DE10027386A1

DE10027386A1 - Bitgenerator und Verfahren zur Bildung eines geheimen Verschlüsselungsschlüssel

Info

Publication number: DE10027386A1
Application number: DE10027386A
Authority: DE
Inventors: Michel Feldmann
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 1999-06-04
Filing date: 2000-06-02
Publication date: 2000-12-14
Also published as: GB0013168D0; FR2794592B1; GB2352372B; FR2794592A1; US6792109B1; GB2352372A

Abstract

Ein Bitgenerator zur Bildung eines geheimen Verschlüsselungsschlüssels und ein entsprechendes Verfahren. DOLLAR A Der Generator enthält einen Speicher mit wenigstens einer Speicherzelle mit wenigstens zwei Bits und ein Rechenmittel, das mit dem Speicher verbunden ist. Die Eingabe eines Bits in den Eingang ergibt ein Ausgangsbit. Dieser Generator simuliert ein Quantenobjekt. DOLLAR A Anwendung auf die Quantenkryptologie.

Description

Die Erfindung betrifft einen Bitgenerator und ein Verfah ren zur Bildung eines geheimen Verschlüsselungsschlüs sels, der etwa für die Übertragung geheimer Informationen verwendet wird, und insbesondere einen derartigen Bitge nerator und ein derartiges Verfahren, die die Quanten kryptologie ersetzen können.

Die Mathematiker haben zu allen Zeiten nach geschützten Kommunikationstechniken gesucht, die die Übertragung von geheimen Informationen ermöglichen. Das Prinzip, das die Besonderheiten der Quantenmechanik nutzt, um zufällige Codierungsschlüssel zu erzeugen, ist in den siebziger Jahren von Stephen Wiesner [1] vorgeschlagen worden. Charles E. Bennett u. a. haben zur Etablierung der Durch führbarkeit des Konzepts beigetragen [2].

Die Quantenkryptologie basiert auf der Tatsache, daß die Messung in der Quantenmechanik ein zufälliges und irre versibles Phänomen ist, das das gemessene Objekt defini tiv stört. Somit führt das Abfangen der Nachricht durch einen Dritten unvermeidlich zur Modifikation des Quanten zustands des Objekts, was ermöglicht, entweder ein ille gales Abhören festzustellen oder umgekehrt sicherzustel len, daß die Nachricht nicht abgefangen worden ist.

Es können daher Schlüssel übertragen werden, die für die spätere Codierung von Nachrichten geeignet sind, wobei sicher ist, daß der Schlüssel einzigartig ist und geheim bleibt.

Das Prinzip der Übertragung des Entschlüsselungsschlüs sels ist dann das folgende.

Eine Bedienungsperson A (in der Sprache der Kryptologie- Spezialisten gewöhnlich Alice genannt) schickt eine Reihe von Teilchen mit einem bestimmten Spin oder Photonen mit einer bestimmten Polarisation an einen Empfänger B (der gewöhnlich Bob genannt wird). Alice sieht zwei orthogo nale Bezugssysteme für die Messung des Spins vor, die a und b genannt werden. Wenn der Spin eines Teilchens im Bezugssystem a gemessen wird, ist er +1 oder -1 (in einem System mit geeigneten Einheiten). Wenn der Spin desselben Teilchens im selben Bezugssystem, im vorliegenden Fall a, gemessen wird, ergibt sich zwangsläufig derselbe Wert. Wenn jedoch der Spin im anderen Bezugssystem b gemessen wird, wird unabhängig vom Wert, der sich bei der ersten Messung ergibt, ein zufälliger Wert +1 oder -1 ermittelt.

In einer Reihe aufeinanderfolgender Operationen wählt Alice in zufälliger Weise eine Folge von Bezugssystemen a oder b. In jedem Bezugssystem mißt sie den Spin eines neuen Teilchens, das sie an Bob schickt. Sie notiert sich ihre jeweilige Wahl sowie das Ergebnis ihrer Messungen. Bob wählt seinerseits in zufälliger Weise eine Folge von Bezugssystemen a oder b, mit denen er nacheinander die Spins der Teilchen, die ihm Alice geschickt hat, mißt. Auch er notiert sich seine jeweilige Wahl und ihre Ergeb nisse. Wenn Bob (zufällig) dasselbe Bezugssystem wie Alice gewählt hat, was im Mittel in der Hälfte der Fälle geschieht, ergibt sich dasselbe Resultat wie bei Alice. Wenn er hingegen das andere Bezugssystem gewählt hat, erhält er für den von Alice gemessenen Spin ein zufälli ges Ergebnis. Wenn sich daher zu einer zweiten Zeit Alice und Bob ihre jeweilige Wahl der Bezugssysteme a oder b für jedes Teilchen gegenseitig mitteilen, leiten sie daraus ab, welche Wahl jeweils übereinstimmte und somit die Folgen der gemessenen Spins +1 oder -1, die sie beide gemeinsam haben. Diese Folge gemeinsamer Spins bildet den geheimen Schlüssel, den sie gemeinsam nutzen können.

Nach Maßgabe der Sicherheit können sie einen Teil dieses Schlüssels mitteilen: Wenn dieser Teil gleich ist, bedeu tet dies, daß die Nachricht nicht abgefangen worden ist. Andernfalls müssen sie die Operation neu beginnen, bis sie einen geheimen und geprüften gemeinsamen Schlüssel erhalten.

Diese Technik zur Bildung eines Verschlüsselungsschlüs sels ist sehr schwer auszuführen, weil sie Laser erfor dert, die ihre Photonen einzeln und mit einer besonderen Polarisation aussenden.

Der Erfindung liegt daher die Aufgabe zugrunde, einen Bitgenerator und ein Verfahren zur Bildung eines geheimen Verschlüsselungsschlüssels zu schaffen, mit denen der obengenannte Nachteil beseitigt werden kann.

Diese Aufgabe wird gelöst durch einen Bitgenerator und ein Verfahren zur Bildung eines geheimen Verschlüsse lungsschlüssels nach Anspruch 1 bzw. nach Anspruch 7. Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen angegeben.

Hierzu schlägt die Erfindung eine Vorrichtung vor, die Bitgenerator genannt wird und in einer bestimmten Weise die Quantenmittel des Standes der Technik simuliert, der jedoch viel einfacher zu betreibende Mittel verwendet, etwa binäre Datenspeicher und Rechenschaltungen. Diese Vorrichtung arbeitet dann nicht mehr mit Spins oder Quantenzuständen, sondern mit Bits und Speicherinhalten, was viel bequemer ist.

Erfindungsgemäß werden eine oder mehrere Speicherzellen verwendet, beispielsweise mit zwei Bits, wovon ein erstes sogenanntes Bezugssystembit den mit a oder b bezeichneten Wert hat (im Fall einer Umgebung mit zwei Bezugssystemen) und wovon das zweite sogenannte Meßbit einen der Werte +1 oder -1 hat. Eine solche Zelle kann in dem einen oder den anderen von vier logischen Zuständen sein: (a, +1) oder (a, -1) oder (b, +1) oder (b, -1). Der Anfangszustand wird in der Schaltung, die den Gegenstand der Erfindung bildet, zufällig erzeugt. Um den Zustand einer Zelle zu messen, wird ein Bezugssystembit, d. h. a oder b, einge geben, wobei ein logischer Übergang des Anfangszustandes in einen Endzustand hervorgerufen wird, wobei der Über gang mit zufälligem Charakter eine vom Anfangszustand und vom Endzustand sowie vom eingegebenen Bezugssystembit abhängende bestimmte Wahrscheinlichkeit hat. Der Endzu stand gibt das Ergebnis der Messung im eingegebenen Bezugssystem wieder.

Ein solcher Generator besitzt daher alle Attribute von Quantenobjekten und kann somit der Bildung geheimer Verschlüsselungsschlüssel dienen.

Selbstverständlich ist die Erfindung weder auf eine einzige Zelle noch auf zwei Bits pro Zelle eingeschränkt, sondern kann alle Fälle mit n Zellen mit k Bits abdecken, wobei n und k beliebige ganze Zahlen sind.

Weitere Merkmale und Vorteile der Erfindung werden deut lich beim Lesen der folgenden Beschreibung einer bevor zugten Ausführungsform, die auf die Zeichnung Bezug nimmt; es zeigen:

Fig. 1 einen Blockschaltplan eines vereinfachten Bitge nerators der Erfindung mit einer einzigen Zelle mit zwei Bits; und

Fig. 2 einen Blockschaltplan einer Variante mit sechs Eingängen und sechs Ausgängen.

In der folgenden Beschreibung wird zur Vereinfachung angenommen, daß jede Speicherzelle nur zwei Bits enthält. Selbstverständlich ist die Erfindung jedoch nicht auf diesen besonderen Fall eingeschränkt.

In Fig. 1 ist ein Generator G mit einem Eingang E und einem Ausgang S gezeigt, der einen Speicher 10 mit einer einzigen Speicherzelle enthält. Diese Zelle enthält zwei Zonen, wovon eine, B_r, dazu vorgesehen ist, ein mit a oder b bezeichnetes Bezugssystembit zu speichern (in der Praxis handelt es sich um +1 oder -1 oder aber um 1 oder 0), und wovon das andere, B_m, dazu bestimmt ist, ein Meßbit zu speichern. Der Speicher 10 besitzt einen Lese ausgang 12 und einen Schreibeingang 14. Er besitzt außer dem einen Ausgang s, der mit dem allgemeinen Ausgang S des Generators verbunden ist. Der gezeigte Generator enthält außerdem ein Rechenmittel 16, das mit dem Lese ausgang 12 und mit dem Schreibeingang 14 des Speichers verbunden ist. Er besitzt einen Steuereingang e, der mit dem allgemeinen Eingang E des Generators verbunden ist.

Dieser Generator arbeitet in der folgenden Weise. Zu nächst befindet er sich in einem internen Zustand 0, der durch die beiden im Speicher gespeicherten Bits definiert ist (z. B. a und +1). Wenn in den Eingang E ein Bit zum Messen dieses Zustands eingegeben wird, hängt das Meßer gebnis vom Wert des Eingangsbits, das als Bezugssystembit angesehen wird, ab. Wenn dieses Bit gleich dem Bezugssy stembit mit internem Zustand 0 ist (bei der gewählten Hypothese handelt es sich dann um a), bewirkt das Rechen mittel 16 einen Übergang, der eine Entsprechung zwischen dem Anfangszustand und einem identischen Endzustand herstellt (im vorliegenden Fall (a, +1)). Das am Ausgang S des Generators erscheinende Bit ist dann das Meßbit des Endzustands, also dasjenige des Anfangszustands. Somit ist der Anfangszustand gemessen worden, ohne ihn zu stören. Mit anderen Worten, die Übergangswahrscheinlich keit zwischen dem Anfangszustand (a, +1) und dem Endzu stand (a, +1) ist gleich 1 (folglich ist die Übergangs wahrscheinlichkeit zwischen dem Zustand (a, +1) und dem Zustand (a, -1) null).

Wenn in den Eingang E ein Bezugssystembit eingegeben wird, das vom Bezugssystembit des Zustandes der Zelle verschieden ist (im vorliegenden Fall b), unterscheidet sich das Meß-Bezugssystem vom Bezugssystem, das der Bildung des Anfangszustandes gedient hat. Das Meßergebnis ist dann zufällig und hängt von den Übergangswahrschein lichkeiten zwischen dem Anfangszustand (a, +1) einerseits und dem einen oder dem anderen der Endzustände (b, +1) und (b, -1) andererseits ab. Wenn keiner der möglichen Werte bevorzugt wird, betragen diese Wahrscheinlichkeiten jeweils 1/2. Das erhaltene Meßbit kann dann ebensogut +1 oder -1 sein.

Dieses Beispiel kann durch die folgende Tabelle 1 zusam mengefaßt werden, in der die obere Zeile die vier mögli chen Anfangszustände enthält, die linke Spalte die vier möglichen Endzustände enthält und die zugeordneten Käst chen die Übergangswahrscheinlichkeiten enthalten.

Tabelle 1

Selbstverständlich wird der Umfang der Erfindung nicht verlassen, wenn auf die gleiche Wahrscheinlichkeit der Übergänge, die den verschiedenen Bezugssystembits ent sprechen, verzichtet wird.

In der Praxis enthält ein Verschlüsselungsschlüssel mehrere Bits und muß der Speicher mehrere Zellen, die unabhängig voneinander arbeiten, enthalten.

Fig. 2 veranschaulicht somit den Fall eines Generators, der einen Speicher mit sechs Speicherzellen enthält, die mit 10₁, 10₂, . . ., 10₆ bezeichnet sind. Das Rechenmittel 16 enthält sechs Elementarrechenmittel 16 ₁, 16 ₂, . . ., 16 ₆. Der Generator enthält sechs Eingänge E₁, E₂, . . ., E₆ und sechs Ausgänge S₁, S₂, . . ., S₆, an denen jeweils Gruppen von sechs Bits anliegen.

In Fig. 2 sind die Eingänge und die Ausgänge parallel angeordnet, der Umfang der Erfindung wird jedoch nicht verlassen, wenn ein einziger Eingang und ein einziger Ausgang verwendet wird und die Bits seriell eingegeben und extrahiert, jedoch in der Schaltung geeignet verteilt werden.

Jeder der sechs Wege arbeitet wie der Generator nach Fig. 1, wobei diese sechs Wege voneinander unabhängig sind.

Die folgende Tabelle 2 veranschaulicht die Funktionsweise dieses Generators und zeigt gleichzeitig, wie zwei Anwen der, Alice und Bob, einen gemeinsamen geheimen Verschlüs selungsschlüssel bilden können.

Tabelle 2

In dieser Tabelle ist der interne Ausgangszustand durch die erste Zeile gegeben. Alice gibt in den Generator sechs Bezugssystembits ein (Zeile 2). Der interne Zustand geht dann entsprechend den bereits erläuterten Regeln für die Übergangswahrscheinlichkeit in den Zustand 1 über. Der interne Zustand 1 ist in der Zeile 3 angegeben. Alice empfängt als Ergebnis ihrer Messung die sechs Bits der Zeile 4. Der neue interne Zustand ist mit der Wahl und der Messung von Alice kohärent. Wenn Bob von Alice den Generator in seinem internen Zustand 1 (der dann die Rolle des Anfangszustandes spielt) empfangen hat, gibt er in den Generator sechs Bezugssystembits ein (Zeile 5). Es gibt keinen Grund, daß diese Bits die gleichen wie jene von Alice sind, statt dessen sind sie statistisch in einem von zwei Fällen, d. h. im vorliegenden Fall drei mal, gleich (dies sind die Bits, die in die Zellen 10 ₂, 10 ₃, 10 ₅ eingegeben werden). Der interne Zustand erfährt einen Übergang und gelangt zum internen Zustand 2 der Zeile 6. Das Ergebnis der von Bob ausgeführten Messung ist in Zeile 7 gezeigt. Bob läßt den Generator im inter nen Zustand 2.

Alice und Bob tauschen anschließend öffentlich über irgendein Mittel die verwendeten Bezugssystembits (Zeilen 2 und 5) aus. Sie stellen fest, daß für die Zellen 10 ₂, 10 ₃ und 10 ₅ die Bits gleich waren. Sie allein kennen das erhaltene Ergebnis der Messung für diese gemeinsamen Bits, nämlich -1, 1 und -1. Sie können diese Bits fest halten, um den gemeinsamen geheimen Schlüssel zu bilden.

Wenn ein Dritter, etwa ein Betrüger, die Karte abgefangen hat, kann er seine eigenen Bezugssystembits eingeben und ein Ergebnis erhalten, in einem von zwei Fällen wird jedoch das Bezugssystembit nicht dem Bezugssystembit des Anfangszustandes entsprechen, so daß diese betrügerische Messung den Zustand des Generators stören wird. Alice und Bob nehmen dies wahr, indem sie irgendwelche gemeinsamen Bits vergleichen. Selbstverständlich sind diese Prüfbits anschließend für den geheimen Schlüssel nicht mehr ver wendbar. Im vorhergehenden Beispiel können Alice und Bob das erste Bit (1) vergleichen und für den gemeinsamen Schlüssel die beiden anderen Bits (+1 und -1) festhalten.

Der eben beschriebene Generator kann vorteilhaft in einem tragbaren Gegenstand, der eine bequeme Verwendung ermög licht, beispielsweise in einer Chipkarte, angeordnet sein. In diesem Fall kann sein Transport von Alice zu Bob durch einen gewöhnlichen oder eingeschriebenen Brief erfolgen. Es ist wichtig anzumerken, daß die Chipkarte ein unverletzbares versiegeltes Objekt bildet, dessen Inhalt ohne die Zerstörung der Karte selbst nicht in betrügerischer Weise gelesen werden kann.

Selbstverständlich kann jedoch der Generator der Erfin dung auch in komplexeren Übertragungsschaltungen inte griert werden.

Literaturangaben

[1] Wiesner, S., Conjugate Coding, Sigact News, Bd. 15, Nr. 1, 1983, S. 78-88; ursprüngliches Manuskript 1970.
[2] Bennett, C.H., Bessette, F., Brassard, G., Salvail, L. und Smolin, J., Experimental Quantum Cryptography, Journal of Cryptology, Band S. Nr. 1, 1992, S. 3-28 (1992).

Claims

1. Bitgenerator zur Bildung eines geheimen Verschlüsselungsschlüssels, der eine elektronische Schal tung umfaßt, dadurch gekennzeichnet, daß die elektronische Schaltung umfaßt:

- einen Eingang (E), der ein Eingangssignal empfangen kann, das durch eine Gruppe aus n Bits gebildet ist, die Bezugssystembits genannt werden, wobei n eine ganze Zahl wenigstens gleich 1 ist,
- einen Ausgang (S), der ein Ausgangssignal liefern kann, das aus n Bits gebildet ist, die Meßbits ge nannt werden,
- einen Speicher (10) mit n Speicherzellen, die jeweils k Bits speichern, wobei k eine ganze Zahl wenigstens gleich 2 ist, und wenigstens ein Bezugssystembit (B_r) sowie wenigstens ein Meßbit (B_m) umfassen, wobei jede Zelle somit in einem durch ihre k Bits definierten logischen Zustand ist, der von außerhalb der elektro nischen Schaltung nicht lesbar ist, wobei dieser Speicher einen Ausgang (s) besitzt, der mit dem Aus gang (S) des Generators verbunden ist und die Meßbits (B_m) der n Zellen liefert,
- ein Rechenmittel (16), das mit dem Speicher (10) verbunden ist und einen Steuereingang (e) besitzt, der mit dem Eingang (E) des Generators verbunden ist und von diesem die Bezugssystembits (B_r) empfängt, wobei dieses Rechenmittel (16) für jede Zelle einen zufälligen Übergang von dem Zustand der Zelle, der Anfangszustand genannt wird und beim Empfang des der Zelle entsprechenden Bezugssystembits gelesen wird, zu einem anderen Zustand, der Endzustand genannt wird, bewirken kann, wobei die Wahrscheinlichkeit dieses Übergangs vom Anfangszustand, vom empfangenen Bezugssystembit und von vorgegebenen Wahrscheinlich keitsgesetzen, mit denen das Rechenmittel (16) verse hen ist, abhängt.

2. Generator nach Anspruch 1, dadurch gekennzeich net, daß die Übergangswahrscheinlichkeit zwischen einem Anfangszustand und einem mit dem Anfangszustand überein stimmenden Endzustand gleich 1 ist, wenn das Bezugssy stembit des Eingangssignals mit dem Bezugssystembit des Anfangszustands übereinstimmt.

3. Generator nach Anspruch 1, dadurch gekennzeich net, daß die Übergangswahrscheinlichkeit zwischen einem Anfangszustand, der ein bestimmtes Bezugssystembit be sitzt, und einem Endzustand, der ein von jenem des An fangszustands verschiedenes Bezugssystembit besitzt, gleich 1/2 ist.

4. Generator nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die elektronische Schaltung in einem tragbaren Gegenstand angeordnet ist.

5. Generator nach Anspruch 4, dadurch gekennzeich net, daß der tragbare Gegenstand das Format einer Chip karte hat.

6. Generator nach Anspruch 1, dadurch gekennzeich net, daß der Eingang (E) und der Ausgang (S) Gruppen von Bits parallel empfangen bzw. ausgeben können.

7. Verfahren zur Bildung eines geheimen Verschlüsse lungsschlüssels, der einem ersten Anwender und einem zweiten Anwender gemeinsam ist, wobei dieses Verfahren den Generator nach Anspruch 1 verwendet, dadurch gekennzeichnet, daß

- der erste Anwender in den Eingang des Generators eine erste Gruppe zufälliger Eingangsbits eingibt und am Ausgang des Generators eine erste Gruppe von Aus gangsbits empfängt und anschließend den Generator dem zweiten Anwender zukommen läßt,
- der zweite Anwender in den Eingang dieses Generators eine zweite Gruppe zufälliger Eingangsbits eingibt und am Ausgang des Generators eine zweite Gruppe von Ausgangsbits empfängt,
- der erste Anwender öffentlich zum zweiten Mal die erste Gruppe von Eingangsbits, die er verwendet hat, schickt und der zweite Anwender öffentlich zum ersten Mal die zweite Gruppe von Eingangsbits, die er ver wendet hat, schickt,
- der erste und der zweite Anwender die Eingangsbits, die der ersten und der zweiten Gruppe von Eingangs bits gemeinsam sind, ermitteln und in der ersten und in der zweiten Gruppe von Ausgangsbits die den ge meinsamen Eingangsbits entsprechenden Bits bestimmen,
- der erste und der zweite Anwender als gemeinsamen geheimen Verschlüsselungsschlüssel wenigstens einen Teil der Ausgangsbits, die den gemeinsamen Eingangs bit entsprechen, verwenden.

8. Verfahren nach Anspruch 7, dadurch gekennzeich net, daß der erste und der zweite Anwender an einem Teil der Ausgangsbits, die den gemeinsamen Eingangsbits ent sprechen, verifizieren, daß zwischen den Bits der ersten und der zweiten Gruppe eine Übereinstimmung vorhanden ist, und den Rest der Bits verwenden, um ihren gemeinsa men geheimen Schlüssel zu bilden.