DE19841886C2

DE19841886C2 - Verfahren und Vorrichtung zur Erzeugung von Paßwörtern

Info

Publication number: DE19841886C2
Application number: DE19841886A
Authority: DE
Inventors: Ismet Koyun
Original assignee: Kobil Computer GmbH
Current assignee: Kobil GmbH
Priority date: 1998-01-22
Filing date: 1998-09-11
Publication date: 2003-03-27
Anticipated expiration: 2018-09-12
Also published as: DE19841886A1

Abstract

Die Erfindung bezieht sich auf ein Verfahren zur Erzeugung von Schlüsselwerten, wobei ausgehend von einem geheimen Startwert (x¶0,c¶), welcher zusammen mit einem geheimen Schlüssel (k(C)) in einem Computer (2) und bei einem Benutzer (C) gespeichert ist, mittels einer Verschlüsselungsfunktion unter Einbeziehung eines vorbenutzten, insbesondere des zuletzt benutzten, Schlüsselwertes ein nächster Schlüsselwert (x¶n,c¶) berechnet wird. Das Verfahren soll dahingehend ausgebildet werden, dass eine sichere Authentifikation eines Benutzers durch den Computer erfolgt und ein sicheres Log-in auf den Computer ermöglicht wird. Hierzu wird vorgeschlagen, dass der jeweils erzeugte Schlüsselwert als einmalig gültiges Passwort für die Zugangsberechtigung auf den Computer (2) gebildet wird, dass der geheime Startwert (x¶0,c¶) und der geheime Schlüssel (k(C)) auf einem dem Benutzer (C) zur Verfügung gestellten, als Prozessor-Chipkarte ausgebildeten Datenträger (6) in einem gesicherten, von außen nicht zugänglichen Speicherbereich gespeichert werden. Auf dem Datenträger (6) wird mittels der genannten Verschlüsselungsfunktion unter Einbeziehung des vorbenutzten Passwortes das nächste Passwort (x¶n,c¶) berechnet, welches auf den Computer (2) gegeben wird zur Überprüfung der Zugriffsberechtigung des Benutzers (C) auf den Computer (2), wobei im Computer (2) das zuletzt benutzte Passwort dem geheimen Schlüssel (k(C)) des jeweiligen Benutzers (C) zugeordnet wird.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Erzeugung von Passwörtern gemäß der im Oberbegriff des Patentanspruchs 1 angegebenen Merkmale. Ferner bezieht sich die Erfindung auf eine Vorrichtung zur Durchführung des Verfahrens.

Aus der US 5 483 598 ist ein derartiges Verfahren bekannt, zur Verschlüsselung einer zu übertragenden digitalen Nachricht und zu deren Entschlüsselung nach der Übertragung, um die Vertraulichkeit zu gewährleisten. Ein Rechner bzw. Sender enthält einen Hash-Code-Generator, welcher einen Einweg-Hash-Code für die Verkettung von zwei Werten enthält. Es handelt sich hierbei um einen geheimen Langzeit-Wert in einem Register sowie um einen Anfangswert in einem weiteren Register des Senders und entsprechend bei einem Empfänger. Mittels der genannten Werte erfolgt beim Sender eine Schlüsselstromgenerierung zur Verschlüsselung der Nachricht, welche zudem in einzelne Nachrichtenteile unterteilt wird, und des weiteren um eine entsprechende Entschlüsselung beim Empfänger.

Ferner ist aus der DE 44 11 450 C1 eine Fahrzeugsicherungseinrichtung mit elektronischer Nutzungsberechtigungscodierung bekannt, welche eine benutzerseitige Schlüsseleinheit zum Empfangen einer Zufallsinformation und zum anschließenden Senden einer von dieser abhängigen Benutzercode-Information enthält. Fahrzeugseitig ist eine Geräteeinheit vorgesehen, zum Senden der genannten Zufallsinformation und zum Empfang der Benutzercode-Information. Auf der dem Benutzer zugeordneten Schlüsselseite ist ein Sender für die Benutzercode-Information vorgesehen, in welcher eine codierte Urbildwertinformation verknüpft ist mit Daten eines Identifikationsspei chers. In letzterem sind Hardware-Identifikationsdaten, nämlich fahrzeugspezifische sowie schlüsselspezifische Informationen gespeichert. Die codierte Urbildwertinformation wird in einer Codierstufe aus einem Urbildwert, einer in einem Speicher abgelegten geheimen Information sowie der empfangenen Zufallsinformation gebildet. Des weiteren ist in dem Urbildwertspeicher die Urbildsequenz abgelegt. Diese Urbildsequenz wird bei der Initialisierung, und zwar ausgehend von einem von einer Schlüsselzentrale bereit gestellten Startwert, mittels einer Einheit rekursiv von Einwegfunktionswerten, beispielsweise einer Hash-Funktion, erzeugt.

Des weiteren ist der US 5 432 851 ein System zur Überprüfung des Zugriffs auf einen Rechner bekannt, wobei ein nur für eine Sitzung gültiges einmaliges Passwort durch eine einem Benutzer zur Verfügung gestellte Prozessor-Chipkarte erzeugt wird. Hierbei kann der Benutzer, beispiels weise von einem Host-Computer eine Log-in-Nachricht abfragen, welche nach der Erzeugung auf einem Display angezeigt wird und welche der Benutzer dann manuell auf seine Prozessor- Chipkarte überträgt, um damit seine zu sendende Nachricht zu verschlüsseln. Derartige Verfahren sind jedoch nicht hinreichend sicher gegen unzulässige Angriffe von außen.

In der Computertechnik gibt es viele Situationen, in denen aus sicherheitstechnischen Gründen eine Authentifizierung eines Benutzers vorgenommen werden muß. Diese Problemstellung ist insbesondere in unsicheren Netzen, wie beispielsweise der Rechnerzugang im Internet oder beim Homebanking via Modem und Telefonnetz von besonderer Bedeutung. Ein potentieller Angreifer darf durch Abhören einer beliebig lagen Sequenz von Passwörtern, welche ein Benutzer oder Client C zur erfolgreichen Berechtigungsüberprüfung oder Authentifizierung beim Server benutzt, nicht in der Lage sein, ein künftiges gültiges Passwort für den Benutzer oder Client C zu berechnen.

Hiervon ausgehend liegt der Erfindung die Aufgabe zugrunde, das Verfahren dahingehend auszubilden, dass eine sichere Authentifikation eines Benutzers durch den Rechner, insbesondere eines Serversystems, erfolgt und ein sicheres Log-in auf den Rechner ermöglicht wird.

Die Lösung dieser Aufgabe erfolgt hinsichtlich des Verfahrens gemäß der im Patentanspruch 1 angegebenen Merkmale sowie hinsichtlich der Vorrichtung gemäß der im Patentanspruch 9 angegebenen Merkmale.

Die erfindungsgemäße Lösung besteht darin, daß der Benutzer dem Rechner ein nur für eine aktuelle Session gültiges Passwort übergibt, welches ihn eindeutig als den berechtigten Benutzer oder authentischen Client charakterisiert. Der Rechner und insbesondere der Server ist seinerseits in der Lage, das für diesen bestimmten Benutzer aktuell gültige Einmalpasswort zu bestimmen. Dem Benutzer wird ein weiterer Zugang nur dann gestattet, wenn das eingegebene Passwort und das vom Rechner berechnete Passwort übereinstimmen. Wesentlich ist, daß das jeweilige Passwort immer nur ein einziges Mal gültig ist, welches durch synchrone Berechnung einmalig erzeugt worden ist. Die Sicherheit gegen unbefugte Benutzung ist somit auch in unsicheren Netzen, wie beispielsweise im Internet oder beim Homebanking via Modem und Telefonnetz gewährleistet. Alle Benutzer oder Teilnehmer verwenden das gleiche Verschlüsselungsverfahren oder Kryptosystem, wobei die zugrundeliegende Verschlüsselungsfunktion f_k(c) durch einen geheimen Schlüssel k(C) parametrisiert ist. Alle Berechnungen sowohl auf der Benutzerseite als auch auf der Rechnerseite werden auf einer Prozessorchipkarte durchgeführt, welche zur Durchführung des genannten Verschlüsselungsverfahrens ausgebildet ist. Es gelangt eine durch einen geheimen Schlüssel k(C) parametrisierte Schar von Permutationen, d. h. von bijektiven Funktionen auf deren Argumentbereich, f_k(C):D→D zum Einsatz. Diese Schar genügt wenigstens einer, bevorzugt mehreren der folgenden Bedingungen:

1. Die Definitionsmenge (und Bildmenge) D ist endlich und besitzt hinreichend viele Elemente. Sie enthält insbesondere mindestens 2⁵⁴ viele Elemente.
2. Die Menge aller zulässigen Schlüssel ist hinreichend mächtig. Sie enthält insbesondere mindestens 2⁶⁶ viele Elemente.
3. f_k(C) ist eine zufällige Funktion ("random function") in dem Sinne, daß bei beliebigem vorgegebenem Argument x aus der Definitionsmenge D die Wahrscheinlichkeit, ein bestimmtes Element y aus D als Ergebnis der Funktionsauswertung zu erhalten, ungefähr gleich 1/|D| ist, wenn man zufällig und gleichverteilt einen Schlüssel k(C) aus der Menge aller möglichen Schlüssel auswählt.
4. Bei Kenntnis einer Folge von Werten x₀, x₁, . . . . ., x_n aus der Definitionsmenge D, wobei x_i+1 = f_k(C)(x_i) für 0 ≦ i < n gelte, soll es einem potentiellen Angreifer in der Praxis auch mit Hilfe leistungsfähiger Computer unmöglich sein, in vertretbarer Zeit den Schlüssel k(C) zu bestimmen oder x_n+1 = f_k(C)(x_n) zu berechnen.

Der Rechner und der Benutzer verfügen beide über einen geheimen Startwert, welcher Startwert x_O,c vom Server initial zufällig erzeugt wird und in einer sicheren Umgebung in den geheimen, von außen nicht zugänglichen Speicherbereich der Chipkarte des Benutzers geschrieben wird. Des weiteren wird mittels des Rechners ein zufälliger geheimer Schlüsselwert k(C) ermittelt und von diesem in einen von außen nicht zugäng licher Speicherbereich eines Datenträgers, insbesondere einer Chipkarte des Benutzers C geschrieben. Die Chipkarte wird dann an den Benutzer C ausgegeben. Des weiteren enthält der Rechner eine nur von Autorisierten zugängliche Datenbank, in welcher die Zuordnung des dem jeweiligen Benutzer zugeordneten geheimen Schlüssels k(C) und das letzte vom Benutzer C benutzte Paßwort x_n,c gespeichert ist. Ferner ist in der Chipkarte des Benutzers C in einem gesicherten Speicherbereich dauerhaft der jeweilige geheime Schlüsselwert k(C) sowie das letzte benutzte Paßwort x_n,c gespeichert. Des weiteren wird erfindungsgemäß die Benutzung bereits existierender Hard- und Firmware beim Benutzer ermöglicht. So können beispielsweise die bekannten EC-Karten mit Chip benutzt werden, welche als Prozessor-Chipkarten ausgebildet sind und auf welche neben Standardanwendungen, Electronic Cash und elektronische Geldbörse weitere Applikationen nachgeladen werden können. Die von deutschen Banken derzeit ausge gebene EC-Karte vermag standardmäßig folgende Verschlüsselungsverfahren auszufüh ren: Den Data Encryption Standard, kurz DES, sowie Triple-DES. Des weiteren können die in Mobiltelefonen eingesetzten Chipkarten verwendet werden. Hierbei besitzt ein Benutzer bereits einen geeigneten Chipkartenleser, nämlich sein Mobiltelefon, welches darüber hinaus über ein Display und eine Tastatur verfügt. Weitere Ausgestaltungen und Besonderheiten der Erfindung sind in den Unteransprüchen angegeben.

Die Erfindung wird nachfolgend an Hand des in der Zeichnung dargestelllten Aus führungsbeispiels näher erläutert.

Der Rechner 2 enthält eine erste Einheit 4 zur Durchführung eines bekannten Krypto verfahrens mit der Verschlüsselungsfunktion f_k(c). Der Benutzer erhält einen Datenträger 6, insbesondere in Form einer Chipkarte, welche eine zweite Einheit 8 zur Durchführung des genannten Kryptoverfahrens gemäß f_k(c) aufweist. Als Verschlüsselungsverfahren gelangen insbesondere die heute üblichen symmetrischen Kryptosysteme wie DES, Triple-DES oder IDEA zur Verwendung. Anstelle der genannten Verschlüsselungsfunktion f_k(c) kann erfindungsgemäß die zugehörige Entschlüsselungsfunktion f_k(c) ^-1 verwendet werden. Der Rechner 2 enthält ferner eine erste Kompenente 10 zur Erzeugung eines geheimen Startwertes x_0,c sowie eine zweite Komponente 12 zur Erzeugung eines geheimen Schlüssels k(C). Der Datenträger bzw. die Chipkarte 6 enthält einen ersten Speicher 14 für den geheimen Startwert x_o,c sowie einen weiteren Speicher 16 für den geheimen Schlüssel k(C). Schließlich enthält der Rechner 2 eine Datenbank 18, welche nur für Autorisierte zugänglich ist und in welcher die Zuordnung des Benutzers bzw. der Chipkarte mit deren geheimen Schlüssel k(C) sowie das letzte vom Benutzer C benutz ten Paßwort x_n,c gespeichert sind. Alle Benutzer oder Teilnehmer des erfindungsgemäßen Verfahrens oder der erfindungsgemäßen Vorrichtung verwenden das gleiche Krypto system mit der gleichen Verschlüsselungsfunktion f_k(c) und/oder die zugehörenden Entschlüsselungsfunktion f_k(C) ^-1. Es sei festgehalten, daß die Verschlüsselungsfunktion f_k(C) eine Permutation, also eine bijektive Funktion auf den Argumentbereich ist, und daß anstelle der genannten Verschlüsselungsfunktion bedarfsweise die zugehörende Entschlüsselungsfunktion verwendbar ist. Die zum Einsatz gelangende Verschlüsse lungsfunktion f_k(C) ist durch den geheimen Schlüssel k(C) parametrisiert.

Der bevorzugt mittels des Rechners 2 initial zufällig erzeugte geheime Startwert x_o,c wird im Rahmen der Erfindung auf den Datenträger 6 in dessen ersten Speicherbereich 14 geschrieben. Ferner wird der bevorzugt gleichfalls mittels des Rechners 2 erzeugte zufällige Schlüssel k(C) in den zweiten von außen gleichfalls nicht zugänglichen Spei cherbereich 16 des Datenträgers 6 des Benutzers C geschrieben. Der derart vorbereitete Datenträger bzw. die Chipkarte 6 wird dann dem Benutzer C übergeben und ermöglicht jederzeit dessen Authentifizierung oder Feststellung der Zugriffsberechtigung auf den Rechner 2. Lautet das zuletzt von C benutzte Paßwort x_n,c, so finden Client C und Server das nächste gültige Paßwort durch Berechnen von

x_n+1,C = f_k(C)(x_n,C).

Im Rahmen der Erfindung ist folglich für den Benutzer mittels des derart vorbereiteten Datenträgers 6 die Möglichkeit geschaffen, dem Rechner jeweils nur für die gewünschte Session ein einmaliges gültiges Paßwort zu übergeben, welches ihn eindeutig als authentischen Benutzer charakterisiert. Der Rechner, insbesondere der Server, ist seinerseits in die Lage versetzt, das für diesen einen Benutzer aktuell gültige Einmalpaß wort zu bestimmen. Ein weiterer Zugang ist für den Benutzer nur dann ermöglicht, wenn das eingegebene Paßwort und das vom Rechner berechnete Paßwort übereinstimmen. Das Einmalpaßwort wird für jede Session oder Transaktion neu erzeugt und ist nur für dieses einzige Mal gültig.

Alternativ kann unter der Voraussetzung, daß die Verschlüsselungsfunktion f_k(C) eine Permutation dargestellt, anstelle der Verschlüsselungsfunktion f_k(C) die zugehörige Entschlüsselungsfunktion f_k(C) ^-1 verwendet werden, wobei die Berechnung des nächsten gültigen Paßworts nach der Formel erfolgt:

x_n+1,C = f_k(C) ^-1(x_n,C).

Da ein sicheres Kryptosystem, beispielsweise DES, Triple-DES oder IDEA zum Einsatz gelangt, kann ein Unbefugter auch bei Kenntnis von x_o,C bis x_n,C auch das nächste Paßwort x_n+1,C nicht berechnen bzw. das Verschlüsselungsverfahren f_k(C) nicht be rechnen. Durch den Einsatz der genannten heute gängigen symmetrischen Krypto systeme kann auf die Verwendung der Entschlüsselungsfunktion f_k(C) ^-1 anstelle der Verschlüsselungsfunktion f_k(C) verzichtet werden, da aus der Kenntnis der expliziten Verschlüsselungsfunktion effizient auf einfache Art und Weise die betreffende Ent schlüsselungsfunktion bestimmbar ist.

Damit die Software, welche die Kyptoalgorithmen ausführt, nicht durch Unbefugte manipuliert werden kann, werden in zweckmäßiger Weise die erste Einheit 4, die erste Komponente 10, die zweite Komponente 12 und der zweite Speicherbereich 16 ganz oder teilweise auf einer hochsicheren Prozessorchipkarte realisiert.

Bezugszeichen

2

Rechner

4

erste Einheit

6

Datenträger/Chipkarte

8

zweite Einheit

10

erste Komponente

12

zweite Komponente

14

erster Speicherbereich

16

zweiter Speicherbereich

18

Datenbank

Claims

1. Verfahren zur Erzeugung von Schlüsselwerten, wobei ausgehend von einem geheimen Startwert (x_0,c), welcher zusammen mit einem geheimen Schlüssel (k(C)) in einem Computer (2) und bei einem Benutzer (C) gespeichert ist, mittels einer Verschlüs selungsfunktion unter Einbeziehung eines vorbenutzten, insbesondere des zuletzt benutzten, Schlüsselwertes ein nächster Schlüsselwert (x_n,c) berechnet wird,
dadurch gekennzeichnet, dass der jeweils erzeugte Schlüsselwert als einmalig gültiges Passwort für die Zugangsberechtigung auf den Computer (2) gebildet wird, dass der geheime Startwert (x_0,c) und der geheime Schlüssel (k(C)) auf einem dem Benutzer (C) zur Verfügung gestellten, als Prozessor-Chipkarte ausgebildeten Datenträger (6) in einem gesicherten, von außen nicht zugänglichen Speicherbereich gespeichert werden,
dass auf dem Datenträger (6) mittels der genannten Verschlüsselungsfunktion unter Einbeziehung des vorbenutzten Passwortes das nächste Passwort (x_n,c) berechnet und auf den Computer (2) gegeben wird zur Überprüfung der Zugriffsberechtigung des Benutzers (C) auf den Computer (2)
und dass im Computer (2) das zuletzt benutzte Paßwort dem geheimen Schlüssel (k(C)) des jeweiligen Benutzers (C) zugeordnet wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass durch synchrone Berechnung sowohl im Computer (2) als auch auf dem Datenträger (6) die Passworte erzeugt werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass als Verschlüs selungsfunktion eine durch den geheimen Schlüssel (k(C)) parametrisierte Schar von Permutationen, also von bijektiven Funktionen auf deren Argumentbereich, f_k(C):D→D zum Einsatz gelangen, die folgenden Bedingungen ganz oder teilweise derart genügt, dass die Definitionsmenge und/oder die Bildmenge D endlich sind und hinreichend viele Elemente, insbesondere mindestens 2⁵⁴ Elemente aufweisen und/oder dass die Menge aller zulässi gen Schlüssel hinreichend mächtig ist und bevorzugt mindestens 2⁶⁶ viele Elemente aufweist.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Funktion f_k(C) eine zufällige Funktion (random function) derart ist, dass bei beliebigem vorgegebenem Argument x aus der Definitionsmenge D die Wahrscheinlichkeit, ein bestimmtes Element y aus D als Ergebnis der Funktionsauswertung zu erhalten, ungefähr gleich 1/|D| ist, wobei bevorzugt zufällig und/oder gleichverteilt ein Schlüssel k(C) aus der Menge aller möglichen Schlüssel ausgewählt wird.

5. Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die zugrundeliegende Verschlüsselungsfunktion oder Entschlüsselungsfunktion durch den geheimen Schlüssel parametrisiert ist.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass auf der Computerseite eine Zuordnung des geheimen Schlüsselwertes sowie des letzten vom Benutzer genutzten Paßwortes zu diesem Benutzer erfolgt.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass der geheime Startwert mittels des Computers (2), initial und zufällig erzeugt wird.

8. Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass mittels des Computers (2) der zufällige, geheime Schlüsselwert erzeugt wird.

9. Vorrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass der Computer (2) eine erste Einheit (4) zur Durchführung des Verschlüsselungsverfahrens und zweite Einheit (8) zur Erzeugung des geheimen Startwertes enthält und dass der als Prozessor-Chipkarte ausgebildete Datenträger (6) zur Durchführung des Verschlüsselungsverfahrens ausgebildet ist.

10. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, dass der Computer (2) eine erste Speicherkomponente (10) für den geheimen Startwert und eine zweite Spei cherkomponente (12) für den geheimen Schlüsselwert und eine Datenbank (18) enthält, in welcher eine Zuordnung des geheimen Schlüssels und des letzten benutzten Paßworts des jeweiligen Benutzers erfolgt.

11. Vorrichtung nach Anspuch 9 oder 10, dadurch gekennzeichnet, dass der Daten träger (6) eine zweite Einheit (8) zur Durchführung der Verschlüsselungsverfahrens aufweist.

12. Vorrichtung nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, dass der Datenträger (6) einen gesicherten ersten Speicherbereich (14) für den geheimen Startwert und einen zweiten gesicherten Speicherbereich (16) für das zuletzt benutzte Paßwort enthält.

13. Vorrichtung nach einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, dass die erste Einheit (4) und/oder die erste Komponente (10) und/oder die zweite Komponen te (12) und/oder die Datenbank (18) auf der hochsicheren Prozessor-Chipkarte vor gesehen sind.