DE102022002399A1

DE102022002399A1 - Schlüsselgenerierung und PACE mit Sicherung gegen Seitenkanalangriffe

Info

Publication number: DE102022002399A1
Application number: DE102022002399.7A
Authority: DE
Inventors: Markus Bockes; Ludger Hemme; Lars Hoffmann
Original assignee: Giesecke and Devrient Mobile Security GmbH
Current assignee: Giesecke and Devrient ePayments GmbH
Priority date: 2022-07-01
Filing date: 2022-07-01
Publication date: 2023-07-20

Abstract

Die Erfindung schafft ein Verfahren zur Schlüsselgenerierung, eingerichtet in einer Client-Prozessoreinrichtung, mittels dessen ein zweiter öffentlicher Client-Schlüssel pc' des Client erzeugt wird, wobei der öffentliche Schlüssel pc' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, welche keine Operation enthält, deren Ergebnis ausschließlich von der Nonce s und mindestens einem öffentlichen Wert abhängt, oder wobei der öffentliche Schlüssel pc' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, in welcher in jede Operation, in welche die Nonce s eingeht, mindestens ein nicht-öffentlicher Wert eingeht, insbesondere der erste private Client-Schlüssel kcoder der zweite private Client-Schlüssel kc', beispielsweise als Ergebnis der Berechnung pc'= ((g((kc' s) mod q)mod p) · (pt((kc' · kc)mod q)mod p) mod p. Die Erfindung gibt weiter ein Verfahren zur Authentisierung und Schlüsseleinigung zwischen einem Client und einem Terminal mit einem solchen Verfahren zur Schlüsselgenerierung an, insbesondere zur Authentisierung und Schlüsseleinigung nach dem PACE-Protokoll in entsprechend der Erfindung abgewandelter Form.

Description

Gebiet der Erfindung
Die Erfindung betrifft ein Schlüsselgenerierungsverfahren, das Teil eines Authentisierungsverfahrens und Schlüsseleinigungsverfahrens zwischen einem Client und einem Terminal ist. Das Authentisierungsverfahren und Schlüsseleinigungsverfahren ist insbesondere im PACE-Protokoll zur Authentisierung und zum Aufbau einer verschlüsselten Kommunikation zwischen einem maschinenlesbaren Reisedokument mit Chip und einem Terminal anwendbar, mit dem maschinenlesbaren Reisedokument als Client.
Stand der Technik
Das PACE-Protokoll BSI TR-03110 (PACE = Password AuthenticatedConnection Establishment) ist ein Verfahren zur Authentisierung und Schlüsseleinigung zwischen dem Chip eines maschinenlesbaren Reisedokuments (Client) und einem Terminal, das Zugriff auf den Chip hat, unter Verwendung eines Passworts, das im Client zugriffsgesichert gespeichert ist, und das am Terminal zu Beginn des PACE-Protokolls einzugeben ist.
BSI-TR-03111 beschreibt eine Umsetzung des PACE-Protokolls mit Diffie-Helman basierend auf einer primen Restklassengruppe modulo p mit einem Erzeuger der Ordnung q. Diese Umsetzung ist gebildet durch eine Folge von Berechnungen. Jede Berechnung ist als Kombination von ein oder mehreren Operationen gebildet. Als Operationen sind beispielsweise modulare Exponentiationen, modulare Multiplikationen •, modulare Divisionen /, modulare Additionen + oder/und modulare Subtraktionen - vorgesehen. In der Folge von Berechnungen berechnet jede Berechnung ein Ergebnis. Ebenso berechnet jede Operation innerhalb einer Berechnung ein Ergebnis.
Das PACE-Verfahren umfasst folgende Schritte, die in 1 anhand eines Beispiels auf DH-basierten PACE-Verfahrens veranschaulicht sind. 1 und 2 enthalten teilweise sprachlichen Text, und teilweise Pseudo-Programmcode-Teile wie z.B. „if <Bedingung> then <Folge>“ um eine entsprechende Aktion, z.B. Prüfen des Zutreffens einer Bedingung und Feststellen oder Veranlassen einer Folge, einer Prozessoreinrichtung anzudeuten.

1. Generierung und Übertragung der Nonce. Schritt 1.1: Der Chip im Client (Reisedokument) generiert eine Zufallszahl (Nonce) s, die geheim gehalten wird, und verschlüsselt sie mit dem intern im Client gespeicherten Passwort PIN als Schlüssel zu einer verschlüsselten Zufallszahl (Nonce) s'. Schritt 1.2:
- Der Client sendet die verschlüsselte Zufallszahl s' an das Terminal. Am Terminal gibt ein Nutzer (User) das Passwort PIN_user ein. Schritt 1.3: das Terminal nimmt die vom Nutzer eingegebene Zufallszahl PIN_user entgegen. Schritt 1.4: das Terminal entschlüsselt die empfangene verschlüsselte Zufallszahl s' mit dem vom Nutzer eingegebenen Passwort PIN_user und erhält eine Zahl s_t, die mit s übereinstimmt, falls der Benutzer das korrekte Passwort (PIN = PIN_user) eingegeben hat.
2. Erste DH Schlüsselgenerierung und Berechnung eines neuen Erzeugers. Schritt 2.1: Der Chip und das Terminal erzeugen jeweils ein asymmetrisches Schlüsselpaar [k_c, p_c] bzw. [k_t, p_t] umfassend einen privaten Schlüssel k_c bzw. kt und einen öffentlichen Schlüssel p_c bzw. pt; Schritt 2.2: Client und Terminal senden sich gegenseitig jeweils den öffentlichen Schlüssel zu; Schritte 2.3-2.4: Client und Terminal bilden die Zufallszahl s bzw. s_t mithilfe einer Mapping-Funktion, hier generisches Mapping, auf einen Erzeuger g_c' bzw. g_t' der verwendeten mathematischen Gruppe ab, hier einer primen Restklassengruppe. Das Mapping ist dabei im Wesentlichen eine Abfolge von Operationen - modularen Exponentiationen und modularen Multiplikationen. Falls der Benutzer das richtige Passwort (PIN = PIN_user) eingegeben hat, so stimmt g_c' mit g_t' überein.
3. Zweite DH Schlüsselgenerierung. Der Chip und das Terminal führen eine DH- - Diffie-Hellman- - Schlüsselgenerierung durch. Schritte 3.1-3.2: Der Chip und das Terminal erzeugen in der DH-Schlüsselgenerierung jeweils ein zweites asymmetrisches Schlüsselpaar [k_c', p_c'] bzw. [k_t', p_t'] umfassend einen privaten Schlüssel k_c' bzw. k_t' und einen öffentlichen Schlüssel p_c' bzw. p_t' basierend auf den in 2 berechneten Erzeugern g_c' bzw. g_t'. Im PACE-Protokoll erfolgen im Anschluss an die Schlüsselgenerierung ( 1: 3.2) Schlüsselableitungsschritte und Schlüsselaustauschschritte (1: 3.3, ähnlich Schritt 2.2 und 2.3 von 1) zwischen Client und Terminal, bis schließlich der Client und das Terminal ein gemeinsames Geheimnis (shared secret) abgeleitet haben, das zur Authentisierung und Verschlüsselung der Kommunikation zwischen Client und Terminal verwendet wird. Diese der Schlüsselgenerierung nachfolgenden weiteren Schritte werden hier nicht weiter betrachtet und können im Zusammenhang mit der erfindungsgemäßen Schlüsselgenerierung wie aus dem PACE-Protokoll bekannt durchgeführt werden.

Genauer wird in Schritt 2.1 beim Client ein Schlüsselpaar [k_c, p_c] abgeleitet mit folgenden Schlüsseln. Privater Schlüssel k_c des Client; dieser ist eine mittels einer Chip-internen Funktion Generate_secret_key() erzeugte Zufallszahl. Öffentlicher Schlüssel p_c des Client; dieser ist mittels einer Chip-internen Funktion Generate_public_key(g; k_c) abgeleitet gemäß p_c = g^kc mod p, durch modulare Exponentiation des Erzeugers g mit dem privaten Schlüssels k_c des Client. Weiter wird in Schritt 2.1 beim Terminal ein Schlüsselpaar [k_t, p_t] abgeleitet mit folgenden Schlüsseln. Privater Schlüssel k_t des Terminals; dieser ist eine mittels einer Terminal-internen Funktion Generate_secret_key() erzeugte Zufallszahl. Öffentlicher Schlüssel pt des Terminals; dieser ist mittels einer Terminal-internen Funktion Generate_public_key(g; k_t) abgeleitet gemäß p_t = Generate_public_key(g; k_t) = g^kt mod p, durch modulare Exponentiation des Erzeugers g mit dem privaten Terminal-Schlüssels kt des Client.
Beim in Schritten 2.3-2.4 dargestellten generischen Mapping wird in Schritt 2.3 im Client ein Hilfswert h_c berechnet gemäß h_c = p_t ^kc mod p , und im Terminal ein Hilfswert ht berechnet gemäß ht = p_c ^kt mod p. In Schritt 2.4 wird im Client ein gemappter Generator g_c' abgeleitet gemäß g_c' = (g^s mod p) · h_c mod p, und im Terminal ein gemappter Generator g_t' abgeleitet gemäß g_t' = (g^st mod p) · h_t mod p. Bei korrekter Ausführung des Protokolls gilt hε = h_c unabhängig von dem vom Nutzer eingegebenen Passwort PIN_user.
Im PACE-Protokoll werden sogenannte öffentliche Parameter verwendet. Unter öffentlichen Parametern werden Parameter verstanden, die zu Beginn des Protokolls sowohl dem Client als auch dem Terminal bekannt sind. Parameter sind beispielsweise der Modulus p und die Ordnung q der primen Restklasse. Wir benutzen im Folgenden den Begriff der öffentlichen Werte, durch welchen die öffentlichen Parameter als auch alle Werte, die das Terminal ohne Wissen der PIN selbst generieren oder berechnen (= bilden) kann (und daher natürlich selbst kennt), bezeichnet sind. Zu den öffentlichen Werten zählt z.B. auch der Hilfswert ht, sowie der private Terminal-Schlüssel kε . Daneben gibt e nicht-öffentliche Werte, worunter Werte verstanden werden, die dem Terminal nicht bekannt sind, und wozu insbesondere der erste private Client-Schlüssel k_c, der zweite private Client-Schlüssel k_c' zählen.
In Seitenkanalangriffen werden Seitenkanalinformationen einer eine Berechnung ausführenden Prozessoreinrichtung ausgewertet, um darin Charakteristika zu finden, welche die in der Berechnung verwendeten Daten widerspiegeln. Seitenkanalinformationen können beispielsweise der Stromverbrauch der Prozessoreinrichtung sein, oder die von ihr während der Ausführung der Berechnung austretende elektromagnetische Abstrahlung. Die Berechnung kann beispielsweise eine kryptographische Berechnung sein. Daten können beispielsweise Eingangsdaten, geheime Schlüssel, Zwischenwerte und Ausgangsdaten der Berechnung sein.
Wie aus 1 der obigen Darstellung ersichtlich ist, wird in den Rechenschritten 2.4 und 3.2 jeweils eine modulare Exponentiation durchgeführt, in welcher die Nonce s bzw. der Erzeuger g_c' in ungeschützter Form verarbeitet wird. Dies führt dazu, dass Seitenkanalinformationen wie Stromprofil oder elektromagnetische Abstrahlung der Prozessoreinrichtung, in welcher die Berechnung erfolgt, Charakteristika aufweisen können, die für den Wert der Nonce s bzw. des Erzeugers g_c' charakteristisch sind.
Durch bekannte Seitenkanalangriffe wie Simple Power Analysis SPA oder Differential Power Analysis DPA könnte die Nonce s ausgespäht werden, der aber geheim zu bleiben hat. Ergebnisse von Berechnungen und Ergebnisse von Operationen können in Seitenkanalangriffen Information liefern, die ein Angreifern ausnutzen kann.
Zusammenfassung der Erfindung
Der Erfindung liegt die Aufgabe zu Grunde, ein Verfahren zur Schlüsselgenerierung zu schaffen, das einen verbesserten Schutz gegen Seitenkanalangriffe aufweist.
Die Aufgabe wird gelöst durch ein Verfahren zur Schlüsselgenerierung nach Anspruch 1 oder 2. Das Verfahren zur Schlüsselgenerierung ist vorteilhaft anwendbar in einem Verfahren zur Schlüsseleinigung und Authentisierung . Vorteilhafte Ausgestaltungen der Erfindung sind in den abhängigen Ansprüchen angegeben.
Das erfindungsgemäße Verfahren zur Schlüsselgenerierung nach Anspruch 1 und 2 ist in einer Client-Prozessoreinrichtung eingerichtet. Das Verfahren ist eingerichtet, einen zweiten öffentlichen Client-Schlüssel p_c' des Client zu erzeugen.
Das Verfahren zur Schlüsselgenerierung umfasst die in der Client-Prozessoreinrichtung durchgeführten Schritte:

(1.1) Erzeugen einer Nonce s;
(2.1) Erzeugen eines ersten asymmetrischen Schlüsselpaars [k_c, p_c] des Client, umfassend einen ersten öffentlichen Client-Schlüssel p_c und einen ersten privaten Client-Schlüssel k_c, wobei der erste öffentliche Client-Schlüssel p_c gebildet wird als Ergebnis der modularen Exponentiation p_c = g^kc mod p von dem Erzeuger g der primen Restklasse mit privaten Client-Schlüssels k_c; (2.2) Empfangen, von einem Terminal, eines ersten öffentlichen Terminal-Schlüssels pt, der Teil des ersten asymmetrischen Schlüsselpaares des Terminals ist, das den ersten öffentlichen Terminal-Schlüssel pt und den ersten privaten Terminal-Schlüssel kε umfasst;
(3.1), (3.2) Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_c', p_c'] des Client, umfassend den zweiten öffentlichen Client-Schlüssel p_c' und einen zweiten privaten Client-Schlüssel k_c';

Das Verfahren gemäß einer ersten Alternative der Erfindung zeichnet sich dadurch aus, dass der öffentliche Schlüssel p_c' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, welche keine Operation enthält, deren Ergebnis ausschließlich von der Nonce s und mindestens einem öffentlichen Wert abhängt.
Das Verfahren gemäß einer zweiten Alternative der Erfindung zeichnet sich dadurch aus, dass der öffentliche Schlüssel p_c' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, in welcher in jede Operation, in welche die Nonce s eingeht, mindestens ein nicht-öffentlicher Wert eingeht, insbesondere der erste private Client-Schlüssel k_c oder der zweite private Client-Schlüssel k_c'.
Die Schritte (1.1), (2.1), (2.2) und (3.1) werden im Wesentlichen wie im in 1 dargestellten herkömmlichen Verfahren zur Schlüsselgenerierung durchgeführt. Die herkömmlichen Schritte (2.3), (2.4) entfallen beim Client.
Im herkömmlichen Schritt (2.4) wird eine modulare Exponentiation g^s mod p des Erzeugers g mit der in Klartext vorliegender Nonce s durchgeführt, so dass in die Berechnung nur zwei Eingangswerte Erzeuger g und Nonce s eingehen.
Der Erzeuger g und die öffentlichen Schlüssel, d.h. der erste und zweite öffentliche Terminal-Schlüssel und der erste und zweite öffentliche Client-Schlüssel, sind öffentliche Parameter, die einem Angreifer bekannt sind. Daher ist in der Operation g^s mod p nur die Nonce s unbekannt. Sowohl die Operation g^s mod p als auch das Ergebnis der Operation g^s mod p kann einem Angreifer Seitenkanalinformation liefern, die es ermöglichen können, auf die geheime Nonce s zu schließen. Daher sind insbesondere Berechnungen, in die zusätzlich zu einem geheimen Wert nur öffentliche Parameter eingehen, anfällig für Seitenkanalangriffe. Die modulare Exponentiation g^s mod p im herkömmlichen Schritt (2.4) ist daher anfällig für Seitenkanalangriffe.
Erfindungsgemäß werden Operationen vermieden, in die lediglich die Nonce s und ein öffentlicher Wert bzw. die Nonce s und mehrere öffentliche Werte eingehen. Vielmehr geht in jede Operation mindestens ein Wert ein, der weder die Nonce s noch ein öffentlicher Wert ist.
Hierdurch sind Seitenkanalabstrahlungen der Nonce s durch die zusätzlichen Seitenkanalabstrahlungen des Werts oder der Werte, die weder die Nonce s noch ein öffentlicher Wert sind, verwischt, wodurch Seitenkanalangriffe stark erschwert oder gänzlich verhindert sind.
Daher ist gemäß Anspruch 1 ein Verfahren zur Schlüsselgenerierung geschaffen, das einen verbesserten Schutz gegen Seitenkanalangriffe, insbesondere den weiter oben beschriebenen Angriff, aufweist.
Beispielsweise kann in (E3.2*) der zweite öffentliche Client-Schlüssel p_c' gebildet werden als Ergebnis einer Berechnung, worin der Erzeuger g, die Nonce s und der zweite private Client-Schlüssel k_c' in einer gemeinsamen Operation verarbeitet werden. Dann ist in der Operation zusätzlich der zweite private Client-Schlüssel k_c' enthalten, so dass Seitenkanalabstrahlungen der Operation verwischt werden.
Hierdurch sind Seitenkanalabstrahlungen der Nonce s durch die zusätzlichen Seitenkanalabstrahlungen des zweiten privaten Client-Schlüssel k_c' verwischt, wodurch Seitenkanalangriffe stark erschwert oder gänzlich verhindert sind.
Eine weitere Verfahrensvariante nutzt anstelle der Nonce eine maskierte Nonce und deren Maske oder Masken. Eine Maskierung des Nonce s ist bei derzeitigen Verfahren zur Schlüsselgenerierung nicht vorgesehen, kann aber in künftigen Verfahren gewünscht sein, um die Sicherheit gegen Seitenkanalangriffe weiter zu erhöhen.
Gemäß einer vorteilhaften Weiterbildung umfasst das Verfahren zur Schlüsselgenerierung in Schritt (1.1) weiter:

(E1.1*) Erzeugen und Bereitstellen, oder nur Bereitstellen (ohne internes Berechnen im Client, d.h. z.B. externes Berechnen und sicheres Übertragen in den Client), einer maskierten Nonce s_m und eines zur maskierten Nonce s_m zugehörigen Maskierungswertes m (oder mehrerer zugehöriger Maskierungswerte).

Gemäß manchen Ausführungsformen wird, falls die maskierte Nonce s_m z.B. additiv maskiert ist mit s = (s_m + m) mod q und $m = (\sum_{j = 1}^{k} m_{j})$
mod q im Falle von k Maskierungswerten, q die Gruppenordnung der primen Restklasse, im Schritt (E3.2*) die maskierte Nonce s_m zusammen mit der Maske (Masken) verwendet. Der zweite öffentliche Client-Schlüssel p_c' wird dabei gebildet als das Ergebnis einer Kombination von Operationen, wie in den entsprechenden Unteransprüchen angegeben.
Ein erfindungsgemäßes Verfahren zur Schlüsseleinigung und Authentisierung zwischen einem Client und einem Terminal umfasst, zusätzlich zu den Schritten des oben angegebenen Verfahrens zur Schlüsselgenerierung im Client, noch weitere Schritte im Client, Schritte eines Verfahrens zur Schlüsselgenerierung im Terminal, sowie Schritte, in denen das Terminal Daten an den Client sendet oder vom Client empfängt. Hierbei ist Schritten, die im oder durch den Client erfolgen, ein (C) vorangestellt, und Schritten, die im oder durch das Terminal erfolgen ein (T) vorangestellt, nachfolgenden Schritten, die nach der Schlüsselgenerierung folgen, ist ein (AUTH) vorangestellt. Im Einzelnen sind im Verfahren zur Schlüsseleinigung und Authentisierung die folgenden Schritte umfasst:

(C) (1.1) Im Client, Verschlüsseln der Nonce s, (wobei ggf. der Input der Verschlüsselung die maskierte Nonce und die Maske(n) sind), mit einem im Client gespeicherten Passwort (PIN), so dass eine verschlüsselte Nonce s' = Enc(s; PIN) (oder ggf. Enc'(s_m, m; PIN), wobei Enc(s; PIN) = Enc'(s_m, m; PIN) gilt, das heißt die Verschlüsselungsfunktion Enc' und die Maske m sind aufeinander abgestimmt, so dass das Ergebnis s' so wie ohne Maskierung erzeugt wird) erzeugt wird; das Passwort ist bevorzugt zugriffsgesichert gespeichert, so dass es die Prozessoreinrichtung des Client aufrufen und in Berechnungen verwenden kann, dass aber ein Auslesen des Passworts aus dem Client heraus nicht möglich ist;
(C) (1.2) Übermitteln der verschlüsselten Nonce s' vom Client an das Terminal;
(C) Im Client, Ausführen eines Verfahrens zur Schlüsselgenerierung wie oben beschrieben, so dass ein zweiter öffentlicher Client-Schlüssel p_c' des Client abgeleitet wird;
(C) (2.2) Im Verlauf des Verfahrens zur Schlüsselgenerierung im Client, Übermitteln des dabei erzeugten ersten öffentlichen Client-Schlüssels p_c an das Terminal;
(T) (1.3) Im Terminal, Entgegennehmen eines Passworts PIN_user, das von einem Nutzer an dem Terminal eingegeben worden ist;
(T) (1.4) Im Terminal, Empfangen der vom Client gesendeten verschlüsselten Nonce s' und Entschlüsseln der verschlüsselten Nonce s' mit dem vom Nutzer eingegebenen Passwort, so dass eine Terminal-Nonce s_t = Dec(s,' PINuser) abgeleitet wird; Bemerkung: war das vom Nutzer am Terminal eingegebene Passwort PIN_user gleich dem richtigen Passwort PIN des Client, dann ist auch die Terminal-Nonce s_t gleich der ursprünglichen Nonce s;
(T) Im Terminal, Durchführen eines Terminal-Verfahrens zur Schlüsselgenerierung, umfassend die Schritte:
(T) (2.1) Im Terminal, Erzeugen des ersten asymmetrischen Schlüsselpaars [k_t, p_t] des Terminals, umfassend den ersten öffentlichen Terminal-Schlüssel p_t und einen ersten privaten Terminal-Schlüssel kt, wobei der erste öffentliche Terminal-Schlüssel p_t gebildet wird als Ergebnis der modularen Exponentiation p_t = g^k' mod p von dem Erzeuger g der primen Restklasse mit dem ersten privaten Terminal-Schlüssels kt;
(T) (2.2) Im Terminal, Empfangen, vom Client, des ersten öffentlichen Client-Schlüssels p_c;
(T) (3.1), (E3.2*) Im Terminal, Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_t', p_t'] des Terminals, umfassend einen zweiten öffentlichen Terminal-Schlüssel p_t' und einen zweiten privaten Terminal-Schlüssel k_t', wobei der zweite öffentliche Terminal-Schlüssel p_t' gebildet wird als Ergebnis der modularen Exponentiation p_t' = (g_t')^kt' mod p von dem Erzeuger g_t' der primen Restklasse mit dem ersten privaten Terminal-Schlüssels k_t'; (AUTH) Verwendung des zweiten öffentlichen Client-Schlüssels p_c' und des zweiten öffentlichen Terminal-Schlüssels p_t' in einem Schlüsseleinigungs- und Authentisierungs-Protokoll zwischen dem Client und dem Terminal, beispielsweise im PACE-Protokoll.

Figurenliste
Im Folgenden wird die Erfindung an Hand von Ausführungsbeispielen und unter Bezugnahme auf die Zeichnung näher erläutert, in der zeigen:

1 Auszüge aus einem beispielhaften herkömmlichen PACE-Protokoll umfassend ein Diffie-Hellman Verfahren zur Schlüsselgenerierung;
2 Auszüge aus einem beispielhaften erfindungsgemäß abgewandelten PACE-Protokoll umfassend ein Verfahren zur Schlüsselgenerierung, gemäß einer Ausführungsform der Erfindung, das auf Elementen des Verfahrens aus 1 aufsetzt.

Detaillierte Beschreibung von Ausführungsbeispielen
1 zeigt Auszüge aus einem beispielhaften herkömmlichen PACE-Protokoll umfassend ein Diffie-Hellman Verfahren zur Schlüsselgenerierung, das bereits eingangs beschrieben wurde.
2 zeigt Auszüge aus einem beispielhaften erfindungsgemäß abgewandelten PACE-Protokoll umfassend ein Verfahren zur Schlüsselgenerierung, gemäß einer Ausführungsform der Erfindung, das auf Elementen des Verfahrens aus 1 aufsetzt.
Der Unterschied des erfindungsgemäßen Verfahrens aus 2 gegenüber dem herkömmlichen Verfahren 1 besteht im Wesentlichen in den im Client ausgeführten Schritten (2.3), (2.4), die im erfindungsgemäßen Verfahren entfallen, und in dem im Client ausgeführten Schritt (E3.2*), der gegenüber dem herkömmlichen Verfahren verändert ist, und in welchem die entfallenen Schritte (2.3), (2.4) aufgehen.
Gemäß der Erfindung wird der zweite öffentliche Client Schlüssel berechnet gemäß einer Funktion p_c' = Generate_public_key_with_mapping(g, p_t; s_m, m, k_c, k_c') = ((g^{((kc' s) mod q)} mod p) · (p_t ^{((kc) mod q)} mod p)) mod p.
Gemäß der in 2 dargestellten Ausführungsform der Erfindung wird das Schlüsseleinigungs- und Authentisierungsverfahren zwischen dem Client und dem Terminal wie folgt ausgeführt. Die Reihenfolge der Schritte erfolgt soweit durch den Verfahrensverlauf erforderlich, in der angegebenen Reihenfolge. Soweit eine Reihenfolge nicht durch das Verfahren festgelegt ist, kann die Reihenfolge der Durchführung der Schritte auch von der Reihenfolge, in der die Schritte angeführt sind, abweichen. Als Nonce kann eine maskierte Nonce s_m verwendet werden, wie in 2 als Schritt E1.1* gezeigt.
Alternativ kann als Nonce eine unmaskierte Nonce s verwendet werden, gemäß Schritt 1.1 von 1, wie in 2 durch den Verweis auf Schritt 1.1 von 1 angedeutet ist.
Schritt 1.1 im Client erfolgt entweder ohne Maskierung der Nonce (1.1 wie in 1) oder mit Maskierung der Nonce (E1.1* gemäß 2):

(1.1) Ohne Maskierung der Nonce:
- (C) (1.1) Im Client, Erzeugen einer Nonce s;
- (C) (1.1) Im Client, Verschlüsseln der Nonce s, mit einem im Client gespeicherten Passwort (PIN), so dass eine verschlüsselter Nonce s' = Enc(s; PIN) erzeugt wird;
- (C) (E1.1*) Mit Maskierung der Nonce:
  - (C) (E1.1*) Im Client, Erzeugen einer Maske m durch die Funktion m = Generate_Mask();
  - (C) (E1.1*) Im Client, Erzeugen einer maskierten Nonce s_m durch die Funktion s_m = Generate_masked_Nonce(m);
  - (C) (E1.1*) Im Client, Verschlüsseln der Nonce s_m mit der Maske m und dem im Client abgespeicherten Passwort PIN durch die Funktion s' = Enc(s_m, m; PIN), so dass die verschlüsselte Nonce s' erzeugt wird.

In beiden Fällen, nicht-maskierte und maskierte Nonce, wird das Verfahren wie folgt weitergeführt:

(C) (1.2) Übermitteln der verschlüsselten Nonce s' vom Client an das Terminal;
(T) (1.3) Im Terminal, Entgegennehmen eines Passworts PIN_user, das von einem Nutzer an dem Terminal eingegeben worden ist;
(T) (1.4) Im Terminal, Empfangen der vom Client gesendeten verschlüsselten Nonce s' und Entschlüsseln der verschlüsselten Nonce s' mit dem vom Nutzer eingegebenen Passwort, so dass eine Terminal-Nonce s_t = Dec(s,' PINuser) abgeleitet wird;
(C) (2.1) Im Client, Erzeugen eines ersten asymmetrischen Schlüsselpaars [k_c, p_c] des Client, umfassend einen ersten öffentlichen Client-Schlüssel p_c und einen ersten privaten Client-Schlüssel k_c, wobei der erste öffentliche Client-Schlüssel p_c gebildet wird als Ergebnis der modularen Exponentiation p_c = g^kc mod p von dem Erzeuger g der primen Restklasse mit dem ersten privaten Client-Schlüssels k; der erste private Client-Schlüssel k_c ist eine Zufallszahl, die im Client erzeugt wird;
(T) (2.1) Im Terminal, Erzeugen eines ersten asymmetrischen Schlüsselpaars [k_t, p_t] des Terminals, umfassend einen ersten öffentlichen Terminal-Schlüssel p_t und einen ersten privaten Terminal-Schlüssel k_t, wobei der erste öffentliche Terminal-Schlüssel pt gebildet wird als Ergebnis der modularen Exponentiation p_t = g^kt mod p von dem Erzeuger g der primen Restklasse mit dem ersten privaten Terminal-Schlüssels kt; der erste private Terminal-Schlüssel kt ist bevorzugt eine Zufallszahl, die bevorzugt im Terminal erzeugt wird;
(C) (2.2) Übermitteln des ersten öffentlichen Client-Schlüssels p_c vom Client an das Terminal;
(T) (2.2) Übermitteln des ersten öffentlichen Terminal-Schlüssels pt vom Terminal an den Client;
(C) (2.2) Im Client, Empfangen, von dem Terminal, des ersten öffentlichen Terminal-Schlüssels pt;
(T) (2.2) Im Terminal, Empfangen, von dem Client, des ersten öffentlichen Client-Schlüssels p_c;
(T) (E2.3*) Im Terminal, Erzeugen eines abgeleiteten Wertes hε durch modulare Exponentiation h_t = p_c ^kt mod p des vom Client empfangenen ersten öffentlichen Client-Schlüssels p_c mit dem ersten privaten Terminal-Schlüssel k_t; (T) (E2.4*) Im Terminal, Ableiten eines abgeleiteten Erzeugers g_t' durch modulare Exponentiation des Erzeugers g mit der Terminal-Nonce s_t und modularer Multiplikation des dabei erzeugten Wertes mit dem abgeleiteten Wert h_t, gemäß g_t' = ((g^st mod p) · h_t) mod p;
(T) (3.1) Im Terminal, Erzeugen des zweiten privaten Terminal-Schlüssels kt'; (T) (E3.2*) Im Terminal, Ableiten des zweiten öffentlichen Terminal-Schlüssels P_t' durch modulare Exponentiation p_t' = (g_t')^kt' mod p des abgeleiteten Erzeugers g_t' mit dem zweiten privaten Terminal-Schlüssel k_t'.
(C) (3.1) Im Client, Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_c', p_c'] des Client, umfassend einen zweiten öffentlichen Client-Schlüssel
p_c' und einen zweiten privaten Client-Schlüssel k_c'; der zweite private Client-Schlüssel k_c' ist eine Zufallszahl, die im Client erzeugt wird;
(C) (E3.2*) Dabei wird der zweite öffentliche Client-Schlüssel p_c' gebildet als Ergebnis der Operation p_c'= ((g^{((kc ‘· s) mod q)} mod p) · (p_t ^{((kc' · kc ‘·s) mod q)} mod p)) mod p; hierbei werden zwei Ergebnisse von zwei modularen Exponentiationen g^{((kc ‘· s) mod q)} mod p und p_t ^{((kc ‘· kc) mod q)} mod p erzeugt, einmal durch modulare Exponentiation des Erzeugers g mit der Summe aus dem zweiten privaten Client-Schlüssel k_c' und der Client Nonce s (die wahlweise in maskierter Form vorliegen kann), und einmal durch modulare Exponentiation des ersten öffentlichen Terminal-Schlüssel pt mit der Summe aus dem zweiten privaten Client-Schlüssel k_c' und dem ersten privaten Client-Schlüssel k_c; die zwei Ergebnisse werden durch eine modulare Multiplikation kombiniert, so dass schließlich der zweite öffentliche Schlüssel p_c' des Client abgeleitet wird;
(AUTH) Verwendung des zweiten öffentlichen Client-Schlüssels p_c' und des zweiten öffentlichen Terminal-Schlüssels p_t' in einem Authentisierungs- und Schlüsseleinigungs-Protokoll zwischen dem Client und dem Terminal, beispielsweise im PACE-Protokoll.

Claims

Verfahren zur Schlüsselgenerierung, eingerichtet in einer Client-Prozessoreinrichtung, mittels dessen ein zweiter öffentlicher Client-Schlüssel p_c' des Client abgeleitet wird, wobei das Verfahren zur Schlüsselgenerierung die in der Client-Prozessoreinrichtung durchgeführten Schritte umfasst: (1.1) Erzeugen einer Nonce s; (2.1) Erzeugen eines ersten asymmetrischen Schlüsselpaars [k_c, p_c] des Client, umfassend einen ersten öffentlichen Client-Schlüssel p_c und einen ersten privaten Client-Schlüssel k_c, wobei der erste öffentliche Client-Schlüssel p_c gebildet wird als Ergebnis der modularen Exponentiation p_c = g^kc- mod p des Erzeugers g einer primen Restklasse mit dem ersten privaten Client-Schlüssels k_c; (2.2) Empfangen, von einem Terminal, eines ersten öffentlichen Terminal-Schlüssels pt, der in einem ersten asymmetrischen Schlüsselpaar des Terminals umfasst ist, das den ersten öffentlichen Terminal-Schlüssel pt und einen ersten privaten Terminal-Schlüssel kt umfasst; (3.1) Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_c', p_c'] des Client, umfassend einen zweiten öffentlichen Client-Schlüssel p_c' und einen zweiten privaten Client-Schlüssel k_c'; dadurch gekennzeichnet, dass der öffentliche Schlüssel p_c' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, welche keine Operation enthält, deren Ergebnis ausschließlich von der Nonce s und mindestens einem öffentlichen Wert abhängt.
Verfahren zur Schlüsselgenerierung, eingerichtet in einer Client-Prozessoreinrichtung, mittels dessen ein zweiter öffentlicher Client-Schlüssel p_c' des Client abgeleitet wird, wobei das Verfahren zur Schlüsselgenerierung die in der Client-Prozessoreinrichtung durchgeführten Schritte umfasst: (1.1) Erzeugen einer Nonce s; (2.1) Erzeugen eines ersten asymmetrischen Schlüsselpaars [k_c, p_c] des Client, umfassend einen ersten öffentlichen Client-Schlüssel p_c und einen ersten privaten Client-Schlüssel k_c, wobei der erste öffentliche Client-Schlüssel p_c gebildet wird als Ergebnis der modularen Exponentiation p_c = g^kc mod p des Erzeugers g einer primen Restklasse mit dem ersten privaten Client-Schlüssels k_c; (2.2) Empfangen, von einem Terminal, eines ersten öffentlichen Terminal-Schlüssels pt, der in einem ersten asymmetrischen Schlüsselpaar des Terminals umfasst ist, das den ersten öffentlichen Terminal-Schlüssel pt und einen ersten privaten Terminal-Schlüssel kε umfasst; (3.1) Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_c', p_c'] des Client, umfassend einen zweiten öffentlichen Client-Schlüssel p_c' und einen zweiten privaten Client-Schlüssel k_c'; dadurch gekennzeichnet, dass der öffentliche Schlüssel p_c' durch eine Berechnung, oder Folge von Berechnungen, gebildet wird, in welcher in jede Operation, in welche die Nonce s eingeht, mindestens ein nicht-öffentlicher Wert eingeht, insbesondere der erste private Client-Schlüssel k_c oder der zweite private Client-Schlüssel k_c'.
Verfahren nach Anspruch 1 oder 2, wobei: - als öffentlicher Wert oder öffentliche Werte mindestens einer der folgenden vorgesehen ist: der Erzeuger g, der erste öffentliche Terminal-Schlüssel pt, der erste private Terminal-Schlüssel kt, der Zwischenwert h_c des PACE-Protokolls; oder/und - als nicht-öffentlicher Wert mindestens einer der folgenden vorgesehen ist: der erste private Client-Schlüssel k_c, der zweite private Client-Schlüssel k_c'.
Verfahren nach einem der Ansprüche 1 bis 3, wobei Schritt (E3.2*) durchgeführt wird als eine der folgenden Berechnungen (i), (ii), (iii) oder (iv), die in sich ein oder mehrere Operationen, insbesondere modulare Exponentiationen oder / und modulare Multiplikationen · oder / und modulare Divisionen /, umfassen: (i) p_c' = (p1 · p2) mod p, mit: p1 = g^{((kc ‘s) mod q)} mod p oder p1 = (g^{kc ‘'} mod p)^s mod p, und mit: p2 gleich dem Ergebnis einer Operation oder Folge von Operationen mit dem zweiten privaten Client-Schlüssel k_c', dem ersten privaten Client-Schlüssel k_c und dem ersten öffentlichen Terminal-Schlüssel pt; insbesondere: p2 = p_t ^{((kc ‘' kc) mod p)} ; oder p2 = h_c ^{kc ’} mod p; oder (ii) p_c'=( (g · (p_t ^{((kc/ s) mod q)} mod p) mod p)^((kc'· ^{s) mod q)} mod p; oder (iii) p_c'= ((g^kc' mod p) · (h_c ^{((kc/s) mod q)} mod p) mod p)^s mod p; oder (iv) p_c'= ((g^kc' mod p) • (p_t ^{((kc' · kc/ s) mod q)} mod p) mod p)^s mod p; wobei h_c gleich dem Ergebnis der modularen Exponentiation h_c = p_t ^kc mod p.
Verfahren zur Schlüsselgenerierung nach einem der Ansprüche 1 bis 4, wobei Schritt (1.1) Erzeugen einer Nonce durchgeführt wird als: (E1.1*) Erzeugen und Bereitstellen, oder Bereitstellen, mindestens eines Maskierungswerts m; Erzeugen einer maskierten Nonce s_m; und wobei in Schritt (E3.2*) als Nonce s die maskierte Nonce s_m und der Maskierungswert m, [s_m, m], verwendet werden.
Verfahren nach Anspruch 5, wobei (E3.2*) wobei Schritt (E3.2*) durchgeführt wird als eine der folgenden Berechnungen: p_c' = p1 + p2 , mit: $p 1 = g^{((k_{c}' \cdot s_{m} + k_{c}' \cdot (\sum_{j = 1}^{k} m_{j})) m o d q)}$
mod p oder $p 1 = ((g^{((k_{c}' \cdot s_{m}) mod q)} mod p) \cdot \prod_{j = 1}^{k} (g^{((k_{c}' \cdot m_{j}) m o d q)} m o d p))$
mod p, und mit: p2 gleich dem Ergebnis einer Operation oder Folge von Operationen an dem zweiten privaten Client-Schlüssel k_c', dem ersten privaten Client-Schlüssel k_c und dem ersten öffentlichen Terminal-Schlüssel pt.
Verfahren nach einem der Ansprüche 1 bis 6, weiter umfassend: (C) (1.1) Im Client, Verschlüsseln der Nonce s mit einem im Client gespeicherten Passwort PIN, so dass eine verschlüsselte Nonce s' = Enc(s; PIN) erzeugt wird, oder im Fall einer maskierten Nonce s_m (E1.1*) Verschlüsseln der maskierten Nonce s_m und der Maske m mit dem Passwort PIN, so dass eine verschlüsselte Nonce s' = Enc'(s_m, m; PIN) erzeugt wird; (C) (1.2) Übermitteln der verschlüsselten Nonce s' vom Client an das Terminal.
Client-Prozessoreinrichtung, eingerichtet ein Verfahren zur Schlüsselgenerierung gemäß einem der Ansprüche 1 bis 7 auszuführen.
Verfahren zur Schlüsseleinigung und Authentisierung zwischen einem Client und einem Terminal, umfassend die Schritte: (C) Im Client, Durchführen eines Verfahrens zur Schlüsselgenerierung gemäß Anspruch 7, so dass ein zweiter öffentlicher Client-Schlüssel p_c' des Client abgeleitet wird; (C) (2.2) Übermitteln des ersten öffentlichen Client-Schlüssels p_c an das Terminal; (T) (1.2) Im Terminal, Entgegennehmen eines Passworts PIN_user, das von einem Nutzer an dem Terminal eingegeben worden ist; (T) (1.4) Im Terminal, Empfangen der vom Client gesendeten verschlüsselten Nonce s' und Entschlüsseln der verschlüsselten Nonce s' mit dem vom Nutzer eingegebenen Passwort PIN_user, so dass eine Terminal-Nonce s_t = Dec(s,' PIN_user) abgeleitet wird; (T) Im Terminal, Durchführen eines Terminal-Verfahrens zur Schlüsselgenerierung, umfassend die Schritte: (T) (2.1) Im Terminal, Erzeugen des ersten asymmetrischen Schlüsselpaars [kt ,pt] des Terminals, umfassend den ersten öffentlichen Terminal-Schlüssel pt und den ersten privaten Terminal-Schlüssel kt, wobei der erste öffentliche Terminal-Schlüssel pt gebildet wird als Ergebnis der modularen Exponentiation p_t = g^kt mod p des Erzeugers g der primen Restklasse mit dem ersten privaten Terminal-Schlüssels k_t; (T) (2.2) Im Terminal, Empfangen, vom Client, des ersten öffentlichen Client-Schlüssels p_c; (T) Im Terminal, Erzeugen eines zweiten asymmetrischen Schlüsselpaars [k_t' ,p_t'] des Terminals, umfassend einen zweiten öffentlichen Terminal-Schlüssel pt' und einen zweiten privaten Terminal-Schlüssel k_t', wobei der zweite öffentliche Terminal-Schlüssel pt' abgeleitet wird unter Verwendung des vom Client empfangenen ersten öffentlichen Client-Schlüssels p_c, des ersten privaten Terminal-Schlüssel k_t, der Terminal-Nonce s_t', des Erzeugers g der primen Restklasse, und des zweiten privaten Terminal-Schlüssels kt'; (AUTH) Verwendung des zweiten öffentlichen Client-Schlüssels p_c' und des zweiten öffentlichen Terminal-Schlüssels p_t' in einem Schlüsseleinigungs- und Authentisierungs-Protokoll zwischen dem Client und dem Terminal.
Verfahren nach Anspruch 9, wobei beim Erzeugen des zweiten asymmetrischen Schlüsselpaars [k_t' ,p_t'] des Terminals der zweite öffentliche Terminal-Schlüssel p_t' abgeleitet wird durch folgende Teilschritte: (T) (2.3) Im Terminal, Erzeugen eines abgeleiteten Wertes h_t durch modulare Exponentiation h_t = p_c ^ki mod p des vom Client empfangenen ersten öffentlichen Client-Schlüssels p_c mit dem ersten privaten Terminal-Schlüssel k_t; (T) (2.4) Im Terminal, Ableiten eines abgeleiteten Erzeugers g_t' der primen Restklasse durch modulare Exponentiation des Erzeugers g mit der Terminal-Nonce s_t und modularer Multiplikation des Ergebrusses mit dem abgeleiteten Wert ht, gemäß g_t' = ((g^st mod p) · h_t) mod p; (T) (3.1) Im Terminal, Erzeugen des zweiten privaten Terminal-Schlüssels k_t'; (T) (E3.2*) Im Terminal, Ableiten des zweiten öffentlichen Terminal-Schlüssels p_t' durch modulare Exponentiation p_t' = (g_t')^kt' mod p des abgeleiteten Erzeugers g_t' mit dem zweiten privaten Terminal-Schlüssel kt'.
Verfahren nach Anspruch 9 oder 10, wobei als Protokoll das PACE-Protokoll verwendet wird.
Verfahren nach einem der Ansprüche 1 bis 7 oder 9 bis 11, wobei als der private Client-Schlüssel eines jeweiligen Schlüsselpaars eine Zufallszahl vorgesehen wird, die in dem Client erzeugt wird oder außerhalb des Client erzeugt und gesichert in den Client übertragen und dort gesichert - flüchtig oder permanent - gespeichert wird; oder/und wobei als der private Terminal-Schlüssel eines jeweiligen Schlüsselpaars eine Zufallszahl vorgesehen wird, die in dem Terminal erzeugt wird oder außerhalb des Terminals erzeugt und gesichert in das Terminal gespeichert wird.