CN103081395A - 用于认证便携式数据载体的方法 - Google Patents

用于认证便携式数据载体的方法 Download PDF

Info

Publication number
CN103081395A
CN103081395A CN2011800398583A CN201180039858A CN103081395A CN 103081395 A CN103081395 A CN 103081395A CN 2011800398583 A CN2011800398583 A CN 2011800398583A CN 201180039858 A CN201180039858 A CN 201180039858A CN 103081395 A CN103081395 A CN 103081395A
Authority
CN
China
Prior art keywords
key
data medium
terminal equipment
session
secret
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2011800398583A
Other languages
English (en)
Other versions
CN103081395B (zh
Inventor
G.美斯特
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiejia De Mobile Safety Co Ltd
Original Assignee
Giesecke and Devrient GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Giesecke and Devrient GmbH filed Critical Giesecke and Devrient GmbH
Publication of CN103081395A publication Critical patent/CN103081395A/zh
Application granted granted Critical
Publication of CN103081395B publication Critical patent/CN103081395B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
    • G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
    • G06K19/067—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components
    • G06K19/07—Record carriers with conductive marks, printed circuits or semiconductor circuit elements, e.g. credit or identity cards also with resonating or responding marks without active components with integrated circuit chips
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor

Abstract

一种用于向终端设备认证便携式数据载体（10）的方法包括使用来自所述数据载体（10）的公共密钥（PKG）和秘密密钥（SK1）、以及来自所述终端设备的公共会话密钥（PKT）和秘密会话密钥（SKT）。所述数据载体（10）使用公共组密钥（PKG）作为公共密钥。所述数据载体（10）使用已经从与所述公共组密钥（PKG）关联的秘密组密钥（SKG）得出的密钥（SK1）作为秘密密钥。

Description

用于认证便携式数据载体的方法
技术领域
本发明涉及一种用于向终端设备认证便携式数据载体的方法，并涉及从而适配的数据载体和终端设备。
背景技术
便携式数据载体（例如以电子身份文件的形式）包括具有处理器和存储器的集成电路。在存储器中，存储有与数据载体的使用者有关的数据。在处理器上，可以执行认证应用，经由该认证应用，数据载体可以向终端设备认证它自己（例如在身份文件的情况下在界限控制等时）。
在这样的认证方法期间，通过秘密通信密钥来准备数据载体与终端设备之间的安全数据通信，例如通过根据Diffie和Hellman的已知密钥（key）交换方法或其它合适的方法而协商该秘密通信密钥，其用于对称地加密随后的数据通信。此外，至少终端通常例如使用证书验证数据载体的真实性。
为了执行用于协商秘密通信密钥的方法，终端和数据载体必须分别使得秘密密钥和公共密钥可用。数据载体的证书可以例如与其公共密钥有关。
当具有由公共密钥（public key）和秘密密钥（secret key）组成的独有密钥对的数据载体的集合或组的每个数据载体被个人化时，关于数据载体的使用者的匿名性的问题产生。从而将可以将数据载体的每次采用与对应的使用者唯一地关联，并例如如此创建使用者的完整移动简档。
为了考虑此方面，已经提出为多个数据载体或一组数据载体分别配备由公共组密钥（public group key）和秘密组密钥（secret group key）组成的相同的所谓组密钥对。这使得可以至少在该组内恢复使用者的匿名性。此解决方案是不利的，因为如果该组数据载体中的一个被损害（compromise），则必须替换整组数据载体。例如，如果该组数据载体中的一个的秘密组密钥已经被窥探出，则不能再安全地使用该组数据载体。必要的替换计划的精力和成本可能是巨大的。
发明内容
本发明的目的是提出一种保护使用者的匿名性的认证方法，并且其中，数据载体中的一个的损耗对其它数据载体的安全性不具有不利影响。
通过具有独立权利要求的特征的方法、数据载体、终端设备和系统来实现此目的。在从属权利要求中陈述了有利实施例和发展。
根据本发明的一种用于向终端设备认证便携式数据载体的方法采用所述数据载体的公共密钥和秘密密钥、以及所述终端设备的公共会话密钥（publicsession key）和秘密会话密钥（secret session key）。所述数据载体采用公共组密钥作为公共密钥。所述数据载体采用从与所述公共组密钥关联的秘密组密钥得出的秘密密钥作为秘密密钥。
在根据本发明的方法中，不再需要将秘密组密钥存储在数据载体中。因此，当对数据载体攻击时，无法窥探出这种密钥。可以进一步使用一组数据载体中的其它未被攻击的数据载体的秘密会话密钥。
使用对于数据载体独有的公共密钥追踪该数据载体是不可能的，因为在该数据载体中不存在这种东西。所采用的公共密钥是并非对于该数据载体独有的、而是对于该组的所有数据载体相同的公共组密钥。在这点上，一组中的所有数据载体是无法区分的。因此，可以维持使用者的匿名性。
优选地，在认证方法的进一步执行之前，所述数据载体的秘密密钥分别被从所述秘密密钥得出的所述数据载体的秘密会话密钥替换。也就是，所述数据载体在每次执行时利用不同秘密密钥执行认证方法。因此，所述数据载体的秘密密钥被配置为所述数据载体的秘密会话密钥。
在本发明的框架内，会话密钥始终被理解为为每个“会话”（即，当每次执行这里的认证方法时）新确定的密钥。不同的会话密钥通常是不同的，即，第一会话中的会话密钥的值不同于随后的第二会话的会话密钥的值。不可能从较早的会话密钥推断出随后采用的会话密钥，反之亦然。
因此，同样不可能使用数据载体的秘密密钥追踪数据载体的使用者。还可以在另一已知方法中（例如，在用于向数据处理设备认证的挑战-响应（challenge-response）方法中）使用数据载体的秘密密钥。然而，因为根据本发明，秘密密钥是会话密钥，即，当每次使用时具有不同的值，所以无法仅仅从秘密密钥推断出数据载体的身份。因此，在这点上还可以维持使用者的匿名性。
根据本发明的便携式数据载体包括处理器、存储器、向终端设备的数据通信接口、以及认证装置。所述认证装置被适配为在采用数据载体的公共密钥和秘密密钥、以及终端设备的公共会话密钥和秘密会话密钥的同时执行向终端设备的认证。所述认证装置还被适配为将数据载体的秘密密钥分别用从该秘密密钥得出的数据载体的秘密会话密钥替换。这样，如所述的，对于每次执行认证方法，可以利用数据载体的会话特定的秘密密钥实现。
根据本发明的用于与根据本发明的便携式数据载体数据通信的终端设备被适配为在采用数据载体的公共密钥和秘密密钥、以及终端设备的公共会话密钥和秘密会话密钥的同时执行向便携式载体的认证。
根据本发明的系统包括根据本发明的数据载体以及根据本发明的终端设备。这些被分别适配为执行根据本发明的认证方法。
在方法的框架内，通过数据载体的公共组密钥和秘密密钥、以及终端设备的公共会话密钥和秘密会话密钥，在数据载体与终端设备之间协商通信密钥。因而，此通信密钥仅对这两方可用。在这个意义上，其是秘密通信密钥。例如，可以通过Diffie-Hellman密钥交换方法来实现这样的密钥协商。同样可以使用其它相当的方法。协商通信密钥可以被认作数据载体与终端设备之间的隐性认证的形式。如果可以在数据载体与终端设备之间对于两方均成功实现通过所协商的通信密钥加密的随后的数据通信，则一方相应地被另一方认为被成功认证。
优选地，终端设备通过公共组密钥的证书验证被采用作为数据载体的公共密钥的公共组密钥。为此，数据载体可以以合适的方式使得终端设备的对应证书可用。例如，数据载体可以将证书发送给终端设备。还可以将证书保持在数据载体的可自由读取的存储区域中。验证证书的步骤可以被认作认证方法的部分，其中数据载体通过证书向终端设备识别它自己。这样，数据载体可以被认证为与组密钥对关联的组中的数据载体，但不被使用对于数据载体独有的证书而追踪，根据本发明不提供该证书。在数据载体上仅存储公共组密钥的证书，该证书对于该组的所有数据载体相同，由此在这点上也维持数据载体的使用者的匿名性。
同样地，终端可以通过类似的证书向数据载体识别它自己。
优选地，在采用第一随机数的同时从秘密组密钥得出数据载体的秘密密钥。为此，可以采用任何合适的操作，其特别地可以采取秘密组密钥和第一随机数作为输入数据，并将它们处理为对于数据载体独有的秘密密钥。例如，可以使用数学运算，诸如乘法、取幂等。例如，可以在数据载体的制造期间（例如，在个人化阶段中）实现从秘密组密钥得出秘密密钥。然后，在数据载体中存储数据载体的秘密密钥。在此阶段中，还可以将与此密钥有关的公共组密钥和证书合并到数据载体中。
在执行认证方法之后分别替换数据载体的当前秘密密钥的数据载体的秘密会话密钥可以以不同方式从当前秘密密钥得出。在数据载体中实现所述得出。因为已经从秘密组密钥得出了原始秘密密钥，并且从数据载体的相应当前秘密密钥推出数据载体的每个会话密钥（所述每个会话密钥然后替换所述相应当前秘密密钥），所以也从秘密组密钥间接得出数据载体的每个会话密钥。然而，不可能从数据载体的秘密会话密钥推断出秘密组密钥。
例如，可以实现用数据载体的所得出的秘密会话密钥替换秘密密钥，使得秘密密钥被得出的会话密钥“覆写（overwritten）”，即，秘密密钥采取所得出的会话密钥的值。删除秘密密钥的在前值。也就是，数据载体始终具有在根据本发明的方法中采用的“该”秘密密钥。然而，该秘密密钥的值在两次执行该方法之间改变。因此，数据载体因此分别具有会话特定的秘密密钥。
基于会话参数实现从当前秘密密钥得出秘密会话密钥。
根据第一实施例，可以在采用随机数的同时从秘密密钥得出数据载体的秘密会话密钥。也就是，随机数表示会话参数。这样做，为数据载体的会话密钥的每次得出而分别采用新随机数。可以在数据载体中产生随机数。在该得出之后，删除随机数。这使得不可能从所得出的会话密钥推断出为该得出所采用的秘密密钥。
根据替代实施例，可以依赖于终端设备使得可用的值而确定会话参数。例如，这个值可以采取终端设备的公共区域（sector）密钥的形式，并且被使得在已经在数据载体与终端之间实现认证之后对于数据载体可用。现在，在数据载体中使用此区域密钥，用于以合适的方式得出秘密会话密钥。
为了得出数据载体的秘密会话密钥，当然还可以采用若干会话参数，即，例如随机数和终端参数。
根据优选实施例，通过对指定的本原根取秘密组密钥次幂来确定公共组密钥。然后，在此实施例中，通过将秘密组密钥乘以第一随机数来形成原始秘密密钥。最后，通过对本原根取第一随机数的倒数次幂而形成数据载体的第一底数（base）。
然后，如果需要，则通过将当前秘密密钥乘以会话参数而确定数据载体的秘密会话密钥。数据载体通过对第一底数取会话参数的倒数次幂而确定会话底数。恰似用于准备进一步执行认证方法的秘密会话密钥的计算一样，实现会话底数的计算。如所提及的，例如可以由第二随机数或者依赖于终端设备的参数指定会话参数。然后，以所述方式用数据载体的秘密会话密钥替换数据载体的秘密密钥。以同样的方式，用会话底数替换第一底数，即，用会话底数的值替换第一底数的值。因此，数据载体的第一底数也可以被认为是会话特定的，如同秘密密钥一样。
数据载体例如通过将第一底数（即其当前值）发送至终端设备或者以可自由读取的方式保持该第一底数，使得该第一底数对于终端设备可用。
然后，终端设备通过对被数据载体使得可用的第一底数取终端设备的秘密会话密钥次幂，来确定其公共会话密钥。终端设备以会话特定的方式分别产生所述设备的秘密会话密钥。
最后，终端设备将如所述确定的公共会话密钥发送至数据载体。
因此，在数据载体与终端设备之间交换用于协商通信密钥所必须的数据。数据载体通过对终端设备的所接收的公共会话密钥取其自己的秘密密钥次幂，来计算用于其部分的通信密钥。终端设备通过对公共组密钥（即，数据载体的公共密钥）取终端设备自己的秘密会话密钥次幂，来确定用于其部分的通信密钥。
根据此实施例，随后、或者替代地在协商会话密钥之前，终端设备也可以通过如所述由数据载体使得对于其可用的证书来检查数据载体的公共密钥（即，公共组密钥）。
附图说明
在下文中，将参考附图，通过示例描述本发明。其中示出：
图1示意性地示出根据本发明的数据载体的优选实施例，
图2和图3示出根据本发明的方法的优选实施例的用于向终端设备认证来自图1的数据载体的步骤，以及
图4示出来自图2和图3的方法的用于使得会话特定的数据载体参数可用的附加步骤。
具体实施方式
参考图1，这里被表示为芯片卡的数据载体10包括数据通信接口20、20’、处理器30、以及不同的存储器40、50和60。数据载体10还可以以不同设计来呈现。
作为数据通信接口20、20’，数据载体10包括用于接触型数据通信的接触垫20、以及用于无接触数据通信的天线线圈20’。可以提供替代的数据通信接口。数据载体10还可以仅支持一种数据通信，即仅仅接触型或无接触型。
非易失性不可重写ROM存储器40包括数据载体10的操作系统（OS）42，其控制数据载体10。也可以将操作系统42的至少部分存储在非易失性可重写ROM存储器50中。后者可以例如被呈现为快闪（FLASH）存储器。
存储器50包括认证装置52，通过其可以执行数据载体10向终端设备的认证。这样做，同样存储在存储器中的密钥54、56、另外的值57、以及数字证书58找到它们的应用。将参考图2和图3更准确地描述认证装置52、密钥54、56、值57和证书58的工作方式、以及它们在认证方法期间的作用。存储器50可以包含另外的数据，例如与使用者有关的数据。
易失性可重写RAM存储器60作为工作存储器服务于数据载体10。
如果数据载体10是例如电子身份文件，则数据载体10包括另外的特征（未示出）。它们可以被可见地施加（例如压印）在数据载体10的表面上，并例如通过使用者的名字或照片指明数据载体的使用者。
参考图2和图3，现在将更准确地描述用于向终端设备认证数据载体10的方法的实施例。图2示出预备步骤。这些可以例如在数据载体10的制造期间（例如在个人化阶段中）执行。
在第一步骤S1中，形成秘密组密钥SKG和公共组密钥PKG。作为对以指定质数p为模的指定本原根g的取幂的结果而计算公共组密钥PKG。在下文中描述的所有计算都将理解为以质数p为模，而并不总是明确声明此。两个密钥SKG和PKG形成组密钥对，并使得下文描述的用于一组类似的数据载体10的密钥架构的基础可用。
在此点上应注意，可以不仅在一组以p为模的本原剩余类（primitiveresidue class）上、而且在任意组（这里被理解为数学结果，而不与上述数据载体组混淆）上（例如也基于椭圆曲线），执行在本发明的框架内呈现的所有计算（即，乘法和取幂）。
在步骤S2中，形成证书CPKG，其用于公共组密钥PKG的验证。
步骤S3发生在数据载体10的个人化期间。这里，表示指定组的数据载体中的数据载体的数据载体10配备有密钥对。公共组密钥PKG作为公共密钥而服务于数据载体10。以随机方式（即，采用随机数RND1）从秘密组密钥SKG得出数据载体10的秘密密钥SK1。这样，通过各个不同的秘密密钥SK1，该组的每个数据载体10配备与该组的另一数据载体的对应密钥对不同的密钥对（由于在密钥得出时的随机成分）。另一方面，该组的所有数据载体10包括相同的公共密钥。此外，已经从相同的秘密组密钥得出了该组数据载体的所有秘密密钥。
在子步骤TS31中，通过将秘密组密钥SKG乘以随机数RND1而得出对数据载体独有的秘密密钥SK1。
在另外的步骤TS32中，从本原根g开始计算第一底数g1。这样做，对本原根g取随机数RND1的倒数次幂，随机数RND1已经被用于确定秘密密钥：g1:=g^(1/RND1)。这里，随机数RND1的倒数1/RND1形成随机数RND1关于以质数p为模的乘法的乘法逆元。
在子步骤TS33中，将密钥SK1和PKG与底数g1和证书CPKG一起存储在数据载体10中。随机数RND1不存储在数据载体10中。因此，数据载体10被适配为通过其认证装置52执行向终端设备的认证，如将参考图3而更准确描述的。
在步骤S4中，数据载体10使得相互认证所必须的数据对于终端装置可用。为了协商通信密钥KK，在所述实施例中，终端设备需要底数g1和公共组密钥PKG。为了验证所述通信密钥KK，终端设备需要对应证书CPKG。数据载体10可以将数据载体10的这些参数发送至终端设备。还可以将这些值存储在数据载体10的可自由读取的存储区域中，并由终端设备在需要时读出。
在步骤S5中，终端设备准备认证。为此，终端设备产生秘密会话密钥SKT。例如，这可以例如以随机方式完成。终端设备通过对由数据载体10使得可用的底数g1取其自己的秘密会话密钥次幂而计算终端设备的公共会话密钥：
PKT:=g1^SKT。
可选地，终端设备可以确认（validate）g1和/或PKT，即，特别地针对特定标准检查它们。因此，终端可以辨识处通过为g1聪明地选择的值而对秘密会话密钥SKT的攻击，终端然后可以异常中断（abort）处理或拒绝进一步通信。
终端设备例如通过将公共会话密钥PKT发送至数据载体10，使得公共会话密钥PKT对于数据载体10可用。
在下面的步骤S6中，现在具体协商通信密钥KK。数据载体10通过对终端设备的公共会话密钥PKT取其自己的秘密密钥SK1次幂而计算此通信密钥KK：
KKDT:=PKT^SK1
=(g1^SKT)^SK1          (PKT的定义)
=((g^(1/RND1)^SKT)^SK1      (g1的定义)
=((g^(1/RND1)^SKT)^(SKG*RND1)    (SK1的定义)
=(g^((1/RND1)*SKT*SKG*RND1)    (变形)
=g^(SKT*SKG)
终端设备通过对公共组密钥PKG取终端设备的秘密会话密钥SKT次幂，计算通信密钥KK：
KKT:=PKG^SKT
=(g^SKG)^SKT    (PKG的定义)
=g^(SKT*SKG)    (变形)
因此，显然，数据载体10和终端设备由于对于它们分别可用的数据而得到相同的结果。
在步骤S7中，最后，终端设备检查公共组密钥PKG的证书CPKG。还可以替代地在协商步骤S6中地通信密钥KK、以及/或者步骤S5中的秘密会话密钥SKT之前实现证书的此检查。
因此，完成在数据载体10与终端设备之间的认证。
为了防止数据载体10在随后通过举例所述的方法向同一或另一终端设备进一步认证时能够被识别以及与使用者唯一地关联，在数据载体10中使得会话特定的数据载体参数可用。这与秘密密钥SK1和底数g1有关。如所述的，后者被传递至终端设备、或者在该认证方法的框架内以不同方式被使得对于终端设备可用。因此，可以采用对于数据载体独有的未改变的底数g1，用于识别数据载体10。如果数据载体10的秘密密钥SK1在统计上对于数据载体是独有的、并例如被在挑战-响应方法的框架内使用，则这同样适用于数据载体10的秘密密钥SK1。
在下文中将参考图4描述在数据载体内产生会话特定的数据载体参数。
在步骤S8中，示出了在数据载体10中得出秘密会话密钥SKS。为此，在数据载体10中使得以随机数RNSS形式的会话参数可用。将当前秘密密钥SK1乘以随机数RNSS，由此得出数据载体10的秘密会话密钥SKS：
SKS:=SK1*RNSS。
随后，在步骤S9中，用会话密钥的值替换当前秘密密钥SK1的值：
SK1:=SKS。
因此，数据载体10的秘密密钥SK1是会话特定的。不能使用秘密密钥SK1追踪数据载体10，因为秘密密钥SK1在每两个执行的认证方法之间以所述方式改变。
同样地，如步骤S10和S11中所示，用会话底数gs替换底数g1（g1:=gs），之前通过对底数g1取随机数RNSS的倒数次幂而计算该会话底数gs：gS:=g1^(1/RNSS)。因此，数据载体10的底数g1也始终是会话特定的，并且，不能使用传递至终端设备的底数g1追踪数据载体10。随后删除随机数RNSS。因此，同样排除推断出在前会话参数。
代替随机数RNSS、或者在随机数RNSS之外附加地，还可以采用另一会话参数。后者还可以依赖于由终端装置使得可用的值（例如在向数据载体10的成功认证之后）。依赖于由终端设备使得可用的值，在数据载体内部计算对应会话参数。然后可以使用如此计算的会话参数，例如代替在步骤S8和S10中为了产生秘密会话密钥或会话底数而采用的随机数RNSS，并随后删除。因此，数据载体10处理会话特定的参数，用于执行下个认证方法。
根据优选实施例，终端设备使得所谓的公共区域密钥PKSEC对于数据载体10可用。然后，数据载体10可以依赖于该公共区域密钥PKSEC计算当前会话参数，如在下文中所述。
这里，公共区域密钥PKSEC是区域密钥对(PKSEC,SKSEC)的部分，对应的秘密区域密钥SKSEC对于终端设备本身不可用，而仅对于更高层区组化实体（higher-level blocking entity）可用，在不同的所谓区域中的不同终端设备从属于该更高层区组化实体。也就是，区组化实体管理不同区域（例如不同的行政管理区（administrative district）等）中的不同终端设备。在所述区域密钥对(PKSEC,SKSEC)之外，数据载体10还可以包括对应的数据载体区域密钥对(PKDSEC,SKDSEC)，其包括秘密数据载体区域密钥SKDSEC和公共数据载体区域密钥PKDSEC。后者存储在区组化实体可以访问的数据库中。所述区域密钥用于使得数据载体10可以被至少在一区域内的终端设备识别。区组化实体还可以使用此识别用于区组化的目的。
使用在终端设备与数据载体10之间协商的值ISEC来实现数据载体10的识别。终端设备通过使得其公共区域密钥PKSEC对于数据载体10可用来计算此值。数据载体10通过其秘密数据载体区域密钥SKDSEC从该公共区域密钥PKSEC得出值，例如，如从Diffie-Hellman密钥交换方法已知的。然后通过哈希函数H压缩此值，并使得此值对于终端设备可用。终端设备将所接收的值ISEC与终端设备已经从区组化实体接收的对应值相比较。仅区组化实体能够依赖于存储在数据库中的公共数据载体区域密钥PKDSEC、以及秘密区域密钥SKSEC，计算用于其部分的值ISEC。因此，值ISEC依赖于区域，并依赖于数据载体10。区组化实体拥有从属于它的区域的所有秘密区域密钥。
现在，值ISEC在数据载体10内用作会话参数。也就是，类似于步骤S8和S10，用ISEC代替RNSS，实现秘密会话密钥SKS和会话底数gs的计算。
现在可以提供将第一底数g1独立地存储在数据载体10中（例如作为gB）。此底数gB服务于检查的目的（如在下文中所述）并且不被覆写。此外，对于每个会话（即，对于每个在数据载体10与终端设备之间执行的认证方法），可以参考该会话（即，该会话在实现的顺序中的编号i），将由终端设备使得可用的公共区域密钥PKSEC;i存储在数据载体10中。这仅仅涉及公共数据。因此，在这些数据被窥探出的情况下，不存在安全风险。根据本发明，这些数据仅仅在向区组化实体呈现数据载体10用于检查时可被区组化实体读取。代替公共密钥，也可以存储颁发者（certifying body）的标识符（例如，根据ISO/IEC7816-4的发行者识别（Issuer Identification））。
因为区组化实体知道公共数据载体区域密钥PKDSEC（从数据库）、以及用于从属于该区组化实体的所有区域的所有秘密区域密钥SKSEC;i，所以区组化实体能够确定已经在会话i中在数据载体10与这样的区域的终端设备之间协商的值ISEC;i。这样，区组化设备可以基于存储在数据载体10中的值（即，底数gB和用于每个会话i的公共数据载体区域密钥PKDSEC;i）计算数据载体中当前存在的底数gs，并从而确认该底数gs。为此，仅仅需要将用于会话i的相应公共区域密钥PKSEC;i与用于此会话i的对应值ISEC;i关联，并最后通过对值gB（原始g1）取用于各个会话的值ISEC;i的乘积的倒数次幂，来重构当前底数gs的计算：
gS:=gB^(1/(ISEC;1*ISEC;2*ISEC;3...*ISEC;n)。
这样，区组化实体可以检查数据载体10是否已经实际以规定方式采用了秘密数据载体区域密钥SKDSEC，用于得出底数gs。如果情况不是这样，则数据载体中当前存在的底数会偏离由区组化实体计算的底数gs。不拥有正确的秘密数据载体区域密钥SKDSEC的伪造数据载体10可以被区组化实体以此方式清楚地辨识出，并随后在使用的情况下阻止。

Claims (16)

1.一种用于在采用便携式数据载体（10）的公共密钥（PKG）和秘密密钥（SK1）、以及终端设备的公共会话密钥（PKT）和秘密会话密钥（SKT）的同时向所述终端设备认证所述便携式数据载体（10）的方法，其特征在于，所述数据载体（10）
采用公共组密钥（PKG）作为公共密钥（PKG），以及
采用从与所述公共组密钥（PKG）关联的秘密组密钥（SKG）得出的秘密密钥（SK1）作为秘密密钥（SK1）。
2.如权利要求1所述的方法，其特征在于，在所述认证方法的进一步执行之前，用从所述秘密密钥（SK1）得出的所述数据载体（10）的秘密会话密钥（SKS）替换所述数据载体（10）的秘密密钥（SK1）。
3.如权利要求1或2所述的方法，其特征在于，通过所述数据载体（10）的公共组密钥（PKG）和秘密密钥（SK1）、以及所述终端设备的公共会话密钥（PKT）和秘密会话密钥（SKT），优选通过Diffie-Hellman密钥交换方法在所述数据载体（10）与所述终端设备之间协商通信密钥（KK）。
4.如权利要求1至3中的任何一项所述的方法，其特征在于，所述终端设备通过所述公共组密钥（PKG）的证书（CPKG）验证被用作所述数据载体（10）的公共密钥（PKG）的公共组密钥（PKG）。
5.如权利要求1至4中的任何一项所述的方法，其特征在于，在采用第一随机数（RND1）的同时从所述秘密组密钥（SKG）得出所述秘密密钥（SK1）。
6.如权利要求1至5中的任何一项所述的方法，其特征在于，在采用会话参数的同时从所述秘密密钥（SK1）得出所述数据载体（10）的秘密会话密钥（SKS），至少使得第二随机数（RNDS）和/或所述终端设备的参数可用作会话参数。
7.如权利要求1至6中的任何一项所述的方法，其特征在于，通过对指定的本原根（g）取所述秘密组密钥（SKG）次幂而确定所述公共组密钥（PKG），通过将所述秘密组密钥（SKG）乘以第一随机数（RND1）而形成所述秘密密钥（SK1），以及通过对所述本原根（g）取所述第一随机数（RND1）的倒数次幂而形成第一底数值（g1）。
8.如权利要求7所述的方法，其特征在于，通过将所述秘密密钥（SK1）乘以会话参数（RNDS）而确定所述便携式数据载体（10）的秘密会话密钥（SKS），以及对第一底数（g1）取所述会话参数（RNDS）的倒数次幂而形成会话底数（gs），所述会话参数（RNDS）由第二随机数和/或所述终端装置的参数指定，并且，用所述秘密会话密钥（SKS）替换所述秘密密钥（SK1），用所述会话底数（gs）替换所述第一底数（g1）。
9.如权利要求7或8所述的方法，其特征在于，所述数据载体（10）使得所述终端设备的第一底数（g1）可用。
10.如权利要求9所述的方法，其特征在于，通过对由所述数据载体（10）使得可用的第一底数（g1）取所述终端设备的秘密会话密钥（SKT）次幂而确定所述终端设备的公共会话密钥（PKT）。
11.一种便携式数据载体（10），包括处理器（30）、存储器（40；50；60）、向终端设备的数据通信接口（20；20’）、以及认证装置（52），所述认证装置（52）被适配为在采用所述数据载体（10）的公共密钥（PKG）和秘密密钥（SK1）、以及所述终端设备的公共会话密钥（PKT）和秘密会话密钥（SKT）的同时向所述终端设备执行认证，其特征在于，所述认证装置（52）还被适配为用从所述秘密密钥（SK1）得出的所述数据载体（10）的秘密会话密钥（SKS）替换所述数据载体（10）的秘密密钥（SK1）。
12.如权利要求11所述的便携式数据载体（10），其特征在于，所述数据载体（10）被适配为根据如权利要求1至10中的任一项所述的方法向终端设备认证它自己。
13.一种用于与如权利要求11或12所述的便携式数据载体（10）进行数据通信的终端设备，其中，所述终端设备被适配为在采用所述数据载体（10）的公共密钥（PKG）和秘密密钥（SK1）、以及所述终端设备的公共会话密钥（PKT）和秘密会话密钥（SKT）的同时向便携式数据载体（10）执行认证。
14.如权利要求13所述的终端设备，其特征在于，所述终端设备被适配为在结合所述终端设备的秘密会话密钥（SKT）而采用由所述数据载体（10）使得可用的底数（g1）的同时确定其公共密钥（PKT）。
15.如权利要求13或14所述的终端设备，其特征在于，所述终端设备被适配为根据如权利要求1至10中的任一项所述的方法向便携式数据载体（10）认证它自己。
16.一种包括如权利要求11至12中任一项所述的便携式数据载体（10）、以及如权利要求13至15中的任一项所述的终端设备的系统，被适配用于执行如权利要求1至10中的任一项所述的方法。
CN201180039858.3A 2010-08-23 2011-08-19 用于认证便携式数据载体的方法 Active CN103081395B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102010035098.2 2010-08-23
DE102010035098A DE102010035098A1 (de) 2010-08-23 2010-08-23 Verfahren zum Authentisieren eines portablen Datenträgers
PCT/EP2011/004193 WO2012031681A2 (de) 2010-08-23 2011-08-19 Verfahren zum authentisieren eines portablen datenträgers

Publications (2)

Publication Number Publication Date
CN103081395A true CN103081395A (zh) 2013-05-01
CN103081395B CN103081395B (zh) 2016-06-08

Family

ID=44651623

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201180039858.3A Active CN103081395B (zh) 2010-08-23 2011-08-19 用于认证便携式数据载体的方法

Country Status (5)

Country Link
US (1) US8793495B2 (zh)
EP (1) EP2609711B1 (zh)
CN (1) CN103081395B (zh)
DE (1) DE102010035098A1 (zh)
WO (1) WO2012031681A2 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104270516A (zh) * 2014-09-23 2015-01-07 中兴通讯股份有限公司 解密方法和移动终端
CN113169973A (zh) * 2018-10-02 2021-07-23 第一资本服务有限责任公司 增强加密算法的强度的系统和方法

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102010035098A1 (de) * 2010-08-23 2012-02-23 Giesecke & Devrient Gmbh Verfahren zum Authentisieren eines portablen Datenträgers
DE102012004484A1 (de) * 2012-03-05 2013-09-05 Giesecke & Devrient Gmbh Verfahren zur Erstellung einer abgeleiteten Instanz
DE102012017826A1 (de) * 2012-09-10 2014-03-13 Giesecke & Devrient Gmbh Verfahren zur Erstellung einer abgeleiteten Instanz eines Originaldatenträgers
DE102012017835A1 (de) 2012-09-10 2014-03-13 Giesecke & Devrient Gmbh Verfahren zur Authentisierung eines portablen Datenträgers
US9860221B2 (en) * 2015-03-10 2018-01-02 Intel Corporation Internet of things group formation using a key-based join protocol

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE19527715C2 (de) * 1995-07-31 1997-08-07 Deutsche Telekom Mobil Verfahren zur Nutzeridentifikation und -authentifikation bei Datenfunkverbindungen, zugehörige Chipkarten und Endgeräte
US5818738A (en) * 1987-10-30 1998-10-06 Gao Gesellschaft Fur Automation Und Organisation Mgh Method for testing the authenticity of a data carrier having an integrated circuit
DE10141396A1 (de) * 2001-08-23 2003-03-13 Deutsche Telekom Ag Verfahren zur Erzeugung eines asymmetrischen kryptografischen Gruppenschlüssels
WO2006089101A2 (en) * 2005-02-18 2006-08-24 Rsa Security Inc. Derivative seeds
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
CN101385305A (zh) * 2006-01-30 2009-03-11 西门子公司 在第一通信设备与第二通信设备之间约定公用密钥的方法和设备

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5761309A (en) * 1994-08-30 1998-06-02 Kokusai Denshin Denwa Co., Ltd. Authentication system
US5602918A (en) * 1995-12-22 1997-02-11 Virtual Open Network Environment Corp. Application level security system and method
US6336188B2 (en) * 1998-05-01 2002-01-01 Certicom Corp. Authenticated key agreement protocol
DE19947986A1 (de) * 1999-10-05 2001-04-12 Ibm System und Verfahren zum Herunterladen von Anwendungsteilen auf eine Chipkarte
US6577733B1 (en) * 1999-12-03 2003-06-10 Smart Card Integrators, Inc. Method and system for secure cashless gaming
WO2001084761A1 (en) * 2000-04-28 2001-11-08 Swisscom Mobile Ag Method for securing communications between a terminal and an additional user equipment
FR2810139B1 (fr) * 2000-06-08 2002-08-23 Bull Cp8 Procede de securisation de la phase de pre-initialisation d'un systeme embarque a puce electronique, notamment d'une carte a puce, et systeme embarque mettant en oeuvre le procede
US7991697B2 (en) * 2002-12-16 2011-08-02 Irdeto Usa, Inc. Method and system to digitally sign and deliver content in a geographically controlled manner via a network
JP2002024046A (ja) * 2000-07-11 2002-01-25 Mitsubishi Electric Corp マイクロコンピュータ及びそのメモリ内容変更システム並びにメモリ内容変更方法
KR100932944B1 (ko) * 2001-03-12 2009-12-21 코닌클리케 필립스 일렉트로닉스 엔.브이. 컨텐트 아이템을 안전하게 저장하는 수신 디바이스와, 재생 디바이스
US7234063B1 (en) * 2002-08-27 2007-06-19 Cisco Technology, Inc. Method and apparatus for generating pairwise cryptographic transforms based on group keys
US7395435B2 (en) * 2002-09-20 2008-07-01 Atmel Corporation Secure memory device for smart cards
US7706540B2 (en) * 2002-12-16 2010-04-27 Entriq, Inc. Content distribution using set of session keys
WO2006066604A1 (en) * 2004-12-22 2006-06-29 Telecom Italia S.P.A. Method and system for access control and data protection in digital memories, related digital memory and computer program product therefor
FI20050491A0 (fi) * 2005-05-09 2005-05-09 Nokia Corp Järjestelmä varmenteiden toimittamiseksi viestintäjärjestelmässä
EP1793525B1 (de) * 2005-12-01 2008-10-15 BRAVIS GmbH Verfahren zum Ändern eines Gruppenschlüssels in einer Gruppe von Netzelementen in einem Netz
ATE440417T1 (de) * 2006-06-29 2009-09-15 Incard Sa Verfahren zur diversifizierung eines schlüssels auf einer chipkarte
JP2009151528A (ja) * 2007-12-20 2009-07-09 Panasonic Corp 生体情報が格納されたｉｃカードおよびそのアクセス制御方法
DE102008028701A1 (de) * 2008-06-17 2009-12-24 Giesecke & Devrient Gmbh Verfahren und System zum Erzeugen einer abgeleiteten elektronischen Identität aus einer elektronischen Hauptidentität
DE102008055076A1 (de) * 2008-12-22 2010-07-01 Robert Bosch Gmbh Vorrichtung und Verfahren zum Schutz von Daten, Computerprogramm, Computerprogrammprodukt
DE102010010950A1 (de) * 2010-03-10 2011-09-15 Giesecke & Devrient Gmbh Verfahren zum Authentisieren eines portablen Datenträgers
DE102010035098A1 (de) * 2010-08-23 2012-02-23 Giesecke & Devrient Gmbh Verfahren zum Authentisieren eines portablen Datenträgers
DE102010055699A1 (de) * 2010-12-22 2012-06-28 Giesecke & Devrient Gmbh Kryptographisches Verfahren
US9219604B2 (en) * 2011-05-09 2015-12-22 Cleversafe, Inc. Generating an encrypted message for storage

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5818738A (en) * 1987-10-30 1998-10-06 Gao Gesellschaft Fur Automation Und Organisation Mgh Method for testing the authenticity of a data carrier having an integrated circuit
DE19527715C2 (de) * 1995-07-31 1997-08-07 Deutsche Telekom Mobil Verfahren zur Nutzeridentifikation und -authentifikation bei Datenfunkverbindungen, zugehörige Chipkarten und Endgeräte
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
DE10141396A1 (de) * 2001-08-23 2003-03-13 Deutsche Telekom Ag Verfahren zur Erzeugung eines asymmetrischen kryptografischen Gruppenschlüssels
WO2006089101A2 (en) * 2005-02-18 2006-08-24 Rsa Security Inc. Derivative seeds
CN101385305A (zh) * 2006-01-30 2009-03-11 西门子公司 在第一通信设备与第二通信设备之间约定公用密钥的方法和设备

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104270516A (zh) * 2014-09-23 2015-01-07 中兴通讯股份有限公司 解密方法和移动终端
CN113169973A (zh) * 2018-10-02 2021-07-23 第一资本服务有限责任公司 增强加密算法的强度的系统和方法
CN113169973B (zh) * 2018-10-02 2023-08-01 第一资本服务有限责任公司 增强加密算法的强度的系统和方法

Also Published As

Publication number Publication date
WO2012031681A2 (de) 2012-03-15
EP2609711B1 (de) 2019-05-08
WO2012031681A3 (de) 2012-06-14
DE102010035098A1 (de) 2012-02-23
CN103081395B (zh) 2016-06-08
EP2609711A2 (de) 2013-07-03
US8793495B2 (en) 2014-07-29
US20130151854A1 (en) 2013-06-13

Similar Documents

Publication Publication Date Title
US11588637B2 (en) Methods for secure cryptogram generation
EP3444999B1 (en) Method for generating a public/private key pair and public key certificate for an internet of things device
CN107210914B (zh) 用于安全凭证供应的方法
US10797879B2 (en) Methods and systems to facilitate authentication of a user
US9698985B2 (en) Authentication
RU2718229C1 (ru) Установление защищенного канала
JP4870155B2 (ja) プライバシーが強化された電子パスポートの認証プロトコル
EP2204008B1 (en) Credential provisioning
US8971540B2 (en) Authentication
CN103081395A (zh) 用于认证便携式数据载体的方法
CN103262464B (zh) 加密方法
CN102456193A (zh) 移动存储设备、基于该设备的数据处理系统和方法
US20150124963A1 (en) Authentication
Bender et al. The PACE| AA protocol for machine readable travel documents, and its security
CN110401615A (zh) 一种身份认证方法、装置、设备、系统及可读存储介质
CN107733912A (zh) 信息加密方法、信息认证方法、终端及计算机可读存储介质
WO2019110399A1 (en) Two-party signature device and method
KR20160013135A (ko) 공유 비밀을 암시하는 보안 데이터 채널 인증
CN102792312B (zh) 用于验证便携式数据载体的方法
US20200374116A1 (en) System and method for computing an escrow session key and a private session key for encoding digital communications between two devices
EP3035589A1 (en) Security management system for authenticating a token by a service provider server
Hanzlik et al. Mutual chip authentication
Tanwar et al. A Novel Framework for Efficient Multiple Signature on Certificate with Database Security
Bursuc et al. Provably unlinkable smart card-based payments

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20180224

Address after: Munich, Germany

Patentee after: Jiejia de mobile safety Co., Ltd.

Address before: Munich, Germany

Patentee before: Giesecke & Devrient GmbH

TR01 Transfer of patent right