-
Die
vorliegende Erfindung bezieht sich auf ein Verfahren und ein Gerät zum Implementieren
des "Advanced Encryption
Standard" (AES)
Algorithmus und insbesondere auf ein Verfahren und ein Gerät zum Durchführen des
Matrixmultiplikationsvorgangs, der die AES MixColumn-Transformation
in jeder Verschlüsselungs-
und Entschlüsselungsrunde
des Algorithmus bildet.
-
Die
vorliegende Erfindung wird insbesondere aber nicht ausschließlich in
kryptographischen Anordnungen, wie denjenigen, die in Chipkarten
und anderen Anordnungen installiert sind, wobei Prozessoren und Speichermittel
etwas begrenzt sind und viele Vorgänge des kryptographischen Algorithmus
in spezieller ASIC- oder FPGA-Hardware durchgeführt werden.
-
Der
AES Algorithmus wird in einem weiten Bereich der Verschlüsselung
von Daten, die auf sichere Art und Weise übertragen werden sollen, angewandt.
Eine Anwendung ist in der Übertragung
persönlicher und/oder
finanzieller Information von einer Chipkarte zu einem Kartenleser.
Vertrauliche Daten, die in der Karte gespeichert sind, sollen nicht
von der Karte wieder erfasst werden können, ausgenommen in verschlüsselter Form
um zu gewährleisten,
dass die auf diese Weise wieder erfassten Daten nicht von unbefugten
Dritten abgefangen und ausgelesen werden können. Nur der befugte Leser
soll imstande sein, die von der Karte erfassten Daten zu entschlüsseln.
-
Auf
gleiche Weise müssen
Daten, die von dem Kartenleser in der Karte gespeichert werden sollen,
in verschlüsselter
Form der Karte zugeführt
werden und zur Speicherung und nachfolgenden Wiedererfassung entschlüsselt werden.
-
Während der
AES Algorithmus relativ eindeutig ist um in einem herkömmlichen
Computersystem implementiert zu werden, wobei ein bekannter Prozessor
und bekannte Speicherschaltungen verwendet werden, sind in einer
Chipkartenapplikation der Prozessor und die Speichermittel sehr
begrenzt und viele Funktionen müssen
in spezieller Hardware, wie ASICs oder FPGAs durchgeführt werden.
-
Ein
Beispiel einer herkömmlichen
Hardwareimplementierung des AES Algorithmus lässt sich finden in: "High Performance
Single-Chip FPGA Rijndael Algorithm Implementations", Maire McLoone und
J.V. McCanny, "Cryptographic
Hardware And Embedded Systems" 3rd
International Workshop, Ches 2001, Paris, Frankreich, den 14.–16. Mai
2001 "Proceedings,
Lecture Notes in Computer Science", Berlin: Springer, De (14-05-2001), 2162, 65–76.
-
Deswegen
gibt es eine Anforderung für
Hardwareimplementierungen der in dem AES Algorithmus erforderlichen
Prozeduren, wobei diese Implementierungen die minimale Verwendung
von Hardwaremitteln erfordern.
-
Es
ist nun u. a. eine Aufgabe der vorliegenden Erfindung, eine geeignete
Schaltungsanordnung zum Effektuieren der MixColumn Transformation
zu schaffen, eingesetzt in dem Standard AES (Rijndael) kryptographischen
Algorithmus, und zwar zur Verschlüsselung als auch zur Entschlüsselung.
-
Nach
einem Aspekt schafft die vorliegende Erfindung eine logische Schaltung
zum Multiplizieren einer (m × n)
Matrix mit einer (1 × n)
oder mit einer (m × 1)
Matrix, wobei m eine Anzahl Reihen und n eine Anzahl Spalten ist,
und wobei jede nachfolgende Reihe m mit n Elementen eine vorbestimmte
Reihenpermutation einer vorhergehenden Reihe ist, wobei die Schaltungsanordnung
Folgendes umfasst:
- – n Multiplikationsschaltungen,
die je einen Eingang und einen Ausgang haben, der den Wert des genannten
Eingangs multipliziert mit einem vorbestimmten Multiplikanden zurückführt;
- – n
logische Schaltungen, je zum Durchführen einer vorbestimmten logischen
Kombination eines ersten Eingangs und eines zweiten Eingangs zum
Liefern eines logischen Ausgangs, wobei der erste Eingang mit dem
Ausgang einer entsprechenden Schaltungsanordnung der n Multiplikationsschaltungen
gekoppelt ist;
- – n
Register zum Empfangen des genannten logischen Ausgangs,
- – Rückkopplungslogik
zum Trassieren des Inhalts jedes Registers zu einem selektierten
Eingang der zweiten Eingänge
entsprechend einem Rückkopplungsplan,
der mit der vorbestimmten Reihenpermutation übereinstimmt; und
- – Steuermittel
zum aufeinander folgenden Liefern jedes Elementes in der (1 × n) oder
(m × 1)
Matrix als Eingang zu jeder der n Multiplikationsschaltungen.
-
Ausführungsbeispiele
der Erfindung sind in der Zeichnung dargestellt und werden im Folgenden
näher beschrieben.
Es zeigen:
-
1 ein
Flussdiagramm, das die Implementierung eines Verschlüsselungsvorgangs
unter Verwendung des AES Blockverschlüsselungsalgorithmus illustriert,
-
2 eine
schematische Darstellung eines funktionellen logischen Blocks zum
Durchführen
der MixColumns Transformation.
-
Der
AES Algorithmus zur Verschlüsselung
von Klartext in Geheimtext ist in 1 dargestellt.
Der AES Algorithmus kann unter Verwendung eines 128-Bit, eines 192-Bit oder eines 256-Bit
Schlüssels
an aufeinander folgenden 128-Bit Blöcken der Eingangsdaten implementiert
werden. Die vorliegende Erfindung ist auf all diese Implementierungen
anwendbar. 1 wird nun im Kontext der Basisimplementierung
unter Verwendung eines 128-Bit Schlüssels näher beschrieben.
-
Ein
128-Bit Anfangsblock des Eingangsklartextes 10 wird mit
einem ursprünglichen
128-Bit Schlüssel 12 in
einem Anfangsrunde 15 XOR-kombiniert 11. Der Ausgang 13 von
dieser Anfangsrunde 15 wird danach über eine Anzahl wiederholter
Transformationsstufen, in einer Verschlüsselungsrunde 28,
welche die SubBytes Transformation 20, die ShiftRows Transformation 21 und
die MixColumns Transformation 22 entsprechend dem definierten
AES Algorithmus umfasst, weitergeleitet.
-
Der
Ausgang von der MixColumns Transformation 22 wird mit einem
neuen 128-Bit Rundenschlüssel 26 XOR-kombiniert 23,
wobei dieser Schlüssel
von dem (ursprünglichen)
Anfangsschlüssel 12 hergeleitet
ist. Der Ausgang von dieser XOR-Kombination 23 wird eine
weitere Anzahl Male über
die Verschlüsselungsrunde 28 zurückgekoppelt,
wobei diese Anzahl von der speziellen Implementierung des Algorithmus
abhängig
ist.
-
Für jede nachfolgende
Wiederholung über
die Verschlüsselungsrunde 28 wird
entsprechend dem AES Rundenschlüsselplan
ein neuer Rundenschlüssel 26' von dem bestehenden
Rundenschlüssel 26 hergeleitet.
-
Die
Anzahl Wiederholungen (Nr – 1)
der Verschlüsselungsrunde 28 ist
neun, wenn ein 128-Bit Verschlüsselungsschlüssel verwendet
wird, elf, wenn ein 192-Bit Verschlüsselungsschlüssel verwendet
wird, und dreizehn, wenn ein 256-Bit Verschlüsselungsschlüssel verwendet
wird.
-
Nach
der erforderlichen Anzahl (Nr – 1)
Verschlüsselungsrunden 28 wird
eine Endrunde, Nr, unter Ansteuerung des Entscheidungsblocks 24 eingeführt. Die
Endrunde 30 umfasst eine weitere SubBytes Transformation 31,
eine weitere Verschiebungsreihentransformation 32 und eine
nachfolgende XOR-Kombination 33 des Ergebnisses mit einem
Endrundenschlüssel 36,
erzeugt 35 aus dem vorhergehenden Rundenschlüssel. Der
Ausgang dabei umfasst den Geheimtextausgang 39 und den
Verschlüsselungsalgorithmus.
-
Die
vorliegende Erfindung bezieht sich insbesondere auf die Durchführung der
MixColumns Transformation 22. Durch die Runden 28, 30 werden
die verarbeiteten 128-Bit Blöcke
auf herkömmliche
Weise als 16 8-Bit Blöcke
in einer 4×4
Matrix als Srow, column dargestellt, und
zwar entsprechend dem nachfolgenden Muster:
-
-
In
der MixColumns Transformation 22 werden die Spalten dieses
Zustandes als Polynome über
GF(28) betrachtet und modulo (x4 +
1) mit einem vorbestimmten festen Polynom a(x) multipliziert, gegeben
durch: a(x) = a3x3 +
a2x2 + a1x + a0, wobei
dargestellt als Hexadezimalwerte:
a3 =
03 h
a2 = 01 h
a1 =
01 h
a0 = 02 h.
-
Das
Polynom ist koprim zu x4 + 1 und ist deswegen
invertierbar.
-
Zur
Verschlüsselung
kann die MixColumns Transformation deswegen wie folgt ausgedrückt werden:
sr,c → s'r,c,
für jede
der Spalten in s.
-
-
Die
Bewertung dieses Matrixmultiplikation ist: s'0,c= {02}·s0,c⊕{03}·s1,c⊕s2,c⊕s3,c s'1,c = s0,c⊕{02}·s1,c⊕{03}·s2,c⊌s3,c s'2,c =
s0,c⊕s1,c⊕{02}·s2,c⊕{03}s3,c s'3,c= {03}·s0,c⊕s1,c⊕s2,c⊕{02}·s3,c
-
Während der
Entschlüsselung
ist das Umgekehrte dieses Vorgangs erforderlich. Dies wird durch
die nachfolgende Matrixmultiplikation gegeben:
-
-
Die
Bewertung dieser Matrixmultiplikation ist: s'0,c= {0E}·s0,c⊕{0B}·s1,c⊕{0D}·s2,c⊕{09}·s3,c s'1,c= {09}·s0,c⊕{0E}·s1,c⊕{0B}·s2,c⊕{0D}·s3,c s'2,c= {0D}·s0,c⊕{09}·s1,c⊕{0E}·s2,c⊕{0B}·s3,c s'3,c= {0B}·s0,c⊕{0D}·s1,c⊕{09}·s2,c⊕{0E}·s3,c
-
Es
sei bemerkt, dass die MixColumns Transformationsmatrix die spezielle
Eigenschaft hat, dass jede nachfolgende Reihe eine verschobene oder
gedrehte Version der vorhergehenden Reihe ist. Im Allgemeinen erscheint
jedes Element in einer Reihe in jeder Reihe, aber an einer anderen
Stelle in der Reihe, und insbesondere bildet für die MixColumns Transformationsmatrix
die andere Stelle jedes Elementes für jede Reihe eine einzige Stelle
nach rechts verschoben oder gedreht.
-
Nach
der vorliegenden Erfindung wurde erkannt, dass diese Eigenschaft
es ermöglicht,
dass die Multiplikation jeder Spalte des Zustandes s mit wesentlich
reduzierter Hardware erzielt werden kann.
-
2 zeigt
ein Ausführungsbeispiel
von Hardwarelogik 50, vorgesehen für die Multiplikation einer
m × n
Matrix mit einer 1 × n
Matrix, wobei die Beziehung zwischen jeder nachfolgenden Reihe von
n Elementen der m × n
Matrix eine vorbestimmte Reihenverschiebung ist. Für die AES
MixColumns Transformation, m = 4, n = 4 und die vorbestimmte Beziehung
ist eine einzige Verschiebung nach rechts.
-
Die
logische Schaltung 50 umfasst vier 8-Bit Multiplikationsschaltungen 60...63,
vier 8-Bit XOR-Gatter 70...73 und vier Rückkopplungs/Ausgangsregister 80...83,
dargestellt als MixVol0 ... MixCol3. Jede Multiplikationsschaltung 70...73 ist
vorgesehen zum Multiplizieren eines Eingangs mit einem der Matrixkoeffizienten
c0, c1, c2, c3. Jede der XOR-Gatter 70...73 kann
unter Verwendung einer geeigneten Kombination logischer Elemente,
erforderlich zum Durchführen
der betreffenden logischen Kombination zweier Eingänge, wie
nachstehend beschrieben, implementiert werden.
-
Für Verschlüsselungsrunden
sind die Werte von c0...c3 bzw.
a0...a3 wie oben
definiert. Für
Entschlüsselungsrunden
sind die Werte von c0...c3 bzw.
b0...b3 wie oben
definiert. Der Ausgang jeder Multiplikationsschaltung 60...63 ist
mit einem ersten Eingang eines entsprechenden XOR-Gatters 70...73 gekoppelt.
Der Ausgang jedes XOR-Gatters 70...73 ist
mit einem entsprechenden MixCol Register 80...83 gekoppelt.
Der Ausgang jedes MixCol Registers 80...83 ist
mit dem zweiten Eingang eines der XOR-Gatter 70...73 gekoppelt, und
zwar entsprechend einem Rückkopplungsplan 90...93,
der der Reihenverschiebungsfunktion entspricht, welche die Beziehung
zwischen aufeinander folgenden Reihen der Matrix definiert. In dem
vorliegenden Fall implementiert der Rückkopplungsplan 90...93 die
rechte Reihenverschiebungsfunktion zwischen aufeinander folgenden
Reihen der Matrices ar,c (Verschlüsselung)
und br,c (Entschlüsselung) – im Allgemeinen der Matrix cr,c.
-
Im
Betrieb der Schaltungsanordnung 50 werden s0c,
s1c, s2c, s3c sequentiell der Multiplizierlogik 60...63 in
aufeinander folgenden Zyklen angeboten. Am Anfang jeder Spaltenmultiplikation
werden die Register Mixcol0 bis MixCol3 auf Null voreingestellt.
-
Nach
dem ersten Zyklus
MixCol0 = c0.s0c
MixCol1 = c1.s0c
MixCol2 = c2.s0c
MixCol3 = c3.s0c
-
Nach
dem zweiten Zyklus:
MixCol0 = c0.s1c⊕c1.s0c
MixCol1 = c1.s1c⊕c2.s0c
MixCol2 = c2.s1c⊕c3.s0c MixCol3 = c3.s1c⊕c0.s0c
-
Nach
dem dritten Zyklus
MixCol0 = c0.s2c⊕c1.s1c⊕c2.s0c
MixCol1 = c1.s2c⊕c2.s1c⊕c3.s0c
MixCol2 = c2.s2c⊕c3.s1c⊕c0.s0c
MixCol3 = c3.s2c⊕c0.s1c⊕c1.s0c
-
Nach
dem vierten Zyklus:
MixCol0 = c0.s3c⊕c1.s2c⊕c2.s1c⊕c3.s0c
MixCol1 = c1.s3c⊕c2.s2c⊕c3.s1c⊕c0.s0c
MixCol2 = c2.s3 c⊕c3.s2c⊕c0.s1c⊕c1.s0c
MixCol3 = c3.s3c⊕c0.s2c⊕c1.s1c⊕c2.s0c
-
Eine
Neugliederung dieser Ausgänge,
entsprechend dem Rückkopplungsplan 90...93 ergibt
die nachfolgenden Ausgänge:
MixCol1 = s'0,c
MixCol2 =
s'1,c
MixCol3 = S'2,c
MixColo = s'0,c
was
das erforderliche Ergebnis ist.
-
Es
sei bemerkt, dass, allgemein gesprochen, die Anzahl Reihen, m, in
der Matrix die Anzahl erforderlicher Zyklen bestimmt, während die
Anzahl Spalten, n, die Anzahl erforderlichen logischer Gruppen (Multiplizierer 60...63,
XOR-Gatter 70...73 und Register 80...83)
bestimmt.
-
Die
Multiplizierlogik 60...63 kann unter Verwendung
jeder beliebigen logischen Schaltung implementiert werden. In einer
bevorzugten Ausführungsform
ist die logische Schaltung zur Verschlüsselung sowie zur Entschlüsselung
vorgesehen, wobei bestimmte logische Schaltungen entsprechend dem
nachfolgenden Plan kombiniert werden.
-
Für c0 × s0,c, da der Ausgang von der betreffenden
Multiplizierschaltung 60...63 als ecycle,bit definiert
ist, und d = 0 für
Verschlüsselung
und d = 1 für
Entschlüsselung ist:
e07 = s6 XNOR NAND(d, s45)
e06 = s5 XNOR NAND
(d, s347)
e05 =
s4 XNOR NAND (d, s236)
e04 = s37 XNOR NAND
(d, s125)
e03 =
s27 XNOR NAND (d, s0157)
e02 = s17 XNOR NAND
(d, s0567)
e01 =
s0 XNOR NAND (d, s67)
e01 = s7 XNOR NAND
(d, s56)
-
Auf
gleiche Weise, für
c1 × s1,c:
e17 = s7 XNOR NAND (d, s4)
e17 = s6 XNOR NAND
(d, s37)
e15 =
s5 XNOR NAND (d, s267)
e14 = s4 XNOR NAND
(d, s1567)
e13 =
s3 XNOR NAND (d, s056)
e12 = s2 XNOR NAND
(d, s57)
e11 =
s1 XNOR NAND (d, s6)
e10 = so XNOR NAND (d, s5)
-
Auf
gleiche Weise, für
c2 × s2,c:
e27 = s7 XNOR NAND (d, s45)
e26 = s6 XNOR NAND
(d, s347)
e25 =
s5 XNOR NAND (d, S236)
e24 = s4 XNOR NAND
(d, s125)
e23 =
s3 XNOR NAND (d, s015)
e22 = s2 XNOR NAND
(d, s0567)
e21 =
s1 XNOR NAND (d, s67)
e20 = s0 XNOR NAND
(d, s56)
-
Auf
gleiche Weise, für
c3 × S3,c:
e37 = s67 XNOR NAND (d, s4)
e36 = s56 XNOR NAND
(d, s37)
e35 =
s45 XNOR NAND (d, s267)
e34 = s347 XNOR NAND
(d, s1567)
e33 =
s23 XOR s7 XNOR
NAND (d, s056)
e32 =
s12 XOR s7 XNOR
NAND (d, s57)
e31 =
s01 XNOR NAND (d, s6)
e30 = s07 XNOR NAND
(d, s5)
wobei :
a57 =
a5 XOR a7
a07 = a0 XOR a7
a34 = a3 XOR a4
a567 = a7 XOR a56
a125 = a12 XOR a5
a1567 = a17 XOR a56
a37 = a3 XOR a7
a67 = a6 XOR a7
a23 = a2 XOR a3
a056 = a0 XOR a56
a267 = a2 XOR a67
a27 = a2 XOR a7
a56 = a5 XOR a6
a12 = a1 XOR a2
a347 = a34 XOR a7
a0157 = a01 XOR a57
a17 = a1 XOR a7
a45 = a4 XOR a5
a01 = a0 XOR a1
a236 = a23 XOR 6
a0567 = a07 XOR a56
-
Dies
erfordert 23 XOR-Gatter, 32 XNOR-Gatter und 32 NAND-Gatter.
-
Andere
Ausführungsformen
sind absichtlich innerhalb des Rahmens der beiliegenden Patentansprüche.
-
Text
in der Zeichnung
-
- 10
- Eingabe
Klartext
- 12
- Rundenschlüssel
- 15
- Anfangsrunde
- 20
- Sub
Bytes Transformation
- 21
- Verschiebungsreihentransformation
- 22
- Mischspaltentransformation
- 24
- Rundenzahl
- 25
- Erzeugung
eines neunen Rundenschlüssels
- 26
- Rundenschlüssel
- 28
- Runden
- 30
- Endrunde
- 31
- Sub
Bytes Transformation
- 32
- Verschiebungsreihentransformation
- 35
- Erzeugung
des Endrundenschlüssels
- 36
- Endrundenschlüssel
- 39
- Geheimtextausgang
