DE102004042826A1

DE102004042826A1 - Verfahren und Vorrichtung zur Datenverschlüsselung

Info

Publication number: DE102004042826A1
Application number: DE102004042826A
Authority: DE
Inventors: Sung-Woo Lee
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2003-08-29
Filing date: 2004-08-27
Publication date: 2005-03-31
Anticipated expiration: 2024-08-28
Also published as: FR2860364A1; US20050050340A1; CN1592190A; KR100546375B1; US7779272B2; CN1592190B; DE102004042826B4; FR2860364B1; KR20050022623A

Abstract

Die Erfindung bezieht sich auf eine Vorrichtung und ein Verfahren zur Datenverschlüsselung, insbesondere auf eine Kryptographie-Hardwaremaschine, eine Chiffriertextmaschine hierfür und einen Chiffriertextmaschinen-Rundenblock sowie auf zugehörige Betriebsverfahren. DOLLAR A Erfindungsgemäß empfängt eine erste Chiffriertextmaschine (310) von einer zweiten Chiffriertextmaschine (320) erzeugten, zwischenzeitlichen Chiffriertext und erzeugt unter Verwendung desselben einen eigenen zwischenzeitlichen Chiffriertext. DOLLAR A Verwendung z. B. zur Datenverschlüsselung in Datenkommunikationsanwendungen.

Description

Die Erfindung bezieht sich auf ein Verfahren und eine Vorrichtung zur Datenverschlüsselung.

Moderne Informationsübertragungen zum Beispiel unter Verwendung von Smartcards bzw. (IC-)Karten mit integriertem Schaltkreis, Internet-Kommunikation, drahtloser LAN-Kommunikation und dergleichen beinhalten häufig zu schützende Information, die gesichert übertragen werden sollte. Zu diesem Zweck wird die Information verschlüsselt, wozu Verschlüsselungsvorrichtungen dienen, die auch als Kryptographie-Hardwaremaschinen bezeichnet werden. Die verschlüsselte Information wird auch als chiffrierter Text oder Chiffriertext bezeichnet. Die Kryptographie-Hardwaremaschine führt typischerweise Verschlüsselungsalgorithmen unter Verwendung eines geeigneten Schlüssels aus, um den Chiffriertext zu erzeugen.

Ein Typ von Angriffsverfahren, die von Unberechtigten verwendet werden, die versuchen, unautorisiert auf die Information zuzugreifen, nutzt theoretische Schwächen der Verschlüsselungsalgorithmen. Diese An griffsverfahren sollen es einem Unberechtigten ermöglichen, die Kommunikation zu entschlüsseln. Solche Angriffsmethoden, die theoretische Vorgehensweisen implementieren, haben sich nur unter sehr limitierten Bedingungen als erfolgreich erwiesen.

Unberechtigte können auch Angriffsverfahren benutzen, welche eine Überwachung einer physikalischen Eigenschaft des Verschlüsselungsvorgangs beinhalten. Solche physikalischen Eigenschaften sind z.B. eine Differenz im Leistungsverbrauch und eine Zeitdifferenz bei der Ausführung bestimmter Operationen. Auf der Überwachung einer physikalischen Eigenschaft basierende Angriffsverfahren können eventuell Besitz über Schlüssel, die von den Verschlüsselungsalgorithmen zur Verschlüsselung und Entschlüsselung benutzt werden, in geringerer Zeit und mit weniger Aufwand verschaffen als auf theoretischen Schwächen basierende Angriffsverfahren.

Verschlüsselungsvorgänge können z.B. durch Hardware, wie Smartcards, implementiert werden. So können z.B. Algorithmen mit öffentlichem Schlüssel, wie die unter den Abkürzungen RSA und ECC bekannten Algorithmen, durch Hardware implementiert werden. In der Kryptographie mit öffentlichen Schlüsseln wird für Verschlüsselungsvorgänge typischerweise ein öffentlicher Schlüssel benutzt. Algorithmen mit symmetrischem Schlüssel, wie der Datenverschlüsselungsstandard (DES) und der weiterentwickelte Verschlüsselungsstandard (AES), können ebenfalls in Hardware implementiert werden. Sowohl für die Systeme mit öffentlichem Schlüssel als auch für die Systeme mit symmetrischem Schlüssel ist es wünschenswert, geheime Information vor Unberechtigten zu bewahren.

1 zeigt im Blockdiagramm eine herkömmliche Kryptographie-Hardwaremaschine zur Durchführung einer parallelen Verarbeitungstechnik. Diese Kryptographie-Hardwaremaschine implementiert z.B. den DES-Algorithmus, wobei zwei Chiffriertextmaschinen 100, 200 unabhängig und parallel arbeiten, um eine Verschlüsselung auszuführen. Die parallelen Chiffriertext- bzw. Verschlüsselungsmaschinen 100, 200 erzeugen in gleicher Weise je einen Chiffriertext CRYPTA aus Übertragungsdaten TXD, so dass die beiden Chiffriertexte CRYPTA im fehlerfreien Fall identisch sind. Jede Chiffriertextmaschine 100, 200 erzeugt den Chiffriertext CRYPTA aus den Übertragungsdaten TXD über 16 Runden bzw. Durchläufe. Wie in 1 gezeigt, bedeutet dies, dass jeder von 16 Rundenblöcken 1 bis 16 eine Verschlüsselung gemäß dem DES-Algorithmus unter Verwendung eines vorgegebenen Schlüssels ausführt. Alle 16 Durchläufe werden ausgeführt, um den Chiffriertext CRYPTA zu erzeugen.

Von den Rundenblöcken 1 bis 16 werden jeweilige Schlüssel benutzt, die z.B. von einem Schlüsselplan eines zusätzlichen Schlüsselerzeugungsalgorithmus generiert werden. Wenn beispielsweise ein DES-Schlüssel mit 8 Byte benutzt wird, werden die Schlüssel der Durchläufe 1 bis 16 erzeugt, wobei die Schlüssel je nach Anwendungsfall gleich oder voneinander verschieden sein können und wobei es sich um private oder öffentliche Schlüssel handeln kann.

Wenn die von den beiden parallelen Chiffriertextmaschinen 100, 200 abgegebenen Chiffriertexte CRPYTA identisch sind, wird der Chiffriertext CRYPTA zu einem gewünschten Zielknoten über ein vorgegebenes Übertragungsmodul übertragen. Wenn hingegen während der Verschlüsselungsvorgänge ein Fehler auftritt, sind die von den beiden parallelen Chiffriertextmaschinen 100, 200 abgegebenen Chiffriertexte nicht identisch. In diesem Fall wird der Chiffriertext CRYPTA nicht zum Zielknoten übertragen, um ein Freiwerden von geheimer Information zu verhindern.

2 zeigt schematisch zwei der Rundenblöcke 1 bis 16 von 1 der ersten und zweiten Chiffriertextmaschine 100, 200. Wie daraus ersichtlich, weist der jeweilige Rundenblock eine Verschlüsselungseinheit 120, 220 und eine Exklusiv-ODER(XOR)-Logik 110, 210 auf. Wenn die erste und die zweite Chiffriertextmaschine 100, 200 jeweils die Übertragungsdaten TXD über 16 Durchläufe verschlüsseln und identische Chiffriertexte CRYPTA abgegeben werden, übertragen die nachfolgenden Schaltungen den Chiffriertext CRYPTA, der als fehlerfrei beurteilt wurde, zu einem Zielknoten. Wenn ein mechanischer Fehler während des Verschlüsselungsvorgangs auftritt, sind die von den beiden parallelen Chiffriertextmaschinen 100, 200 abgegebenen Chiffriertexte CRYPTA nicht identisch. Um ein Freiwerden geheimer Information zu verhindern, wird der Chiffriertext CRYPTA dann nicht zum Zielknoten übertragen.

Die herkömmliche Vorrichtung von 1 ist nicht ohne Probleme. Beispielsweise können Fehler an identischen Stellen der ersten und zweiten Chiffriertextmaschine 100, 200 auftreten. Wie in 2 dargestellt, transformiert der jeweilige Fehler einen originalen Chiffriertext A in einen fehlerbehafteten Chiffriertext A' in einem Block der Chiffriertextmaschine 100 und einem entsprechenden Block der Chiffriertextmaschine 200. In diesem Fall sind die endgültigen Chiffriertexte CRYPTA, die von den beiden parallelen Chiffriertextmaschinen 100, 200 abgegeben werden, trotz der enthaltenen Fehler identisch, so dass der Chiffriertext CRYPTA zu einem Zielknoten übertragen wird. Dies kann dazu führen, dass geheime Information die Kryptographie-Hardwaremaschine verlässt. Beispielsweise kann der in der Kryptographie-Hardwaremaschine auftretende mechanische Fehler von einem unberechtigten Hacker erzeugt werden. Der Hacker kann dann in dem Algorithmus benutzte Schlüssel durch Analysieren der Chiffriertexte mit dem Fehler herausfinden.

Es sind Forschungen hinsichtlich der Möglichkeiten dieser Fehlerangriffe durch Hacker durchgeführt worden, und beispielhafte Fälle wurden von Infineon Technologies verlautbart. Einer dieser Fehlerangriffe ist ein sogenannter Differenzfehlerangriff (DFA). Der DFA kann durch Hacker missbräuchlich als ein Mittel zum Beschaffen geheimer Information verwendet werden, um zu versuchen, Schlüssel durch einen Chiffriertext mit einem Fehler bzw. einer Fehlernachricht in einem symmetrischen Algorithmus wie z.B. dem DES herauszufinden.

Gemäß der herkömmlichen Lehre wird ein Freiwerden geheimer Information mittels des DFA dadurch verhindert, dass eine identische Verschlüsselung doppelt ausgeführt wird. Die resultierenden Werte der beiden Verschlüsselungsvorgänge werden verglichen. Wenn die resultierenden Werte voneinander verschieden sind, wird die Verschlüsselung nochmals ausgeführt, so dass ein Fehler vermieden werden kann. Ein anderes herkömmliches Verfahren beinhaltet die Eingabe eines Chiffriertextes über eine Kommunikationsleitung. Der Chiffriertext wird gespeichert und decodiert. Die decodierten Daten werden erneut verschlüsselt und mit dem über die Kommunikationsleitung empfangenen Chiffriertext verglichen. Wenngleich diese herkömmlichen Techniken im allgemeinen als ausreichend zur Erzielung akzeptabler Resultate angesehen werden, sind sie etwas umständlich, da sie einen Vergleich der Resultate von doppelt ausgeführten Vorgängen beinhalten. Das doppelte Ausführen von Operationen benötigt zudem eine entsprechend große Zeitdauer, was die Betriebsgeschwindigkeit eines Chiffriersystems begrenzt.

Der Erfindung liegt als technisches Problem die Bereitstellung eines Verfahrens und einer Vorrichtung zur Datenverschlüsselung zugrunde, die eine hohe Verschlüsselungsgeschwindigkeit ermöglichen und eine hohe Sicherheit gegen die oben erwähnten Angriffsarten bieten, mit denen versucht wird, unberechtigten Schlüsselbesitz zu erlangen.

Die Erfindung löst dieses Problem durch die Bereitstellung eines Verschlüsselungsverfahrens mit den Merkmalen des Anspruchs 1, einer Verschlüsselungsvorrichtung mit den Merkmalen des Anspruchs 10 oder 19 und speziell auch durch die Bereitstellung eines Verfahrens zum Betrieb einer Chiffriertextmaschine mit den Merkmalen des Anspruchs 20, einer entsprechenden Chiffriertextmaschine mit den Merkmalen des Anspruchs 21 oder 22, eines Verfahrens zum Betrieb einer Rundenblockeinheit der Verschlüsselungsvorrichtung mit den Merkmalen des Anspruchs 23 und einer entsprechenden Rundenblockeinheit mit den Merkmalen des Anspruchs 24 oder 25.

Durch die erfindungsgemäße Vorrichtung und das erfindungsgemäße Verfahren zur Datenverschlüsselung kann die Ausgabe eines Verschlüsselungsendresultates auch dann verhindert werden, wenn identische Fehler an identischen Stellen während eines parallelen Verschlüsselungsvorgangs unter Verwendung eines symmetrischen Algorithmus, wie z.B. des DES-Algorithmus, mittels wenigstens zweier Chiffriermaschinen auftreten, so dass dementsprechend vermieden werden kann, dass geheime Information unbeabsichtigt nach außen gelangt. Die erfindungsgemäße Vorrichtung und das erfindungsgemäße Verfahren sind robust gegen entsprechende Fehlerangriffe. Eine wiederholte Durchführung des Verschlüsselungsvorgangs ist nicht erforderlich, wodurch die Erfindung eine hohe Verschlüsselungsgeschwindigkeit ermöglicht.

Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Vorteilhafte, nachfolgend beschriebene Ausführungsformen der Erfindung sowie das zu deren besserem Verständnis oben erläuterte herkömmliche Ausführungsbeispiel sind in den Zeichnungen dargestellt, in denen zeigen:

1 ein Blockdiagramm einer herkömmlichen Kryptographie-Hardwaremaschine,

2 eine schematische Darstellung zweier Rundenblockeinheiten der Maschine von 1,

3 ein Blockdiagramm einer erfindungsgemäßen Kryptographie-Hardwaremaschine mit zwei parallelen Chiffriertextmaschinen,

4 eine partielle, schematische Darstellung der beiden Chiffriertextmaschinen von 3 zur Veranschaulichung einer bestimmten Funktionalität,

5 eine weitere partielle, schematische Darstellung der beiden Chiffriertextmaschinen von 3 zur Veranschaulichung einer weiteren Funktionalität,

6 eine weitere partielle, schematische Darstellung der beiden Chiffriertextmaschinen von 3 zur Veranschaulichung noch einer weiteren Funktionalität und

7 ein Blockdiagramm einer weiteren erfindungsgemäßen Kryptographie-Hardwaremaschine.

Die in 3 dargestellte Kryptographie-Hardwaremaschine umfasst eine ersten Chiffriertextmaschine 310, eine zweite Chiffriertextmaschine 320, eine Vergleichseinheit 330 und eine Verschlüsselungsdatenausgabeeinheit 340. Von den beiden Chiffriertextmaschinen 310, 320 wird in mehreren Stufen, als Runden oder Durchläufe bezeichnet, Chiffriertext erzeugt, wobei von den einzelnen Stufen generierter Chiffriertext vorliegend auch als zwischenzeitlicher Chiffriertext bezeichnet wird. Speziell wird zwischenzeitlicher Chiffriertext, der von der ersten Chiffriertextma schine 310 erzeugt wird, als erster zwischenzeitlicher Chiffriertext bezeichnet, während zwischenzeitlicher Chiffriertext, der von der zweiten Chiffriertextmaschine 320 erzeugt wird, als zweiter zwischenzeitlicher Chiffriertext bezeichnet wird.
Beide Chiffriertextmaschinen 310, 320 verschlüsseln in paralleler Anordnung zugeführte Übertragungsdaten TXD. Während des Verschlüsselungsprozesses empfängt die erste Chiffriertextmaschine 310 zweiten zwischenzeitlichen Chiffriertext von der zweiten Chiffriertextmaschine 320, erzeugt ersten zwischenzeitlichen Chiffriertext und erzeugt unter Verwendung des ersten zwischenzeitlichen Chiffriertextes einen ausgangsseitig abgegebenen ersten endgültigen Chiffriertext CRYPTA. Die zweite Chiffriertextmaschine 320 gibt den in jedem Durchlauf generierten zweiten zwischenzeitlichen Chiffriertext an die erste Chiffriertextmaschine 310 und außerdem an einen nachfolgenden Durchlauf in der zweiten Chiffriertextmaschine 320 ab. Ausgangsseitig gibt die zweite Chiffriertextmaschine 320 einen erzeugten zweiten endgültigen Chiffriertext CRYPTB ab.
Die Vergleichseinheit 330 erzeugt ein Ausgabesteuersignal SAMD mit einem logischen Zustand, der davon abhängt, ob der erste endgültige Chiffriertext CRYPTA gleich dem zweiten endgültigen Chiffriertext CRYPTB ist oder nicht. Die Verschlüsselungsdatenausgabeeinheit 340 gibt einen endgültigen Chiffriertext CRYPTD ab, wenn der erste endgültige Chiffriertext CRYPTA gleich dem zweiten endgültigen Chiffriertext CRYPTB ist, was ihr durch den entsprechenden logischen Zustand des Ausgabesteuersignals SAMD angezeigt wird. Beispielsweise gibt die Verschlüsselungsdatenausgabeeinheit 340 den endgültigen Chiffriertext CRYPTD in Reaktion auf ein aktiven Zustand des Ausgabesteuersignals SAMD ab, z.B. in Reaktion auf einen hohen Logikzustand desselben.
Beispielhaft ist in 3 zur einfachen Erläuterung eine Situation veranschaulicht, bei welcher der zwischenzeitliche Chiffriertext, der von jedem Durchlauf der zweiten Chiffriertextmaschine 320 abgegeben wird, einem entsprechenden Durchlauf der ersten Chiffriertextmaschine 310 zugeführt wird. Alternativ sind erfindungsgemäß aber auch andere Realisierungen möglich, beispielsweise die Ausgabe von zwischenzeitlichem Chiffriertext nur von einem ausgewählten Teil aller Durchläufe der zweiten Chiffriertextmaschine 320, um diesen jeweils einem entsprechenden Durchlauf der ersten Chiffriertextmaschine 310 zuzuführen. Es kann auch vorgesehen sein, zwischenzeitlichen Chiffriertext aus einem Durchlauf der zweiten Chiffriertextmaschine 320 mehr als einem Durchlauf der ersten Chiffriertextmaschine 310 zuzuführen.
4 zeigt einen Ausschnitt der beiden Chiffriertextmaschinen 310, 320 von 3, wobei Rundblockeinheiten, kurz Rundenblöcke, der ersten Chiffriertextmaschine 310 links und Rundenblöcke der zweiten Chiffriertextmaschine 320 rechts dargestellt sind. Jeder Rundblock der ersten Chiffriertextmaschine 310 umfasst in diesem Beispiel zwei XOR-Logikeinheiten 314 bis 319 und eine Verschlüsselungseinheit (F) 311, 312, 313. Beispielsweise beinhaltet ein in 4 unterster Rundenblock der ersten Chiffriertextmaschine 310 eine obere XOR-Logikeinheit 318, eine untere XOR-Logikeinheit 319 und eine Verschlüsselungseinheit 313. Jeder Rundenblock der zweiten Chiffriertextmaschine 320 umfasst eine XOR-Logikeinheit 325, 327, 328 und eine Verschlüsselungseinheit (F) 321, 322, 323. Beispielsweise beinhaltet ein in 4 unterster Rundenblock der zweiten Chiffriertextmaschine 320 die XOR-Logikeinheit 328 und die Verschlüsselungseinheit 323. Die wie vorstehend erläutert aufgebauten Rundenblöcke sind in jeder Chiffriertextmaschine 310, 320 wiederholt angeordnet, es sind jedoch auch andere Systemauslegungen möglich.
In einer typischen Struktur für den DES-Algorithmus führen die Rundenblöcke eine wiederholte Verschlüsselung über sechzehn Durchläufe aus. Die Verschlüsselungseinheiten F empfangen vorgegebene Schlüssel gemäß dem DES-Algorithmus, verschlüsseln zugeführte Daten und geben die verschlüsselten Daten aus. Verglichen mit der zweiten Chiffriertextmaschine 320 beinhaltet die erste Chiffriertextmaschine 310 andere Rundenblöcke mit einer zusätzlichen XOR-Logikeinheit, z.B. den zusätzlichen oberen XOR-Logikeinheiten 314, 316, 318. Das Vorhandensein der zusätzlichen XOR-Logikeinheit in jedem Rundenblock der ersten Chiffriertextmaschine 310 stärkt eine Fehlererkennungsfunktion. Obwohl die zusätzlichen XOR-Logikeinheiten in den Rundenblöcken der ersten Chiffriertextmaschine 310 implementiert sind, arbeiten die erste und die zweite Chiffriertextmaschine 310, 320 im fehlerfreien Fall so, dass sich symmetrisch identische Werte an identischen Logikpositionen ergeben, wie nachstehend detaillierter erläutert.
Jeder Rundenblock der ersten Chiffriertextmaschine 310 empfängt eine ungerade Anzahl von Eingaben einschließlich erstem zwischenzeitlichem Chiffriertext von wenigstens einem vorausgehenden Rundenblock der ersten Chiffriertextmaschine 310 und zweitem zwischenzeitlichem Chiffriertext von einem entsprechenden Rundenblock der zweiten Chiffriertextmaschine 320. So empfängt z.B. der unterste Rundenblock der ersten Chiffriertextmaschine 310 von 4 zwei erste zwischenzeitliche Chiffriertexte A, B von vorausgehenden Rundenblöcken der ersten Chiffriertextmaschine 310 und einen zweiten zwischenzeitlichen Chiffriertext C von der zweiten Chiffriertextmaschine 320. Die drei zwischenzeitlichen Chiffriertexte A, B, C stellen Eingaben für die zusätzliche XOR-Logikeinheit 318 dieses Rundenblocks dar.
Im fehlerfreien Fall haben alle zwischenzeitlichen Chiffriertexte A, B, C den gleichen Wert. Dies bedeutet, dass eine ungerade Anzahl identischer zwischenzeitlicher Chiffriertexte einschließlich des zweiten zwi schenzeitlichen Chiffriertextes C in die XOR-Logikeinheit 318 eingegeben werden. Aus der ungeraden Anzahl identischer Eingaben A, B, C ergibt sich ein normaler, d.h. fehlerfreier, zwischenzeitlicher Chiffriertext D als Ausgabe der XOR-Logikeinheit 318. So kann es sich beim zwischenzeitlichen Chiffriertext D der XOR-Logikeinheit 318 identisch um den zweiten zwischenzeitlichen Chiffriertext C handeln. Der zwischenzeitliche Chiffriertext D wird der XOR-Logikeinheit 319 des gleichen Rundenblocks in der ersten Chiffriertextmaschine 310 zugeführt, während in der zweiten Chiffriertextmaschine 320 der zweite zwischenzeitliche Chiffriertext C der entsprechenden XOR-Logikeinheit 328 zugeführt wird. Auf diese Weise arbeiten die erste und die zweite Chiffriertextmaschine 310, 320 wie erwähnt so, dass sich identische Werte an identischen Logikpositionen ergeben.
Im gezeigten Beispiel sind, wie gesagt, drei Eingaben A, B, C für die zusätzliche XOR-Logikeinheit 314, 316, 318 vorgesehen. Alternativ kann im Rahmen der Erfindung auch eine andere ungerade Anzahl solcher Eingaben vorgesehen sein.
Die Funktionalität der zusätzlichen XOR-Logikeinheiten 314, 316, 318, die eine ungerade Anzahl von drei oder mehr identischen zwischenzeitlichen Chiffriertexten empfangen, kann durch die nachstehende Gleichung 1 repräsentiert werden: m ⊕ m ⊕ m = m (1)wobei m einen digitalen Datenwert der zwischenzeitlichen Chiffriertexte und das Symbol ⊕ eine Exklusiv-ODER(XOR)-Logikverknüpfung bezeichnen. Folglich befinden sich in diesem Ausführungsbeispiel die Werte A, B, C und D an identischen logischen Verknüpfungspositionen und sie repräsentieren gleiche zwischenzeitliche Chiffriertexte, solange kein Fehler vorliegt.
Die zusätzliche XOR-Logikeinheit 314, 316, 318, die drei oder eine andere ungerade Anzahl von identischen zwischenzeitlichen Chiffriertexten empfängt, ist im Beispiel von 4 in jedem Rundenblock der ersten Chiffriertextmaschine 310 vorgesehen. Alternativ ist es auch möglich, die zusätzliche XOR-Logikeinheit nur in einem Teil der Rundenblöcke anzuordnen und/oder mehr als eine zusätzliche XOR-Logikeinheit in allen oder einem Teil der Rundenblöcke anzuordnen.
Als nächstes wird der Fall betrachtet, dass Fehler sowohl in der ersten als auch in der zweiten Chiffriertextmaschine 310, 320 auftreten. Selbst wenn die Fehler identisch sind und an entsprechenden Stellen der ersten und zweiten Chiffriertextmaschine 310, 320 auftreten, ergibt sich eine Differenz zwischen dem endgültigen Chiffriertext CRYPTA, der von der ersten Chiffriertextmaschine 310 abgegeben wird, und dem endgültigen Chiffriertext CRYPTB, der von der zweiten Chiffriertextmaschine 320 abgegeben wird.
Als Beispiel sei der Fall betrachtet, dass ein Fehler in der zweiten Chiffriertextmaschine 320 an einer logischen Verknüpfungsstelle auftritt, welche den zweiten zwischenzeitlichen Chiffriertext C erzeugt. Es sei weiter angenommen, dass ein identischer Fehler in der ersten Chiffriertextmaschine 310 an der logischen Verknüpfungsposition auftritt, die den ersten zwischenzeitlichen Chiffriertext A erzeugt. Während der zweite zwischenzeitliche Chiffriertext C und der erste zwischenzeitliche Chiffriertext A somit einen Fehler erfahren, ist dieser Fehler nicht bei dem ersten zwischenzeitlichen Chiffriertext B vorhanden. Gemäß der obigen Gleichung 1 sei angenommen, dass der Fehler die Werte der Chiffriertexte A und C von m zu m' ändert. Mit anderen Worten bezeichnet m' den digitalen Datenwert der fehlerbehafteten zwischenzeitlichen Chiffriertexte A und C. Mit diesen Werten als Eingaben gibt die XOR-Logikeinheit 318 den zwischenzeitlichen Chiffriertext D mit dem Wert m aus. Diese Funktionalität wird durch die nachstehende Gleichung 2 repräsentiert: m ⊕ m' ⊕ m' = m ...(2)
Dementsprechend wird durch die weitere Verschlüsselung der erste endgültige Chiffriertext CRYPTA unter Verwendung des zwischenzeitlichen Chiffriertextes D mit dem Wert m generiert, während der zweite endgültige Chiffriertext CRYPTB durch die weitere Verschlüsselung unter Verwendung des zwischenzeitlichen Chiffriertextes C mit dem Wert m' generiert wird. Dies führt zu einer Differenz des ersten endgültigen Chiffriertextes CRYPTA gegenüber dem zweiten endgültigen Chiffriertext CRYPTB, so dass das Auftreten der Fehler geeignet detektiert werden kann.
5 zeigt eine weitere Funktionalität der Chiffriertextmaschinen von 3 in einer zugehörigen partiellen, schematischen Darstellung. In diesem Beispiel empfängt ein Rundenblock der ersten Chiffriertextmaschine 310 einen zweiten zwischenzeitlichen Chiffriertext, z.B. einen zwischenzeitlichen Chiffriertext D5, von der zweiten Chiffriertextmaschine 320 sowie eine Mehrzahl von ersten zwischenzeitlichen Chiffriertexten, z.B. zwischenzeitlichen Chiffriertexten D1 bis D4, der ersten Chiffriertextmaschine 310, wobei diese im fehlerfreien Fall gleich dem zweiten zwischenzeitlichen Chiffriertext D5 sind. Spezieller umfasst der in 5 gezeigte Rundenblock der ersten Chiffriertextmaschine 310 eine XOR-Logikeinheit 512 und eine Verschlüsselungseinheit (F) 510 in gleicher Weise wie ein entsprechender Rundenblock der zweiten Chiffriertextmaschine 320, der eine XOR-Logikeinheit 521 und eine Verschlüsselungseinheit (F) 520 aufweist. Darüber hinaus beinhaltet der gezeigte Rundenblock der ersten Chiffriertextmaschine 310 eine zusätzliche XOR-Logikeinheit 511, welche die zwischenzeitlichen Chiffriertexte D1 bis D5 als Eingaben empfängt. Wenn diese fünf zwischenzeitlichen Chiffriertexte D1 bis D5 identisch sind, lässt sich die Funktionalität der zusätzlichen XOR-Logikeinheit 512 durch die nachstehende Gleichung 3 darstellen: m ⊕ m ⊕ m ⊕ m ⊕ m = m ...(3)
Wie oben erwähnt, beinhaltet auch die zweite Chiffriertextmaschine 320 eine Mehrzahl von Rundenblöcken, die einen zweiten zwischenzeitlichen Chiffriertext abgeben.
6 zeigt eine weitere mögliche Funktionalität der Chiffriertextmaschinen von 3. In diesem Beispiel empfängt die zweite Chiffriertextmaschine 320 während der Verschlüsselung der zugeführten Übertragungsdaten TXD einen ersten zwischenzeitlichen Chiffriertext, z.B. den Chiffriertext F2, von der ersten Chiffriertextmaschine 310, erzeugt einen zweiten zwischenzeitlichen Chiffriertext F4 und erzeugt unter Verwendung des zweiten zwischenzeitlichen Chiffriertextes F4 den zweiten endgültigen Chiffriertext CRYPTB und gibt diesen aus. Speziell ist in 6 gezeigt, dass die Rundenblöcke der ersten und zweiten Chiffriertextmaschine 310, 320 jeweils eine XOR-Logikeinheit 612, 621, 631, 642 und eine Verschlüsselungseinheit (F) 610, 620, 630, 640 aufweisen. Außerdem weist ein gezeigter Rundenblock der zweiten Chiffriertextmaschine 320 eine zusätzliche XOR-Logikeinheit 641 auf, während ein gezeigter Rundenblock der ersten Chiffriertextmaschine 310 eine zusätzliche XOR-Logikeinheit 611 umfasst. Die zusätzliche XOR-Logikeinheit 641 der zweiten Chiffriertextmaschine 320 empfängt eine ungerade Anzahl von drei oder mehr zwischenzeitlichen Chiffriertexten einschließlich zweiten zwischenzeitlichen Chiffriertexten, z.B. Chiffriertexten F1 und F3, der zweiten Chiffriertextmaschine 320 selbst und einem ersten zwischenzeitlichen Chiffriertext, z.B. einem Chiffriertext F2, der ersten Chiffriertextmaschine 310. Die zweiten zwischenzeitlichen Chiffriertexte, wie F1 und F3, können den gleichen Wert wie der erste zwischenzeitliche Chiffriertext F2 haben. Dementsprechend sind im fehlerfreien Fall die logische Verknüpfungsposition und der ausgegebene Chiffriertext F4 für die zusätzliche XOR-Einheit 641 gleich wie für den ersten zwischenzeitlichen Chiffriertext F2.
7 zeigt eine weitere erfindungsgemäße Kryptographie-Hardwaremaschine, die mehrere Chiffriertextmaschinen 710, 720, ... 730, eine Vergleichseinheit 740 und eine Verschlüsselungsdatenausgabeeinheit 750 umfasst. Jede Chiftriertextmaschine 710, 720, ..., 730 kann eine Mehrzahl von Rundenblöcken enthalten. Jeder Rundenblock kann in Struktur und Funktionalität irgendeinem der Rundenblöcke gemäß den 4 bis 6 entsprechen.
Jede Chiffriertextmaschine 710, 720, ..., 730 verschlüsselt zugeführte Übertragungsdaten TXD. Dabei empfängt jede Chiffriertextmaschine 710, 720, ..., 730 zwischenzeitliche Chiffriertexte von den anderen Chiffriertextmaschinen, verarbeitet diese und erzeugt einen zwischenzeitlichen Chiffriertext, der jeweils die gleiche logische Verknüpfungsstelle und den gleichen Chiffriertext beinhaltet wie für die anderen Chiffriertextmaschinen. Unter Verwendung der generierten zwischenzeitlichen Chiffriertexte und durch Operationen unter Verwendung symmetrisch identischer Werte generiert die jeweilige Chiffriertextmaschine 710, 720, ..., 730 einen endgültigen Chiffriertext CRYPT1, CRYPT2, ..., CRYPTN und gibt diesen ab.
Ein jeweiliger Rundenblock der Chiffriertextmaschinen 710, 720, ..., 730 kann zusätzlich zu einem zwischenzeitlichen Chiffriertext von einer anderen Chiffriermaschine andere zwischenzeitliche Chiffriertexte der eigenen Chiffriertextmaschine empfangen, wobei die empfangenen Chiffriertexte der eigenen Chiffriermaschine den gleichen Wert wie die empfangenen zwischenzeitlichen Chiffriertexte von den anderen Chiffriermaschinen haben. Eine XOR-Logikeinheit eines jeweiligen Rundenblocks empfängt eine ungerade Anzahl von drei oder mehr identischen zwischenzeitlichen Chiffriertexten einschließlich den zwischenzeitlichen Chiffriertexten, die von einer oder mehreren anderen Chiffriertextmaschinen empfangen werden. Die logische Verknüpfungsstelle und der Chiffriertext des Ausgangssignals der XOR-Logikeinheit sind dadurch gleich wie für den entsprechenden zwischenzeitlichen Chiffriertext einer anderen Chiffriermaschine. Die XOR-Logikeinheit, welche die ungerade Anzahl identischer zwischenzeitlicher Chiffriertexte empfängt, kann hierbei in jedem der Rundenblöcke einer Chiffriertextmaschine vorgesehen sein. Es kann auch eine solche XOR-Logikeinheit in jedem Rundenblock zweier benachbarter Chiffriertextmaschinen enthalten sein.
Die Vergleichseinheit 740 erzeugt ein Steuersignal SAMD, das unterschiedliche Logikzustände in Abhängigkeit davon aufweist, ob die endgültigen Chiffriertexte CRYPT1, CRYPT2, ..., CRYPTN der Chiffriertextmaschinen 710, 720, ..., 730 alle identisch sind oder nicht, und gibt dieses ab. Die Verschlüsselungsdatenausgabeeinheit 750 gibt in Reaktion auf den Logikzustand des Steuersignals SAMD einen der endgültigen Chiffriertexte CRYPT1 bis CRYPTN als normalen endgültigen Chiffriertext CRYPTD ab, wenn die endgültigen Chiffriertexte CRYPT1 bis CRYPTN alle identisch sind. So gibt die Verschlüsselungsdatenausgabeeinheit 750 z.B. in Reaktion auf einen aktiven Zustand des abgegebenen Steuersignals SAMD einen der endgültigen Chiffriertexte CRYPT1 bis CRYPTN als den endgültigen Chiffriertext CRYPTD aus.
Wenn dementsprechend in der Kryptographie-Hardwaremaschine von 7 ein Fehler an einer logischen Verknüpfungsstelle einer bestimmten Chiffriertextmaschine aufritt und ein identischer Fehler an der gleichen logischen Verknüpfungsstelle in einer anderen Chiffriertextmaschine auftritt, gibt die Chiftriertextmaschine, welche zwischenzeitlichen Chiffriertext von einer anderen Chiffriertextmaschine empfängt, einen endgültigen Chiffriertext aus, der sich von derjenigen der anderen Chiffriertextmaschine unterscheidet.
Gemäß diesem exemplarischen Ausführungsbeispiel der Erfindung weist jede Chiffriertextmaschine 710, 720, ..., 730 eine Mehrzahl von Rundenblöcken auf. Jeder Rundenblock empfängt eine ungerade Anzahl von drei oder mehr zwischenzeitlichen Chiffriertexten einschließlich eines von einer anderen Chiffriertextmaschine empfangenen zwischenzeitlichen Chiffriertextes. Die ungerade Anzahl an zwischenzeitlichen Chiffriertexten bilden Eingaben für eine XOR-Logikeinheit des betreffenden Rundenblocks. Wenn die Eingaben der XOR-Logikeinheit identisch sind, sind die logische Verknüpfungsstelle und der Chiffriertext der Ausgabe dieser XOR-Logikeinheit gleich denen des entsprechenden zwischenzeitlichen Chiffriertextes, der von der anderen Chiffriertextmaschine empfangen wird. Selbst wenn folglich ein identischer Fehler an identischen Positionen der mehreren Chiffriertextmaschinen 710, 720, ..., 730 auftritt, kann der Fehler detektiert werden, bevor ein endgültiges Verschlüsselungsergebnis ausgegeben wird.
Wie oben erläutert, kann in einem Prozess der Durchführung paralleler Verschlüsselungsoperationen gemäß einem symmetrischen Algorithmus, wie des DES-Algorithmus, unter Verwendung von zwei oder mehr Hardware-Chiffriertextmaschinen die Kryptographie-Hardwaremaschine, die auf die geschilderte Weise einen parallelen Verschlüsselungsprozess mit zusammenwirkenden Chiffriertextmaschinen ausführt, einen Fehler vor der Ausgabe eines endgültigen Verschlüsselungsresultates selbst dann erkennen, wenn der Fehler identisch an identischen Stellen auftritt. Auf diese Weise kann verhindert werden, dass geheime Information unabsichtlich nach außen gelangt. Die erfindungsgemäße Kryptographie-Hardwaremaschine ist daher robust gegen entsprechende Fehlerangriffe und kann eine hohe Betriebsgeschwindigkeit haben, da sie keine wiederholte Durchführung des Verschlüsselungsvorgangs benötigt.
Die Erfindung ist nicht auf die gezeigten und oben erläuterten Ausführungsbeispiele beschränkt. So umfasst die Erfindung beispielsweise auch Verschlüsselungsvorrichtungen und Verschlüsselungsverfahren, bei denen die in den 3 bis 7 gezeigten und oben erläuterten Elemente in Software statt in Hardware oder umgekehrt in Hardware statt in Software ausgeführt sind. Die Hardware/Software-Implementierungen können eine Kombination von Prozessoren und anderen Elementen sein. Solche Elemente sind z.B. Speichermedien und ausführbare Computerprogramme, wie Instruktionen zur Durchführung der beschriebenen Operationen bzw. Funktionen. Die ausführbaren Computerprogramme können Teil von extern zugeführten Propagationssignalen sein.

Claims

Verfahren zur Datenverschlüsselung mit wenigstens zwei Chiffriertextmaschinen (310, 320), dadurch gekennzeichnet, dass eine erste Chiffriertextmaschine (310) einen ersten zwischenzeitlichen Chiffriertext (D) unter Verwendung eines zweiten zwischenzeitlichen Chiffriertextes (C) erzeugt, der von einer zweiten Chiffriertextmaschine (320) zugeführt wird.
Verfahren zur Datenverschlüsselung, gekennzeichnet durch folgende Schritte: – Durchführen einer ersten Verschlüsselung, die das Empfangen eines zweiten zwischenzeitlichen Chiffriertextes (C) zur Erzeugung eines ersten zwischenzeitlichen Chiffriertextes (D) und das Verwenden des ersten zwischenzeitlichen Chiffriertextes zur Erzeugung und Ausgabe eines ersten endgültigen Chiffriertextes (CRYPTA) umfasst, – Durchführen einer zweiten Verschlüsselung, die das Ausgeben des zweiten zwischenzeitlichen Chiffriertextes und das Verwenden desselben zur Erzeugung und Ausgabe eines zweiten endgültigen Chiffriertextes (CRYPTB) umfasst, – Erzeugen und Ausgeben eines Steuersignals (SAMD) mit einem Logikzustand, der davon abhängt, ob der erste endgültige Chiffriertext gleich dem zweiten endgültigen Chiffriertext ist, und – Reagieren auf den Logikzustand des Steuersignals durch Ausgeben eines endgültigen Chiffriertextes (CRYPTD), wenn der erste endgültige Chiffriertext gleich dem zweiten endgültigen Chiffriertext ist.
Verfahren nach Anspruch 2, weiter dadurch gekennzeichnet, dass die zweite Verschlüsselung das Empfangen des ersten zwischenzeitlichen Chiffriertextes und das Erzeugen des zweiten zwischenzeitlichen Chiffriertextes umfasst.
Verfahren nach Anspruch 2 oder 3, weiter dadurch gekennzeichnet, dass die erste Verschlüsselung in einer Mehrzahl von Rundenblöcken einer ersten Chiffriertextmaschine (310) ausgeführt wird, die zweite Verschlüsselung in einer Mehrzahl von Rundenblöcken einer zweiten Chiffriertextmaschine (320) ausgeführt wird und die erste und die zweite Chiffriertextmaschine eine Logikschaltung verwenden, die einen jeweiligen ersten zwischenzeitlichen Chiffriertext und einen jeweiligen zweiten zwischenzeitlichen Chiffriertext als Eingabe empfangen.
Verfahren nach Anspruch 4, weiter dadurch gekennzeichnet, dass weitere zwischenzeitliche Chiffriertexte der Logikschaltung als Eingaben zugeführt werden, die gleich einem jeweiligen zweiten zwischenzeitlichen Chiffriertext in der zweiten Chiffriertextmaschine sind, wobei Eingaben anderer zwischenzeitlicher Chiffriertexte gleich dem jeweiligen ersten zwischenzeitlichen Chiffriertext in der ersten Chiffriertextmaschine sind.
Verfahren nach Anspruch 4 oder 5, weiter dadurch gekennzeichnet, dass der Logikschaltung eine ungerade Anzahl von zwischenzeitlichen Chiffriertexten als Eingabe zugeführt wird.
Verfahren nach einem der Ansprüche 4 bis 6, weiter dadurch gekennzeichnet, dass die Logikschaltung in jedem Rundenblock einer Chiffriertextmaschine angeordnet wird.
Verfahren nach einem der Ansprüche 4 bis 7, weiter dadurch gekennzeichnet, dass die Logikschaltung mindestens einmal in jedem Rundenblock zweiter benachbarter Chiffriertextmaschinen benutzt wird.
Verfahren nach einem der Ansprüche 1 bis 8, weiter dadurch gekennzeichnet, dass die jeweiligen ersten und zweiten zwischenzeitlichen Chiffriertexte identisch sind, wenn kein Fehler auftritt.
Verschlüsselungsvorrichtung, insbesondere Kryptographie-Hardwaremaschine, zur Datenverschlüsselung mit – einer Mehrzahl von Chiffriertextmaschinen (310, 320), dadurch gekennzeichnet, dass – eine erste der Chiffriertextmaschinen (310) einen zweiten zwischenzeitlichen Chiffriertext (D) empfängt, der von einer zweiten der Chiffriertextmaschinen (320) ausgegeben wird, um einen ersten zwischenzeitlichen Chiffriertext (D) zu erzeugen.
Verschlüsselungsvorrichtung nach Anspruch 10, weiter dadurch gekennzeichnet, dass – die erste Chiffriertextmaschine den ersten zwischenzeitlichen Chiffriertext zur Erzeugung und Abgabe eines ersten endgültigen Chiffriertextes (CRYPTA) benutzt, – die zweite Chiffriertextmaschine den zweiten zwischenzeitlichen Chiffriertext zur Erzeugung und Abgabe eines zweiten endgültigen Chiffriertextes (CRYPTB) benutzt, – eine Vergleichseinheit (330) vorgesehen ist, die ein Steuersignal (SAMD) mit einem Logikzustand erzeugt und abgibt, der davon abhängt, ob der erste endgültige Chiffriertext gleich dem zweiten endgültigen Chiffriertext ist oder nicht, und - eine Verschlüsselungsdatenausgabeeinheit (340) vorgese endgültigen Chiffriertext (CRYPTD) abgibt, wenn der erste endgültige Chiffriertext gleich dem zweiten endgültigen Chiffriertext ist.
Verschlüsselungsvorrichtung nach Anspruch 10 oder 11, weiter dadurch gekennzeichnet, dass die zweite Chiffriertextmaschine den ersten zwischenzeitlichen Chiffriertext empfängt, der von der ersten Chiffriertextmaschine abgegeben wird, und den zweiten zwischenzeitlichen Chiffriertext erzeugt.
Verschlüsselungsvorrichtung nach einem der Ansprüche 10 bis 12, weiter dadurch gekennzeichnet, dass die erste und die zweite Chiffriertextmaschine eine Mehrzahl von Rundenblöcken und eine Logikschaltung mit Eingaben eines jeweiligen ersten zwischenzeitlichen Chiffriertextes und eines jeweiligen zweiten zwischenzeitlichen Chiffriertextes umfassen, wobei ein jeweiliger Rundenblock der ersten Chiffriertextmaschine den zugehörigen ersten zwischenzeitlichen Chiffriertext erzeugt und ein jeweiliger Rundenblock der zweiten Chiffriertextmaschine den zugehörigen zweiten zwischenzeitlichen Chiffriertext erzeugt.
Verschlüsselungsvorrichtung nach einem der Ansprüche 10 bis 13, weiter dadurch gekennzeichnet, dass der jeweilige erste und der jeweilige zweite zwischenzeitliche Chiffriertext identisch sind, wenn kein Fehler auftritt.
Verschlüsselungsvorrichtung nach Anspruch 13 oder 14, weiter dadurch gekennzeichnet, dass die Logikschaltung Eingaben von anderen zwischenzeitlichen Chiffriertexten, die gleich dem jeweiligen zweiten zwischenzeitlichen Chiffriertext in der zweiten Chiffriertextmaschine sind, und Eingaben von anderen zwischenzeitlichen Chiffriertexten beinhaltet, die gleich dem jeweiligen ersten zwischenzeitlichen Chiffriertext in der ersten Chiffriertextmaschine sind.
Verschlüsselungsvorrichtung nach einem der Ansprüche 13 bis 15, weiter dadurch gekennzeichnet, dass eine ungerade Anzahl von zwischenzeitlichen Chiffriertexten in die Logikschaltung eingegeben werden.
Verschlüsselungsvorrichtung nach einem der Ansprüche 13 bis 16, weiter dadurch gekennzeichnet, dass die Logikschaltung in jedem Rundenblock der betreffenden Chiffriertextmaschine angeordnet ist.
Verschlüsselungsvorrichtung nach einem der Ansprüche 13 bis 17, weiter dadurch gekennzeichnet, dass die Logikschaltung wenigstens einmal in jedem Rundenblock zweier benachbarter Chiffriertextmaschinen angeordnet ist.
Verschlüsselungsvorrichtung, insbesondere nach einem der Ansprüche 10 bis 18, dadurch gekennzeichnet, dass sie zur Datenverschlüsselung gemäß dem Verfahren nach einem der Ansprüche 1 bis 9 eingerichtet ist.
Verfahren zum Betrieb einer Chiffriertextmaschine, dadurch gekennzeichnet, dass eine ungerade Anzahl zwischenzeitlicher Chiffriertexte einschließlich eines zwischenzeitlichen Chiffriertextes von einer anderen Chiffriertextmaschine eingegeben wird und anhand der ungeraden Anzahl zwischenzeitlicher Chiffriertexte ein Ausgabe-Chiffriertext erzeugt wird.
Chiffriertextmaschine zur Datenverschlüsselung mit – einer Mehrzahl von Rundenblöcken, die jeweilige zwischenzeitliche Chiffriertexte erzeugen, dadurch gekennzeichnet, dass – wenigstens einer der Rundenblöcke eine ungerade Anzahl von zwischenzeitlichen Chiffriertexteingaben einschließlich wenigstens eines zwischenzeitlichen Chiffriertextes von einer anderen Chiffriertextmaschine empfängt und einen zugehörigen zwischenzeitlichen Chiffriertext erzeugt.
Chiffriertextmaschine zur Datenverschlüsselung, insbesondere nach Anspruch 21, dadurch gekennzeichnet, dass sie zur Durchführung des Datenverschlüsselungsverfahrens nach Anspruch 20 eingerichtet ist.
Verfahren zum Betrieb einer Rundenblockeinheit einer Chiftriertextmaschine zur Datenverschlüsselung, bei dem – ein zwischenzeitlicher Chiffriertext von einer jeweiligen Verschlüsselungseinheit erzeugt wird, dadurch gekennzeichnet, dass – ein zwischenzeitlicher Chiffriertext von einem ersten Logikoperator basierend auf Eingaben einer ungeraden Anzahl von zwischenzeitlichen Chiffriertexten einschließlich eines zwischenzeitlichen Chiffriertextes von einer anderen Chiffriertextmaschine erzeugt wird und – ein zwischenzeitlicher Chiffriertext von einem zweiten Logikoperator basierend auf Eingaben des zwischenzeitlichen Chiffriertextes der Verschlüsselungseinheit und des zwischenzeitlichen Chiffriertextes des ersten Logikoperators erzeugt wird.
Rundenblockeinheit für eine Chiffriertextmaschine zur Datenverschlüsselung, mit – einer Verschlüsselungseinheit, die einen zwischenzeitlichen Chiffriertext erzeugt, gekennzeichnet durch – einen ersten Logikoperator, der eine ungerade Anzahl von zwischenzeitlichen Chiffriertexten einschließlich eines zwischenzeitlichen Chiffriertextes von einer anderen Chiffriertextmaschine empfängt und einen zwischenzeitlichen Chiffriertext erzeugt und – einen zweiten Logikoperator, der den von der Verschlüsselungseinheit erzeugten zwischenzeitlichen Chiffriertext und den vom ersten Logikoperator erzeugten zwischenzeitlichen Chiffriertextempfängt.
Rundenblockeinheit für eine Chiffriertextmaschine zur Datenverschlüsselung, insbesondere nach Anspruch 24, dadurch gekennzeichnet, dass sie zur Durchführung des Rundenblock-Betriebsverfahrens nach Anspruch 23 eingerichtet ist.