CN105099668B

CN105099668B - 用于产生机密密钥的装置和方法

Info

Publication number: CN105099668B
Application number: CN201510238174.6A
Authority: CN
Inventors: A.米勒
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2014-05-13
Filing date: 2015-05-12
Publication date: 2021-01-01
Anticipated expiration: 2035-05-12
Also published as: DE102014209042A1; CN105099668A

Abstract

本发明涉及用于产生机密密钥的装置和方法。该方法具有如下特征：计算机网的多个节点时间上同步地分别发送第一信号给加入的节点；第一信号叠加至第二信号上；加入的节点接收第二信号；加入的节点发送第三信号给计算机网的节点；计算机网的节点从加入的节点分别接收对应于第三信号的第四信号；计算机网的节点根据第四信号分别发送第五信号给另外的节点；另外的节点接收第五信号；另外的节点根据第五信号确定第二信号的至少一个近似值以及加入的节点和另外的节点根据第二信号和该近似值产生密钥，尤其是通过利用所述近似值调整第二信号。本发明还涉及为执行这种方法设立的装置、相应的计算机程序以及具有这种计算机程序的机器可读存储介质。

Description

用于产生机密密钥的装置和方法

技术领域

本发明涉及根据专利权利要求1的前序部分的方法。本发明此外还涉及被设立用于执行这种方法的装置、相应的计算机程序以及具有这种程序的机器可读的存储介质。

背景技术

对称密码系统是如下密码系统，在该密码系统中与非对称密码系统不同，所有涉及的（合法）用户使用相同密钥。为了计算和检验消息认证码等等而使用同一密钥进行加密和解密数据带来：在每个加密的交换之前首先必须分配密钥本身。但是因为整个方法的安全性与密钥的保密相关，所以传统的方案通常设计经由安全的信道进行密钥交换。这尤其是可以通过手动地将密钥引入到各个用户中来进行，例如通过输入口令，从所述口令中于是可以推导出实际的密钥。

而通过非安全信道的密钥交换对于技术人员来说还总是挑战，其在密码学中作为“密钥分配问题”而已知。为了解决该密钥分配问题，现有技术提供了如已知的迪菲-赫尔曼-密钥交换或所谓的混合加密方法的方案，所述方案能够通过采用非对称协议实现对称密钥的交换。

但是在不远的过去，越来越多地讨论到密码系统，所述密码系统将OSI参考模型的应用层的密钥建立问题转移到其比特传输层（物理层，PHY）上。这种方案例如被应用到网络（cyber）物理系统的还新近的技术领域，所述网络物理系统的特点是对无线以及因此固有的不安全通信信道的按照重点的利用。

相应的方法设计：每个参与方从连接其的信道的物理特性导出密钥，使得这样生成的密钥一致，从而无需传送密钥的具体部分。US 7942324 B1示例性地公开了这种方法。

这种方案的弱点有根据地在于：基本上仅仅一个唯一的通信信道用作产生机密密钥的基础，该通信信道连接两个通信伙伴。这种策略隐含基于模型或基于侦听的攻击的风险。

发明内容

本发明以用于产生机密密钥的根据本发明的方法和用于执行该方法的根据本发明的装置为出发点。

该解决方案的优点在于，在密钥产生过程中有利地采用计算机网的多个节点。在此，本发明利用在参与的节点中的一些之间的已经建立的可靠的连接，以便一方面减少不同攻击的成功概率并且另一方面提高要产生的密钥的熵或在更短的时间内产生具有确定熵的密钥。

在该上下文中，与拓扑无关地将不同的电子系统如传感器、执行器、代理以及其他无线或有线节点的每种联合理解为计算机网，其能够实现在各个节点之间的通信。所提及的概念在此明确地理解为极不同的无线局部网、如无线局域网（WLAN）、无线个人域网（WPAN）或无线体域网（WBAN），但也为移动Ad-hoc-网（移动ad-hoc网络，MANet）和其他相互结合的网。

本发明的其他有利的扩展方案在不同的实施方式中说明。因此，根据本发明的方法的改进方案允许使用传输路径的可能的时间变化来进一步提高熵。根据本发明的方法的变型方案以特别的程度从与计算机网连接的节点的累加的计算能力中获益。根据本发明的方法的变型方案将关于由加入的节点所使用的信号序列的安全性关键的认识限制到唯一一个另外的节点上。根据本发明的方法的两个另外变型方案又向技术人员坦白说出借助传统计算机硬件的特别有利的实现。

附图说明

本发明的实施例在附图中示出并且在下面被进一步描述。

图1示出了在根据本发明的方法的初始状态中的计算机网的框图。

图2示出了该方法的第一阶段的框图。

图3示出了该方法的第二阶段的框图。

图4示出了该方法的第三阶段的框图。

具体实施方式

图1以示意性简化方式描绘了根据本发明的方法的基本应用情形。观察的出发点在此是计算机网10，其包括多个已经以安全方式相互连接的节点14。连接这些节点14的云12表示如下情况：除了标记表示的节点14之外可以有任意多个另外的节点参与计算机网10，所述另外的节点例如能够在计算机网10内部实现节点14的直接连接。

因此，节点14例如可以是无线接入点（wireless access points，AP），所述无线接入点借助总的骨干（例如云12）提供至计算机网10、如因特网的接入。在另一实施方式中，计算机网10可以是WBAN或其他无线传感器网（wireless sensor network，WSN），其下协议层相应于标准IEEE 802.15.4，而路由和应用接口满足上级工业标准如ZigBee。似乎考虑使用针对相互结合的网优化的协议，如使用还在设计阶段的IEEE 802.11s,其路由功能（在对应于OSI模型的考虑方式情况下）有利地集成到媒体存取控制（media access control，MAC）层中。易于理解的，计算机网10同时可以基于所述方案的组合或另外的方案，而不偏离本发明的范围。

作为应用根据本发明的方法的重要前提，在此要以计算机网10的各个节点14的时钟时间设定的很大程度的同步性为出发点。适于足够同步化的网络协议例如是技术人员信任的按照IEEE 1588和IEC 61588的精确时间协议（PTP），其在局域限制的计算机网10中能够保证在纳秒或微秒范围中的精度。

还未被集成到安全的计算机网10中的、仍然通过共同使用的传输信道对于计算机网10的节点14可到达的、加入的设备在图1的下边缘上描绘。为了阐明所述设备在计算机网10的拓扑关系中所设定的角色，在下面在图论字义上将其抽象为节点16。在技术上，针对所讨论的例子的目的，该设备可以为移动设备，也即基于其大小或其重量而可以无更大身体负荷地被携带并且因此可以移动地使用的终端设备。尤其是考虑传统的移动计算机或者相应的手持设备（handheld）如同不同类型和形式的可在使用者身体上穿戴的计算机系统（可穿戴）。最后，在智能家居基础设施的范围中可联网的家用设备、照明装置或键盘也可以满足节点16的角色。

在计算机网10的三个节点14和加入的节点16之间的点划连接线在图1中象征性地表示在相应节点14和加入的节点16之间设置的拓扑连接。一方面计算机网10的节点14的相应发送和接收单元以及另一方面加入的节点16的共同作用就此而言（尽管节点16还未被接纳到计算机网10中）已经在该初始状态中建立了没有专门被保险的、在计算机网10的节点14和加入的节点16之间的信道。

由于通过干扰、屏蔽、多路径广播或多普勒效应引起的双侧接收场强的波动，该传输路径在电子技术意义上被表征为衰减信道并且按照图示地通过复数的信道系数h₁（t）、h₂（t）或h_N（t）来表示，其中N代表参与的节点14的数。同时要注意：代替信道系数h_i（t），可以在本发明方法的范围中考虑用于生成密钥的相应连接的大量其他的物理特性。

在图2中图示的所讨论方法的第一阶段中，现在（仅仅在图1中简略绘制的）计算机网10的节点14在时间上同步地分别将第一信号p₁（t）、p₂（t）或p_N（t）发送给加入的节点16。在此，在计算机网10的参与的节点14之间完全可以涉及不同的信号p_i（t）。也不需要加入的节点16认识各个信号p_i（t）。

不管怎么样，在下面以在信号理论意义上的基本上线性的系统为出发点，使得可以应用物理叠加原理。因此，由计算机网10的节点14发送的第一信号p_i（t）近似相加地叠加成由加入的节点接收的第二信号。如果此外简化地以相加的噪声n_A（t）为出发点，则通过加入的节点16接收的第二信号u（t）因此满足如下等式：

。

在根据本发明的方法的第二阶段（示意性地在按照图3的框图中示出）中，加入的节点16在其侧发送第三信号p_A（t）给计算机网10的节点14。所述节点14基于已经提到的现象接收分别相应于第三信号p_A（t）的根据下面的等式的第四信号y_i（t），其中下标i表示涉及的节点14，并且n_i（t）表示由该节点接收的噪声：

。

在此同样展示多个可选的扩展方案，而不脱离本发明范围。基本上，在此，计算机网10的节点14确定对应于相应的第四信号y_i（t）的第五信号20，该第五信号在对应于图4的视图的根据本发明的方法的第三阶段中被发送给另外的节点18。不同的变型方案（按照所述变型方案第五信号20的确定可以在此基于第四信号y_i（t））以及针对为该另外的节点18负责的进一步处理的该决定的效果现在在其细节上被明确。

在第一变型方案中，计算机网10的每个节点14在接收第四信号y_i（t）之后估计关于在相应节点14和加入的节点16之间的连接的信道系数h_i，其中第五信号20将这样估计的信道系数

传输给另外的节点18。明显地，对此从每个参与该估计的节点14方面，需要认识由加入的节点16发送的第三信号p_A（t）。

在该情况下保持委托另外的节点18根据第五信号20确定第二信号

的近似值。因为所述第五信号使该另外的节点18认识通过全部参与的节点14估计的信道系数

，所以根据下面的关系对此基本上满足由计算机网10的每个节点14发送的第一信号

与关于在相应节点14和加入的节点16之间的连接的信道系数

的乘积的求和：

。

易于理解的，所述另外的节点18为此需要认识由计算机网10的节点14发送的第一信号

。

在计算机网10的节点14和另外的节点18之间的异常的工作分配在第二变型方案中出现。在此，第五信号20首先将由相应节点14接收的第四信号

传输给另外的节点18。因此，另外的节点18负责：在接收第五信号20之后本身为每个节点14估计关于该节点14与加入的节点16的连接的信道系数h_i。如果将现在通过另外的节点18估计的信道系数再次用公式符号

表示，则根据上面的格式能够继续进一步确定第二信号u(t)的近似值。

直接理解的是：在该第二变型方案中，另外的节点18需要认识由计算机网10的节点14发送的第一信号

、以及由加入的节点16发送的第三信号

。

在一种优选的扩展方案中，第五信号20除了传输相应的信道系数

或者计算机网10的所涉及节点14的接收的第四信号

之外还传输由该节点14在接收第四信号时确定的接收时刻。

最后，还理应考虑第三变型方案，在其中另外的节点18又不一定必须已知第三信号

、但是至少计算机网10的节点14必须已知第三信号

。此外能够以以下为出发点：计算机网10的每个节点14也在根据本发明的方法的该阶段中还要知道由其本身发送给加入的节点16的第一信号

。

在该第三变型方案中，计算机网10的节点14（如已经在第一变型方案的情况中那样）在接收第四信号之后本身估计关于其与加入的节点16的相应连接的信道系数

并且因此分别获得估计值

。此外，计算机网10的节点14现在还基于下面的假设来自己确定由其发送的第一信号

与估计的信道系数

的乘积：

。

节点14因此似乎承担附加的、在第一和第二变型方案的情况下留待另外的节点18去做的乘法步骤。由计算机网10的节点14分别向另外的节点18发送的第五信号20在该变型方案中因此已经传输由相应节点14本身确定的乘积，使得第二信号

近似值的确定基本上要求从另外的节点18方面对所述乘积的简单的求和。

可以设想的是，上面描述的变型方案的极不同的组合。此外，可以考虑：多次地执行至少发送第一信号

、接收第二信号

、发送第三信号

以及接收第四信号

的步骤。对于这些方案共同的结果是：加入的节点16以第二信号

形式、以及另外的节点18以提及的近似值的形式拥有用于调整（Abgleich）共同的机密（共享秘密）的基础。在可选的准备之后，所述机密可以被用作对称密码系统的密钥、或者例如用于计算消息认证码（message authentication code，MAC）或者用于加密数据。

Claims

1.用于产生机密密钥的方法，

其特征在于：

-计算机网（10）的多个节点（14）时间上同步地分别发送第一信号p _i(t)给加入的节点（16），其中1≤i≤N并且N表示多个节点（14）的数量，

-所述第一信号p _i(t)叠加成第二信号，

-所述加入的节点（16）接收所述第二信号，

-所述加入的节点（16）发送第三信号 p _A(t)给计算机网（10）的节点（14），

-计算机网（10）的节点（14）分别从所述加入的节点（16）接收对应于所述第三信号p _A(t)的第四信号，其中第四信号等于相应节点（14）与所述加入的节点（16）之间的连接的信道系数与第三信号p _A(t) 的乘积加上相应节点（14）接收的噪声，

-计算机网（10）的节点（14）根据所述第四信号分别发送第五信号（20）给另外的节点（18），其中第五信号（20）涉及由相应节点（14）估计的在相应节点（14）与所述加入的节点（16）之间的连接的信道系数、第四信号本身或由相应节点（14）接收第四信号时的接收时刻，

-所述另外的节点（18）接收第五信号（20），

-所述另外的节点（18）根据第五信号（20）确定第二信号的至少一个近似值，以及

-所述加入的节点（16）和所述另外的节点（18）基于所述第二信号和所述近似值来产生密钥。

2.根据权利要求1所述的方法，其特征在于，所述加入的节点（16）和所述另外的节点（18）通过利用所述近似值来调整第二信号来产生密钥。

3.根据权利要求1所述的方法，其特征在于，至少多次地执行发送第一信号p _i(t)、接收第二信号、发送第三信号p _A(t)以及接收第四信号的步骤。

4.根据权利要求1至3之一所述的方法，其特征在于：

-计算机网（10）的每个节点（14）在接收第四信号之后估计在相应节点（14）和加入的节点（16）之间的传输信道的至少一个物理特性，以及

-在所述第五信号（20）上传输上述估计的至少一个物理特性。

5.根据权利要求1至3之一所述的方法，其特征在于：

-在第五信号（20）上传输分别接收的第四信号以及

-另外的节点（18）在接收第五信号（20）之后估计在计算机网（10）的每个节点（14）和加入的节点（16）之间的连接的物理特性。

6.根据权利要求4所述的方法，其特征在于：

-所述估计的至少一个物理特性是关于相应连接的信道系数h _i(t)，其中1≤i≤N并且N表示多个节点（14）的数量，以及

-确定第二信号的近似值包括将由计算机网（10）的每个节点（14）发送的第一信号p _i(t)与关于在相应节点（14）和加入的节点（16）之间的连接的信道系数h _i(t)的乘积的求和。

7.根据权利要求1至3之一所述的方法，其特征在于：

-计算机网（10）的每个节点（14）在接收第四信号之后估计关于在相应节点（14）和加入的节点（16）之间的连接的信道系数h _i(t)，

-计算机网（10）的每个节点（14）确定由相应节点（14）发送的第一信号p _i(t)与关于相应连接的信道系数h _i(t)的第一乘积，

-在第五信号（20）上传输所述第一乘积并且

-确定第二信号的近似值包括对所述第一乘积求和。

8.根据权利要求1至3之一所述的方法，其特征在于：

-计算机网（10）的每个节点（14）在接收第四信号时确定接收时刻以及

-所述第五信号（20）还传输分别确定的接收时刻。

9.用于执行根据权利要求1至8之一所述的方法的装置，其特征在于：

-用于通过计算机网（10）的多个节点（14）在时间上同步地分别发送第一信号p _i(t)给加入的节点（16）的构件，

-用于通过加入的节点（16）接收第二信号的构件，其中所述第一信号p _i(t)叠加成所述第二信号，

-用于通过加入的节点（16）将第三信号p _A(t)发送给计算机网（10）的节点（14）的构件，

-用于通过计算机网（10）的节点（14）分别接收与所述第三信号p _A(t)相应的第四信号的构件，其中第四信号等于相应节点（14）与所述加入的节点（16）之间的连接的信道系数与第三信号p _A(t) 的乘积加上相应节点（14）接收的噪声，

-用于根据所述第四信号通过计算机网（10）的节点（14）分别将第五信号（20）发送给另外的节点（18）的构件，其中第五信号（20）涉及由相应节点（14）估计的在相应节点（14）与所述加入的节点（16）之间的连接的信道系数、第四信号本身或由相应节点（14）接收第四信号时的接收时刻，

-用于通过所述另外的节点（18）来接收第五信号（20）的构件，

-用于根据第五信号（20）通过所述另外的节点（18）来确定第二信号的近似值的构件以及

-用于基于所述第二信号和所述近似值来产生密钥的构件。

10.根据权利要求9所述的装置，其特征在于：所述密钥的产生通过一方面从加入的节点（16）方面分析所述第二信号以及另一方面从另外的节点（18）方面分析所述近似值来进行。

11.机器可读的存储介质，具有存储在其上的计算机程序，所述计算机程序被设立用于当其在计算机上实施时执行根据权利要求1至8之一所述的方法的所有步骤。