DE3817484A1

DE3817484A1 - Verfahren und schaltungsanordnung zur identifikation und echtheitspruefung aller arten von spezifischen merkmalen

Info

Publication number: DE3817484A1
Application number: DE3817484A
Authority: DE
Inventors: Thomas Prof Beth
Original assignee: Individual
Current assignee: Individual
Priority date: 1988-05-21
Filing date: 1988-05-21
Publication date: 1989-11-30

Description

Die Erfindung betrifft ein Verfahren und eine Schaltungsan ordnung zur Identifikation und Echtheitsprüfung aller Arten von Systemzugangsberechtigungen in verschlüsselter oder unverschlüsselter Form, sowie die Unterstützung der hierbei benutzter Protokolle.

Bisher bekannte Methoden und Geräte zur Identifikation von Unterschriften oder Systemzugangsberichtigungen sind entweder auf konventionellen symmetrischen Verschlüsselungstechniken oder moderneren asymmetrischen Chiffrierungsmethoden aufge baut. Ein prinzipieller Nachteil dieser Sicherheitssysteme basiert auf dem sogenannten Wiederholungsangriff: Jede Unter schrift oder Systemzugangsberechtigung, die auf diesen Techni ken basiert kann grundsätzlich umgangen werden, da die geheime Schlüsselinformation, der sogenannte PIN (Personal Identifica tion Number), kopiert und wiederum illegal benutzt werden kann; so z. B. durch nicht zugelassene elektronische Endgeräte selbst. Computerkriminalität durch sogenannte Hacker, die in der jüngsten Vergangenheit für große Aufmerksamkeit in den Medien gesorgt hat sowie die Überlistung von Geldauszahlungs automaten entstehen im wesentlichen durch die effiziente Aus nutzung dieser Nachteile.

Die Erfindung der sogenannten Zero-Knowledge-Proof-Technique (Goldwasser Micali, Rackhoff, The Knowledge Complexitiy of Interactive Proof Systems, Proc. 17th ACM Symposium on the Theory of Computation, 1985) hat die Voraussetzungen für eine vollständig neue Methode der Identifikation und Echtheitsprü fung für alle Arten von Systemzugangsberechtigungen geliefert. Die wesentliche Idee dieses Konzeptes ist die Durchführung der Echtheitsprüfung durch eine begrenzte und variable Anzahl von unvorhersehbaren Fragestellungen, bis die abgefragende Seite vollständig von der Identität und Echtheit der anfragenden Seite überzeugt ist, ohne der anfragenden Seite Rückschlüsse auf die geforderten Informationen zu erlauben.

Ein erster Ansatz zur Implementierng eines solchen Systems wurde durch Fiat und Shamir in der EP 02 52 499 vorgeschlagen. Die Nachteile des dort vorgeschlagenen Verfahrens und der vor geschlagenen Vorrichtung lassen sich wie folgt zusammen fassen:

- die Verwendung der Arithmetik modulo n, wobei n das Produkt aus mindestens zwei großen Primzahlen ist.
- die Verwendung eines handelsüblichen Mikroprozessors.
- durch die vorgenannten Merkmale verursachter großer Speicherplatz- und Energiebedarf sowie geringe Verarbei tungsgeschwindigkeit.

Verfahren und Vorrichtung gemäß der EP 02 52 499 sind im wesent lichen auf der Verwendung der sogenannten RSA-Funktion (Rivest, Shamir, Adleman; A Method for Obtaining Digital Signa tures and Public-Key Cryptosystems; Comm. of the ACM, Feb. 1978) aufgebaut. Diese RSA-Funktion ist eine Einwegverschlüs selungsfunktion, die mindestens dem Besitzer des Verschlüsse lungscodes den Zugang über eine "Hintertür" erlaubt.

Eine abgesicherte Einwegverschlüsselungsfunktion ohne die Mög lichkeit dieser "Hintertür" wurde durch Diffie und Hellman (New directions in cryptography; IEEE Trans. Inform. Theory IT-22, 1976) vorgeschlagen. Da dieses Konzept auf der Exponentialfunktion modulo Primzahlen aufgebaut ist, wird hiermit ein grundsätzlicheres Verfahren in jedweder Struktur, die eine große endliche Abel'sche-Gruppe enthält, ermöglicht. Massey und Omura haben in der EP 00 85 130 ein solches Gerät zur Berechnung von Gruppenoperationen in einem endlichen Körper GF (2ⁿ) vorgeschlagen. Der Vorteil ihres Geräts ist hauptsächlich auf Verwendung der Normalbasisarithmetik im Erweiterungskörper GF (2ⁿ) über GF (2), die schnelle Quardrieroperationen ermöglicht, zu sehen. Ein wesentlicher Nachteil dieses Gerätes ist in dem extrem großen Platzbedarf dieser Schaltungs anordnung zu sehen, der auch nicht durch die extreme Integration von Schaltungsbausteinen überwunden werden kann.

Aufgabe der Erfindung ist es, ein Verfahren und eine Schal tungsanordnung anzugeben, das die Identifikation und Echt heitsprüfung von spezifischen Merkmalen, wie z. B. Unter schriften und insbesondere Systemzugangsberechtigungen, mit einer höheren Verarbeitungsgeschwindkgeit und geringen Platz bedarf der Schaltungsanordnung bei Realisierung einer maxima len Sicherheit gewährleistet. Die Aufgabe wird erfindungsgemäß gelöst durch die Verwendung von Algorithmen kleinen Umfangs und Speicherplatzbedarfs, die es ohne die Notwendigkeit einer starken Systemintegration erlauben, ein sogenanntes Zero- Knowledge-Protokoll auf der Basis diskreter Logarithmen mit großer Sicherheit und Verarbeitungsgeschwindigkeit zu betrei ben.

Stellen wir uns vor, daß Alice (A) sich gegenüber Bob (B) identifizieren möchte und B gleichzeitig die Echtheitsprüfung dieses Identifikationsversuche durch A durchführen möchte. Zu diesem Zweck hat A eine vertrauenswürdige Dienststelle aufge sucht, die wir hier als "Sicherheitsschlüssel verteilende Dienststelle" (SSVD) bezeichnen wollen. Die SSVD besitzt einen geheimen Logarithmus x, wobei y=α x öffentlich ist und α ein primitives Element von GF (q) ist.

Die SSVD veröffentlicht die Einwegverschlüsselungsfunktion f.

Die Einschreibungsphase

A sucht die SSVD auf und identifiziert sich durch "name". Die SSVD ihrerseits stellt daraufhin m Identifikationsnummer ID₁ . . ., ID _m für A her, wobei sie die öffentliche Verschlüs selungsfunktion f benutzt:

ID _j ← f (name, j),

Die SSVD wählt einen (geheimen) Zufallslogarithmus k und bildet

a ^k → r

Danach bestimmt sie m Werte s _j als Lösungen der Gleichung

xr + ks _j = ID _j mod (q-1)

Als eine der nun ansetzenden Möglichkeiten kann die SSVD eine Identifikationskarte (mit sicherem Speicher) an A ausgeben.

Phase der Echtheitsprüfung

A wüncht nun den Zugang zu B und identifiziert sich dazu durch ihren "name" und den Parameter r. B berechnet daraufhin A′s Identifikationsnummern und den Wert g:

ID _j ← f (name, j)
ρ ← y ^r.

Die daraufhin folgende Prozedur ist als Interation für i=1 bis I dargestellt:
A wählt ein Zufallselement t _i aus der Menge der ganzen Zahlen Z (es genügt hier eine Teilmenge von Repräsentanten der Restklasse mod (q-1)) und bildet

r ^-ti → z _i

um z _i daraufhin an B zu senden. B wählt nun eine Zufallskette

b _i = (b _ÿ)

als Element der Menge z ^m q-1 und sendet diese Kette an A ab.
A berechnet nun

und sendet das Ergebnis wiederum an B ab. B berechnet nun:

B akzeptiert den Identifikationsversuch von A, wenn sich für alle i=1, . . ., I

γ i = 0

ergibt.

In diesem Fall endet das Echtheitsprüfungsprotokoll also erfolgreich.

Sicherheitsbetrachtungen und Aspekte der Anwendung

Die Fehlerquote des erfindugnsgemäßen Identifikationsproto kolls, das heißt, daß das Logaritmusproblem GF (q) unlösbar ist und die Echtheit von A nicht gewährleistet ist, wobei das Protokoll trotzdem endet, liegt bei einer Wahr scheinlichkeit (W) von

W 1/(q-1) m · I.

In einem Ausführungsbeispiel sei hier der Fall q=2ⁿ betrach tet, wobei n sorgfältig gewählt sein sollte (z. B. zwischen 2⁹ und 2¹¹), abhängig von der erforderlichen Sicherheit.

Die notwendigen Rechenoperationen in GF (2ⁿ) werden durch einen schnellen anwendungsspezifischen Schaltkreis vollzogen.

Im Hinblick auf die Verwendung geringen Speicherplatzes und hoher Verarbeitungsgeschwindigkeit braucht die Zufallskette b _ÿ nur aus der Menge

{2^a/a=0, . . ., n-1} ∪ {0}

gewählt zu werden.

Die Wahrscheinlichkeit, daß das Zugangsprotokoll erfolgreich endet obwohl die Echtheit von A nicht gewährleistet ist, wird in diesem Ausführungsbeispiel zu

w 1/2 ^tmI

wobei t=log n angesetzt wurde.

Legt man nun beispielsweise fest, daß das Produkt von (m · I) <3 sein soll, so weist das erfindungsgemäße Verfahren und die erfindungsgemäße Vorrichtung zur Identifikation und Echtheits prüfung eine Trefferquote von 10⁸ : 1 auf, d. h. bei 10⁸ Versu chen wird maximal ein Fehler auftreten. Parallel zu dieser hohen Sicherheit, die quasi beliebig gesteigert werden kann, wird zur Durchführung des erfindungsgemäßen Verfahrens ein wesentlich geringerer Speicherplatz benötigt und die Verarbei tungsgeschwindigkeit gegenüber bisher bekannten Verfahren wesentlich gesteigert. Hierbei ist gegenüber den bekannten Verfahren bei gleicher Anzahl von Iterationen die Steigerung der Systemzugangssicherheit durch die Multiplikation mit dem zusätzlichen Exponenten t=log n gekennzeichnet. Werte von t=10 lassen sich mit dem vorgeschlagenen Verfahren leicht realisieren.

Claims

1. Verfahren und Vorrichtung zur Identifikation und Echtheits prüfung von Personen, Dokumenten und Systemen die den Zugang zu anderen Systemen wie beispielsweise Rechneranlagen oder Geldauszahlungsautomaten durch Eingabe eines nicht fälschbaren und nicht kopierbaren Identifikationsinstruments, insbesondere Magnetkarten, Paßworten oder ähnlichen Systemzugangs berechtigungen anstreben, das die Zero-Knowledge-Proof- Technique anwendet (Goldwasser, Micali, Rackhoff; The Knowledge Complexity of Interactive Proof Systems; Proc. 17th ACM Symposium on the Theory of Computation, 1985), gekenn zeichnet durch den Ablauf in einer endlichen Gruppe, insbesondere in einem endlichen Körper GF (q) wobei

- die Darstellung der Elemente der Gruppe für schnelle Arithmetik geeignet ist,
- im Falle endlicher Körper die Basis zur Effizienzsteigerung gezielt gewählt wird,
- ein primitives Element α dieser Gruppe zufällig gewählt wird,
- der Wert α mit einem Zufallslogarithmus k zur r protenziert wird,
- eine Funktion f beliebige Felder ID₁, . . ., ID _m in diese Gruppe abbildet oder diese Gruppe numeriert,
- eine Kette ID _j erstellt, die physische, biologische, chemische oder andere personen- oder systembezogenen Daten enthält, die streng mit einer einzigen Einheit von Personen oder Systemen assoziert sind,
- ein Mikroprozessor funktionelle Werte s _j dieser personen bezogenen Daten und des geheimen Logarithmus x nach der Vorschrift xr + ks _j = ID _j = ID _j mod (q-1)berechnet,
- der zugangsberechtigten Einheit ein Identifikations instrument ausgehändigt wird, das die Werte r und s _j sowie die notwendigen Algorithmen enthält.

2. Verfahren und Vorrichtung nach Anspruch 1, gekennzeichnet durch eine Vorrichtugn zur Durchführung der Identifikation und Echtheitsprüfung in der vor unbefugtem Zugang zu schützenden Einrichtung, die nach Eingabe der Zugangsberechtigung mittels eines Mikroprozessors die Kette ID _j sowie den Wert ρ=y ^r berechnet, wobei y=α ^x,

- einen Dialog mit dem Identifikationsinstrument oder der Person aufbaut,
- das Identifikationsinstrument in einer mit begrenzter Schrittanzahl i durchgeführten Iteration ein Zufallselement t _i wählt und einen Wert Z _i=r ^-ti berechnet.
- die Prüfungsvorrichtung eine Zufallskette b _i wählt und diese dem Identifikationsinstrument übermittelt.
- das Identifikationsinstrument einen Prozessor anweist zu berechnen.
- die Prüfungseinrichtung mit dem Ergebnis die Werte berechnet und den Zugang zum System erlaubt, wenn für alle i=1, . . ., I der Wert γ _i=0 wird.

3. Verfahren und Schaltungdanordnung nach Anspruch 1 und 2, dadurch gekennzeichnet, daß nach erfolgtem Verbindungsaufbau zwischen dem Zugangssuchenden und dem System die kontinuierliche Chiffrierung der übertragenen Daten erfolgt.

4. Verfahren und Schaltungsanordnung nach Anspruch 1 bis 3, dadurch gekennzeichnet, daß bei bestehender Verbindung ein Schlüsselmanagement ermöglicht wird.

5. Verfahren und Schaltungsanordnung nach Anspruch 1-4, dadurch gekennzeichnet, daß ständige Protokollsicherung erfolgt.