-
Die vorliegende Erfindung betrifft ein Verfahren nach dem Oberbegriff des Patentanspruchs 1. Die Erfindung betrifft ferner eine zur Durchführung eines derartigen Verfahrens eingerichtete Vorrichtung, ein entsprechendes Computerprogramm sowie ein maschinenlesbares Speichermedium mit einem solchen Programm.
-
Stand der Technik
-
Ein symmetrisches Kryptosystem ist ein Kryptosystem, bei welchem im Gegensatz zu einem asymmetrischen Kryptosystem alle involvierten (legitimen) Teilnehmer denselben Schlüssel verwenden. Die Nutzung ein- und desselben Schlüssels zur Ver- und Entschlüsselung von Daten, zur Berechnung und Überprüfung von Nachrichtenauthentifizierungscodes, etc. bringt es mit sich, dass vor jedwedem verschlüsselten Austausch zunächst der Schlüssel selbst verteilt werden muss. Da von der Geheimhaltung des Schlüssels jedoch die Sicherheit des gesamten Verfahrens abhängt, sehen herkömmliche Ansätze zumeist den Schlüsselaustausch über einen sicheren Kanal vor. Dies kann insbesondere durch eine manuelle Einbringung der Schlüssel in die jeweiligen Teilnehmer geschehen, beispielsweise durch die Eingabe eines Passwortes, aus dem der eigentliche Schlüssel dann abgeleitet werden kann.
-
Der Schlüsselaustausch über unsichere Kanäle hingegen stellt für den Fachmann noch immer eine Herausforderung dar. Der Stand der Technik bietet hierzu Ansätze wie den bekannten Diffie-Hellman-Schlüsselaustausch oder sogenannte hybride Verschlüsselungsverfahren, die den Austausch symmetrischer Schlüssel durch die Einbeziehung asymmetrischer Protokolle ermöglichen.
-
In neuerer Vergangenheit werden jedoch zunehmend Kryptosysteme diskutiert, die das Problem der Schlüsseletablierung von der Anwendungsschicht des OSI-Referenzmodells auf dessen Bitübertragungsschicht (physical layer, PHY) verlagern. Anwendung finden derartige Ansätze etwa auf dem noch jungen Fachgebiet der cyber-physischen Systeme, die sich durch eine Ressourcenbeschränktheit und die schwerpunktmäßige Nutzung drahtloser und somit inhärent unsicherer Kommunikationskanäle auszeichnen. Entsprechende Verfahren sehen vor, dass jede der beteiligten Parteien einen Schlüssel derart aus den physikalischen Eigenschaften des sie verbindenden Kanals ableitet, dass die so generierten Schlüssel übereinstimmen, ohne dass eine Übermittlung konkreter Teile des Schlüssels im Klartext erforderlich wäre.
-
Gemeinsam ist diesen Kryptosystemen dabei die Notwendigkeit, die aus geeigneten Kanaleigenschaften initial abgeleiteten Wertfolgen (insbesondere z. B. Bitsequenzen), die zunächst ggf. noch nicht vollkommen identisch sind, zwischen den involvierten Teilnehmern abzugleichen, so dass man am Ende dieses Vorganges wirklich identische Wertfolgen (Bitsequenzen) bei beiden Teilnehmern vorliegen hat. Dazu ist es in der Regel erforderlich, geeignete Daten zwischen den involvierten Teilnehmern über den bis dato noch unsicheren Kanal auszutauschen. Die Herausforderung besteht dabei darin, die Art und Menge der ausgetauschten Informationen so zu wählen, dass ein möglicher mithörender Angreifer daraus keine oder nur minimale Rückschlüsse über die zugrunde liegenden Wertfolgen (Bitsequenzen) ziehen kann. Um diese Aufgabe zu lösen, schlägt etwa
US 7942324 B1 den Einsatz des aus der Quanteninformatik bekannten CASCADE-Protokolls vor.
-
Offenbarung der Erfindung
-
Die vorliegende Erfindung geht aus von einem Verfahren, einer Vorrichtung, einem Computerprogramm sowie einem Speichermedium gemäß den unabhängigen Ansprüchen.
-
Vorteile der Erfindung
-
Ein Vorzug dieser Lösung liegt in der nutzbringenden Bestimmung und Einbeziehung geeigneter Zuverlässigkeitsmetriken für die initial aus den Kanaleigenschaften abgeleiteten Wertfolgen. In einer konkreten Ausprägung werden dabei beispielsweise bei der initialen Quantisierung der betrachteten Kanalinformation nicht direkt „harte”, d. h. insbesondere binäre Bitentscheidungen getroffen, sondern vielmehr für jedes Bit eine Zuverlässigkeitsinformation ermittelt, die ein Maß dafür ist, mit welcher Wahrscheinlichkeit das entsprechende Bit eine „0” bzw. eine „1” ist. Somit erhält man eine „softe” und somit aussagekräftigere Information als bei einer „harten” Quantisierung auf diskrete Bits bzw. Werte. Aus den Zuverlässigkeitsinformationen für einzelne Bits bzw. Werte kann dann eine Verbundzuverlässigkeitsinformation bzw. Güte für eine Folge von Bits bzw. Werten ermittelt werden. Die involvierten Teilnehmer können nun lokal zunächst entsprechende Zuverlässigkeitsinformationen, die einzelnen Bits bzw. Werten zugeordnet sind, bestimmen und unter Verwendung geeigneter Signalverarbeitungsverfahren weiterverarbeiten. Dabei werden die bis dato vorhandenen Bit- bzw. Wertefolgen im Allgemeinen in neue Bit- bzw. Wertefolgen umgewandelt (mit ggf. unterschiedlicher Länge), für die ebenfalls entsprechende Zuverlässigkeitsinformationen bestimmt werden können, die sich aus den ursprünglichen Zuverlässigkeitsinformationen ableiten lassen. Beide Teilnehmer führen dabei dieselben Verarbeitungsschritte basierend auf den von ihnen ermittelten Zuverlässigkeitsinformationen durch und bestimmen nach jedem Schritt die Verbundzuverlässigkeitsinformation/Güte für die komplette Folge von Bits bzw. Werten. Dies wird so lange fortgeführt, ggf. auch auf eine adaptive Art und Weise, bis ein bestimmtes Abbruchskriterium erfüllt ist. Dieses Abbruchskriterium kann beispielsweise derart gestaltet sein, dass die Verbundzuverlässigkeitsinformation bei beiden Teilnehmern einen gewissen Schwellwert überschreiten muss, so dass die Wahrscheinlichkeit, dass die dann aus den einzelnen Zuverlässigkeitsinformationen ableitbaren Bits bzw. Werte bei beiden Teilnehmern identisch sind, geeignet erhöht werden kann, ohne dass dafür ein übermäßiger Austausch von Paritäts- oder anderweitigen Informationen über den unsicheren Kanal zwischen den beteiligten Kommunikationspartnern nötig ist, was generell zu einer möglichen Schwächung der zu erzeugenden Schlüssel führen kann.
-
Die Weiterbildung, wonach die erste Zuverlässigkeitsmetrik ein Log-Likelihood-Quotient eines dem Quantisieren entsprechenden Testproblems ist und das Quantisieren eine Vorzeichenbestimmung der zweiten Zuverlässigkeitsmetrik umfasst, bedient sich hierzu einer logarithmierten Likelihood-Funktion als Zuverlässigkeitsmetrik, wie sie auch im Zuge klassischer Maximum-Likelihood-Schätzungen verwendet wird. Gegenüber der einfachen Likelihood-Funktion bietet eine solche Funktion die Vorteile einer einfachen Bestimmung von Maxima sowie einer geringen Laufzeitkomplexität auch bei großen Stichproben. Aus diesem Grund umfasst der Stand der Technik auf dem Gebiet der Signalverarbeitung unterschiedlichste Hardware, die im Rahmen einer erfindungsgemäßen Vorrichtung ohne nennenswerte Anpassungen eingesetzt werden kann. Zudem lässt sich auch die abschließende (binäre) Quantisierung der jeweiligen Stichprobe mittels einer schlichten Vorzeichenbestimmung bewerkstelligen.
-
Weitere vorteilhafte Ausgestaltungen der Erfindung sind in den folgenden Unteransprüchen angegeben. So ergänzen die jeweiligen Gegenstände einiger abhängiger Ansprüche das erfindungsgemäße Verfahren um unterschiedliche adaptive Elemente. Die Bildung von Prüfsummen indes ermöglicht gleichsam eine abschließende Qualitätskontrolle des erzeugten Schlüssels.
-
Kurze Beschreibung der Zeichnungen
-
Ein Ausführungsbeispiel der Erfindung ist in den Zeichnungen dargestellt und wird im Folgenden näher beschrieben.
-
1 zeigt ein Blockdiagramm des typischen Ausgangsszenarios eines erfindungsgemäßen Verfahrens.
-
2 zeigt die Verteilung zweier Messwerte des auf einen Kommunikationskanal bezogenen RSSI (Received Signal Strength Indicator).
-
3 zeigt einen Programmablaufplan eines erfindungsgemäßen Verfahrens.
-
Ausführungsformen der Erfindung
-
1 illustriert schematisch die Ausgangssituation eines Verfahrens zum Erzeugen eines geheimen Schlüssels gemäß einer Ausführungsform der Erfindung. Im Mittelpunkt der Betrachtung stehen dabei ein erster Kommunikationspartner 10 sowie ein über einen zumindest näherungsweise reziproken Kommunikationskanal mit dem ersten Kommunikationspartner 10 verbundener zweiter Kommunikationspartner 12. Ein Angreifer 14 belauscht den Austausch der Kommunikationspartner 10, 12 über den unsicheren Kommunikationskanal, welcher beispielsweise auf einem drahtlosen Medium oder einem herkömmlichen Bussystem basieren mag.
-
Erfindungsgemäß ermitteln die Kommunikationspartner 10, 12 zunächst eine Folge von Messwerten, die sich auf eine oder mehrere veränderliche Messgröße bzw. Messgrößen des Kommunikationskanals oder daraus abgeleiteten Größen beziehen. Vorliegend wird hierbei auf einen Indikator für die Empfangsfeldstärke kabelloser Kommunikationsanwendungen, den sogenannten Received Signal Strength Indicator (RSSI), abgestellt, obgleich sich andere Ausführungsformen des erfindungsgemäßen Verfahrens an dieser Stelle etwa auf die vollständigen Impulsantwort des Kanals oder daraus abgeleiteten Größen beziehen mögen, ohne den Rahmen der Erfindung zu verlassen. Optional können besonders hohe oder niedrige und daher nicht plausible Messwerte bereits in dieser Phase der Verarbeitung verworfen werden.
-
2 zeigt exemplarisch die Verteilung zweier derartiger Messwerte des RSSI relativ zu einem vorgegebenen Schwellenwert 20, der einer späteren Quantisierung zugrunde gelegt werden soll. Dabei ist davon auszugehen, dass alle Werte – etwa durch thermisches Rauschen und (lokale) Interferenzen – rauschbehaftet sind. Als Randbedingung sei ferner anzunehmen, dass jede Realisierung 22, 24 im Rahmen der Quantisierung letztlich in ein Bit bi überführt werden soll, dessen Wert – symbolisiert durch die Pfeile 26 – davon abhängt, ob der jeweilige Messwert ober- oder unterhalb des Schwellenwertes 20 liegt. Es versteht sich, dass jenseits dieses Beispiels aus einem Messwert auch mehrere Bits quantisiert werden können und selbst für den binären Fall abweichende Entscheidungsschwellen denkbar sind.
-
Vor diesem Hintergrund liegt es nahe, die bedingte Wahrscheinlichkeit P[bi = 1|xi] im Falle der ersten Realisierung 22 wesentlich geringer einzustufen als im Falle der zweiten Realisierung 24; gerade umgekehrt ist die bedingte Wahrscheinlichkeit P[bi = 0|xi] der Alternative zu bewerten. Um diese Erkenntnis zu verwerten, ermitteln die Kommunikationspartner jeweils eine auf den Messwert xi bezogene erste Zuverlässigkeitsmetrik Li. Im Programmablaufplan gemäß 3 wird diese Berechnung durch eine erste Operation 30 repräsentiert.
-
Als erste Zuverlässigkeitsmetrik dient dabei in der vorliegenden Ausführungsform der Log-Likelihood-Quotient des Testproblems H
0: b
i = 0 gegen H
1: b
i = 0 gemäß folgender Beziehung:
-
In einer zweiten Operation 32 dekodieren die Kommunikationspartner 10, 12 jeweils die erste Zuverlässigkeitsmetrik Li. Diese zweite Operation 32 entspricht im Ergebnis einer Vorwärtsfehlerkorrektur (englisch forward error correction, FEC), wie sie auch zum Senken der Fehlerrate bei der Übertragung digitaler Daten Anwendung findet. Im Rahmen des in Rede stehenden Verfahrens wird hierzu ein Decoder verwendet, der – gemäß dem Grundtyp eines Soft-Decision-Decoders – nicht nur ein der ersten Zuverlässigkeitsmetrik Li entsprechendes Eingangssignal verarbeiten, sondern auch an seinem Ausgang eine zweite Zuverlässigkeitsmetrik L'i liefert. (In der vorliegenden Ausführungsform findet hier ebenfalls der Log-Likelihood-Quotient Anwendung; insofern unterscheiden sich die erste und zweite Zuverlässigkeitsmetrik zwar hinsichtlich ihrer konkreten Werte, in der Regel jedoch nicht hinsichtlich der zugrunde liegenden Berechnungsvorschrift.) Derartige Decoder sind dem Fachmann als Soft-in-Soft-out-Decoder geläufig und fußen beispielsweise auf dem BCJR- oder dem Soft-Output-Viterbi-Algorithmus (SOVA), wobei unterschiedlichste Codes zum Einsatz kommen können.
-
In einer dritten Operation 34 bestimmen die Kommunikationspartner 10, 12 jeweils wie zuvor erläutert eine Verbundzuverlässigkeitsinformation. Geeignete Gütefunktionen sind dem Fachmann hinreichend bekannt und entsprechen dem folgenden Schema: Q = f(L'1, L'2, ..., L'N)
-
Dabei mag f beispielsweise als das arithmetische Mittel oder das Minimum seiner Funktionsargumente definiert sein.
-
In einer ersten Verzweigung vergleichen die Kommunikationspartner 10, 12 diese Güte mit einem gemeinsamen Zielwert. Falls die Güte seitens des ersten Kommunikationspartners 10 oder des zweiten Kommunikationspartners 12 den Zielwert verfehlt – symbolisiert durch den mit dem Buchstaben „N” gekennzeichneten Zweig der Verzweigung 36 –, ist von einer unzureichenden Zuverlässigkeit des vorliegenden Datenmaterials für die angestrebte Quantisierung auszugehen. In diesem Fall ist es zweckmäßig, zumindest die zweite Operation 32 des Dekodierens der ersten Teststatistik Li zu wiederholen, was die Kommunikationspartner 10, 12 sich wechselseitig signalisieren.
-
Um die Erfolgswahrscheinlichkeit für die erneute Iteration der Operationen 32, 34 zu erhöhen, sind verschiedene Anpassungen seitens der beiden Kommunikationspartner 10, 12 denkbar. In Betracht kommt etwa eine Ersetzung des verwendeten SISO-Vorwärtsfehlerkorrekturdecoders. Auch hinsichtlich der ersten Zuverlässigkeitsmetrik Li mögen sich zahlreiche Variationen als zielführend erweisen, wobei die verfügbaren Möglichkeiten eine gemeinsame Permutation der ersten Zuverlässigkeitsmetrik Li, eine Mittelwertbildung und Kombination aufeinanderfolgender Wertepaare oder eine Löschung besonders unsicherer Einzelwerte umfassen. Diese Anpassungen, die eine weitere Abstimmung der Kommunikationspartner 10, 12 erfordern können, sind abbildungsgemäß in einer vierten Operation 38 zusammengefasst.
-
Sobald nun die Güte seitens beider Kommunikationspartner 10, 12 schließlich den gemeinsamen Zielwert erreicht, ist die Voraussetzung für eine fünfte Operation 40 in Form der eigentlichen Quantisierung erfüllt. In der vorliegenden, auf dem Log-Likelihood-Quotienten beruhenden Ausführungsform ist hierzu lediglich eine beiderseitige Vorzeichenbestimmung der zweiten Zuverlässigkeitsmetrik L'i erforderlich. Das jeweilige Ergebnis behandeln die Kommunikationspartner 10, 12 als Kandidaten für den zu erzeugenden Schlüssel.
-
Um abschließend die Übereinstimmung des Schlüssels zu verifizieren, berechnen die Kommunikationspartner 10, 12 in einer sechsten Operation 42 jeweils eine diesbezügliche Prüfsumme. Somit bleibt lediglich in einer zweiten Verzweigung 44 zu prüfen, ob die Prüfsumme des ersten Kommunikationspartners 10 mit jener des zweiten Kommunikationspartners 12 übereinstimmt. Schlägt diese Prüfung fehl, so sind neben dem schlichten Abbruch des Prozesses und der Ausgabe einer entsprechenden Fehlermeldung abermals verschiedene Vorgehensweisen denkbar, um das Verfahren der Schlüsselerzeugung doch noch zu einem Ergebnis zu führen. Diese Maßnahmen sind abbildungsgemäß in Gestalt einer siebten Operation 46 zusammengefasst.
-
Insofern ist zunächst an eine Erhöhung des gemeinsamen Zielwertes zu denken, bevor die vorangehenden Verfahrensschritte unter der Annahme des erhöhten Zielwertes erneut durchlaufen werden. Ferner kann sich die Ermittlung weiterer Messwerte xi durch die Kommunikationspartner 10, 12 als hilfreich erweisen, wobei die zusätzlich gewonnenen Realisierungen der stochastischen Variablen RSSI mit den bereits verfügbaren Werten in jedweder Weise kombiniert werden oder diese ersetzen können. Eine Option ist schließlich auch, die zu diesem Zeitpunkt bereits vorverarbeiteten, aber nicht vollständig identischen Bitsequenzen mit einem herkömmlichen Schlüsselabgleichverfahren, wie z. B. dem eingangs erwähnten CASCADE-Protokoll, letzten Endes vollständig abzugleichen.
-
Erst wenn – gegebenenfalls nach dem Durchlauf weiterer Iterationen – die Prüfsumme des ersten Kommunikationspartners 10 mit der Prüfsumme des zweiten Kommunikationspartners 12 übereinstimmt, ist ein vorläufiger Endzustand 48 des Verfahrensablaufs erreicht, in welchem die Kommunikationspartner 10, 12 eine gemeinsame Bitsequenz haben, aus denen dann ggf. in nachgeschalteten weiteren Schritten der eigentliche symmetrische Schlüssel abgeleitet werden kann. Ein Beispiel für so einen nachgeschalteten Schritt ist die Anwendung einer Hash-Funktion auf die Bitsequenz bei beiden Teilnehmern, um die Sicherheit weiter zu erhöhen und die abgeglichenen Bitsequenzen auf die gewünschte Länge zu bringen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
