DE102016220734A1

DE102016220734A1 - Verfahren und Vorrichtung zum Erzeugen eines kryptographischen Schlüssels

Info

Publication number: DE102016220734A1
Application number: DE102016220734.2A
Authority: DE
Inventors: Thomas Strohm; Stephan Ludwig
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2016-10-21
Filing date: 2016-10-21
Publication date: 2018-04-26
Also published as: US10447473B2; US20180115420A1; CN107979460B; CN107979460A

Abstract

Verfahren (10) zum Erzeugen eines kryptographischen Schlüssels, gekennzeichnet durch folgende Merkmale:ein erster Knoten (A) sendet auf einem ersten Kanal (h) ein erstes Signal an ein Relay (R),ein zweiter Knoten (B) sendet auf einem zweiten Kanal (h) ein zweites Signal an das Relay (R),der erste Knoten (A) empfängt auf dem ersten Kanal (h) von dem Relay (R) ein drittes Signal und ein zumindest von dem ersten Signal und dem zweiten Signal abgeleitetes viertes Signal,der zweite Knoten (B) empfängt auf dem zweiten Kanal (h) von dem Relay (R) das dritte Signal und das vierte Signal,der erste Knoten (A) bestimmt den Schlüssel anhand des ersten Signales, des dritten Signales und des vierten Signales undder zweite Knoten (B) bestimmt den Schlüssel anhand des zweiten Signales, des dritten Signales und des vierten Signales.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Erzeugen eines kryptographischen Schlüssels. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
Stand der Technik
Ein symmetrisches Kryptosystem ist ein Kryptosystem, bei welchem im Gegensatz zu einem asymmetrischen Kryptosystem alle involvierten (legitimen) Teilnehmer denselben Schlüssel verwenden. Die Nutzung ein- und desselben Schlüssels zur Verschlüsselung und Entschlüsselung von Daten, zur Berechnung und Überprüfung von Nachrichtenauthentifizierungscodes etc. bringt es mit sich, dass vor jedwedem verschlüsselten Austausch zunächst der Schlüssel selbst verteilt werden muss. Da von der Geheimhaltung des Schlüssels jedoch die Sicherheit des gesamten Verfahrens abhängt, sehen herkömmliche Ansätze zumeist den Schlüsselaustausch über einen sicheren Kanal vor. Dies kann insbesondere durch eine manuelle Einbringung der Schlüssel in die jeweiligen Teilnehmer geschehen, beispielsweise durch die Eingabe eines Passwortes, aus dem der eigentliche Schlüssel dann abgeleitet werden kann.
Der Schlüsselaustausch über unsichere Kanäle hingegen stellt für den Fachmann noch immer eine Herausforderung dar, die in der Kryptographie als „Schlüsselverteilungsproblem“ bekannt ist. Der Stand der Technik bietet zu dessen Lösung Ansätze wie den bekannten Diffie-Hellman-Schlüsselaustausch oder sogenannte hybride Verschlüsselungsverfahren, die den Austausch symmetrischer Schlüssel durch die Einbeziehung asymmetrischer Protokolle ermöglichen.
In neuerer Vergangenheit werden jedoch zunehmend Kryptosysteme diskutiert, die das Problem der Schlüsseletablierung von der Anwendungsschicht des OSI Referenzmodells auf dessen Bitübertragungsschicht (physical layer, PHY) verlagern. Anwendung finden derartige Ansätze etwa auf dem noch jungen Fachgebiet der cyber-physischen Systeme, welche sich durch die schwerpunktmäßige Nutzung drahtloser und somit inhärent unsicherer Kommunikationskanäle auszeichnen.
DE 10 2014 208975 offenbart ein Verfahren zur Generierung eines Schlüssels in einem Netzwerk. Dabei weist das Netzwerk mindestens einen ersten Teilnehmer und einen zweiten Teilnehmer mit abgesicherter Kommunikationsverbindung zueinander auf, sowie einen dritten Teilnehmer, zu welchem eine abgesicherte Kommunikationsverbindung aufgebaut werden soll. Der erste Teilnehmer und der dritte Teilnehmer generieren jeweils aus Eigenschaften des Übertragungskanals zwischen dem ersten Teilnehmer und dem dritten Teilnehmer eine erste Teilwertfolge. Der zweite Teilnehmer und der dritte Teilnehmer generieren jeweils aus Eigenschaften des Übertragungskanals zwischen dem zweiten Teilnehmer und dem dritten Teilnehmer eine zweite Teilwertfolge. In einem abgesicherten Teil des Netzwerks, der zumindest den ersten und den zweiten Teilnehmer, nicht aber den dritten Teilnehmer aufweist, wird nun aus mindestens der ersten Teilwertfolge des ersten Teilnehmers und der zweiten Teilwertfolge des zweiten Teilnehmers der Schlüssel ermittelt. Ebenso wird der Schlüssel auch in dem dritten Teilnehmer aus mindestens der ersten Teilwertfolge und der zweiten Teilwertfolge generiert.
In DE 10 2014 208974 wird ein Verfahren zur Ermittlung einer Information über die Entfernung eines ersten Geräts zu mindestens einem zweiten Gerät vorgestellt. Dabei wird die Information über die Entfernung abhängig von einer Korrelation ermittelt zwischen ersten Werten, die durch das erste Gerät aus physikalischen Eigenschaften eines drahtlosen Übertragungskanales zwischen dem ersten Gerät und einem dritten Gerät ermittelt wurden, und zweiten Werten, die durch das zweite Gerät aus physikalischen Eigenschaften eines drahtlosen Übertragungskanals zwischen dem zweiten Gerät und dem dritten Gerät ermittelt werden.
Offenbarung der Erfindung
Die Erfindung stellt ein Verfahren zum Erzeugen eines kryptographischen Schlüssels, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium gemäß den unabhängigen Ansprüchen bereit.
Dem vorgeschlagenen Verfahren liegt hierbei der folgende Ansatz zugrunde: Zwei legitime Parteien A und B senden eine Trainingsfolge an ein Relay. Dieses strahlt die gewichtete Summe der Empfangssignale ab und sendet anschließend selbst eine Trainingsfolge aus, mit welcher A und B ihren Kanal zum Relay messen können. Unbeteiligte empfangen lediglich die Summe der Kanalmessung und können daraus nicht auf die einzelnen Summanden schließen. A und B können jedoch aus der Summe den jeweils anderen Kanal bestimmen, weil sie ihren Kanal zum Relay gemessen haben. Die Einzelkanäle werden als Ausgangsmaterial für eine Schlüsselgenerierung verwendet.
In einer ersten Ausführungsform senden A und B nach einer Synchronisationsphase gleichzeitig die gleiche Trainingsfolge zur Kanalschätzung aus. Das Relay empfängt die Überlagerung beider Signale und kann damit lediglich die Summe beider Kanalimpulsantworten schätzen, ohne jedoch die Summanden zu kennen.
In einer zweiten Ausführungsform senden A und B ihre Trainingsfolgen nacheinander und das Relay bildet eine gewichtete Summe der einzelnen Messergebnisse und strahlt diese ab. Da das Relay die Kanäle zu A und B unterscheiden kann, kann es diese so gewichtet überlagern, dass A und B mit dem bestmöglichen Signal-Rausch-Verhältnis (signal-to-noise ratio, SNR) den jeweils gegenseitigen Kanal bestimmen können.
Ein Vorzug des vorgeschlagenen Verfahrens liegt in seiner besonderen Eignung für einfache Relays, die ein empfangenes Hochfrequenz-Signal lediglich zeitversetzt und verstärkt wieder ausstrahlen, ohne daraus Schlüssel zu generieren (amplify and forward). Dieser Ansatz erlaubt insbesondere eine Schlüsselgenerierung zweier legitimer Parteien in statischen Szenarien.
Das Verfahren erlaubt es, dass zur Schlüsselgenerierung weder A noch B bewegt werden müssen, also z. B. bereits ortsfest montiert sein können. Wird das Relay bewegt, so können deshalb auch bei einem vollständig statischen Kanal zwischen A und B Schlüssel generiert werden.
Bei einem nicht-statischen Kanal zwischen A und B kann die Schlüsselgenerierungsrate durch das Verfahren erhöht werden, sodass ein Schlüssel fester Länge in kürzerer Zeit generiert wird. Alternativ lässt sich dadurch die Schlüsselqualität gegenüber herkömmlichen Verfahren ohne Relay steigern. Gegenüber bekannten Relay-Verfahren verursacht ein erfindungsgemäßes Verfahren weniger Aufwand, weil keine Schlüsselgenerierungslogik im Relay vorgesehen werden muss, sondern das Hochfrequenzsignal (HF-Signal) direkt bearbeitet wird. Damit lässt sich das Relay kleiner und kostengünstiger fertigen sowie kostengünstiger entwickeln.
Außerdem lassen sich mit dem Verfahren zusätzlich zu den Punkt-zu-Punkt-Schlüsseln Gruppenschlüssel zwischen A, B und dem Relay etablieren.
Das Verfahren funktioniert unabhängig davon, ob sich A und B innerhalb der gegenseitigen Funkreichweite befinden und damit direkt miteinander kommunizieren können oder nur über das Relay miteinander kommunizieren können.
Darüber hinaus erhält in der ersten Ausführungsform das Relay keine Information über den Schlüssel, welche es an einen Angreifer (gewollt oder ungewollt) verraten könnte, falls dieses nur eine Empfangsantenne verwendet. Außerdem ist das Verfahren in dieser Ausführungsform robust gegen Angriffe, bei denen ein kompromittiertes Relay sein Empfangssignal mit einer zeitvarianten Folge moduliert wieder abstrahlt.
Die zweite Ausführungsform hat zusätzlich den Vorteil, dass das Relay das Mess-SNR des Summensignals bei A und B durch Wahl der Gewichte positiv beeinflussen kann und damit ebenso die Schlüsselgenerierungsrate oder die Restfehlerrate optimieren kann. Diese Ausführungsform hat gegenüber der ersten den Vorteil, dass sie keine genaue Synchronisation der Sendezeitpunkte voraussetzt und dass sie gleichzeitig vor Angriffen schützt, bei dem der Angreifer das Verhältnis der Empfangsleistungen beider Kanäle zum Relay kennt. Außerdem braucht keines der besagten Geräte zu einem Gegenbetrieb (fullduplex communication) fähig zu sein.
Eine Variante beider Ausführungsformen erlaubt, dass das Summensignal praktisch ohne weitere Störung vom Relay an A und B übertragen wird.
In einer weiteren Ausführungsform bleibt der abgeleitete Schlüssel dem Relay unbekannt. Damit sollte das Relay lediglich in der Art vertrauenswürdig sein, dass es nicht mehrere Antennen (gleichzeitig) verwendet. Außerdem bietet diese Ausführungsform Schutz gegen Angriffe eines aktiven Angreifers, der ein Relay verwendet, welches sein Empfangssignal mit einer zeitvarianten Folge moduliert wieder abstrahlt.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich.
Figurenliste
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

1 das Aktivitätsdiagramm eines erfindungsgemäßen Verfahrens.
2 eine erste Ausführungsform der Erfindung.
3 eine zweite Ausführungsform der Erfindung.

Ausführungsformen der Erfindung
1 illustriert schematisch vereinfacht den grundlegenden Ablauf eines erfindungsgemäßen Verfahrens (10): Ein erster Knoten sendet auf einem ersten Kanal ein erstes Signal an ein Relay (Aktion 11); ein zweiter Knoten sendet auf einem zweiten Kanal ein zweites Signal an das Relay (Aktion 12); der erste Knoten empfängt (Aktion 13) auf dem ersten Kanal von dem Relay ein drittes Signal und ein Summensignal des ersten Signales und des zweiten Signales; der zweite Knoten empfängt auf dem zweiten Kanal von dem Relay das dritte Signal und das Summensignal (Aktion 14); der erste Knoten bestimmt den Schlüssel anhand des dritten Signales und des Summensignales (Aktion 15); und der zweite Knoten bestimmt den Schlüssel anhand des dritten Signales und des Summensignales (Aktion 16). Ziel dieses Vorgehens ist es, dass der erste Knoten und der zweite Knoten unter Nutzung einer möglicherweise statischen Direktverbindung mithilfe des Relays kryptographische Schlüssel generieren, die Dritten unbekannt bleiben.
Zur Veranschaulichung einer ersten Ausführungsform zeigt 2 ein Szenario, in welchem das Relay (R) die vom ersten Knoten (A) und vom zweiten Knoten (B) identisch gesendeten ersten und zweiten Signale - nachfolgend in Anlehnung an ihre erfindungsgemäße Funktion als „TrainingsfoIgen“ bezeichnet - empfängt und anschließend eventuell verstärkt aussendet. Die Kanäle seien wie folgt bezeichnet: Ein erster Kanal (h_AR) verbindet den ersten Knoten (A) mit dem Relay (R), ein zweiter Kanal (h_BR) verbindet den zweiten Knoten (B) mit dem Relay (R) und ein dritter Kanal (h_AB) verbindet den ersten und den zweiten Knoten (B) untereinander, wobei die Kanäle zufällig seien. Aufgrund allgemein bekannter Trainingsfolgen ist die Umrechnung zwischen Empfangssignal und Kanalschätzwert (durch Korrelation mit der Trainingsfolge) trivial. Deshalb wird h stellvertretend für Kanal oder Empfangssignal verwendet.
Eine problematische Situation entsteht bei einer herkömmlichen Schlüsselgenerierung, wenn der dritte Kanal (h_AB) sich nicht ändert (d. h. statisch ist), da dann im Kanal nur die Zufälligkeit eines einzigen Messergebnisses gleichsam „enthalten“ ist, aus der ein Schlüssel generiert werden könnte. Jede weitere Messung stellt in diesem Fall kein stochastisch von der ersten Messung unabhängiges Ereignis dar, sodass die Entropie weiterer Messergebnisse keinen Beitrag zur kryptographischen Stärke des gewonnenen Schlüssels beizutragen vermag.
Ein zur Überwindung dieses Problems geeignetes Verfahren (10) lässt sich - abweichend von der Darstellung gemäß 1 - in vier Schritte gliedern:

1. Der erste Knoten (A) und der zweite Knoten (B) - und aufgrund der öffentlichen Funkübertragung auch unbeteiligte Dritte - erfahren vom Relay (R) das (optional gewichtete) Summensignal αh_AR + βh_BR der Kanalmessungen zum Relay (R). Diese Kanalmessung kann im Rahmen der HF-Übertragung über den ersten Kanal (h_AR) bzw. den zweiten Kanal (h_BR) gestört sein. An dieser Stelle ist es zweckmäßig, zwischen den verschiedenen Ausführungsformen zu unterscheiden. In der ersten Ausführungsform gemäß 2 wählen der erste Knoten (A) und der zweite Knoten (B) ihre Sendezeitpunkte auf gleicher Trägerfrequenz so, dass ihre identischen Trainingsfolgen gleichzeitig und damit überlagert im Relay (R) empfangen werden. Je nach Ausprägung des Systems und den Fähigkeiten der einzelnen Beteiligten sind verschiedene Varianten des Systems möglich:
1. a. Das Relay (R) sendet das empfangene Summensignal im gleichen Diversitätskanal, d. h. mit vernachlässigbarer Verzögerung und somit im Wesentlichen zum gleichen Zeitpunkt, auf der gleichen Frequenz, unter gleichem Raumwinkel über dieselbe(n) Antenne(n) und mit gleicher Wellenpolarisation. Dazu sollten sowohl das Relay (R) als auch der erste Knoten (A) und der zweite Knoten (B) vollduplexfähig sein. Wenn der erste Knoten (A) und der zweite Knoten (B) in gegenseitiger Reichweite sind, dann sollte der Kanal (h_AB) statisch sein, damit das Verfahren (10) funktioniert. Befinden sie sich außerhalb der gegenseitigen Reichweite, so darf der Kanal auch zeitvariant sein.
2. b. Das Relay (R) sendet das empfangene Summensignal sowie die Trainingsfolge innerhalb der Kanalkohärenzzeit und -Bandbreite der ersten Messung, aber auf einem anderen Diversitätskanal ab, d. h. nach dem Empfang des Messsignals, auf einer anderen Trägerfrequenz, unter einem anderen Raumwinkel (bei Mehrantennensystemen oder Sende- und Empfangsantennen mit unterschiedlichen Hauptkeulenrichtungen), unter einer anderen Wellenpolarisation oder einer Kombination der vorherigen Möglichkeiten. Trainingsfolge und empfangenes Messsignal können auch auf getrennten Diversitätskanälen gesendet werden, solange beide Sendevorgänge innerhalb der Kanalkohärenzzeit sowie der Kanalkohärenzbandbreite erfolgen. Damit lässt sich die Messung der direkten Verbindung über den dritten Kanal (h_AB) von der des Summenkanals trennen. Wenn der erste Knoten (A) und der zweite Knoten (B) vollduplexfähig sind und der dritte Kanal (h_AB) nicht statisch ist, dann kann diese Messung unabhängig vom weiteren Verfahren (10) ebenfalls zur Schlüsselgenerierung verwendet werden, wodurch sich die Schlüsselgenerierungsrate erhöht.
In einer zweiten Ausführungsform senden der erste Knoten (A) und der zweite Knoten (B) nacheinander, aber innerhalb der Kanalkohärenzzeit, jeweils eine Trainingsfolge an das Relay (R), wobei sich die Trainingsfolge des ersten Knoten (A) durchaus von jener des zweiten Knotens (B) unterscheiden mag, ohne den Rahmen der Erfindung zu verlassen. Das Relay (R) speichert die empfangenen Messsignale, addiert diese eventuell gewichtet und strahlt das Summensignal ab. Da erster Knoten (A), zweiter Knoten (B) und Relay (R) nicht in gleichen Diversitätskanälen senden, ergibt sich kein Vorteil, wenn diese vollduplexfähig sind, und es kann in jedem Fall der dritte Kanal (h_AB) zur Schlüsselgenerierung verwendet werden, falls dieser nicht-statisch ist. In einer Variante, die für beide Ausführungsformen anwendbar ist, digitalisiert das Relay (R) das Summensignal und überträgt dieses digital über ein Standard-Übertragungsverfahren öffentlich an den ersten Knoten (A) und zweiten Knoten (B). Anstelle des Summensignals kann auch ein mit digitaler Signalverarbeitung bearbeitetes Summensignal digital übertragen werden. Insbesondere kann das Relay (R) direkt den Summenkanal z.B. durch Korrelation mit der Trainingsfolge berechnen. In einer weiteren Variante, die für beide Ausführungsformen anwendbar ist, bestimmt das Relay (R) bei Kenntnis der Trainingsfolge(n) die Einzelkanäle (Ausführungsform 2) bzw. deren Summe (Ausführungsform 1) und überträgt diese überträgt dieses z.B. digital über ein Standard-Übertragungsverfahren öffentlich an den ersten Knoten (A) und zweiten Knoten (B).
2. Das Relay (R) sendet eine Trainingsfolge aus, mit welcher der erste Knoten (A) und der zweite Knoten (B) ihren jeweiligen Kanal zum Relay (R) messen.
3. Der erste Knoten (A) und der zweite Knoten (B) bestimmen aus den Signalen der vorherigen Schritte den jeweils bisher unbekannten zweiten Kanal (h_BR) bzw. ersten Kanal (h_AR).
4. Beide Einzelkanäle werden gemeinsam oder getrennt als Ausgangsmaterial zur Generierung eines paarweisen Schlüssels verwendet.

Das Verfahren (10) beginnt in der ersten Ausführungsform mit einer zunächst herkömmlichen Synchronisationsphase, in welcher der erste Knoten (A) und der zweite Knoten (B) auf ca. eine Signalabtastperiode (der Empfänger) genau synchronisiert werden - im Falle eines WLAN gemäß IEEE 802.11n entspricht dies einer Genauigkeit von ca. 25 ns bei 40 MHz Bandbreite - und während der ein gemeinsamer Sendezeitpunkt festlegt wird. Wenn sich die Laufzeitunterschiede zwischen dem ersten Kanal (h_AR) und dem zweiten Kanal (h_BR) signifikant unterscheiden, so wird auch dieser Effekt für den Sendezeitpunkt berücksichtigt. Anschließend senden beide Parteien eine identische Trainingsfolge aus, mit welchen das Relay (R) die Kanäle zu ihnen messen kann: Beide Signale kommen gleichzeitig beim Relay (R) an und überlagern sich dort an der Antenne. Setzt man - wie im Folgenden angenommen - zugunsten einer vereinfachten Darstellung jeden Kanal mit dem ihm eigenen Kanalkoeffizienten gleich, so misst das Relay (R) somit die Summe h_AR + h_BR. Das Relay (R) sendet das Empfangssignal eventuell verstärkt wieder aus und sendet anschließend (die Reihenfolge kann beliebig sein) innerhalb der Kanalkohärenzzeit der ersten Messung ebenfalls eine Trainingsfolge, die nicht mit jener des ersten Knotens (A) und zweiten Knotens (B) identisch sein muss. Da der erste Knoten (A) und der zweite Knoten (B) mit der vom Relay (R) gesendeten Trainingsfolge den ersten Kanal (h_AR) bzw. zweiten Kanal (h_BR) messen, können sie aus dem Summensignal den jeweils anderen Kanal berechnen, während ein Angreifer von dem Summensignal nicht auf die Summanden schließen kann.
Das Modell der Übertragung gestaltet sich sowohl für die oben unter der Ziffer b aufgeführte Variante, bei der alle Beteiligten lediglich zu einem Wechselbetrieb (half duplex communication) fähig zu sein brauchen, wie auch für die nachfolgend beschriebene zweite Ausführungsform wie folgt: Aufgrund von unbestimmten Trägerphasen empfängt der erste Knoten (A) als Summensignal $h_{A,1} = (({\bar{h}}_{AR} + h_{AR}) e^{j ϕ_{A}} + ({\bar{h}}_{BR} + h_{BR}) e^{j ϕ_{B}}) ({\bar{h}}_{AR} + h_{AR}) γ_{A}^{e^{j ϕ_{R,1}}}$ und aus der vom Relay (R) gesendeten Trainingsfolge $h_{A,2} = ({\bar{h}}_{AR} + h_{AR}) γ_{A}^{e^{j ϕ_{R,2}}} .$
Analog empfängt der zweite Knoten (B) $h_{B,1} = (({\bar{h}}_{AR} + h_{AR}) e^{j ϕ_{A}} + ({\bar{h}}_{BR} + h_{BR}) e^{j ϕ_{B}}) ({\bar{h}}_{BR} + h_{BR}) γ_{B}^{e^{j ϕ_{P,1}}}$ und aus der vom Relay (R) gesendeten Trainingsfolge $h_{B,2} = ({\bar{h}}_{BR} + h_{BR}) γ_{B}^{e^{j ϕ_{R,2}}} .$
Alle Kanalkoeffizienten sind aufgrund von In-Phasen- und Quadraturübertragung als komplexwertig mit beliebiger Verteilung angenommen, wobei das jeweilige Empfängerrauschen im Rahmen der vorliegenden Ausführungen der Einfachheit halber vernachlässigt sei. Dabei bezeichnet h _AR bzw. h _BR den Mittelwert des jeweiligen Kanalkoeffizienten und h_AR bzw. h_BR dessen mittelwertfreien Anteil.
Im Folgenden seien und die Varianzen der Kanäle, wobei
den Erwartungswert-Operator bezeichnet. Alle Messsignale besitzen mangels Phasenreferenz gewisse Phasenunbestimmtheiten ϕ_*. Zusätzlich können das Relay (R) und entsprechende Empfangshardware in jedem Gerät die Signale mit einem Faktor γ_A bzw. γ_B gewichten. Im vorliegenden Ausführungsbeispiel wird gleichzeitig zu der Trainingsfolge ein Referenzträger mit einer Verstimmung von wenigen Kilohertz übertragen, welcher als Phasenreferenz für alle Messungen verwendet wird, sodass durch Korrektur um die Referenz die Phasenunbestimmtheiten ϕ_* = 0 für die Messungen wirkungslos werden. O. B. d. A. sei hierbei die Frequenzflachheit der Kanäle angenommen. Für frequenzselektive Kanäle wäre die oben beschriebene Multiplikation durch eine Faltung zu ersetzen und eventuell unter Fourier-Transformation im Frequenzbereich zu betrachten. In diesem Fall kann auf herkömmliche Weise zum Beispiel in einem orthogonalen Frequenzmultiplexverfahren (orthogonal frequency-division multiplexing, OFDM) ein Unterträger als Phasenreferenz verwendet werden, sodass für die übrigen Unterträger abermals ϕ_* = 0 mit Bezug auf diese Referenz gilt.
Um einen Schätzwert für ĥ_BR aus dem Empfangssignal zu erhalten, schätzt der erste Knoten (A) über mehrere Messungen hinweg die Mittelwerte sowie die Varianzen und ${\hat{σ}}_{AR}^{2} = \frac{{| \tilde{μ} |}^{2}}{{\hat{σ}}_{A,R}^{2}} .$
Damit lassen sich Schätzwerte für die Relay-Kanalwerte jeweils getrennt voneinander bestimmen zu ${\hat{h}}_{A} = h_{A,2} \frac{\tilde{μ}}{{\hat{σ}}_{A,2}^{2}} \approx {\bar{h}}_{AR} + h_{AR}$ und ${\hat{h}}_{B} = \frac{h_{A,1}}{h_{A,2}} - {\hat{h}}_{A} \approx {\bar{h}}_{BR} + h_{BR} .$
Der zweite Knoten (B) verfährt entsprechend.
Nun können ĥ_A und ĥ_B als Eingangsmesswerte für ein gemeinsames oder für zwei getrennt voneinander arbeitende Schlüsselgenerierungsverfahren verwendet werden.
Dieses Verfahren (10) ist besonders robust gegen fehlerhaftes Verhalten des Relays (R). So könnte ein aktiver Angreifer das Relay (R) solchermaßen kompromittieren, dass es einen zeitvarianten Term zu dem Empfangssignal addiert (zeitlich konstante Terme tragen zur Schlüsselgenerierung nicht bei und sind deshalb nicht relevant) oder mit einem zeitvarianten Faktor multipliziert (zeitinvariante Faktoren sind ebenso irrelevant). In diesem Fall aber würden der erste Knoten (A) und zweite Knoten (B) unterschiedliche Messwerte ĥ_A und ĥ_B ermitteln. Diese wiederum würden voneinander abweichende Schlüssel ergeben, was in späteren Schritten der Schlüsselgenerierung entdeckt werden würde. Somit kann das Relay (R) das Signal nicht unbemerkt schädlich beeinflussen und das Verfahren (10) ist robust gegen aktive Angriffe auf das Relay (R).
In der zweiten Ausführungsform gemäß 3 empfängt das Relay (R) nacheinander jeweils eine nicht notwendigerweise identische Trainingsfolge ersten Knoten (A) und zweiten Knoten (B) und sendet anschließend das resultierende Summensignal aus. Dazu muss das Relay (R) das Empfangssignal zwischenspeichern, was zweckmäßigerweise im Wege digitaler Signalverarbeitung erfolgt.
In dieser Ausführungsform senden nach einer groben Synchronisationsphase, bei der erster Knoten (A) und zweiter Knoten (B) ihre Sendezeitpunkte abstimmen und Verfahrensparameter aushandeln, beide Parteien nacheinander, aber innerhalb der Kanalkohärenzzeit, eine Trainingsfolge aus, mit welcher das Relay (R) die Kanäle zu ihnen messen kann: Das Relay (R) misst h_AR,1 bzw. h_BR,1 und sendet die Überlagerung α_AR,1 + βh_BR,1 der HF-Signale wieder innerhalb der Kanalkohärenzzeit und -Bandbreite der ersten Messungen aus. Zusätzlich gibt es α und β öffentlich bekannt, falls α ≠ β gewählt wurde. Dadurch, dass der erste Knoten (A) und der zweite Knoten (B) nicht gleichzeitig senden müssen, ist keine so exakte Synchronisation der Sendezeitpunkte wie im Falle der ersten Ausführungsform notwendig. Anschließend (die Reihenfolge kann beliebig sein) sendet das Relay (R) eine Trainingsfolge innerhalb der Kanalkohärenzzeit und -Bandbreite der ersten Messungen aus. Da erster Knoten (A) und zweiter Knoten (B) mit der vom Relay (R) gesendeten Trainingsfolge aufgrund der Reziprozität die Kanalkoeffizienten h_AR,2 = h_AR,1 = h_AR bzw. h_BR,2 = h_BR,1 = h_BR messen, können sie aus dem empfangenen Summensignal mithilfe der bekanntgegebenen Faktoren α und β den jeweils anderen Kanal berechnen, während ein Angreifer aus dem Summensignal nicht auf die Summanden schließen kann.
Das Modell der Übertragung gestaltet sich unter den gleichen Annahmen wie im Falle der ersten Ausführungsform wie folgt: Aufgrund von unbestimmten Trägerphasen empfängt der erste Knoten (A) als Summensignal $h_{A,1} = (α ({\bar{h}}_{AR} + h_{AR}) e^{j ϕ_{A}} + β ({\bar{h}}_{BR} + h_{BR}) e^{j ϕ_{B}}) ({\bar{h}}_{AR} + h_{AR}) γ_{A} e^{j ϕ_{R,1}}$ und aus der vom Relay (R) gesendeten Trainingsfolge $h_{A,2} = ({\bar{h}}_{AR} + h_{AR}) γ_{A} e^{j ϕ_{R,2}} .$
Analog empfängt der zweite Knoten (B) $h_{B,1} = (α ({\bar{h}}_{AR} + h_{AR}) e^{j ϕ_{A}} + β ({\bar{h}}_{BR} + h_{BR}) e^{j ϕ_{B}}) ({\bar{h}}_{BR} + h_{BR}) γ_{B} e^{j ϕ_{P,1}}$ und aus der vom Relay (R) gesendeten Trainingsfolge $h_{B,2} = ({\bar{h}}_{BR} + h_{BR}) γ_{B} e^{j ϕ_{P,2}} .$
Der erste Knoten (A) gewinnt ĥ_B durch Berechnung anhand des Zusammenhangs $β {\hat{h}}_{B} = \frac{h_{A,1}}{h_{A,2}} - {\hat{α h}}_{A},$ wobei ĥ_A exakt wie im Falle der ersten Ausführungsform bestimmt wird. Die bestimmten Schätzwerte ĥ_A und ĥ_B werden sodann als Eingangswerte für ein gemeinsames oder für zwei getrennt voneinander arbeitende Schlüsselgenerierungsverfahren verwendet.
In einer zweckmäßigen Ausgestaltung wählt das Relay (R) die Faktoren α und β so, dass beide Kanäle die gleiche (Langzeit-)Varianz besitzen. Auf diese Weise wird der Vorteil eines hypothetischen Angreifers neutralisiert, welcher das Verhältnis der Empfangsleistung des ersten Kanals (h_AR) zu jener des zweiten Kanals (h_BR) kennt. Als erklärendes Beispiel sei der Extremfall betrachtet, dass die Trainingsfolge des ersten Knotens (A) mit einer sehr viel größeren Empfangsleistung empfangen würde als die des zweiten Knotens (B), z. B. weil der erste Knoten (A) viel näher am Relay (R) positioniert ist als der zweite Knoten (B). Dann wäre ohne ausgleichende Faktoren die Summe h_AR + h_BR vom ersten Summanden h_AR dominiert, und der Angreifer könnte diese Summe als geeigneten Schätzwert zur Bestimmung von h_AR verwenden, um das Verfahren (10) anzugreifen.
Ferner kann der zweite Knoten (B), falls erster Knoten (A) und zweiter Knoten (B) sich in direkter Funkreichweite befinden, den dritten Kanal (h_AB) schätzen, wenn der erste Knoten (A) seine Trainingsfolge sendet. Analog verfährt der erste Knoten (A), wenn der zweite Knoten (B) sendet, sodass, falls der erste Kanal (h_AR) nicht statisch und damit für eine Schlüsselgenerierung nutzbar ist, zusätzlich der dritte Kanal (h_AB) zur Schlüsselgenerierung verwendet werden kann. Durch diese Maßnahme kann die Schlüsselgenerierungsrate nochmals erhöht werden.
Alternativ kann in allen Varianten dieser zweiten Ausführungsform anhand des ersten Kanals (h_AR), zweiten Kanals (h_BR) oder dritten Kanals (h_AB), welche dem ersten Knoten (A), zweiten Knoten (B) und Relay (R) bekannt sind, ein für diese Parteien gemeinsamer Gruppenschlüssel erzeugt werden.
In einer für beide Ausführungsformen geeigneten Abwandlung digitalisiert das Relay (R) mindestens eines der Empfangssignale, überlagert es in der oben dargestellten Weise und sendet die Trainingsfolge. Anschließend verwendet das Relay (R) ein bekanntes Standard-Datenübertragungsverfahren, um das digitalisierte Summensignal sowie die Werte α und β an den ersten Knoten (A) und zweiten Knoten (B) praktisch verlustfrei zu übertragen. Die ausgesendete Trainingsfolge kann einen Teil dieser Datenübertragung bilden. Alternativ kann die Übertragung auch deutlich außerhalb der Kanalkohärenzzeit und -Bandbreite erfolgen. Dadurch erhalten erster Knoten (A) und zweiter Knoten (B) die Werte h_A,2 bzw. h_B,2 durch Messung sowie das nun ungestörte Summensignal durch praktisch fehlerfreie Datenübertragung und können wie oben beschrieben verfahren. In diesem Fall empfangen erster Knoten (A) und zweiter Knoten (B) identische digitalisierte Werte als Summe: $h_{1} = ({\bar{h}}_{AR} + h_{AR}) e^{j ϕ_{A}} + ({\bar{h}}_{BR} + h_{BR}) e^{j ϕ_{B}},$ weshalb der erste Knoten (A) und zweite Knoten (B) unter der oben getroffenen Annahme den gegenseitigen Kanal durch einfache Subtraktion der eigenen Messung von der Summe erhalten.
In einer weiteren Ausführungsform kann das Relay auch den (Summen-) Kanal aus dem Empfangssignal schätzen und mit diesem anstelle des Empfangssignals wie oben beschrieben verfahren.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102014208975 [0005]
DE 102014208974 [0006]

Claims

Verfahren (10) zum Erzeugen eines kryptographischen Schlüssels, gekennzeichnet durch folgende Merkmale: - ein erster Knoten (A) sendet (11) auf einem ersten Kanal (h_AR) ein erstes Signal an ein Relay (R), - ein zweiter Knoten (B) sendet (12) auf einem zweiten Kanal (h_BR) ein zweites Signal an das Relay (R), - der erste Knoten (A) empfängt (13) auf dem ersten Kanal (h_AR) von dem Relay (R) ein drittes Signal und ein zumindest von dem ersten Signal und dem zweiten Signal abgeleitetes viertes Signal, - der zweite Knoten (B) empfängt (14) auf dem zweiten Kanal (h_BR) von dem Relay (R) das dritte Signal und das vierte Signal, - der erste Knoten (A) bestimmt (15) den Schlüssel anhand des dritten Signales und des vierten Signales und - der zweite Knoten (B) bestimmt (16) den Schlüssel anhand des dritten Signales und des vierten Signales.
Verfahren (10) nach Anspruch 1, gekennzeichnet durch folgendes Merkmal: - das Senden (11) des ersten Signales und das Senden (12) des zweiten Signales werden zeitlich derart abgestimmt, dass das erste Signal und das zweite Signal sich an dem Relay (R) elektromagnetisch zu dem vierten Signal überlagern und - das erste Signal und das zweite Signal stimmen überein.
Verfahren (10) nach Anspruch 2, gekennzeichnet durch folgende Merkmale: - das erste Signal, das zweite Signal und das vierte Signal werden im Wesentlichen zeitgleich gesendet, - das erste Signal, das zweite Signal und das vierte Signal werden auf einer im Wesentlichen übereinstimmenden Trägerfrequenz gesendet, - das erste Signal, das zweite Signal und das vierte Signal werden in einem im Wesentlichen übereinstimmenden Raumwinkel gesendet, - das erste Signal, das zweite Signal und das vierte Signal werden mit einer übereinstimmenden Wellenpolarisation gesendet.
Verfahren (10) nach Anspruch 2, gekennzeichnet durch mindestens eines der folgenden Merkmale: - das vierte Signal wird nach dem ersten Signal und dem zweiten Signal gesendet, - das vierte Signal wird auf einer anderen Trägerfrequenz als das erste Signal und das zweite Signal gesendet, - das vierte Signal wird in einem anderen Raumwinkel als das erste Signal und das zweite Signal gesendet oder - das vierte Signal wird mit einer anderen Wellenpolarisation als das erste Signal und das zweite Signal gesendet.
Verfahren (10) nach Anspruch 1, gekennzeichnet durch folgende Merkmale: - das erste Signal und das zweite Signal werden zeitversetzt gesendet und - das Relay (R) errechnet aus dem ersten Signal und dem zweiten Signal additiv das vierte Signal.
Verfahren (10) nach Anspruch 5, gekennzeichnet durch folgendes Merkmal: - beim Errechnen des vierten Signales werden das erste Signal und das zweite Signal unterschiedlich gewichtet (a, β).
Verfahren (10) nach einem der Ansprüche 1 bis 6, gekennzeichnet durch folgendes Merkmal: - das vierte Signal wird digital übertragen.
Computerprogramm, welches eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.
Maschinenlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 8 gespeichert ist.
Vorrichtung (A, B, R), die eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.