-
Technisches Gebiet
-
Die vorliegende Erfindung befasst sich mit Informationssicherheit (Security), vor allem mit der Authentizität und Vertraulichkeit einer Kommunikation in einem verteilten System. In vielen Szenarien des sogenannten „Internet der Dinge“, wie z.B. für die Heimautomatisierung oder für Sensornetzwerke, kommunizieren kleine, ressourcenbeschränkte Geräte miteinander und teilen dabei potentiell kritische Informationen über die Geräte und über Personen in ihrem Umfeld. Verstärkt sind solche Geräte auch an Aktoren angeschlossen und ermöglichen eine oft drahtlose Steuerung kritischer Funktionen, z.B. in der Heimautomatisierung von Heizungen oder Spannungsquellen oder in der Industrieautomatisierung sogar die Steuerung ganzer Fertigungen.
-
Daher ist es bedeutend, die Authentizität einer Kommunikation (also die Eigenschaft, dass sie von einem bestimmten zulässigen Gerät stammt bzw. zwischen bestimmten zulässigen Geräten stattfindet) und die Vertraulichkeit einer Kommunikation (also die Eigenschaft, dass die Kommunikation nicht von unerwünschten Geräten abgegriffen werden kann) sicherzustellen.
-
Stand der Technik
-
Bestehende Ansätze zur Absicherung einer Kommunikation in verteilten Systemen verlangen meist aufwendige Schaltungsteile oder umfangreiche, abzusichernde Speicherkapazität und bringen damit hohe Hardwarekosten mit sich.
-
Zudem können viele bekannte Absicherungen von Angreifern mit starker Rechenleistung überwunden werden. Angreifer können dazu z.B. auf Rechenleistung aus der Cloud zurückgreifen oder zukünftig möglicherweise auf Methoden der Quantenkryptographie. Viele Lösungen bieten auch nur entweder eine Authentisierung der beteiligten Geräte oder die Vertraulichkeit der Kommunikation, was sie interaktiven Angreifern gegenüber verletzlich macht.
-
Zur Erreichung der Schutzziele Vertraulichkeit und Authentizität kommen üblicherweise kryptographische Verfahren zum Einsatz, die man in zwei Kategorien unterteilen kann: Symmetrische Verfahren, bei denen Sender und Empfänger über denselben kryptographischen Schlüssel verfügen, sowie asymmetrische Verfahren, bei denen der Sender die zu übertragenden Daten mit dem öffentlichen (d.h. auch einem potenziellen Angreifer möglicherweise bekannten) Schlüssel des Empfängers verschlüsselt, die Entschlüsselung aber nur mit dem zugehörigen privaten Schlüssel erfolgen kann, der idealerweise nur dem Empfänger bekannt ist.
-
Asymmetrische Verfahren haben unter anderem den Nachteil, dass Sie in der Regel eine sehr hohe Rechenkomplexität aufweisen. Damit sind sie nur bedingt für ressourcenbeschränkte Knoten, wie z.B. Sensoren, Aktuatoren, o.ä., geeignet, die üblicherweise nur über eine relativ geringe Rechenleistung sowie geringen Speicher verfügen und energieeffizient arbeiten sollen, beispielsweise aufgrund von Batteriebetrieb oder dem Einsatz von Energy Harvesting. Darüber hinaus steht oftmals nur eine begrenzte Bandbreite zur Datenübertragung zur Verfügung, was den Austausch von asymmetrischen Schlüsseln mit Längen von 2048 Bit oder noch mehr unattraktiv macht.
-
Bei symmetrischen Verfahren hingegen muss gewährleistet sein, dass sowohl Empfänger als auch Sender über den gleichen Schlüssel verfügen. Das zugehörige Schlüsselmanagement stellt dabei generell eine sehr anspruchsvolle Aufgabe dar. Im Bereich des Mobilfunks werden Schlüssel beispielsweise mit Hilfe von SIM-Karten in ein Mobiltelefon eingebracht und das zugehörige Netz kann dann der eindeutigen Kennung einer SIM-Karte den entsprechenden Schlüssel zuordnen. Im Fall von Wireless LANs hingegen erfolgt üblicherweise eine manuelle Eingabe der zu verwendenden Schlüssel (in der Regel durch die Eingabe eines Passwortes) bei der Einrichtung eines Netzwerkes. Ein solches Schlüsselmanagement wird allerdings schnell sehr aufwändig und impraktikabel, wenn man eine sehr große Anzahl von Knoten hat, beispielsweise in einem Sensornetzwerk oder anderen Maschine-zu-Maschine-Kommunikationssystemen. Darüber hinaus ist eine Änderung der zu verwendenden Schlüssel oftmals überhaupt nicht bzw. nur mit sehr großem Aufwand möglich.
-
Asymmetrische Verschlüsselungsverfahren sind momentan Standard für die Verwirklichung von Sicherheitsfunktionen für viele Netzwerke, werden aber aus Performance-Gründen oft in Verbindung mit symmetrischen Verschlüsselungsverfahren eingesetzt. Solche Verfahren können sowohl Vertraulichkeit einer Kommunikation als auch Authentisierung der Kommunikationspartner leisten, bringen allerdings hohe Gerätekosten mit sich, da die benötigte Rechenleistung in den einzelnen Geräten in der Regel sehr hoch ist, sowie einen hohen Verwaltungsaufwand für die benötigte Daten- und Schlüsselinfrastruktur.
-
Der Einsatz von physikalischen, unklonbaren Funktionen (physical unclonable functions oder PUF) für die Authentisierung ist zum Beispiel aus der
DE 10 2010 038703 B3 und der
DE 10 2010 041447 A1 bekannt. In den nicht vorveröffentlichten Anmeldungen
DE 10 2014 208975 A1 sowie
DE 10 2014 209042 A1 sind Verfahren für die abgesicherte Kommunikation in einem verteilten System auf Basis von Kanaleigenschaften der verbundenen Einheiten beschrieben. Die letztgenannten Verfahren gehören zu den Ansätzen, die unter dem Schlagwort Physical Layer Security (PLS) untersucht und entwickelt werden und mit Hilfe derer insbesondere Schlüssel für symmetrische Verfahren automatisch auf der Grundlage physikalischer Eigenschaften der Übertragungskanäle zwischen den involvierten Knoten erzeugt werden können. Dabei nutzt man die Reziprozität und die inhärente Zufälligkeit dieser Übertragungskanäle aus.
-
Offenbarung der Erfindung
-
Vorgeschlagen wird ein Verfahren zur Absicherung einer Kommunikation zwischen einem ersten Gerät und einem zweiten Gerät, bei welchem das erste Gerät aus physikalischen Eigenschaften eines Kommunikationskanals zu dem zweiten Gerät einen mit dem zweiten Gerät gemeinsamen, geheimen Schlüssel ableitet. Dieser Schlüssel wird zur Absicherung einer Kommunikation im Rahmen einer Challenge-Response-Authentisierung verwendet. Diese Authentisierung basiert wiederum auf physikalischen Eigenschafte, diesmal auf einer Messung an einem physikalischen System durch das erste Gerät. Die Messung erfolgt, nachdem das physikalische System abhängig von einer vom zweiten Gerät empfangenen Anforderung angeregt wird. Das Ergebnis für die mit der Messung bestimmte physikalische Eigenschaft des Systems wird von dem ersten Gerät für die Bestimmung einer Antwort auf die Anforderung herangezogen. Die Antwort wird dann für eine Authentisierung an das zweite Gerät versendet. Dabei kann das zweite Gerät das erste Gerät direkt auf Basis der Antwort authentisieren oder die Antwort mit der Anforderung zusammen für eine spätere Authentisierung abspeichern.
-
Die Kombination von physikbasierter, insbesondere PUF-basierter, Authentisierung und physikbasierter, insbesondere PLS-basierter, Verschlüsselung deckt alle relevanten kryptographischen Sicherheitsziele ab wie Vertraulichkeit, Integrität und Authentizität – und das zu vergleichsweise niedrigen Kosten. Die vorgestellten Verfahren sind zudem robuster und einfacher zu verwalten und die entsprechenden Informationen sind einfacher zu verteilen als bei bekannten Verfahren. Eine aufwendige Schlüsselverwaltung z.B. über eine Public Key Infrastructure (PKI) wie bei vielen herkömmlichen Verfahren ist nicht nötig.
-
In besonders bevorzugten Ausführungen werden die vorgestellten Verfahren für Geräte eingesetzt, die miteinander drahtlos kommunizieren. Bei solchen Drahtlossystemen ist es besonders effizient möglich, aus dem drahtlosen Kommunikationskanal geeignete Parameter für die Erstellung eines zwischen den Geräten geteilten Geheimnisses abzuleiten.
-
Vorzugsweise empfängt das authentisierende Gerät die für die Anforderung zu erwartende Antwort, die es für die Verifizierung einer erhaltenen Antwort benötigt, von einem Datenbank-Server. Ein solches Verfahren mit zentraler Datenbank ist einfacher und günstiger realisierbar als typische Public-Key-Infrastrukturen (PKI), da lediglich Challenge-Response-Paare abgelegt werden müssen im Gegensatz zu Rückrufinformationen und schwarzen Listen, wie sie bei einer PKI typisch sind. Da weder die Anforderung noch die Antwort während des Authentisierungsverfahrens öffentlich werden, können Challenge-Response-Paare mehrfach verwendet werden. Es müssen somit weniger solcher Wertepaare vorgehalten werden, was die Organisation des Verfahrens vereinfacht. Das Verfahren wird dadurch zudem beschleunigt.
-
Desweiteren können auch Challenge-Response-Mechanismen einsetzt werden, die auf einer Modellierung physikalischer, unklonbarer Funktionen (PUF) basieren. Das Modell kann für jede Anfrage (Challenge) eine Antwort (Response) generieren, die zwar aufgrund von unvollkommener Modellierung in der Regel fehlerbehaftet ist, jedoch für den Zweck des Authentisierungsverfahrens ausreichend genau erzeugt werden kann. Solche PUF-basierten Ansätze können noch einfacher und kostengünstiger implementiert werden.
-
Vorzugsweise wird die Antwort in dem zu authentisierenden Gerät durch eine Messung intrinsischer, physikalischer Eigenschaften dieses Geräts nach einer von der Anforderung abhängigen Anregung bestimmt. Dabei können insbesondere physikalische, unklonbare Funktionen eingesetzt werden. Der Vorteil derartiger Challenge-Response-Verfahren ist die erhöhte Sicherheit gegen Angriffe auf die für die Antwort ermittelten Informationen.
-
Werden für die Schritte zur Verarbeitung oder Nachbearbeitung verrauschter physikalischer Daten zum einen im Rahmen der Schlüsselableitung und zum anderen im Rahmen der Bestimmung der Antwort gleiche Hardwareelemente des ersten Geräts eingesetzt, so können der benötigte Platz für Schaltungen und die Hardwarekosten deutlich reduziert werden, was besonders bei kleinen, ressourcenlimitierten Geräten möglicherweise erst eine effiziente Realisierung der beschriebenen Sicherheitsziele ermöglicht.
-
Zur effizienten Berechnung und zur Reduktion der benötigten Datenmengen können für Schritte zur Verarbeitung oder Nachbearbeitung verrauschter physikalischer Daten zum einen im Rahmen der Schlüsselableitung und zum anderen im Rahmen der Bestimmung der Antwort gleiche Software-Algorithmen im ersten Gerät eingesetzt werden.
-
Die beschriebenen Synergieeffekte können besonders bei der Verarbeitung oder Nachbearbeitung von Daten im Rahmen einer Fehlerkorrektur (vor allem bei Error Correction Codes, ECC) erzielt werden.
-
Insgesamt sind die vorgeschlagenen Verfahren sehr robust, da sowohl die Authentisierung als auch die Verschlüsselung auf Basis von physikalischen Eigenschaften realisiert sind und nicht (allein) auf mathematischen Mechanismen beruhen. Mathematische Mechanismen beruhen auf mathematischen Konstruktionen (wie z.B. elliptischen Kurven), welche strukturelle Eigenschaften besitzen. Das Vorhandensein solcher strukturellen Eigenschaften birgt die Gefahr, dass eines Tages Algorithmen entdeckt werden, die diese mathematischen Mechanismen in polynomieller Zeit brechen (also, lösen) können. Physik-basierte Mechanismen haben dagegen – in der praktischen Realisierung – keine strukturellen Eigenschaften, da Rauschen und Nichtlinearitäten das theoretische Verhalten stark verzerren. Mathematische Mechanismen könnten zudem durch die mögliche Verfügbarkeit deutlich stärkerer Rechenleistung (etwa Quantencomputer) in Zukunft angreifbarer werden.
-
Neben den vorgestellten Verfahren betrifft die Erfindung auch Computerprogramme, die diese Verfahren durchführen, sowie Geräte und Systeme, auf denen die beschriebenen Verfahren ablaufen.
-
Zeichnungen
-
Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegenden Zeichnungen und anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigen:
-
1 ein beispielhaftes Netzwerk mit mehreren Geräten als Teilnehmern,
-
2 schematisch ein beispielhaftes Verfahren zur Ermittlung von Challenge-Response-Paaren,
-
3 schematisch ein beispielhaftes Verfahren zur Authentisierung eines Geräts zur Anforderung von Challenge-Response-Paaren,
-
4 schematisch ein beispielhaftes Challenge-Response-Verfahren zur Authentisierung eines Geräts und
-
5 eine schematische Erläuterung eines Fehlerkorrektur-Verfahren.
-
Beschreibung der Ausführungsbeispiele
-
Bedeutende, kryptographische Ziele für die Kommunikation zwischen Geräten in einem verteilten System sind die Authentizität der beteiligten Kommunikationspartner und die Vertraulichkeit der zwischen ihnen ausgetauschten Informationen. Um diese Ziele zu erreichen, wird vorgeschlagen, die Authentisierung eines Geräts über ein physikbasiertes Challenge-Response-Verfahren, insbesondere basierend auf einer physikalischen, unklonbaren Funktion (PUF), mit einem Verfahren zu kombinieren, bei welchem die Vertraulichkeit der Kommunikation des Geräts durch eine physikbasierte Verschlüsselung abgesichert werden. Dabei wird der Schlüssel von dem Gerät aus physikalischen Eigenschaften eines Übertragungskanals des Geräts mit einem weiteren Gerät abgeleitet.
-
Für die Authentisierung können Challenge-Response-Verfahren eingesetzt werden, bei welchen die Antwort (Response) auf eine Anforderung (Challenge) durch Messungen physikalischer Eigenschaften auf eine von der Anforderung (Challenge) bestimmte Anregung hin bestimmt wird, insbesondere auf Basis physikalischer, unklonbarer Funktionen.
-
Dabei werden im Vorfeld mittels Messungen physikalischer Eigenschaften eines Systems Werte-Paare bestimmt, wobei jedes Werte-Paar einer Anregung des Systems und der entsprechenden Antwort des Systems entspricht. Sind die dabei zugrundeliegenden physikalischen Eigenschaften sehr schwer oder (zumindest mit realisierbarem Aufwand) gar nicht in einem nachgeahmten System nachzustellen, so dienen diese Werte-Paare quasi als Fingerabdruck des Systems, die zugrunde liegenden Eigenschaften werden oft als physikalische, unklonbare Funktionen (PUF) bezeichnet. Die Challenge-Response-Paare können für die Identifikation bzw. Authentisierung des Systems eingesetzt werden. Desweiteren können auch Challenge-Response-Mechanismen einsetzt werden, die auf einer Modellierung physikalischer, unklonbarer Funktionen (PUF) basieren. Ein Modell kann für jede Anfrage (Challenge) eine Antwort (Response) generieren, die zwar aufgrund von unvollkommener Modellierung in der Regel fehlerbehaftet ist, jedoch für den Zweck des Authentisierungsverfahrens ausreichend genau erzeugt werden kann.
-
Für das Verschlüsselungsverfahren können zudem von jeweils zwei Geräten gemeinsame Geheimnisse aus physikalischen Eigenschaften des gemeinsamen Kommunikationskanals abgeleitet und gegebenenfalls ausgehandelt werden. Aus physikalischen Eigenschaften ihres gemeinsamen Übertragungskanals ermitteln die Geräte dabei jeweils Werte, insbesondere eine Bitfolge, die sie dem jeweils ermittelten Geheimnis zugrunde legen. Dabei werden die Reziprozität und die inhärente Zufälligkeit des Übertragungskanals zwischen den beteiligten Geräten ausgenutzt. Dies kann im Detail beispielsweise ablaufen wie im Folgenden beschrieben.
-
Die zwei Geräte schätzen eine bestimmte Anzahl von Kanalparametern, evtl. auch über die Zeit. Diese Kanalparameter werden von beiden Geräten geeignet quantisiert. Vorzugsweise folgen dann Maßnahmen zur Rausch- bzw. Fehlerreduktion, z.B. durch Verwendung von fehlerkorrigierenden Codes.
-
Mit Hilfe geeigneter Mechanismen erfolgt dann ein Abgleich der quantisierten Kanalparameter zwischen den Geräten, vorzugsweise unter Verwendung eines öffentlichen Protokolls. Dies ist oft notwendig, da aufgrund von Messungenauigkeiten, Rauschen, Interferenzen, etc. beide Geräte im Allgemeinen zunächst keine identischen Parametersätze ermittelt haben. Der Abgleich sollte dabei derart gestaltet sein, dass ein potenzieller Angreifer, der die ausgetauschten Daten mithören kann, davon nicht ohne Weiteres auf die quantisierten Kanalparameter schließen kann. Hierzu können beispielsweise lediglich Paritätsbits zwischen den Geräten ausgetauscht werden. Optional können noch eine Validierung des geteilten Geheimnisses (z.B. eine Entropieabschätzung) und eine Verbesserung des so bestimmten, geteilten Parametersatzes bzw. der geteilten Bitfolge (z.B. durch Verdichtung über Hashwert-Bildung) durchgeführt werden. Schließlich verfügen beide Geräte auf Grundlage der derart quantisierten, verarbeiteten und abgeglichenen Kanalparameter über ein geteiltes Geheimnis.
-
Dabei wird angenommen, dass ein potenzieller Angreifer einen genügend großen Abstand zu den beiden Geräten hat, in denen das geteilte Geheimnis erzeugt werden soll. Der Abstand sollte dabei mindestens in der Größenordnung der so genannten Kohärenzlänge liegen, die bei den gängigen drahtlosen Kommunikationssystemen im Bereich von wenigen Zentimetern liegt. Damit sieht der Angreifer jeweils andere (unabhängige) Übertragungskanäle zu diesen beiden Geräten und kann nicht ohne weiteres dasselbe geteilte Geheimnis rekonstruieren.
-
Als Kanalparameter kommen z.B. durch den Übertragungskanal bedingte Phasenverschiebungen, Dämpfungen sowie daraus abgeleitete Größen in Frage. Der Received Signal Strength Indicator (RSSI) stellt z.B. einen gängigen Indikator für die Empfangsfeldstärke kabelloser Kommunikationsanwendungen dar und kann für diese Zwecke herangezogen werden. Zur Ermittlung der Kanalparameter können beiden Seiten bekannte Pilotsignalfolgen zwischen den Geräten übertragen werden, welche die nötigen Kanalschätzungen erleichtern.
-
Bei den beschriebenen Verfahren wird davon ausgegangen, dass die Übertragungskanäle zwischen den Geräten ausreichende Schwankungen ihrer Kanaleigenschaften aufweisen, um daraus geeignete Kanalparameter ableiten zu können, die sich als Grundlage für eine Generierung eines geteilten Geheimnisses in den Teilnehmern eignen (insbesondere ausreichende Zufallseigenschaften aufweisen). Diese Schwankungen können dabei insbesondere sowohl im Zeit- als auch im Frequenzbereich auftreten sowie bei Mehrantennensystemen auch im räumlichen Bereich. Es wird aber auch angenommen, dass die Kanaleigenschaften über kurze Zeitspannen eine ausreichend hohe Korrelation aufweisen, dass Datenübertragungen in beide Richtungen erfolgen können, aus denen die jeweiligen Geräten trotz zeitlichen Versatzes ausreichend gleiche Kanaleigenschaften abschätzen können, um ausreichend ähnliche Kanalparameter zu erhalten, aus denen gleiche geteilte Geheimnisse erhalten werden können. Das geteilte Geheimnis kann dann entweder direkt als Schlüssel für eine Verschlüsselung herangezogen werden oder einem solchen Schlüssel zumindest zugrunde gelegt werden.
-
Das gleichzeitige Gewährleisten von Authentizität und Vertraulichkeit ist z.B. in den folgenden Szenarien einer Challenge-Response-Authentisierung besonders bedeutend.
-
Sollen etwa zwei Geräte miteinander sicher verknüpft werden, z.B. in einem Netzwerk mit Unterstützung eines zentralen Knotens, so kann dies auf Basis von Challenge-Response-Paaren geschehen, welche Informationen beinhalten, mit denen die Geräte sich untereinander bzw. in welchen der zentrale Knoten die Geräte authentisieren kann. Die Challenge-Response-Paare können z.B. durch eines der Geräte oder den zentralen Netzwerkknoten von einem Datenbank-Server geladen werden. Für den Austausch der für die Authentisierung verwendeten Challenge-Response-Informationen ist zudem aber auch Vertraulichkeit der Kommunikation nötig, um zu verhindern, dass ein Angreifer die kritischen Daten für die Authentisierung abgreifen kann. Ist ein Angreifer nämlich im Besitz von Challenge-Response-Paaren, die ein bestimmtes Gerät charakterisieren, so kann er die Identität dieses Geräts vortäuschen.
-
Sind die Challenge-Response-Informationen für eine Authentisierung zweier Geräte, möglicherweise mit Unterstützung eines dritten Geräts, an die Geräte verteilt, dann endet noch nicht die Notwendigkeit für eine Vertraulichkeit der Kommunikation. Nutzen die Geräte nämlich die Challenge-Response-Informationen zur Authentisierung, wird eine Anforderung (Challenge) von einem Gerät an das andere Gerät geschickt und von diesem die entsprechende Antwort (Response) erwartet. Werden diese Daten nicht vertraulich übertragen, so kann dies ein Angreifer ausnutzen, zum Beispiel durch einen Mann-in-the-middle-Angriff. Hierzu kann der Angreifer eine Anforderung (Challenge) empfangen, an das eigentlich adressierte Gerät weiterleiten, von diesem wiederum die Antwort (Response) empfangen und diese Antwort (Response) an das anfordernde Gerät weiterleiten.
-
Wurden zu viele Challenge-Response-Paare für eine Authentisierung bereits einfach oder sogar mehrfach verwendet, sollten die Challenge-Response-Paare, die in einem Gerät gespeichert sind, aus Sicherheitsgründen durch neue Challenge-Response-Paare ausgetauscht werden. Dieser Erneuerungsvorgang ist aufgrund der übertragenen, sensitiven Daten wiederum sehr kritisch und muss durch die Vertraulichkeit der Kommunikation abgesichert werden.
-
Durch die vorgeschlagene Verschlüsselung der Kommunikation ist es möglich, dass ein Gerät gleich eine Reihe kompletter Challenge-Response-Paaren für die Authentisierung verschiedener anderer Gerät von einem Datenbank-Server vorlädt, anstatt von diesem nur Anforderungen (Challenges) zu beziehen und die Verifizierung der Antworten (Responses) durch den Datenbank-Server vornehmen zu lassen. Damit kann eine Authentisierung dieser Geräte erfolgen, auch wenn für eine bestimmte Zeit keine Verbindung zu dem Datenbank-Server verfügbar ist.
-
Die beschriebenen Verfahren sind zur Absicherung der Kommunikation zwischen mindestens zwei Geräten einsetzbar, die untereinander vorzugsweise über drahtlose Kommunikationsverbindungen bzw. -kanäle kommunizieren. Die Geräte können dabei über Punkt-zu-Punkt-Verbindungen oder in einem Kommunikationsnetzwerk anderer Ausprägung miteinander verknüpft sein.
-
Ein möglicher Aufbau für ein Kommunikationsnetzwerk ist in 1 gezeigt. Dabei sind mehrere Geräte 1, 2, 3, 4 in einem Kommunikationsnetzwerk miteinander verknüpft. Die Netzwerk-Teilnehmer 1 bis 4 sind insbesondere kleine, ressourcenlimitierte Sensor- oder Aktorknoten. Alternativ kann der Teilnehmer 1 als Nutzerendgerät ausgestaltet sein, durch welchen die übrigen Teilnehmer 2 bis 4 kontrolliert bzw. gesteuert werden können. Ein solches Nutzerendgerät 1 verfügt in der Regel über deutlich mehr Ressourcen (Rechenpower, Speicherplatz, Schnittstellen, Energie) und kann beispielsweise durch ein Smartphone, einen Tablet-Computer oder ähnliche Geräte realisiert sein. Zudem kann auch ein Datenbank-Server 10 vorgesehen sein, mit dem Teilnehmer 1 über die Kommunikationsverbindung 101 verbunden ist. Der Datenbank-Server 10 kann insbesondere vom Hersteller des Teilnehmers 1 oder einer anderen vertrauenswürdigen Instanz bereit gestellt werden und unter anderem auch für Online-Unterstützung des Teilnehmers 1 bzw. des Netzwerkes verwendet werden. Die Teilnehmer 1 bis 4 sind untereinander verbunden, z.B. Teilnehmer 1 und Teilnehmer 2 über die Kommunikationsverbindung 12. Zudem kommunizieren Teilnehmer 1 mit dem Datenbankserver 10 über die Kommunikationsverbindung 101 und Teilnehmer 2 mit dem Datenbankserver 10 über die Kommunikationsverbindung 102.
-
In 2 ist eines der vorgeschlagenen Verfahren gezeigt. Bei diesem generieren Datenbankserver 10 und Gerät 2 in Schritt 201 aus physikalischen Eigenschaften des gemeinsamen Kommunikationskanals 102 einen gemeinsamen Schlüssel bzw. handeln diesen aus. Mit diesem Schlüssel verschlüsseln sie die weitere Kommunikation der Schritte 202 und 203.
-
In Schritt 202 sendet Datenbankserver 10 eine Anforderung (Challenge) an Gerät 2. Dieses misst nach einer von der Anforderung (Challenge) abhängigen Anregung eines physikalischen Systems eine charakteristische physikalische Eigenschaft und bestimmt somit eine Antwort (Response).
-
In Schritt 203 sendet Gerät 2 die ermittelte Antwort (Response) an den Datenbankserver 10. Dieser speichert die Antwort (Response) gemeinsam mit der Anforderung (Challenge) ab und hat somit ein Challenge-Response-Paar abgespeichert, welches charakteristisch für Gerät 2 ist und für dessen spätere Authentisierung herangezogen werden kann.
-
In 3 ist eine weitere Einsatzmöglichkeit der vorgeschlagenen Verfahren gezeigt. Dabei wird davon ausgegangen, dass auf dem Datenbankserver 10 Challenge-Response-Paare gespeichert sind, welche zur Authentisierung von Gerät 2 sowie von Gerät 1 geeignet sind. Dies kann z.B. wie zu 2 erläutert geschehen.
-
In Schritt 301 generieren Datenbankserver 10 und Gerät 1 aus physikalischen Eigenschaften des gemeinsamen Kommunikationskanals 101 einen gemeinsamen Schlüssel bzw. handeln diesen aus. Mit diesem Schlüssel verschlüsseln sie die weitere Kommunikation der Schritte 302 bis 305.
-
In Schritt 302 sendet Datenbankserver 10 eine Anforderung (Challenge) an Gerät 1. Dieses misst nach einer von der Anforderung (Challenge) abhängigen Anregung eines physikalischen Systems eine charakteristische physikalische Eigenschaft und bestimmt somit eine Antwort (Response).
-
In Schritt 303 sendet Gerät 1 die ermittelte Antwort (Response) an den Datenbankserver 10. Dieser vergleicht die Antwort (Response) mit einer auf diese Anforderung (Challenge) erwarteten, abgespeicherten Antwort (Response) und authentisiert Gerät 1 bei Übereinstimmung.
-
Nach einer Authentisierung kann Gerät 1 in Schritt 304 eine Anforderung (Challenge) von Datenbankserver 10 anfordern, die es für eine spätere Authentisierung von Gerät 2 verwenden kann. Datenbankserver 10 übermittelt in Schritt 305 diese Anforderung (Challenge) an Gerät 1, welches dieses abspeichert.
-
In 4 ist die vorrangige Einsatzmöglichkeit der vorgeschlagenen Verfahren gezeigt. Dabei wird davon ausgegangen, dass auf dem Datenbankserver 10 Challenge-Response-Paare gespeichert sind, welche zur Authentisierung von Gerät 2 geeignet sind. Dies kann z.B. wie zu 2 erläutert geschehen. Zudem liegt im Gerät 1 eine Anforderung (Challenge) vor, welche für eine Authentisierung von Gerät 2 verwendet werden kann, und Gerät 1 und Datenbankserver 10 verfügen über einen gemeinsamen Schlüssel für eine Verschlüsselung ihrer Kommunikation. Dies kann z.B. jeweils wie zu 3 erläutert geschehen.
-
In Schritt 401 generieren Gerät 1 und Gerät 2 aus physikalischen Eigenschaften des gemeinsamen Kommunikationskanals 12 einen gemeinsamen Schlüssel bzw. handeln diesen aus. Mit diesem Schlüssel verschlüsseln sie die weitere Kommunikation der Schritte 402 bis 403.
-
In Schritt 402 sendet Gerät 1 eine Anforderung (Challenge) an Gerät 2. Dieses misst nach einer von der Anforderung (Challenge) abhängigen Anregung eines physikalischen Systems eine charakteristische physikalische Eigenschaft und bestimmt somit eine Antwort (Response).
-
In Schritt 403 sendet Gerät 2 die ermittelte Antwort (Response) an Gerät 1.
-
In Schritt 404 sendet Gerät 1 die empfangene Antwort (Response), gegebenenfalls gemeinsam mit der versendeten Anforderung (Challenge), für eine Verifizierung an Datenbankserver 10. Dieser vergleicht die erhaltene Challenge-Response-Information mit zu Gerät 2 abgespeicherten Challenge-Response-Paaren und sendet in Schritt 405 ein Ergebnis des Vergleichs an Gerät 1. Die Kommunikation zwischen Gerät 1 und Datenbankserver 10 erfolgt verschlüsselt.
-
Gerät 1 authentisiert Gerät 2, falls von Datenbankserver 10 in Schritt 405 ein erfolgreicher Vergleich zurück gemeldet wird.
-
Alternativ kann Gerät 1 wie oben beschrieben anstelle nur einer Anforderung (Challenge) auch ganze Challenge-Response-Paare vorliegen haben und damit das Gerät 2 nach gemeinsamer Schlüsselableitung aus Kanaleigenschaften auch ohne weitere Unterstützung durch Datenbank-Server 10 mit dem Challenge-Response-Verfahren authentisieren.
-
Der Ablauf der Verfahren entsprechend den 2 bis 4 ist so beschrieben, dass in jedem der Teilverfahren die Verschlüsselung auf Basis physikalischer Eigenschaften des Übertragungskanals erfolgt. In einer bevorzugten alternativen Realisierung ist das nur für das Verfahren wie zu 4 beschrieben und nur für die Verschlüsselung der Kommunikation zwischen Gerät 1 und Gerät 2 der Fall. Das Aufzeichnen der Challenge-Response-Informationen über Gerät 2 kann dann alternativ zu dem anhand von 2 beschriebenen Verfahren zum Beispiel direkt beim Hersteller des Geräts 2 über einen sicheren Kanal in vertrauenswürdigen Umgebung stattfinden. Gerät 1 und Datenbankserver 10 können alternativ zu dem anhand von 3 beschriebenen Verfahren auch über klassische Kryptographie-Verfahren (z.B. Public Key Infrastructure) eine gemeinsame Verschlüsselung einsetzen.
-
In einem bevorzugten Szenario handelt es sich bei Gerät 1 um ein Nutzerendgerät wie ein Smartphone, einen Tablet PC oder einen anderen Computer. Dieses ist aufgrund seiner Rechenleistung auch in der Lage, über bekannte Mechanismen wie TLS/DTLS eine sichere Verbindung zum Datenbankserver 10 aufzubauen. Man kann zwar auch aus physikalischen Eigenschaften einer Internetverbindung zwischen zwei Geräten gemeinsame Schlüssel für diese Geräte ableiten, z.B. aus den Round-Trip-Zeiten eines Pings zwischen den Geräten. Dies erfordert aber einen relativ hohen Aufwand. Bei Gerät 2 kann es sich dann um ein ressourcenlimitiertes Gerät wie einen Sensorknoten in einem Netzwerk handeln, das mit Gerät 1 den Schlüssel über die physikalischen Eigenschaften des Übertragungskanals austauscht. Die Kommunikation von Gerät 2 mit Datenbankserver 10 erfolgt aber wie oben beschrieben in vertrauenswürdiger Umgebung, zum Beispiel im Werk nach Herstellung, und benötigt damit keine aufwendigen Verschlüsselungsmechanismen.
-
Neben der Gewährleistung von Vertraulichkeit der Kommunikation und Authentisierung der Kommunikationspartner ermöglicht die vorgeschlagene Kombination der beiden physikbasierten Ansätze für Authentisierung und Vertraulichkeit auch eine Reihe von Synergieeffekten. So ist für beide Ansätze die Bearbeitung von verrauschten Daten aus physikalischen Prozessen nötig. Zur Verarbeitung solcher verrauschten Daten können daher in einem Gerät, das die Kommunikationssicherheit mit einem der vorgeschlagenen Verfahren realisiert, gleiche Komponenten sowohl für den Authentisierungsprozess als auch für die Verschlüsselungsverfahren verwendet werden. Auch gleiche Computerprogramm-Teile zur Verarbeitung verrauschter physikalischer Daten können für beide Verfahren eingesetzt werden. Da die beiden Verfahren im Vergleich zu herkömmlichen Verfahren für sich alleine bereits schon niedrige Anforderungen an die benötigte Hardware und Software haben, kann eine Kombination unter Ausnutzung der beschriebenen Synergien bereits auf kleinsten, ressourcenlimitierten Geräten eingesetzt werden, z.B. für Kleinstsensoren in Sensornetzwerken.
-
Als Beispiel für die beschriebenen Synergien können Mittel zur Bearbeitung der Daten mit Fehlerkorrektur-Verfahren (Error Correction Codes – ECC) sowohl für die vorgeschlagene, physikbasierte Challenge-Response-Authentisierung als auch für die physikbasierte Verschlüsselung eingesetzt werden. Diese können etwa herangezogen werden, um bei der physikbasierten Authentisierung aus verrauschten Messergebnissen einer Messung physikalischer Eigenschaften eines Systems nach einer Anregung, die abhängig von einer Anforderung (Challenge) erfolgt, eine Antwort (Response) zu extrahieren, beispielsweise für sogenannte Secure Sketches. Fehlerkorrekturverfahren können bei der Challenge-Response-Authentisierung auch eingesetzt werden, um Challenge-Response-Paare z.B. mit einer Vorwärtsfehlerkorrektur (FEC) derart zu bearbeiten, dass eine endliche Zahl gültiger Challenge-Response-Paare definiert wird.
-
Dies wird in 5 schematisch dargestellt. Dabei stellen die ungefüllten, kleinen Kreise wie z.B. 53 und 54 Ergebnisse von Messungen der physikalischen Eigenschaften nach einer Anregung eines physikalischen Systems abhängig von einer Anforderung wie oben beschrieben dar. Die kleinen, gefüllten Kreise wie z.B. 52 stellen gültige Antworten, insbesondere gültige Bitfolgen bzw. Codewörter für eine Antwort, dar. Die großen, ungefüllten Kreise wie z.B. 51 stellen den Bereich um gültige Antworten (z.B. Bereich 51 um die gültige Antwort 52) dar, aus welchem entsprechende Ergebnisse durch die Fehlerkorrektur auf die entsprechende gültige Antwort abgebildet werden (aus dem Bereich 51 z.B. auf die gültige Antwort 52). So wird z.B. ein Ergebnis 53 auf die gültige Antwort 52 abgebildet, da es sich im Bereich 51 befindet. Es kann dabei auch Ergebnisse geben, die nicht auf eine gültige Antwort abgebildet werden können, in 5 z.B. dargestellt als Ergebnis 54. Entsprechend zum beschriebenen Vorgehen können auch mögliche Werte für Anforderungen auf eine endliche Zahl gültiger Anforderungen abgebildet bzw. codiert werden.
-
Bei der Schlüsselgenerierung für die physikbasierte Verschlüsselung können die gleichen Fehlerkorrektur-Verfahren wie oben erläutert bei der Aushandlung gemeinsamer Schlüssel zwischen zwei Geräten nach der Ableitung geteilter Geheimnisse aus dem gemeinsamen Kommunikationskanal eingesetzt werden. Der Einsatz gleicher Fehlerkorrektur-Verfahren kann sich sowohl auf den Einsatz gleicher Hardwarekomponenten bei einer Hardwareimplementierung von Fehlerkorrektur-Algorithmen als auch auf die Verwendung gleicher Softwarealgorithmen beziehen.
-
Bei einer Vorauswahl von Elementen für eine physikbasierte Authentisierung, z.B. bei einer sogenannten PUF-Vorauswahl (PUF preselection) von SRAM-Zellen, können Entropieberechnungen nötig sein. Ebenso ist es vorteilhaft, eine Entropieberechnung oder Entropieabschätzung für die aus physikalischen Eigenschaften von Kommunikationskanälen abgeleiteten Schlüssel anzustellen, um zu verifizieren, dass diese den Sicherheitsanforderungen genügen. Somit können Hardwareelemente und Softwarealgorithmen, welche für Entropieberechnungen eingesetzt werden, ebenfalls für beide Verfahren eingesetzt werden.
-
Um die beschriebenen Synergieeffekte möglichst umfangreich zu nutzen, sollten das Authentisierungsverfahren und das Verschlüsselungsverfahren so ausgestaltet werden, dass möglichst viele gleiche Hardwarekomponenten oder gleiche Softwarealgorithmen, möglichst aber beides, bei der Verarbeitung der jeweils anfallenden, verrauschten physikalischen Daten eingesetzt werden können.
-
Hardwareressourcen, die für eine Kommunikation oder Verarbeitung im Rahmen der physikbasierten Verschlüsselung eingesetzt werden, können zudem auch als physikalische Systeme, insbesondere als Quellen für physikalische, unklonbare Funktionen (PUF) herangezogen werden, die der physikbasierten Authentisierung zugrunde liegen. So können Komponenten für die Drahtloskommunikation wie Transceiver oder Kommunikationskontroller als Quellen physikalischer Daten (bzw. als PUF) dienen, sofern sie ausreichend charakterisierende, physikalische Eigenschaften haben. Z.B. können auch SRAM-Bausteine, die für die physikbasierte Verschlüsselungsverfahren eingesetzt werden, als SRAM-PUF eingesetzt werden.
-
Eingesetzt werden können die vorgeschlagenen Authentisierungsverfahren beispielsweise in drahtlos kommunizierenden Kleinstsensoren und in Sensornetzwerken der Heimautomatisierung.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102010038703 B3 [0009]
- DE 102010041447 A1 [0009]
- DE 102014208975 A1 [0009]
- DE 102014209042 A1 [0009]
