DE102016211771A1

DE102016211771A1 - Method and apparatus for determining a shared secret

Info

Publication number: DE102016211771A1
Application number: DE102016211771.8A
Authority: DE
Inventors: Stephan Ludwig
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-06-29
Filing date: 2016-06-29
Publication date: 2018-01-04

Abstract

Verfahren (10) zum Bestimmen eines gemeinsamen Geheimnisses, gekennzeichnet durch folgende Merkmale: – auf den Kanal bezogene Messwerte werden gewonnen (11), – anhand der Messwerte werden durch einen Algorithmus erste Zuverlässigkeitswerte berechnet (12), – die ersten Zuverlässigkeitswerte werden stellenweise kontravalent mit einem über den Kanal empfangenen Empfangswort verknüpft, – anhand der ersten Zuverlässigkeitswerte und eines über den Kanal empfangenen Empfangswortes werden durch einen vorwärtsfehlerkorrigierenden Soft-in-soft-out-Decoder (26) zweite Zuverlässigkeitswerte berechnet (13) und – die zweiten Zuverlässigkeitswerte werden an den Algorithmus zurückgeführt (14).Method (10) for determining a shared secret, characterized by the following features: - channel-related measured values are obtained (11), - based on the measured values, first reliability values are calculated by an algorithm (12), - the first reliability values become locally contravalent linked to a receive word received via the channel, second reliability values are calculated (13) by means of a first error-correcting soft-in-soft-out decoder (13) and the second reliability values are sent to the Algorithm returned (14).

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Bestimmen eines gemeinsamen Geheimnisses (shared secret) über einen unsicheren Kanal. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.The present invention relates to a method for determining a shared secret over an insecure channel. The present invention also relates to a corresponding device, a corresponding computer program and a corresponding storage medium.

Stand der TechnikState of the art

Ein symmetrisches Kryptosystem ist ein Kryptosystem, bei welchem im Gegensatz zu einem asymmetrischen Kryptosystem alle involvierten (legitimen) Teilnehmer denselben Schlüssel verwenden. Die Nutzung ein- und desselben Schlüssels zur Verschlüsselung und Entschlüsselung von Daten, zur Berechnung und Überprüfung von Nachrichtenauthentifizierungscodes etc. bringt es mit sich, dass vor jedwedem verschlüsselten Austausch zunächst der Schlüssel selbst verteilt werden muss. Da von der Geheimhaltung des Schlüssels jedoch die Sicherheit des gesamten Verfahrens abhängt, sehen herkömmliche Ansätze zumeist den Schlüsselaustausch über einen sicheren Kanal vor. Dies kann insbesondere durch eine manuelle Einbringung der Schlüssel in die jeweiligen Teilnehmer geschehen, beispielsweise durch die Eingabe eines Passwortes, aus dem der eigentliche Schlüssel dann abgeleitet werden kann.A symmetric cryptosystem is a cryptosystem in which, unlike an asymmetric cryptosystem, all involved (legitimate) subscribers use the same key. The use of the same key for encrypting and decrypting data, for calculating and verifying message authentication codes, etc. entails that first of all the encrypted exchange, the key itself must be distributed. However, since the secrecy of the key depends on the security of the whole process, traditional approaches usually provide for key exchange over a secure channel. This can be done in particular by a manual introduction of the key in the respective participants, for example by entering a password from which the actual key can then be derived.

Der Schlüsselaustausch über unsichere Kanäle hingegen stellt für den Fachmann noch immer eine Herausforderung dar, der in der Kryptografie als „Schlüsselverteilungsproblem” bekannt ist. Der Stand der Technik bietet zu dessen Lösung Ansätze wie den bekannten Diffie-Hellman-Schlüsselaustausch oder sogenannte hybride Verschlüsselungsverfahren, die den Austausch symmetrischer Schlüssel durch die Einbeziehung asymmetrischer Protokolle ermöglichen.Key exchange via insecure channels, on the other hand, is still a challenge for the skilled person, which is known in cryptography as the "key distribution problem". The state of the art offers solutions to this problem, such as the known Diffie-Hellman key exchange or so-called hybrid encryption methods, which enable the exchange of symmetric keys through the inclusion of asymmetric protocols.

In neuerer Vergangenheit werden jedoch zunehmend Kryptosysteme diskutiert, die das Problem der Schlüsseletablierung von der Anwendungsschicht des OSI-Referenzmodells auf dessen Bitübertragungsschicht (physical layer, PHY) verlagern. Anwendung finden derartige Ansätze etwa auf dem noch jungen Fachgebiet der cyber-physischen Systeme, welche sich durch die schwerpunktmäßige Nutzung drahtloser und somit inhärent unsicherer Kommunikationskanäle auszeichnen.More recently, however, cryptosystems are increasingly being discussed which shift the problem of key establishment from the application layer of the OSI reference model to its physical layer (PHY). Such approaches are used, for example, in the relatively recent field of cyber-physical systems, which are characterized by the predominant use of wireless and thus inherently uncertain communication channels.

Einschlägige Verfahren sehen vor, dass jede der beteiligten Parteien einen Schlüssel derart aus den physikalischen Eigenschaften des sie verbindenden Kanals ableitet, dass die so generierten Schlüssel übereinstimmen, ohne eine Übermittlung konkreter Teile des Schlüssels erforderlich zu machen. DE 10 2014 212 228 hat ein solches Verfahren mit den folgenden Merkmalen zum Gegenstand: Ein erster Kommunikationspartner und ein über einen Kommunikationskanal mit dem ersten Kommunikationspartner verbundener zweiter Kommunikationspartner ermitteln jeweils eine Stichprobe von Realisierungen einer auf den Kommunikationskanal bezogenen stochastischen Variablen. Die Kommunikationspartner ermitteln eine Güte abhängig von der ersten Zuverlässigkeitsmetrik und vergleichen die Güte mit einem gemeinsamen Zielwert. Sie quantisieren schließlich jeweils die Stichprobe anhand eines gemeinsamen Schwellenwertes zu einem Schlüssel, falls die Güte seitens beider Kommunikationspartner den Zielwert erreicht.Relevant methods provide that each of the parties involved derives a key from the physical characteristics of the channel connecting them so that the keys thus generated match, without requiring transmission of specific portions of the key. DE 10 2014 212 228 relates to such a method with the following features: A first communication partner and a second communication partner connected to the first communication partner via a communication channel each determine a sample of implementations of a stochastic variable related to the communication channel. The communication partners determine a quality as a function of the first reliability metric and compare the quality with a common target value. Finally, they quantize the sample using a common threshold value for a key, if the quality of both communication partners reaches the target value.

US 8213616 B2 offenbart Systeme und Verfahren zum Bereitstellen opportunistischer Sicherheit für physikalische Kommunikationskanäle. Ein offenbartes Verfahren ist für opportunistische sichere Kommunikation auf einem Hauptkanal zwischen einem Sendegerät und einem Empfangsgerät, wenn ein Abhörgerät auf einem Abhörkanal zuhört. Dieses Beispielverfahren umfasst in einem ersten Zeitraum, in dem die Signalqualität auf dem Hauptkanal besser ist als die Signalqualität auf dem Abhörkanal, das Übertragen von Symbolen, die zufällig aus einer Reihe von Symbolen ausgewählt werden. Das Verfahren umfasst auch in einem zweiten Zeitraum, in dem die Signalqualität auf dem Hauptkanal nicht besser ist als die Signalqualität auf dem Abhörkanal, das Übertragen von auf die zufällig ausgewählten Symbole bezogener Kodier-Information. Das Verfahren umfasst auch das Abstimmen der zufällig ausgewählten Symbole mittels der Kodier-Information. US 8213616 B2 discloses systems and methods for providing opportunistic security for physical communication channels. One disclosed method is for opportunistic secure communication on a main channel between a transmitting device and a receiving device when a listening device listens on a listening channel. This example method includes, in a first period in which the signal quality on the main channel is better than the signal quality on the intercept channel, transmitting symbols randomly selected from a series of symbols. The method also includes, in a second period of time in which the signal quality on the main channel is no better than the signal quality on the intercept channel, transmitting coding information related to the randomly selected symbols. The method also includes tuning the randomly selected symbols using the coding information.

In BLOCH, Matthieu; THANGARAJ, Andrew; MCLAUGHLIN, Steven W. Efficient reconciliation of correlated continuous random variables using LDPC codes. arXiv preprint cs/0509041, 2005 wird ein effizientes und praktisches Verfahren zum Informationsabgleich für den Fall beschrieben, dass zwei Parteien Zugriff auf korrelierte kontinuierliche Zufallsvariablen haben. Die Verfasser zeigen, dass Abgleich ein Spezialfall der Kanalcodierung und dass bestehende kodierte Modulationstechniken für einen Abgleich adaptiert werden können. Sie beschreiben ein explizites Verfahren zum Informationsabgleich auf der Grundlage von LDPC-Codes für den Fall korrelierter Gaußscher Variablen.In BLOCH, Matthieu; THANGARAJ, Andrew; MCLAUGHLIN, Steven W. Efficient reconciliation of correlated continuous variable variables using LDPC codes. arXiv preprint cs / 0509041, 2005 An efficient and practical information reconciliation procedure is described for the case where two parties have access to correlated continuous random variables. The authors show that matching can be a special case of channel coding and that existing coded modulation techniques can be adapted for alignment. They describe an explicit information matching method based on LDPC codes for the case of correlated Gaussian variables.

Offenbarung der Erfindung Disclosure of the invention

Die Erfindung stellt ein Verfahren zum Bestimmen eines gemeinsamen Geheimnisses, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium gemäß den unabhängigen Ansprüchen bereit.The invention provides a method for determining a shared secret, a corresponding device, a corresponding computer program and a corresponding storage medium according to the independent claims.

Ein Vorzug dieser Lösung liegt in der eröffneten Möglichkeit, viele Fehler zu korrigieren und unter schlechten Rahmenbedingungen zu arbeiten. Essentieller Bestandteil eines erfindungsgemäßen Verfahrens ist hierzu der Austausch von Information wie Paritäten oder Fehlerkorrekturinformation zwischen den an der Aushandlung des Geheimnisses beteiligten Parteien.One advantage of this solution lies in the possibility of correcting many mistakes and working under bad conditions. An essential part of a method according to the invention is the exchange of information such as parities or error correction information between the parties involved in the negotiation of the secret.

Ferner verbessert eine Ausführungsform der Erfindung den Schlüsselgenerierungsprozess, ohne Parameter in den Iterationen des Verfahrens – beispielsweise den verwendeten Fehlerkorrekturcode, die Quantisierungsstufenzahl, Permutation der Bits, auszuschließende Messwerte oder eine etwaige Mittelwertbildung – zu verändern, um so die Zuverlässigkeit einzelner Bits zu erhöhen. Auf diese Weise kann eine hohe Rate erzeugter Schlüsselbits aufrechterhalten werden, was der Effizienz des Verfahrens zugutekommt: Es werden nur wenige Messwerte zur Erzeugung einer bestimmten Anzahl an Schlüsselbits benötigt.Further, an embodiment of the invention enhances the key generation process without changing parameters in the iterations of the method - e.g., the error correction code used, the quantization step number, bits' permutation, measurements to be excluded, or any averaging, so as to increase the reliability of individual bits. In this way, a high rate of generated key bits can be maintained, which benefits the efficiency of the method: only a few measured values are required to generate a certain number of key bits.

Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich. So kann vorgesehen sein, dass ein erfindungsgemäßes Verfahren asymmetrisch arbeitet, die beteiligten Parteien also unterschiedliche Operationen vollziehen. Ein im Wesentlichen herkömmlicher Sensorknoten kann so unter vergleichsweise geringer Rechenlast eine „harte” Quantisierung vollziehen, einen bekannten Informationsabgleich mit „harten” Bits anwenden und diese an eine erfindungsgemäße Basisstation übertragen. So muss allein diese Basisstation „weiche” Entscheidungskriterien (soft decision) verwenden, die mit höheren Anforderungen an die Rechenkapazität einhergehen.The measures listed in the dependent claims advantageous refinements and improvements of the independent claim basic idea are possible. Thus, it can be provided that a method according to the invention operates asymmetrically, ie the parties involved carry out different operations. A substantially conventional sensor node can thus carry out a "hard" quantization under comparatively low computational load, apply a known information comparison with "hard" bits and transmit these to a base station according to the invention. Thus, this base station alone has to use "soft" decision criteria, which are associated with higher computing capacity requirements.

Die Erfindung erlaubt eine hochleistungsfähige Fehlerkorrektur, d. h. bei gleichem Messsignal-Rausch-Verhältnis (signal-to-noise ratio, SNR) und insofern vergleichbaren äußeren Bedingungen wird eine geringere Restbitfehlerrate erreicht oder bei gleicher Restbitfehlerrate können mehr Messfehler korrigiert werden. Alternativ kann die Sendeleistung bei gleicher Restbitfehlerrate reduziert oder die Reichweite erhöht werden. Als weitere Möglichkeit kann die Stufenzahl des Quantisierers bei gleicher Restbitfehlerrate erhöht und damit die Schlüsselgenerierungsrate ebenso erhöht werden. Damit ist das Verfahren im Hinblick auf eine Funkdatenübertragung energieeffizient. Außerdem muss der Kommunikationspartner dazu seine Signalverarbeitungskette nicht verändern, und es ist – wie oben dargestellt – eine asymmetrische Aufteilung der Rechenleistung z. B. zwischen einem Sensor (knappe Ressourcen) und einer Basisstation (größeres Ressourcenangebot) möglich.The invention allows high performance error correction, i. H. With the same signal-to-noise ratio (SNR) and thus comparable external conditions, a lower residual bit error rate is achieved or, with the same residual bit error rate, more measurement errors can be corrected. Alternatively, the transmission power can be reduced at the same residual bit error rate or the range can be increased. As a further possibility, the number of stages of the quantizer can be increased for the same residual bit error rate and thus the key generation rate can also be increased. Thus, the method is energy efficient in terms of radio data transmission. In addition, the communication partner does not have to change its signal processing chain, and it is - as shown above - an asymmetrical distribution of computing power z. B. between a sensor (scarce resources) and a base station (greater supply of resources) possible.

Kurze Beschreibung der ZeichnungenBrief description of the drawings

Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:Embodiments of the invention are illustrated in the drawings and explained in more detail in the following description. It shows:

1 das Flussdiagramm eines Verfahrens gemäß einer ersten Ausführungsform. 1 the flowchart of a method according to a first embodiment.

2 den schematischen Aufbau eines Ausführungsbeispiels bei Code-Offset-Konstruktion. 2 the schematic structure of an embodiment in code-offset construction.

3 die Bitfehlerrate in Abhängigkeit des SNR für das Ausführungsbeispiel. 3 the bit error rate as a function of the SNR for the embodiment.

4 den schematischen Aufbau eines Ausführungsbeispiels bei Code-Shift-Konstruktion. 4 the schematic structure of an embodiment in code-shift construction.

Ausführungsformen der ErfindungEmbodiments of the invention

Den Ausgangspunkt der weiteren Erläuterungen bildet nachfolgendes Szenario: Eine Partei sendet ein herkömmliches Abgleichsignal, d. h. sie führt eine „harte” Quantisierung auf Bits durch, codiert die Bits entsprechend eines auf Vorwärtsfehlerkorrektur (forward error correction, FEC) basierenden Schlüsselabgleichverfahrens und überträgt das Codewort über einen öffentlichen Kanal.The starting point for further explanation is the following scenario: A party sends a conventional matching signal, i. H. it performs a "hard" quantization on bits, encodes the bits according to a forward error correction (FEC) based key matching method and transmits the codeword over a public channel.

1 illustriert ausgehend von dieser Situation die grundlegenden Schritte eines erfindungsgemäßen Verfahrens (10): Die andere Partei gewinnt ihrerseits auf den Kanal bezogene Messwerte (Prozess 11), verwendet jedoch einen Soft-Quantisierer, welcher aus seinen Messwerten unter Zuhilfenahme von A-priori-Information Zuverlässigkeitswerte für diejenigen Bits berechnet, die stellenwertmäßig jenen des vom Sensorknoten gelieferten Empfangswortes entsprechen (Prozess 12). Diese gibt er in einen Soft-Decodierer des Schlüsselabgleichverfahrens, welcher ebenfalls Zuverlässigkeitswerte für die Bits berechnet (Prozess 13), die wiederum als A-priori-Information an den Soft-Quantisierer zurückgegeben werden (Prozess 14). Zwischen Soft-Quantisierung und Soft-Decodierung wird nun solange iteriert, bis ein bestimmtes Abbruchkriterium (Entscheidung 15) erreicht ist (Zweig Y). Je nach Konvention verwenden nun beide Parteien das decodierte Codewort oder das zugehörige Informationswort der Decodierung für die folgende Schlüsselaufbereitung. 1 illustrates, starting from this situation, the basic steps of a method according to the invention ( 10 ): The other party in turn gains channel-related metrics (Process 11 ), but uses a soft-quantizer, which uses its measured values with the help of A-priori Information Computes reliability values for those bits that correspond in terms of value to those of the receive word supplied by the sensor node (process 12 ). This is given in a soft decoder of the key matching method, which also calculates reliability values for the bits (process 13 ), which in turn are returned to the soft quantizer as a priori information (process 14 ). Soft-quantization and soft-decoding are now iterated until a certain termination criterion (decision 15 ) is reached (branch Y). Depending on the convention, both parties now use the decoded code word or the corresponding information word of the decoding for the following key processing.

Das Verfahren (10) wird anhand des FEC-basierten Code-Offset-Schlüsselabgleichs gemäß DODIS, Yevgeniy, et al. Fuzzy extractors: How to generate strong keys from biometrics and other noisy data. SIAM journal on computing, 2008, 38. Jg., Nr. 1, S. 97–139 . ausgeführt. Es ist jedoch auf alle bekannten FEC-basierten Schlüsselabgleichverfahren anwendbar.The procedure ( 10 ) is determined by FEC-based code offset key matching according to DODIS, Yevgeniy, et al. Fuzzy extractors: How to generate strong keys from biometrics and other noisy data. SIAM journal on computing, 2008, 38th ed., No. 1, pp. 97-139 , executed. However, it is applicable to all known FEC-based key matching methods.

In ist der Ablauf des vorgeschlagenen Verfahrens (10) gezeigt. Beide Parteien haben unabhängig voneinander, aber mit demselben öffentlich bekannten Verfahren (10) ihre Kanalinformationen x →_A gemessen. Die abbildungsgemäß obere Partei – vorliegend ein Sensorknoten (21) – wandelt diese durch ein öffentlich bekanntes „hartes” Quantisierungsverfahren (22) in eine Bitfolge b →, wobei jede Stichprobe (sample) auf ein Symbol quantisiert wird, welches als Bitvektor mit dem Symbol b →_j dargestellt wird. Anschließend werden die Bits in Blöcke der Länge n ∈

unterteilt und optional mit einem öffentlich bekannten Interleaver Π derselben Länge n verschränkt. Die Verarbeitung im Rahmen des vorgeschlagenen Verfahrens (10) erfolgt blockweise: Der Sensorknoten (21) erzeugt einen zufälligen Bitvektor der Länge k und codiert diesen mit dem FEC-Encoder (23). Anschließend bildet er den Code-Offset zwischen den quantisierten Bits und dem Codewort durch eine stellenweise XOR-Verknüpfung und überträgt das Ergebnis über den öffentlichen Kanal zur anderen Partei – vorliegend der Basisstation (20) eines den Sensorknoten (21) umfassenden Sensornetzwerkes. Diese Übertragung erfolgt mittels einer üblichen Technologie, z. B. WLAN gemäß dem Standard IEEE 802.11 . Die Basisstation (20) empfängt die besagten Werte fehlerfrei, was durch die genutzte Technologie gewährleistet wird.In is the course of the proposed procedure ( 10 ). Both parties have independently but with the same publicly known procedure ( 10 ) their channel information

x → _A

measured. The illustration upper party - present a sensor node ( 21 ) - converts them by a publicly known "hard" quantization method ( 22 ) into a bit string

b →,

whereby each sample is quantized onto a symbol which is a bit vector with the symbol

b → _j

is pictured. Subsequently, the bits are converted into blocks of length n ∈

divided and optionally with a publicly known interleaver Π the same length n entangled. Processing under the proposed procedure ( 10 ) takes place in blocks: the sensor node ( 21 ) generates a random bit vector of length k and encodes it with the FEC encoder ( 23 ). It then forms the code offset between the quantized bits and the codeword by a local XOR link and transmits the result via the public channel to the other party - in this case the base station ( 20 ) of the sensor node ( 21 ) comprehensive sensor network. This transfer takes place by means of a conventional technology, for. B. WLAN according to the Standard IEEE 802.11 , The base station ( 20 ) receives said values error free, which is ensured by the technology used.

Die Basisstation (20) verwendet ihre Messwerte und als A-priori-Information die zurückgeführten (s. u.) Zuverlässigkeitswerte des Schlüsselabgleichverfahrens, um daraus Zuverlässigkeitsinformation der zur Quantisierung durch den Sensorknoten (21) korrespondierenden Bits zu berechnen.The base station ( 20 ) uses its measured values and, as a priori information, the returned (see below) reliability values of the key matching method in order to derive therefrom reliability information for quantization by the sensor node (FIG. 21 ) corresponding bits.

Für einen M-stufigen Quantisierer mit M = 2^m und m ∈

berechnet eine zweckmäßige Ausführung als Zuverlässigkeitsinformation das logarithmische Wahrscheinlichkeitsverhältnis (log-likelihood ratio, LLR)

der A-posteriori-Wahrscheinlichkeiten des i-ten Bitwerts b_ji ∈ {0, 1} des j-ten Messwerts unter Verwendung der Messwerte

x →_B,

wobei

die Menge der Bitvektoren (der Länge m) derjenigen Symbole ist, welche an der i-ten Stelle den Wert b_ji haben.For an M-stage quantizer with M = 2 ^m and m ∈

an expedient embodiment calculates the log-likelihood ratio (LLR) as reliability information

the a-posteriori probabilities of the i-th bit value b _ji ∈ {0, 1} of the j-th measured value using the measured values

x → _B ,

in which

is the set of bit vectors (the length m) of those symbols which have the value b _ji at the ith position.

Die Terme der rechten Seite der obigen Gleichung lassen sich berechnen zu

wobei

p(b →_j)

die zurückgeführte A-priori-Information bezeichnet. In der ersten Iteration seien diese Werte mit

p(b_j,k = 0) = p(b_j,k = 1) = 1 / 2

initialisiert.The terms of the right side of the above equation can be calculated

in which

p (b → _j )

denotes the returned a-priori information. In the first iteration, these values are with

p ( _{bj, k} = 0) = p ( _{bj, k} = 1) = 1/2

initialized.

Durch eine Trainingssequenzanpassung zugunsten der Stabilität der Quantisierung gemäß EL HAJJ SHEHADEH, Youssef; ALFANDI, Omar; HOGREFE, Dieter. On improving the robustness of physical-layer key extraction mechanisms against delay and mobility. In: Wireless Communications and Mobile Computing Conference (IWCMC), 2012 8th International. IEEE, 2012. S. 1028–1033 . lässt sich der zweite Term zu p(x_B,j|b →) = p(x_B,j|x_A,j) vereinfachen, was der allen Kanalteilnehmern bekannten Wahrscheinlichkeitsverteilung des Messrauschens entspricht. By a training sequence adjustment in favor of the stability of the quantization according to EL HAJJ SHEHADEH, Youssef; ALFANDI, Omar; HOGREFE, Dieter. On improving the robustness of physical-layer key extraction mechanisms against delay and mobility. In: Wireless Communications and Mobile Computing Conference (IWCMC), 2012 8th International. IEEE, 2012, pp. 1028-1033 , the second term can be added p (x _{B, j} | b →) = p (x _{B, j} | x _{A, j} ) simplify what corresponds to the probability distribution of measurement noise known to all channel subscribers.

Ansonsten gilt Formel 1

wobei

l^–(b →_j)

die untere und

l⁺(b →_j)

die obere Intervallgrenze des durch

b →_j

bezeichneten Symbolintervalls des Quantisierers ist. In diesem Zusammenhang ist davon auszugehen, dass die Verteilung p(x_A) der Kanalmesswerte ebenso wie die Verteilung

p(x_B,j|x_A,j, b →_j) ≡ p(x_B,j|x_A,j)

der Störung der Messwerte allen Kanalteilnehmern bekannt ist.Otherwise formula 1 applies

in which

l ^- (b → _j )

the lower and

l ⁺ (b → _j )

the upper interval limit of the

b → _j

designated symbol interval of the quantizer. In this context it can be assumed that the distribution p (x _A ) of the channel measured values as well as the distribution

p (x _{B, j} | x _{A, j} , b → _j ) ≡p (x _{B, j} | x _{A, j} )

the disturbance of the measured values is known to all channel participants.

Von dem Symbol b →_j lässt sich auf die Stichprobe x_A,j gemäß

schließen, wobei die Wahrscheinlichkeit

dass der durch den Sensorknoten (21) gewonnene Messwert im durch

b →_j

bezeichneten Intervall liegt, ebenfalls als sämtlichen Kanalteilnehmern bekannt vorauszusetzen ist, sofern man entsprechende Annahmen hinsichtlich der Wahrscheinlichkeit p(x_A,j) und der Eigenschaften des Quantisierers zugrunde legt Das Integral in Formel 1 kann numerisch ausgewertet werden. Soweit im Rahmen der Berechnung noch nicht geschehen, bildet die Basisstation (20) die extrinsische A-posteriori-Wahrscheinlichkeit, indem das Ergebnis auf die A-priori-Wahrscheinlichkeiten der Eingangswerte normiert wird.From the symbol

b → _j

can be based on the sample x _{A, J} according to

close, taking the probability

that through the sensor node ( 21 ) obtained reading in

b → _j

is assumed to be also known as all channel subscribers, assuming appropriate assumptions as to the probability p (x _{A, j} ) and the properties of the quantizer. The integral in formula 1 can be numerically evaluated. If not yet done in the calculation, the base station ( 20 ) the extrinsic a posteriori probability by normalizing the result to the a priori probabilities of the input values.

Im optionalen Interleaver Π, der identisch mit jenem des Sensorknotens (21) ist, werden die Bits permutiert, sodass diese in der neuen Reihenfolge für die nachfolgenden Funktionsblöcke als statistisch unabhängig erscheinen.In the optional interleaver Π, which is identical to that of the sensor node ( 21 ), the bits are permuted so that they appear statistically independent in the new order for the subsequent function blocks.

Die verschränkten Zuverlässigkeitswerte werden anschließend im Zuge der Empfangswort-Extraktion (25) mit dem vom Sensorknoten (21) ungeschützt übertragenen Codewort c verknüpft, um Zuverlässigkeitsinformation der FEC-Bits z zu erhalten: Diese sind grundsätzlich jene der quantisierten Bits; lediglich bei denjenigen Bits in c, deren Wert 1 beträgt, wird der Zuverlässigkeitswert logisch invertiert, da Formel 2

und Formel 3

und damit

The entangled reliability values are then used during the receive word extraction ( 25 ) with the sensor node ( 21 ) unprotected codeword c to obtain reliability information of the FEC bits z: these are basically those of the quantized bits; only for those bits in c whose value is 1, the reliability value is logically inverted, since formula 2

and formula 3

and thus

Anschließend werden die Zuverlässigkeitswerte in einem Standard-Soft-Input-Soft-Output-Decoder (26) – siehe etwa BOSSERT, Martin. Kanalcodierung. Walter de Gruyter, 2013 . – decodiert, sodass man extrinsische Zuverlässigkeitsinformation L^C(z →; 0) der FEC-Bits erhält. Um aus diesen wieder quantisierte Bits zu gewinnen, erfolgt erneut eine Konvertierung (Funktionsblock 27) nach Formel 2 sowie Formel 3 und die optionale Verarbeitung durch einen zum Interleaver Π inversen De-Interleaver Π^–1.Subsequently, the reliability values in a standard soft-input soft-output decoder ( 26 ) - see for example BOSSERT, Martin. Channel coding. Walter de Gruyter, 2013 , - decodes to give extrinsic reliability information L ^C (z → 0) receives the FEC bits. In order to recover from these again quantized bits, there is again a conversion (function block 27 ) according to formula 2 as well as formula 3 and the optional processing by an inverse deinterleaver Π ^{-1 to the} interleaver Π.

Die gewonnene Zuverlässigkeitsinformation verwendet der Soft-Quantisierer (24) nun, um in der nächsten Iteration die Zuverlässigkeitswerte der quantisierten Bits zu erhöhen. Dieser iterierte Austausch von Zuverlässigkeitsinformation wird solange wiederholt, bis ein bestimmtes Abbruchkriterium erreicht ist. Vorgesehen sein mag zum Beispiel

• der Abbruch nach einer festgelegten Anzahl an Iterationen,
• der Abbruch, wenn sich die „harten” Bits vor und nach dem Decoder (26) nicht mehr unterscheiden, d. h. wenn keine Fehler mehr korrigiert werden sowie
• eine Kombination der obigen Kriterien.

The obtained reliability information is used by the soft quantizer ( 24 ) now to increase the reliability values of the quantized bits in the next iteration. This iterated exchange of reliability information is repeated until a certain termination criterion is reached. For example, it may be planned

The abort after a fixed number of iterations,
• the abort when the "hard" bits before and after the decoder ( 26 ), ie if no more errors are corrected as well
• a combination of the above criteria.

Damit haben Sensorknoten (21) und Basisstation (20) die Bitfolge b →, welche sich abhängig von L^C(b →) gemäß

bestimmen lässt, abgeglichen und so ein gemeinsames Geheimnis erstellt, welches sie für die sich anschließende Schlüsselaufbereitung verwenden.Thus, sensor nodes ( 21 ) and base station ( 20 ) the bit sequence b →, which depends on

L ^C (b →)

according to

determine, reconciled and thus create a common secret, which they use for the subsequent key processing.

Optional – aber sinnvoll – ist es, wenn die Basisstation (20) dem Sensorknoten (21) signalisiert, ob die Decodierung erfolgreich, d. h. ohne erkennbare Fehler verlief. Dies kann durch eine 1-Bit-Nachricht von Basisstation (20) zu Sensorknoten (21) erfolgen.Optional - but useful - is when the base station ( 20 ) the sensor node ( 21 ) signals whether the decoding was successful, ie without recognizable errors. This can be done by a 1-bit message from base station ( 20 ) to sensor nodes ( 21 ) respectively.

3 zeigt exemplarisch den simulierten Verlauf der Rest-Bitfehlerrate über dem

seitens des Sensorknotens (21). Hierbei sei angenommen, dass die Kanalwerte mittelwertfrei und reellwertig gaußverteilt mit einer Varianz von

σ 2 / h

sind. Das mittelwertfreie Messrauschen seitens Sensorknoten (21) und Basisstation (20) habe die gleiche Leistung

σ 2 / n

und sei ebenfalls reellwertig gaußverteilt. Der gewählte Quantisierer ist gleichförmig bei einer Auflösung von 16 Stufen und entsprechender Wortbreite von 4 bit mit Begrenzung bei

gewählt. Die Symbolisierung der Quantisierungsintervalle folgt der natürlichen binären Zahlendarstellung der Quantisierungsstufen bei MSB-0-Bitnummerierung. Es werden jeweils 128 Symbole quantisiert und zu einem Vektor zusammengefasst. Die Fehlerkorrektur erfolgt mit einem rekursiven Faltungscode der Rate

R = 1 / 2,

Gedächtnisordnung 3 und sogenannter Tailbiting-Terminierung. Ferner wird der für eine Wortbreite von 2048 bit ausgelegte Interleaver gemäß der LTE-Spezifikation verwendet. 3 shows an example of the simulated course of the residual bit error rate over the

on the part of the sensor node ( 21 ). Here it is assumed that the channel values are averaged and real-valued Gaussian distributed with a variance of

σ 2 / h

are. The mean-free measurement noise from sensor nodes ( 21 ) and base station ( 20 ) have the same power

σ 2 / n

and is also real valued Gaussian distributed. The chosen quantizer is uniform at a resolution of 16 stages and corresponding word width of 4 bits with limitation

selected. The symbolization of the quantization intervals follows the natural binary representation of the quantization levels for MSB-0 bit numbering. In each case 128 symbols are quantized and combined into one vector. The error correction is done with a recursive convolutional code of the rate

R = 1/2,

Memory order 3 and so-called tailbiting termination. Further, the 2048 bit word width interleaver is used according to the LTE specification.

Im Liniendiagramm 30 der ist ebenfalls die Fehlerrate für den Fall aufgetragen, dass keinerlei Schlüsselabgleich erfolgt (Kurvenverlauf 37). Die Fehlerrate im Falle eines herkömmlichen codebasierten Schlüsselabgleiches mit Hard-Bits ist mit dem Bezugszeichen 36 markiert. Die übrigen Funktionsgraphen beschreiben die Fehlerrate eines erfindungsgemäßen Verfahrens nach einer Iteration (31), zwei Iterationen (32), drei Iterationen (33), vier Iterationen (34) bzw. fünf Iterationen (35). Man erkennt, dass die Fehlerrate mit jeder Iteration geringer wird und schließlich gegen einen gemeinsamen Grenzwert konvergiert.In the line diagram 30 of the the error rate is also plotted in the case that no key adjustment takes place (curve 37 ). The error rate in the case of a conventional code-based key comparison with hard bits is denoted by the reference numeral 36 marked. The remaining function graphs describe the error rate of a method according to the invention after an iteration ( 31 ), two iterations ( 32 ), three iterations ( 33 ), four iterations ( 34 ) or five iterations ( 35 ). It can be seen that the error rate decreases with each iteration and eventually converges to a common limit.

4 zeigt eine Anwendung des Verfahrens (10) auf den Schlüsselabgleich mithilfe einer sogenannten Code-Shift-Konstruktion und verwendet dabei von den obigen Darstellungen abweichende Bezeichnungen. Die Funktion des Sensorknotens (21) stimmt bis auf den optional eingefügten Interleaver mit jenem der 2 überein. In Funktionsblock 25 verwendet die Basisstation (20) die gleiche Verfahrensweise wie oben erläutert (Vorzeichenwechsel bei d = 1), um mithilfe von d aus der Quantisierungsbit-Zuverlässigkeit L^Q(b →) die Empfangswort-Zuverlässigkeit L^C(c →, I) zu gewinnen. 4 shows an application of the method ( 10 ) to the key match using a so-called code-shift construction and uses different names from the above representations. The function of the sensor node ( 21 ) is correct except for the optionally inserted interleaver with that of 2 match. In function block 25 uses the base station ( 20 ) the same procedure as explained above (sign change at d = 1) to obtain from quantization bit reliability using d L ^Q (b →) the receive word reliability L ^C (c →, I) to win.

Auf entsprechende Weise kann eine mehrstufige Kodierung (multi-level coding, MLC) und mehrstufige Dekodierung (multi-stage decoding, MSD) adaptiert und auf den Schlüsselabgleich angewendet werden. Hierzu geeignete Schemata sind insbesondere WACHSMANN, Udo; FISCHER, Robert FH; HUBER, Johannes B. Multilevel codes: theoretical concepts and practical design rules. IEEE Transactions on Information Theory, 1999, 45. Jg., Nr. 5, S. 1361–1391 sowie WÖRZ, Thomas; HAGENAUER, Joachim. Iterative decoding for multilevel codes using reliability information. In: Global Telecommunications Conference, 1992. Conference Record., GLOBECOM'92. Communication for Global Users., IEEE. IEEE, 1992. S. 1779–1784 zu entnehmen.Similarly, multi-level coding (MLC) and multi-stage decoding (MSD) can be adapted and applied to key matching. Suitable schemes for this purpose are in particular WACHSMANN, Udo; FISCHER, Robert FH; HUBER, Johannes B. Multilevel codes: theoretical concepts and practical design rules. IEEE Transactions on Information Theory, 1999, 45th Ed., No. 5, pp. 1361-1391 such as WÖRZ, Thomas; HAGENAUER, Joachim. Iterative decoding for multilevel codes using reliability information. In: Global Telecommunications Conference, 1992. Conference Record., GLOBECOM'92. Communication for Global Users., IEEE. IEEE, 1992. p. 1779-1784 refer to.

Anstatt das Integral während des Schlüsselabgleiches wiederholt zu berechnen, kann für alle Kombinationen von Abtastwerten x_B und b → während des Entwurfs eine Umsetztabelle (look-up table, LUT) erzeugt werden, was zur Laufzeit den Rechenaufwand deutlich reduziert. Da das LLR durch eine ungerade Funktion definiert ist, genügt es darüber hinaus bei einem Quantisierer mit zur Ordinatenachse symmetrischen Intervallgrenzen, lediglich die positive Achse abzutasten und in der LUT abzulegen.Instead of repeatedly calculating the integral during key matching, a look-up table (LUT) can be generated for all combinations of samples x _B and b → during design, which significantly reduces the computational overhead at runtime. In addition, since the LLR is defined by an odd function, it suffices for a quantizer with interval boundaries symmetrical to the ordinate axis to only sample the positive axis and store it in the LUT.

Die oben vorgestellten Verfahren (10) sind mit jedem bekannten Quantisierer verwendbar. Das Verfahren (10) in den ersten beiden Ausführungsbeispielen ist mit jedem beliebigen Fehlerkorrekturcode verwendbar. Alle Verfahren sind mit beliebigen Interleavern verwendbar.The methods presented above ( 10 ) are usable with any known quantizer. The procedure ( 10 ) in the first two embodiments is usable with any error correction code. All methods can be used with any interleavers.

Als Zuverlässigkeitsinformation können weiterhin zweckmäßig Wahrscheinlichkeiten oder dazu proportionale Faktoren oder Verhältnisse von Wahrscheinlichkeiten (likelihood ratios) dienen. Für jede Zuverlässigkeitsinformation können auch Gleit- oder Festkommawerte mit vorgegebener Wortbreite verwendet werden. Als eine weitere zweckmäßige Wahl für die Zuverlässigkeitsinformation kann auch die euklidische Distanz verwendet werden.Reliability information may further suitably be provided by probabilities or proportional factors or ratios of likelihood ratios. For each reliability information, floating or fixed-point values with a given word width can also be used. As a further expedient choice for the reliability information, the Euclidean distance can also be used.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 102014212228 [0005]
US 8213616 B2 [0006]

Zitierte Nicht-PatentliteraturCited non-patent literature

BLOCH, Matthieu; THANGARAJ, Andrew; MCLAUGHLIN, Steven W. Efficient reconciliation of correlated continuous variable variables using LDPC codes. arXiv preprint cs / 0509041, 2005 [0007]
DODIS, Yevgeniy, et al. Fuzzy extractors: How to generate strong keys from biometrics and other noisy data. SIAM journal on computing, 2008, 38th ed., No. 1, pp. 97-139 [0020]
Standard IEEE 802.11 [0021]
EL HAJJ SHEHADEH, Youssef; ALFANDI, Omar; HOGREFE, Dieter. On improving the robustness of physical-layer key extraction mechanisms against delay and mobility. In: Wireless Communications and Mobile Computing Conference (IWCMC), 2012 8th International. IEEE, 2012, pp. 1028-1033 [0025]
BOSSERT, Martin. Channel coding. Walter de Gruyter, 2013 [0030]
WACHSMANN, Udo; FISCHER, Robert FH; HUBER, Johannes B. Multilevel codes: theoretical concepts and practical design rules. IEEE Transactions on Information Theory, 1999, 45th Ed., No. 5, pp. 1361-1391 [0037]
WÖRZ, Thomas; HAGENAUER, Joachim. Iterative decoding for multilevel codes using reliability information. In: Global Telecommunications Conference, 1992. Conference Record., GLOBECOM'92. Communication for Global Users., IEEE. IEEE, 1992. p. 1779-1784 [0037]

Claims

Procedure ( 10 ) for determining a shared secret over an insecure channel, characterized by the following features: - measurements related to the channel are obtained ( 11 ), On the basis of the measured values, first reliability values are calculated by an algorithm ( 12 ), - the first reliability values are locally contravalently linked to a receive word received via the channel, - based on the locally linked first reliability values are determined by a forward error correcting soft-in-soft-out decoder ( 26 ) second reliability values ( 13 ) and - the second reliability values are returned to the algorithm ( 14 ).

Procedure ( 10 ) according to claim 1, characterized by the following feature: - the first reliability values are entangled by a first interleaver and - the second reliability values are entangled by a second interleaver which is inverse to the first interleaver.

Procedure ( 10 ) according to claim 1 or 2, characterized by the following feature: - the receiving word is a codeword or a difference word.

Procedure ( 10 ) according to one of claims 1 to 3, characterized by the following feature: - the contravalent linking takes place with error correction values generated by code offset construction.

Procedure ( 10 ) according to one of claims 1 to 3, characterized by the following feature: - the contravalent linking takes place with error correction values generated by code-shift construction.

Procedure ( 10 ) according to one of claims 1 to 5, characterized by the following features: - the decoder ( 26 ) is multi-level.

Procedure ( 10 ) according to one of claims 1 to 6, characterized by the following feature: - at least the first reliability values indicate the preferably logarithmic probability ratio of two statistical hypotheses related to the measured values.

Procedure ( 10 ) according to claim 7, characterized by the following feature: - the algorithm comprises a preferably static conversion table for the probability ratio.

Computer program, which is set up the procedure ( 10 ) according to one of claims 1 to 8.

A machine readable storage medium storing the computer program of claim 9.

Contraption ( 20 ), in particular base station ( 20 ) for a sensor network that is set up, the method ( 10 ) according to one of claims 1 to 8.