DE202007018369U1

DE202007018369U1 - Einrichtung zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten

Info

Publication number: DE202007018369U1
Application number: DE202007018369U
Authority: DE
Original assignee: DICA TECHNOLOGIES GmbH
Current assignee: DICA TECHNOLOGIES GmbH
Priority date: 2006-11-18
Filing date: 2007-05-18
Publication date: 2008-07-31
Anticipated expiration: 2017-05-19
Also published as: DE102007023206A1; DE102007023206B4

Abstract

Einrichtung zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten, dadurch gekennzeichnet, dass wenigstens zwei Datenverarbeitungssysteme über jeweils eine Verschlüsselungseinrichtung (A, B) mit dem Netzwerk verbunden sind, dass in der Verschlüsselungseinrichtung (A, B) eine Datenverarbeitungseinrichtung zur Bearbeitung der Nutzdaten mit einer Einrichtung mit einem Verschlüsselungsalgorithmus, einer Einrichtung als Zufallsgenerator und einer Einrichtung für oder mit mindestens einen Hauptschlüssel so zusammengeschaltet ist, dass sowohl die Verschlüsselungseinrichtung A einen Zufallstext TVP (time variant parameter) über die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung bildet, speichert und an die Verschlüsselungseinrichtung B als auch die Verschlüsselungseinrichtung B einen Zufallstext TVP* über die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung bildet, speichert und an die Verschlüsselungseinrichtung A sendet, dass ein Verbindungsschlüssel K für die Dauer einer verschlüsselten Verbindung der Datenverarbeitungssysteme als eine Funktion des gemeinsamen identischen Hauptschlüssels K_AB, des Zufallstextes TVP und des Zufallstextes TVP* mit K =...

Description

Die Erfindung betrifft Einrichtungen zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten.
Die historisch gewachsene Protokollvielfalt in Datenübertragungsnetzen besitzt keine einheitliche Architektur und schon gar keine ausreichende Berücksichtigung des Schutzes bezüglich eines Eindringens/Abschöpfens von Informationen. Alle nachträglich aufgesetzten Mechanismen, das zu verhindern, sind gepaart mit organisatorischen Maßnahmen und stellen lediglich Teillösungen dar, die dann auch den Overhead erhöhen. Es ist festzustellen, dass Datenübertragungsnetze ohne eine grundsätzliche Neugestaltung der Architektur ein unsicheres Medium sind und bleiben.
Der im Schutzanspruch 1 angegebenen Erfindung liegt die Aufgabe zugrunde, Verfahren und Einrichtungen zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten zu schaffen.
Diese Aufgabe wird mit den im Schutzanspruch 1 aufgeführten Merkmalen gelöst.
Die Einrichtungen zeichnen sich insbesondere durch eine sichere Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten aus. Dazu sind wenigstens zwei Datenverarbeitungssysteme über jeweils eine Verschlüsselungseinrichtung (A, B) mit dem Netzwerk verbunden. In der Verschlüsselungseinrichtung (A, B) ist weiterhin eine Datenverarbeitungseinrichtung zur Bearbeitung der Nutzdaten mit einer Einrichtung mit einem Verschlüsselungsalgorithmus, einer Einrichtung als Zufallsgenerator und einer Einrichtung für oder mit mindestens einem Hauptschlüssel zusammengeschaltet. Sowohl die Verschlüsselungseinrichtung A bildet, speichert, verwendet und sendet einen Zufallstext TVP (time variant parameter), gebildet durch die Verbindung des Zufallsgenerators, mit der Datenverarbeitungseinrichtung, an die Verschlüsselungseinrichtung B als auch die Verschlüsselungseinrichtung B bildet, speichert, verwendet und sendet einen Zufallstext TVP*, gebildet durch die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung, an die Verschlüsselungseinrichtung A. Weiterhin wird ein Verbindungsschlüssel K für die Dauer einer verschlüsselten Verbindung der Datenverarbeitungssysteme als eine Funktion des gemeinsamen identischen Hauptschlüssels K_AB, des Zufallstextes TVP und des Zufallstextes TVP* mit K = f(KAB, TVP, TVP*)jeweils in der Verschlüsselungseinrichtung gebildet. Pro Verbindung der Verschlüsselungseinrichtungen A und B werden damit vorteilhafterweise zwei Verbindungsschlüssel Ks = f(KAB, TVP, TVP*) = T(W, G(KAB, SK)) Kr = f(KAB, TVP, TVP*) = T(W, G(KAB, SK))mit K_s (Schlüssel für Senderichtung) und K_r (Schlüssel für Empfangsrichtung) erzeugt und für die beiden Übertragungsrichtungen verwendet.
Die Verschlüsselungseinrichtungen A, B über das Netzwerk so miteinander verbunden, dass bei der Verbindungsschlüssel-Generierung der Austausch von zum Beispiel 24 Byte großen Zufallstexten und dass durch Übernahme des von der Gegenstation erzeugten Zufallstextes remote in den Sicherheitsprozessor und vermischen mit dem eigenen vorher erzeugten Zufallstext lokal die Bildung einer Zufallsfolge ZF zum Beispiel nach der Vorschrift
(Nx : Zufallstext eigene Verschlüsselungseinrichtung Byte x,
Rx : Zufallstext Remote-Verschlüsselungseinrichtung Byte x)
W¹ = (R0, N0, R1, N1, R2, N2, R3, N3)
W² = (R4, N4, R5, N5, R6, N6, R7, N7)
W³ = (R8, N8, R9, N9, R10, N10, R11, N11)
W⁴ = (N12, R12, N13, R13, N14, R14, N15, R15)
W⁵ = (N16, R16, N17, R17, N18, R18, N19, R19)
W⁶ = (N20, R20, N21, R21, N22, R22, N23, R23)
ZF[48] = (W¹[8], W²[8], W³[8], W⁴[8], W⁵[8], W⁶[8])
erfolgt, so dass die Schlüssel in der remote-Station gegenüber der lokalen Station im Sende- und Empfangsbereich vertauscht sind.
Dadurch wird vorteilhafterweise der Schutz der zwischen Anwendungen ausgetauschten Nutzdaten gewährleistet. Dazu werden die Verschlüsselungseinrichtungen für eine externe Verschlüsselung bereitgestellt, die in das Übertragungsmedium eingeschleift werden. Die Verschlüsselungseinrichtungen sind externe Geräte, können aber auch im Datenverarbeitungssystem integriert sein. Im Netzwerk bleiben die Verschlüsselungseinrichtungen unsichtbar. Ihre Aufgabe ist es, den Nutzdatenstrom zu ver- und entschlüsseln. Übertragungsprotokolle spielen keine Rolle und zu keiner Zeit werden Schlüsselteile ausgetauscht. Das Prinzip ist die transparente Arbeitsweise, wobei das Protokoll lediglich den Zustand für den Einsatz der Verschlüsselung signalisiert. Alle beteiligten Datenverarbeitungssysteme besitzen das gleiche Geheimnis, mindestens einen identischen Hauptschlüssel. Mithin ist zu keiner Zeit für die Eröffnung einer Verbindung ein Schlüssel auszutauschen.
Die Einrichtungen zur verschlüsselten Übertragung von Daten zeichnen sich damit durch eine externe Verschlüsselung aus. Die Verschlüsselungseinrichtung ist elektrisch getrennt von dem Anwendungssystem und lediglich mit dem jeweiligen Netzzugang verbunden. Damit ist die Verschlüsselungseinrichtung vorteilhafterweise im Netz nicht adressierbar, also unsichtbar. Die schlüsselrelevanten Teile werden in der Verschlüsselungseinrichtung mittels einer gesicherten Datenverarbeitungseinrichtung berechnet oder modifiziert.
Diese Datenverarbeitungseinrichtung ist mit einem gesicherten Speicher für die Hauptschlüssel versehen. Die für eine Verbindung notwendigen Verbindungsschlüssel werden in der Datenverarbeitungseinrichtung durch Kombination von Zufallsfolgen aus dem Rauschgenerator, zum Beispiel als eine Hardwarekomponente in der Verschlüsselungseinrichtung für Zufallszahlen, und dem vorhandenen Geheimnis in Form des Hauptschlüssel gebildet. An Hand einer mathematische Vorschrift, des übertragenen sowie des eigenen Zufallstextes ist die Gegenseite in der Lage, die genutzten Verbindungsschlüssel selbst, unter der Voraussetzung eines gemeinsamen identischen Hauptschlüssel und demzufolge der Identität der Nutzergruppe, zu generieren.
Eine externe Verschlüsselung gewährleistet, dass Nutzdaten nicht manipuliert werden und dass direkte Angriffe auf das Endsystem geblockt werden können. Zudem lässt sich die Möglichkeit einer Schlüssellänge für bekannte Algorithmen von zum Beispiel 256 Bit voll nutzen.
Mit dem Einsatz der Einrichtungen werden Durchsatzraten erreicht, die der maximalen Leitungsgeschwindigkeit, zum Beispiel von 100 Mbit und mehr in IP-Netzen, nahe kommen. Weiterhin sind diese einfach zu installieren, in Betrieb zu setzen und zu konfigurieren.
Damit eignen sich die Einrichtungen zur verschlüsselten Übertragung von Daten mit einer externen Verschlüsselung für IP-Netzwerke und haben natürlich auch Gültigkeit für die gesicherte Übertragung im Internet/Intranet. Unter einem IP-Netzwerk versteht man ein System aus miteinander verbundenen Datenverarbeitungssystemen in Form von Computern.
Es wird ein hochwertiges Verschlüsselungssystem mit den Eigenschafteneiner einfachen Handhabbarkeit bereitgestellt.
Vorteilhafte Ausgestaltungen der Erfindung sind in den Schutzansprüchen 2 bis 13 angegeben.
Vorteilhafterweise ist nach der Weiterbildung des Schutzanspruchs 2 wenigstens eine der Einrichtungen mit dem Verschlüsselungsalgorithmus, als Zufallsgenerator oder für/mit dem Hauptschlüssel ein Bestandteil der Datenverarbeitungseinrichtung.
Die Einrichtung für oder mit dem Hauptschlüssel ist nach der Weiterbildung des Schutzanspruchs 3 ein Sicherheitsprozessor mit einem Speicher und/oder ein Dateneingabegerät.
Das Dateneingabegerät ist dabei zum Beispiel ein Computer oder ein Datenlesegerät für lösbar damit verbindbare Datenspeicher.
Im Speicher des Sicherheitsprozessors ist nach der Weiterbildung des Schutzanspruchs 4 ein Systemschlüssel SK lesegeschützt gespeichert. Weiterhin ist der Systemschlüssel ein Bestandteil der Funktion zur Bildung des Verbindungsschlüssels.
Der Hauptschlüssel ist nach der Weiterbildung des Schutzanspruchs 5 ein interner Hauptschlüssel IMK als ein durch eine Substitution G umgewandelter externer Hauptschlüssel unter Einbeziehung des Systemschlüssels SK. Die Substitution G erfolgt mittels mehrmaligem, wenigstens einmaligem Aufruf (Verschlüsselungstiefe) des firmeneigenen kryptographischen Algorithmus unter Verwendung des im Sicherheitsprozessors gespeicherten Systemschlüssels SK mit IMK = G(KAB, SK).
Damit wird der vom Nutzer frei gewählte externe Hauptschlüssel nach seiner Eingabe im Sicherheitsprozessor in einen internen Hauptschlüssel IMK umgewandelt und für die Bildung der Verbindungsschlüssel genutzt. Die Umwandlung erfolgt durch eine Substitution G, in die der geheime Systemschlüssel SK eingeht. Der Vorteil ist, dass, falls der externe Hauptschlüssel kompromittiert wird, der interne Hauptschlüssel und damit der Verbindungsschlüssel durch das zweite Geheimnis Systemschlüssel weiterhin geschützt ist. Der Systemschlüssel wird für die Verschlüsselungseinrichtungen des Nutzers gleichartig eingestellt.
In der Verschlüsselungseinrichtung sind nach der Weiterbildung des Schutzanspruchs 6 der Zufallsgenerator und der Sicherheitsprozessor so miteinander verbunden, dass der Zufallsgenerator mit dem Sicherheitsprozessor zeitlich nacheinander abgetastet wird, wobei für eine Bitfolge ZF 2 mehrere Abtastungen mit XOR und das so entstehende Bit mit dem niedersten Bit einer n-Tupel-Bitfolge XOR-verknüpft wird und diese n-Tupel-Bitfolge insgesamt dann um 7 Stellen in Richtung des höchsten Bit rotiert wird, wobei n der maximalen Schlüssellänge der Verbindungsschlüssel in Bit entspricht. Zusätzlich wird bei jedem Aufruf einer Funktion für den Sicherheitsprozessor von der Datenverarbeitungseinrichtung der Verschlüsselungseinrichtung als zufälliger Prozess der niederwertige Teil eines Timers des Sicherheitsprozessors mit den niedersten 8 Bit dieser n-Tupel-Bit-Folge XOR-verknüpft.
Dazu wird im Sicherheitsprozessor der Verschlüsselungseinrichtung ein physikalischer Zufallsgenerator (Rauschgenerator, weißes Rauschen) zum Beispiel alle 1,15 ms abgetastet. Durch die vorliegende Wirkungsweise des Timers wird eine schnellere Änderung des Zufallstextes erreicht, so ist abgesichert, dass auch bei zeitlich kurz hintereinander erfolgenden Aufrufen zur Bereitstellung von Zufallstext sich dieser signifikant unterscheidet. Spätestens nach (n – 8)·1,15 ms hat sich die Bitfolge ZF 2 komplett erneuert, eingerechnet nur die Funktion zur Bereitstellung dieses Zufallstextes.
In der Verschlüsselungseinrichtung sind nach der Weiterbildung des Schutzanspruchs 7 zum Test des Zufallsgenerators die Datenverarbeitungseinrichtung und der Sicherheitsprozessor so zusammengeschaltet, dass der Test des Zufallsgenerators durch die Auswertung von 256 der aus den XOR verknüpften Tastungen entstehenden Bits erfolgt. Dabei werden nach Abfrage durch die Datenverarbeitungseinrichtung in vorgegebener Zeit

– die Anzahl der entstandenen EINSEN an die Datenverarbeitungseinrichtung gemeldet,
– das Verhältnis Anzahl EINS zu NULL mit einer Näherung zum theoretischen Wert, berechnet nach dem Golombkriterium, im Sicherheitsprozessor geprüft und
– das Ergebnis dieser Prüfung an die Datenverarbeitungseinrichtung gemeldet.

Eine weitere Maßnahme erfolgt nicht, da die aus dem Zufallsgenerator entstehenden Zufallsfolgen noch einmal bei jedem Funktionsaufruf mit dem niederwertigem Teil eines Timer XOR-ed verknüpft werden. Diese Funktionsaufrufe sind aber rein zufällig, damit entstehen immer voneinander verschiedene Zufallsfolgen. Außerdem geht in die Bildung des Verbindungsschlüssels noch die von der remote-Verschlüsselungseinrichtung erzeugte Zufallsfolge ein. Die ausgewertete Stichprobe geht nicht unbedingt in die bei Verbindungsaufnahme angeforderte Zufallsfolge ein, da bis zur nächsten Auswertung einige Millisekunden vergehen, zwischenzeitlich aber immer weiter Zufallsbits eine Veränderung der potentiellen Zufallsfolge bewirken.
In der Verschlüsselungseinrichtung sind nach der Weiterbildung des Schutzanspruchs 8 die Datenverarbeitungseinrichtung und der Sicherheitsprozessor so miteinander verbunden, dass im ersten Schritt der Zufallstext lokal gebildet, zur Datenverarbeitungseinrichtung gegeben und gleichzeitig im Sicherheitsprozessor nichtflüchtig abgespeichert wird und dass im zweiten Schritt von der Datenverarbeitungseinrichtung der Zufallstext remote bereitgestellt und der Prozess der Bildung der Verbindungsschlüssel im Sicherheitsprozessor ausgeführt wird.
Die Verschlüsselungseinrichtungen A, B sind nach der Weiterbildung des Schutzanspruchs 9 über das Netzwerk zur Bildung der Verbindungsschlüssel so miteinander verbunden, dass der Ausgangswert für die Bildung der Verbindungsschlüssel das 2-er-Tupel (Z, Z^e) der beiden Zufallstexte (Z – interner Zufallstext TVP, der in der Verschlüsselungseinrichtung eines Nutzers erzeugt wurde, Z^e – externer Zufallstext TVP*, der in der Verschlüsselungseinrichtung der Gegenstelle erzeugt wurde) mit Z = (Z0, Z1, ..., Zn/8) Ze = (Ze 0, Ze 1, ..., Ze n/8) ist,dass die n/8-Byte-Tupel als Zwischenwerte W zum Beispiel von W¹ bis W⁶ gebildet werden, wobei die Zwischenwerte aus geeigneten Anordnungen aus entfernten und lokalen Zufallstext bestehen. Darüber hinaus werden die Zwischenwerte W durch Anwendung des firmeneigenen kryptographischen Algorithmus T umgeformt, wobei der geheime interne Hauptschlüssel IMK eingeht.
Die Verschlüsselungseinrichtungen A, B sind nach der Weiterbildung des Schutzanspruchs 9 über das Netzwerk so miteinander verbunden, dass zur Authentikation der Verschlüsselungseinrichtung B gegenüber der Verschlüsselungseinrichtung A

(1) die Verschlüsselungseinrichtung B den Zufallstextes Z = (z₀, ..., z_1n) an die Verschlüsselungseinrichtung A übermittelt,
(2) (z₀, ..., z₆₃) als Zufallsfolge R_B für die Authentikation und Bildung des 8-Byte-Tupels Y = eK_s ^B _AB(R_B) = (Y₀, ..., Y₇) durch Anwendung des Verschlüsselungsalgorithmus e der Verschlüsselungseinrichtung B auf R_B unter Verwendung des Verbindungsschlüssels K_s ^B _AB der Senderichtung der Verschlüsselungseinrichtung B verwendet wird,
(3) das 2-Byte-Tupels TokenAB mit TokenAB = (Y₀, Y₁) ⊕ (Y₂, Y₃) ⊕ (Y₄, Y₅) ⊕ (Y₆, Y₇) in der Verschlüsselungseinrichtung B gebildet wird,
(4) das TokenAB von der Verschlüsselungseinrichtung B an die Verschlüsselungseinrichtung A übertragen wird,
(5) das TokenAB über – Bildung des 8-Byte-Tupels Y' = e'K_r ^A _AB(R_B) = (Y'₀, ..., Y'₇), durch Anwendung des Verschlüsselungsalgorithmus e' der Verschlüsselungseinrichtung A auf R_B und Verwendung des Verbindungsschlüssels K_r ^A _AB der Empfangsrichtung der Verschlüsselungseinrichtung A, – Bildung des 2-Byte-Tupels X = (Y'0, Y'1) ⊕ (Y'2, Y'3) ⊕ (Y'4, Y'5) ⊕ (Y'6, Y'7) und – Vergleich von TokenAB und X in der Verschlüsselungseinrichtung A verifiziert wird.

Dabei gilt nach der Weiterbildung des Schutzanspruchs 11

wenn K_s ^B _AB = K_r ^A _AB und e = e', so TokenAB = X und
wenn K_s ^B _AB ≠ K_r ^A _AB oder e ≠ e', so ist X mit hoher Wahrscheinlichkeit verschieden von TokenAB.

Ist X verschieden von TokenAB, so verfügt die Verschlüsselungseinrichtung B nicht über den gleichen Verbindungsschlüssel in Senderichtung wie die Verschlüsselungseinrichtung A in Empfangsrichtung (und somit nicht über den gleichen Hauptschlüssel) oder verwendet einen anderen Verschlüsselungsalgorithmus. In diesem Fall kommt keine verschlüsselte Verbindung zustande, das Ergebnis der Identifikation der Verschlüsselungseinrichtung B durch die Verschlüsselungseinrichtung A wird verworfen. Ist X = TokenAB, so verfügt die Verschlüsselungseinrichtung B mit hoher Wahrscheinlichkeit über den gleichen Verbindungsschlüssel in Senderichtung wie die Verschlüsselungseinrichtung A in Empfangsrichtung (und somit über den gleichen Hauptschlüssel) sowie über den gleichen Verschlüsselungsalgorithmus. Das Ergebnis der Identifikation der Verschlüsselungseinrichtung B durch die Verschlüsselungseinrichtung A wird bestätigt und die Verschlüsselungseinrichtung A beginnt die Verschlüsselung und Entschlüsselung.
Nach der Weiterbildung des Schutzanspruchs 12 ist der Hauptschlüssel entweder ein Einzelschlüssel oder ein Schlüsselsystem. Das Schlüsselsystem besteht dabei aus Hauptschlüsseln, die gemeinsame Hauptschlüssel und/oder Hauptschlüssel einer Konferenzgruppe sein können und über Schlüsselnummern bestimmt sind. Dadurch können eingeschränkte Benutzergruppen im Netzwerk gebildet werden.
Das kann auch nach der Weiterbildung des Schutzanspruchs 13 zeitlich begrenzt erfolgen, wobei Hauptschlüssel einer Konferenzgruppe zeitabhängige Hauptschlüssel sind.
Ein Ausführungsbeispiel der Erfindung wird im folgenden näher beschrieben.
Eine Einrichtung zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten besteht im Wesentlichen aus Verschlüsselungseinrichtungen, die die Datenverarbeitungssysteme mit dem Netzwerk verbinden.
Im einfachsten Fall sind zwei Datenverarbeitungssysteme über jeweils eine Verschlüsselungseinrichtung A, B mit dem Netzwerk verbunden.
In der Verschlüsselungseinrichtung (A, B) sind eine Datenverarbeitungseinrichtung zur Bearbeitung der Nutzdaten mit einer Einrichtung mit einem Verschlüsselungsalgorithmus, einer Einrichtung als Zufallsgenerator und einer Einrichtung für oder mit mindestens einen Hauptschlüssel zusammengeschaltet. Der Sicherheitsprozessor kann in einer Ausführungsform in der Datenverarbeitungseinrichtung implementiert sein.
Der Zufallsgenerator ist ein physikalischer Zufallsgenerator als Rauschgenerator mit weißem Rauschen.
Der Sicherheitsprozessor mit dem Speicher ist eine Einheit. Anstelle dieses Sicherheitsprozessors kann auch ein Dateneingabegerät für einen Datenträger mit einer dem Sicherheitsprozessor äquivalenten Funktion mit der Datenverarbeitungseinrichtung verbunden sein. Das kann auch ein separates Datenverarbeitungssystem wie zum Beispiel eine Speicherkarte mit Sicherheitsfunktion oder ein USB-Stick mit Sicherheitsfunktion sein.
Sowohl die Verschlüsselungseinrichtung A bildet, speichert, verwendet und sendet einen Zufallstext TVP (time variant parameter) durch die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung an die Verschlüsselungseinrichtung B als auch die Verschlüsselungseinrichtung B bildet, speichert, verwendet und sendet einen Zufallstext TVP* durch die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung an die Verschlüsselungseinrichtung A. Daraus wird ein Verbindungsschlüssel K für die Dauer einer verschlüsselten Verbindung der Datenverarbeitungssysteme als eine Funktion des gemeinsamen identischen Hauptschlüssels K_AB, des Zufallstextes TVP und des Zufallstextes TVP* mit K = f(KAB, TVP, TVP*)gebildet, wobei pro Verbindung der Verschlüsselungseinrichtungen A und B zwei Verbindungsschlüssel erzeugt und für die beiden Übertragungsrichtungen verwendet werden.
Im Sicherheitsprozessor wird der Rauschgenerator alle 1,15 ms abgetastet. Jeweils 3 solcher Abtastungen werden mit XOR verknüpft, um die Gleichwahrscheinlichkeit von NULL und EINS anzunähern.
Das entstehende Bit wird mit dem niederwertigsten Bit einer 192-bit Folge ZF 2 XOR-verknüpft. Diese 192-bit Folge wird insgesamt dann um 7 Stellen in Richtung der höherwertigen Bits rotiert.
Zusätzlich wird jedoch bei jedem Aufruf einer Funktion für den Sicherheitsprozessor vom Prozessor der Verschlüsselungseinrichtung (zufälliger Prozess) der niederwertige Teil eines Timers des Sicherheitsprozessors mit den niedersten 8 Bit dieser 192-bit Folge XOR-verknüpft.
Durch vorliegende Wirkungsweise des Timers wird eine schnellere Änderung des Zufallstextes erreicht. So ist abgesichert, dass auch bei zeitlich kurz hintereinander erfolgenden Aufrufen zur Bereitstellung von Zufallstext sich dieser signifikant unterscheidet. Spätestens nach 211,6 ms hat sich die Bitfolge ZF 2 komplett erneuert, eingerechnet nur die Funktion zur Bereitstellung dieses Zufallstextes.
Der Test des Zufallgenerators erfolgt durch die Auswertung von 256 der aus den drei XOR verknüpften Tastungen entstehenden Bits.
Es wird die Anzahl der entstandenen EINSEN nach Abfrage an den übergeordneten Prozessor gemeldet. Der Haupt-Prozessor ruft diese Werte mehrmals in der Sekunde ab. Damit wird erreicht, dass jede im Sicherheitsprozessor gebildete Stichprobe von 256 Bit ausgewertet wird.
Das Verhältnis Anzahl EINS zu NULL wird mit einer Näherung zum theoretischen Wert, berechnet nach dem Golombkriterium I, geprüft. Das Ergebnis dieser Prüfung wird ebenfalls an den übergeordneten Prozessor gemeldet.
Eine weitere Maßnahme erfolgt nicht, da die aus dem Zufallsgenerator entstehenden Zufallsfolgen, wie o. a., noch einmal bei jedem Funktionsaufruf mit dem niederwertigem Teil eines Timer XOR-ed verknüpft werden. Diese Funktionsaufrufe sind aber rein zufällig, damit entstehen immer voneinander verschiedene Zufallsfolgen. Außerdem geht in die Bildung des Verbindungsschlüssels noch die von der remote-Verschlüsselungseinrichtung erzeugte Zufallsfolge ein. Die ausgewertete Stichprobe geht nicht unbedingt in die bei Verbindungsaufnahme angeforderte Zufallsfolge ein, da bis zur nächsten Auswertung einige Millisekunden vergehen, zwischenzeitlich aber immer weiter Zufallsbits eine Veränderung der potentiellen Zufallsfolge bewirken.
Ein externer Hauptschlüssel (gemeinsamer Hauptschlüssel, Hauptschlüssel einer Konferenzgruppe/je 16 Byte) wird in den Sicherheitsprozessor eingegeben und von diesem in den geheimen internen Hauptschlüssel umgewandelt und anschließend abgespeichert.
Der interne Hauptschlüssel im Sicherheitsprozessor wird durch die Substitution G aus dem externen Hauptschlüssel K_AB gebildet. In diese Bildung geht ebenfalls der Systemschlüssel ein: IMK = G(KAB, SK).
Der externe Hauptschlüssel sei die Zufallsfolge ZF, diese wird in den geheimen internen Hauptschlüssel IMK umgewandelt und abgespeichert. Die Umwandlung (Substitution G) erfolgt mittels mehrmaligem Aufruf (Verschlüsselungstiefe 6) des firmeneigenen kryptographischen Algorithmus unter Verwendung des im Sicherheitsprozessor gespeicherten Systemschlüssels SK: IMK[0 ... 7] = Algorithmus (ZF[0 ... 7], SK[16]) IMK[8 ... 15] = Algorithmus (ZF[8 ... 15], SK[16]).
Mit dieser kryptographischen Umwandlung wird zusätzlich erreicht, dass die internen Hauptschlüssel aus dem gesamten Schlüsselraum ausgewählt werden.
Die Bildung der Verbindungsschlüssel erfolgt im Sicherheitsprozessor und beruht auf einem zweistufigen Prozess. Dazu werden zwischen der Datenverarbeitungseinrichtung und Sicherheitsprozessor zwei Funktionen verwendet. Diese lösen im Sicherheitsprozessor dann die entsprechenden Bearbeitungsalgorithmen aus. Im ersten Schritt wird der Zufallstext lokal gebildet, der zur Datenverarbeitungseinrichtung gegeben und gleichzeitig im Sicherheitsprozessor nichtflüchtig abgespeichert wird. Im zweiten Schritt wird von der Datenverarbeitungseinrichtung der Zufallstext remote bereitgestellt und der Prozess der Bildung der Verbindungsschlüssel im Sicherheitsprozessor ausgeführt.
Nachfolgend wird grundsätzlich die in zwei an einer Verbindung beteiligten Verschlüsselungseinrichtungen analog und unabhängig voneinander erfolgende Bildung der Verbindungsschlüssel K_s (Schlüssel für Senderichtung) und K_r (Schlüssel für Empfangsrichtung) beschrieben.
Ausgangswert für die Bildung der Verbindungsschlüssel ist das 2-er-Tupel (Z, Z^e) der beiden zum Beispiel 24 Byte großen Zufallstexte (Z – interner Zufallstext, der in der Verschlüsselungseinrichtung eines Nutzers erzeugt wurde, Z^e – externer Zufallstext, der in der Verschlüsselungseinrichtung der Gegenstelle erzeugt wurde), wobei die Tupel folgendermaßen bezeichnet werden: Z = (Z0, Z1, ..., Z23) Ze = (Ze O, Ze..., Ze 23)
Es gilt: TVP = Z TVP* = Ze.
Es werden dann 8-Byte-Tupel als Zwischenwerte W zum Beispiel von W¹ bis W⁶ gebildet, wobei die Zwischenwerte aus geeigneten Anordnungen aus entfernten und lokalen Zufallstext bestehen.
Die Bildung der Zwischenwerte kann von einem außenstehenden Beobachter, der die Zufallstexte Z und Z^e abgehört hat, nachvollzogen werden. Deshalb werden nachfolgend weitere Umformungen durch Anwendung des firmeneigenen kryptographischen Algorithmus T vorgenommen, in die der geheime interne Hauptschlüssel IMK eingeht. Die Umformung findet im Sicherheitsprozessor statt, wobei gilt: Ks = f(KAB, TVP, TVP*) = T(W, G(KAB, SK)) Kr = f(KAB, TVP, TVP*) = T(W, G(KAB, SK)).
Es erfolgt der Austausch von 24 Byte großen Zufallstexten. Durch Übernahme des von der Gegenstation erzeugten Zufallstextes remote in den Sicherheitsprozessor und vermischen mit dem eigenen vorher erzeugten Zufallstext lokal erfolgt die Bildung zum Beispiel einer Zufallsfolge (48 Byte) nach folgender Vorschrift:
(Nx : Zufallstext eigene Verschlüsselungseinrichtung Byte x,
Rx : Zufallstext Remote-Verschlüsselungseinrichtung Byte x)
W¹ = (R0, N1, R2, N3, R4, N5, R6, N7)
W² = (R8, N9, R10, N11, R12 N13, R14, N15)
W³ = (R16, N17, R18, N19, R20, N21, R22, N23)
W⁴ = (N0, R1, N2, R3, N4, R5, N6, R7)
W⁵ = (N8, R9, N10, R11, N12, R13, N14, R15)
W⁶ = (N16, R17, N18, R19, N20, R21, N22, R23)
ZF[48] = (W¹[8], W²[8], W³[8], W⁴[8], W⁵[8], W⁶[8])
Dadurch sind die Schlüssel in der remote-Verschlüsselungseinrichtung gegenüber der lokalen Verschlüsselungseinrichtung im Sende und Empfangsbereich vertauscht.
Die nachfolgenden Operationen beschreiben grundsätzlich die Authentikation einer Verschlüsselungseinrichtung B gegenüber einer Verschlüsselungseinrichtung A.

(1) Verschlüsselungseinrichtung B: Übermittlung des Zufallstextes Z = (z₀, ..., z₁₉₁) an die Verschlüsselungseinrichtung A
(2) Verschlüsselungseinrichtung B: Verwendung von (z₀, ..., z₆₃) als Zufallsfolge R_B für die Authentikation. Bildung des 8-Byte-Tupels Y = eK_s ^B _AB(R_B) = (Y₀, ..., Y₇) durch Anwendung des Algorithmus e der Verschlüsselungseinrichtung B auf RB unter Verwendung des Verbindungsschlüssels K_s ^B _AB der Senderichtung der Verschlüsselungseinrichtung B
(3) Verschlüsselungseinrichtung B: Bildung des 2-Byte-Tupels TokenAB TokenAB = (Y0, Y1) ⊕ (Y2, Y3) ⊕ (Y4, Y5) ⊕ (Y6, Y7)
(4) Verschlüsselungseinrichtung B: Übertragung des TokenAB an die Verschlüsselungseinrichtung A
(5) Verschlüsselungseinrichtung A: Verifizierung des TokenAB: – Bildung des 8-Byte-Tupels Y' = e'K_r ^A _AB(R_B) = (Y'₀, ...,Y'₇), durch Anwendung des Algorithmus e' der Verschlüsselungseinrichtung A auf R_B und Verwendung des Verbindungsschlüssel K_r ^A _AB der Empfangsrichtung der Verschlüsselungseinrichtung A – Bildung des 2-Byte-Tupels X = (Y'0, Y'1) ⊕ (Y'2, Y'3) ⊕ (Y'4, Y'5) ⊕ (Y'6, Y'7) – Vergleich von TokenAB und X

Es gilt:

(a) Wenn K_s ^B _AB = K_r ^A _AB und e = e', so TokenAB = X
(b) Wenn K_s ^B _AB ≠ K_r ^A _AB oder e ≠ e', so ist X mit hoher Wahrscheinlichkeit verschieden von TokenAB.

Ist X verschieden von TokenAB, so verfügt die Verschlüsselungseinrichtung B nicht über den gleichen Verbindungsschlüssel in Senderichtung wie die Verschlüsselungseinrichtung A in Empfangsrichtung (und somit nicht über den gleichen Hauptschlüssel) oder verwendet einen anderen Algorithmus. In diesem Fall kommt keine verschlüsselte Verbindung zustande, das Ergebnis der Identifikation der Verschlüsselungseinrichtung B durch die Verschlüsselungseinrichtung A wird verworfen. Ist X = TokenAB, so verfingt die Verschlüsselungseinrichtung B mit hoher Wahrscheinlichkeit über den gleichen Verbindungsschlüssel in Senderichtung wie die Verschlüsselungseinrichtung A in Empfangsrichtung (und somit über den gleichen Hauptschlüssel) sowie über den gleichen Algorithmus. Das Ergebnis der Identifikation der Verschlüsselungseinrichtung B durch die Verschlüsselungseinrichtung A wird bestätigt und die Verschlüsselungseinrichtung A beginnt die Verschlüsselung und Entschlüsselung.

Claims

Einrichtung zur sicheren Erzeugung und Verwaltung von Schlüsseln und deren Nutzung in Netzwerken zur sicheren Übertragung von Daten, dadurch gekennzeichnet, dass wenigstens zwei Datenverarbeitungssysteme über jeweils eine Verschlüsselungseinrichtung (A, B) mit dem Netzwerk verbunden sind, dass in der Verschlüsselungseinrichtung (A, B) eine Datenverarbeitungseinrichtung zur Bearbeitung der Nutzdaten mit einer Einrichtung mit einem Verschlüsselungsalgorithmus, einer Einrichtung als Zufallsgenerator und einer Einrichtung für oder mit mindestens einen Hauptschlüssel so zusammengeschaltet ist, dass sowohl die Verschlüsselungseinrichtung A einen Zufallstext TVP (time variant parameter) über die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung bildet, speichert und an die Verschlüsselungseinrichtung B als auch die Verschlüsselungseinrichtung B einen Zufallstext TVP* über die Verbindung des Zufallsgenerators mit der Datenverarbeitungseinrichtung bildet, speichert und an die Verschlüsselungseinrichtung A sendet, dass ein Verbindungsschlüssel K für die Dauer einer verschlüsselten Verbindung der Datenverarbeitungssysteme als eine Funktion des gemeinsamen identischen Hauptschlüssels K_AB, des Zufallstextes TVP und des Zufallstextes TVP* mit K = f(KAB ,TVP, TVP*)jeweils in der Verschlüsselungseinrichtung (A, B) gebildet wird, wobei pro Verbindung der Verschlüsselungseinrichtungen A und B zwei Verbindungsschlüssel Ks = f(KAB, TVP, TVP*) = T(W, G(KAB, SK)) K, = f(KAB, TVP, TVP*) = T(W, G(KAB, SK))mit K (Schlüssel für Senderichtung) und K_r (Schlüssel für Empfangsrichtung) erzeugt und für die beiden Übertragungsrichtungen verwendet werden, und dass die Verschlüsselungseinrichtungen (A, B) über das Netzwerk so miteinander verbunden sind, dass bei der Verbindungsschlüssel-Generierung der Austausch der Zufallstexte und dass durch Übernahme des von der Gegenstation erzeugten Zufallstextes remote in den Sicherheitsprozessor und vermischen mit dem eigenen vorher erzeugten Zufallstext lokal die Bildung einer Zufallsfolge erfolgt, so dass die Schlüssel in der remote-Station gegenüber der lokalen Station im Sende und Empfangsbereich vertauscht sind.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass wenigstens eine der Einrichtungen mit dem Verschlüsselungsalgorithmus, als Zufallsgenerator oder für/mit dem Hauptschlüssel ein Bestandteil der Datenverarbeitungseinrichtung ist.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass die Einrichtung für oder mit dem Hauptschlüssel ein Sicherheitsprozessor mit einem Speicher und/oder ein Dateneingabegerät ist.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass im Speicher des Sicherheitsprozessors ein Systemschlüssel SK lesegeschützt gespeichert ist und dass der Systemschlüssel ein Bestandteil der Funktion zur Bildung des Verbindungsschlüssels ist.
Einrichtung nach Schutzanspruch 1 und 4, dadurch gekennzeichnet, dass der Hauptschlüssel ein interner Hauptschlüssel IMK als ein durch eine Substitution G umgewandelter externer Hauptschlüssel K_AB unter Einbeziehung des Systemschlüssels SK ist, wobei die Substitution G mittels mehrmaligem, wenigstens einmaligem Aufruf (Verschlüsselungstiefe) des Algorithmus unter Verwendung des im Sicherheitsprozessors gespeicherten Systemschlüssels SK mit IMK = G(KAB, SK)erfolgt.
Einrichtung nach Schutzanspruch 1 und 3, dadurch gekennzeichnet, dass in der Verschlüsselungseinrichtung der Zufallsgenerator und der Sicherheitsprozessor so miteinander verbunden sind, dass der Zufallsgenerator mit dem Sicherheitsprozessor zeitlich nacheinander abgetastet wird, wobei für eine Bitfolge ZF 2 mehrere Abtastungen mit XOR und das so entstehende Bit mit dem niedersten Bit einer n-Tupel-Bitfolge XOR-verknüpft wird und diese n-Tupel-Bitfolge insgesamt dann um 7 Stellen in Richtung des höchsten Bit rotiert wird, wobei n der maximalen Länge der Verbindungsschlüssel in Bit entspricht und zusätzlich bei jedem Aufruf einer Funktion für den Sicherheitsprozessor von der Datenverarbeitungseinrichtung der Verschlüsselungseinrichtung als zufälliger Prozess der niederwertige Teil eines Timers des Sicherheitsprozessors mit den niedersten 8 Bit dieser n-Tupel-Bitfolge XOR-verknüpft wird.
Einrichtung nach Schutzanspruch 6, dadurch gekennzeichnet, dass in der Verschlüsselungseinrichtung zum Test des Zufallsgenerators die Datenverarbeitungseinrichtung und der Sicherheitsprozessor so zusammengeschaltet sind, dass der Test des Zufallgenerators durch die Auswertung von 256 der aus den XOR verknüpften Tastungen entstehenden Bits erfolgt, wobei die Anzahl der entstandenen EINSEN nach Abfrage an die Datenverarbeitungseinrichtung gemeldet wird, die die Datenverarbeitungseinrichtung mehrmals in einer vorgegebenen Zeit abruft, das Verhältnis Anzahl EINS zu NULL mit einer Näherung zum theoretischen Wert, berechnet nach dem Golombkriterium, im Sicherheitsprozessor geprüft wird und das Ergebnis dieser Prüfung an die Datenverarbeitungseinrichtung gemeldet wird.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass in der Verschlüsselungseinrichtung die Datenverarbeitungseinrichtung und der Sicherheitsprozessor so miteinander verbunden sind, dass im ersten Schritt der Zufallstext lokal gebildet, zur Datenverarbeitungseinrichtung gegeben und gleichzeitig im Sicherheitsprozessor nichtflüchtig abgespeichert wird und dass im zweiten Schritt von der Datenverarbeitungseinrichtung der Zufallstext remote bereitgestellt und der Prozess der Bildung des Verbindungsschlüssels im Sicherheitsprozessor ausgeführt wird.
Einrichtung nach Schutzanspruch 1 und 8, dadurch gekennzeichnet, dass die Verschlüsselungseinrichtungen (A, B) über das Netzwerk zur Bildung der Verbindungsschlüssel so miteinander verbunden sind, dass der Ausgangswert für die Bildung der Verbindungsschlüssel das 2-er-Tupel (Z, Z^e) der beiden Zufallstexte (Z – interner Zufallstext, der in der Verschlüsselungseinrichtung eines Nutzers erzeugt wurde, Z^e – externer Zufallstext, der in der Verschlüsselungseinrichtung der Gegenstelle erzeugt wurde) mit Z = (Z0, Z1, ..., Zn/8) Ze = (Ze 0, Ze 1, ..., Ze n/8)ist, dass die n/8-Byte-Tupel als Zwischenwerte W gebildet werden, und dass die Zwischenwerte W darüber hinaus durch Anwendung des firmeneigenen kryptographischen Algorithmus T umgeformt werden, wobei der geheime interne Hauptschlüssel IMK eingeht.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass die Verschlüsselungseinrichtungen (A, B) über das Netzwerk so miteinander verbunden sind, dass zur Authentikation der Verschlüsselungseinrichtung B gegenüber der Verschlüsselungseinrichtung A (1) der Zufallstext Z = (z₀, ..., z_1n) von der Verschlüsselungseinrichtung B an die Verschlüsselungseinrichtung A übermittelt, (2) (z₀, ..., z₆₃) als Zufallsfolge R_B für die Authentikation und Bildung des 8-Byte-Tupels Y = eK_s ^B _AB(R_B) = (Y₀, ..., Y₇) durch Anwendung des Verschlüsselungsalgorithmus e der Verschlüsselungseinrichtung B auf R_B unter Verwendung des Verbindungsschlüssels K_s ^B _AB der Senderichtung der Verschlüsselungseinrichtung B verwendet, (3) das 2-Byte-Tupel TokenAB mit TokenAB = (Y₀, Y₁) ⊕ (Y₂, Y₃) ⊕ (Y₄, Y₅) ⊕ (Y₆, Y₇) in der Verschlüsselungseinrichtung gebildet, (4) das TokenAB von der Verschlüsselungseinrichtung B an die Verschlüsselungseinrichtung A übertragen und (5) das TokenAB über – die Bildung des 8-Byte-Tupels Y' = e'K_r ^A _AB(R_B) = (Y'₀, ..., Y'₇), durch Anwendung des Verschlüsselungsalgorithmus e' der Verschlüsselungseinrichtung A auf R_B und Verwendung des Verbindungsschlüssels K_r ^A _AB der Empfangsrichtung der Verschlüsselungseinrichtung A, – die Bildung des 2-Byte-Tupels X = (Y'0, Y'1) ⊕ (Y'2, Y'3) ⊕ (Y'4, Y'5) ⊕ (Y'6, Y'7) und – dem Vergleich von TokenAB und X in der Verschlüsselungseinrichtung A verifiziert wird.
Einrichtung nach Schutzanspruch 10, dadurch gekennzeichnet, dass wenn K_s ^B _AB = K_r ^A _AB und e = e', so TokenAB = X und wenn K_s ^B _AB ≠ K_r ^A _AB oder e ≠ e', so ist X mit hoher Wahrscheinlichkeit verschieden von TokenAB.
Einrichtung nach Schutzanspruch 1, dadurch gekennzeichnet, dass der Hauptschlüssel entweder ein Einzelschlüssel oder ein Schlüsselsystem, bestehend aus einem gemeinsamen Hauptschlüssel und/oder Hauptschlüssel einer Konferenzgruppe, ist, wobei die Hauptschlüssel über Schlüsselnummern bestimmt sind.
Einrichtung nach Schutzanspruch 12, dadurch gekennzeichnet, dass Hauptschlüssel einer Konferenzgruppe zeitabhängige Hauptschlüssel sind.