DE102009029749A1

DE102009029749A1 - System zur Erzeugung beliebig langer randomisierter Bitlisten auf Rechnern im Normalbetrieb

Info

Publication number: DE102009029749A1
Application number: DE102009029749A
Authority: DE
Inventors: Robert Niggl
Original assignee: Individual
Current assignee: Individual
Priority date: 2008-02-29
Filing date: 2009-06-22
Publication date: 2010-12-23
Also published as: US20120148045A1; WO2009106055A3; DE102008011882A1; ZA201006811B; RU2010131836A; DE102008011882B4; BRPI0905982A2; CN101960774A; EP2245787A2; WO2009106055A2; JP2011514060A; WO2009106055A9; DE112009001048A5

Abstract

Mit der vorliegenden Erfindung wird ein System vorgestellt, das mit einem rechnergestützten Randomisierungsverfahren arbeitet uns das beliebig lange Bitlisten in hoher Randomisierungsqualiät liefern kann. Das Verfahren stützt sich dabei auf Standard-Zufallsgeneratoren und auf Vorratswerte, die über das Sammeln (und Auswerten) bestimmter Ereignisse, die Adresswerte liefern, gewonnen werden. Im Normalbetrieb eines Rechnersystems kann so ein beliebig großer Wertevorrat erzeugt werden, der extern nicht prognostizierbar ist, d. h. jeder Vorrat ist möglich und ohne Zusatzannahmen gleichwahrscheinlich (gewissermaßen ein "weißes Rauschen" des Normalbetriebs). Gestützt auf einen solchen Wertevorrat und einen Standard-Zufallsgenerator können dann beliebig lange Bitlisten über einen Iterationsprozess durch Reininitialisierung stückweise erzeugt werden, wobei jeder Reininitialisierungsschritt mindestens einen randomisiert ausgewählten und dann sicher verschlüsselten Vorratswert verwendet.

Description

Die vorliegende Erfindung befasst sich mit einem System zur Erzeugung beliebig langer randomisierter Bitlisten auf Rechnern im Normalbetrieb, wie sie für die sichere Verschlüsselung durch ONE-TIME-PAD(OTP-)Verfahren benötigt werden. Dort ist der Schlüssel ein Einmalschlüssel und muss lang sein wie der Klartext.
Derartige mathematische Verschlüsselungen, wie z. B. das Mersenne-Twister-Verfahren sind im Stand der Technik bekannt. Als nachteilig an diesen Verfahren wird es empfunden, dass aufgrund des Berechnungsaufwandes nur sehr kleine Schlüssel erzeugt werden können bzw. dass die Startwerte für lange Listen entsprechend „riesig” sein müssten und – falls mit den jeweiligen Schnittstellen überhaupt vorgebbar – nicht effizient bearbeitet werden könnten.
Abhilfe könnten technische Verfahren liefern, die im Rahmen der Quantenkryptographie entwickelt wurden, z. B. laserbasierte Verfahren mit Halbspiegeln. Entsprechende Geräte gibt es bisher aber nur in Form von Prototypen. Bis zum praxistauglichen kommerziellen Einsatz solcher Geräte sind vermutlich noch diverse Fragen zu klären, insb. Fragen der Qualitätssicherung in der Geräteproduktion und der Fragen der Störfallsicherheit.
Die vorliegende Erfindung hingegen ist vor allem bestimmt für Rechnersysteme im „Normalbetrieb”, d. h. es stützt sich lediglich auf Standard-Zufallgeneratoren und bestimmte Ereignisse, die im Normalbetrieb eines Rechnersystems stets und geeignet anfallen. Im Einsatzkontext der sicheren Verschlüsselung ist das ausführende Rechnersystem aber stets im Normalbetrieb, wenn es nicht tiefgreifend manipuliert wird. Die vorliegende Erfindung ist daher sofort praxistauglich einsetzbar.
Selbstverständlich würden sich die quantenmechanischen Verfahren und die vorliegende Erfindung sehr gut ergänzen. Wird die Schlüsselgenerierung redundant ausgelegt, d. h. werden über zwei Geräte unabhängig Schlüssel generiert, kann ein Schlüssel mit dem anderen sicher verschlüsselt und somit ein Superschlüssel erzeugt werden. Ein Gerät könnte dann immer noch ausfallen oder gestört sein.
Daher ist es Aufgabe der vorliegenden Erfindung, ein System, das nach einem sicheren Verfahren mit beherrschbarem Rechenaufwand arbeitet, bereitzustellen, sodass Daten uneinsehbar von einem Ort zu einem anderen Ort sicher transportiert werden, ohne den Zugriff auf die transportierten Daten zu ermöglichen.
Diese Aufgabe wird mit den kennzeichnenden Merkmalen der Hauptansprüche gelöst.
Erfindungsgemäß ist das System mit einem beliebigen Standard-Zufallsgenerator und einem dynamischen Speicher dadurch gekennzeichnet, dass über ein Bitlistenmodul gestützt auf einen beliebigen Zufallsgenerator und gestützt auf geeignet gesammelte Vorratswerte eine Bitliste durch Reinitialisierung des Zufallsgenerators stückweise in der Form erzeugt wird, dass für jeden Reinitialisierungsschritt mindestens ein randomisiert bestimmter und dann sicher verschlüsselter Wert aus dem gesammelten Wertevorrat verwendet wird, wobei der Wertevorrat mindestens teilweise über das Sammeln von Adresswerten dynamisch allokierter Objekte gewonnen wird, d. h. durch die Auswertung von bestimmten Adresswerten des dynamischen Speicherbereichs des Rechnersystems und des Sammelzeitpunktes bzw. eines mit der Allokation des jeweiligen Objektes assoziierten Zeitpunktes.
Da eines der herausragenden Merkmale die Verwendbarkeit für die sichere Verschlüsselung ist – denn es können beliebig lange Schlüssel in hoher Randomisierungsqualität effizient erzeugt werden –, wird diese zunächst vorgestellt.
Die sichere Verschlüsselung ist „informationsvernichtend”, d. h. der verschlüsselte Klartext (Chiffre) trägt keine Information in dem Sinne, dass – mathematisch begründet – über die Chiffre allein keinerlei Information gewonnen werden kann.
Es ist leicht einsehbar, dass One-Time-Pad-(OTP)-Verfahren informationsvernichtend sind, weil dort jedes Bit des Klartextes K mit einem zufälligen Bit verknüpft wird und nur für diese Verknüpfung verwendet wird. Der Schlüssel muss also randomisiert für K erzeugt werden (Einmalschlüssel) und muss mindestens so lang sein wie K.
Beispielhaft sei als Bit-Verknüpfung die Bit-Addition genannt (auch bekannt als XOR-Verknüpfung): 0 + 1 = 1 + 0 = 1, 1 + 1 = 0 + 0 = 0. Ist dann E ein Einmalschlüssel für K in der Länge von K, dann ist K + E der verschlüsselte Klartext (V), wobei jeweils bitweise addiert wird. Da offenbar V + E = K, kann mit E auch wieder entschlüsselt werden.
Da die Bit-Addition die Eigenschaften einer „abelschen Gruppe” hat; man kann also z. B. rechnen „wie mit ganzen Zahlen”. Die Bit-Addition ist in der Algebra auch bekannt als „Addition im kleinsten Körper (|F_2)”.
Der Vollständigkeit halber sei auch die Bit-Addition kurz ausgeführt und die für die Chiffrierung relevanten Eigenschaften nachgewiesen. Es wird eine praktische „programmiernahe Notation” verwendet. Anstelle des +Zeichens wird das ^Zeichen für den entsprechenden Bit-Operator verwendet, der in vielen Programmiersprachen zur Verfügung steht.
Definition: Sei !0 = 1, !1 = 0 (Negation)
Es gilt dann offenbar !!x = x
Definition: Sei 0^0 = 1^1 = 0 und 0^1 = 1^0 = 1 (Bit-Addtion bzw. XOR-Verknüpfung)
Dann gilt stets

• x^x = 0 (klar)
• x^!x = 1 (klar)
• x^0 = x (denn 1^0 = 1, 0^0 = 0)
• x^1 = !x (denn 1^1 = 0, 0^1 = 1)

Ferner gilt für zwei Bitvariable x, y stets:

• x^y = y^x (klar)

Wir betrachten nun beliebige Bitvariable x, y, z und zeigen:

• x^(y^z) = (x^y)^z

Die rechte Seite liefert dann

• x^(y^z) = x^0 = x

Für die linke Seite sind zwei Fälle möglich:

• (x^x)^x = 0^x = x
• (x^!x)^!x = 1^!x = !!x = x

Für die linke Seite sind dann folgende Fälle möglich:

• x^(x^!x) = x^1 = !x
• x^(!x^x) = x^1 = !x

Für die rechte Seite sind dann folgende Fälle möglich:

• (x^!x)^x = 1^x = !x
• (x^x)^!x = 0^!x = !x

Folglich gilt die Gleichung in allen Fällen.
Sei also K, wie bisher, eine Bit-Liste, E ein gleichlanger Einmalschlüssel, und die Chiffre V sei definiert als V = K^E, wobei komponentenweise addiert wird. Ist dann O eine gleichlange Bitliste mit lauter Nullen, dann gilt: V^E = (K^E)^E = K^(E^E) = K^O = K.
Das erfindungsgemäße Verfahren stützt sich nun auf einen Wertevorrat, der über das Sammeln von Adresswerten allokierter Objekte gewonnen wird. Das auslösende Ereignis ist also die Allokation eines Objektes im dynamischen Speicher durch ein Programm, das auf dem Rechnersystem ausgeführt wird. Im Ergebnis wird also ein Vorratswert beliebig dadurch bestimmt, dass mindestens zwei Informationen zur Erzeugung ausgewertet werden. Diese sind der Adresswert eines in dem erfindungsgemäßen System dynamisch erzeugten Objektes und der Sammelzeitpunkt bzw. ein mit der Allokation assoziierter Zeitpunkt, wie aus 1 hervorgeht. In 1 wird die Architektur des erfindungsgemäßen Systems dargestellt. Die 1 zeigt, wie Anwendungsprogramme, die auf dem Rechnersystem laufen, direkt bzw. indirekt über das neue Bitlistenmodul durch das Sammeln von Adresswerten einen Wertevorrat generieren, der dann vom Bitlistenmodul später für die Listenerzeugung verwendet wird. Erfasst ist auch, dass das Bitlistenmodul selbst (als Anwendungsprogramm) zur Vorratswertgewinnung eingesetzt wird.
Das Sammeln lässt sich leicht dadurch implementieren, dass man z. B. ein timer-gesteuerters Monitor-Programm schreibt, das sich selbst Objekte konstruiert. So ein Programm würde sich also in den „Hintergrundbetrieb” des Rechnersystems einreihen. Wird dann mit einem Standard-Zufallsgenerator sowohl die timer-Setzung randomisiert als auch die Objekt-Konstruktion über Teilobjekte, so liefert das Sammeln der Adresswerte optimale Startgrößen für die Vorratswertgewinnung. Denn aus dem Adresswert x und dem jeweiligen Sammelzeitpunkt t lässt sich leicht ein Wert konstruieren, der von außen im Normalbetrieb nicht vorhersehbar ist, z. B. dadurch, dass mit t als Initialisierungsgröße für den Standard-Zufallsgenerator ein Schlüssel erzeugt und dann x mit diesem Schlüssel sicher verschlüsselt wird.
Das Sammeln von Adresswerten kann also einen beliebig großen Wertevorrat erzeugen, der ohne massive Manipulation des Normalbetriebs von außen nicht prognostizierbar ist. Jeder Wertevorrat ist möglich und ohne geeignete Zusatzannahmen gleichwahrscheinlich, gewissermaßen ein „weißes Rauschen”, das der Normalbetrieb generiert.
Gestützt auf einen solchen hinreichend großen Wertevorrat – und der Normalbetrieb kann wie beschrieben einen beliebig großen Wertevorrat liefern (!) – kann daher eine lange Bitliste mit einem Standard-Zufallsgenerator über Reinitialisierungsschritte „stückweise” erzeugt werden, wobei der Zufallsgenerator nach jedem Schritt mit randomisiert ausgewählten und dann sicher verschlüsselten Vorratswerten reinitialisiert wird, d. h. es wird (mindestens) ein Vorratswert randomisiert ausgewählt, dann sicher verschlüsselt und diese Chiffre dann für die Reinitialisierung verwendet. Denn im Ergebnis wird so eine Folge unabhängiger Zufallsexperimente simuliert.
Hinweis: Eine mathematische Analyse der Randomisierungsqualität des Verfahrens – d. h. die Annäherung an den „absoluten Zufall” – ist sehr komplex und setzt entsprechende statistische Annahmen über die Qualität der Vorratswerte und Standard-Zufallsgeneratoren voraus. Sie ist selbst dann sehr anspruchsvoll, wenn man annimmt, dass alle Verfahrenskomponenten „ideal” realisiert sind.
Zusammenfassend kann festgestellt werden, dass sicher verschlüsselte Werte, die selbst nicht vorhersehbar sind, ideale Reinitialsierungswerte sind, so dass sich die Unabhängigkeit gewissermaßen „Schritt für Schritt vererbt”. Mit der vorliegenden Erfindung wird ein System vorgestellt, das mit einem rechnergestützten Randomisierungsverfahren arbeitet und das beliebig lange Bitlisten in hoher Randomisierungsqualität liefern kann. Das Verfahren stützt sich dabei auf Standard-Zufallsgeneratoren und auf Vorratswerte, die über das Sammeln (und Auswerten) bestimmter Ereignisse, die Adresswerte liefern, gewonnen werden. Im Normalbetrieb eines Rechnersystems kann so ein beliebig großer Wertevorrat erzeugt werden, der extern nicht prognostizierbar ist, d. h. jeder Vorrat ist möglich und ohne Zusatzannahmen gleichwahrscheinlich, gewissermaßen ein „weißes Rauschen” des Normalbetriebs. Gestützt auf einen solchen Wertevorrat und einen Standard-Zufallsgenerator können dann beliebig lange Bitlisten über einen Iterationsprozess durch Reinitialisierung stückweise erzeugt werden, wobei jeder Reinitialisierungssschritt mindestens einen randomisiert ausgewählten und dann sicher verschlüsselten Vorratswert verwendet.
Im nun Folgenden wird eine vollständige Ausführung des Algorithmus für die randomisierte Erzeugung langer Bitlisten gegeben, die auch noch die Stücklängen randomisiert.
1 Zusammenfassung
Dieses Dokument beschreibt ein Verfahren zur Erzeugung beliebig langer randomisierter Bitlisten auf Basis von Zufallsgeneratoren für Bitlisten mit begrenzter Bitzahl.
Die Strategie besteht darin, einen entsprechenden Vektor B = (B₁, ..., B_n) von hinreichend kurzen Teillisten B_i zu erstellen, die durch unabhängige Reinitialisierung gewonnen werden, und zwar so, dass der Reinitialisierungsprozess über eine variable Anzahl von Parametern (Vorratswerte genannt) gesteuert wird.
Es wird gezeigt, dass unter bestimmten Voraussetzungen – insb. hinsichtlich der Zahl und der Gewinnung der Vorratswerte – die Gesamtliste hinreichend gut randomisiert ist.
2 Grundbegriffe, Notationen
Definition 1.
Ein (elementarer) Zufallgenerator Z wird nachfolgend beschrieben als Tupel (f, g, m) mit

• f ist eine Initialisierungsfunktion
• g ist eine Produktionsfunktion die m Bits liefert

Für einen Zufallsgenerator Z = (f, g, m) sei

• Init(Z) := f (sprich: Initialisierungsfunktion von Z)
• Prod(Z) := g (sprich: Produktionsfunktion von Z)
• Bitzahl(Z) := m (sprich: Bitzahl von Z)
• Inits(Z) := Anzahl der Parameter von Init(Z)

Definition 2.
Ist Z ein Zufallsgenerator, so sei Byte(Z) folgende Funktion:

• Eingabe: Eine Zahl h
• Ausgabe: h Byte, die durch wiederholten Aufruf von Prod(Z) erzeugt werden, d. h. Prod(Z) wird x-mal, Bitzahl(Z)·x ≥ h·8, hintereinander aufgerufen, die erzeugten Bits verkettet und dann (die ersten) h Byte ausgegeben.

Definition 3.
Für eine Liste a = (a₁, ..., a_m) sei |a| := m die Listenlänge. Sind a = (a₁, ..., a_m), b = (b₁, ..., b_n) Listen, so sei ab := (a₁, ..., a_m, b₁, ..., b_n) diejenige Liste, die sich durch Verkettung von a mit b ergibt. Ist X = (X₁, ..., X_M) ein Liste von Listen, so sei Liste(X) die Verkettung aller Elemente:

• Liste(X) := X₁ für M = 1
• Liste(X) := Liste((X₁, ..., X_M-1))X_M für M > 1

Definition 4.
Für ein Datenobjekt x sei nachfolgend dim(x) der Speicherbedarf von x in Byte.
3 Aufgabenstellung
Mit einem Zufallsgenerator Z ist eine Byteliste der (Mindest)Länge M zu erzeugen.
4 Lösung
4.1 Übersicht
Es wird via Z schrittweise ein Vektor B = (B₁, ..., B_n), n > 0, von Bytelisten B_i erzeugt, die insgesamt eine ausreichend lange Gesamtliste ergeben, d. h.

• |(Liste((B₁, ..., B_n-1))| < M ≤ |Liste(B)|

• Beim ersten Schritt (i = 1) werden klassische Initialisierungswerte verwendet (z. B. aktuelle Zeitstempel).
• In jedem Schritt i werden die Reinitialisierungsparameter für den nächsten Schritt (i + 1) bestimmt dergestalt, dass aus einem Wertevorrat V = (V₁, ..., V_H) eine entsprechende Auswahl von Werten V_j randomisiert erfolgt und diese Parameter dann One-Time-Pad-verschlüsselt werden, wobei die Schlüssel jeweils via Byte(Z) neu erzeugt werden.
• Ferner wird die Länge von B_i im Schritt i randomisiert innerhalb einstellbarer Grenzen – eine Mindestlänge (L) bzw. Maximallänge (L') – bestimmt.

4.2 Algorithmus
4.3 Bewertung
Annahmen:

1. Die Teillisten sind kurz genug (zu steuern über L, L').
2. Die Anzahl der Vorratswerte ist groß genug (z. B. |V| = 10000).
3. Die Vorratswerte entstehen auf dem Rechner systemtechnisch bedingt und ohne Zusammenhang mit irgendwelchen Fachdaten so, dass sie extern nicht vorhersehbar sind.

Unter diesen Voraussetzung ist dann B hinreichend gut randomisiert:

• Die erste Teilliste wird durch klassische Initialisierung gewonnen, ist also hinreichend gut randomisiert.
• In jedem Folgeschritt wird der Zufallsgenerator mit Werten reinitialisiert, die hinreichend gut randomisiert sind, also ist jede Teilliste eines Folgeschrittes hinreichend gut und unabhängig randomisiert, denn: Werden im Schritt i die ausgewählten Vorratswerte sicher verschlüsselt, dann werden auch im Schritt i + 1 die ausgewählten Vorratswerte sicher und unabhängig verschlüsselt.
• Es ist praktisch nicht möglich, die Menge möglicher Ergebnisse über die Menge möglicher Eingabewerte zu simulieren.

5 Vorratsbestimmung
Implementiert:

• Sammeln von Adressen von allokierten Objekten in einem Vektor.
• Ist die maximale Vektorlänge erreicht, so werden die ältesten Einträge überschrieben, d. h. es wird eine Schreibposition geführt, die nach Erreichen der Maximallänge wieder auf 0 gesetzt wird.

Claims

System zur Erzeugung beliebig langer Bitlisten zur Verschlüsselung von Daten mit mindestens einem beliebigen Standard-Zufallsgenerator und mindestens einem dynamischen Speicherbereich, dadurch gekennzeichnet, dass mit dem beliebigen Zufallsgenerator über ein Bitlistenmodul und gestützt auf gesammelte Vorratswerte Bitlisten in beliebiger Länge stückweise durch Reinitialisierung des Zufallsgenerators in der Form erzeugt wird, dass für jede Reinitialisierung mindestens ein randomisiert bestimmter und dann sicher verschlüsselter Wert aus dem gesammelten Wertevorrat verwendet wird.
Verfahren zur randomisierten Erzeugung beliebig langer Bitlisten zur Verschlüsselung von Daten, dadurch gekennzeichnet, dass mit einem beliebigen Zufallsgenerator und gestützt auf Vorratswerte eine Bitliste beliebiger Länge stückweise durch Reinitialisierung des Zufallsgenerators in der Form erzeugt wird, dass für jede Reinitialisierung mindestens ein randomisiert bestimmter und dann sicher verschlüsselter Wert aus dem Wertevorrat verwendet wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass ein Wertevorrat mindestens teilweise über das Sammeln und Auswerten von Adresswerten dynamisch allokierter Objekte des Rechnersystems gewonnen wird, d. h. durch die Auswertung dieser Adresswerte und des Sammelzeitpunktes bzw. eines mit der Allokation assoziierten Zeitpunktes.