DE60001630T2

DE60001630T2 - Sichere gegenseitige Netzwerkauthenifizierung und Schlüselaustauschprotokoll

Info

Publication number: DE60001630T2
Application number: DE60001630T
Authority: DE
Inventors: Victor Vladimir Boyko; Eric Grosse; Philip Douglas Mackenzie; Sarvar Patel
Original assignee: Lucent Technologies Inc
Current assignee: Nokia of America Corp
Priority date: 2000-03-17
Filing date: 2000-10-23
Publication date: 2003-12-18
Anticipated expiration: 2020-10-24
Also published as: CA2335172A1; DE60001630D1; EP1134929A1; US7047408B1; CA2335172C; EP1134929B1; JP2001313634A

Description

Technisches Gebiet

Die vorliegende Erfindung betrifft allgemein die Netzauthentisierung und den Schlüsselaustausch und insbesondere ein sicheres gegenseitiges Nur-Paßwort- Netzauthentisierungs- und Schlüsselaustauschprotokoll.

Allgemeiner Stand der Technik

Die Authentisierung über ein Netzwerk ist ein wichtiger Teil der Sicherheit für Systeme, die fernen Clients einen Zugriff auf Netzserver erlauben. Die Authentisierung wird im allgemeinen durch Verifizieren eines oder mehrerer der folgenden Elemente erreicht:
etwas, das ein Benutzer kennt, z. B. ein Paßwort;
etwas, das ein Benutzer ist, d. h. biometrische Informationen wie zum Beispiel ein Fingerabdruck; und
etwas, das ein Benutzer hat, d. h. ein bestimmtes Identifikations-Token, wie zum Beispiel eine Chipkarte.
Zum Beispiel verifiziert ein Geldautomat (ATM) zwei davon: etwas, das ein Benutzer hat (die ATM-Karte), und etwas, das ein Benutzer kennt eine persönliche Geheimnummer (PIN). Die ATM-Authentisierung ist wesentlich einfacher als die Authentisierung über ein Datennetz, da der ATM selbst als vertrauenswürdige Hardware angesehen wird, so daß ihm vertraut wird, die Anwesenheit der ATM-Karte zu verifizieren und die korrekten Informationen sicher zu einem zentralen Transaktionsserver zu transferieren.
Zusätzlich zu der Authentisierung ist der Schlüsselaustausch ein wichtiger Teil der Kommunikation über ein Datennetz. Nachdem ein Client und Server authentisiert wurden, muß zwischen ihnen ein sicherer Kommunikationskanal aufgebaut werden. Man erreicht dies im allgemeinen dadurch, daß der Client und Server einen als Sitzungsschlüssel bezeichneten Schlüssel zur Verwendung während der Kommunikation nach der Authentisierung austauschen.
Die Authentisierung über ein Datennetz, insbesondere ein öffentliches Datennetz wie das Internet, ist schwierig, da die Kommunikation zwischen dem Client und dem Server gegenüber vielen verschiedenen Arten von Attacken anfällig ist. Zum Beispiel kann bei einer Lauschattacke ein Widersacher durch Abfangen der Kommunikation zwischen dem Client und dem Server geheime Informationen erfahren. Wenn der Widersacher Paßwortinformationen erfährt, kann der Widersacher diese Informationen dem Server zurückspielen, um sich bei einer sogenannten Zurückspielattacke bei dem Server als der rechtmäßige Client auszugeben. Zurückspielattacken sind sogar dann effektiv, wenn das von dem Client gesendete Paßwort verschlüsselt ist, da der Widersacher das tatsächliche Paßwort nicht kennen muß, sondern stattdessen dem Server etwas geben muß, das der Server von dem rechtmäßigen Client erwartet (in diesem Fall ein verschlüsseltes Paßwort). Eine andere Art von Attacke ist eine Parodieattacke, bei der sich ein Widersacher für den Server ausgibt, so daß der Client annimmt, daß er mit dem rechtmäßigen Server kommuniziert, stattdessen aber tatsächlich mit dem Widersacher kommuniziert. Bei einer solchen Attacke kann der Client dem Widersacher heikle Informationen geben.
Außerdem gibt es bei jedem paßwortgestützten Authentisierungsprotokoll die Möglichkeit, daß Paßwörter schwach sind, so daß sie anfällig für Wörterbuchattacken sind. Eine Wörterbuchattacke ist eine Brute- Force-Attacke auf ein Paßwort, die durch Prüfen einer großen Anzahl möglicher Paßwörter (z. B. aller Wörter in einem englischen Wörterbuch) gegenüber bestimmten bekannten Informationen über das gewünschte Paßwort durchgeführt wird. Die bekannten Informationen können öffentlich verfügbar sein oder sie können vom Widersacher durch eine der oben beschriebenen Techniken erhalten werden. Wörterbuchattacken sind häufig effektiv, da Benutzer oft Paßwörter benutzen, die man sich leicht merken und leicht raten kann.
Es gibt verschiedene bekannte Techniken für die Netzauthentisierung. Diese bekannten Techniken werden in zwei Klassifizierungen aufgeteilt. Die erste Klassifizierung enthält die Techniken, die anhaltend gespeicherte Daten auf dem Client-System erfordern. Die zweite Klassifizierung enthält die Techniken, die keine anhaltend gespeicherten Daten auf dem Client-System erfordern.
In bezug auf die erste Klassifizierung können anhaltend gespeicherte Daten entweder geheime Daten enthalten (z. B. mit dem Authentisierungsserver geteilte Geheimschlüssel), die niemals enthüllt werden dürfen, oder nicht geheime, aber heikle Daten (z. B. den öffentlichen Schlüssel des Authentisierungsservers), die fälschungssicher sein müssen. Bei jedem Typ anhaltender Daten sind zusätzliche Sicherheitsanforderungen notwendig, um die Daten vor Attacken von einem Widersacher zu schützen. Bei Verwendung eines Authentisierungsprotokolls, das sowohl Paßwörter als auch anhaltend gespeicherte Daten verwendet, kann weiterhin eine Kompromittierung von einem zu einer Schwäche des anderen führen. Zum Beispiel kann eine Kompromittierung eines Geheimschlüssels zu einer möglichen Wörterbuchattacke auf das Paßwort führen. Ein anderes Problem bei dieser ersten Klasse von Protokollen besteht darin, daß anhaltend gespeicherte Daten die Erzeugung und Verteilung von Schlüsseln erfordern, was umständlich sein kann und im allgemeinen zu einem weniger flexiblen System führt.
Die zweite Klassifizierung wird als Nur-Paßwort- Authentisierungsprotokolle bezeichnet, da keine Anforderung anhaltend gespeicherter Daten beim Client besteht. Der Client muß nur in der Lage sein, ein rechtmäßiges Paßwort anzugeben. Das Konzept der Bereitstellung einer starken Sicherheit und Authentisierung unter Verwendung potentiell schwächer Paßwörter scheint ein Widerspruch zu sein. Es gibt jedoch mehrere Nur- Paßwort-Benutzerauthentisierungs- und Schlüsselaustauschprotokolle, die sicher entworfen sind. Eine Beschreibung dieser Protokolle findet sich in D. Jablon, Strong Password-Only Authenticated Key Exchange, ACM Computer Communication Review, ACM SIGCOMM, 26(5): 5-20, 1996. Zu diesen Nur-Paßwort- Protokollen gehören insbesondere Encrypted Key Exchange (EKE), beschrieben in S. M. Bellovin und M. Merritt, Encrypted Key Exchange: Password-Based Protocols Secure Against Dictionary Attacks, Proceedings of the IEEE Symposium on Research in Security and Privacy, Seiten 72-84, 1992; Augmented-EKE (A-EKE), S. M. Bellovin und M. Merritt, Augmented Encrypted Key Exchange: A Password-Based Protocol Secure Against Dictionary Attacks and Password File Compromise, Proceedings of the First Annual Conference on Computer and Communications Security, 1993, Seiten 244-250; Modified EKE (M-EKE), M. Steiner, G. Tsudik und M. Waidner, Refinement and Extension of Encrypted Key Exchange, ACM Operating System Review, 29: 22-30, 1995; Simple Password EKE (SPEKE) und Diffie-Hellman EKE (DH-EKE), beide beschrieben in D. Jablon, Strong Password-Only Authenticated Key Exchange, ACM Computer Communication Review, ACM SIGCOMM, 26(5): 5-20, 1996; Secure Remote Password Protocol (SRP), T. Wu, The Secure Remote Password Protocol, Proceedings of the 1998 Internet Society Network and Distributed System Security Symposium, Seiten 97-111, 1998; und Open Key Exchange (OKE), Stefan Lucks, Open Key Exchange: How to Defeat Dictionary Attacks Without Encrypting Public Keys, Security Protocol Workshop, Ecole Normale Superieure, 7.-9.4.1997.
Das Problem bei diesen bekannten Nur-Paßwort- Authentisierungsprotokollen ist, daß nicht erwiesen wurde, daß sie sicher sind. Tatsächlich kann das EKE- Protokoll gegenüber bestimmten zahlentheoretischen Attacken anfällig sein, wie in S. Patel, Number Theoretic Attacks an Secure Password Schemes, Proceedings of the IEEE Symposium on Research in Security and Privacy, Seiten 236-247, 1997, beschrieben wird. Im Hinblick auf die Bedeutung der Netzsicherheit wird ein Nur-Paßwort-Protokoll zur gegenseitigen Authentisierung benötigt, das nachweisbar sicher ist.
EP-A-0 977 396 beschreibt ein Verfahren zur Festlegung eines Schlüssels unter Verwendung von Funkkommunikation und ein Paßwortprotokoll. Gemäß dem beschriebenen Protokoll tauschen die kommunizierenden Teilnehmer Berechnungsergebnisse aus, die jeweils eine Exponentialfunktion enthalten, um einen Schlüssel zu erzeugen. Wenn die zuvor von einem Teilnehmer gesendeten Authorisierungsinformationen für den anderen Teilnehmer akzeptabel sind, dann verwendet dieser andere Teilnehmer den gemäß dem Protokoll festgelegten Schlüssel. Bei der Erzeugung der Berechnungsergebnisse addiert jeder Teilnehmer das Paßwort zu seiner jeweiligen Exponentialfunktion.
Aus EP-A-1 069 726 (veröffentlicht nach dem oben beanspruchten Prioritätsdatum der vorliegenden Anmeldung) ist ein sicheres Nur-Paßwort-Protokoll zur gegenseitigen Netzauthentisierung unter Verwendung eines Verschlüsselungsschemas mit öffentlichem Schlüssel bekannt. Dieses Protokoll hat sich so sicher wie das zugrundeliegende Verschlüsselungsschema mit öffentlichem Schlüssel erwiesen.

Kurzdarstellung der Erfindung

Erfindungsgemäße Verfahren werden in den unabhängigen Ansprüchen dargelegt. Bevorzugte Formen werden in den abhängigen Ansprüchen dargelegt.
Die vorliegende Erfindung liefert ein sicheres Nur- Paßwort-Protokoll zur gegenseitigen Netzauthentisierung, das nachweisbar sicher ist. Gemäß dem erfindungsgemäßen Protokoll erzeugen zwei Teilnehmer ein gemeinsames Geheimnis unter Verwendung eines Schlüsselaustauschs des Diffie-Hellman-Typs. Wie später ausführlicher beschrieben werden wird, existiert gemäß einem Schlüsselaustausch des Diffie-Hellman-Typs ein Gruppengenerator g für die bestimmte sogenannte Gruppe, ein einem Teilnehmer bekannter Index x, ein dem anderen Teilnehmer bekannter Index y und das gemeinsame Geheimnis gxy. Ein Teilnehmer erzeugt gx, der andere Teilnehmer gy und die Teilnehmer tauschen diese Werte aus, so daß jeder Teilnehmer nun das gemeinsame Geheimnis gxy erzeugen kann. Während Diffie-Hellman ein Schlüsselaustauschprotokoll definiert, hat das Protokoll keine Authentisierungsaspekte.
Gemäß der vorliegenden Erfindung wird ein Protokoll bereitgestellt, das ein gemeinsames Geheimnis des Diffie-Hellman-Typs verwendet, das jedoch so modifiziert ist, daß die beiden Teilnehmer sich gegenseitig unter Verwendung eines gemeinsam benutzten Paßworts authentisieren können. Weiterhin und insbesondere haben die Verfasser bewiesen, daß dieses Protokoll sicher ist. Gemäß der Erfindung erzeugt ein Teilnehmer den Diffie-Hellman-Wert gx und kombiniert ihn mit einer Funktion mindestens des Paßworts unter Verwendung der sogenannten Gruppenoperation und sendet den resultierenden Wert zu dem anderen Teilnehmer. Die Gruppenoperation ist für die bestimmte verwendete Gruppe definiert und wird später ausführlicher beschrieben. Vorläufig reicht es aus, zu erkennen, daß jede Gruppe eine Gruppenoperation und eine entsprechende inverse Gruppenoperation aufweist. Nach dem Empfang des Werts führt der andere Teilnehmer die inverse Gruppenoperation an dem empfangenen Wert und der Funktion mindestens des Paßworts aus, um gx zu extrahieren, so daß der andere Teilnehmer dann unter Verwendung seiner Kenntnis von y das gemeinsame Geheimnis gxy erzeugen kann. Die Verwendung der Gruppenoperation und der inversen Gruppenoperation in Verbindung mit einem Schlüsselaustauschprotokoll des Diffie-Hellman-Typs, so wie sie hier beschrieben wird, liefert Vorteile gegenüber den Nur-Paßwort-Protokollen zur gegenseitigen Netzauthentisierung des Stands der Technik. Vielleicht am wichtigsten ist, daß sie ein Protokoll bereitstellt, von dem nachgewiesen werden kann, daß es gegenüber Attacken durch Widersacher, die Zugang zu dem Kommunikationskanal haben, sicher ist. Wie oben beschrieben, wird der Diffie-Hellman-Wert gx mit einer Funktion mindestens des Paßworts kombiniert. Der Ausdruck "mindestens" wird verwendet, weil bei verschiedenen Ausführungsformen gx mit einer Funktion nur des Paßworts oder einer Funktion des Paßworts zusammen mit Kennungen der Teilnehmer für das Protokoll kombiniert werden kann, um sicherzustellen, daß das Paßwort für ein beliebiges bestimmtes Paar von Teilnehmern einzigartig ist.
Gemäß einer Ausführungsform der Erfindung können sich die Teilnehmer gegenseitig authentisieren, indem sie eine Funktion mindestens bestimmter Parameter berechnen, den berechneten Wert zu dem anderen Teilnehmer senden, und indem dann jeder Teilnehmer den empfangenen Wert mit seinem eigenen berechneten Wert vergleicht. Die für die Berechnung verwendeten Parameter können eine Teilnehmerkennung, der Diffie- Hellman-Wert (gx oder gy), das gemeinsame Geheimnis oder das gemeinsame Paßwort oder Kombinationen davon sein. Durch Berechnen einer Funktion mindestens eines dieser Werte können die Teilnehmer authentisieren, daß der andere Teilnehmer das gemeinsame Paßwort besitzt.
Gemäß einer anderen Ausführungsform der Erfindung authentisieren sich die Teilnehmer gegenseitig nicht explizit, sondern die Teilnehmer authentisieren sich stattdessen implizit, indem jeder den gemeinsamen Geheimschlüssel erzeugt und diesen erzeugten gemeinsamen Geheimschlüssel als Sitzungsschlüssel für die Kommunikation verwendet. Wenn einer der Teilnehmer nicht das korrekte Paßwort besitzt, dann wäre dieser Teilnehmer nicht in der Lage, den korrekten Geheimsitzungsschlüssel zu erzeugen, und die Kommunikation zwischen den Teilnehmern wäre nicht möglich. Gemäß dieser Ausführungsform verwenden beide Teilnehmer die oben beschriebene Technik des Kombinierens ihrer Diffie-Hellman-Werte mit einer Funktion mindestens des Paßworts unter Verwendung der Gruppenoperation und Sendens des resultierenden Werts zu dem anderen Teilnehmer. Nach dem Empfang des Werts von dem anderen Teilnehmer extrahiert jeder Teilnehmer den Diffie- Hellman-Wert des anderen Teilnehmers unter Verwendung der inversen Gruppenoperation und berechnet dann den gemeinsamen Geheimschlüssel.
Die beiden Teilnehmer an dem Kommunikationsprotokoll sind in den meisten Fällen ein Client-Computer und ein Server-Computer. Bei den oben beschriebenen Ausführungsformen speichern sowohl der Client als auch der Server das gemeinsame Paßwort. Als Schutz vor einer Sicherheitskompromittierung im Server besitzt bei anderen Ausführungsformen der Erfindung der Server nicht das Paßwort, sondern erhält und speichert stattdessen eine sogenannte Paßwortverifizierung, die, wie später ausführlicher beschrieben wird, eine Funktion des Paßworts ist. Das Paßwort selbst kann aus der Kenntnis der Paßwortverifizierung nicht bestimmt werden. Die Protokolle gemäß diesen Ausführungsformen der Erfindung sind den oben beschriebenen Ausführungsformen ähnlich, außer daß anstelle des tatsächlichen Paßworts im allgemeinen die Paßwortverifizierung verwendet wird. Da der Server das tatsächliche Paßwort nicht kennt, müssen die beiden Teilnehmer jedoch verschiedene Techniken verwenden, damit jeder Teilnehmer sicher authentisieren kann, daß der andere Teilnehmer tatsächlich die korrekte Paßwortverifizierung oder das tatsächliche Paßwort besitzt. Bei einer Ausführungsform authentisieren sich die Teilnehmer gegenseitig durch Verwendung einer auf der El-Gamal- Verschlüsselungstechnik basierenden Verschlüsselung.
Diese und andere Vorteile der Erfindung werden Durchschnittsfachleuten bei Durchsicht der folgenden ausführlichen Beschreibung und der beigefügten Zeichnungen ersichtlich.

Kurze Beschreibung der Zeichnungen

Fig. 1 zeigt das Diffie-Hellman-Schlüsselaustauschprotokoll im Stand der Technik;
Fig. 2 zeigt ein Kommunikationsprotokoll gemäß einer Ausführungsform der Erfindung mit expliziter Authentisierung, bei der beide Teilnehmer ein gemeinsames Paßwort besitzen;
Fig. 3 zeigt ein Kommunikationsprotokoll gemäß einer Ausführungsform der Erfindung mit impliziter Authentisierung, bei der beide Teilnehmer ein gemeinsames Paßwort besitzen;
Fig. 4 zeigt ein Kommunikationsprotokoll gemäß einer Ausführungsform der Erfindung mit expliziter Authentisierung, bei der ein Teilnehmer ein Paßwort und der andere Teilnehmer eine Paßwortverifizierung besitzt; und
Fig. 5 zeigt ein Kommunikationsprotokoll gemäß einer anderen Ausführungsform der Erfindung mit expliziter Authentisierung, bei der ein Teilnehmer ein Paßwort besitzt und der andere Teilnehmer eine Paßwortverifizierung besitzt.

Ausführliche Beschreibung

Die Kryptographie ist eine wohlbekannte Technik zur Bereitstellung einer sicheren Kommunikation zwischen zwei Teilnehmern. Vor der Beschreibung der verschiedenen Ausführungsformen der vorliegenden Erfindung werden bestimmte Hintergrundinformationen und die grundlegende Terminologie angegeben.
Leger ausgedrückt ist eine Funktion f von einer Menge S zu einer Menge T eine Einbahnfunktion, wenn f(x) für alle x in S leicht zu berechnen ist, es aber für die meisten y in T rechnerisch nicht gangbar ist, irgendwelche x in S zu finden, wofür f(x) = y gilt. Ein Beispiel für eine Einbahnfunktion ist das modulare Exponentiieren, Es sei p eine große Primzahl und g ein Generator der multiplikativen Gruppe mod p (das heißt der Zahlen in dem Umfang 1, ..., p-1). Dann wird im allgemeinen angenommen, daß f(x) = gx mod p eine Einbahnfunktion ist. Die inverse Funktion, die als diskrete log-Funktion bezeichnet wird, ist schwierig zu berechnen. Außerdem gibt es andere Gruppen, in denen die diskrete log-Funktion schwierig zu berechnen ist, wie zum Beispiel bestimmte Gruppen elliptischer Kurven.
Es seien k und l Sicherheitsparameter, wobei k der Hauptsicherheitsparameter ist und als ein allgemeiner Sicherheitsparameter für Hash-Funktionen und Geheimschlüssel angesehen werden kann, und wobei l > k als ein Sicherheitsparameter für auf diskretem log basierende öffentliche Schlüssel angesehen werden kann. Es sei {0,1}* die Menge endlicher binärer Ketten und {0,1}n die Menge binärer Ketten der Längen. Eine reelwertige Funktion &epsi;(n) ist vernachlässigbar, wenn es für jedes C > 0 nc > 0 gibt, so daß für alle n > nc &epsi;(n) < 1/nc ist. Es sei q der Größe mindestens k und p der Größe l Primzahlen mit p = rq + 1 für einen bestimmten Wert r koprim zu q. Es sei g ein Generator einer Untergruppe von Z*p der Größe q. Diese Untergruppe heiße Gp,q.
Ein als Diffie-Hellman-Schlüsselaustausch bezeichnetes Schlüsselaustauschprotokoll, das in W. Diffie und M. Hellman, New Directions in Cryptography, IEEE Transactions on Information Theory, Band 22, Nr. 6, 644-654, 1976, beschrieben wird, basiert auf der modularen Exponentiierungsfunktion. Genauer gesagt vereinbaren zwei Teilnehmer A und B einen Geheimschlüssel gemäß einem in Verbindung mit Fig. 1 beschriebenen Protokoll. Im Schritt 102 wählt A ein zufälliges x aus der Gruppe Zq, mit Zg = {0,1, ..., q-1} (oder einfach die ganzen Zahlen mod q). Im Schritt 104 berechnet A X = gx mod p. Im Schritt 106 sendet A X zu B. Im Schritt 108 wählt B ein zufälliges y aus Zq. Im Schritt 110 berechnet B Y = gy mod p und sendet Y zu A in 112. An diesem Punkt kann sowohl von A als auch von B ein gemeinsames Geheimnis gxy (d. h. ein Geheimschlüssel) berechnet werden. (Man beachte, daß im folgenden der Einfachheit halber die Notation mod p ignoriert wird, wenn klar ist, daß man in mod p arbeitet.) Da im Schritt 106 X = gx von A zu B gesendet wurde, kann B durch Berechnen von Xy im Schritt 116 das gemeinsame Geheimnis gxy berechnen. Da Y = gy im Schritt 112 von B zu A gesendet wurde, kann ähnlich A durch Berechnen von Yx im Schritt 114 das gemeinsame Geheimnis gxy berechnen. Das gemeinsame Geheimnis S kann nun von A und B als Sitzungsschlüssel zur sicheren Kommunikation verwendet werden.
Der Diffie-Hellman-Schlüsselaustausch kann auch über anderen Gruppen durchgeführt werden, in denen die diskrete log-Funktion schwierig zu berechnen ist, wie zum Beispiel bestimmten Gruppen elliptischer Kurven. Gruppen sind in der Technik wohlbekannt, wie in I. N. Herstein, Topics in Algebra, 2. Auflage, John Wiley & Sons, New York, 1975, beschrieben wird, wie folgt. Eine nicht leere Menge von Elementen G wird als eine Gruppe bildend bezeichnet, wenn in G eine binäre Operation definiert ist, die Produkt genannt und mit bezeichnet wird, so daß
1. aus a,b G folgt, daß a.b G (abgeschlossen).
2. aus a,b,c G folgt, daß a.(b.c) = (a.b).c (Assoziativgesetz).
3. es ein Element e G gibt, so daß a.e = e.a = a für alle a G (Existenz eines Identitätselements in G)
4. es für jedes a G ein Element a&supmin;¹ G gibt, so daß a.a&supmin;¹ = a&supmin;¹.a = e (die Existenz von Inversen von G).
Allgemeiner operiert der Diffie-Hellman-Schlüsselaustausch also in einer spezifischen Gruppe, in der die Geheimschlüssel x und y Indizes zu Elementen der Gruppe sind. Man betrachte also eine Gruppe G mit einem Gruppengenerator g G und G = {g,g.g,g.g.g,g.g.g.g, ...}, wobei . die Gruppenoperation ist. Wenn zum Beispiel die Gruppenoperation . für G Multiplikation ist, dann ist G = {g¹,g²,g³,g&sup4;, ...}. Wenn die Gruppenoperation . für G Addition ist, dann ist G = {1g,2g,3g,4g, ...}. Da die vorliegende Erfindung unter Verwendung verschiedener Gruppen implementiert werden kann, die im folgenden und in den Ansprüchen verwendet werden, bedeutet die Notation gx, daß die Gruppenoperation x-mal an dem Gruppengenerator g angewandt ,wird. Für jede Gruppe gibt es außerdem eine inverse Gruppenoperation, die hier als dargestellt wird. Im folgenden und in den Ansprüchen wird die inverse Gruppenoperation folgendermaßen definiert. Die inverse Gruppenoperation an x und y, d. h. x/y, wird definiert als x.y&supmin;¹.
Ein Protokoll zur gegenseitigen Authentisierung und zum Schlüsselaustausch gemäß einer ersten Ausführungsform der Erfindung ist in Fig. 2 gezeigt. Auf der linken Seite der Figur gezeigte Schritte werden von einem ersten Teilnehmer A durchgeführt, und auf der rechten Seite der Figur gezeigte Schritte von einem zweiten Teilnehmer B. In der Regel ist A eine Client-Maschine und B eine Server-Maschine. Dies ist jedoch nicht notwendig, und A und B werden jeweils nur als Beispiel als Client und Server bezeichnet, um den typischen Fall zu zeigen, obwohl sich versteht, daß die Erfindung nicht auf den Fall beschränkt ist, daß A und B Client und Server sind, sondern stattdessen die Erfindung auf zwei beliebige Teilnehmer A und B anwendbar ist. Pfeile stellen eine Kommunikation zwischen den Teilnehmern dar. Gemäß dem Protokoll authentisiert sich der Server bei dem Client und der Client beim Server. Nachdem sich beide Seiten authentisiert haben, erzeugt jede einen geheimen Sitzungsschlüssel, der für die nachfolgende sichere Kommunikation verwendet werden kann.
Vor der Einleitung des Protokolls wird angenommen, daß der Client und der Server ein Paßwort π besitzen, das der Client zur Authentisierung beim Server verwendet.
Es wird angemerkt, daß das folgende Protokoll sowohl den Server als auch den Client authentisiert. Es wird also nicht angenommen, daß der Server oder der Client authentisch sind, und somit können entweder der Server oder auch der Client ein Widersacher sein. Der Client kann ein Widersacher sein, der versucht, sich selbst zu authentisieren und Zugang zu dem Server zu erhalten. Der Server kann ein Widersacher sein, der versucht, einen anderen authentischen Server zu parodieren, um zu versuchen, heikle Informationen von einem nichtsahnenden Client zu erhalten.
Wie für Fachleute ohne weiteres erkennbar ist, können der - Server und der Client als programmierte Computer implementiert werden, die unter der Steuerung von Computerprogrammcode wirken. Der Computerprogrammcode würde in einem computerlesbaren Medium (z. B. einem Speicher) gespeichert, und der Code würde durch einen Prozessor des Computers ausgeführt. Anhand der vorliegenden Offenlegung der Erfindung könnten Fachleute ohne weiteres geeigneten Computerprogrammcode erstellen, um die hier beschriebenen Protokolle zu implementieren.
Der Client und der Server kommunizieren über ein Datennetz miteinander. Solche vernetzten programmierten Computer sind in der Technik wohlbekannt und werden hier im einzelnen nicht weiter beschrieben.
Wieder mit Bezug auf Fig. 2 wählt im Schritt 202 der Client einen Zufallswert für den Index x aus Zq. Im Schritt 204 berechnet der Client dann einen Parameter m als m = gx.(H&sub1;(A,B,π))r mod p, wobei A die eindeutige Kennung des Clients, B eine eindeutige Kennung des Servers, π das Paßwort des Client für diesen bestimmten Server und H&sub1; eine Zufalls-Hash-Funkaion ist und . die Gruppenoperation darstellt. H&sub1;(A,B,π) wird zur r-ten Potenz erhoben, um sicherzustellen, daß das Ergebnis innerhalb von G{p,q} liegt. Leger ausgedrückt wird eine Funktion H von einer Menge S zu einer Menge T als eine Zufalls-Hash-Funktion bezeichnet, wenn die Ausgabe von H zufällig aussieht oder zumindest unvorhersehbar ist, bis die Funktion mit einer Eingabe x in S berechnet wird. Da H&sub1; etwas ausgeben muß, das in Z*p, zufällig aussieht, sollte es p + sec Bit ausgeben (wobei p die Anzahl von Bit von p und sec der Sicherheitsparameter ist. Der Sicherheitsparameter kann zum Beispiel 160 sein. Bekannte Funktionen, die sich allgemein auf diese Weise verhalten, sind SHA-1, beschrieben in FIPS 180-1, Secure Hash Standard, Federal Information Processing Standards Publication 180-1, 1995; und RIPEMD-160, beschrieben in H. Dobbertin, A. Bosselaers, B. Preneel, RIPEMD-160: a strengthened version of RIPEMD, In Fast Software Encryption, 3rd Intl. Workshop, 71-82, 1996.
Es wird das Tupel (A,B,π) anstelle nur des Paßworts verwendet, um sicherzustellen, daß es für jedes Client- Server-Paar einzigartig ist. Es scheint nur das Paßwort alleine für eine heuristische Sicherheit erforderlich zu sein, wie nachfolgend ausführlicher besprochen wird, scheinen aber die Namen des Clients und des Servers für einen formalen Beweis der Sicherheit notwendig zu sein. Gemäß einem Aspekt der Erfindung wird eine Funktion mindestens des Paßworts also mit dem Diffie-Hellman- Wert gx kombiniert, indem die Gruppenoperation an der Funktion mindestens des Paßworts und dem Diffie- Hellman-Wert gx durchgeführt wird. Dies ist ein wichtiger Schritt des Protokolls, da er sicherstellt, daß der Diffie-Hellman-Wert gx nur von einer Person, die Kenntnis von dem Paßwort hat, aus dem Parameter m extrahiert werden kann. Diese Extraktion des Diffie- Hellman-Werts gx wird nachfolgend ausführlicher in Verbindung mit Schritt 214 beschrieben. Im Schritt 206 sendet der Client den Parameter m zum Server.
Nach dem Empfang des Parameters m prüft der Server im Schritt 208 den Parameterwert, um sicherzustellen, daß der Wert nicht Omod p ist. Wenn der Wert Omod p ist, beendet der Server das Protokoll, da 0 nicht in Z*p liegt. Andernfalls wählt der Server im Schritt 210 einen Zufallswert für den Index y aus Zq. Im Schritt 212 weist der Server dem Diffie-Hellman-Wert gy einen Parameter u zu. Als nächstes berechnet der Server im Schritt 214 das gemeinsame Diffie-Hellman-Geheimnis gxy (das in diesem Protokoll als σ bezeichnet wird) unter Verwendung des empfangenen Parameters m wie folgt:
Dieser Schritt wird nun ausführlicher beschrieben (wobei die Notation mod p der Einfachheit halber ausgelassen wird). Erstens erinnere man sich, daß es, wie oben beschrieben, für jede Gruppenoperation eine inverse Gruppenoperation gibt, so daß die inverse Gruppenoperation an x und y, d.h. x/y, als x.y&supmin;¹ definiert ist. Für Fachleute ist also erkennbar, daß die Berechnung von
im Schritt 214 die inverse Gruppenoperation an m und der Funktion mindestens des Paßworts durchführt. Durch Einsetzen des Werts von m aus Schritt 204 erhält man
Wenn der Server das korrekte Paßwort π besitzt, kann der Server also den Diffie-Hellman-Wert gx aus dem Wert des empfangenen Parameters m extrahieren. Die Berechnung im Schritt 214 führt also dazu, daß der Server das gemeinsame Diffie-Hellman-Geheimnis gxy erzeugt.
Als nächstes berechnet der Server im Schritt 216 k = H2a(A,B,m,u,σ,π), wobei H2a eine weitere Zufalls-Hash- Funktion ist, die sec Bit ausgeben muß, wobei sec der Sicherheitsparameter ist. Der Parameter k wird von dem Client A wie nachfolgend beschrieben benutzt, um zu authentisieren, daß der Server das korrekte Paßwort besitzt. Im Schritt 218 sendet der Server die Parameter u und k zum Client.
Nach dem Empfang der Parameter u und k berechnet der Client σ = ux mod p im Schritt 220. Wegen u = gy ist ux = gxy, das das gemeinsame Diffie-Hellman-Geheimnis ist. Im Schritt 222 berechnet der Client H2a (A,B,m,u,σ,π) unter Verwendung seiner Kenntnis von n und prüft, ob das Ergebnis gleich dem Parameter k ist, der aus dem Server empfangen wird (Schritt 218). Wenn sie übereinstimmen, hat der Client den Server authentisiert. Wenn sie nicht übereinstimmen, beendet der Client das Protokoll, da sich der Server nicht authentisiert hat. Im Schritt 224 berechnet der Client k = H2b(A,B,m,u,σ,π), das von dem Server wie nachfolgend beschrieben zur Authentisierung des Clients verwendet wird. Im Schritt 226 erzeugt der Client den Sitzungsschlüssel K als K = H&sub3;(A,B,m,u,σ,π). Im Schritt 228 sendet der Client k' zum Server. Wiederum sind H2b und H&sub3; Zufalls-Hash- Funktionen, die sec Bit ausgeben müssen, wobei sec der Sicherheitsparameter ist.
Im Schritt 230 berechnet der Server H2b (A,B,m,u,σ,π) unter Verwendung seiner eigenen Kenntnis von π und prüft, ob das Ergebnis gleich dem Parameter k' ist, der aus dem Client empfangen wird (Schritt 228). Wenn sie übereinstimmen, hat der Server den Client authentisiert. Wenn sie nicht übereinstimmen, beendet der Server das Protokoll, da sich der Client nicht authentisiert hat. Im Schritt 232 erzeugt der Server den Sitzungsschlüssel K als K = H&sub3;(A,B,m,u,σ,π).
An diesem Punkt haben sich sowohl der Client als auch der Server einander authentisiert und sowohl der Client als auch der Server haben denselben sicheren Sitzungsschlüssel K erzeugt, der zur nachfolgenden sicheren Kommunikation zwischen dem Client und dem Server verwendet werden kann.
Es wird nun eine zweite Ausführungsform der Erfindung in Verbindung mit Fig. 3 beschrieben. Bei dieser Ausführungsform ist die Authentisierung zwischen den Teilnehmern implizit, d. h. beide Teilnehmer unternehmen keine Schritte, um sich dem anderen Teilnehmer explizit zu authentisieren. Stattdessen versucht jeder Teilnehmer, den Sitzungsschlüssel zu erzeugen, wenn einer der Teilnehmer jedoch nicht das entsprechende Paßwort besitzt, dann ist dieser Teilnehmer nicht in der Lage, den korrekten Sitzungsschlüssel zu erzeugen, und die Kommunikation zwischen den Teilnehmern ist nicht möglich. Nunmehr mit Bezug auf Fig. 3 entsprechen die Schritte 302 bis 310 den Schritten 202 bis 210 von Fig. 2. Im Schritt 312 berechnet der Server den Parameter u als p = gy, (H&sub2;(A,B,π))r mod p, ähnlich dem Schritt 204, der oben in Verbindung mit Fig. 2 beschrieben wurde. Wie oben in Verbindung mit Schritt 204 beschrieben wurde, führt der Schritt 312 effektiv zu einer Kombination einer Funktion mindestens des Paßworts mit dem Diffie- Hellman-Wert gy durch Durchführen der Gruppenoperation an der Funktion mindestens des Paßworts und dem Diffie- Hellman-Wert gy.
Als nächstes extrahiert der Server im Schritt 314 den Diffie-Hellman-Wert gx und berechnet das gemeinsame Diffie-Hellman-Geheimnis gxy, wie oben in Verbindung mit Schritt 214 beschrieben. Im Schritt. 316 berechnet der Server den Sitzungsschlüssel K als K = H&sub3;(A,B,m,u,σ,π). Im Schritt 318 sendet der Server den im Schritt 312 erzeugten Parameter u zum Client.
Nach dem Empfang des Parameters u prüft der Client im Schritt 320 den Wert des Parameters u, um sicherzustellen, daß der Wert nicht Omod p ist. Wenn der Wert Omod p ist, beendet der Client das Protokoll. Andernfalls extrahiert der Client im Schritt 322 unter Verwendung des Werts von u den Diffie-Hellman-Wert gy und berechnet das gemeinsame Diffie-Hellman-Geheimnis gxy, wie oben beschrieben. Im Schritt 324 berechnet der Client den Sitzungsschlüssel K als K = H&sub3;(A,B,m,u,σ,π).
An diesem Punkt haben sowohl der Client als auch der Server den Sitzungsschlüssel K auf der Grundlage ihrer Kenntnis des Paßworts erzeugt. Wenn sowohl der Client als auch der Server das korrekte Paßwort besäßen, dann erzeugen beide denselben Sitzungsschlüssel K, der zur sicheren Kommunikation verwendet werden kann. Wenn jedoch einer der Teilnehmer das korrekte Paßwort nicht besaß, dann hat dieser Teilnehmer nicht den korrekten Sitzungsschlüssel erzeugt und die Kommunikation zwischen den Teilnehmern ist nicht möglich.
Die in Verbindung mit Fig. 2 und 3 beschriebenen Protokolle nahmen an, daß der Server das Paßwort π besaß und speicherte. Ein potentielles Problem bei solchen Protokollen besteht darin, daß es durch eine Sicherheitskompromittierung der Serverspeicherung einem Widersacher möglich werden kann, die. Paßwörter von Clients zu erhalten. Zum Schutz vor einem solchen Ereignis soll nun eine andere Ausführungsform der Erfindung beschrieben werden, bei der der Server nicht das Paßwort π besitzt, sondern stattdessen eine sogenannte Paßwortverifizierung V speichert. Eine Paßwortverifizierung ist hierbei ein Wert, der als Funktion des Paßworts berechnet werden kann, wobei das Paßwort aber aus der Kenntnis der Paßwortverifizierung nicht bestimmt werden kann. Bei den hier beschriebenen Ausführungsformen ist die Paßwortverifizierung V eine Funktion des Paßworts π mit V = gν und ν = H&sub0;(A,B,π) für einen bestimmten Client A und Server B, wobei H&sub0; eine Zufalls-Hash-Funktion ist, die q + sec Bit ausgeben muß. Da der Client πw kennt, kann der Client ν = H&sub0;(A,B,π) und dann aus ν die Verifizierung V = gν berechnen. Der Server kennt nur L und kann ν (den diskreten log von V) nicht berechnen. Das Protokoll gemäß dieser Ausführungsform der Erfindung ist in Fig. 4 gezeigt. Als erstes erzeugt der Client im Schritt 401 die Paßwortverifizierung V wie oben beschrieben. Die Schritte 402 bis 422 erfolgen dann wie oben in Verbindung mit den Schritten 202 bis 222 beschrieben, außer daß in den Schritten 402 bis 422 die Paßwortverifizierung V das Paßwort π ersetzt. Wenn an diesem Punkt die Prüfung im Schritt 422 wahr ist, dann hat der Client authentifiziert, daß der Server die korrekte Paßwortverifizierung V kennt, und der Client muß sich nun selbst dem Server authentifizieren, indem er beweist, daß er das korrekte Paßwort kennt.
Im Schritt 424 wählt der Client einen Zufallswert für den Index c aus Zq. Im Schritt 426 berechnet der Client a = gc und berechnet e = H(A,B,m,u,σ,a,V) im Schritt 428. Als nächstes berechnet der Client im Schritt 430 S = c - eν. Im Schritt 432 sendet der Client S und a zu dem Server. Nach dem Empfang von S und a berechnet der Server im Schritt 434e = H(A,B,m,u,σ,a,V) unter Verwendung seiner Kenntnis von V. Im Schritt 436 berechnet der Server gSVe. Wenn der vom Server im Schritt 436 berechnete Wert mit dem Wert von a übereinstimmt, der im Schritt 432 vom Client empfangen wird, akzeptiert der Server den Client als authentisch. Als letztes berechnen der Client und der Server den Sitzungsschlüssel als K = H&sub3;(A,B,m,u,σ,a,V) in den Schritten 438 bzw. 440.
Intuitiv authentifiziert die Prüfung im Schritt 436 den Client folgendermaßen. Mit Bezug auf die Berechnung des Servers im Schritt 436 von a = gSVe wird die Rechnung im Schritt 436 aufgrund von V = gν zu a = gS(gν)e = gSgeν = gS+eν = gc, da aus Schritt 430 hervorgeht, daß c = s + eν ist. Wenn die Berechnung von a durch den Server mit dem im Schritt 432 vom Client empfangenen a übereinstimmt, weiß der Server also, daß der Client ν kennt, das der Client nur mit der Kenntnis des Paßworts π berechnet haben konnte.
Eine weitere Ausführungsform der Erfindung ist in Fig. 5 gezeigt, in der auch ein Protokoll gezeigt ist, bei dem der Server das Paßwort π nicht besitzt, sondern stattdessen eine Paßwortverifizierung V speichert. Die Schritte 501 bis 514 sind dieselben wie die Schritte 401 bis 414, die oben in Verbindung mit Fig. 4 beschrieben wurden. Im Schritt 516 wählt der Server ein zufälliges c aus Zq und berechnet a folgendermaßen: c , {0,1}k, α = gH'0(A,B,c) mod p, wobei H&sub0;' eine Zufalls-Hash- Funktion ist, die q + sec Bit ausgeben muß. Im Schritt 518 berechnet der Server, k c H2α(A,B,m,u,α,σ,VH'0(A,B,c)mod p,V), wobei das Exklusiv-Oder (XOR) darstellt. Im Schritt 520 sendet der Server u,a,k zum Client. Nach dem Empfang von u,a,k berechnet der Client σ = ux mod p im Schritt 522. An diesem Punkt besitzen sowohl der Client als auch der Server das gemeinsame Geheimnis σ. Im Schritt 524 berechnet der Client c = k® 2α(A,B,m,u,α,σ,αν,V). Im Schritt 526 berechnet der Client gH'0(A,B,c) mod p und prüft, ob der berechnete Wert derselbe wie der Wert von a ist, der im Schritt 520 vom Server empfangen wird. Wenn sie nicht dieselben sind, dann hat sich der Server nicht ordnungsgemäß bei dem Client authentisiert und der Client beendet das Protokoll. Wenn das berechnete a dasselbe wie der Wert von a ist, der im Schritt 520 aus dem Server empfangen wird, dann bestimmt der Client, daß der Server authentisch ist, und fährt mit dem Schritt 528 des Protokolls fort und berechnet k' = H2b(A,B,m,u,σ,a,k,c,V). Im Schritt 530 berechnet der Client den Sitzungsschlüssel K = H&sub3;(A,B,m,u,σ,a,k,c,V). Im Schritt 532 sendet der Client k' zum Server. Im Schritt 534 berechnet der Server H2b(A,B,m,u,σ,a,k,c,V) und bestimmt, ob der berechnete Wert derselbe wie der Wert k' ist, der im Schritt 532 aus dem Client empfangen wird. Wenn sie nicht übereinstimmen, dann hat der Client sich nicht bei dem Server authentisiert und der Server beendet das Protokoll. Wenn das berechnete k' mit dem Wert von k' übereinstimmt, der im Schritt 532 aus dem Client empfangen wird, dann bestimmt der Server, daß der Client authentisch ist und fährt mit dem Schritt 536 des Protokolls fort und berechnet den Sitzungsschlüssel K = H&sub3;(A,B,m,u,σ,c,V).
Intuitiv basiert die Authentifizierung des Clients und des Servers auf der El-Gamal-Verschlüsselung, die hier nur kurz beschrieben wird, aber ausführlicher in T. ElGamal, A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms, IEEE Transactions on Information Theory, IT-31, 4, Seiten 469-472, 1985, beschrieben wird. Im allgemeinen wird eine Nachricht M gemäß der El-Gamal-Verschlüsselung als E(M) = (gr,yrM) verschlüsselt, wobei r ein Zufallswert, y der öffentliche Schlüssel, x der private Schlüssel und y = gx ist. Eine Verschlüsselung (A,B) wird als D(A,B) = B/Ax entschlüsselt. Durch Einsetzen von Werten erhält man
Um eine mit der El-Gamal- Technik verschlüsselte Nachricht zu entschlüsseln, ist also der Geheimschlüssel erforderlich. Bei einer zweiten Version der El-Gamal-Verschlüsselung wird eine Nachricht M als E(M) = (gr,H(yr) M) verschlüsselt, wobei r ein Zufallswert, y der öffentliche Schlüssel, x der private Schlüssel und y = gx ist. Eine Verschlüsselung (A,B) wird gemäß dieser zweiten Technik als D(A,B) = H(Ax) B entschlüsselt. Durch Einsetzen von Werten erhält man H(Ax) H(yr) M = H(yr) H(yr) M = M. Um eine mit der zweiten El-Gamal-Technik verschlüsselte Nachricht zu entschlüsseln, ist also wieder der Geheimschlüssel erforderlich.
Es wird nun eine "selbstzertifizierende El-Gamal- Verschlüsselung" definiert, bei der die zweite Version von El Gamal verwendet wird, aber mit r = H'(M), einem Zufalls-Hash des entschlüsselten Werts, anstelle nur eines rein zufälligen Werts. Wenn dann ein Teilnehmer eine Verschlüsselung (A,B) empfängt und sie entschlüsselt, um M zu erhalten, kann dieser Teilnehmer prüfen, ob A = gH'(M) gilt. Man beachte, daß jedes (A,B) eine Verschlüsselung von etwas definiert, aber die Selbstzertifizierung verifiziert, daß der Verschlüsseler genau weiß, was verschlüsselt wurde, und somit welcher Verschlüsselungsschlüssel verwendet wurde.
Nunmehr mit Bezug auf das in Fig. 5 gezeigte Protokoll werden Fachleute erkennen, daß die Schritte 516 und 518 eine selbstzertifizierende El-Gamal-Verschlüsselung durchführen, wobei die verschlüsselte Nachricht ein Zufallswert c ist, und wobei der öffentliche Schlüssel die Paßwortverifizierung V und der Geheimschlüssel ν ist. Der Verschlüsselungswert wird dem Parameter k zugewiesen. Im Schritt 524 entschlüsselt der Client das verschlüsselte k, das aus dem Server empfangen wird, um c zu extrahieren, und führt dann die Prüfung des Schritts 526 durch. Wenn diese Prüfung wahr ist, dann zertifiziert sie, daß der Server die korrekte Paßwortverifizierung V besitzt. Im Schritt 528 verwendet der Client den berechneten Wert von c zur Erzeugung von k' und sendet k' im Schritt 532 zum Server. Wenn die Prüfung des Servers im Schritt 534 wahr ist, dann zertifiziert dies, daß der Client das korrekte ν besitzt, da der Client nur mit dem Geheimschlüssel ν die Entschlüsselung durchführen und das in die bei der Berechnung von k verwendete Hash-Funktion eingegebene c erhalten kann.
Bei weiteren Ausführungsformen der Erfindung kann das in Fig. 2 gezeigte Protokoll so modifiziert werden, daß der Server nicht das Paßwort π, sondern stattdessen den Wert (H&sub1;(A,B,π))r speichert. Dies erfordert keine zusätzliche Berechnung und hat den Vorteil, daß ein naiver Benutzer, der π mit zwei Servern B&sub1; und B&sub2; benutzt, nicht trivial an B&sub2; anfällig ist, wenn B&sub1; kompromittiert wird.
Die Erfinder haben bewiesen, daß ein Protokoll der gegenseitigen Authentifizierung und des Schlüsselaustauschs gemäß der vorliegenden Erfindung sicher ist. Es folgt ein Abriß der Intuition des Beweises. Intuitiv muß folgendes bewiesen werden:
(1) Zwei Teilnehmer, die sich ein Paßwort teilen und dem Protokoll folgen, authentifizieren sich gegenseitig und resultieren mit einem langen gemeinsamen Geheimnis.
(2) Vorausgesetzt, daß das Diffie-Hellman-Protokoll sicher ist, ist das erfindungsgemäße Protokoll so sicher wie ein "Idealfall-Protokoll" mit einem vertrauenswürdigen Teilnehmer, bei dem zwei ehrliche Teilnehmer einander Verbindungen öffnen können und wobei der vertrauenswürdige Teilnehmer ein langes gemeinsames Geheimnis für sie erzeugt, um die Verbindung zu sichern, wobei jedoch auch ein Widersacher den vertrauenswürdigen Teilnehmer einmal pro offener Verbindung (bevor sie gesichert ist) nach dem gemeinsamen Paßwort fragen kann. (Intuitiv modelliert dies ein zufälliges Raten des Paßworts durch den Widersacher und dessen Versuch, sich selbst zu authentifizieren.)
Teil (1) ist aus dem Protokoll offensichtlich:
Teil (2) ist schwieriger. Es wird gezeigt, daß man das echte Protokoll ohne Kenntnis der Paßwörter simulieren kann, wobei jedoch nur der vertrauenswürdige Teilnehmer im Idealfall verwendet wird, und dergestalt, daß ein Widersacher, der diese Simulation angreift, von einem Widersacher, der das reale Protokoll in der realen Welt angreift, ununterscheidbar ist. (Dies ist eine wohlbekannte kryptographische Beweistechnik, die Technik der "Mehrteilnehmer-Simulierbarkeit", die in D. Beaver, Secure Multiparty Protocols and Zero-Knowledge Proof Systems Tolerating a Faulty Minority, Journal of Cryptology, 4(2), Seiten 75-122, 1991, beschrieben wird).
Technisch nimmt dieses Modell an, daß alle Hash- Funktionen völlig zufällig sind und also immer dann, wenn die Funktionen benutzt werden, der Simulator die Eingaben sehen und die Ausgaben setzen kann (solange diese Ausgaben auf zufällige Weise gesetzt werden).
Das allgemeine Prinzip dieses Simulators besteht darin, einfach die langen gemeinsamen Geheimnisse zwischen zwei ehrlichen Teilnehmern, die miteinander kommunizieren, nachzuahmen und dann zu versuchen, Rateversuche an dem Paßwort (durch Untersuchen der Hash-Funktions- Anfragen des Widersachers) an allen anderen Konversationen zu erkennen, wodurch diese in "Prüfpaßwort"- Anfragen an den vertrauenswürdigen Teilnehmer umgewandelt werden. Der schwierige Teil ist dabei zu zeigen, daß der Widersacher mehr als einen Paßwort-Rateversuch pro offener Verbindung unternehmen kann. Um dies zu zeigen, wird gezeigt, daß, wenn es der Widersacher könnte, das Diffie-Hellman-Problem gelöst werden könnte. (Genauer gesagt könnte man Werte X, Y, Z G mit X = gx und Y = gy (für unbekannte x und y) nehmen und bestimmen, ob Z = gxy gilt.)
Die obige ausführliche Beschreibung soll als in jeder Hinsicht beispielhaft und veranschaulichend, aber nicht einschränkend, aufgefaßt werden und der Schutzumfang der hier offengelegten Erfindung soll nicht aus der ausführlichen Beschreibung, sondern aus den Ansprüchen bestimmt werden, die gemäß der vollen durch die Patentgesetze zugelassenen Breite interpretiert werden. Es versteht sich, daß die hier gezeigten und beschriebenen Ausführungsformen lediglich die Prinzipien der vorliegenden Erfindung veranschaulichen, und daß Fachleute verschiedene Modifikationen implementieren können, ohne vom Schutzumfang der Erfindung abzuweichen. Zum Beispiel werden bei den oben beschriebenen Protokollen bestimmte Parameter bei der Auswertung der Hash- Funktionen verwendet. Es wird angemerkt, daß für heuristische Sicherheit nicht alle Parameter erforderlich sind, aber die zusätzlichen Parameter einen formalen Beweis der Sicherheit der Protokolle erlauben. Zum Beispiel scheint es, daß die Schritte 216, 222, 224, 230, 226 und 232 des in Fig. 2 gezeigten Protokolls, die Schritte 316 und 324 des in Fig. 3 gezeigten Protokolls, die Schritte 416, 422, 438 und 440 des in Fig. 4 gezeigten Protokolls und die Schritte 530 und 536 des in Fig. 5 gezeigten Protokolls nur den Parameter σ in den Hash-Funktionen benötigen, damit das Protokoll heuristisch sicher ist. Die oben gezeigte und beschriebene Verwendung der zusätzlichen Parameter ermöglicht jedoch einen formalen Beweis der Sicherheit der Protokolle. Ähnlich scheint es, daß die Schritte 420 und 434 des in Fig. 4 gezeigten Protokolls nur die Parameter σ und a in den Hash-Funktionen benötigen, damit das Protokoll heuristisch sicher wird. Die oben gezeigte und beschriebene Verwendung der zusätzlichen Parameter ermöglicht jedoch einen formalen Beweis der Sicherheit des Protokolls. Ähnlich scheint es, daß die Schritte 518 und 524 des in Fig. 5 gezeigten Protokolls nur die Parameter σ, a und VH'0(A,B,c) benötigen, damit das Protokoll heuristisch sicher wird. Die oben gezeigte und beschriebene Verwendung zusätzlicher Parameter ermöglicht jedoch einen formalen Beweis der Sicherheit des Protokolls. Schließlich scheint es, daß die Schritte 528 und 534 des in Fig. 5 gezeigten Protokolls nur die Parameter σ und c in den Hash-Funktionen benötigen, damit das Protokoll heuristisch sicher wird. Nochmals erlaubt die oben gezeigte und beschriebene Verwendung der zusätzlichen Parameter jedoch einen formalen Beweis der Sicherheit des Protokolls.

Claims

1. Verfahren zur Kommunikation über ein Datennetz zwischen zwei Teilnehmern, die sich ein Paßwort teilen, unter Verwendung eines Schlüsselaustauschs des Diffie-Hellman-Typs an einer bestimmten Gruppe, um ein gemeinsames Geheimnis gxy zu erzeugen, wobei g der beiden Teilnehmern bekannte Gruppengenerator und x ein dem einen Teilnehmer bekannter Index und y ein dem anderen Teilnehmer bekannter Index ist, wobei die Gruppe eine Gruppenoperation und eine inverse Gruppenoperation aufweist, wobei das Verfahren dadurch gekennzeichnet ist, daß

ein Teilnehmer einen Parameter m durch Durchführen der Gruppenoperation an gx und einer Funktion mindestens des Paßworts erzeugt und m zu dem anderen Teilnehmer sendet, wodurch der andere Teilnehmer die inverse Gruppenoperation an m und der Funktion mindestens des Paßworts durchzuführen in der Lage ist, um gx zu extrahieren und weiterhin das gemeinsame Geheimnis gxy zu berechnen.

2. Verfahren nach Anspruch 1, wobei der eine Teilnehmer ein Client und der andere Teilnehmer ein Server ist.

3. Verfahren nach Anspruch 1, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer empfängt gy von dem anderen Teilnehmer und erzeugt das gemeinsame Geheimnis gxy.

4. Verfahren nach Anspruch 3, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer authentisiert den anderen Teilnehmer durch Vergleichen eines empfangenen Werts mit einer Funktion mindestens einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und des Paßworts.

5. Verfahren nach Anspruch 3, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer sendet eine Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und des Paßworts zu dem anderen Teilnehmer, wodurch der andere Teilnehmer den einen Teilnehmer authentisieren kann.

6. Verfahren nach Anspruch 3, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Sitzungsschlüssel als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und des Paßworts.

7. Verfahren nach Anspruch 1, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer empfängt einen Parameter u von dem anderen Teilnehmer, wobei u von dem anderen Teilnehmer durch Durchführen der Gruppenoperation an gy und einer Funktion mindestens des Paßworts berechnet wurde;

wobei der eine Teilnehmer die inverse Gruppenoperation an u und der Funktion mindestens des Paßworts durchführt, um gy zu extrahieren; und der eine Teilnehmer das gemeinsame Geheimnis gxy berechnet.

8. Verfahren nach Anspruch 7, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Sitzungsschlüssel als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von u, des gemeinsamen Geheimnisses oder/und des Paßworts.

9. Verfahren zur Kommunikation über ein Datennetz zwischen zwei Teilnehmern unter Verwendung eines Schlüsselaustauschs des Diffie-Hellman-Typs an einer bestimmten Gruppe, um ein gemeinsames Geheimnis gxy zu erzeugen, wobei g der beiden Teilnehmern bekannte Gruppengenerator und x ein dem einen Teilnehmer bekannter Index und y ein dem anderen Teilnehmer bekannter Index ist, wobei die Gruppe eine Gruppenoperation und eine inverse Gruppenoperation aufweist, wobei das Verfahren dadurch gekennzeichnet ist, daß

ein Teilnehmer einen Parameter m durch Durchführen der Gruppenoperation an gx und einer Funktion mindestens einer Paßwortverifizierung erzeugt und m zu dem anderen Teilnehmer sendet, wodurch der andere Teilnehmer die inverse Gruppenoperation an m und der Funktion mindestens der Paßwortverifizierung durchführen kann, um gx zu extrahieren und weiterhin das gemeinsame Geheimnis gxy zu berechnen.

10. Verfahren nach Anspruch 9, wobei der eine Teilnehmer ein Client und der andere Teilnehmer ein Server ist.

11. Verfahren nach Anspruch 9, weiterhin mit dem folgenden Schritt:

12. Verfahren nach Anspruch 11, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer authentisiert den anderen Teilnehmer durch Vergleichen eines empfangenen Werts mit einer Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und der Paßwortverifizierung.

13. Verfahren nach Anspruch 12, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer berechnet gc, wobei c ein dem einen Teilnehmer bekannter Index ist;

wobei der eine Teilnehmer einen Parameter e als Funktion mindestens von gc und einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und der Paßwortverifizierung berechnet;

wobei der eine Teilnehmer einen Parameter S als S = c - ev berechnet, wobei v der diskrete Logarithmus der Paßwortverifizierung ist; und

wobei der eine Teilnehmer S und gc zu dem anderen Teilnehmer sendet,

wodurch der andere Teilnehmer den ersten Teilnehmer auf der mindestens teilweisen Basis der Werte S und gc authentisieren kann.

14. Verfahren nach Anspruch 13, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Sitzungsschlüssel als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses, von gc oder/und der Paßwortverifizierung.

15. Verfahren nach Anspruch 11, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer sendet eine Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, gy, des gemeinsamen Geheimnisses, des Zufallswerts oder/und der Paßwortverifizierung zu dem anderen Teilnehmer, wodurch der andere Teilnehmer den einen Teilnehmer authentisieren kann.

16. Verfahren nach Anspruch 11, weiterhin mit den folgenden Schritten:

der eine Teilnehmer authentisiert den anderen Teilnehmer auf der Basis einer selbstzertifizierenden El-Gamal-Verschlüsselung, bei der unter Verwendung der Paßwortverifizierung als der öffentliche Schlüssel und des diskreten Logarithmus der Paßwortverifizierung als der private Schlüssel einen Zufallswert erzeugt wird.

17. Verfahren nach Anspruch 16, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Sitzungsschlüssel als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses, des Zufallswerts oder/und der Paßwortverifizierung.

18. Verfahren zur Kommunikation über ein Datennetz zwischen zwei Teilnehmern, die sich ein Paßwort teilen, unter Verwendung eines Schlüsselaustauschs des Diffie-Hellman-Typs an einer bestimmten Gruppe, um ein gemeinsames Geheimnis gxy zu erzeugen, wobei g der beiden Teilnehmern bekannte Gruppengenerator und y ein dem einen Teilnehmer bekannter Index und x ein dem anderen Teilnehmer bekannter Index ist, wobei die Gruppe eine Gruppenoperation und eine inverse Gruppenoperation aufweist, wobei das Verfahren dadurch gekennzeichnet ist, daß

der eine Teilnehmer einen Parameter m von dem anderen Teilnehmer empfängt, wobei m von dem anderen Teilnehmer durch Durchführen der Gruppenoperation an gx und einer Funktion mindestens des Paßworts berechnet wurde; und

der andere Teilnehmer die inverse Gruppenoperation an m und der Funktion mindestens des Paßworts durchführt, um gx zu extrahieren und weiterhin das gemeinsame Geheimnis gxy zu berechnen.

19. Verfahren nach Anspruch 18, wobei der eine Teilnehmer das Paßwort speichert.

20. Verfahren nach Anspruch 18, wobei der eine Teilnehmer einen Wert speichert, der die Funktion mindestens des Paßworts darstellt, aber der eine Teilnehmer das Paßwort nicht speichert.

21. Verfahren nach Anspruch 18, wobei der eine Teilnehmer ein Server und der andere Teilnehmer ein Client ist.

22. Verfahren nach Anspruch 18, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer sendet eine Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und des Paßworts zu dem anderen Teilnehmer.

23. Verfahren nach Anspruch 18, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer authentisiert den anderen Teilnehmer durch Vergleichen eines empfangenen Werts mit einer Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und des Paßworts.

24. Verfahren nach Anspruch 18, weiterhin mit dem folgenden Schritt:

25. Verfahren nach Anspruch 18, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Parameter u durch Durchführen der Gruppenoperation an gy und einer Funktion mindestens des Paßworts und sendet u zu dem anderen Teilnehmer, wodurch der andere Teilnehmer die inverse Gruppenoperation an u und der Funktion mindestens des Paßworts durchführen kann, um gy zu extrahieren und weiterhin das gemeinsame Geheimnis gxy zu berechnen.

26. Verfahren zur Kommunikation über ein Datennetz zwischen zwei Teilnehmern unter Verwendung eines Schlüsselaustauschs des Diffie-Hellman-Typs an einer bestimmten Gruppe, um ein gemeinsames Geheimnis gxy zu erzeugen, wobei g der beiden Teilnehmern bekannte Gruppengenerator und y ein dem einen Teilnehmer bekannter Index und x ein dem anderen Teilnehmer bekannter Index ist, wobei die Gruppe eine Gruppenoperation und eine inverse Gruppenoperation aufweist, wobei das Verfahren dadurch gekennzeichnet ist, daß

der eine Teilnehmer einen Parameter m von dem anderen Teilnehmer empfängt, wobei m von dem anderen Teilnehmer durch Durchführen der Gruppenoperation an gx und einer Funktion mindestens einer Paßwortverifizierung berechnet wurde; und

der andere Teilnehmer die inverse Gruppenoperation an m und der Funktion mindestens der Paßwortverifizierung durchführt, um gx zu extrahieren und weiterhin das gemeinsame Geheimnis gxy zu berechnen.

27. Verfahren nach Anspruch 26, wobei der eine Teilnehmer ein Server und der andere Teilnehmer ein Client ist.

28. Verfahren nach Anspruch 26, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer sendet eine Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und der Paßwortverifizierung zu dem anderen Teilnehmer.

29. Verfahren nach Anspruch 26, weiterhin mit den folgenden Schritten:

der eine Teilnehmer authentisiert den anderen Teilnehmer auf der mindestens teilweisen Basis der von dem anderen Teilnehmer empfangenen Werte S und gc, wobei

c ein Zufallswert ist;

S = c - ev ist, wobei v der diskrete Logarithmus der Paßwortverifizierung ist; und

e eine Funktion mindestens von gc und einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses oder/und der Paßwortverifizierung ist.

30. Verfahren nach Anspruch 29, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer erzeugt einen Sitzungsschlüssel als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses, gc oder/und der Paßwortverifizierung.

31. Verfahren nach Anspruch 26, weiterhin mit den folgenden Schritten:

der eine Teilnehmer verschlüsselt einen Zufallswert durch Verwendung einer selbstzertifizierenden El-Gamal-Verschlüsselung unter Verwendung der Paßwortverifizierung als der öffentliche Schlüssel und des diskreten Logarithmus der Paßwortverifizierung als der geheime Schlüssel; und

Senden des verschlüsselten Zufallswerts zu dem anderen Teilnehmer.

32. Verfahren nach Anspruch 26, weiterhin mit dem folgenden Schritt:

der eine Teilnehmer authentisiert den anderen Teilnehmer auf der Basis eines empfangenen Werts, der von dem anderen Teilnehmer als Funktion einer Kennung des einen Teilnehmers, einer Kennung des anderen Teilnehmers, von m, von gy, des gemeinsamen Geheimnisses, des Zufallswerts oder/und der Paßwortverifizierung berechnet wurde.

33. Verfahren nach Anspruch 26, weiterhin mit dem folgenden Schritt: