DE102004042756B3

DE102004042756B3 - Verfahren und Anordnung zur Erzeugung von Pseudozufallszahlen

Info

Publication number: DE102004042756B3
Application number: DE200410042756
Authority: DE
Inventors: Stefan Pyka
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2004-09-03
Filing date: 2004-09-03
Publication date: 2005-12-01
Anticipated expiration: 2024-09-04

Abstract

Die Erfindung betrifft ein Verfahren zur Erzeugung von Pseudozufallszahlen unter Verwendung eines ersten (SR1) und eines zweiten (SR2) Schieberegisters. Eine Ausgabe (a¶1¶) des ersten Schieberegisters (SR1) beeinflusst die Taktung des zweiten Schieberegisters (SR2). Das zweite Schieberegister (SR2) gibt die Pseudozufallszahlen aus. Erfindungsgemäß beeinflusst eine Ausgabe (a¶2¶) des zweiten Schieberegisters (SR2) eine Eingabe in das erste Schieberegister (SR1). Weiterhin betrifft die Erfindung eine Anordnung zum Durchführen des Verfahrens.

Description

Die Erfindung betrifft eine Verfahren und eine Anordnung zur Erzeugung von Pseudozufallszahlen unter Verwendung zweier Schieberegister.
Viele Anwendungen, wie z.B. Computersimulationen und die Kryptographie, verwenden Zufallszahlen. Unter Pseudozufallszahlen werden Zahlenfolgen mit nahezu zufälligem Charakter verstanden, die durch einen deterministischen Algorithmus berechnet werden. Für hinreichend kurze Sequenzen wirken Pseudozufallszahlen zufällig, da es schwer ist, anhand einiger Zahlen die nächsten Zahlen der Folge vorherzusagen. Die Güte eines Pseudozufallszahlengenerators wird anhand von statistischen Eigenschaften der erzeugten Zahlenfolgen bestimmt, wie z.B. anhand der Gleichwahrscheinlichkeit von einzelnen Zahlen oder anhand der Korrelation von Teilfolgen.
Zur Erzeugung von Pseudozufallszahlen können Schieberegister mit Rückkopplung eingesetzt werden. Unter einem Schieberegister versteht man eine logische Schaltung aus einer Anzahl an Speichern für jeweils eine Zahl bzw. ein Bit, die hintereinander geschaltet sind. Bei einer Taktung des Schieberegisters wird der Inhalt der Speicher um eine Stelle, d.h. einen Speicher, weitergeschoben. Durch das Verschieben der Inhalte bei der Taktung des Schieberegisters wird ein Speicherinhalt aus dem Schieberegister „hinausgeschoben", und ein Speicher weist nach dem Verschieben keinen Inhalt mehr auf. Dieser kann durch eine so genannte Rückkopplungsfunktion neu berechnet werden. Die Rückkopplungsfunktion kann an sich beliebig gewählt werden, sie kann beispielsweise eine lineare Funktion von anderen Speicherinhalte sein. In diesem Fall spricht man von einem Schieberegister mit linearer Rückkopplung. Als zu erzeugende Pseudozufallszahl können an sich beliebige Speicherinhalte zu beliebigen Zeitpunkten verwendet werden. Beispielsweise kann der pro Takt „hinausgeschobene" Speicherinhalt als Pseudozufallszahl verwendet werden. Es können jedoch auch verschiedenste Kombinationen bzw. Funktionen von anderen Speicherinhalten verwendet werden.

Bekannte Anordnungen zur Erzeugung von Pseudozufallszahlen sind:

• Schieberegister mit linearer Rückkopplung, mit oder ohne Carryregister. Ein Carryregister ist ein einfacher Mechanismus, um die Linearität von Anordnungen zu zerstören. Linearität ist in der Kryptographie eine unerwünschte Eigenschaft, da diese konträr zur geforderten Zufälligkeit steht. Schieberegister mit linearer Rückkopplung mit oder ohne Carryregister weisen allerdings den Nachteil auf, dass bereits kurze Sequenzen der Ausgabe Rückschlüsse auf den Inhalt der Register zulassen: A. Klapper, M. Goresky: „Cryptanalysis Based on 2-Adic Rational Approximation", 1998, Springer Verlag.
• Schieberegister mit nichtlinearer Rückkopplung. Diese haben den Nachteil, dass zur Zeit keine allgemeine mathematische Beschreibung für ihre Eigenschaften existiert: Menezes, von Oorschot, Vanstone: „Handbook of applied cryptography".
• Mehrere Schieberegister mit linearer Rückkopplung, deren Ausgaben zur Erzeugung der Pseudozufallszahlen kombiniert werden. Diese haben den Nachteil, dass die Gefahr von Korrelationen besteht: E. Barkan, E. Biham, N. Keller: „Instant Ciphertext-Only Cryptanalysis of GSM Encrypted Communication", CRYPTO 2003, LNCS 2729, S. 600–616, 2003.
• Schieberegister mit linearer Rückkopplung, auf welche nichtlineare Filter aufgesetzt werden. Diese bilden nichtlineare Funktionen von Speicherinhalten. Die Funktionswerte der nichtlinearen Filter können als Pseudozufallszahlen verwendet werden. Es muss große Sorgfalt auf das Design der nichtlinearen Filter gelegt werden. Von Nachteil sind die geringere Geschwindigkeit und der erhöhte Speicherbedarf: P. Hawkes, M. Paddon, G. G. Rose: „Primitive Specification for SOBER-128 (Version 2.0)".
• Zwei Schieberegister, wobei die Ausgabe eines der Schieberegister darüber entscheidet, ob die Ausgabe des anderen Schieberegisters als zu erzeugende Pseudozufallszahl verwendet wird. Ein Beispiel hierfür ist der Shrinking-Generator, welcher zwei Schieberegister mit linearer Rückkopplung verwendet: D. Coppersmith, H. Krawczyk, Y. Mansour: „The Shrinking Generator", 1998, Springer Verlag.
• Schieberegister mit Taktkontrolle, z.B. Verwendung eines Schieberegisters zur Taktung eines anderen Schieberegisters, welches zur Ausgabe der Pseudozufallszahlen verwendet wird: C.G. Günther: „Alternating Step Generators Controlled by De Bruijn Sequences", 1998, Springer Verlag.

Neben der Güte der erzeugten Pseudozufallszahlen ist für die Einstufung eines Pseudozufallszahlengenerators auch die Effizienz hinsichtlich Speicherbedarf und Geschwindigkeit maßgebend.

Das Dokument US 6,148,053 beschreibt die CDMA-Kodierung von Daten. Hierbei wird ein „cipher stream generator" eingesetzt, welcher aus zwei linearen Schieberegistern mit Rückkopplung besteht. Der Output des ersten Schieberegisters kontrolliert die Taktung des zweiten Schieberegisters. Mehrere derartige Paare von Schieberegistern können kaskadenartig aneinandergereiht werden.

Das Dokument US 4,264,781 stellt einen Encoder/Decoder vor, welcher zwei Zufallsbitgeneratoren aufweist. Im Encoder-Modus wird der Output des einen Zufallsbitgenerators in den Eingang des anderen Zufallsbitgenerators gegeben.

Der Erfindung liegt die Aufgabe zugrunde, ein effizientes Verfahren zur Erzeugung von Pseudozufallszahlen aufzuzeigen. Weiterhin soll eine zur Durchführung des Verfahrens geeignete Anordnung vorgestellt werden.

Diese Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 und durch eine Anordnung mit Merkmalen eines nebengeordneten Anspruchs gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind Gegenstand von Unteransprüchen.

Das erfindungsgemäße Verfahren zur Erzeugung von Pseudozufallszahlen verwendet ein erstes und ein zweites Schieberegister. Eine Ausgabe des ersten Schieberegisters beeinflusst die Taktung des zweiten Schieberegisters. Das zweite Schieberegister gibt die Pseudozufallszahlen aus. Erfindungsgemäß beeinflusst eine Ausgabe des zweiten Schieberegisters eine Eingabe in das erste Schieberegister.

Bei dem ersten Schieberegister handelt es sich um ein Taktungs-Schieberegister, da es die Taktung des zweiten Schieberegisters beeinflusst. Neben dem ersten Schieberegister können andere Einflussfaktoren auf die Taktung des zweiten Schieberegisters vorhanden sein, d.h. die Taktung des zweiten Schieberegisters kann, muss jedoch nicht, ausschließlich durch Ausgaben des ersten Schieberegisters gesteuert werden. Die Beeinflussung der Taktung des zweiten Schieberegisters erfolgt durch eine Ausgabe des ersten Schieberegisters, wobei als Ausgabe der Inhalt eines Speichers der ersten Schieberegisters oder eine Kombination bzw. eine Funktion von Inhalten mehrerer Speicher des ersten Schieberegisters verwendet werden kann.

Bei dem zweiten Schieberegister handelt es sich um das Ausgabe-Schieberegister, die zu erzeugenden Pseudozufallszahlen werden somit nicht dem ersten Schieberegister oder dem ersten und dem zweiten Schieberegister entnommen, sondern ausschließlich dem zweiten Schieberegister. Neben dem ersten und dem zweiten Schieberegister können weitere Schieberegister am erfindungsgemäßen Verfahren mitwirken.

Neben der Beeinflussung des zweiten Schieberegisters durch das erste Schieberegister, welche aufgrund der Beeinflussung der Taktung des zweiten Schieberegisters durch das erste besteht, existiert auch eine Beeinflussung des ersten Schieberegisters durch das zweite. Hierbei beeinflusst eine Ausgabe des zweiten Schieberegisters eine Eingabe in das erste Schieberegister, wobei als Ausgabe der Inhalt eines Speichers der zweiten Schieberegisters oder eine Kombination bzw. eine Funktion von Inhalten mehrerer Speicher des zweiten Schieberegisters verwendet werden kann.

In Bezug auf alle Ausgaben der Schieberegister gilt, dass diese aus einem oder mehreren Speichern des jeweiligen Schieberegisters erfolgen können.

Es handelt sich bei der von einer Ausgabe des zweiten Schieberegisters beeinflussten Eingabe in das erste Schieberegister um eine Rückkopplungseingabe, d.h. eine Eingabe, in welche eine Ausgabe des ersten Schieberegisters eingeht. Ein Beispiel hierfür ist die Verknüpfung eines Ausgabebits des ersten Schieberegisters und eines Ausgabebits des zweiten Schieberegisters zur Erzeugung eines Eingabebits des ersten Schieberegisters.

Besonders vorteilhaft ist es, wenn das Verfahren die folgenden Schritte umfasst:

• zuerst Takten des ersten Schieberegisters,
• dann abhängig von der Ausgabe des ersten Schieberegisters aufgrund der im ersten Schritt erfolgten Taktung Takten des zweiten Schieberegisters,
• dann, gegebenenfalls in dem Fall, dass im zweiten Schritt bereits eine Taktung des zweiten Schieberegisters erfolgt ist, erneut, Takten des zweiten Schieberegisters,
• dann abhängig von der Ausgabe des zweiten Schieberegisters aufgrund der im dritten Schritt erfolgten Taktung Beeinflussung einer Rückkopplungseingabe in das erste Schieberegister durch diese Ausgabe des dritten Schrittes, und
• Verwendung bzw. Ausgabe der Ausgabe des dritten Schrittes des zweiten Schieberegisters als zu erzeugende Pseudozufallszahl.

In Ausgestaltung der Erfindung ist das Rückkopplungspolynom des zweiten Schieberegisters primitiv. Einer weiteren Ausgestaltung der Erfindung gemäß ist das Rückkopplungspolynom des ersten Schieberegisters nichtsingulär.

Die erfindungsgemäße Anordnung zur Erzeugung von Pseudozufallszahlen umfasst ein erstes Schieberegister und ein zweites Schieberegister, welches die Pseudozufallszahlen ausgibt. Es besteht eine erste Kopplung zwischen dem ersten und dem zweiten Schieberegister derart, dass eine Ausgabe des ersten Schieberegisters die Taktung des zweiten Schieberegisters beeinflusst. Erfindungsgemäß besteht eine zweite Kopplung zwischen dem ersten und dem zweiten Schieberegister derart, dass eine Ausgabe des zweiten Schieberegisters eine Eingabe in das erste Schieberegister beeinflusst, wobei es sich bei der von einer Ausgabe des zweiten Schieberegisters beeinflussten Eingabe in das erste Schieberegister um eine Rückkopplungseingabe handelt. Die erfindungsgemäße Anordnung eignet sich insbesondere zur Durchführung des erfindungsgemäßen Verfahrens, wobei dies auch auf die Ausgestaltungen und Weiterbildungen zutrifft. Hierzu kann sie weitere geeignete Mittel aufweisen.

Im folgenden wird die Erfindung anhand eines Ausführungsbeispiels näher erläutert. Dabei zeigt:
1: eine erfindungsgemäße Anordnung zur Erzeugung von Pseudozufallszahlen.
1 zeigt eine Anordnung von zwei Schieberegistern, einem ersten Schieberegister SR1 und einem zweiten Schieberegistern SR2, wobei es sich jeweils um Schieberegister mit linearer Rückkopplung handelt. Weiterhin gilt, dass das Rückkopplungspolynom des ersten Schieberegisters SR1 nichtsingulär und das Rückkopplungspolynom des zweiten Schieberegisters SR2 primitiv ist. Die Ausgabebits des ersten Schieberegisters SR1 werden mit a₁, die des zweiten Schieberegisters SR2 mit a₂ bezeichnet. Die Rückkopplungsbits des ersten Schieberegisters SR1 werden mit b₁, die des zweiten Schieberegisters SR2 mit b₂ bezeichnet. Die Anordnung dient der Erzeugung von Pseudozufallszahlen. Ein vorteilhafter Algorithmus zur Ausgabe eines Bits einer Pseudozufallszahlenreihe besteht aus den folgenden Schritten:

1. Zuerst wird das erste Schieberegister SR1 getaktet.
2. Abhängig von dem Ausgabebit a₁ des ersten Schieberegisters SR1 wird das zweite Schieberegister SR2 getaktet: handelt es sich bei dem Ausgabebit a₁ des ersten Schieberegisters SR1 um eine Eins, so wird das zweite Schieberegister SR2 getaktet, handelt es sich um eine Null, so wird es nicht getaktet. Das entstehende Ausgabebit für den Fall, dass eine Taktung erfolgt, wird verworfen, d.h. nicht als Pseudozufallszahl verwendet.
3. Das zweite Schieberegister SR2 wird getaktet. Wurde das zweite Schieberegister SR2 bereits in Schritt 2 getaktet, so ist dies die zweite Taktung des Schieberegisters SR2 im Rahmen der beschriebenen Schritte 1 bis 5. Das Ausgabebit a₂ wird ausgegeben.
4. Abhängig von dem Ausgabebit a₂ des zweiten Schieberegisters SR2 wird das in das erste Schieberegister SR1 einzugebende Bit bestimmt: handelt es sich bei dem Ausgabebit a₂ des zweiten Schieberegisters SR2 um eine Null, so wird das Rückkopplungsbit b₁ des ersten Schieberegisters SR1 in das erste Schieberegister SR1 eingegeben; handelt es sich bei dem Ausgabebit a₂ des zweiten Schieberegisters SR2 um eine Eins, so wird aus den beiden Rückkopplungsbits b₁ und b₂ ein Rückkopplungsbit für das erste Schieberegister SR1 bestimmt, indem eine XOR-Operation durchgeführt wird: stimmen die beiden Rückkopplungsbits b₁ und b₂ überein, so wird eine Null in das erste Schieberegister SR1 eingegeben, stimmen sie nicht überein, wird eine Eins eingegeben.
5. Als Ausgabebit für die Pseudozufallszahlen wird das Ausgabebit a₂ des zweiten Schieberegisters SR2 aus dem dritten Schritt verwendet.

Gemäß der Erfindung besteht somit eine zweifache gegenseitige Beeinflussung der beiden Schieberegister SR1 und SR2: einerseits beeinflusst das erste Schieberegister SR1 als Taktungsschieberegister die Taktung des zweiten Schieberegisters SR2; andererseits beeinflusst das zweite Schieberegister SR2 die in das erste Schieberegister SR1 rückgekoppelten Bits.
Das beschriebene Verfahren mit der zweifachen gegenseitigen Beeinflussung der beiden Schieberegister SR1 und SR2 bietet eine Reihe von Vorteilen: eine Umsetzung in Hardware ist unkompliziert; ein Brechen des Mechanismus ist nur durch vollständige Suche, d.h. Durchprobieren aller Möglichkeiten, möglich: fasst man das beschriebene Verfahren zur Erzeugung von Pseudozufallszahlen als Stromchiffre mit der Schlüssellänge k auf, so ist, wenn beide Schieberegister SR1 und SR2 die Länge k aufweisen, keine Möglichkeit bekannt, mit Kenntnis der Ausgabefolge den Schlüssel schneller als mit vollständiger Suche mit Aufwand 2^k zu berechnen; da die Taktung und die Ausgabe aneinander gekoppelt und somit voneinander abhängig sind, ist die Anzahl der zum Brechen des Mechanismus angreifbaren Komponenten und somit die Gefahr von „divide-and-conquer Attacken" reduziert; Eigenschaften des Mechanismus, wie z.B. die Zyklenlänge, hängen von der Startbelegung der Schieberegister ab und sind somit schlecht vorhersagbar; die Ausgaberate, d.h. die Anzahl der Ausgabebits der Pseudozufallszahlen pro Zeiteinheit, ist relativ konstant, da jeweils höchstens ein Bit des zweiten Schieberegisters SR2 am Stück übersprungen wird, im Gegensatz hierzu ist beispielsweise die Ausgaberate des Shrinking-Generators sehr unregelmäßig; die erzeugten Pseudozufallszahlen weisen sehr gute statistische Eigenschaften in Hinblick auf ihre Zufälligkeit auf.
Bei dem beschriebenen Algorithmus handelt es sich um ein Beispiel. Im Rahmen des erfindungsgemäßen Verfahrens können die oben beschriebenen Schritte modifiziert werden, so z.B. die Art der Kombination der Rückkopplungsbits b₁ und b₂, die Art der Beeinflussung der Taktung des zweiten Schieberegisters SR2 durch das erste Schieberegister SR1, die Art der Berechnung der Rückkopplungsbits b₁ und b₂, die Anzahl der bei einer Taktung ausgegebenen Ausgabebits a₁ und a₂.

Claims

Verfahren zur Erzeugung von Pseudozufallszahlen unter Verwendung eines ersten (SR1) und eines zweiten (SR2) Schieberegisters, bei dem eine Ausgabe (a₁) des ersten Schieberegisters (SR1) die Taktung des zweiten Schieberegisters (SR2) beeinflusst, und das zweite Schieberegister (SR2) die Pseudozufallszahlen ausgibt, dadurch gekennzeichnet, dass eine Ausgabe (a₂) des zweiten Schieberegisters (SR2) eine Eingabe in das erste Schieberegister (SR1) beeinflusst, und dass es sich bei der von einer Ausgabe (a₂) des zweiten Schieberegisters (SR2) beeinflussten Eingabe in das erste Schieberegister (SR1) um eine Rückkopplungseingabe handelt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass es folgende Schritte umfasst • zuerst Takten des ersten Schieberegisters, • dann abhängig von der Ausgabe (a₁) des ersten Schieberegisters aufgrund der im ersten Schritt erfolgten Taktung Takten des zweiten Schieberegisters (SR2), • dann, gegebenenfalls erneut, Takten des zweiten Schieberegisters (SR2), • dann abhängig von der Ausgabe (a₂) des zweiten Schieberegisters (SR2) aufgrund der im vorangegangenen Schritt erfolgten Taktung Beeinflussung einer Rückkopplungseingabe in das erste Schieberegister (SR1) durch diese Ausgabe (a₂), und • Verwendung dieser Ausgabe (a₂) des zweiten Schieberegisters (SR2) als zu erzeugende Pseudozufallszahl.
Verfahren nach einem der Ansprüche 1 bis 2, dadurch gekennzeichnet, dass das Rückkopplungspolynom des zweiten Schieberegisters (SR2) primitiv ist.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das Rückkopplungspolynom des ersten Schieberegisters (SR1) nichtsingulär ist.
Anordnung, insbesondere zur Durchführung eines Verfahrens nach einem der voranstehenden Ansprüche, zur Erzeugung von Pseudozufallszahlen umfassend ein erstes Schieberegister (SR1), sowie ein zweites Schieberegister (SR2) zur Ausgabe der Pseudozufallszahlen, bei der eine erste Kopplung zwischen dem ersten (SR1) und dem zweiten (SR2) Schieberegister derart besteht, dass eine Ausgabe (a₁) des ersten Schieberegisters (SR1) die Taktung des zweiten Schieberegisters (SR2) beeinflusst, dadurch gekennzeichnet, dass eine zweite Kopplung zwischen dem ersten (SR1) und dem zweiten (SR2) Schieberegister derart besteht, dass eine Ausgabe (a₂) des zweiten Schieberegisters (SR2) eine Eingabe in das erste Schieberegister (SR1) beeinflusst, wobei es sich bei der von einer Ausgabe (a₂) des zweiten Schieberegisters (SR2) beeinflussten Eingabe in das erste Schieberegister (SR1) um eine Rückkopplungseingabe handelt.