CZ2002582A3 - Způsob vícestupňového ąifrování - Google Patents

Description

Oblast techniky

Vynález se týká šifrování a dešifrování dat. Vynález se týká zvláště ochrany dat šifrováním před neoprávněnými osobami nebo zařízeními v oboru placené televize.

Dosavadní stav techniky

V systémech placené televize se data šifrují v bezpečném prostředí, ve kterém je k dispozici dostatečný výpočetní výkon a které se nazývá kódovací subsystém. Odtud se data známým způsobem posílají k nejméně jednomu vzdálenému subsystému, kde se dešifruji, obvykle v integrovaném přijímači-dekodéru (IRD) s pomocí čipové karty. Neautorizovaná osoba může mít jak ke kartě, tak ke vzdálenému subsystému, který s kartou spolupracuje, v podstatě neomezený přístup.

Odborníkům je známo řetězení (sériové řazení) různých šifrovacích prostředků v šifrovacích systémech a dešifrovacích prostředků v dešifrovacích systémech. Výrazem šifrování/dešifrování se v dalším textu bude rozumět činnost jakéhokoliv šifrovacího/dešifrovacího prostředku použitého v rozsáhlém šifrovacím/dešifrovacím systému.

Činnost takových systémů se optimalizuje z hlediska tří parametrů; rychlost, paměťové nároky a úroveň zabezpečení. Rychlostí se rozumí doba potřebná pro dešifrování přijatých dat.

Šifrovací/dešifrovací systémy pracující se symetrickými klíči jsou odborníkům známy. Úroveň jejich bezpečnosti lze posuzovat podle několika kritérií.

• · ·· • · · • * · · • · · ♦ 1 ► ·· ··

•.M&spo

Prvním kritériem je fyzické zabezpečení, čímž se rozumí snadnost nebo obtížnost vyjmutí některého prvku systému a jeho nahrazení prvkem jiným. Úkolem náhradního prvku je informovat neautorizovanou osobu o povaze a způsobu práce sifrovacího/desifrovacího systému. Náhradní prvek se zvolí tak, aby byl zbytkem systému nezjistitelný nebo aby bylo jeho zjištění velmi obtížné.

Druhým kritériem je systémové zabezpečení, v jehož rámci 10 se uvažuje s útokem pomocí matematické analýzy. Takové útoky se obvykle provádí pomocí vysokovýkonných počítačů, které se snaží prolomit šifrovací algoritmus.

Příkladem šifrování se symetrickým klíčem jsou třeba DES 15 (Data Encryption Standard) systémy. Tyto systémy, které jsou dnes již považovány za zastaralé, nabízí pouze průměrné fyzické i systémové zabezpečení. Šifrování pomocí symetrického klíče se obvykle provádí ve specializovaných elektronických obvodech a úroveň zabezpečení závisí na délce klíce.

Další strategie útoku na šifru se nazývá jednoduchá analýza výkonu (Simple Power Analysis) a analýza časování (Timing Analysis). V jednoduché analýze výkonu se využívá skutečnosti, že mikroprocesor, který provádí šifrovací/dešifrovací algoritmus, je napojen na napěťový zdroj (obvykle 5 voltů). Ve stavu nečinnosti mikroprocesor odebírá stálý proud. V aktivním stavu odebíraný proud závisí nejen na zpracovávaných datech, ale i na šifrovacím algoritmu. Jednoduchá analýza výkonu spočívá ve snímání proudu jako funkce času, ze které lze odvodit typ prováděného algoritmu.

Analýza časování spočívá v měření času potřebného ke zpracování vzorku předaného šifrovacímu modulu. Ze závislostí • · • ··· • · • · · « · · ······* ·♦ ··

•..CÍiřÓBpo mezi předanými vzorky a dob potřebných k jejich zpracování lze odvodit neznámé parametry šifrovacího modulu, jakým je například klíč. Takový systém je popsán například v dokumentu Timing Attacks on Implementations of Diffie-Hellman, RSA,

DSS, and Other Systems, Paul Kocher, Cryptography Research, 870 Markét St, Suitě 1088, San Francisco. Kalifornie. USA.

Ke zlepšeni zabezpečeni šifrovacích systémů byly vyvinuty systémy s asymetrickými klíči, například tzv. RSA (Rivest, Shamir, Adleman) systém. V těchto systémech se generují páry odpovídajících si klíčů, z nichž jeden je veřejný a slouží k zašifrování (nebo dešifrování) dat, druhý je privátní a slouží k jejich dešifrování (nebo zašifrováni). Takové systémy mají vysokou úroveň zabezpečení, fyzického i systémového, ale na druhé straně jsou poměrně pomalé, zejména při dešifrování.

Nejnovějším způsobem útoku na šifry je tzv. DPA, neboli diferenciální analýza výkonu (Differential Power Analysis).

Metoda je založena na předpokladu, že velkým množstvím pokusů lze zjistit, zda je na určitém místě šifrovacího klíče 0 nebo 1. Útok touto metodou je obtížně zjistitelný, protože je téměř nedestruktivní. Použití této metody vyžaduje použití jak fyzické, tak analytické složky. Způsob práce DPA připomíná techniky průzkumu ropných polí, kdy se explozí známé síly vyvolají odezvy, které se snímají sondami rozmístěnými v různých vzdálenostech a hloubkách pod povrchem od epicentra výbuchu. Z vln odražených od hran sedimentačních vrstev lze usuzovat na podzemní strukturu pole bez toho, že by se musely provádět zkušební vrty. DPA útoky jsou podrobně popsány v § 2.1. dokumentu A Cautionary Notě Regarding

Evaluation of AES Candidates on Smart-Carts, který publikovali 1. února 1999 Suresh Chari, Charanjit Jutla, Josyula R. Rao a Pankaj Rohatgi z IBM T.J. Watson Research

Center, Yorktown Heights, New York.

• · *4 4· » k 4 4 4 • 4

Β 4 4 4

44 •€ft*66po

Odolnost vůči DPA útokům lze zajistit bělícími šumovými ('..'hitening jamming) systémy, buď na proudu vstupních, dat nebo na výstupu z šifrovacího algoritmu.

Technika bělení je popsána v § 3.5 uvedeného dokumentu.

Největším problémem však stále zůstává omezený výpočetní výkon v periferním subsystému systému placené televize. Podle dosavadního stavu techniky nebyla otázka bezpečného přenosu dat v takových systémech dosud vyřešena.

Podstata vynálezu

Cílem vynálezu je přinést způsob šifrování a dešifrování, který bude odolný vůči moderním útokům, jejichž příklady byly popsány výše.

Cíle vynálezu se dosáhne způsobem podle význakové části nároku 1.

Zvláštní rysem způsobu podle vynálezu je to, že výpočtový prostředek nezačne pracovat až po obdržení výsledku z prostředku předchozího, ale již tehdy, když má k dispozici alespoň část dat. Pro vnějšího pozorovatele je tak nemožné určit vstupní a výstupní podmínky tohoto prostředku.

Protože v periférním systému probíhá dešifrování v čipové kartě, která má ve srovnání s šifrovacím (centrálním) systémem omezený výpočetní výkon, je výhodné použít pro poslední dešifrovací kroky relativně rychlý veřejný asymetrický klíč. Tím se zachová odolnost systému na výstupní straně a výpočetní výkon, který je potřebný pro zašifrování dat pomocí privátního klíče, se může zkoncentrovat na straně vysílání.

*·« · · 9 9 9 9 • 9 ·· · 9 » 9 «

9999 9999 9 _ · 9 9999 9*9

....... ·· ·· ·<2Η·66ρο v*

Zjistilo se, že další úrovně zabezpečení lze dosáhnout řetězením, nebo částečným prokládáním, dvou šifrovacích prostředků, které pracují v sériovém zapojení. Řetězením nebo částečným prokládáním se rozumí takové zpracování dat, kdy druhý šifrovací prostředek zahájí zpracování dat ještě

Γ\ r A H t* ί ΤΠ ΤΊ O T chn Ί r ó ta h 3 1 o 7nrnr-n 1 ,0 v-x V- T r V-· ’

L -----, ---- ------- ----- — — ~ j _ *, V * * J_ prostředek. Zamaskuje se tím podoba, jakou by data měla po zpracování v prostředku prvním a před prostředkem druhým.

Řetězení se může začít již tehdy, když je na výstupu z prvního prostředku k dispozici ke zpracování ve druhém prostředku alespoň část dat.

Vynález umožňuje ochranu proti výše uvedeným útokům tím, že kombinuje různé šifrovací/dešifrovací prostředky v šifrovacím/dešifrovacím systému a používá řetězení nebo částečné prokládání ve způsobu, jakým tyto za sebou zapojené prostředky pracují.

V jednom provedení vynálezu šifrovací/dešifrovací systém zahrnuje kódovací subsystém, ve kterém jsou za sebou použity tři algoritmy:

a) asymetrický algoritmus Al s privátním klíčem dl.

Tento algoritmus kóduje otevřená data, která představuje zpráva m, a vytváří první kryptogram Cl. Matematicky lze algoritmus Al vyjádřit rovnicí Cl = m exponent dl, modulo nl. Ve vzorci je nl část veřejného klíče asymetrického algoritmu Al, modulo (mod) je odborníkům známý matematický operátor a dl je privátní klíč algoritmu Al.

b) symetrický algoritmus S s tajným klíčem k. Tento algoritmus převádí kryptogram Cl na kryptogram C2.

• toto toto · • to«· · to · • to to · to to to to · to · *··♦ ··* to* toto • to *« to to to · ***CH^5po

c) asymetrický algoritmus A2 s privátním klíčem d2 . Tento algoritmus převádí kryptogram C2 na kryptogram C3 pomocí rovnice, která odpovídá výše zmíněné: C3 = C2 exponent d2, mod n2, kde n2 je část veřejného klíče asymetrického algoritmu A2 a d2 je privátní klíč algoritmu

Kryptogram C3 opouští kódovací subsystém a vysílá se odborníkům známým způsobem k penférnímu subsystému. V případě režimu zaplač za pořad placené televize může jít jak o video data, tak zprávy.

V periférním subsystému se data dekódují obráceným postupem třemi algoritmy A2', S' a Al'. Tyto tři algoritmy tvoří části tří šifrovacích/dešifrovacích prostředků Al-Al',

S-S' a A2-A2', které jsou rozděleny mezi kódovací subsystém a decentralizovaný subsystém a dohromady představují šifrovací/dešifrovací systém.

d) algoritmus A2' provádí matematickou operaci na C3 a obnoví C2: C2 = C3 exponent e2 mod n2, Množina skládající se z e2 a n2 je veřejný klíč asymetrického algoritmu A2-A2'.

e) symetrický algoritmus S' s tajným klíčem k obnoví kryptogram Cl.

f) asymetrický algoritmus Al' s veřejným klíčem el, nl obnoví m pomocí operace m = Cl exponent el mod nl.

Řetězení v periférním systému spočívá v tom, že dekódovací krok e) se zahájí před tím, než se v kroku d) získá celé C2, a dekódovací krok f) se zahájí před tím, než se v kroku e) získá celé Cl. Takový postup znemožní, či alespoň znesnadní útok v periférním subsystému cílený na získání kryptogramu Cl na konci kroku e) . Kryptogram Cl by ·♦· *·<?ΗΪΟ5ρο bylo možné porovnat s otevřenými daty m a poté pomocí Cl a m určit algoritmus Al' a dále zpětně celý kódovací řetězec.

Řetězení není nezbytné v kódovacích subsystémech, které se nachází ve fyzicky zajištěných místech. Na druhé straně je velmi vvhodné v neri férnírh HiihsyBt-émpr-h v případě zaplať za pořad je přijímač-dekodér (IRD) součástí zařízení předplatitele a může být napaden výše popsaným způsobem.

Je zřejmé, že útok na kombinaci tří zřetězených dešifrovacích algoritmů Al', S' a A2' má mnohem menší šanci na úspěch, než by tomu bylo v případě, že se mezi kroky d) , e) a f) kryptogramy Cl a C2 zcela zrekonstruují. Navíc, protože algoritmy Al' a A2' využívají veřejných klíčů el, nl a e2, n2, jsou nároky na výpočtové zdroje potřebné v periferním subsystému ve srovnání s kódovacím subsystémem několikanásobně menší.

Pro lepší představu lze uvést, že kroky a) a c) , tj.

kroky zašifrování dat privátními klíči, jsou například asi dvacetkrát delší než dešifrovací kroky d) a f) s veřejnými klíči.

V alternativním odvozeném provedení vynálezu jsou algoritmy Al a A2 a jejích inverzní algoritmy Al' a A2' shodné.

V jiném alternativním odvozeném provedení vynálezu se v kroku c) použije veřejný klíč e2, n2 asymetrického algoritmu

A2 a v kroku d) se kryptogram C3 dešifruje privátním klíčem d2 tohoto algoritmu. Toto provedení se použije například v případě, kdy jsou zdroje výpočetního výkonu v periférním subsystému dostatečné.

• · * ·· · «·»» • «·· * « « * * * · · · · ·*·* ( _ · *·*··.«· ···· ··· .· .. ·<2Η·^5ρο

Ačkoliv se čipové karty používají zejména pro dešifrování dat, existují i karty, které mají kapacitu dostatečnou i pro šifrovací operace. V takovém případě je nutné počítat i s útoky na šifrovací karty, které pracují mimo chráněná místa, jakým je například správní centrum. Vynález lze ale v plném rozsahu využít i pro qprinvp šifrovací operace, tzn. že následný modul začne šifrovací operaci ještě předtím, než předchozí modul zpracování informace dokončí. Způsob podle vynálezu umožňuje prokládání mezi různými šifrovacími moduly a vždy zajišťuje, že výsledek činnosti předchozího (ve smyslu sériového zapojení) modulu není nikdy k dispozici v celku. Následný modul tedy zpracovává pouze části informace, takže usuzovat na způsob činnosti modulu ze známého vstupu nebo známého výstupu je značně obtížné.

Přehled obrázků

Vynález bude zřejmější z následného podrobného popisu příkladných provedení vynálezu s odkazy na doprovodné výkresy, na nichž:

Na obr. 1 jsou znázorněny šifrovací operace;

Na obr. 2 jsou znázorněny dešifrovací operace;

Na obr. 3 jsou znázorněny šifrovací operace alternativního provedení; a

Na obr. 4 jsou znázorněny dešifrovací operace alternativního provedení.

Příklady provedení vynálezu

Na obr. 1 vstupují do šifrovacího řetězce data m. První modul Al šifrovacího řetězce provádí šifrování pomocí tzv.

• © © © © © ♦ «·· · · · • · · · · • © © « © ·

'.£li:£5po privátního klíče, který se skládá z exponentu dl Výsledkem operace prováděné v modulu Al je Cl. práce způsobu podle vynálezu může následný modul zahájit činnost již cehdy, když je k dispozici již část Cl. Další 5 modul S pracuje s tajným klíčem k. Jakmile je na výstupu z modulu S k dispozici část výsledku C2, zahájí činnost modul A2, který provádí třetí šifrovací operaci pomocí privátního klíče, který se skládá z exponentu d2 a modula n2. Konečný výsledek C3 se známými způsoby vzdušnou cestou nebo pomocí 10 kabelu přenáší k přijímačům.

Na obr. 2 je znázorněn dešifrovací systém, který zahrnuje tři dešifrovací moduly Al', S a A2, které odpovídají šifrovacím modulům dle obr. 1, ale jsou zapojeny v obráceném pořadí. Data C3 vstupují do modulu A2', který je dešifruje pomocí veřejného klíče, který se skládá z exponentu e2 a modula n2. Stejně jako při zašifrování dat i při dešifrování modul S zahájí činnost již tehdy, když je k dispozici alespoň část dat C2. Dešifrování se dokončí v modulu Al' pomoci veřejného klíče, který se skládá z exponentu el a modula nl.

V jednom provedení vynálezu mohou být klíče modulů Al a A2 stejné, ij . má straně šifrování platí dl~d2 a nl=n2.

Obdobně, na straně dešifrování musí být el=e2 a nl=n2. V takovém případě se uvažuje s privátním klíčem d, n a s veřejným klíčem e, n.

V alternativním provedení vynálezu, které je znázorněno na obr. 3 a 4, se v modulu A2 použije veřejný klíč e2, n2 pro zašifrování a v modulu A2ý privátní klíč d2, n2 pro dešifrování. Ačkoliv takové uspořádání klade větší nároky na výpočetní výkon na straně dešifrování, použití privátního klíče zvyšuje úroveň zabezpečení zpracování dat v modulu A2'.

a modula nl. Podle režimu · < · · « · ♦·· · · ♦ « · « • · # · 9 · · · · · ίο .:.....· ·..··..· \£x-:čbpo

Příklad zobrazený na obr. 3 a 4 není jedinou alternativou nožných kombinací klíčů a způsobů šifrování v jednotlivých modulech. Je například možné, aby modul Al šifroval s veřejným klíčem a dešifroval s klíčem privátním.

V jiném provedení je možné modul S, který má tajný klíč, nahradit modulem s asymetrickým klíčem, který bude obdobný modulům Al a A2.

Claims (10)

1. PATENTOVÉ NÁROKY

   1. Způsob šifrování a dešifrování pomocí několika šifrovacích/dešifrovacích modulů zapojených do série,

   5 vyznačující se tím, že následný šifrovací/dešifrovací modul zahálí svou činnost iiž tehdy, kdvš ie k disnoz-ioi část výsledku z předchozího šífrovacího/desifrovaciho modulu.
2. 2. Způsob podle nároku 1, vyznačující se tím, že následný 10 dešifrovací modul zahájí svou dešifrovací činnost již tehdy, když je k dispozici část výsledku z předchozího dešifrovacího modulu.
3. 3. Způsob podle, nároku 1, vyznačující se tím, že následný 15 šifrovací modul zahájí svou šifrovací činnost již tehdy, když je k dispozici část výsledku z předchozího modulu.
4. 4. Způsob podle jednoho z nároků 1 až 3, vyznačující se tím, že využívá tři moduly (Al, S, A2) , kde centrální modul

   20 (S) je typu s tajným symetrickým klíčem (k).
5. 5. Způsob podle nároku 4, vyznačující se tím, že první modul (Al) a poslední modul (A2) na straně šifrování a první modul (A2) a poslední modul (Al) na straně dešifrování jsou

   25 typu RSA s asymetrickým klíčem, t j . s privátním klíčem a veřejným klíčem.
6. 6. Způsob podle nároku 5, vyznačující se tím, že dva moduly (Al, A2) použijí tak zvaný privátní klíč (d, n; dl, nl; d2,

   30 n2) pro šifrování a tak zvaný veřejný klíč (e, n; el, nl; e2, n2) pro dešifrování.
7. 7. Způsob podle nároku 6, vyznačující se tím, že dva moduly (Al, A2) použijí stejné množiny privátních klíčů (d, n) a

   35 veřejných klíčů (e, n).

   • 9 9 **· • 9 · • 9 «· 9·

   9 9 ’ 9 • β £H»É£po
8. 8. Způsob podle nároku 6, vyznačující se tím, že dva moduly (Al, A2) použijí různé množiny privátních klíčů (dl, nl; d2, n2) a veřejných klíčů (el, nl; e2, n2).
9. 9. Způsob podle nároku 5. vyznačující se tím. žp pří šifrováni použije poslední modul (A2) tak zvaný veřejný klíč (e2, n2) a při dešifrování první modul (Al) použije tak zvaný privátní klíč (d2, n2) .
10. 10. Způsob podle jednoho z nároků 1 až 3, vyznačující se tím, že využívá tři šifrovací/dešifrovací moduly (Al, S, A2) s asymetrickými klíči.