DE3203412A1

DE3203412A1 - Schnelles oeffentliches realzeit-verschluesselungssystem

Info

Publication number: DE3203412A1
Application number: DE19823203412
Authority: DE
Inventors: Paul Shala 07733 Holmdel N.J. Henry
Original assignee: Western Electric Co Inc
Current assignee: AT&T Corp
Priority date: 1981-02-09
Filing date: 1982-02-02
Publication date: 1982-08-19
Also published as: SE8200540L; US4399323A; NL8200475A; GB2094113B; JPS57150252A; FR2499792A1; CA1171490A; GB2094113A; FR2499792B1

Description

eö« 'IU

Schnelles öffentliches Realzeit-Verschlüsselungssystem

Die Erfindung betrifft einen Empfänger für ein öffentliches Verschlüsselungssystem zum Zweck der gesicherten Nachrichtenübertragung über einen unsicheren Nachrichtenweg unter Verwendung eines öffentlichen Knapsack-Chiffrierschlüssel, eines privaten Dechiffrierschlüssels, der zu dem öffentlichen Knapsack-Chiffrierschlüssel in Beziehung steht und rechnerisch in der Praxis nicht aus diesem generierbar ist, erster und zweiter ganzer Zahlen^ die zueinander und zu dem privaten Dechiffrierschlüssel entsprechend vorbestimmten Kriterien in Beziehung stehen, und mit einer Einrichtung zur Transformation einer ersten, verschlüsselten Nachricht in eine Datennachricht.

In Datenübertragungsnetzwerken ist es häufig nötig, gespeicherte und übertragene Daten gegen eine Enthüllung oder ein Abfangen durch nichtautorisierte Teilnehmer oder Lauscher zu sichern. Eine Verschlüsselung ermöglicht den für eine Datengeheimhaltung erforderlichen Schutz. Wenn jedoch die erforderliche Geheimhaltungssicherheit ansteigt, nimmt die Übertragungsrate für die verschlüsselten Datennachrichten wegen der zunehmenden Kompliziertheit der Verschlüsselung ab.

Eine heute übliche Systemart für die Verschlüsselung, die diesen Konflikt zwischen dem Geheimhaltungsgrad und der Datenübertragungsrate zeigt, ist das öffentliche Verschlüsselungssystem, und zwar insbesondere ein System mit einem sogenannten Falltür-Knapsaclo-Schlüssel. Dazu wird auf die US-PS 4 218 582 verwiesen.

Öffentliche Verschlüsselungssysteme ermöglichen autorisierten Benutzern eine geheime Nachrichtenübertragung

selbst dann, wenn nichtautorisierte Personen die gesamte Nachrichtenübertragung aufnehmen können. Bisher sind die Datenübertragungsraten für solche öffentlichen Verschlüsselungssysteme wegen der Kompliziertheit der Verschlüsselung auf weniger als einige Kilobit je Sekunde beschränkt gewesen. Öffentliche Verschlüsselungssysteme sind daher an sich nur für Daten niedriger Rate und eine codierte Sprachübertragung attraktiv.

Der Erfindung liegt die Aufgabe zugrunde, einen schnellen Realzeitbetrieb eines öffentlichen Verschlüsselungssystems zu ermöglichen. Zur Lösung dieser Aufgabe geht die Erfindung aus von einem Empfänger der eingangs genannten Art und ist dadurch gekennzeichnet, daß der Empfänger eine Einrichtung aufweist, die unter Ansprechen auf die ganzen Zahlen einen privaten Chiffrierschlüssel erzeugen, ferner eine zweite Verschlüsselungseinrichtung, die unter Verwendung des privaten Chiffrierschlüsseis die erste, verschlüsselte Nachricht in eine zweite, verschlüsselte Nachricht transformiert, und eine Entschlüsselungseinrichtung, die unter Verwendung des privaten Dechiffrierschlüssels die zweite, verschlüsselte Nachricht in die Datennachricht transformiert.

Der Empfänger verschlüsselt also eine empfangene, verschlüsselte Nachricht weiter mit einem privaten Chiffrierschlüssel. Die doppelt verschlüsselte Nachricht wird dann mittels des privaten Chiffrierschlüssels in die ursprüngliche Nachricht entschlüsselt .oder dechiffriert. Der private Chiffrierschlüssel steht zu zwei ganzen Zahlen in Beziehung, die zusammen mit dem privaten Chiffrierschlüssel zur Ableitung des öffentlichen Chiffrierschlüssels benutzt v/erden.

Nachfolgend v/ird die Erfindung anhand von Ausführungsbeispielen und in Verbindung mit den Zeichnungen beschrieben. Es zeigen:

Fig. 1 das Blockschaltbild eines öffentlichen Verschlüsselungssystems;

Fig. 2 das Blockschaltbild eines Entschlüsselungsgerätes, das entsprechend der Erfindung aufgebaut ist und in dem System gemäß Fig. 1

verwendet werden kann;

Fig. 3 ein genaueres Blockschaltbild des Schlüsselgenerators 20 gemäß Fig. 2;

Fig. 4. ein genaueres Blockschaltbild des Verschlüsselungsgerätes 21 in Fig. 2;

Fig. 5 ein genaueres Blockschaltbild des Entschlüsselungsgerätes 22 in Fig. 2.

Ein öffentliches Verschlüsselungssystem ist in Fig. 1 dargestellt. Das Verschlüsselungssystem enthält wenigstens zwei Teilnehmer, die auf irgendeine Weise über einen unsicheren Kanal in Nachrichtenverbindung stehen. Die beiden Teilnehmer werden generell als Sender bzw. autorisierter Empfänger bezeichnet. Ein möglicher dritter Teilnehmer wird generell als unautorisierter Empfänger oder Lauscher bezeichnet. Eine Sendestation, die ein Verschlüsselungsgerät 1 und einen Sendeempfänger 2 enthält, benutzt einen öffentlichen Chiffrierschlüssel H, um eine n-Bit-Datennachricht D in eine k-Bit-Nachricht S_H zu verschlüsseln, wobei gilt: k > n. Die verschlüsselte Nachricht S_H wird dann über einen unsicheren Kanal 3 übertragen. Eine autorisierte Empfangsstation enthält einen Sendeempfänger 4, ein Entschlüsselungsgerät 5, einen Schlüsselgenerator 6 und eine Schlüsselquelle 7, und entschlüsselt die Nachricht Sp₁ in die ursprüngliche Datennachricht D. Zusätzlich erzeugt der autorisierte Empfänger den öffentlichen Chiffrierschlüssel H aus einem privaten Dechiffrierschlüssel E und zwei örtlich erzeugten ganzen Zahlen M und ¥. Ein dritter Teilnehmer dieses Verschlüsselungssystems ist der Lauscher 8, nätalich ein nichtautorisiertor Empfänger, der ein Entschluß sellingsgerät 9 und einen Schlüsselgenerator 10 umfaßt« Der

Lauscher 8 nimmt alle zwischen dem Sender und dem autorisierten Empfänger übertragenen Kachrichten auf«, Wach Erhalt der Nachricht S„ und des öffentlichen Chiffrier-Schlüssels H versucht der Lauscher 8, die Geheimhaltung der Nachrichtenübertragung zwischen dem Sender und dem autorisierten Empfänger zu brechen, indem er versucht, den Inhalt der Datennachricht D festzustellen.

Die Rolle jedes der obenbeschriebenen Teilnehmer und die Arbeitsweise öffentlicher Verschlüsselungssysteme sind genauer erläutert in der obenangegebenen US-PS 4 218 und den folgenden Literaturstellen: W. Diffie et al., "Multiuser Cryptographic Techniques", AFIPS-Conference Proceedings, Band 45, Juni 1976, Seite 104; W. Diffie et al., "New Directions in Cryptography", IEEE Transactions on Information Theory, Band IT-22, Nr. 6, November 1976, Seite 644; A. Shamir et al., "On the Security of the Merkle-Hellman Cryptographic Scheme", IEEE Transactions on Information Theory, Band IT-26, Nr. 3, Mai 1980, Seite 339. Die obigen Veröffentlichungen enthalten eine vollständigere und theoretische Darstellung der öffentlichen Verschlüsselung sowie der Merkle-Heüman-(Falltür)-Knapsack-Chiffrierung.

Die nachfolgende Erläuterung konzentriert sich zwar auf den autorisierten Empfänger und im einzelnen auf ein Entschlüsselungsgerät gemäß Fig. 2, das das Entschlüsselungsgerät 5 auf brauchbare Weise ersetzen kann, aber es werden unter anderem auch Informationen· bezüglich der Falltür-Knapsack-Chiffrierung mit Bezug auf Fig. 1 nachfolgend vermittelt, um ein besseres Verständnis bestimmter Merkmale der Erfindung zu geben.

öffentliche Verschlüsselungssysteme beruhen auf der Anwendung von Falltür-Knapsack-Funktionen. Die Falltür™ Knapsack-Funktion oC ist ein öffentlich bekanntes Verschlüsselungsverfahren, das die folgenden Eigenschaften

Eigenschaften besitzt:

(i) o£~¹ CoC(D)) = D, wobei öC(O) und oC"¹ (D) Verschlüsselungs- bzw. Entschlüsselungsverfahren sind,

(ii) es gibt wirksame Verfahren zur Berechnung sowohl von üL als auch von ΛΓ , und

(iii) es ist rechnerisch nicht durchführbar, <A-

aufgrund einer vollständigen Kenntnis von oC festzustellen.

Die rechnerische Undurchführbarkeit bezieht sich auf endliche, aber untragbar hohe Kosten bei der Durchführung einer Aufgabe, gemessen anhand der Größe des benutzten Speichers oder der Länge der Zeit, die zur Durchführung der erforderlichen Berechnungen benötigt wird.

Bei dem Ausführungsbeispiel nach Fig. 1 erzeugt der autorisierte Empfänger osi öffentlichen Chiffrierschlüssel H (Falltür-Knapsack-Funktion) und überträgt ihn zum Sender. Allgemein ist H ein Vektor von η natürlichen Zahlen (h^, ..., h_n).

Die Datennachricht D wird nur mit H, dem öffentlichen ChiffrierSchlussel, verschlüsselt. Die Verschlüsselung erfolgt im Verschlüsselungsgerät 1, in welchem die n-Bit-Datennachricht D und der öffentliche Chiffrierschlüssel H als skalares Produkt kombiniert werden, Das heißt, B„ ist gleich D · H. Die verschlüsselte Nachricht S„ wird dann mittels des Sendeempfängers 2 über den unsicheren Kanal 3 übertragen.

Die verschlüsselte Nachricht Sp₁ wird vom S ende empfänger 4 des autorisierten Empfängers und beim Lauscher 8 au£~ genommen. Nur der autorisierte Empfänger kann die Nachricht Sjj entschlüsseln, da nur dort Informationen, bezüglich des Aufbaus von H zur Verfügung stehen.

Der Lauscher 8, also ein nichtautorisierter Empfänger, sieht sich einer wesentlich schwierigeren Aufgabe als der autorisierte Empfänger gegenüber. Der Lauscher 8 kennt nur den öffentlichen Chiffrierschlüssel H und die verschlüsselte Nachricht S^ vom Sender. Aus diesen zwei öffentlichen Informationsteilen muß der Lauscher 8 einen binar bewerteten Vektor D mit (d,., ..«, d ) derart finden, daß gilt:

^SH = .4 Vi <¹> ·

Die Dechiffrierung der verschlüsselten Nachricht S^, ein als Knapsack-Problem bekanntes Problem, hat sich für den Lauscher 8 als rechnerisch undurchführbar herausgestellt, vorausgesetzt, daß der öffentliche Chiffrierschlüssel H richtig aufgebaut ist.

Für den autorisierten Empfänger ist eine Dechiffrierung der verschlüsselten Nachricht S„ rechnerisch nicht undurchführbar, und zwar wegen einer im öffentlichen Schlüssel H eingebetteten, verborgenen Struktur. Diese Struktur ist durch den Lauscher 8 kaum festzustellen, da H in Form eines η-Fachs von Zufallszahlen auftritt. Die Struktur des öffentlichen Chiffrierschlüssels H ermöglicht einem autorisierten Empfänger die Dechiffrierung verschlüsselter Nachrichten mittels eines einfachen Verfahrens unter Verwendung einer Falltür_o

Der öffentliche Chiffrierschlüssel H beruht seiner Struktur nach auf einer superansteigenden Reihe. Ein Knapsack-, Schlüssel E, der ein Vektor (e., ..., e ) von η natürlichen Zahlen ist, ist dann eine superansteigende Reihe, wenn gilt: i-1 '

e. > 21 ^e* f ^für Jedes i = 1, ..., η .

Das heißt, jedes Eleraent e^ ist größer als die Summe seiner vorhergehenden Elemente. Der Knapsack-Schlüssel E kann nicht als Falltür-Knapsack-Funktion benutzt und

öffentlich verteilt werden, da jede verschlüsselte Nachricht Sg

B₁U₁ (2)

einfach dadurch dechiffriert wird, indem einfach aufein-• 5 anderfolgend Elemente im Knapsack-Schlüssel E von der chiffrierten Nachricht S„ subtrahiert werden. Dazu sei beispielsweise verwiesen auf R. Merkle et al., "Hiding Information and Signatures in Trapdoor Knapsacks", IEEE Transactions on Information Theory, Band IT-24, Nr. 5, September 1978, Seite 524. Da die superansteigende Struktur von E dem Lauscher 8 die Möglichkeit geben würde, die chiffrierte Nachricht S_E auf einfache V/eise zu dechiffrieren, ist der Knapsack-Schlüssel E gegen eine Offenbarung durch den autorisierten Empfänger geschützt und ist bekannt als privater Dechiffrierschlüssel.

Um die Struktur des privaten Dechiffrierschlüssels E im öffentlichen Chiffrierschlüssel H zu verbergen, wurde vorgeschlagen, daß ein autorisierter Empfänger mittels einer Schlüsselquelle 7 einen Modulus M und einen Multiplizierer ¥ erzeugt. Diese beiden ganzen Zahlen genügen den folgenden Beziehungen:

η
(i) M>X ©i und

i=1 *

(ii) gcd (M, W) = 1

wobei gcd die Funktion des größten gemeinsamen Teilers ist. Die Beziehung (ii) macht es erforderlich, daß die ganzen Zahlen M.'und ¥ mit Bezug aufeinander teilerfremd sind, wodurch das Vorhandensein eines multipliliativen Kehrwertes W für ¥ modulo M oder ¥ (mod M) sichergestellt ist. Statt den privaten Dechiffrierschlüssel E zu veröffentlichen, veröffentlicht der autorisierte Empfänger den öffentlichen Chiffrierschlüssel Hj der im Schlüsselgenerator 6 wi3 folgt, erzeugt wird:

^hi ^{= e}n-i+1 * ^{W(mod M}>» ^für ^^edes i = 1» ··.» η (3).

Der Grund zur Benutzung von e_n„^₊^ statt von e^ in Gleichung (3) "besteht einfach darin, die Wiedergewinnung der Datennachricht D in der richtigen Reihenfolge d., ..·, d_n in Realzeit zu ermöglichen. Demgemäß ist d,. das erste Eingangsbit der Datennachricht beim Verschlüsselungsgerät des Senders und Ausgangsbit beim Entschlüsselungsgerät des autorisierten Empfängers. Die Kenntnis des Modulus M, des Multiplizierers W und des privaten Dechiffrierschltissels E gibt dem autorisierten Empfänger die Möglichkeit, verhältnismäßig einfach die verschlüsselte Nachricht S_H im Entschlüsselungsgerät 5 zu dechiffrieren. Die Dechiffrierung wird erreicht, indem die Falltür W""¹ auf die folgende Weise benutzt wird:

S_E = S_n · W"¹ mod M (4) .

Das heißt, eine skalare Multiplikation der verschlüsselten Nachricht S^ mit der ganzzahligen Falltür W sowie eine Reduzierung des Produkts modulo M transformiert die k-Bit-Nachricht S_H in eine p-Bit-Nachricht Sg. Wie oben beschrieben, läßt sich die Nachricht S_E auf einfache Weise in eine n-Bit-Datennachricht D durch aufeinanderfolgende Subtraktion von Elementen von dem privaten Dechiffrierschlüssel E dechiffrieren.

Im allgemeinen wird bei öffentlichen Verschlüsselungssystemen, beispielsweise dem System gemäß Fig. 1, eine direkte Multiplikation der Falltür W~¹ mit der ver-

. schlüsselten Nachricht S^ durchgeführt. Da die Binärdarstellungen von W und S^ in typischer Weise mehrere Hundert Bit lang sind, ist die sich ergebende Multiplikation sehr zeitraubend. Diese Multiplikation wird bei der vorliegenden Erfindung gemäß Fig. 2 bis 5 vollständig vermieden, indem eine zusätzliche Verschlüsselung der verschlüsselten Nachricht S„ mit einem privaten Chiffrierschlüssel A durchgeführt wird. Diese Ver-

^ · · · ³H t

schlüsselring erfolgt in Realzeit beim Eintreffen jedes Bit der Nachricht S^ vom Sendeempfänger 4. Die Arbeitsgeschwindigkeit und demgemäß die Datenübertragungsrate ■ sind nur durch die Übertragungslaufzeiten, die Zugriffszeiten und die Betriebseigensdi aften der logischen Schaltungen begrenzt, die bei der praktischen Verwirklichung der Erfindung benutzt werden.

In Fig. 2 ist zur Darstellung bestimmter Merkmale der Erfindung ein Entschlüsselungsgerät gezeigt, das das Entschlüsselungsgerät 5 ersetzen kann. Das Entschlüsselungsgerät nach Fig. 2 enthält einen Schlüsselgenerator 20, ein Verschlüsselungsgerät 21 und ein Entschlüsselungsgerät 22. Es wird angenommen, daß die Verschlüsselte Nachricht Sj₁ als binärer. Vektor ( p

dargestellt ist, wobei Sjj ₁ das niedrigstwertige Bit in der Darstellung ist. Eine stark ausgezogene Linie, beispielsweise die Linie S„, gibt einen Weg zur parallelen Übertragung digitaler Informationen an. Eine dünne Linie, beispielsweise die Linie S_H, gibt einen Weg zur seriellen Übertragung digitaler Informationen an.

Im Schlüsselgenerator 20 wird der private Chiffrierschlüssel A als Vektor (a., ..., a. ) von k natürlichen Zahlen nach der folgenden Beziehung erzeugt:

a_i = 2¹"¹ W"¹ (mod M), für jeden i = 1, ..., k (5) .

Nach Erzeugung jedes Elements a^ des privaten Chiffrierschlüssels A wird es zusammen mit dem Modulus M zum Verschlüsselungsgerät 21 übertragen. Diese Übertragung findet synchron mit jedem Bit der Nachricht S„ statt. Wenn jedes Bit der Nachricht S_H in das Entschlüsselungsgerät gemäß Fig. 2 eintritt, chiffriert das Verschlüsselungsgerät 21 die verschlüsselte Nachricht S™ weiter unter Verwendung des privaten Chiffrierschltissels A, und zwar wie folgt:
k

wobei s„ _k das k-te Element und das höchstwertige Bit der Binärdarstellung für die verschlüsselte Nachricht Stt ist. Die doppelt verschlüsselte Nachricht &„ wird dann rnodulo-M zur Nachricht S„ reduziert, die dann zum Entschlüsselungsgerät 22 übertragen wird.

S_E = S_E (mod M) (7) .

Die Nachricht S_E enthält ρ Bits, wobei gilt η < ρ < k,

Das Entschlüsselungsgerät 22 gewinnt die Datennachricht D wieder, indem aufeinander folgende Subtraktionen der η Elemente e. des privaten Chiffrierschlüssels von der Nachricht Sg durchgeführt werden. Die Datennachricht D wird seriell vom Entschlüsselungsgerät 22 ausgegeben.

Fig. 3 zeigt den Schlüsselgenerator 20 genauer. Er enthält einen Inverter 30, eine Taktquelle 31, ein Schieberegister 32 und eine Modulo-M-Reduzlerschaltung 33 zur Erzeugung des in Gleichung (6) definierten privaten Chiffrierschlüssels A.

Der Multiplikator W und der Modulus M werden als Eingangssignale dem Schlüsselgenerator 20 zugeführt. Der Inverter 30 verwendet einen Euklid'sehen Algorithmus zur Bestimmung der Falltür W . Zur Erläuterung des Euklid'sehen Algorithmus wird beispielsweise hingewiesen auf D. Knuth "The Art of Computer Programming" Band II (Reading, MA: Addison-Wesley, 1969) und E. Berlekamp "Algebraic Coding Theory" (New York: McGraw-Hill, 1968) S. 15. Die Falltür W¹ wird dann vollständig in das Schieberegister 32 eingegeben.

Das Schieberegister 32 ist ein Schieberegister mit parallelem Eingang, parallelem Ausgang und mit p+k-1 Stufen. Die im Register 32 gespeicherten Bits werden bei jedem Impuls des Signals CLKI der Taktquelle 31 um eine Stufe nach links zur nächsthöherwertigen Sutfe verschoben. Bei einem ersten Impuls des Taktsignals CLK1

wird zu Anfang die Falltür ¥ in den ρ niedrigstwertigen Stufen des Registers 32 gespeichert, und "binäre Null-Werte belegen die k-1 höchstwertigen Stufen. Der Inhalt des Registers 32 wird dann modulo-M in der Modulo-M-Reduzierschaltung 33 zur Bildung des privaten Chiffrierschlüsselelements a^ reduziert. Zur Erläuterung der Modulo-M-Reduzierverfahren wird verwiesen auf Yaohan Chu, "Digital Computer Design and Fundamentals" (New York: McGraw-Hill, 1962), Abschnitte 1-9. Das private Chiffrierschlüsselelement a. wird von der Schaltung 33 des Schlüsselgenerators 20 zusammen mit dem Modulus M zum Verschlüsselungsgerät 21 ausgegeben.

Bei Jedem nachfolgenden Impuls des Signals CLK1 wird der Inhalt des Schieberegisters 32 um eine Stufe nach links zu einer höherwertlgen Stufe verschoben und eine Null wird in die niedrigstwertige Stufe eingegeben. Die Modulo-M-Reduzierschaltung 33 erzeugt dann entsprechend der obigen Erläuterung jedes aufeinander folgende Element a₁ bis a^ des privaten Chiffrierschlüssels. Alle k Elemente a^ (i = 1... k) des privaten Chiffrierschlüsseis sind nach insgesamt k Taktimpulsen des Signals CLK1 erzeugt.

Natürlich können alle Elemente des Schlüsselgenerators 20 mit Ausnahme der Taktquelle 31 durch einen Zähler und einen Festwertspeicher (ROM) ersetzt werden, der Jedes einzelne Element des privaten Chiffrierschlüssels A enthält. Der Festwertspeicher muß eine Speicherkapazität für k Wörter mit je ρ Bits haben. Die Wiedergewinnung des privaten Chiffrierschlüssels A aus dem Festwertspeicher wird mittels des Zählers durchgeführt, der bei jedem Impuls des Signals CLK1 seriell jeweils eine Speicherstelle im Festwertspeicher von der Stelle 1 (a^) bis zur Stelle k (a^) adressiert. Diese Verwirklichung ist schneller als die in Fig. 3 gezeigte, da die Arbeitsgeschwindigkeit lediglich eine Funktion der Zugriff szeit des Festwertspeichers 1st. Außerdem muß bei

der Verwirklichung mit einem Festwertspeicher jedes Schlüsselelement a.^ nur einmal vor der Benutzung festgelegt werden, statt einmal für jede Benutzung v/ie beim Ausführungsbeispiel nach Fig. 3.

Das Verschlüsselungsgerät 21 in Fig. 4 enthält eine Sendegatteranordnung 40, einen Akkumulator 41 und eine Modulo-M-Reduzierschaltung 42. Das Verschlüsselungsgerät 21 transformiert unter Ansprechen auf den privaten Chiffrierschlüssel A und den Modulus M die verschlüsselte Nachricht S^ in eine andere verschlüsselte Nachricht Sg. Die Nachricht Sg ist doppelt verschlüsselt, da sie den öffentlichen Chiffrierschlüssel H zur Erzeugung von Sy sowie den privaten Chiffrierschlüssel A enthält, der bei der Verschlüsselung im Gerät 21 gewonnen wird. Diese zusätzliche Verschlüsselung, d.h. die Verwendung des privaten Chiffrierschlüsseis A, gibt die Möglichkeit, daß ein öffentliches Verschlüsselungssystem seine Arbeitsgeschwindigkeit und Datenübertragungsrate öuf wenigstens 10 Mb/s erhöhen kann.

Die Übertragungsgatteranordnung 40 stellt eine Anordnung mit ρ Übertragungsgattern dar. Die Anordnung 40 wird durch die individuellen Bits der Nachricht S^ so gesteuert,daß sie die Übertragung jedes Elements a_i des privaten Chiffrierschlüssels A zum Akkumulator' 41 entweder ermöglicht oder sperrt. Für jedes Bit s™ ₄ in der

η, ι

Nachricht S^. , das gleich einer binären 1 ist, wird das entsprechende Element a^ des privaten Chiffrierschlüssels über die Anordnung 40 übertragen. Außerdem wird für jedes Bit s_v . der Nachricht S„, das gleich einer binären 0 ist, die Übertragung des entsprechenden Elements a_i über die Anordnung 40 gesperrt.

Die Elemente a. des privaten Chiffrierschlüsseis, die über die Anordnung 40 übertragen werden, werden im Akkumulator 41 aufsummiert. Der Akkumulator 41 ist genügend groß, um eine Summe mit S Bitpositionen aufzunehmen,

wobei 0 die kleinste ganze Zahl größer als ρ + log₂k ist. Die Nachricht 5_E wird vom Akkumulator 41 parallel ausgegeben, nachdem alle Bits s„ . der verschlüsselten Nachricht S™ aufgenommen worden sind.

An dieser Stelle ist ein erläuterndes Beispiel zweckmäßig, um die Arbeitsweise der Anordnung 40 und des Akkumulators 41 klarzustellen. Es sei angenommen, daß die Nachricht S_H ein Binärwert-Vektor (1, O, 1, 1, 1) ist und daß der private Chiffrierschlüssel A ein in dezimaler Schreibweise angegebener Vektor (176, 61, 122, 244, 82) ist. Die nachfolgende Tabelle zeigt, wie die

Nachricht S_E erzeugt wird:

·*· ^SH i ^ai Ausgang Inhalt

⁹ Anordnung 40 Akkumulator 41

0 0

1 1 176 176 176

2 0 61 0 176

3 1 122 122 298

4 1 244 244 542

5 1 82 82 624 = S

¹E

Natürlich wird die Nachricht S_E als binärer Vektor (0, 0, 0, 1, 1, 1, 0, 0, 1) dargestellt, wobei die am weitesten links stehende 0 das niedrigstv/ertige Bit von S_E ist*

Nach Erzeugung der Nachricht S_E durch den Akkumulator wird sie zur Modulo-M-Reduzierschaltung 42 übertragen* Die Schaltung 42 nimmt die <$ Bits in S_E auf und entspricht im Aufbau der oben beschriebenen Modulo-M-Reduzier schaltung 33. Im Effekt filtert die Schaltung 42 die Nachricht S*_E unter Entfernung aller Modulus-M-Komponenten aus der Nachricht. Die Schaltung 42 erzeugt die Nachricht S_E, die zum Modulus M des Entschlüsselungsgerätes 22 paßt. Die Nachricht S^ enthält ρ Bits und besitzt die folgende Struktur:

S_E = A . S_H (mod M) (8) ,

wobei · ein skalares Produkt von A und S™ angibt und Sjj als binärer Vektor (s_H ^, ..., s^ ^) dargestellt ist_c

Das Entschlüsselungsgerät 22 in Fig* 5 enthält einen Subtrahierer 50 und einen Komparator 51· Wie oben beschrieben, subtrahiert das Entschlüsselungsgerät 22 nacheinander Jedes Element e. des privaten Dechiffrierschlüssels von der Nachricht S^, um d ie Datennachricht D wiederzugewinnen. Die aufeinander folgenden Subtraktionen werden mit dem größten Element e des privaten Dechiffrierschlüsseis eingeleitet. Das Element e^ ist das letzte, zu subtrahierende Element des privaten Dechiffrierschlüssels .

Zu Beginn der aufeinander folgenden Subtraktionen enthält der Subtrahierer 50 eine Binärdarstellung der Nachricht S_E» Der Komparator 51 spricht auf die Nachricht Sg und das Element e des privaten Dechiffrierschlüssels an. Der Komparator 51 vergleicht den Wert Sg mit dem Wert von e_n und entscheidet, daß entweder d^ eine binäre 1 ist, wenn Sg größer oder gleich e ist, oder daß d^ eine binäre 0 ist, wenn &■& kleiner als e„ ist. Wenn d,, eine binäre 1 ist, so beginnt der Subtrahierer 50 mit der Subtraktion von e von S^. Das Ergebnis dieser Subtraktion wird dann im Komparator 51 mit dem Wert von e_n-1 verglichen. Die schrittweise Wiederholung dieses Verfahrens führt zur Erzeugung der Datennachrichtenbits d^ auf der Basis jedes Elementes e^ und jedes nacheinander auftretenden Subtraktionsergebnisses im Subtrahierer 50, bis schließlich das Datennachrichtenbit d wiedergewonnen ist.

Zur Darstellung der Merkmale der oben beschriebenen Erfindung wird ein vollständiges Beispiel nachfolgend angegeben, für das angenommen wird:
D = (1, 0, 0, 1, 0, 1, 1, 1)
E = (1, 2, 4, 8, 17, 35, 68, 142) M= 291 und W = 176.

Die Falltür W""¹ wird zu 16? bestimmt· Der öffentliche Chiffrierschlüssel H gemäß Gleichung (3) 1st gleich:

H ~ (257, 37, 49, 82, 244, 122, 61, 176) . Gemäß Gleichung (5) hat der private Chiffrierschlüssel A die folgende Form:
A = (167, 43, 86, 172, 53, 106, 212, 133, 266, 241)

Die Verschlüsselung der Datennachricht D mit dem öffentlichen Chiffrierschlüssel H ist nachfolgend angegeben:

i	Datennachricht	Öffentlicher	Element-Produkte
	(Ci₁)	Schlüssel Ch₁)	(U₁Ii₁)
10 1	1	257	257
2	0	37	O
3	0	49	O
4	1	82	82
5	0	244	O
15 6	1	122	122
7	1	61	61
8.	1	176	176

698 = S_H

In binärer Darstellung wird die Nachricht Sp₁ zu dem in Fig. 2 dargestellten Entschlüsselungsgerät in der folgenden Form übertragen:

s_H = (o, 1, o, 1, 1, 1, o, 1, o, 1).

Dann bestimmt das Verschlüsselungsgerät 21 die Nachricht

Sg zu:

i	ver schlüs selte	0	privater	Ausgangs	Inhalt
	Nachricht Srr ,·	1	Schlüssel	signalan	Akkumulator
	π, 1	0	(a_±)	ordnung 40	41
1	1	167	0	0
2	1	43	43	43
3	1	86	0	43
4	0	172	172	215
5	1	53	53	268
6	0	106	106	374
7	1	212	0	374
8	133	133	507
9	266	0	507
10	241	241	748 = L

Selbstverständlich wird dann die Nachricht Sg modulo-291 durch die Schaltung 42 reduziert, wodurch sich die Nachricht S_E = 166.ergibt.

Aufeinander folgende Subtraktionen gemäß Fig. 5 werden wie folgt ausgeführt:

i	Inhalt des Subtrahierers 50	Privater Schlüssel	Ausgangssignal d._ Komparator 51
1	166	142	1
2	24	68	0
3	24	35	0
4	24	17	1
5	7	8	0
6	7	4	1
7	3	2	1
8	1	1	1
9	0		„

Demgemäß ist die Entschlüsselung der Nachricht S^ in die Datennachricht D vollständig und richtig.

Die oben beschriebenen Ausführungsbeispiele erläutern

lediglich das erfindungsgemäße Prinzip. Vom Fachmann können zahlreiche weitere Anordnungen im Rahmen der Erfindung entwickelt werden. Beispielsweise kann die Nachricht Stt oder die Datennachricht D mit einer anderen Basis als 2 dargestellt v/erden. Wenn die Nachricht Sj₁ als ternäres Signal (Basis 3) dargestellt wird, muß die Übertragungsgatteranordnung 40 eine Sperrung, Übertragung oder additive Invertierung jedes Elements a, des privaten Chiffrierschlüsseis ermöglichen. Andere ähnliche Änderungen, die im Rahmen fachmännischen Han~ delns liegen, sind zur Anpassung an eine andere Basis als 2 erforderlich. Außerdem kann der.Schlüsselgenerator 20 nach Art eines iterativen Ausführungsbeispiels mit einem Schieberegister mit p+1 Stufen wie das Register 32 verwirklicht werden, das dann jedes Ausgangselement a^ der Modulo-M-Reduzierschaltung'33 in den ρ höchstwertigen Stufen bei aufeinander folgenden Taktimpulsen des Signals CLK1 enthält.

Leerseite

Claims

BLUMBACH · WESER · B-ERGSN / PATENTANWÄLTE IN MÜNCHEN UND WIESBADEN Patentconsult RadeckestraSe 43 8000 München 60 Telelon (089) 883603/883604 Telex 05-212313 Telegramme Patenlconsull Patentconstilt Sonnenberger Straße 43 6200 Wiesbaden Telefon (06121) 562943/561998 Telex 04-186237 Telegramme Patentconsijli Western Electric Company Incorporated HENRY, P.S. New York, N.Y. 10038, USA Patentansprüche

1. Empfänger für ein öffentliches Verschlüsselungs» system zum Zwecke der gesicherten Nachrichtenübertragung über einen unsicheren Nachrichtenkanal (3) unter Verwendung eines öffentlichen Knapsack-Chiffrierschlüssels (H), eines privaten Dechiffrierschlüssels (E), der zu dem öffentlichen Knapsack-Chiffrierschlüssel in Beziehung steht und rechnerisch in der.Praxis nicht aus diesem generierbar ist, erster und zweiter ganzer Zahlen (M, ¥), die zueinander und zu dem privaten Dechiffrierschlüssel entsprechend vorbestimmten Kriterien in Beziehung stehen, und mit einer Einrichtung zur Transformation einer ersten, verschlüsselten Nachricht in eine Datennachricht (D),
dadurch gekennzeichnet, daß der Empfänger eine Einrichtung (20) aufweist, die unter Ansprechen auf die ganzen Zahlen (M, W) einen privaten Chiffrierschlüssel (A) erzeugen, ferner eine zweite Verschlüsselungseinrichtung (21), die unter Verwendung des privaten Chiffrierschlüssels die erste verschlüsselte Nachricht (S^) in eine zweite, verschlüsselte Nachricht (S_E) transformiert, und eine Entschlüsselungseinrichtung (22), die unter Verwendung dos privaten Dechiffrierschlüsseis die zweite,

verschlüsselte Nachricht in die Datennachricht (ü) transformiert_o

München: R. Kramer Dipl.-Ing. · W.Weser Dipl.-Phys. Dr. rer. nat. · E. Hoffmann Dipl.-Ing. Wiesbaden: P. G. Blumbach Dipl.-Ing. · P. Bergen Prof. Dr. jur. Dipl.-Ing., Pat.-Ass., Pat.-Anw. bis 1979 · G. Zwirner Dipl.-Ing. Dipl.-W.-Ing.

'^Z~ §203412

2. Empfänger nach Anspruch 1,

dadurch gekennzeichnet, daß die erste ganze Zahl ein Modulus M ist, daß die zweite ganze Zahl ein Multiplizierer W ist, daß der private Chiffrierschlüssel ein k-dimensionaler Vektor individueller privater Chiffrierschlüsselelemente (a,., ... a^), dargestellt als natürliche Zahlen, ist , und daß die Einrichtung zur Erzeugung des privaten Chiffrierschlüssels eine Invertiereinrichtung (30) aufweist, die unter Ansprechen auf die zweite ganze Zahl daraus multiplikativ einen invertierten Wert W erzeugt, und ferner eine Einrichtung (32, 33)» die unter Ansprechen auf den invertierten Wert und den Modulus M jedes individuelle private Chiffrierschlüsselelement entsprechend einem vorgegebenen Kriterium derart erzeugt, daß gilt:

&_± = 2^X"¹W"¹ (modulo M), für i = 1, 2, ... k .

3. Empfänger nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die erste, verschlüsselte Nachricht ein k-dimensionaler Vektor individueller, als Binärzahlen (s_H ^, .*., s_{H k}) dargestellter Elemente ist, daß die zweite Verschlüsselungseinrichtung (21) eine Einrichtung (40, 41) enthält, die unter Ansprechen auf individuelle Elemente der ersten, verschlüsselten Nachricht und individuelle Elemente des privaten Chiffrierschlüssels eine verschlüsselte Nachricht (S_E) entsprechend einem vorbestimmten Kriterium derart erzeugt, daß gilt: _k

^SE = J-

und daß eine Filtereinrichtung (42) unter Ansprechen auf die erste ganze Zahl die verschlüsselte Nachricht unter Erzeugen der zweiten, verschlüsselten Nachricht (S_E) filtert.

4. Empfänger nach Anspruch 3»

dadurch gekennzeichnet, daß die erste ganze Zahl ein Modulus M ist und daß die Filtereinrichtung (42) eine

Modulo-M-Reduzierschaltung zur Erzeugung der zweiten, verschlüsselten Nachricht (S₂) entsprechend einem vorbestimmten Kriterium wie folgt erzeugt: ■ S_E = S_E (modulo M) .

5. Empfänger nach Anspruch 4,

dadurch gekennzeichnet, daß die zweite Verschlüsselungseinrichtung eine Einrichtung (40) enthält, die unter Ansprechen auf jedes individuelle Element der ersten, verschlüsselten Nachricht selektiv die Übertragung Jedes entsprechenden privaten Chiffrierschlusselelement.es sperrt, und ferner einen Akkumulator (41) aufweist» der zur Erzeugung der verschlüsselten Nachricht (S^) individuelle, private ChiffrierSchlüsselelemente aufsummiert, die über die selektive Sperreinrichtung übertragen worden sind.