CN102783081A - 用于安全地单向传输信号的方法 - Google Patents

Abstract

用于利用单向通信连接传输信号的方法通过非对称密码方法来保护。为此通过发送器在发送过程中使计数器值递增。接着通过发送器基于计数器值和可由接收器执行的控制命令确定挑战并且基于所确定的挑战又确定响应。挑战和响应从发送器传输给接收器。所接收的挑战然后通过接收器检验，在挑战中所使用的计数器值是否大于迄今由进行传输的发送器所存储的计数器值。基于挑战检验所接收的响应。在成功地检验了挑战和响应之后执行在挑战中所传送的控制命令。

Description

用于安全地单向传输信号的方法

技术领域

本发明涉及用于在使用非对称密码方法的情况下安全地单向传输信号的方法、发送器和接收器。

背景技术

信号的单向传输例如在遥控装置中被用于发送控制命令，因为在这些情况下通常不需要应答消息。这种遥控装置的例子是用于联锁和去联锁汽车的无线电钥匙、无线车库门开启器或者在娱乐电子领域中的遥控装置。此外，由无线传感器单向地传输例如状态信息，例如温度或震动。这样的单向传输是节省能量的，因为仅仅发送单个消息并且事先不必建立连接。此外，通常可以放弃接收部分，这在制造中使相应的系统便宜。

但是即使在单向传输时在大多应用情况下也要求信号的安全的和防操纵的传输。为了安全地单向传输，所谓的滚码（Keeloq）协议是已知的。在该协议中使用对称密钥用于对所发送的信号进行加密。在对称加密方法中，发送器和接收器必须具有相同的密钥，以便发送器能够利用该密钥对消息进行加密并且接收器能够利用该密钥对消息进行解密。因此为了使新的发送器在接收器处是已知的，必须以适当的方法在发送器和接收器之间协商特定的对称密钥。在实践中使用以下方法，在所述方法中对称系统密钥在接收器处通过制造商存储。于是借助发送器特定的信息，例如序列号，可以通过接收器计算发送器特定的密钥。为此，发送器在训练阶段例如向接收器传送其序列号，所述接收器然后借助于系统密钥确定发送器特定的密钥。在发送器侧，发送器特定的密钥已经通过制造商存储。因此，发送器以及接收器都在该训练阶段之后具有共同的密钥，利用该共同的密钥可以对消息进行加密或解密。

但是在这样的方法的情况下有问题的是，在每个接收器上均存储系统密钥。仅获得接收器的攻击者可以读出系统密钥并且利用该知识仿制任意发送器的密钥。

在另一方法中，为了在发送器和接收器之间协商系统密钥在训练阶段以非加密的方式传输发送器密钥。但是这也带来风险，即攻击者在受操纵的训练阶段中窃听发送器密钥。

除此以外，在两种方法中应该经历可以由用户发起的训练阶段。这带来了针对用户的附加耗费，使得所述方法由于附加需要的训练阶段而变得易于出错和用户不合意的。

文献A. Menezes, P. Van Oorschot, S. Vanstone: “Handbook of Applied Cryptography”, CRC Press, 1997（第385至435页）和J. Clark, J. Jacob: “A Survey of Authentication Protocol Literature: Version 1.0”, 17. November 1997描述了在发送器和接收器之间的单方面鉴权。在该鉴权的范围中，传送时间戳和接收器标识以及数字签名，所述数字签名经由时间戳和接收器标识构成。接收器在此可以检验时间戳的正确性以及经由发送器的公开密钥检验签名的正确性。

在出版物US 7,278,582 B1中描述了芯片卡形式的硬件安全模块。

发明内容

本发明所基于的任务是说明一种用于单向传输信号的方法，所述方法比迄今已知的方法更安全和更用户合意。

该任务通过具有权利要求1、9和11的特征的方法、发送器和接收器来解决。本发明的有利改进方案在从属权利要求中予以说明。

用于利用单向通信连接传输信号的根据本发明的方法通过非对称密码方法来保护。为此通过发送器在发送过程时使计数器值递增。接着通过发送器基于计数器值和可由接收器执行的控制命令确定挑战并且基于所确定的挑战又确定响应。挑战和响应从发送器传输给接收器。根据本发明，通过发送器确定挑战以及所属的响应。通过这种方式可以使用非对称密码方法，所述非对称密码方法通常为双向通信连接设计。计数器例如是16位、32位或64位计数器。借助于非对称密码方法、诸如RSA、ECC（椭圆曲线密码学（Elliptic Curve Cryptography））（诸如ECC-DSA）或者迪菲-赫尔曼在使用私有非对称密钥的情况下来确定响应。计数器值的递增尤其是被理解为提高值1。但是也可以类似地基于其他计算系统，其中例如反向地计数（也就是使计数器值减小值1）。相应地，同样可能的是提高其他的值（例如+2, +5, +7）或者减小其他的值（例如-2, -5, -7）。也可以使用其他计算运算，例如与值（例如2，3，5，7）相乘，以便确定下一计数器值。在另一替代方案中作为计数器值使用随机数，其中在计数器递增时计算新的随机数（例如通过伪随机数序列发生器）。

在本发明的改进方案中，多次传输包括挑战的消息，以便即使在传输错误时也可靠地传送控制命令。在此，计数器值可以随着每个消息被提高或者随着每次重复的传输保持不变。只要具有该计数器值的消息以一定的频率被接收，则接收器接受该相同的计数器值。在一种变型方案中，接收器存储计数器参考值。在接收消息时，接收器检验，在此所使用的计数器值相对于所存储的计数器参考值是否递增。仅在单次或可替代地多次递增的计数器值的情况下才执行被编码在消息中的控制命令。在此，将计数器参考值设置为在该消息中所使用的计数器值。一旦在一定的时间间隔期间具有该计数器值的控制消息没有被接获得，则该计数器值变为无效的。此外，可以通过接收器检验，具有该计数器值的相同的控制命令是否被传输。被编码在该消息中的控制命令在此对于恒定的计数器值优选地仅被执行一次。

在本发明的另一扩展方案中，为了初始化，接收器存储发送器的标识信息，其中所述标识信息包括接收器的至少一个序列号。发送器的标识信息可以经由管理接口、例如串行接口传输。有利地，接收器可以借助于所接收的标识信息确定发送器的公开密钥。基于该公开密钥，对于接收器而言可能的是，安全地验证由发送器接收的响应。因此，接收器有利地不需要秘密密钥材料来安全地检验发送器的消息。即使攻击者确定了发送器的标识信息或公开密钥，但是该攻击者也因此不能仿制发送器的消息。对此将会需要发送器的分配给发送器的公开密钥的私有密钥。

在本发明的另一扩展方案中，基于所确定的响应通过发送器推导出完整性密钥，并且为了保护挑战的完整性而利用完整性密钥来确定关于挑战的密码校验和。这具有以下有利作用：挑战的完整性在单向传输时也得以保证。密码校验和可以关于整个挑战或关于该挑战的一部分来计算。

在用于检验这样所保护的传输的信号的根据本发明的方法中，通过接收器接收所传输的挑战和所属的响应。所接收的挑战接着被检验：在挑战中所使用的计数器值是否大于迄今由传输发送器存储的计数器值。基于挑战检验所接收的响应。在成功地检验了挑战和响应之后，执行在挑战中所传送的控制命令。

根据本发明的发送器具有用于执行通过非对称密码方法保护地利用单向通信连接传输信号的本发明方法。

在一种改进方案中，发送器具有用于高效地和安全地执行密码操作的安全模块。该安全模块包括用于保护免受在软件技术上以及在物理上的攻击或侧信道攻击的装置。

根据本发明的接收器包括适用于执行用于检验由非对称密码方法保护地单向传输的信号的方法的装置。

附图说明

下面参照用于阐述发明基本特征的附图来描述根据本发明的方法、根据本发明的发送器和接收器的优选实施方式。其中:

图1示出用于安全地单向传输信号的本发明方法的流程图，

图2示出具有用于安全地单向传输信号的本发明方法的安全模块的变型方案的流程图，

图3示出具有用于安全地单向传输信号的本发明方法的所传输的挑战的附加完整性保护的另一变型方案的流程图。

具体实施方式

图1以流程图示出用于安全地传输信号的本发明方法。在此情况下仅在一个方向、也即单向地从发送器101向接收器102进行传输。

发送器101在第一步骤103中确定挑战，所述挑战包括计数器值和控制命令。计数器值在每个发送过程时被递增并且用于防止重放攻击，在所述重放攻击时由攻击者发送监听的消息。控制命令例如在电视机的遥控情况下是用于接通或关断设备的命令或者用于改变音量的命令。在无线传感器情况下，控制命令例如是传感器值，例如温度或压力。

在下一步骤104中，发送器的计数器值被递增。接着发送器101基于所确定的挑战确定响应105。所确定的挑战以及所确定的响应接着从发送器101被传输106给接收器102。

接收器102现在在第一步骤107中检验，所获得的响应是否与所获得的挑战相配。在下一步骤中，发送器102检验，所获得的挑战是否是有效的108。在此情况下，例如检验，发送器的由挑战所包括的计数器值是否大于迄今由该发送器接收的计数器值。如果响应的检验以及挑战的检验成功，则调整109发送器101的在接收器102中存放的参考信息。为此例如使对于该发送器所存储的计数器值递增。最后，执行101由挑战所包括的控制命令。

但是如果响应或者挑战的检验不成功的话，则不调整有关的发送器的参考信息并且不执行相应的控制命令。

当然由技术人员斟酌决定以另外的顺序或者至少部分地并行地执行所述的方法步骤。

非对称密码方法的安全性基于私有密钥和公开密钥的使用。私有秘密密钥在此仅可供受检者使用而公开密钥原则上可以由每个人访问。因此在所述的方法中，安全性基于：仅仅在知道私有密钥的情况下才可以从挑战中确定响应。但是，仅发送器知道私有密钥。而利用公开密钥仅可以检验，响应是否与挑战相配并且从而发送器是否已经知道私有密钥。但是，利用公开密钥不可能基于挑战确定所属的响应。因此如果由攻击者确定出接收器具有的公开密钥，则是完全没有问题的。

在本发明的另一扩展方案中，包括挑战的消息多次地被传输，以便即使在存在传输错误时也可以可靠地由接收器识别控制命令。在此，计数器值可以随着每个消息被提高或者在消息的重复发送时保持不变。

在重复发送具有不变的计数器值的消息时接收器接受该相同的计数器值，只要以一定的可预先给定的频率接收具有该计数器值的消息。一旦在可预先给定的时间间隔期间无具有该计数器值的消息被接收，则该计数器值变为无效的。附加地，可以检验，是否具有该计数器值的相同的控制命令被传输。

为了使接收器熟悉发送器，在训练阶段中向接收器传送发送器的标识信息。标识信息例如是序列号、包括公开密钥的数字证书或公开密钥本身。

发送器的标识信息可以在训练时经由管理接口、例如经由具有串行接口的个人计算机被输入。在自动化的训练方法中，接收器被置于训练模式并且在该时间段中存储传输控制命令的该发送器的标识信息。例如在接收器处的特定按键或机械密钥开关用于发起训练模式。

发送器的标识信息由接收器直接存储或在例如数字证书的有效性检验之后才存储。

图2以流程图示出使用安全模块安全地传输信号的本发明方法。在此情况下仅在一个方向、也即单向地从发送器201向接收器202进行传输。

为了避免重复，下面在图2中的相同的方法步骤情况下参照图1中的相应的描述部分。为了标记，图2中的相同的方法步骤配备有与在图1中相同的附图标记。

与在图1中所示的方法不同地，在根据图2的方法中为了在发送器中确定响应使用安全模块203。安全模块203被设计用于高效地和安全地执行密码操作并且具有用于保护免受在软件技术上以及在物理上的攻击或侧信道攻击的装置。

为此在使计数器值104递增之后，将所确定的挑战提供给安全模块203。接着，发送器201的安全模块203基于所确定的挑战确定响应205。所确定的响应又通过安全模块203被提供206给发送器。所确定的挑战以及所确定的响应最后从发送器201被传输206给接收器202。然后，剩余的方法流程再次对应于从图1中已知的方法流程。也可能的是，利用相应的计数器值初始化安全模块并且直接在安全模块中进行递增。这具有以下优点：计数器值不能被操纵。

图3以流程图示出具有针对所传输的挑战的附加完整性保护的用于安全地传输信号的本发明方法。在此情况下仅在一个方向、也即单向地从发送器301向接收器302进行传输。

为了避免重复，下面在图3中的相同的方法步骤情况下参照在图1中的相应的描述部分。为了标记，在图3中的相同的方法步骤配备有与在图1中相同的附图标记。

在根据本发明的方法的该扩展方案中，在使用响应值的情况下以受保护的方式传输挑战。为此从响应值推导出对称密钥或者将响应值直接用作对称密钥303。在此例如可以通过哈希函数进行推导。利用所确定的该对称密钥计算密码校验和304，所述密码校验和包括计数器值和控制命令。哈希函数的例子是MD6、SHA-1、SHA-256。校验和例如可以借助于HMAC-MD5、HMAC-SHA1、HMAC256或者AES-CBC-MAC函数来计算。

挑战和校验和通过发送器传送305给接收器。接收器现在存储挑战连同校验和并且确定306所属的响应的有效接收时间段的时间窗。发送器301开始时间测量307并且在有效的时间窗中将响应传送308给接收器。因此为了进一步提高安全性，在该实施例中首先发送挑战和校验和并且在稍后时刻才发送响应。

接收器302现在在第一步骤309中检验，所获得的挑战是否有效。在此情况下，例如检验，发送器的由挑战所包括的计数器值是否大于迄今由该发送器接收的计数器值。此外，接收器302现在在自己一侧基于所获得的响应确定对称密钥。之后接收器借助对称密钥检验所接收的挑战是否与所接收的校验和相配。

然后接收器检验，所获得的响应是否与挑战相配310。最后，接收器附加地检验，响应是否在有效的时间窗中被接收。剩余的方法流程然后再次对应于从图1中已知的方法流程。

当然由技术人员斟酌决定以另外的顺序或者至少部分地并行地执行所述的方法步骤。

所述发明的应用情况例如是用于医疗设备的蓝牙脚踏开关、车库门开启器、用于建筑物入口或车辆入口的无线电钥匙、家用网络中的控制装置（例如百叶窗开关或灯开关）。

Claims (11)

1. 一种通过非对称密钥方法保护地利用单向通信连接来传输信号的方法，其中发送器（101，201，301）执行以下步骤：

-在发送过程中使计数器值递增，

-基于计数器值和能由接收器执行的控制命令确定挑战（C），

-基于所确定的挑战（C）确定响应（R），

-将挑战（C）和响应（R）传输给接收器（102，202，302）。

2. 根据权利要求1所述的方法，其中为了识别传输错误，重复地传输挑战（C）。

3. 根据权利要求2所述的方法，其中随着在重复的传输内每次发送挑战（C）而提高计数器值。

4. 根据权利要求2所述的方法，其中计数器值在重复的传输内保持不变。

5. 根据权利要求1所述的方法，其中为了初始化，接收器（102，202，302）存储发送器（101，201，301）的标识信息，并且标识信息包括发送器（101，201，301）的至少一个序列号。

6. 根据权利要求5所述的方法，其中标识信息包括发送器（101，201，301）的数字证书或公开密钥。

7. 根据权利要求1所述的方法，其中基于所确定的响应（R）推导出完整性密钥，和为了保护挑战（C）的完整性，利用完整性密钥确定关于挑战（C）的密码校验和（MAC）。

8. 一种用于检验按照根据权利要求1至7所述的方法传输的信号的方法，其中接收器（102，202，302）执行以下步骤：

-接收通过发送器（101，201，301）传输的挑战（C）和所属的响应（R），

-接着检验所接收的挑战（C）：在挑战（C）中所使用的计数器值是否大于迄今由进行传输的发送器（101，201，301）存储的计数器值，

-基于所检验的挑战（C）来检验所接收的响应（R）,

-在成功地检验了挑战（C）和响应（R）之后执行在挑战（C）中所使用的控制命令。

9. 一种发送器，包括适用于执行根据权利要求1-7所述的方法的装置。

10. 根据权利要求9所述的发送器，其中在发送器（101，201，301）中设置用于高效地和安全地执行密码操作的安全模块（203），所述安全模块具有用于保护免受在软件技术上以及在物理上的攻击或侧信道攻击的装置。

11. 一种接收器，包括适用于执行根据权利要求8所述的方法的装置。

Images