentlichen Schlüssels des jeweils sendenden Knotens prüft, ob die Signatur des Commitment-Werts authentisch ist.

[0008] Um eine nachträgliche Feststellung allenfalls erfolgter Veränderungen der Nachricht zu ermöglichen, kann vorgesehen sein, dass ein Knoten in Schritt b, ii) überprüft, ob der öffentlich zur Verfügung gestellte Commitment-Wert zuletzt von demjenigen Knoten signiert wurde,

- der im Pfad der Datenübertragung unmittelbar vor dem jeweiligen Knoten liegt und/oder

- der die Nachricht und den Opening-Wert den jeweiligen Knoten übermittelt hat.

[0009] Eine einfache und ressourcensparende Implementierung sieht vor, dass die von allen Knoten entlang des Pfades oder von allen Knoten entlang eines Teilpfads des Pfads verwendeten Commitment-Verfahren ident sind und/oder dass derselbe Commitment-Wert und Opening-Wert für alle Knoten verwendet wird.

[0010] Eine besonders sichere Implementierung sieht vor, dass die ersten Übertragungsart der Daten über eine Netzwerkverbindung mittels Quantenschlüsselverteilung erfolgt.

[0011] Eine besonders sichere Implementierung sieht vor, dass für die Übertragung von Daten mittels der ersten Übertragungsart und für die Übertragung von Daten mittels der zweiten Übertragungsart unterschiedliche Übertragungsmedien, insbesondere Übertragungsleitungen, verwendet werden.

[0012] Die Erfindung löst diese Aufgabe bei einem Computersystem der eingangs genannten Art mit den Merkmalen des Patentanspruchs 8. Dabei ist vorgesehen, dass a) der Sendeknoten dazu ausgebildet ist: - mittels eines vorab vorgegebenen ihm zugeordneten Commitment-Algorithmus basierend auf der Nachricht oder einem davon nach vorgegebenen Vorgaben abgeleiteten Wert, gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert und einen dem Commitment-Wert zugeordneten Opening-Wert zu ermitteln, - den Commitment-Wert zum Abruf mittels der zweiten Übertragungsart zur Verfügung zu halten, und - die Nachricht und den Opening-Wert an seinen jeweils nachfolgenden Knoten im Pfad über die sichere Netzwerkverbindung zu übermitteln, b) dass jeder weitere Knoten und der Endknoten auf dem Pfad dazu ausgebildet sind, bei Einlangen der Nachricht: ij) den vom jeweils vorangehenden Knoten zur Verfügung gestellten Commitment-Wert über die zweite Übertragungsart abzurufen, il) zu überprüfen, ob die übermittelte Nachricht und der Opening-Wert und der abgerufene Commitment-Wert im Sinne der Vorgaben des Commitment-Algorithmus, der von dem die Nachricht sendenden Knoten verwendet wurde, konsistent sind, und sofern dies nicht der Fall ist, einen Übertragungsfehler oder eine Manipulation im Verbindungsweg zwischen diesem Knoten und seinem im Pfad unmittelbar vorangehenden Knoten festzustellen, c) wobei jeder weitere Knoten dazu ausgebildet ist, insbesondere nur dann, wenn in Schritt b) ii) eine Konsistenz festgestellt wurde, - mittels eines vorab vorgegebenen ihm jeweils zugeordneten Commitment-Algorithmus basierend auf der Nachricht oder einem davon nach vorgegebenen Vorgaben abgeleiteten Wert, gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert und einen dem Commitment-Wert zugeordneten Opening-Wert zu ermitteln, - den Commitment-Wert zum Abruf mittels der zweiten Übertragungsart zur Verfügung zu halten, und - die Nachricht und den Opening-Wert an seinen jeweils nachfolgenden Knoten im Pfad

Ss N

mittels der ersten Übertragungsart zu übermitteln.

[0013] Zur Reduktion des Volumens der zu übertragenden Daten kann vorgesehen sein, dass der Sendeknoten und/oder die weiteren Knoten bei der Bildung des abgeleiteten Werts der Nachricht einen Hash- Wert basierend auf der Nachricht verwenden.

[0014] Eine erhöhte Sicherheit wird erreicht, indem

- für die Knoten zur Kommunikation über die zweite Übertragungsart eine Public-Key-Infrastruktur besteht, wobei jedem Knoten jeweils ein asymmetrisches Schlüsselpaar (zugeordnet wird, wobei der private Teil der Schlüssel im jeweiligen Knoten abgespeichert wird und der öffentliche Teil der Schlüssel für sämtliche Knoten im Netzwerk abrufbar zur Verfügung steht, und

- dass die einzelnen Knoten dazu ausgebildet sind, die Commitment-Werte untereinander über die zweite Übertragungsart zu übertragen, indem der jeweilige Commitment-Wert mit dem privaten Schlüssel des den jeweiligen Commitment-Wert zur Verfügung haltenden Knotens von diesem Knoten signiert wird,

- wobei der Knoten, an den so signierte Commitment-Wert übertragen erhält, dazu ausgebildet ist, anschließend unter Verwendung des zugeordneten öffentlichen Schlüssels des jeweils sendenden Knotens zu prüfen, ob die Signatur des Commitment-Werts authentisch ist.

[0015] Um eine nachträgliche Feststellungen allenfalls erfolgter Veränderungen der Nachricht zu ermöglichen, kann vorgesehen sein, dass ein Knoten dazu ausgebildet ist, in Schritt b, 1i) zu überprüfen, ob der öffentlich zur Verfügung gestellte Commitment-Wert zuletzt von demjenigen Knoten signiert wurde,

- der im Pfad der Datenübertragung unmittelbar vor dem jeweiligen Knoten liegt und/oder

- der die Nachricht und den Opening-Wert den jeweiligen Knoten übermittelt hat.

[0016] Eine einfache und ressourcensparende Implementierung sieht vor, dass alle Knoten entlang des Pfades oder alle Knoten eines Teilpfads des Pfades dazu ausgebildet sind, dasselbe Commitment-Verfahren zu verwenden und insbesondere denselben Commitment-Wert zu verwenden.

[0017] Eine besonders sichere Implementierung sieht vor, dass die Knoten und die einzelnen zur Datenübertragung über die erste Ubertragungsart verwendeten Netzwerkverbindungen dazu ausgebildet sind, Daten mittels Quantenschlüsselverteilung auszutauschen.

[0018] Eine besonders sichere Implementierung sieht vor, dass die Knoten dazu ausgebildet sind, Daten mittels der ersten Übertragungsart und mittels der zweiten UÜbertragungsart mittels unterschiedliche Ubertragungsmedien, insbesondere UÜbertragungsleitungen, zu übertragen.

[0019] Weiters betrifft die Erfindung auch noch Datenträger, auf denen Computerprogramme abgespeichert sind. Diese befähigen die Knoten dazu, wenn sie — die Programme — auf einem der Knoten ausgeführt werden, die im vorstehend genannten Verfahren beschriebenen Verfahrensschritte durchzuführen. Durch Ausführen und gegebenenfalls Speichern der Programme in den betreffenden Knoten kann auch ein erfindungsgemäßes Datenübertragungsnetzwerk hergestellt werden.

[0020] Fig. 1 zeigt schematisch die valide Übertragung von Daten von einem Sendeknoten A an einen Empfangsknoten B gemäß einer ersten Ausführungsform der Erfindung. Der Sendeknoten A und der Empfangsknoten B sind über einen Pfad P von Netzwerkknoten P-«, ..., Pn miteinander verbunden. Die einzelnen Knoten A, P«, ..., Pn, B können dabei Daten über eine erste Übertragungsart entlang des Pfads miteinander austauschen.

[0021] Typischerweise handelt es sich hierbei um eine sichere Übertragungsart, bei der jeweils zwei Knoten A, P-«, ..., Pn, B über ein Glasfaserkabel miteinander mittels jeweils einer sicheren Netzwerkverbindung L+, ..., Lw+1 verbunden sind. Bevorzugt erfolgt die Datenübertragung bei der ersten Übertragungsart über eine Netzwerkverbindung mittels Quantenschlüsselverteilung.

[0022] Die Daten werden dabei unmittelbar zwischen den einzelnen Knoten A, P-«, ..., Pn, B ausgetauscht, wobei die übermittelten Daten vorzugsweise nicht an andere Netzwerkteilnehmer übertragen werden. Die Datenübertragung erfolgt in der vorliegenden bevorzugten Ausführungs-

A ‚hes AT 528 196 B1 2025-11-15

Ss N

form der Erfindung in einer Weise, dass die Knoten A, P-«, ..., Pn, B Daten mittels Quantenschlüsselverteilung austauschen. Diese sicheren Netzwerkverbindung Lı, ..., Ln+1 werden dazu herangezogen, sensitive Daten auszutauschen, deren Bekanntwerden zu vermeiden ist.

[0023] Darüber hinaus sind sämtliche der Knoten A, P-«, ..., Pn, B auch über ein Netzwerk N miteinander verbunden, das einen Datenaustausch zwischen allen Knoten A, P«, ..., Pn, B erlaubt. Alle dem Pfad zugeordneten Knoten A, P-«, P;, ... , Pn, B können über dieses Netzwerk N Daten mittels einer zweiten Übertragungsart austauschen. Als Netzwerk N sowie für die zweite Übertragungsart können weiter verzweigte oder größere Netzwerkstrukturen herangezogen werden, wobei auch die Anforderungen an die Sicherheit der Datenübertragung geringer ausfallen können als bei der ersten Übertragungsart. Typischerweise kann eine Datenübertragung mittels Glasfaserleitung oder Kupferkabelleitung verwendet werden, wobei zum Datenaustausch gängige Protokolle verwendet werden können. Gegebenenfalls kann im Rahmen des Datenaustauschs eine Verschlüsselung verwendet werden.

[0024] Für die Übertragung von Daten mittels der ersten Übertragungsart und für die Übertragung von Daten mittels der zweiten UÜbertragungsart werden typischerweise unterschiedliche Ubertragungsmedien, insbesondere Übertragungsleitungen, verwendet.

[0025] Soll nun eine Nachricht s vom Sendeknoten A zum Empfangsknoten B übertragen werden, wird diese Nachricht s beim Sendenkoten bereitgestellt. Im vorliegenden Ausführungsbeispiel wird für sämtliche Datenübertragungen, dh vom Sendeknoten A auf den ersten Knoten P-«4, vom Knoten P+ auf den nächsten Knoten P2, vom Knoten P; auf den diesem nachfolgenden Knoten Ps, sowie vom Knoten P3 auf den Empfangsknoten B jeweils derselbe Commitment-Algorithmus CA gewählt.

[0026] Beispielsweise kann für ein solches Commitment ein Pedersen Commitment verwendet werden, dessen Berechnung im Detail zB in der folgenden Publikation beschrieben ist:

[0027] Pedersen, T.P.: Non-interactive and information-theoretic secure verifiable secret sharing. In: Feigenbaum, J. (ed.) CRYPTO 1991. LNCS, vol. 576, pp. 129-140. Springer, Heidelberg (1992).

[0028] Dieses basiert auf einer zyklischen Gruppe G mit Generatoren g, h und Primordnung qg, in der es schwierig ist, das Decisional Diffie Hellman Problem zu lösen, dh in diesem kann vorab nicht einfach festgestellt werden, ob ein gegebenes Tripel X, Y,Z von Elementen von G die Form (X, Y,Z)=(g"x,g“y,g'z) oder (X, Y,Z)=(g“x,g‘“y,g“xy) für zufällige x,y,z hat). Ein Pedersen Commitment zu einem geheimen Wert s kann beispielsweise cmt = g‘s * h/o für ein zufälliges o in [0,g1] ermittelt werden.

[0029] Der Sendeknoten A ermittelt mittels des vorgegebenen, ihm zugeordneten CommitmentAlgorithmus CA basierend auf einem von der Nachricht s abgeleiteten Hash-Wert (H(s)) nach vorgegebenen Vorgaben V einen Commitment-Wert cmt1 und einen dem Commitment-Wert cmt1 zugeordneten Opening-Wert 01. Der Sendeknoten A speichert den Commitment-Wert cmt1 ab und hält diesen Wert für spätere Überprüfungen zum Abruf zur Verfügung. Der konkrete Commitment- Wert cmt lässt keine Rückschlüsse auf die Nachricht s zu und kann daher mittels der zweiten Übertragungsart übertragen werden.

[0030] Der Sendeknoten A übermittelt die Nachricht s und den Opening- Wert 01 an seinen jeweils nachfolgenden Knoten P+ im Pfad P mittels der ersten Datenübertragungsart über die sichere Netzwerkverbindung.

[0031] Empfängt nun der erste Knoten P+ die Nachricht s sowie den Opening-Wert 01, ruft dieser den vom jeweils vorangehenden Knoten, dh vom Sendeknoten A, zur Verfügung gestellten Commitment-Wert cmt1 über die zweite Übertragungsart ab. Alternativ kann dieser Commitment-Wert cmt1 gleichzeitig mit der Nachricht s sowie dem Opening-Wert 01 vom Sendeknoten A an den ersten Knoten P+ übertragen werden.

[0032] Anschließend überprüft der ersten Knoten P«, ob die übermittelte Nachricht s und der Opening-Wert 01 und der abgerufene Commitment-Wert cmt1 im Sinne der Vorgaben V des Com-

A ‚hes AT 528 196 B1 2025-11-15

Ss N

mitment-Algorithmus CA konsistent sind. Dies kann je nach verwendetem Commitment- Algorithmus CA unterschiedlich erfolgen. In vielen Fällen ist es möglich, die im Sendeknoten A durchgeführte und auf der Nachricht s und dem Opening-Wert 01 basierende Berechnung neuerlich durchzuführen und zu prüfen, ob diese Berechnung denselben Commitment-Wert cmt1 ergibt, der auch vom Sendeknoten A zur Verfügung gestellt wurde.

[0033] Ist dies der Fall, kann davon ausgegangen werden, dass im Übertragungsweg zwischen dem Sendeknoten A und dem ersten Knoten Pı kein Übertragungsfehler stattgefunden hat. Sind die vom ersten Knoten P1 empfangenen Werte s, 01, cmt1 jedoch nicht miteinander konsistent im Sinne des verwendetem Commitment-Algorithmus CA, kann ein Übertragungsfehler festgestellt werden. Dabei kann davon ausgegangen werden, dass der Übertragungsfehler den Signalweg zwischen dem Sendeknoten A und dem ersten Knoten P-+ betrifft. Auch eine bewusste Manipulation im Verbindungsweg zwischen dem Sendeknoten A und dem ersten Knoten P+ kann festgestellt werden, wenn zumindest einer der Knoten nicht korrumpiert ist. Je nach den Vorgaben des Übertragungsprotokolls kann dieser Übertragungsfehler zB an den Sendeknoten A oder den Empfangsknoten B gemeldet werden.

[0034] Stellt der erste Knoten P1 fest, dass die Übertragung fehlerfrei war und die an ihn übertragenen Werte s, 01, cmt1 konsistent sind, ermittelt er neuerlich basierend auf den Vorgaben V des Commitment-Algorithmus CA einen Opening-Wert 02 und einen Commitment-Wert cmt2. Der hier verwendete Opening-Wert 02 und der verwendete Commitment-Wert cmt2 können grundsätzlich den bereits für die vorherige Verbindung verwendeten Opening-Wert 01 und Commitment-Wert cmt1 jeweils gleichen. Es ist aber auch möglich, im Rahmen desselben CommitmentAlgorithmus CA zu unterschiedlichen Opening-Werten 02 und Commitment-Werten cmt2 zu gelangen.

[0035] Es ist auch im Rahmen der Erfindung nicht zwingend erforderlich, dass zwischen jedem Paar von im Pfad P aneinander angrenzenden Knoten P-+«, ..., Pa jeweils derselbe CommitmentAlgorithmus CA verwendet wird. Vielmehr ist es auch möglich, dass — zB aufgrund von unterschiedlichen Sicherheitsvorgaben in einzelnen Ländern — mehrere Commitment-Algorithmen CA verwendet werden. Die Konsistenzprüfung der an einen Knoten P-«, P2, P3, B übermittelten Werte Ss, o, cmt erfolgt jedoch stets basierend auf dem Commitment-Algorithmus CA, der im jeweils vorangehenden Knoten auch für die Erstellung der jeweiligen Werte s, o, cmt verwendet wurde.

[0036] Sofern der Opening-Wert o und der Commitment-Wert cmt basierend auf einem HashWert H(s) ermittelt wurden, der durch Hashing der Nachricht s gebildet wurde, kann die Überprüfung der Konsistenz jeweils so erfolgen, dass der Hash-Wert H(s) vom jeweiligen empfangenden Knoten nach denselben Vorgaben V der Hashwertbildung ermittelt wird, die auch für die Erstellung des Hash-Werts H(s) im sendenden Knoten herangezogen wurden.

[0037] Die Übertragung der Nachricht s zwischen dem Knotenpaar P+, P2 erfolgt auf dieselbe Weise wie zwischen dem Knotenpaar A, P+1. Der erste Knoten P+4 leitet den von ihm ermittelten Opening-Wert 02 sowie die Nachricht s über den ersten Übertragungsweg an den zweiten Knoten P2 weiter und hält den von ihm ermittelten Commitment-Wert cmt2 zur Übertragung über den zweiten Übertragungsweg zur Verfügung. Der zweite Knoten P2 erhält vom ersten Knoten P+ die Werte s, 02, cmt2 und prüft die Konsistenz entsprechend dem Commitment-Algorithmus CA.

[0038] Ist diese gegeben, wird die Nachricht s auf dieselbe Weise vom zweiten Knoten P; an den dritten Knoten P3 übertagen. Ebenso wird im Falle der vom dritten Knoten P;3 festgestellten Konsistenz der vom zweiten Knoten P; übertragenen Daten eine Datentübertragung nach denselben Vorgaben V an den Empfangsknoten B veranlasst.

[0039] In Fig. 2 ist eine Situation dargestellt, in der eine Übertragung fehlerhaft war. Stellt sich bei der Prüfung im zweiten Knoten P; heraus, dass die an diesen vom ersten Knoten P+ übermittelten Werte s, 02, cmt2 nicht konsistent sind, kann der Knoten P2 einen Übertragungsfehler feststellen und diesen gegebenenfalls über die zweite Übertragungsart an den Sendeknoten A weiterleiten. In diesem Fall könnte die Nachricht s beispielsweise über einen alternativen Übertragungspfad zwischen dem Sendeknoten A und dem Empfangsknoten B geroutet werden.

A ‚hes AT 528 196 B1 2025-11-15

Ss N

[0040] Wie bereits vorstehend beschrieben, kann bei einem Commitment- Algorithmus CA in Form eines Pedersen Commitment eine lokale Überprüfung im zweiten Knoten P2 ergeben, dass der vom ersten Knoten P+ übermittelte Commitment-Wert cmt2 nicht konsistent ist mit den vom ersten Knoten P+ an den zweiten Knoten P,2 übermittelten Werten s, 02. Ergibt diese lokale Prüfung eine Diskrepanz, kann ein Übertragungsfehler im Signalweg zwischen dem ersten Knoten P+ı und dem zweiten Knoten P>; festgestellt werden.

[0041] Der Fehler wird vom zweiten Knoten erkannt, es ist jedoch nicht ohne weiteres möglich, die Fehlerquelle ausfindig zu machen, wenn einer der Knoten nach einer erfolgreichen Übertragung die Nachricht s durch eine alternative Nachricht s’ ersetzt verändert und basierend auf dieser Nachricht einen konsistenten Opening-Wert 02 sowie einen ebenfalls konsistenten Commitment-Wert cmt2 ermittelt.

[0042] Bei der im folgenden beschriebenen zweiten Ausführungsform der Erfindung, die im übrigen der ersten Ausführungsform entspricht und die näher in den Fig. 3 und 4 dargestellt ist, besteht nun die Möglichkeit, festzustellen, ob bestimmte Knoten korrumpiert sind und manipulativ vorgehen.

[0043] Im vorliegenden Fall verwenden sämtliche Knoten jeweils denselben Commitment-Algorithmus CA. Wie bereits im Zusammenhang mit der ersten Ausführungsform der Erfindung erwähnt, wird bei der zweiten Ausführungsform der Commitment-Wert cmt und der Opening- Wert olediglich vom Sendeknoten A berechnet. Während sämtliche Knoten P+, P2, Ps, B beim Empfang die Konsistenz von Nachricht s, Opening-Wert o und Commitment-Wert cmt prüfen, werden diese Werte nach erfolgreicher Prüfung unverändert weiter an den jeweils nachfolgenden Knoten P-», P3, B übermittelt.

[0044] Zusätzlich zu dieser Vorgehensweise ist nun bei der zweiten Ausführungsform der Erfindung jedem der Knoten A, P«, P2, P3 jeweils ein asymmetrisches Schlüsselpaar (skA, pkA), (skP1, pkP+1),(SkP2, pkP>»), (SkP3, pkP3), (SkB, pkB) zugeordnet, mit dem der jeweilige Knoten dazu in der Lage ist, den von ihm ermittelten Commmittment-Wert zu signieren. Das asymmetrisches Schlüsselpaar umfasst jeweils einen für den Knoten privaten bzw geheimen Schlüsselteil sk, der zum Signieren verwendet wird und einen öffentlichen Schlüsselteil pk, der jedem anderen Knoten die Möglichkeit gibt, die Signatur zu überprüfen. Der private Teil der Schlüssel wird im jeweiligen Knoten A, P-«, ..., Pn, B abgespeichert, und der öffentliche Teil der Schlüssel wird für sämtliche Knoten im Netzwerk abrufbar zur Verfügung gehalten.

Die Commitment-Werte cmt werden zwischen den einzelnen Knoten P über die zweite Übertragungsart übertragen werden. Dabei wird der Commitment-Wert cmt mit dem privaten Schlüssel des den jeweiligen Commitment-Wert cmt zur Verfügung haltenden Knotens von diesem Knoten signiert. Der Knoten, der einen so signierten Commitment-Wert übertragen erhält, prüft anschlieBend unter Verwendung des zugeordneten öffentlichen Schlüssels des jeweils sendenden Knotens, ob die Signatur des Commitment-Werts cmt authentisch ist.

[0045] In Fig. 4 ist eine Situation dargestellt, in der der zweite Knoten P, korrupt ist, während die übrigen Knoten A, P+, Ps, B wie spezifiziert funktionieren. Im Zuge der Übertragung ändert nun der korrumpierte zweite Knoten P, die Nachricht s auf s’ ab. Um die zuvor beschriebenen Konsistenzprüfung zu bestehen, ändert der zweite Knoten P2 auch den Opening-Wert auf einen alternativen Opening-Wert o’ und den Commitment-Wert auf einen alternativen Commitment-Wert cmt’ ab und leitet diesen weiter. Vor der Weiterleitung signiert der zweite Knoten P2 den Commitment-Wert cmt’ mit seinem lokalen Schlüssel skP2. Die Signatur o(cmt', skP,2) wird an den dritten Knoten P3 übertragen, der die Signatur o(cmt’, skP2) zur weiteren Prüfung abspeichert.

[0046] Der dritte Knoten P3 überprüft die bei ihm einlangenden Daten zunächst nur lokal, dh der Knoten P;z prüft, ob die bei ihm einlangenden Werte konsistent sind. Sind der modifizierte Opening- Wert 0’, die modifizierte Nachricht s’ und der modifizierte Commitment-Wert cmt’ im Sinne des Commitment-Algorithmus CA konsistenz, leitet der dritte Knoten P;3 die bei ihm einlangenden Daten an den Empfangsknoten B weiter.

[0047] Nach der erfolgten Übertragung besteht aber die Möglichkeit, dass der Sendeknoten A

A ‚hes AT 528 196 B1 2025-11-15

Ss N

und der Empfangsknoten B unabhängig verifizieren, ob die Übertragung erfolgreich war. Da die einzelnen Knoten die Möglichkeit bieten, die bei ihnen abgespeicherten und signierten Commitment-Werte cmt, o(cmt, skP) abzurufen, kann nun nach der Reihenfolge der Datenübertragung untersucht werden, ob bzw bei welchem Knoten der Commitment-Werte cmt modifiziert wurde. Unabhängig vom Verhalten des korrumpierten zweiten Knotens P, kann festgestellt werden, dass der Commitment-Wert cmt an den ersten Knoten P+1 korrekt übertragen wurde. Ebenso kann durch Anfrage an den dritten Knoten P; festgestellt werden, dass diesem ein vom zweiten Knoten P2 signierter abweichender Commitment- Wert cmt’' übermittelt wurde.

[0048] Der zweite Knoten P, - der nicht über den privaten Schlüssel des ersten Knotens P+4 verfügt - kann jedoch auch nicht behaupten, dass er den fehlerhaften Commitment-Wert cmt’ bereits vom ersten Knoten P+ übermittelt erhalten hat, da der vom ersten Knoten P1 erstellte und an den zweiten Knoten P; übermittelte Signaturwert 01 = o(cmt, skP+1) noch den korrekten CommitmentWert zeigt und eine nachträgliche Manipulation des Signaturwerts ohne den privaten Schlüssel des ersten Knotens P+; nicht möglich ist. Der Übertragungsfehler kann somit beim zweiten Knoten P2 lokalisiert werden.

[0049] Typischerweise haben der Commitment-Wert cmt, die Signatur, der Opening-Wert 0 sowie der aus der Nachricht s abgeleitete Wert eine Länge von einigen hundert Bit.

Claims (1)

1. A ‚hes AT 528 196 B1 2025-11-15

   Ss N

   Patentansprüche

   1. Verfahren zur sicheren Übertragung von Daten von einem Sendeknoten (A) an einen Empfangsknoten (B) sowie zur Detektion von Übertragungsfehlern und/oder Manipulationen, die über einen Pfad (P) von miteinander verbundenen Netzwerkknoten (P-«, ..., Pn) Daten über eine erste Übertragungsart austauschen, wobei der Pfad eine Anzahl von sicheren Netzwerkverbindungen (L4, ..., Ln+1) zur unmittelbaren Datenübertragung zwischen jeweils zwei benachbarten Knoten auf dem Pfad (A, P«, Pz, ... , Pn, B) aufweist,

   - wobei alle dem Pfad zugeordneten Knoten (A, P-«, P>;, ... , Pn, B) zusätzlich über ein Netzwerk (N) miteinander in Datenverbindung stehen, über das Daten mittels einer zweiten Übertragungsart ausgetauscht werden können, und - wobei die zu übertragende Nachricht (s) beim Sendeknoten (A) bereitgestellt wird, dadurch gekennzeichnet, dass a) der Sendeknoten (A): - mittels eines vorab vorgegebenen ihm zugeordneten Commitment-Algorithmus (CA) basierend auf der Nachricht (s) oder einem davon nach vorgegebenen Vorgaben (V) abgeleiteten Wert (H(s)), gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert (cmt) und einen dem Commitment-Wert zugeordneten Opening-Wert (0) ermittelt, - den Commitment-Wert (cmt) zum Abruf mittels der zweiten Übertragungsart zur Verfügung hält, und - die Nachricht (s) und den Opening-Wert (0) an seinen jeweils nachfolgenden Knoten im Pfad (P) mittels der ersten Datenübertragungsart übermittelt, b) dass jeder weitere Knoten und der Endknoten (B) auf dem Pfad bei Einlangen der Nachricht (s): ij) den vom jeweils vorangehenden Knoten zur Verfügung gestellten Commitment-Wert (cmft’) über die zweite Übertragungsart abruft, il) überprüft, ob die übermittelte Nachricht (s) und der Opening-Wert (0) und der abgerufene Commitment-Wert (cmt’) im Sinne der Vorgaben des Commitment-Algorithmus (CA), der von dem die Nachricht (s) sendenden Knoten verwendet wurde, konsistent sind, und sofern dies nicht der Fall ist, einen Übertragungsfehler oder eine Manipulation im Verbindungsweg zwischen diesem Knoten und seinem im Pfad unmittelbar vorangehenden Knoten feststellt, c) wobei jeder weitere Knoten, insbesondere nur dann, wenn in Schritt b) ii) eine Konsistenz festgestellt wurde, - mittels eines vorab vorgegebenen ihm jeweils zugeordneten Commitment-Algorithmus (CA) basierend auf der Nachricht (s) oder einem davon nach vorgegebenen Vorgaben (V) abgeleiteten Wert (H(s)), gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert (cmt) und einen dem Commitment-Wert zugeordneten Opening-Wert (0) ermittelt, - den Commitment-Wert (cmt) zum Abruf mittels der zweiten Übertragungsart zur Verfügung hält, und - die Nachricht (s) und den Opening-Wert (0) an seinen jeweils nachfolgenden Knoten im Pfad (P) mittels der ersten Übertragungsart übermittelt.

   2. Verfahren nach Anspruch 1, wobei zur Bildung des abgeleiteten Werts von der Nachricht ein Hash-Wert basierend auf der Nachricht gebildet wird.

   3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass

   - für die Knoten zur Kommunikation über die zweite Übertragungsart eine Public-Key-Infrastruktur besteht, wobei jedem Knoten (A, P-«, ..., Pn, B) jeweils ein asymmetrisches Schlüsselpaar (skA, pkA; ...; skB, pkB) zugeordnet wird, wobei der private Teil der Schlüssel im jeweiligen Knoten (A, P«, ..., Pn, B) abgespeichert wird und der öffentliche Teil der Schlüssel für sämtliche Knoten im Netzwerk abrufbar zur Verfügung gehalten wird, und

   - dass die Commitment-Werte zwischen den einzelnen Knoten über die zweite Übertragungsart übertragen werden, indem der jeweilige Commitment-Wert mit dem privaten

   Ss N

   Schlüssel des den jeweiligen Commitment-Wert zur Verfügung haltenden Knotens von diesem Knoten signiert wird, wobei der Knoten, an den der so signierte Commitment-Wert übertragen wird, anschließend unter Verwendung des zugeordneten öffentlichen Schlüssels des jeweils sendenden Knotens prüft, ob die Signatur des Commitment-Werts authentisch ist.

   Verfahren nach Anspruch 3, wobei ein Knoten (P-«, P>;, ... , Pn, B) in Schritt b, ii) überprüft, ob der öffentlich zur Verfügung gestellte Commitment-Wert (cmt) zuletzt von demjenigen Knoten signiert wurde,

   - der im Pfad der Datenübertragung unmittelbar vor dem jeweiligen Knoten liegt und/oder

   - der die Nachricht (s) und den Opening-Wert (0) den jeweiligen Knoten übermittelt hat.

   Verfahren nach einem der vorangehenden Ansprüche, wobei die von allen Knoten entlang des Pfades oder von allen Knoten entlang eines Teilpfads des Pfads verwendeten Commitment-Verfahren (CA, CA’) ident sind und/oder

   dass derselbe Commitment-Wert (cmt) und Opening-Wert (0) für alle Knoten verwendet wird.

   Verfahren nach einem der vorangehenden Ansprüche, wobei die ersten Übertragungsart der Daten über eine Netzwerkverbindung mittels Quantenschlüsselverteilung erfolgt.

   Verfahren nach einem der vorangehenden Ansprüche, wobei für die Übertragung von Daten mittels der ersten Übertragungsart und für die Übertragung von Daten mittels der zweiten Übertragungsart unterschiedliche Übertragungsmedien, insbesondere Übertragungsleitungen, verwendet werden.

   Datenübertragungsnetzwerk zur sicheren Übertragung von Daten umfassend einen Sendeknoten (A), einen Empfangsknoten (B) sowie eine Anzahl von weiteren Netzwerkknoten (P«, ..., PN), wobei im Datenübertragungsnetzwerk ein Pfad (P) besteht, in dem der Sendeknoten, der Empfangsknoten und die weiteren Netzwerkknoten über eine ersten Übertragungsart in Datenverbindung stehen, wobei der Pfad eine Anzahl von sicheren Netzwerkverbindungen

   (L4, ..., Ln+1) Zur unmittelbaren Datenübertragung zwischen jeweils zwei benachbarten Knoten auf dem Pfad (A, P«, P>z, ... , Pn, B) aufweist, - wobei alle dem Pfad zugeordneten Knoten (A, P-«, P>;, ... , Pn, B) zusätzlich über ein Netz-

   werk (N) miteinander über eine zweite Übertragungsart in Datenverbindung stehen, und

   - wobei der Sendeknoten (A) dazu ausgebildet ist, zu übertragende Nachrichten (s) zu er-

   halten und zur Übertragung bereitzustellen,

   dadurch gekennzeichnet, dass

   a) der Sendeknoten (A) dazu ausgebildet ist: - mittels eines vorab vorgegebenen ihm zugeordneten Commitment-Algorithmus (CA) basierend auf der Nachricht (s) oder einem davon nach vorgegebenen Vorgaben (V) abgeleiteten Wert (H(s)), gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert (cmt) und einen dem Commitment-Wert zugeordneten Opening-Wert (0) zu ermitteln, - den Commitment-Wert (cmt) zum Abruf mittels der zweiten Übertragungsart zur Verfügung zu halten, und - die Nachricht (s) und den Opening-Wert (0) an seinen jeweils nachfolgenden Knoten im Pfad (P) über die sichere Netzwerkverbindung zu übermitteln,

   b) dass jeder weitere Knoten und der Endknoten (B) auf dem Pfad dazu ausgebildet sind,

   bei Einlangen der Nachricht (s): ij) den vom jeweils vorangehenden Knoten zur Verfügung gestellten Commitment-Wert (cmft’) über die zweite Übertragungsart abzurufen, il) zu überprüfen, ob die übermittelte Nachricht (s) und der Opening-Wert (0) und der abgerufene Commitment-Wert (cmt’) im Sinne der Vorgaben des Commitment-Algorithmus (CA), der von dem die Nachricht (s) sendenden Knoten verwendet wurde, konsistent sind, und sofern dies nicht der Fall ist, einen Übertragungsfehler oder eine Manipulation im Verbindungsweg zwischen diesem Knoten und seinem im Pfad unmittelbar vorangehenden Knoten festzustellen,

   Ss N

   c) wobei jeder weitere Knoten dazu ausgebildet ist, insbesondere nur dann, wenn in Schritt b) Ii) eine Konsistenz festgestellt wurde, - mittels eines vorab vorgegebenen ihm jeweils zugeordneten Commitment-Algorithmus (CA) basierend auf der Nachricht (s) oder einem davon nach vorgegebenen Vorgaben (V) abgeleiteten Wert (H(s)), gegebenenfalls unter Vorgabe eines Zufallswerts, einen Commitment-Wert (cmt) und einen dem Commitment-Wert zugeordneten Opening-Wert (0) zu ermitteln, - den Commitment-Wert (cmt) zum Abruf mittels der zweiten Übertragungsart zur Verfügung zu halten, und - die Nachricht (s) und den Opening-Wert (0) an seinen jeweils nachfolgenden Knoten im Pfad (P) mittels der ersten Übertragungsart zu übermitteln.

   9. Datenübertragungsnetzwerk nach Anspruch 8, wobei der Sendeknoten (A) und/oder die weiteren Knoten bei der Bildung des abgeleiteten Werts der Nachricht einen Hash-Wert basierend auf der Nachricht verwenden.

   10. Datenübertragungsnetzwerk nach Anspruch 8 oder 9, dadurch gekennzeichnet, dass

   - für die Knoten zur Kommunikation über die zweite Übertragungsart eine Public-Key-Infrastruktur besteht, wobei jedem Knoten (A, P-«, ..., Pn, B) jeweils ein asymmetrisches Schlüsselpaar (skA, pkA; skB, pkB, ...) zugeordnet wird, wobei der private Teil der Schlüssel im jeweiligen Knoten (A, P«, ..., Pn, B) abgespeichert wird und der öffentliche Teil der Schlüssel für sämtliche Knoten im Netzwerk abrufbar zur Verfügung steht, und

   - dass die einzelnen Knoten dazu ausgebildet sind, die Commitment-Werte untereinander über die zweite Übertragungsart zu übertragen, indem der jeweilige Commitment-Wert mit dem privaten Schlüssel des den jeweiligen Commitment-Wert zur Verfügung haltenden Knotens von diesem Knoten signiert wird,

   - wobei der Knoten, an den so signierte Commitment-Wert übertragen erhält, dazu ausgebildet ist, anschließend unter Verwendung des zugeordneten öffentlichen Schlüssels des jeweils sendenden Knotens zu prüfen, ob die Signatur des Commitment-Werts authentisch ist.

   11. Datenübertragungsnetzwerk nach Anspruch 10, wobei ein Knoten (P«, P>z, ... , Pn, B) dazu ausgebildet ist, in Schritt b, ii) zu überprüfen, ob der öffentlich zur Verfügung gestellte Commitment-Wert (cmt) zuletzt von demjenigen Knoten signiert wurde,

   - der im Pfad der Datenübertragung unmittelbar vor dem jeweiligen Knoten liegt und/oder - der die Nachricht (s) und den Opening-Wert (0) den jeweiligen Knoten übermittelt hat.

   12. Datenübertragungsnetzwerk nach einem der vorangehenden Ansprüche, wobei alle Knoten entlang des Pfades oder alle Knoten eines Teilpfads des Pfades dazu ausgebildet sind, dasselbe Commitment-Verfahren (CA, CA’) zu verwenden und insbesondere denselben Commitment-Wert (cmt) zu verwenden.

   13. Datenübertragungsnetzwerk nach einem der vorangehenden Ansprüche, wobei die Knoten und die einzelnen zur Datenübertragung über die erste UÜbertragungsart verwendeten Netzwerkverbindungen dazu ausgebildet sind, Daten mittels Quantenschlüsselverteilung auszutauschen.

   14. Datenübertragungsnetzwerk nach einem der vorangehenden Ansprüche, wobei die Knoten dazu ausgebildet sind, Daten mittels der ersten Übertragungsart und und mittels der zweiten Übertragungsart mittels unterschiedliche Übertragungsmedien, insbesondere Übertragungsleitungen, zu übertragen.

   15. Datenträger, auf dem ein Computerprogramm zur Ausführung auf einem der Knoten des Datenübertragungsnetzwerks abgespeichert ist zur Durchführung der vom jeweiligen Knoten auszuführenden Verfahrensschritte der Patentansprüche 1 bis 7.

   Hierzu 4 Blatt Zeichnungen

   10 / 14