CN106233661B - 用于在网络中生成秘密或密钥的方法 - Google Patents

Abstract

介绍了一种用于在网络（20）中生成秘密或者密钥的方法。在这种情况下，该网络（20）具有至少一个第一和至少一个第二成员（21、22）和在至少所述第一和所述第二成员（21、22）之间的传输信道（30）。所述第一和第二成员（21、22）分别可以将至少一个第一值和至少一个第二值给出到传输信道（30）上。第一成员（21）或第二成员（22）促使第一成员值序列或第二成员值序列彼此尽可能同步地来传输到传输信道（30）上。基于关于第一成员值序列或第二成员值的信息以及基于由第一成员值序列与第二成员值序列在传输信道（30）上的叠加最终得到的叠加值序列，所述第一成员（21）或者所述第二成员（22）生成共同的秘密或者共同的密钥。

Description

用于在网络中生成秘密或密钥的方法

技术领域

本发明涉及一种用于在网络中生成如密码钥那样的秘密的方法、尤其是在网络的两个成员中生成共同的密钥。点对点连接通常也被列为网络，并且这里同样应该用该术语来称呼（adressieren）。在此，所述两个成员通过共同使用的传输介质进行通信。在这种情况下，逻辑位序列（或更一般地为：值序列）通过相对应的传输方法作为信号或信号序列物理地被传输。所基于的通信系统例如可以是CAN总线。该CAN总线设置了显性位和隐性位或相对应地显性信号和隐性信号的传输，其中该网络的成员的显性信号或显性位相对隐性信号或隐性位占优（durchsetzen）。只有当所有参与的成员都设置隐性信号来传输时或只有当所有同时发送的成员都传输隐性信号电平时，根据隐性信号的状态才出现在传输介质上。

背景技术

不同设备之间的安全通信在越来越多地联网的世界中变得越来越重要，并且在许多应用领域中是针对可接受性的重要前提，而且因此也是针对相对应的应用的经济成果的重要前提。视应用而定，这包括不同的保护目标，诸如对要传输数据的机密的保护、参与的节点的相互认证或者对信号完整性的保证。

为了实现这些保护目标，通常使用适当的密码方法，所述密码方法通常可以分为两个不同的类别：一方面是对称方法，其中发送方和接收方拥有相同的密钥；另一方面是非对称方法，其中发送方用接收方的公钥（也就是说也可能为潜在的攻击者所知）对要传输的数据进行加密，但是解密只可以用理想地只为接收方所知的所属的私钥来进行。

此外，非对称方法具有如下缺点：所述非对称方法一般具有非常高的计算复杂度。借此，所述非对称方法只是有条件地适合于资源有限的节点（诸如传感器、执行器等等），所述资源有限的节点通常只拥有相对微小的计算能力以及微小的存储器并且例如由于电池运行或者采用能量收集（Energy Harvesting）而应该有能效地工作。除此之外，常常只有有限的带宽可供支配来进行数据传输，这使具有2048位或更多位的长度的非对称密钥的交换没有吸引力。

而在对称方法中必须确保：不仅接收方而且发送方都拥有相同的密钥。在此，所属的密钥管理通常是要求非常高的任务。在移动无线电领域中，密钥例如借助于SIM卡被置入到移动电话中，而所属的网络接着可以给SIM卡的明确的标志符分配相对应的密钥。而在无线局域网（Wireless LAN）的情况下，在设立网络时通常（一般通过输入口令）手动地输入所要使用的密钥。然而，当例如在传感器网络或者其它机器对机器通信系统、例如也在基于CAN的车辆网络中有非常大数目的节点时，这种密钥管理很快变得花费高并且不可行（impraktikabel）。除此之外，改变所要使用的密钥常常是完全不可能的或只有用非常高的花费才是可能的。

例如在DE 102009002396 A1中和在DE 102009045133 A1中公开了用于保护传感器数据免受操纵的方法和例如在车辆网络中借助于常见的加密方法对交易认证的保证。

此外，一段时间以来，在关键字“物理层安全（Physical Layer Security）”的情况下研究和开发新式的方案，借助于所述新式的方案可以基于在所涉及的节点之间的传输信道的物理特性自动地生成用于对称方法的密钥。在此，充分利用了这些传输信道的交互作用和内在随机性。然而，尤其是在有线的或者光学的系统中，该方案常常只是有条件地适当的，因为相对应的信道通常只具有非常有限的时变性，而且攻击者例如借助于建模可以相对良好地推断出在发送方与接收方之间的信道参数。

发明内容

按照独立权利要求所述的用于生成如密钥那样的秘密的方法不需要手动地干预，并且因此使得能够在两个节点之间自动化地建立安全的通信关系或通信连接。此外，所述方法尤其是在必要的硬件设计、诸如所需的存储器资源和计算能力方面具有非常微小的复杂度，并且所述方法伴随着微小的能量需求和时间需求。除此之外，所述方法同时在非常小的故障概率的情况下提供非常高的密钥生成速率。

在此，所述方法的出发点是，网络中的成员通过通信信道彼此进行通信。在此，所述成员尤其是借助于物理信号在传输信道上传输逻辑值序列（如果是二进制位的逻辑，则为位序列）。即使可能的叠加在传输信道上、即物理层上通过信号来进行，在本说明书中在下文也优先考虑逻辑层。因此，所传输的逻辑值序列及其逻辑叠加被考虑。

因此，网络的成员可以将第一信号（其例如被分配给逻辑位“1”）和第二信号（其例如被分配给逻辑位“0”）给出到通信信道上，并且探测在通信信道上最终得到的信号。如果现在两个成员（尽可能地）同时传输各一个信号序列，那么所述成员可以探测由此最终得到的在通信信道上的叠加。接着，在通信信道上的由（尽可能地）同时传输两个（独立的）信号而最终得到的有效的信号又可以被分配给一个（或多个）确定的逻辑值。

在此，该传输必须是尽可能地同步的，使得在传输介质上进行信号序列的各个信号的叠加，尤其是使得根据第一成员的第n个逻辑值或逻辑位的信号与根据第二成员的第n个逻辑值或逻辑位的信号至少部分地叠加。为了所述成员可以检测该叠加或确定相对应的叠加值，该叠加应该足够长。

在此，该叠加可以通过仲裁机制或者通过物理信号叠加来确定。利用仲裁机制例如是指如下情况：节点想施加隐性电平，但是在总线上检测到显性电平并且因此放弃传输。在这种情况下不发生两个信号的物理叠加，而是在传输信道上只看到显性信号。

接着，从叠加的最终得到的值序列和自己的值序列中，成员可以生成密钥，所述密钥相对于外部攻击者是秘密的。其原因是，例如可以监听附在共同使用的传输介质上的有效的总信号的外部攻击者只看到所述值序列的叠加，但是不具有关于成员的各个值序列的信息。借此，成员拥有它们相对于攻击者可用来生成密钥的更多信息。

特别有利地，该方法可以被用在网络中，在所述网络中存在：显性值（物理上为：显性信号），当只有一个成员在传输信道上施加所述显性值时占优，所述显性值占优；以及隐性值（物理上为：隐性信号），只有当两个或所有成员都传输隐性值时，才在传输信道上最终得到所述隐性值。基于就此明确地设置的叠加规则，这种网络的成员可以从最终得到的叠加序列中特别简单地导出用于密钥生成的信息。可替换地，传输所述成员中的至少一个的隐性值也可以通过如下方式来代替：完全没有值（gar nichts）在值序列的该位置处或作为至少两个可能的值中的一个被传输。

在准备阶段，由所述成员尽可能地同时给出到传输信道上的成员值序列在相应的成员本身中借助于随机生成器或者伪随机生成器来生成。因为在传输信道上最终得到的叠加序列可能为潜在的攻击者所使用，所以对于稍后的通信的安全性来说特别有利的是：攻击者尽可能地难以推断出所述成员的各个值序列，也就是说所述值序列在成员中本地以及随机地或者至少伪随机地生成。

在一优选的变型方案中，成员传输具有第一部分和第二部分的部分值序列，其中所述第二部分对应于颠倒（invertiert）的第一部分。对于攻击者而言，所述两个部分在叠加中（至少在逻辑层上）在所述两个成员传输不同值的位置上显得是相同的，而对于成员而言由此也最终得到关于另一成员的部分值序列的附加信息。所述附加信息又可以被考虑用于密钥生成，而且所述附加信息因此可以更安全地构建。在此，所述部分值序列是否彼此紧挨着是不重要的。只要两个成员又（尽可能地）同时地彼此开始传输，例如在根据所述值序列的不颠倒的与颠倒的部分的部分值序列之间就可以也存在中断。因此，所述部分值序列不仅可以在多个单独的消息中、而且可以在唯一的消息中被传输（例如第一个32位=原始的，第二个32位=颠倒的）。成员可以通过对所述叠加值序列的两个最终得到的部分的逻辑运算、尤其是通过或逻辑运算（ODER-Verknuepfung）来提取来自这种彼此颠倒的值序列的传送的附加信息。

在所述优选的变型方案中，成员可以在一有利的实施方案中划掉所述成员的成员值序列的如下那些位置：所述位置具有与另一成员值序列的在相同位置上的值相同的值，并且借此分别获得缩短的值序列。所述成员可以通过所传送的颠倒的值序列从附加信息导出为此所必要的信息。这样的被划掉的位置对应于如下信息：所述信息可由攻击者可能相对容易地从叠加序列中导出（至少当攻击者知道成员的传输方案时），所述信息因此会减小从位序列中生成的密钥的安全性。现在，通过颠倒这样被缩短的位序列，所述成员之一可以获得与另一成员的被缩短的值序列相对应的值序列。所述成员现在可以将所述共同的秘密值序列考虑作为用于共同的密钥的基础。

所描述方法可以特别好地在CAN、TTCAN或者CAN-FD总线系统中被实现。这里，隐性总线电平由显性总线电平置换（verdraengen）。成员的值或信号的叠加借此遵循所规定的规则，所述成员可以使用所述规则来从被叠加的值或信号和由所述成员传输的值或信号中导出信息。如LIN和I2C那样的其它通信系统也良好地适合于使用该方法。

但是可替换地，该方法例如也可以被用在具有开关键控振幅键控换向（On-Off-Keying-Amplitudenumtastung）的网络中。这里，同样规定了叠加，其方式是所述成员将“传输”和“不传输”作为信号来选择，并且当所述成员中的一个或两个进行传输时，叠加信号对应于信号“传输”，而当两个成员都不进行传输时，叠加信号对应于信号“不传输”。

如果两个成员在传输中显示出诸如不同的信号振幅或者不同的信号传输开始时间那样的特征，那么攻击者可能可以通过在传输信道上的灵敏测量导出关于相应的成员的各个位序列的信息。因为针对密钥的基础在这些信息中，所以在所介绍的方法的另一优选实施方案中使攻击者导出这些信息变得困难。为此，所述成员中的至少一个在传输期间改变传输参数。例如，值序列的各个值都可以选择不同的信号振幅，或者值序列的各个值的传输开始时间或者传输结束时间可以被改变。这里例如可以是随机的改变。因此，使攻击者从各个攻击者的传输中的特征中导出信息变得困难。

用于在网络中的两个成员的方法已经被描述，而密钥也已经可以通过网络的一个成员从自己的信号序列中以及从该信号序列与第二成员的信号序列的叠加中来导出。为此，网络或者网络的成员被设立，其方式是所述网络或者网络的成员拥有实施相对应的方法的步骤的电子存储器资源和计算资源。在这种成员的存储介质上或者在网络的分布式存储资源上，也可以存放计算机程序，所述计算机程序被设立为当在成员中或者在网络中被执行时实施相对应的方法的所有步骤。

附图说明

随后，参考随附的附图并且依据实施例进一步描述本发明。在此：

图1示意性地示出了示例性的所基于的通信系统的结构；

图2示意性地示出了线性总线作为所基于的通信系统的示例；

图3示意性地示出了网络的两个成员的示例性的信号序列以及在成员之间传输信道上的最终得到的叠加值序列；和

图4示意性地示出了用于在网络的两个成员之间的密钥生成的示例性的方法的流程。

具体实施方式

本发明涉及一种用于在通信系统的两个节点（网络的成员）之间生成如对称的密码（密）钥那样的秘密的方法，所述两个节点通过共同使用的介质（网络的传输信道）彼此进行通信。在此，秘密、尤其是密码钥的生成或商定基于在所述两个成员之间的公开的数据交换，其中可能的监听第三方作为攻击者仍然不可能或者只可能非常困难地推断出所生成的密钥。因此，利用本发明可能在网络的两个不同成员之间完全自动化地并且安全地建立相对应的对称密码钥，以便在此基础上接着实现所确定的安全功能、诸如数据加密。如还详细地被描述的那样，为此首先建立共同的秘密，所述共同的秘密可以被考虑用于密钥生成。但是，这种共同的秘密原则上也可以被用于与更狭义的密码钥不同的其它目的、例如被用作一次性密码本（One-Time-Pad）。

本发明适合于多种有线的或者无线的以及也有光学的网络或通信系统、尤其是也适合于如下这种网络或通信系统：在所述网络或通信系统的情况下，不同成员通过线性总线彼此进行通信并且对该总线的介质访问借助于按位的总线仲裁来进行。该原理例如是广泛流行的CAN总线的基础。与此相对应，本发明的可能的应用领域尤其是也包括基于CAN的车辆网络以及在自动化技术中的基于CAN的网络。

本发明描述了一种可用来在网络中、尤其是在网络的两个节点之间自动化地生成对称密钥的方案。在此，该生成在充分利用相对应的传输层的特性的情况下进行。但是不同于在“物理层安全”的常见的方案的情况下，为此没有分析传输信道的物理参数（如传输强度等等）。对此，更确切地说，在参与的节点之间存在公开的数据交换，所述数据交换由于通信系统和/或所使用调制方法的特性而使得可能的偷听的攻击者不能或者不能充分地推断出从中商定出的密钥。

在下文，如其抽象地在图1中被示出的那样的装置被考虑。在此，不同成员1、2和3可以通过所谓的共享传输介质C（shared medium）10来彼此进行通信。在本发明的一有利的实现形式中，该共享传输介质对应于线性总线（有线地或光学地）30，如该线性总线30示例性地在图2中被示出的那样。图2中的网络20恰好由作为共享传输介质（例如作为有线的传输通信）的线性总线30、成员或节点21、22和23以及（可选的）总线终端31和32构成。

在下文，针对在不同节点21、22和23之间的通信假定：所述节点21、22和23通过显性值和隐性值的区别来表征。在该示例中，位“0”和“1”被假定为作为可能的值。在此，显性位（例如逻辑位‘0’）可以在一定程度上置换或改写（ueberschreiben）同时被传输的隐性位（例如逻辑位‘1’）。

针对这种传输方法的示例是所谓的开关键控（开关键控振幅键控换向），其中两个传输状态刚好被区别：在第一种情况下（值“开（On）”或“0”），信号例如以简单的载波信号的形式被传输；在其它情况下（值“关（Off）”或“1”），没有信号被传输。在此，状态“开”是显性的，而状态“关”是隐性的。

针对支持所述对显性和隐性位的区别的相对应的通信系统的另一示例是基于按位的总线仲裁的（无线的或者光学的）系统，如所述总线仲裁例如在CAN总线中投入使用的那样。在此，基本思想同样在于：如果例如两个节点同时想传输信号并且一个节点传输‘1’，而第二节点发送‘0’，则所述‘0’“获胜”（即显性位），也就是说可以在总线上测量的信号电平对应于逻辑‘0’。在CAN的情况下，该机制尤其是被用于解决可能的冲突。在此，更高优先级的消息（也就是说具有更早的显性信号电平的消息）优先被传输，其方式是，每个节点在传输该节点的CAN标识符时同时按位地监视总线上的信号电平。只要该节点本身传输隐性位，但是在总线上探测到显性位，相对应的节点就中断该节点的传输尝试以有利于（具有更早的显性位的）更高优先级的消息。

对显性和隐性位的区别允许将共享传输介质理解为一种二进制位的运算器，所述运算器借助于逻辑与函数（UND-Funktion）将不同的输入位（=所有同时被传输的位）彼此进行运算。

在图3中例如示出了成员1（T1）如何准备好位序列0, 1, 1, 0, 1用于在时刻t0与t5之间通过传输信道来发送。成员2（T2）准备好位序列0, 1, 0, 1, 1用于在时刻t0与t5之间通过传输信道来发送。利用通信系统的上述特性并且在假定位电平“0”在该示例中是显性位的情况下，将在总线（B）上看到位序列0, 1, 0, 0, 1 。不仅成员1（T1）而且成员2（T2）都只在时刻t1与t2之间以及在t4与t5之间设置隐性位“1”，使得只有这里在总线（B）上最终得到到为“1”的位电平中的逻辑与运算（UND-Verknuepfung）。

在充分利用通信系统的传输方法的这些特性的情况下，现在在相对应的网络的两个成员之间可以进行密钥生成，其方式是，所述成员探测所述两个成员的位序列在传输介质上的叠加，并且从该信息与关于自身发送的位序列的信息一起生成共同（对称）密钥。

示例性的、特别优选的实现方案在下文依据图4来解释。

生成对称密钥的过程在步骤41由在该示例中的两个参与的节点（成员1和成员2）启动。这例如可以通过发送特定的消息或特殊消息报头来进行。

不仅成员1而且成员2都在步骤42首先在本地（也就是说在内部地并且彼此独立地）生成位序列。该位序列优选地为作为该方法的结果所希望的共同的密钥的至少两倍、尤其是至少三倍长。该位序列优选地例如借助于适当的随机数生成器或者伪随机数生成器分别被生成为随机的或者伪随机的位序列。

针对长度为20位的本地位序列的示例：

·成员1的被生成的位序列：

S_T1 = 01001101110010110010

·成员2的被生成的位序列：

S_T2 = 10010001101101001011。

在步骤43，成员1和成员2彼此通过共享传输介质（在使用具有显性和隐性位的传输方法的情况下，如之前已经被解释的那样）（尽可能地）同步地传输所述成员1和成员2的分别生成的位序列。在此，用于同步相对应的传输的不同的可能性是可设想的。这样，例如或者成员1或者成员2可能会首先将适当的同步消息分别发送给另一节点，并且在确定的时间间隔之后紧接着该消息的完整的传输接着启动真正的位序列的传输。但是同样也可设想的是：只有一个适当的消息报头（例如由仲裁域和控制域构成的CAN报头）由所述两个节点中的一个传输，而在所属的净负荷阶段（Payload-Phase）期间，两个节点接着（尽可能地）同步地同时传送所述两个节点的被生成的位序列。在该方法的一变型方案中，一成员的在步骤42生成的位序列也可以在步骤43分成多个消息地进行传输，例如当相对应的消息的（最大）大小使得这一点是必要的时。

也在该变型方案中，又（尽可能地）同步地传输另一成员的被分成相对应地多个、相对应地大的消息的位序列。

在共享传输介质上，所述两个位序列接着彼此相叠加，其中基于系统的之前所要求的特性，成员1和成员2的各个位利用对显性和隐性位的区别得到叠加、在所提到的示例中实际上（de facto）被与运算。借此，在传输信道上得到相对应的叠加，所述叠加例如可能会被监听的第三成员探测到。

针对上面的本地的位序列的叠加位序列的示例：

•在传输信道上的有效位序列：

S_eff = S_T1 AND S_T2 = 00000001100000000010。

不仅成员1而且成员2都在步骤43的传输所述成员1和成员2的位序列期间在并行的步骤44探测共享传输介质上的有效（被叠加的）位序列S_eff。针对CAN总线的示例，这也在常规的系统中在仲裁阶段期间通常总归进行。

针对具有‘开关键控’（无线、有线或者光学）的系统，这相对应地同样是可能的。在这种情况下，对实际的可实现性尤其有好处的是：在这种系统中，状态‘开’是显性的而状态‘关’是隐性的（如之前已经被解释的那样）。因此，只要节点本身已经发送了显性位，该节点在不测量的情况下就也知道，“共享介质（Shared Medium）”上的有效状态是显性的。而如果节点已经发送了隐性位，那么该节点首先不是毫无困难地知道在共享传输介质上的状态，然而该节点在这种情况下可以通过适当的测量来确定该状态显得如何。因为该节点本身在这种情况下什么都不发送，所以也就是也不存在关于所谓的自干扰的问题，否则所述关于所谓的自干扰的问题特定地在无线系统的情况下会使高成本的回波补偿（Echokompensation）必要。

在下一步骤45，不仅成员1而且成员2都同样再次（尽可能地）同步地传输所述成员1和成员2的初始位序列S_T1和S_T2，然而这次颠倒地传输。在此，相对应传输的同步可以再次刚好以相同的方式和方法来实现，如上所述。接着，在共享通信介质上，所述两个序列再次彼此进行与运算。成员1和2又确定在所述共享通信介质上的有效的叠加位序列S_eff。

针对上面的位序列的示例：

·成员1的经颠倒的位序列：

S_T1'= 10110010001101001101

·成员2的经颠倒的位序列：

S_T2' = 01101110010010110100

·在信道上的有效的叠加位序列：

S_eff' = S_T1' AND S_T2' = 00100010000000000100。

接着，不仅成员1而且成员2都在传输它们的现在被颠倒的位序列期间都再次确定在共享传输介质上的有效的叠加位序列。因此，在该时间点，两个节点（成员1和成员2）以及监听在共享传输介质上的通信的可能的攻击者（例如成员3）也都知道所述有效的叠加位序列S_eff和S_eff'。但是与攻击者或第三成员不同，成员1还知道该成员1的初始生成的本地位序列S_T1，而成员2知道该成员2的初始生成的本地位序列S_T2。但是成员1又不知道成员2的初始生成的本地位序列，而成员2不知道成员1的初始生成的本地位序列。对叠加位序列的探测又在步骤46在传输期间进行。

可替换于所述示例性的实施变型方案地，成员1和成员2也可以将它们的被颠倒的本地位序列直接与它们的原始的本地位序列一起或直接在它们的原始的本地位序列之后发送，也就是说步骤45和46与步骤43和44一起进行。在此，原始的位序列和被颠倒的位序列都可以在一个消息中作为部分位序列被传送、但是也可以在多个单独的消息中作为部分位序列被传送。

在步骤47，成员1和成员2现在分别在本地（即在内部）尤其是用逻辑或函数对有效的叠加位序列（S_eff和S_eff'）进行运算。

针对上面的位序列的示例：

S_ges = S_eff OR S_eff' = 00100011100000000110。

现在，在由或运算最终得到的位序列（S_ges）中的各个位说明了S_T1和S_T2的相对应的位是相同还是不同的。如果在S_ges之内的第n位例如为‘0’，那么这意味着在S_T1之内的第n位与在S_T2之内的相对应的位颠倒。同理适用：如果在S_ges之内的第n位是‘1’，那么在S_Alice和S_Bob之内的相对应的位是相同的。

于是，成员1和成员2在步骤48都基于从与运算中得到的位序列S_ges在所述成员1和成员2的原始的初始位序列S_T1和S_T2中划掉所有在两个序列中相同的位。因此，这导致了相对应地被缩短的位序列。

针对上面的位序列的示例：

·成员1的被缩短的位序列：

S_T1,V = 01011100101100

·成员2的被缩短的位序列：

S_T2,V = 10100011010011。

现在，最终得到的被缩短的位序列S_T1,V和S_T2,V恰好彼此是颠倒的。因此，所述两个成员中的一个可以通过将它的被缩短的位序列颠倒准确地确定那个在另一成员中已经存在的被缩短的位序列。

现在，在步骤49，这样的共同存在的被缩短的位序列由成员1和成员2分别在本地以适当的方式和方法来处理，以便生成被希望的长度N的真正被希望的密钥。在这种情况下，也再次存在多个可以如何进行该处理的可能性。一可能性是，从共同存在的被缩短的位序列中选择N位，其中必须清楚地限定：要取哪N位，例如其方式是总是简单地选择所述序列的前N位。同样可能的是通过共同存在的被缩短的位序列计算哈希函数，所述哈希函数提供长度N的哈希值。一般而言，所述处理可以利用每个任意的线性和非线性的函数来进行，所述函数在应用于所述共同存在的被缩短的位序列时返回长度N位的位序列。从所述共同存在的被缩短的位序列中生产密钥的机制优选地存在于两个成员1和2中，并且相对应地以相同的方式来执行。

必要时，紧接在密钥生成还可以验证：由成员1和2生成的密钥实际上是相同的。对此，例如可能会通过所生成的密钥来计算校验和并且在成员1和2之间交换校验和。如果两个校验和不相同，那么显然有什么（etwas）失败了。在这种情况下，可能会重复所述被描述的用于密钥生成的方法。

在用于密钥生成的方法的一优选的变型方案中，首先也可以在不同的运行（Durchlauf）中生成一整系列最终得到的、分别存在于成员1和2中的被缩短的位序列，所述被缩短的位序列接着在从中导出真正的密钥之前被组合成唯一的大序列。必要时，这也可以自适应地进行。如果在运行所描述的程序（Prozedur）一次之后，所述共同的被缩短的位序列的长度例如应该会小于所希望的密钥长度N，那么可能会在真正的密钥导出之前通过重新运行来生成例如其它的位。

现在，所生成的对称密钥对最后可以由成员1和成员2与所建立的（对称）密码方法（诸如密码（Chiffre））相结合地用于数据加密。

尤其是借助于逻辑或函数的对两个叠加部分值序列的运算的目标是：可以将观察所述通信的被动的（passiv）攻击者由于该攻击者的观察也可以确定的那些位划掉。对此的替代方案是：保留这些位，但是为此首先生成比所希望的位明显更多的位（即如果例如希望为128位的秘密或者密钥则首先要生成300位），并且接着在结束时例如借助于哈希函数等等将所述位减少到所希望的长度。

可能的攻击者（例如成员3）可以监听到在成员1与成员2之间的公开的数据传输，而且因此如所描述的那样获得有效的叠加位序列（S_eff和S_eff'）的了解。然而，该攻击者接着借此只知道：在成员1和2的在本地生成的位序列中的哪些位是相同的而哪些位不相同。除此之外，在相同的位的情况下，攻击者甚至可以进一步确定所述位是‘1’还是‘0’。但是对于最终得到的被缩短的位序列（和借此用于密钥生成的基础）的完整的了解老说，该攻击者缺少关于不相同的位的信息。为了进一步使攻击者的可能的攻击变得困难，在一优选的变型方案中附加地删除在成员1和2的原始的、在本地生成的位序列中相同的位值。借此，成员3只拥有完全没有被用于密钥生成的信息。虽然该成员3知道：相对应地被缩短的位序列由在成员1和成员2的本地位序列之间的不同的位得知。但是该成员3不知道：成员1和成员2已经分别发送了哪些位。

除了关于被叠加的总位序列的信息之外，成员1和2还具有关于分别由所述成员1和成员2发送的在本地生成的位序列的信息。由所述相对于仅仅弄懂（folgen）公开的数据传输的成员3的信息优势所引起的实际情况是：在成员1和2中生成的密钥尽管以公开的数据传输作为基础仍然保持为秘密的。

攻击者（例如成员3）也可能通过发送干扰信号来尝试有针对性地阻止在成员1与成员2之间的密码钥的商定。例如，如果密钥生成（多次）失败，那么这种攻击者可被成员1或者成员2识别。在这种情况下，成员1或者成员2可能会必要时促使密钥生成的中断并且必要时输出故障消息。

在真正的通信系统中，必要时也存在如下可能性：通过在共享通信介质上的精确的测量来推断出所述成员1和2的各个位序列S_T1和 S_T2。由于传递时间差（Laufzeitunterschied），攻击者（例如成员3）例如尽管（尽可能地）同步地设置的传输仍然可以例如以小的时间上的优势首先接收S_T1并且接着接收S_T2或然后接收S_T1和接着S_T2的叠加/运算。因此，攻击者可能会进一步推断出两个序列。然而，根据所述共享通信介质的维度（Ausdehnung）和类型，必要时非常精确的并且因此昂贵的硬件为此是必要的。例如，在长度4m的CAN区段的情况下，最大传递时间差在假定以光速的波传播的情况下为大约13ns。

除此之外，为了使这样的攻击变得困难，在所述用于密钥生成的方法的已经被描述的实施方式的一优选的变型方案中作为对策提出：所述两个成员1和2中的至少一个、尤其是两个成员1和2都略微改变所述成员1和2的位序列的各个信号或各个位的传输时间。对传输时间的这样的改变例如可以随机地进行。通过这种抖动（Jitter），使得可以监听在成员1和2之间在传输信道上的公共传输的可能的攻击者明显变得困难地推断出相应的成员的传输的不同的开始和结束时刻。对传输时间的略微的改变是指如下改变：所述改变进一步保证了对所设置的采样时间，相对应的叠加通过所描述的用于密钥生成的方法也表现为稳定的。对用于确定的信号或位的传输持续时间的改变也是可能的。

通过在数据传输时在成员1和2之间不同的、表征相应的成员的信号振幅，攻击者（成员3）也可能推断出确定的信号的来源，并且借此获得关于成员1和2的分别在本地生成的位序列的信息。在另一优选的变型方案中，为了相同的目的可能会（在所允许的公差的范围内）略微改变发送振幅。经此，使攻击者（成员3）依据在成员1和2之间的不同的信号振幅将信号分配到所述成员1或者2中的一个变得困难。

所介绍的方法是一种用于在充分利用位传输层的特性的情况下生成在两个节点之间的对称密码钥的方案。只要有效的和光学的通信系统支持‘开关键控’或按位的总线仲裁（例如CAN、TTCAN、CAN-FD、LIN、I2C），该方案就尤其是适合于所述有线的和光学的通信系统。但是，在优选地具有在发送方与接收方之间非常短的距离和可能的直接目视连接（Sichtverbindung）的无线的（基于无线电的）通信系统中，也可以使用该方案。

原则上，所有使得能够区别显性和隐性位（如上所述）的通信系统都适于采用。借此，这里所描述的方法可以在多个无线、有线和光学的通信系统中被采用。在此，所描述的方案对于机器对机器通信、即对于在不同的传感器、执行器等等之间的数据的传输来说是特别令人感兴趣的，所述传感器、执行器大体上只拥有非常有限的资源并且可能不能以合理的（vertretbar）花费在现场手动地被配置。

例如在住宅和楼宇自动化、远程医疗、车对x系统（Car-to-X-System）或者工业自动化技术中存在其它的应用可能性。在未来的具有无线电接口的最小传感器中以及在CAN总线的、也就是说尤其是车辆联网或者自动化技术的所有的应用领域中的应用也是特别令人感兴趣的。

Claims (17)

1.一种用于在网络中生成秘密或者密钥的方法，其中所述网络具有至少一个第一成员和至少一个第二成员，所述至少一个第一成员和至少一个第二成员具有在至少所述第一成员和所述第二成员之间的共同的传输信道，其中不仅所述第一成员而且所述第二成员都能够将至少一个第一值和至少一个第二值给出到所述传输信道上，其特征在于，所述第一成员促使第一成员值序列而所述第二成员促使第二成员值序列在所述传输信道上彼此尽可能同步地传输，并且所述第一成员基于关于所述第一成员值序列的信息以及基于由所述第一成员值序列与所述第二成员值序列在所述传输信道上的叠加最终得到的叠加值序列来生成共同的秘密或者共同的密钥，并且所述第二成员基于关于所述第二成员值序列的信息以及基于由所述第一成员值序列与所述第二成员值序列在所述传输信道上的叠加最终得到的叠加值序列来生成所述共同的秘密或者所述共同的密钥。

2.根据权利要求1所述的方法，其特征在于，如果不仅所述第一成员而且所述第二成员都促使通过所述传输信道来传输所述第一值，那么根据所述第一值的状态出现在所述传输信道上，并且如果所述第一成员或者所述第二成员或者如果两个成员都促使通过所述传输信道来传输所述第二值，那么根据所述第二值的状态出现在所述传输信道上。

3.根据上述权利要求之一所述的方法，其特征在于，所述第一成员值序列在第一成员中并且所述第二成员值序列在第二成员中都在本地生成。

4.根据权利要求3所述的方法，其特征在于，所述第一成员值序列在第一成员中并且所述第二成员值序列在第二成员中都在本地借助于随机生成器或者伪随机生成器来生成。

5.根据权利要求1至2之一所述的方法，其特征在于，不仅所述第一成员值序列而且所述第二成员值序列都具有第一部分值序列和第二部分值序列，其中所述第二部分值序列由所述第一部分值序列得知，其方式是第一值被换成第二值而第二值被换成第一值。

6.根据权利要求5所述的方法，其特征在于，所述叠加值序列具有由第一部分值序列的叠加构成的第一叠加部分值序列和由第二部分值序列的叠加构成的第二叠加部分值序列，并且所述第一成员和所述第二成员分别将所述第一叠加部分值序列与所述第二叠加部分值序列进行逻辑连接。

7.根据权利要求6所述的方法，其特征在于，所述第一成员和所述第二成员利用逻辑或函数分别将所述第一叠加部分值序列与所述第二叠加部分值序列进行逻辑连接。

8.根据权利要求6所述的方法，其特征在于，所述第一成员和所述第二成员分别从所述叠加部分值序列的逻辑连接的结果导出：所述第一成员或所述第二成员的成员值序列的哪些位置具有与在另一成员的成员值序列的相同的位置上的值相同的值；所述第一成员和所述第二成员分别将这些位置划掉并且所述第一成员和所述第二成员因此分别得到被缩短的值序列。

9.根据权利要求8所述的方法，其特征在于，所述第一成员将所述第一成员的被缩短的值序列颠倒并且借此得到所述第二成员的被缩短的值序列，并且所述第一成员从所述第一成员的被颠倒的被缩短的值序列生成所述共同的秘密或者所述共同的密钥，而所述第二成员从所述第二成员的被缩短的值序列生成所述共同的秘密或者所述共同的密钥。

10.根据权利要求1至2之一所述的方法，其特征在于，所述网络是CAN总线系统、TTCAN总线系统、CAN-FD总线系统、LIN总线系统或者I2C总线系统；所述第一值是隐性总线电平而所述第二值是显性总线电平。

11.根据权利要求1至2之一所述的方法，其特征在于，在所述网络中设置有用于数据传输的开关键控振幅键控换向。

12.根据权利要求1至2之一所述的方法，其特征在于，所述第一成员、所述第二成员或者两个成员都在传输它们的成员值序列期间改变传输参数。

13.根据权利要求12所述的方法，其特征在于，所述传输参数是信号传输持续时间、信号传输开始时间、信号传输振幅或者其组合。

14.一种用于在网络的第一成员中生成密钥或者秘密的方法，其中所述第一成员被设立为通过传输信道从所述网络的至少一个第二成员接收信息以及将信息传输给所述第二成员，其中所述第一成员被设立为将至少一个第一值和至少一个第二值给出到所述传输信道上并且能够在所述传输信道上探测到所述第一值和所述第二值，其特征在于，所述第一成员促使第一成员值序列与通过第二成员在所述传输信道上传输第二成员值序列尽可能同步地来传输，并且所述第一成员基于关于所述第一成员值序列的信息以及基于叠加值序列来生成秘密或者密钥，所述叠加值序列在所述传输信道上由所述第一成员值序列与所述第二成员值序列的叠加来最终得到。

15.一种用于在网络中生成秘密或者密钥的网络系统，具有至少一个第一和至少一个第二成员和传输信道，所述第一成员能够通过所述传输信道与所述第二成员进行通信，其特征在于，所述网络系统包括执行根据权利要求1至13之一所述的方法的所有步骤的装置。

16.一种用于在网络的第一成员中生成密钥或者秘密的设备，其中所述第一成员被设立为通过传输信道从所述网络的至少一个第二成员接收信息以及将信息传输给所述第二成员，其中所述第一成员被设立为将至少一个第一值和至少一个第二值给出到所述传输信道上并且能够在所述传输信道上探测到所述第一值和所述第二值，所述设备具有：

用于使得所述第一成员促使第一成员值序列与通过第二成员在所述传输信道上传输第二成员值序列尽可能同步地来传输的装置，以及

用于促使所述第一成员基于关于所述第一成员值序列的信息以及基于叠加值序列来生成秘密或者密钥的装置，所述叠加值序列在所述传输信道上由所述第一成员值序列与所述第二成员值序列的叠加来最终得到。

17.一种机器可读的存储介质，具有被存储在其上的计算机程序，所述计算机程序被设立为执行根据权利要求1至14之一所述的方法。