DE4425158A1 - Verfahren und Anordnung zur Realisierung von kryptologischen Funktionen - Google Patents

Description

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Realisierung von kryptologischen Funktionen, wobei mehrere Eingangsvariablen auf mehrere Ausgangsvariablen abgebildet werden.

Kryptologische Funktionen dienen zum Verschlüsseln und Entschlüsseln von Nachrichten sowie als sogenannte Einweg- und Hashfunktionen für Authentifikation und digitale Unterschrift. Wichtige Leistungsmerkmale einer kryptologischen Funktion sind die von C. E. Shannon in "Communication Theory of Secrey Systems", Bell Systems Technical Journal, Seiten 656 bis 715, Oktober 1949, beschriebenen Kriterien Diffusion und Konfusion.

Die Aufgabe der vorliegenden Erfindung besteht darin, ein universell verwendbares Modul anzugeben, mit dem die kryptologischen Funktionen Ver- und Entschlüsselung, Authentifikation und digitale Unterschrift bei Erzielung einer hohen Diffusion und Konfusion ausgeführt werden können.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß die Abbildung durch log_kn Teilmatrizen erfolgt, wobei n die Anzahl der Eingangsvariablen und k die Anzahl der Operanden jeweils einer Ausgangsvariablen jeweils einer Teilmatrix ist. Der Signalfluß zwischen Eingängen und Knoten kann nach Art einer Butterfly-Struktur oder einer Shuffle-Struktur erfolgen. Dabei findet an den Knoten eine nichtlineare Verknüpfung statt.

Das erfindungsgemäße Verfahren kann sowohl schaltungstechnisch als auch in Form von Programmen realisiert werden, wobei jeweils ein vielfältig einsetzbares Modul entsteht. Dabei ist eine integrationsfreundliche Struktur gegeben. Die Shuffle-Struktur hat für integrierte Schaltungen den weiteren Vorteil, daß in jeder Stufe die gleiche Verbindungsstruktur vorhanden ist, wodurch der Entwurfs- und Flächenaufwand reduziert wird. Außerdem werden sehr hohe Verarbeitungsgeschwindigkeiten ermöglicht, wie sie beispielsweise für Multi-media-Dienste in zukünftigen Telekommunikationsnetzen erforderlich sind.

Ferner können die Parameter zur Verschlüsselung in weiten Grenzen den individuellen Erfordernissen angepaßt werden - im Gegensatz zu bisherigen Verfahren, welche auf bestimmte Anforderungen ausgerichtet sind.

Die Shuffle- oder Butterfly-Struktur sorgt für eine gute Diffusion, da jede Eingangsvariable jede Ausgangsvariable beeinflußt. Eine gute Konfusion wird durch die nichtlinearen Verknüpfungsoperationen in den Knoten der Transformation erzielt.

Eine gute Konfusion bei gleichzeitig möglichst geringem Rechenaufwand ist dadurch möglich, daß die nichtlinearen Verknüpfungen Operationen in endlichen Körpern sind, wobei vorzugsweise vorgesehen ist, daß als nichtlineare Verknüpfung eine diskrete Exponentiation angewendet wird.

Ist dabei die Anzahl der Bits pro Eingangsvariablen klein, beispielsweise acht, so können die Verknüpfungsoperationen aus Tabellen abgerufen werden, was große Geschwindigkeiten ermöglicht. Bei größeren Bitbreiten, wie etwa Vielfachen von acht, ist eine Realisierung durch schnelle Schaltungen möglich. Vorschläge dazu finden sich bei C. C. Wang, T. K. Truong, H. M. Shao, L. J. Deutsch, J. K. Omura, I. S. Reed, "VLSI Architectures for Computing Multiplications and Inverses in GF(2^m)", IEEE Transactions on Computers, Vol. C-34, No. 8, August 1985, pp. 700-716.

Eine Anwendung des erfindungsgemäßen Verfahrens zum Verschlüsseln von Nachrichten ist dadurch möglich, daß zur Verschlüsselung ein Teil der Eingangsvariablen von der zu verschlüsselnden Nachricht und ein weiterer Teil der Eingangsvariablen vom Schlüssel gebildet wird. Eine bevorzugte Ausführungsform dieser Anwendung besteht darin, daß jeweils zwei das erfindungsgemäße Verfahren realisierende Module zum Verschlüsseln und zum Entschlüsseln nach dem Feistel-Notz-Smith-Verfahren verwendet werden. Dieses Verfahren hat den Vorteil, daß zum Entschlüsseln die inverse Verschlüsselungsabbildung nicht bekannt sein muß.

Eine vorteilhafte Anordnung zur Durchführung des Verfahrens besteht darin, daß die Signalflußstruktur und die Verknüpfungen zwischen den Eingangs- und Ausgangsvariablen in einem Modul zusammengefaßt sind. Insbesondere bei Eingangsvariablen mit geringen Bitbreiten ist es möglich, daß die Verknüpfungsoperationen mittels Tabellen ausführbar sind. Dadurch sind besonders hohe Verarbeitungsgeschwindigkeiten möglich.

Ausführungsbeispiele der Erfindung sind in der Zeichnung anhand mehrerer Figuren schematisch dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt

Fig. 1 ein erstes Ausführungsbeispiel einer erfindungsgemäßen Anordnung,

Fig. 2 ein zweites Ausführungsbeispiel einer erfindungsgemäßen Anordnung,

Fig. 3 ein Detail (Knotenpaar) der Anordnungen nach Fig. 1 und Fig. 2,

Fig. 4 ein Ausführungsbeispiel in allgemeinerer Form und

Fig. 5 eine Darstellung der Ver- und Entschlüsselung mit Hilfe von mehreren erfindungsgemäßen Anordnungen.

Gleiche Teile sind in den Figuren mit gleichen Bezugszeichen versehen.

Bei dem Ausührungsbeispiel nach Fig. 1 werden acht Eingangsvariablen x₀ bis x₇ unter Benutzung einer Butterfly-Struktur auf acht Ausgangsvariablen c₀ bis c₇ abgebildet. Auf acht Eingänge 0 bis 7 folgen in drei Ebenen Knoten 10 bis 17, 20 bis 27, 30 bis 37, welche jeweils zwei ihnen zugeführte Variablen miteinander verknüpfen. Die dargestellte Butterfly-Struktur ist ebenso wie die in Fig. 2 dargestellte Shuffle-Struktur an sich zur Durchführung der schnellen Fourier- bzw. Walshtransformation bekannt und beispielsweise beschrieben in S. Y. Kung, "VLSI Array Processors", Prentice Hall, 1988 und Ph. W. Beßlich, T. Liu, "Diskrete Orthogonaltransformationen - Algorithmen und Flußgraphen für die Signalverarbeitung", Springer, 1990. Eine nähere Erläuterung dieser Strukturen zum Verständnis der Erfindung erübrigt sich daher.

Während bei der Fourier- bzw. Walshtransformation eine lineare Verknüpfung in den Knoten stattfindet, werden bei dem erfindungsgemäßen Verfahren nichtlineare Verknüpfungsfunktionen benutzt. Eine geeignete Funktion, nämlich die diskrete Exponentiation wird später im einzelnen erläutert.

Fig. 2 zeigt ein Ausführungsbeispiel mit einer Shuffle-Struktur. Wie ein Vergleich mit Fig. 1 zeigt, hat sich zwar die Signalflußstruktur geändert, es können jedoch die gleichen Verknüpfungen in den Knoten 10 bis 37 erfolgen.

Im Zusammenhang mit Fig. 3, welche ein Detail aus einer der Anordnungen nach Fig. 1 oder 2 darstellt, werden im folgenden die Verknüpfungsoperationen A(x, y) und S(x, y) beschrieben. Dabei ist der Knoten 38 einer der Knoten auf den in den Fig. 1 und 2 durchgezogene Pfeile weisen, beispielsweise der Knoten 10, während der Knoten 39 ein Knoten mit einem durchgezogenen und einem gestrichelten Pfeil ist, beispielsweise der Knoten 17.

Die Verwendung der im Zusammenhang mit den Fig. 1 und 2 erläuterten Signalflußstrukturen garantiert, daß jede Eingangsvariable jede Ausgangsvariable beeinflußt. Für die Praxis gut geeignete Operationen A(x,y) und S(x, y), basierend auf endlichen Körpern, sind im folgenden beschrieben:

Die m-bit Eingangsvariablen x_i sind nun je nach Kontext entweder als m-bit ganze Zahlen oder als Elemente des endlichen Körpers GF(q) = GF (2^m) aufgefaßt. Die Körper ist mit dem primitiven Polynom p(x) gebildet. Für die Verknüpfung ist nun eine wie folgt definierte Funktion F(x, y; ∩) vorgesehen:

F(x, y; ∩) = f(x∩f(y)) (1)

mit f(x) = α^x für x≠q-1 und 0 für x=q-1 (2)

Hierbei ist α ein primitives Element des Körpers GF(2^m), das heißt Wurzel von p(x). Die Funktion f(x) ist für x≠q-1 die diskrete Exponentiation zur Basis α. ∩ ist eine Verknüpfung, die je nach Erfordernissen im einzelnen vom Fachmann gewählt werden kann. Sinnvolle Operationen sind +, die gewöhnliche Addition allerdings modulo q=2^m, und die bitweise Exklusiv-Oder-Verknüpfung XOR (beispielsweise 13XOR17=28). Für sehr kleine Körper GF(2^m) - etwa 4m12 - kann man die Operationen mittels Tabellen ausführen, was eine sehr schnelle Verknüpfung zur Folge hat. Für größere m oder bei Anwendungen, bei denen es sehr auf den Speicherplatz ankommt (wie etwa bei Chipkarten), kann man die diskrete Exponentiation auch mit bekannten schnellen Schaltungen realisieren.

Im folgenden sind drei Beispiele der Verwendung der Funktion F(x, y; ∩) zur Bildung von A(x, y) und S(x, y) angegeben:

1. Fall: A(x, y) = F(x, y; XOR) und S(x, y) = A(y, x),
2. Fall: A(x, y) = F(x, y; +) und S(x, y) = A(y, x),
3. Fall: A(x, y) = F(x, y; XOR) und S(x, y) = F(y, x; +).

Beim dritten Fall ist in der letzten Gleichung x und y aus Sicherheitsgründen vertauscht, da es viele Werte von x und y gibt, für die F(x, y; +) = F(x, y; XOR) gilt.

Fig. 4 stellt eine weitere erfindungsgemäße Anordnung schematisch in allgemeiner Form dar, mit 2¹ Eingangs- und Ausgangsvariablen. Die Hälfte der Eingangsvariablen, nämlich x₀ bis x₍₂l-1_-1) bilden die zu verschlüsselnde Nachricht M, während die restlichen Eingangsvariablen den Schlüssel K darstellen. Das verschlüsselte Signal ist C⁽¹⁾.

Der Ausgangsvektor C⁽¹⁾ setzt sich zusammen aus dem gerade indizierten Teil C_g ⁽¹⁾ = (c₀, c₂, . . ., c₂l_-2) und dem ungeraden indizierten Teil C_u ⁽¹⁾ = (c₁, c₃, . . ., c₂l_-1).

Dieses bewirkt, daß die Kenntnis von C_g ⁽¹⁾ bzw. C_u ⁽¹⁾ alleine nicht genügt, um die Transformation umzukehren. Dieses wird durch Fig. 4 verdeutlicht. Sind nur die gerade bzw. die ungerade indizierten Komponenten des Ausgangsvektor bekannt, so hat man nicht gleichzeitig die Werte A(a, b) und S(a, b) eines Wertepaares (a, b), was die Umkehr der Kryptotransformation vereinfachen würde.

Die mit der Anordnung nach Fig. 4 erfolgte Transformation

C⁽¹⁾ = T(K, M) (3)

ist die grundlegende Funktion des Kryptomoduls. Mit diesem Kryptomodul lassen sich in einfacher Weise die eingangs aufgezählten kryptologischen Funktionen realisieren.

Unter Bezugnahme auf Fig. 5 wird eine Verwendung des Kryptomoduls im Rahmen eines Verschlüsselungsverfahrens erläutert. Dabei steht das Symbol ∩ für eine binäre Operation, wie beispielsweise die Exklusiv-Oder-Verknüpfung. Die Durchführung der einzelnen Runden erfolgt gemäß:

C^(j+1) = T(K∩C_g ^(j), C_u ^(j)) für j1. (4)

Die verschlüsselte Information bzw. das Chiffrat C = E^(r) nach r Runden Verschlüsselung erhält man dann zu

C = E^(r)(K, M) = C_g ^(r) (5)

Um eine sichere Verschlüsselung zu erhalten, sollte r größer als 1 sein.

Bei dem Ausführungsbeispiel nach Fig. 5 wird ein erfindungsgemäßes Kryptomodul zusammen mit dem bekannten Verfahren nach Feistel, Notz und Smith verwendet, das beschrieben ist in H. Feistel, W. Notz, J. L. Smith, "Some Cryptographic Techniques for Machine-to-Machine Data Communications", Proceedings of the IEEE, Vol. 63, No. 11, November 1975, pp. 1545-1553. Dieses hat den Vorteil, daß zum Entschlüsseln eine Kenntnis der inversen Verschlüsselungsabbildung nicht erforderlich ist.

Die verschlüsselt zu übertragende Nachricht ist bei dem Ausführungsbeispiel nach Fig. 5 in zwei Teile M1 und M2 aufgeteilt. Mit Hilfe eines ersten Kryptomoduls 41 wird M1 verschlüsselt und dann mit dem Teil M2 XOR-verknüpft. In der nächsten Runde wird mit Hilfe eines weiteren Kryptomoduls 42 das Ergebnis der XOR-Verknüpfung verschlüsselt und mit dem Teil M1 XOR-verknüpft. Die somit vollständig verschlüsselte Nachricht wird über einen Kanal 43 übertragen, dann in gleicher Weise wie bei der Verschlüsselung mit Hilfe zweier weiterer Kryptomodule 44, 45 entschlüsselt und steht in entschlüsselter Form bei 46 zur Verfügung.

Weitere Anwendungen des Kryptomoduls sind zur Erzeugung von Hash- und Einwegfunktionen möglich. Ein Datenvektor X der Länge 2¹ besteht beispielsweise aus zwei Hälften X1 und X2. Die Hashfunktion H(X) liefert zu jedem Vektor X der Länge 2¹ einen Vektor der Länge 2^1-1, der Hashwert genannt wird. Für die kryptologische Anwendung kommt es darauf an, das Finden eines zweiten Vektors, der den gleichen Hashwert liefert, unmöglich zu machen. Hashfunktionen werden u. a. zum elektronischen Unterschreiben von Dokumenten benutzt. Dabei wird zu einem eventuell sehr langen Dokument eine kurze Unterschrift mittels einer Hashfunktion gebildet. Wenn R ein fester, aber beliebiger Wert ist, der je nach Anwendung offen ist oder geheim bleibt, gilt:

C⁽¹⁾ = T(Y1, X2) (6)

und

C^(j=1) = T(R∩C_g ^(j), C_u ^(j), j=1, 2 . . . (7)

Als Hashwert verwendet man:

H(X) = C_g ^(r) mit r<1 (8)

In vielen Fällen werden sogenannte Einwegfunktionen benötigt, beispielweise zum Schutz von Paßwörtern in Rechenanlagen, um eine offene Ablage zu vermeiden. Dabei durchlaufen die Paßwörter von Benutzern eine Einwegfunktion und werden sodann mit den gespeicherten Daten verglichen. Dieses hat den Vorteil, daß unbefugte Eindringlinge in Rechenanlagen mit den so abgelegten Daten nichts anfangen können. Um eine Einwegfunktion W(X) zu erhalten, benutzt man den Hashwert H(X) von X=|X1|X2| als Schlüssel für r Runden Verschlüsselungsfunktionen und berechnet W(X) wie folgt: W1=E^(r) (H, X1), W2=E^(r)(H, X2) und W(X) = |W1|W2|.

Claims (9)

1. Verfahren zur Realisierung von kryptologischen Funktionen, wobei mehrere Eingangsvariablen auf mehrere Ausgangsvariablen abgebildet werden, dadurch gekennzeichnet, daß die Abbildung durch log_kn Teilmatrizen erfolgt, wobei n die Anzahl der Eingangsvariablen und k die Anzahl der Operanden jeweils einer Ausgangsvariablen jeweils einer Teilmatrix ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Signalfluß zwischen Eingängen und Knoten nach Art einer Shuffle-Struktur erfolgt und daß an den Knoten eine nichtlineare Verknüpfung stattfindet.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Signalfluß zwischen Eingängen und Knoten nach Art einer Butterfly-Struktur erfolgt und daß an den Knoten eine nichtlineare Verknüpfung stattfindet.

4. Verfahren nach einem der Ansprüche 2 oder 3, dadurch gekennzeichnet, daß die nichtlinearen Verknüpfungen Operationen in endlichen Körpern sind.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß als nichtlineare Verknüpfung eine diskrete Exponentiation angewendet wird.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zur Verschlüsselung ein Teil der Eingangsvariablen von der zu verschlüsselnden Nachricht und ein weiterer Teil der Eingangsvariablen vom Schlüssel gebildet wird.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß jeweils zwei das erfindungsgemäße Verfahren realisierende Module zum Verschlüsseln und zum Entschlüsseln nach dem Feistel-Notz-Smith-Verfahren verwendet werden.

8. Anordnung zur Durchführung des Verfahrens nach Anspruch 1, dadurch gekennzeichnet, daß die Signalflußstruktur und die Verknüpfungen zwischen den Eingangs- und Ausgangsvariablen in einem Modul zusammengefaßt sind.

9. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß die Verknüpfungsoperationen mittels Tabellen ausführbar sind.