DE102009046436A1

DE102009046436A1 - Kryptographisches Hardwaremodul bzw. Verfahren zur Aktualisierung eines kryptographischen Schlüssels

Info

Publication number: DE102009046436A1
Application number: DE102009046436A
Authority: DE
Inventors: Markus Ihle; Robert Szerwinski; Jan Hayek; Jamshid Shokrollahi; Martin Emele
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2009-11-05
Filing date: 2009-11-05
Publication date: 2011-05-12
Also published as: WO2011054639A1; US20130003966A1; CN102667796A

Abstract

Die Erfindung betrifft ein kryptographisches Hardwaremodul, wobei das Hardwaremodul eine Recheneinheit und einen Speicher aufweist und wobei in dem Speicher mindestens ein erster Schlüssel gespeichert ist. Dabei weist das Hardwaremodul eine Logik und eine Kryptographievorrichtung auf, wobei das Hardwaremodul über die Logik mindestens einen zweiten, verschlüsselten Schlüssel in das Hardwaremodul laden kann und über die Kryptographievorrichtung den mindestens einen zweiten, verschlüsselten Schlüssel mit dem mindestens einen ersten Schlüssel entschlüsseln kann.

Description

Stand der Technik
Die vorliegende Erfindung betrifft ein Kryptographisches Hardwaremodul bzw. ein Verfahren zur Aktualisierung eines kryptographischen Schlüssels.
Sicherheitsprotokolle in Umgebungen zu implementieren, in welchen physikalische Sicherheit nicht gewährleistet ist, erfordert den Einsatz von Hardware-Sicherheitsmodulen, um die kryptographischen Schlüssel zu sichern. Je nach Anwendung muss diese Hardware bestimmte Sicherheitsanforderungen erfüllen. Dazu gibt es verschiedene Vorschläge im Stand der Technik, z. B. das Trusted Platform Module (TPM), siehe z. B. DE-11 2005 003 502 .
Offenbarung der Erfindung
Vorteile der Erfindung
Mit dem Kryptographischen Hardwaremodul bzw. dem Verfahren gemäß den unabhängigen Ansprüchen ist es möglich, geheime Schlüssel in einem sicheren Hardwaremodul zu aktualisieren oder für ein Ver- bzw. Entschlüsseln verwenden, wobei die geheimen Schlüssel nie der Firmware des Mikroprozessors des Hardwaremoduls zugänglich und damit besonders abgesichert sind. Des Weiteren sind das vorgeschlagene Verfahren bzw. die vorgeschlagene Vorrichtung flexibel gestaltet, so dass verschiedene kryptographische Operationen durchgeführt werden können.
Weitere Vorteile und Verbesserungen ergeben sich durch die Merkmale der abhängigen Ansprüche.
In einer besonderen Ausgestaltung wird der zu entschlüsselnde Schlüssel verschlüsselt außerhalb des Hardwaremoduls in einem Speicher gespeichert und zum Entschlüsseln über eine Kommunikationsverbindung in das Hardware-Modul geladen. Der Vorteil davon ist, dass der zu entschlüsselnde Schlüssel außerhalb des Kryptographischen Hardwaresicherheitsmoduls in verschlüsselter Form gespeichert werden kann, ohne Sicherheitsanforderungen zu verletzen.
Besonders vorteilhaft ist, wenn ein Logikbaustein oder gegebenenfalls ein Logikmodul des Kryptographischen Hardwaremoduls verhindert, dass entschlüsselte Schlüssel aus dem Hardwaremodul auf eine offene Kommunikationsverbindung, z. B. auf einen Datenbus gelangen.
In einer weiteren vorteilhaften Ausgestaltung ist die Kryptographievorrichtung des Hardwaremoduls dazu ausgerüstet, verschiedene kryptographische Verfahren durchführen zu können, z. B. Standardverfahren wie AES (Advanced Encryption Standard), MAC (Message Authentication Code, z. B. CMAC,) oder CBC (Cipher Block Chaining), um einen möglichst flexiblen Einsatz des Hardwaremoduls zu gewährleisten.
Auch ist es vorteilhaft, wenn die Kryptographievorrichtung des Hardwaremoduls Mittel aufweist, aus geheimen Informationen geheime Schlüssel abzuleiten, bzw. zu generieren, also über Schlüsselableitungsfunktionen (key derivation functions, kdf) zu verfügen.
Zeichnungen
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Die Zeichnungen sind lediglich beispielhaft und schränken den allgemeinen Erfindungsgedanken nicht ein.
Es zeigen:
1 schematisch ein Hardware-Sicherheitsmodul (Hardware Security Module, HSM)
2 eine beispielhafte Ausgestaltung eines Hardware-Sicherheitsmodul (Hardware Security Module, HSM)
In der Beschreibung werden die Begriffe Hardwaremodul, Kryptographisches Modul und Hardware-Sicherheitsmodul (HSM) weitgehend synonym verwendet. Die bisher erhältlichen kryptographischen Module basieren entweder auf fest verdrahteten Hardware-Zustandsmaschinen oder auf programmierbaren Mikroprozessoren. Zustandsmaschinen liefern einen höheren Schutz, während Software-Lösungen im Fall von Fehlern oder neuen Anwendungen aktualisiert werden können. Im letzteren Fall war es bisher notwendig, dass der Nutzer dem Hersteller der Firmware, bzw. der Firmware, traut, da diese Zugang zu den geheimen Schlüsseln hat. Dies stellte insbesondere bei jeder Aktualisierung ein Problem dar, jede neue Version musste komplett und eigenständig zertifiziert werden.
1 zeigt schematisch ein Hardware-Sicherheitsmodul (Hardware Security Module, HSM) 1, welches eine Recheneinheit 11, einen (internen) Speicher 12, eine Kryptographievorrichtung 13 und eine Logik 14 aufweist. Weiterhin zeigt 1 eine Kommunikationsverbindung 2 und einen (externen) Speicher 3. Das HSM 1 ist über die Kommunikationsverbindung 2 mit dem Speicher 3 verbunden. In dieser Ausgestaltung sei nun im Speicher 12 ein erster Schlüssel „Parent Key” gespeichert und im Speicher 3 mindestens ein verschlüsselter Schlüssel „Child Key”. Der verschlüsselte Schlüssel „Child Key” kann mit dem Schlüssel „Parent Key” entschlüsselt werden. In speziellen Ausgestaltungen des in 1 gezeigten HSM kann z. B. die Recheneinheit 11 als Mikroprozessor realisiert sein, der Speicher 12 als Register, die Logik 14 als Zustandsmaschine oder die Kommunikationsverbindung 2 als Datenbus.
Das Logik 14 kann nun den verschlüsselten Schlüssel „Child Key” über die Kommunikationsverbindung 2 aus dem Speicher 3 in das Hardwaremodul 1 laden. Die Kryptographievorrichtung 13 entschlüsselt daraufhin den Schlüssel „Child Key” mithilfe des Schlüssels „Parent Key” aus dem Speicher 12. Der entschlüsselte Schlüssel „Child Key” wird im Speicher 12 abgelegt.
Ein Vorteil dieses Verfahrens ist es, dass geheime Schlüssel, hier der Schlüssel „Child Key”, in verschlüsselter Form in einem nicht-flüchtigen Speicher, hier Speicher 3, außerhalb des HSM gespeichert werden können, ohne dass bei der Aktualisierung die entschlüsselten Schlüssel „Child Key” und „Parent Key” der Firmware bekannt sind oder auf der allgemeinen Kommunikationsverbindung übertragen werden. Die Schlüssel können gemäß diesem Vorschlag mit Standard-Schlüsselaktualisierungsprotokollen, welche die Vertraulichkeit und Integrität der Schlüssel erhalten, aktualisiert werden. Zur Aktualisierung des untergeordneten Schlüssels, hier des Schlüssels „Child Key”, muss der übergeordnete Schlüssel, hier der Schlüssel „Parent Key”, innerhalb des HSM bekannt sein.
Dabei sind mehrere separate hierarchische Kontexte für kryptographische Schlüssel möglich. Untergeordnete Schlüssel werden im System verschlüsselt gespeichert und gegebenenfalls entschlüsselt im HSM, übergeordnete Schlüssel sind in dem HSM hinterlegt.
Im Folgenden wird anhand einer beispielhaften Hardware-Architektur eine detaillierte Umsetzung des kryptographischen Systems bzw. Verfahrens beschrieben.
2 zeigt als Ausgestaltungsbeispiel eine Hardware-Architektur, welche die genannten Erfordernisse erfüllt. Dabei ist ein Rechner 311 (HSM CPU) mit einem Schlüsselsicherheitsschaltkreis 324 (Key Security Circuit) verbunden. Der Schlüsselsicherheitsschaltkreis 324 ist außerdem mit dem Adressbus 332, dem Datenisolierungsswitch 325, dem Schlüsselspeicher 312, dem Schlüsselspeischer-Multiplexer 321, dem Daten-Multiplexer 322 und dem Schlüssel-Multiplexer 323 verbunden. Auf das kryptographische Modul 313 haben der Daten-Multiplexer 322 und der Schlüssel-Multiplexer 323 Zugriff. Das kryptographische Modul 313 ist außerdem mit dem Datenisolierungsswitch 325 verbunden. Der Datenisolierungsswitch ist darüber hinaus mit dem Datenbus 331, dem Daten-Multiplexer 322 und dem Schlüsselspeicher-Multiplexer 321 verbunden. Der Datenbus 331 ist mit dem Schlüsselspeicher-Multiplexer 321, dem Daten-Multiplexer 322 und dem Schlüssel-Multiplexer 323 verbunden. Der Schlüsselspeicher 312 ist mit dem Schlüsselspeicher-Multiplexer 321 und dem Schlüssel-Multiplexer 323 verbunden. Das kryptographische Modul 313 weist einen Koprozessor (AES Koprozessor) auf und ist dazu zu verschiedenen kryptographischen Operationen fähig (CMAC, CBC, KDF). Dabei ermöglicht KDF das Ableiten von Schlüssel (Key Derivation Function), CMAC und CBC werden je nach Verschlüsselungsalgorithmus zur Entschlüsselung herangezogen. Im Schlüsselspeicher 312 sind übergeordnete Schlüssel („Parent Keys”) sowie gegebenenfalls untergeordnete Schlüssel („Child Keys”) und temporäre Schlüssel („Tempkeys”) abgespeichert. Die „Tempkeys” sind temporär gespeicherte Schlüssel, im Fall einer Domainenstruktur z. B. auch Domainen-unabhängige Schlüssel. Der Schlüssel höchster Ordnung „HSM Master Key” ist bei einer Domainenstruktur im Schlüsselspeicher 312 gespeichert oder eingebrannt. Aus dem HSM Master Key können z. B. mit KDF übergeordnete Schlüssel „Parent Keys” für verschiedene Domainen abgeleitet werden: z. B. Domaine 1 „Parent Key” und Domaine 2 „Parent Key”. Dabei kennen die Besitzer der Domaine 1 und der Domaine 2 nicht die Schlüssel der jeweils anderen Domaine und nicht den HSM Master Key, es handelt sich also um zwei parallele, kryptographisch getrennte Domainen. Insbesondere kann keine Domaine mit einem ihr bekannten Schlüssel die Schlüssel einer anderen Domaine aktualisieren.
Der Speicher 312 aus 2 ist dabei eine mögliche Ausgestaltung des Speichers 12 in 1, ebenso stellt die Logik 321, 322, 323, 324, 325 eine Logik 14 gemäß 1 dar, der Datenbus 331 entspricht der Kommunikationsverbindung 2, der Mikroprozessor 311 entspricht der Recheneinheit 11 und das Schlüsselmodul 313 entspricht der Kryptographievorrichtung 13. Dabei können die Logik 14 bzw. 321-5 und die Kryptographievorrichtung 13 bzw. 313 jeweils als ein Modul (wie in 2 für die Kryptographievorrichtung gezeigt) oder als einzelne Bausteine (wie in 2 für die Logik gezeigt) vorgesehen sein. Das Grundprinzip gemäß dieser Ausgestaltung ist wiederum folgendes: Der Mikroprozessor 311 kann einen Ladevorgang eines verschlüsselten Schlüssels „Child Key” starten, welcher aus einem externen Speicher über den Datenbus 331 und den Daten-Multiplexer 322 in das Kryptographische Hardwaremodul bzw. HSM, hier konkret in das Schlüsselmodul bzw. in die Kryptographievorrichtung 313, geladen wird. Die Kryptographievorrichtung 313 entschlüsselt den verschlüsselten Schlüssel „Child Key” mit dem Schlüssel „Parent Key”, wobei der „Parent Key” über den Schlüssel-Multiplexer 323 aus dem Speicher 312 geladen wird. Über den Logikbaustein bzw. Datenisolierungsswitch 325, kontrolliert von dem Logikbaustein bzw. Schlüsselsicherheitsschaltkreis 324 gibt die Kryptographievorrichtung 313 den entschlüsselten Schlüssel „Child Key” über den Logikbaustein bzw. Schlüsselspeicher-Multiplexer 321 an den Speicher 312. Der Schlüsselsicherheitsschaltkreis 324 sorgt dabei dafür, dass der Datenisolierungsswitch 325 den entschlüsselten Schlüssel „Child Key” nicht auf den Datenbus 331 geben kann, bzw. verhindert Angriffe, die auslösen wollen, dass der entschlüsselte Schlüssel „Child Key” auf den Datenbus 331 gegeben wird. Der entschlüsselte Schlüssel „Child Key” wird daraufhin im Speicher 312 gespeichert.
Der Schlüsselspeicher 312 ist ein Speicher innerhalb des HSM und kann aus ROM- und RAM-Gebieten bestehen. Der Schlüsselspeicher-Multiplexer 321 entscheidet, ob ausgewählte Schlüssel gemäß Werten auf dem Datenbus 331 oder einer Ausgabe des AES-Koprozessors geschrieben werden müssen. Der Schlüssel-Multiplexer 323 legt sowohl den Schlüssel aus dem Schlüsselspeicher 312 fest und bestimmt auch den Ladevorgang vom Datenbus 321 in den Schlüsseleingang des AES-Koprozessors, letzteres für Schlüssel, welche in dieser Hierarchie nicht geschützt werden sollen. Der Daten-Multiplexer 322 ist mit dem Dateninput des AES-Koprozessors verbunden und lässt den Eingang entweder vom Datenbus 321 oder dem Ausgang des AES-Koprozessors laden. Der Datenisolierungsswitch 325 lässt keine vom AES-Koprozessor entschlüsselte Schlüssel auf dem Datenbus 321 erscheinen, kontrolliert wird das wie beschrieben von dem Schlüsselsicherheitsschaltkreis 324. Die Schaltkreise CMAC und KDF bestehen aus Zustandsmaschinen, Schaltungslogik und Registern, welche den AES-Koprozessor kontrollieren, um CMAC- und KDF-Algorithmen zu implementieren. Jeder Schlüssel wird mit einer Flagge versehen, welche festlegt, zu welcher Domeine dieser Schlüssel gehört. Diese Flagge wird in Abhängigkeit seiner Adresse automatisch gesetzt, wenn der Schlüssel geladen wird. Diese Flagge wird vom Schlüsselsicherheitsschaltkreis 324 verwendet, um zu entscheiden, ob der Befehl seitens der HSM-CPU 311 erlaubt ist und nicht mit den Sicherheitsvorschriften des Hardwaremoduls kollidiert. Die geladenen Schlüssel sind verschlüsselt. Sie werden über den Datenbus 321 geladen, mit dem passenden übergeordneten Schlüssel „Parent Key” bzw. „Domain Master Key” entschlüsselt, aber dann nicht auf den Datenbus 321 gelegt, sondern an die richtige Stelle des Schlüsselspeichers 312 geschrieben. Domain-Master-Schlüssel können im ROM des Hardwaremodul-Schlüsselspeichers 312 liegen oder sie können mittels KDF-Funktionalität instantan erzeugt werden. Letzteres erfordert dass ein CPU Master-Schlüssel „HSM Master Key” im ROM des Schlüsselspeichers 312 gespeichert ist. Dieser Schlüssel „HSM Master Key” ist den Domainen-Besitzern unbekannt, welche nur das Ergebnis der Schlüssel-Ableitungs-Funktion mit geeigneten Konstanten für ihre eigene Domaine kennen. Schlüssel müssen so gespeichert werden, dass ihre Authentizität garantiert werden kann. Das kann auf verschiedene Arten geschehen, z. B. indem jeder Schlüssel mit einem Nachrichten-Authentifizierungs-Code (Message Authentification Code, MAC) versehen wird.
Während Schlüsselaktualisierungen werden temporäre Schlüssel generiert mittels der oben beschriebenen Architektur (2) und verwendet um den Schlüsselaktualisierungs-Algorithmus durchzuführen. Wie beschrieben ist ein Vorteil dieses Vorschlags, dass die Schlüssel nicht unverschlüsselt über den Datenbus übertragen werden, für keine andere Domaine verfügbar sind und auch nicht der Firmware bekannt sein müssen. In der speziellen Schlüsselhierarchie ist zur Aktualisierung jedes Schlüssels die Kenntnis dieses Schlüssels oder eines seiner übergeordneten Schlüssel notwendig
Für die Schlüsselaktualisierung kann jedes Verfahren verwendet werden, das die Geheimhaltung und Integrität der Schlüssel garantiert. Da solche Methoden auf der Geheimhaltung bzw. Integrität der Zwischenwerte basieren, die im Laufe des Verfahrens generiert und benutzt werden, liegt ein Vorteil des vorliegenden Moduls darin, dass diese Werte für den Besitzer anderer Domänen nicht bekannt bzw. zugreifbar sind.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 112005003502 [0002]

Claims

Kryptographisches Hardwaremodul (1), wobei das Hardwaremodul (1) eine Recheneinheit (11) und einen Speicher (12) aufweist und wobei in dem Speicher (12) mindestens ein erster Schlüssel gespeichert ist, dadurch gekennzeichnet, dass es eine Logik (14) und eine Kryptographievorrichtung (13) aufweist, wobei es über die Logik (14) mindestens einen zweiten, verschlüsselten Schlüssel in die Kryptographievorrichtung (13) laden kann und über die Kryptographievorrichtung (13) den mindestens einen zweiten, verschlüsselten Schlüssel mit dem mindestens einen ersten Schlüssel entschlüsseln kann.
Kryptographisches Hardwaremodul (1) nach Anspruch 1, dadurch gekennzeichnet, dass mindestens zwei erste Schlüssel aus einem Hauptschlüssel generiert werden und jeder erste Schlüssel einem Domainenbesitzer zugeteilt wird, wobei der Domainenbesitzer weder erste Schlüssel anderer Domainen noch den Hauptschlüssel kennt.
Kryptgraphisches Hardwaremodul (1) nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass das Hardwaremodul (1) die zweiten, verschlüsselten Schlüssel über eine Kommunikationsverbindung (2) aus einem externen Speicher (3) lädt.
Kryptographisches Hardwaremodul (1) nach Anspruch 3, dadurch gekennzeichnet, dass die Logik (14) des kryptographischen Hardwaremoduls (1) so ausgestaltet ist, dass sie eine Übertragung der ersten Schlüssel in entschlüsselter Form oder der zweiten Schlüssel in entschlüsselter Form über die Kommunikationsverbindung (2) verhindert.
Kryptographisches Hardwaremodul (1) nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Kryptographievorrichtung (13) des Kryptographischen Hardwaremoduls (1) Mittel aufweist, kryptographische Operationen gemäß mindestens einem der Verfahren Advanced Encryption Standard, Message Authentication Code und Cipher Block Chaining durchzuführen.
Kryptographisches Hardwaremodul (1) nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass die Kryptographievorrichtung (13) des Kryptographischen Hardwaremoduls (1) Mittel aufweist, geheime Schlüssel aus geheimen Informationen abzuleiten.
Verfahren zur Durchführung einer Schlüsselaktualisierung in einem kryptographischen Hardwaremodul (1), wobei in dem kryptographischen Hardwaremodul (1) mindestens ein erster Schlüssel gespeichert wird, dadurch gekennzeichnet, dass über eine Logik (14) des kryptographischen Hardwaremoduls (1) mindestens ein zweiter, verschlüsselter Schlüssel in das kryptographische Hardwaremodul (1) geladen wird und dass der mindestens eine zweite, verschlüsselte Schlüssel mit dem mindestens einen ersten Schlüssel von einer Kryptographievorrichtung (13) entschlüsselt wird.
Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die zweiten, verschlüsselten Schlüssel über eine Kommunikationsverbindung (2) aus einem externen Speicher (3) geladen werden.
Verfahren nach einem der Ansprüche 7 oder 8, dadurch gekennzeichnet, dass, dass mindestens zwei erste Schlüssel aus einem Hauptschlüssel generiert werden und jeder erste Schlüssel einem Domainenbesitzer zugeteilt wird, wobei der Domainenbesitzer weder erste Schlüssel anderer Domainen noch den Hauptschlüssel kennt.