DE602005001637T2

DE602005001637T2 - Verfahren zur Erzeugung eines kryptographischen Synchronisationssignals

Info

Publication number: DE602005001637T2
Application number: DE602005001637T
Authority: DE
Inventors: Sarvar Montville Patel; Marcus Green Brook Wong
Original assignee: Lucent Technologies Inc
Current assignee: Nokia of America Corp
Priority date: 2004-02-26
Filing date: 2005-02-15
Publication date: 2008-06-05
Anticipated expiration: 2025-02-16
Also published as: CN1661954B; KR20060043178A; EP1569379A1; DE602005001637D1; US20050193197A1; KR101150577B1; JP4856380B2; CN1661954A; JP2005244986A; EP1569379B1

Description

ALLGEMEINER STAND DER TECHNIK
Verschlüsselung hat in zahlreichen Gebieten, wie zum Beispiel drahtloser Kommunikation, dem Internet usw., vielfach Anwendung gefunden. Die zu verschlüsselnden Nachrichten, Daten, Sprache usw. werden gewöhnlich als Klartext bezeichnet, und das Ergebnis des Verschlüsselungsprozesses als Chiffretext. Oft wird bei dem Verschlüsselungsprozeß ein Verschlüsselungsalgorithmus an dem Klartext ausgeführt, um den Chiffretext zu erhalten. Bei vielen Verschlüsselungsalgorithmen, wie etwa DES, AES usw. wird ein Schlüssel bei dem Verschlüsselungsprozeß verwendet. Der Verschlüsselungsschlüssel ist eine in dem Verschlüsselungsalgorithmus zur Erzeugung des Chiffretexts verwendete Bitsequenz. Der Verschlüsselungsschlüssel ist sowohl auf der Sende- als auch auf der Empfangsseite der Kommunikation bekannt und wird auf der Empfangsseite zum Entschlüsseln des Chiffretexts zu Klartext benutzt.
Ein Beispiel für Verschlüsselung in der Umgebung der drahtlosen Kommunikation umfaßt das Verschlüsseln von Informationsrahmen, die zwischen einer Basisstation und einer Mobilstation gesendet werden. Wenn dieselben Informationen (d.h. derselbe Klartext) während zwei verschiedenen Rahmen gesendet werden, wird leider derselbe Chiffretext produziert. Folglich sagt man, daß Informationen über den Chiffretext geleckt haben. Dieser Prozeß gestattet auch eine Wiederabspielattacke, bei der ein bösartiger Attackierer zuvor gesendeten Chiffretext sendet. Da der Chiffretext nicht zu bedeutungslosem Text, sondern zu Klartext entschlüsselt wird, kann eine Wiederabspielattacke auf der Empfängerseite der Kommunikation Unheil anrichten.
Um Wiederabspielattacken zu verhindern, wurde eine Verschlüsselungstechnik entwickelt, die ein Cryptosync verwendet. Das Cryptosync ist zum Beispiel ein Zählwert, der nach jeder Benutzung des Cryptosync zur Verschlüsselung inkrementiert wird. Auf diese Weise ändert sich das Cryptosync mit der Zeit. Bei einer typischen Verwendung des Cryptosync wird der Verschlüsselungsalgorithmus auf das Cryptosync so angewandt, als ob das Cryptosync Klartext wäre. Die resultierende Ausgabe wird als Maske bezeichnet. Die Maske wird dann zur Verschlüsselung einer Exklusiv- oder- Verknüpfung mit den Informationen (z.B. Sprache, Daten usw.) unterzogen, um den Chiffretext zu erzeugen. Wie bei Verschlüsselungsschlüsseln ist das Cryptosync sowohl auf der Sende- als auch auf der Empfangsseite bekannt und wird auf der Empfangsseite zum Entschlüsseln des Chiffretexts zu Klartext verwendet.
Es versteht sich, daß sich das Cryptosync bei jeder Benutzung ändert, so daß, auch wenn zum Beispiel die Informationen über verschiedene Rahmen einer Kommunikationssitzung hinweg gleich bleiben, sich der resultierende Chiffretext ändert. Zum Beispiel ist aus der Schrift US2003/206538 ein Verfahren bekannt, bei dem auf der Basis eines Werts eines zweiten Cryptosync ein Wert eines ersten Cryptosync abgeleitet wird, wobei das zweite Cryptosync eine größere Lebensdauer als das erste Cryptosync aufweist.
KURZFASSUNG DER ERFINDUNG
Die vorliegende Erfindung liefert ein Verfahren zum Erzeugen eines Cryptosync zum Beispiel zur Verwendung in einer Kommunikationssitzung zwischen zwei Kommunikationseinrichtungen.
Wenn ein Cryptosync die Synchronisation verliert, verloren geht usw. kann das Cryptosync zurückgesetzt werden. Die Neusynchronisierung eines Cryptosync, indem das Cryptosync jedesmal auf einen selben Wert gesetzt wird, macht jedoch den Zweck der Verwendung eines Cryptosync zunichte. Wenn zum Beispiel für jede neue Kommunikationssitzung das Cryptosync auf denselben Wert zurückgesetzt wird oder auf einen Wert, der zuvor benutzt wurde, während der Verschlüsselungsschlüssel unverändert bleibt und dieselben Informationen am Anfang jeder Kommunikationssitzung gesendet werden, kann derselbe Chiffretext erzeugt werden.
Bei einer Ausführungsform der vorliegenden Erfindung wird ein Cryptosync zur Verwendung zum Beispiel in einer Kommunikationssitzung aus einem zweiten Cryptosync abgeleitet. Das zweite Cryptosync ändert sich zwischen den Kommunikationssitzungen, so daß sich das abgeleitete Cryptosync für jede Kommunikationssitzung ändert.
Bei einer beispielhaften Ausführungsform wird das Cryptosync als mindestens ein Teil des zweiten Cryptosync abgeleitet. Zum Beispiel kann das Cryptosync als mindestens ein Teil des zweiten Cryptosync und einer festen Bitsequenz abgeleitet werden.
Bei einer weiteren beispielhaften Ausführungsform wird eine Pseudozufallsfunktion an dem zweiten Cryptosync ausgeführt und das abgeleitete Cryptosync wird aus der Ausgabe der Pseudozufallsfunktion abgeleitet.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Die vorliegende Erfindung wird aus der nachfolgend angegebenen ausführlichen Beschreibung und den beigefügten Zeichnungen, in denen gleiche Elemente durch gleiche Bezugszahlen repräsentiert werden, die lediglich als Veranschaulichung und nicht als Einschränkung der vorliegenden Erfindung angegeben werden, besser verständlich. Es zeigt:
1 die Bildung eines kurzlebigen Cryptosync aus einem langlebigen Cryptosync gemäß einer Ausführungsform der vorliegenden Erfindung.
AUSFÜHRLICHE BESCHREIBUNG DER AUSFÜHRUNGSFORMEN
Des leichteren Verständnisses und der Einfachheit der Beschreibung halber werden die Ausführungsformen der vorliegenden Erfindung im Kontext der drahtlosen Kommunikation zum Beispiel gemäß der Familie der Standards CDMA2000 beschrieben. Es versteht sich jedoch, daß die beschriebenen Methodologien nicht auf diesen Kommunikationsstandard oder auf drahtlose Kommunikation beschränkt sind.
Bei der drahtlosen Kommunikation kommunizieren Mobilstationen per Funk mit Basisstationen. Eine Mobilstation kann ein Mobiltelefon, ein drahtloser Computer usw. sein. Die Basisstation versorgt ein geographisches Gebiet; nämlich die Kommunikation zu und von Mobilstationen in dem geographischen Gebiet. Diese Kommunikation wird häufig verschlüsselt. Zum Beispiel gibt es bei CDMA2000 mehrere langlebige Schlüssel, wie zum Beispiel einen Chiffreschlüssel (CK) und einen Integritätsschlüssel (IK), die mit einer Mobilstation assoziiert sind, die bei den Verschlüsselungsprozessen bzw. den Nachrichtenübermittlungs-Integritätsschutzprozessen verwendet werden. CDMA2000 sieht außerdem relativ ausgedrückt ein langlebiges Cryptosync vor (z.B. TX EXT SSEQ und RX EXT SSEQ bei CDMA2000). Das langlebige Cryptosync (LLCS) dient zum Verschlüsseln und Entschlüsseln von Nachrichten (z.B. Signalisierungsnachrichten) zwischen der Basisstation und der Mobilstation, zum Verifizieren der Nachrichtenintegrität oder beides. Nach jeder Benutzung wird das LLCS auf die gewöhnliche Weise inkrementiert, so daß der unter Verwendung des LLCS erzeugte Chiffretext gegenüber Wiederabspielattacken beständig ist. Zu Anfang, bei Bedarf oder Anforderung kann das LLCS unter Verwendung eines beliebigen wohlbekannten Authentifikationsprotokolls, wie zum Beispiel in CDMA2000 dargelegt, abgeleitet werden.
Neben der gewöhnlichen Sprachkommunikation sehen CDMA2000 und andere Standards außerdem Datenkommunikation vor (z.B. Internet-Surfen, Email-Downloads usw.). Der Kommunikationskanal zum Übermitteln von Informationen (z.B. Sprache, Daten usw.) zwischen der Basisstation und der Mobilstation wird häufig als die Funkstrecke bezeichnet, und ein Protokoll für die Datenkommunikation wird zum Beispiel als das Funkstreckenprotokoll (RLP) bezeichnet. Um eine RLP-Kommunikation herzustellen, wird auf wohlbekannte Weise, zum Beispiel durch Nachrichtenintegrität unter Verwendung des LLCS ein Kommunikationskanal zwischen der Mobilstation und der Basisstation hergestellt. Wenn die RLP-Kommunikation endet, wird der Kommunikationskanal abgebaut. Die Zeit, für die der Kommunikationskanal zur Übermittlung von Informationen (z.B. Sprache, Daten usw.) existiert hat, wird im allgemeinen als die Kommunikationssitzung bezeichnet.
Während einer Kommunikationssitzung können mehrere durch das RLP definierte Rahmen übermittelt werden. Gemäß der vorliegenden Erfindung wird jeder Rahmen verschlüsselt, wobei ein hier sogenanntes kurzlebiges Cryptosync (SLCS) verwendet wird. Das SLCS ist im Vergleich zu dem LLCS insofern kurzlebig, als die Lebensdauer des SLCS auf die Dauer der Kommunikationssitzung beschränkt ist. Wie später ausführlich erläutert werden wird, wird nämlich ein Wert für das SLCS für die nächste Kommunikationssitzung neu abgeleitet.
Im Gegensatz dazu ist die Lebensdauer des LLCS nicht auf eine einzige RLP-Sitzung beschränkt. Zum Beispiel ist bei CDMA2000 die natürliche Lebensdauer des LLCS mit der Dauer des Chiffreschlüssels (CK) und eines Integritätsschlüssels (IK) verknüpft. Zum Beispiel führen verschiedene Arten von Registration (z.B. Registration in einem neuen Besucherregister VLR) zu einem neuen CK und einem neuen IK. Folglich beendet dies die Lebensdauer des vorherigen CK und IK und damit die Lebensdauer des mit diesen Schlüsseln assoziierten LLCS. Zusätzlich können Ereignisse wie etwa das Herunterfahren der Mobilstation und das Verlieren des LLCS die Lebensdauer des LLCS beenden. Die Lebensdauer des LLCS erstreckt sich jedoch im allgemeinen über mehrere Kommunikationssitzungen. Anders ausgedrückt, dauert das LLCS im Gebrauch während und nach dem Ablauf eines SLCS fort. Wie nachfolgend ersichtlich werden wird, nutzen die Methodologien der vorliegenden Erfindung diesen Unterschied zwischen dem SLCS und dem LLCS aus.
Das LLCS ändert sich zwischen Kommunikationssitzungen teilweise, weil die zum Einleiten einer Kommunikationssitzung unter Verwenduung des LLCS verwendete Nachricht integritätsgeschützt ist. Folglich wird der Wert des LLCS nach jeder Benutzung imkrementiert, und mindestens auf diese Weise besitzt das LLCS für jede Kommunikationssitzung einen verschiedenen Wert. Es versteht sich, daß als Folge weiterer Benutzungen des LLCS weitere Inkrementierung des LLCS zwischen Kommunikationssitzungen auftreten kann. Da, wie nachfolgend ausführlich beschrieben wird, das SLCS aus dem LLCS abgeleitet wird, weisen die für verschiedene Kommunikationssitzungen abgeleiteten SLCS verschiedene Werte auf; dies hilft somit bei der Verhinderung einer Wiederabspielattacke.
Gemäß einer Ausführungsform der vorliegenden Erfindung wird das SLCS unter Verwendung eines Teils oder der Gesamtheit des LLCS abgeleitet. 1 zeigt ein Beispiel für ein SLCS gemäß dieser Ausführungsform. In dem in 1 gezeigten Beispiel wird angenommen, daß das SLCS eine größere Länge als das LLCS aufweist. Genauer gesagt nimmt das Beispiel von 1 den Fall eines 64-Bit-SLCS und eines 32-Bit-LLCS an. Wie gezeigt, sind die höchstwertigen 32 Bit des SLCS die 32 Bit des LLCS. Die übrigen niedrigstwertigen 32 Bit des SLCS sind ein fester Bitstrom. Im Fall von 1 ist der feste Bitstrom eine Kette von nur 0en.
Es ist erkennbar, daß der feste Bitstrom nicht nur 0en oder nur 1en sein muß. Anstelle der Verwendung der Gesamtheit des LLCS zur Bildung eines Teils des SLCS kann weiterhin auch nur ein Teil des LLCS verwendet werden; es versteht sich jedoch, daß dies möglicherweise nicht den höchsten Grad an Schutz vor einer Wiederholung des SLCS bietet.
Gemäß einer weiteren Ausführungsform der vorliegenden Erfindung kann jede beliebige wohlbekannte Pseudozufallsfunktion auf das LLCS angewandt werden. Mit dem Ergebnis wird dann das SLCS erzeugt. Zum Beispiel kann die resultierende Pseudozufallszahl auf dieselbe Weise wie das LLCS in der zuvor beschriebenen Ausführungsform zur Erzeugung des SLCS verwendet werden. Als Alternative kann die resultierende Pseudozufallszahl als das SLCS benutzt werden.
Es versteht sich, daß es ferner zahlreiche Varianten für das Ableiten des SLCS aus dem LLCS gibt.
Da dasselbe LLCS sowohl in der Mobilstation als auch in der Basisstation bekannt ist, wird dasselbe SLCS für die Kommunikationssitzung zwischen ihnen abgeleitet. Das abgeleitete SLCS wird dann auf die herkömmliche Weise zum Verschlüsseln eines Informationsrahmens auf der Sendeseite (Basisstation oder Mobilstation) und zum Entschlüsseln des Informationsrahmens auf der Empfangsseite (Mobilstation oder Basisstation) verwendet. Nach jeder Verschlüsselung und Entschlüsselung wird der Wert des SLCS inkrementiert und zur Verschlüsselung und Entschlüsselung des nächsten Rahmens verwendet. Wenn die Kommunikationssitzung endet, endet auch die Lebensdauer des SLCS. Für die nächste Kommunikationssitzung wird das SLCS, wie ausführlich oben beschrieben wurde, neu abgeleitet.

Claims

Verfahren zum Erzeugen eines Cryptosync für eine Kommunikationssitzung zwischen zwei Kommunikationseinrichtungen, mit dem folgenden Schritt: Ableiten eines Werts eines ersten Cryptosync für die Kommunikationssitzung auf der Basis eines Werts eines zweiten Cryptosync (LLCS), dadurch gekennzeichnet, daß das erste Cryptosync eine auf die Kommunikationssitzung beschränkte Lebensdauer aufweist und daß das zweite Cryptosync eine sich über mehrere Kommunikationssitzungen erstreckende Lebensdauer aufweist.
Verfahren nach Anspruch 1, wobei das zweite Cryptosync zur Nachrichtenverschlüsselung durch mindestens eine der zwei Einrichtungen verwendet wird.
Verfahren nach Anspruch 1, wobei das zweite Cryptosync zur Verifikation der Nachrichtenintegrität durch mindestens eine der zwei Einrichtungen verwendet wird.
Verfahren nach Anspruch 1, wobei sich der Wert des zweiten Cryptosync zwischen Kommunikationssitzungen ändert.
Verfahren nach Anspruch 1, wobei der Schritt des Ableitens den Wert des ersten Cryptosync als mindestens einen Teil des Werts des zweiten Cryptosync ableitet.
Verfahren nach Anspruch 5, wobei der Schritt des Ableitens einen ersten Teil des Werts des ersten Cryptosync als den Wert des zweiten Cryptosync ableitet und einen zweiten Teil des Werts des ersten Cryptosync als eine feste Bitsequenz ableitet.
Verfahren nach Anspruch 6, wobei die feste Bitsequenz eine Kette von 0en ist.
Verfahren nach Anspruch 1, wobei der Schritt des Ableitens folgendes umfaßt: Ausführen einer Pseudozufallsfunktion an dem Wert des zweiten Cryptosync; und Erzeugen des Werts des ersten Cryptosync aus der Ausgabe der Pseudozufallsfunktion.
Verfahren nach Anspruch 8, wobei der Schritt des Erzeugens den Wert des ersten Cryptosync als die Ausgabe der Pseudozufallsfunktion erzeugt.
Verfahren nach Anspruch 1, ferner umfassend: Verschlüsseln oder Entschlüsseln eines Informationsrahmens unter Verwendung des ersten Cryptosync.