DE69233613T2

DE69233613T2 - Kryptographisches Protokoll zur gesicherten Kommunikation

Info

Publication number: DE69233613T2
Application number: DE69233613T
Authority: DE
Inventors: Steven Michael Westfield Bellovin; Michael Mendham Merritt
Original assignee: AT&T Corp
Current assignee: AT&T Corp
Priority date: 1991-10-02
Filing date: 1992-09-24
Publication date: 2007-04-05
Anticipated expiration: 2012-09-25
Also published as: JP2599871B2; AU2351392A; US5241599A; EP0535863B1; EP0535863A2; AU648433B2; JPH06169306A; EP1104959A3; EP1104959B1; NO923740D0; EP0535863A3; CA2076252A1; NO923740L; DE69232369T2; DE69232369D1; DE69233613D1; EP1104959A2; CA2076252C

Description

Hintergrund der Erfindung
Technisches Gebiet
Die vorliegende Erfindung betrifft die kryptographische Kommunikation allgemein und insbesondere Verfahren und Systeme zur Herstellung einer authentifizierten und/oder vertraulichen Kommunikation zwischen Teilnehmern, die anfänglich nur ein relativ unsicheres Geheimnis teilen.
Stand der Technik
Teilnehmer möchten häufig eine vertrauliche und authentifizierte Kommunikation durchführen. Obwohl die Vertraulichkeit durch physische Mittel angestrebt werden kann, ist es häufig effizienter und effektiv, kryptographische Mittel zu verwenden. Außerdem kann die Authentifizierung, obwohl sie durch physisch sichere und fest zugeordnete Einrichtungen angestrebt werden kann, ebenfalls mit kryptographischen Verfahren leichter erzielt werden.
Mit klassischen kryptographischen Verfahren authentifiziert sich ein Teilnehmer gegenüber einem anderen Teilnehmer selbst durch Enthüllung eines Geheimnisses (z.B. eines Paßworts), das nur den jeweiligen Teilnehmern bekannt ist. Wenn das Geheimnis enthüllt wird, kann es, insbesondere bei Übermittlung über einen physisch unsicheren Kommunikationskanal Lauschangriffen ausgesetzt sein. Dadurch kann der Lauscher das Geheimnis erfahren und sich später für einen der Teilnehmer ausgeben.
Das Authentifizierungssystem Kerberos des Projekts Athena des MIT versucht, dieses Problem im Kontext von Computernetzen zu lösen. R.M. Needham und M.D. Schroeder, "Using Encryption for Authentication in Large Networks of Computers", Communications of the ACM, Band 21, Nr. 12, 993-999 (Dezember 1978); und J. Steiner, C. Neumann und J.I. Schiller, "An Authentication Service for Open Network Systems", Proc. Winter USENIX Conference, Dallas, 1988. Gemäß dem Kerberos-System wird jedem Benutzer des Kerberos-Systems eine nichtgeheime eindeutige Login-ID gegeben, und der Benutzer darf ein geheimes Paßwort wählen. Das Paßwort wird vom Benutzer dem Kerberos-System zugeführt und wird von beiden Teilnehmern geheimgehalten. Da das Paßwort geheimgehalten wird, kann es vom Benutzer verwendet werden, um sich gegenüber dem Kerberos-System zu authentifizieren.
Wenn ein Benutzer des Kerberos-Systems wünscht, auf einen Kerberos-Computer zuzugreifen, sendet der Benutzer seine Login-ID zu dem Kerberos-Computer mit einer Zugangsanforderung. Obwohl die Authentifizierung dadurch erzielt werden könnte, daß der Benutzer aufgefordert wird, sein Paßwort zusammen mit seiner ID zu senden, hat dieses Verfahren den wesentlichen Nachteil, daß ein Lauscher ohne weiteres die ID und das entsprechende Paßwort des Benutzers bestimmen könnte.
Um dieses Problem zu lösen, authentifiziert das Kerberos-System die Identität des Benutzers durch Erzeugung eines Rätsels, das wahrscheinlich nur von dem wahren Benutzer gelöst werden kann. Das Rätsel kann als eine verschlossene Kiste betrachtet werden, die eine Nachricht enthält, die durch ein Kombinationsschloß gesichert ist. Das Rätsel wird von dem Kerberos-System so konstruiert, daß die Kombination für das Kombinationsschloß das geheime Paßwort ist, das dem wahren Benutzer bekannt ist, der der empfangenen ID zugeordnet ist. Der wahre Benutzer, der sein eigenes Paßwort kennt, kann das Paßwort benutzen, um das Schloß zu öffnen und die darin befindliche Nachricht wiederherzustellen. Wenn die Kombination für das Kombinationsschloß zufällig aus einer großen Anzahl von Möglichkeiten gewählt wird, ist es für eine Person, die sich für jemand anderes ausgibt, nicht praktikabel, das Schloß zu "knacken".
Der Mechanismus, mit dem das Rätsel erzeugt wird, verwendet in der Regel mehrere Schritte. Erstens erzeugt das Kerberos-System eine Zufallszahl als die Nachricht, die zum Benutzer übermittelt werden soll. Als nächstes erzeugt das Kerberos-System ein Rätsel (das die Zufallszahl enthält) so, daß das Paßwort des Benutzers der Schlüssel für die Lösung des Rätsels und die Wiederherstellung der Nachricht ist. Man nehme zum Beispiel an, daß gemäß einer Klasse von Rätseln jedes Rätsel gleich einer Zufallszahl plus einer Zahl ist, die das Paßwort des Benutzers darstellt. Wenn das Paßwort des Benutzers 3049 ist und die Zufallszahl 5294, dann ist das Rätsel 8343.
Das Rätsel wird durch das Kerberos-System zum Benutzer gesendet. Wenn dieses Beispiel fortgesetzt wird, löst der Benutzer, der sein eigenes Paßwort kennt, das Rätsel und stellt die Nachricht wieder her, indem er sein Paßwort (3049) von dem Rätsel (8343) subtrahiert, um die Nachricht (5294) wiederherzustellen. Ein Lauscher, der das Rätsel (8343), aber nicht das Paßwort kennt, wird nur unwahrscheinlich die Nachricht entdecken. Gemäß dem Kerberos-System werden alle Übermittlungen zwischen dem Benutzer und dem Kerberos-System nach dem ersten Rätsel ebenfalls in Form von Rätseln gesendet. Der Schlüssel zur Lösung der nachfolgenden Rätsel ist jedoch die Zufallszahl in dem ersten Rätsel, die dem Kerberos-System und einem wahren Benutzer bekannt wäre. Die Authentifizierung erfolgt implizit, wenn der Benutzer und der Computer sinnvoll kommunizieren können. Und da die gesamte Kommunikation verschlüsselt ist, wird die Vertraulichkeit erzielt.
An diesem Punkt ist eine Besprechung der Nomenklatur der Kryptologie angebracht. Ein Klasse von Rätseln ist als ein "kryptographisches System" oder "Kryptosystem" bekannt. Der Prozeß des Erzeugens eines Rätsels ist als "Verschlüsselung", und der Prozeß des Lösens eines Rätsels, um die darin befindliche Nachricht wiederherzustellen, ist als "Entschlüsselung" bekannt. Das Rätsel wird als "chiffrierter Text" bezeichnet, und die Nachricht in dem Rätsel wird als "Klartext" bezeichnet. Die Elemente eines Kryptosystems werden durch einen kryptographischen Schlüssel oder Schlüssel unterschieden. Gemäß dem Schema eines konkreten Kryptosystems wird ein Schlüssel verwendet, um Klartext in chiffriertem Text zu verriegeln, und wird außerdem zum Entriegeln des chiffrierten Texts verwendet, um den Klartext wiederherzustellen.
Der Schlüssel für die Erzeugung eines spezifischen Rätsels (d.h. das Verriegeln von Klartext in chiffriertem Text) ist als ein "Verschlüsselungsschlüssel" bekannt, und der Schlüssel zum Lösen eines Rätsels (d.h. Wiederherstellung des Klartexts aus chiffriertem Text) ist als "Entschlüsselungsschlüssel" bekannt. Wenn gemäß dem Entwurf eines bestimmten Kryptosystems der Verschlüsselungsschlüssel und der Entschlüsselungsschlüssel identisch sind, ist das Kryptosystem als ein "symmetrisches Kryptosystem" bekannt. Das oben dargestellte Kryptosystem ist ein symmetrisches Kryptosystem, da die Zahl 3049 der Schlüssel sowohl für die Erzeugung als auch die Lösung des Rätsels ist.
Ein Kryptosystem mit einem Verschlüsselungsschlüssel E und einem anderen Entschlüsselungsschlüssel D, damit es rechnerisch unpraktikabel wird, D aus E zu bestimmen, ist als ein "Kryptosystem mit asymmetrischen Schlüsseln" oder ein "Kryptosystem mit öffentlichen Schlüsseln" bekannt. Ein Kryptosystem mit asymmetrischen Schlüsseln ist kein Kryptosystem mit symmetrischen Schlüsseln und ist deshalb nützlich zur Einleitung einer sicheren Kommunikation zwischen Teilnehmern, die in der Regel zuvor nicht kommuniziert haben und auch nicht einen gemeinsamen geheimen Schlüssel für ein symmetrisches Kryptosystem teilen. Im Gegensatz zu einem Kryptosystem mit asymmetrischen Schlüsseln gestattet ein Verteilungssystem mit öffentlichen Schlüsseln zwei fernen Benutzern, Nachrichten hin und her auszutauschen, bis sie zu einem gemeinsamen Schlüssel zu einem Kryptosystem mit symmetrischen Schlüsseln kommen. Die Grundanforderung eines Kryptosystems mit asymmetrischen Schlüsseln besteht darin, daß ein Lauscher, der alle Nachrichten kennt, es rechnerisch unpraktikabel finden muß, den gemeinsamen Schlüssel zu berechnen.
Um eine Wiederholung von Hintergrundmaterial zu vermeiden, wird auf W. Diffie und M.E. Hellman, "New Directions in Cryptography", I.E.E.E. Transactions on Information Theory, Band IT-22, Nr. 6, S. 644-654 (Nov. 1976) und W. Diffie und M.E. Hellman, "Privacy and Authentication: An Introduction to Cryptography", Proceedings of the I.E.E.E., Band 67, Nr. 3, S. 397-427 (März 1979) verwiesen.
Wieder mit Bezug auf das Kerberos-System sieht ein Lauscher auf einem Kommunikationskanal, der das Kerberos-System verwendet, nur die Login-ID der Person, die im Klartext übertragen wird, d.h. etwas, das bereits öffentlich bekannt ist. Das Paßwort der Person wird niemals explizit übertragen, und der Schlüssel und die nachfolgenden Nachrichten werden verschlüsselt und sind daher vorgeblich sicher. Das Kerberos-System hat jedoch mehrere Beschränkungen und einige Schwächen. S.M. Bellovin und M. Merritt, "Limitations of the Kerberos Authentication System", Proc. Winter USENIX Conference, Dallas, (1991). Menschen suchen sich schlechte Paßwörter aus, und gute werden entweder vergessen, niedergeschrieben oder gefallen nicht. Dadurch kann ein Lauscher passiv verschlüsselte Nachrichten aufzeichnen und eine modifizierte Brute-Force-Attacke auf ein Paßwort starten, indem verschlüsselte Nachrichten mit probeweisen Paßwörtern entschlüsselt werden, bis verständlicher Klartext erzeugt wird. Kerberos weist zusätzliche Unzulänglichkeiten auf, zeigt jedoch eine Schwäche auf, die allen klassischen Schlüsselaustauschprotokollen mit zwei Teilnehmern gemeinsam ist: die kryptographischen Paßwörter sind Offline-, Brute-Force-Attacken ausgesetzt. Trotzdem können solche Schlüsselaustauschprotokolle angemessen sein, wenn die Paßwörter lange, zufällig ausgewählte Zeichenketten sind, führen aber zu beträchtlichen Schwierigkeiten, wenn die Paßwörter von naiven Benutzern gewählt werden.
Andere Versuche, das Problem der Attacken durch Offline-Paßwort-Raten zu vermeiden, werden zum Beispiel von T.M.A. Lomas, L. Gong, J.H. Saltzer und R.M. Needham in "Reducing Risks from Poorly Chosen Keys", Proceedings of the Twelfth ACM Symposium on Operating System Principles, SIGOPS, 14-18 (Dez. 1989); und in L. Gong, "Verifiable-text Attacks in Cryptographic Protocols", Proc. of the I.E.E.E. INFOCOM – The Conf. on Computer Communications, (1990), beschrieben. Lomas et al. lehren ein Protokoll, bei dem die meisten kryptoanalytischen Attacken erfolglos bleiben, das jedoch zur Authentifizierung erfordert, daß jeder Teilnehmer zusätzlich zu ihren jeweiligen Paßwörtern ein Paßwort, einen öffentlichen Schlüssel für ein Kryptosystem mit asymmetrischen Schlüsseln kennt. Wenn der öffentliche Schlüssel einen vernünftigen Sicherheitsgrad liefern soll, kann man ihn sich nicht leicht merken.
Aus dem Artikel von ABBRUSCATO: „Choosing a Key Management Style that Suits the Application", in Data Communications, McGraw Hill, New York, Bd. 15, Nr. 4, April 1986, S. 149-150, 153-160, ist ein Schlüsselverteilungsverfahren zwischen Teilnehmern A und B unter Verwendung eines öffentlichen Schlüssels zum Verschlüsseln eines symmetrischen Schlüssels bekannt.
Die übertragenen Nachrichten werden durch einen aus einem beiden Teilnehmern bekannten Verifikationsschlüssel abgeleitetem MAC geschützt.
Kurze Darstellung der Erfindung
In der vorliegenden Erfindung, von der verschiedene Aspekte, Spezien und Varianten in den Ansprüchen dargelegt werden, wird das gemeinsame geheime Authentifizierungssignal (d.h. Paßwort) verwendet, um mindestens einen Teil von einer oder mehreren der in einem Verteilungssystem mit öffentlichen Schlüsseln (wie zum Beispiel dem nachfolgend besprochenen Diffie-Hellman-System) ausgetauschten Nachrichten zu verschlüsseln.
Die vorliegende Erfindung liefert einen Mechanismus zur Herstellung einer vertraulichen und authentifizierten Kommunikation zwischen Teilnehmern, die nur ein relativ unsicheres Geheimnis teilen, indem ein vom Stand der Technik verschiedener Ansatz verwendet wird, und wobei viele der Kosten und Beschränkungen von vorbekannten kryptographischen Protokollen vermieden werden. Die gemäß der vorliegenden Erfindung durchgeführte Kommunikation ist sicherer als im Stand der Technik und verhindert, daß das gemeinsame Geheimnis (z.B. ein Paßwort) einem Lauscher enthüllt wird.
Diese Ergebnisse werden bei einem Ausführungsbeispiel der vorliegenden Erfindung erzielt, bei dem ein Teil von einer oder mehreren der Nachrichten eines Verteilungssystems mit öffentlichen Schlüsseln mit dem gemeinsamen Geheimnis als dem Verschlüsselungsschlüssel verschlüsselt wird. In dieser Hinsicht ähnelt das Ausführungsbeispiel dem Kerberos-System, unterscheidet sich jedoch insofern wesentlich, als der chiffrierte Text keine bloße Zufallszahl ist, sondern ein Teil einer Nachricht eines Verteilungssystems mit öffentlichen Schlüsseln.
Da ein Kryptosystem mit asymmetrischen Schlüsseln eine Obermenge der Funktionalität eines Verteilungssystems mit öffentlichen Schlüsseln liefert, wird angenommen, daß Verteilungssysteme mit öffentlichen Schlüsseln Kryptosysteme mit asymmetrischen Schlüsseln enthalten, mit denen die vergleichbare Funktionalität von Verteilungssystemen mit öffentlichen Schlüsseln bereitgestellt wird.
Kurze Beschreibung der Zeichnung
1 zeigt eine Sequenz von Nachrichten, die in einer beispielhaften Ausführungsform der Erfindung verwendet werden, die ein Kryptosystem mit asymmetrischen Schlüsseln verwendet und wobei die ersten beiden Nachrichten mit einem Paßwort verschlüsselt werden.
2 zeigt eine Folge von Nachrichten, die in einer beispielhaften Ausführungsform der Erfindung verwendet werden, die Schutz vor Angriffen auf die Paßwörter gibt, wenn ein Sitzungsschlüssel von einem Angreifer wiederhergestellt wurde.
3 zeigt eine Sequenz von Nachrichten, die in einer beispielhaften Ausführungsform der Erfindung verwendet werden, bei der nur ein Teil der Anfangsnachricht mit dem Paßwort verschlüsselt wird.
4 zeigt eine Sequenz von Nachrichten, die in einer beispielhaften Ausführungsform der Erfindung verwendet werden, bei der nur ein Teil der Antwortnachricht mit dem Paßwort verschlüsselt wird.
5 zeigt eine Sequenz von Nachrichten, die bei einer nicht in den Schutzumfang der vorliegenden Erfindung fallenden Ausführungsform verwendet werden, die ein Verteilungssystem mit öffentlichen Schlüsseln verwendet.
6 zeigt eine Vorrichtung, die ein Kryptosystem mit asymmetrischen Schlüsseln verwendet und bei der die ersten beiden Nachrichten verschlüsselt werden.
Ausführliche Beschreibung
1. notation
Es wird durchweg die folgende Notation verwendet:

A, B: Die Teilnehmer, die kommunizieren möchten (Alice bzw. Bob).
P: Das Paßwort: ein gemeinsames Geheimnis, das häufig als ein Schlüssel verwendet wird.
P_n: Ein Schlüssel: in der Regel entweder P oder aus P abgeleitet.
P(X): Die Geheimschlüssel-Verschlüsselung eines Arguments "X" mit dem Schlüssel P.
P^–1(X): Die Geheimschlüssel-Entschlüsselung eines Arguments "X" mit dem Schlüssel P.
E_A(X): Die Verschlüsselung mit asymmetrischen Schlüsseln eines Arguments "X" mit dem öffentlichen Schlüssel E_A.
D_A(X): Die Entschlüsselung mit asymmetrischen Schlüsseln eines Arguments "X" mit dem privaten Schlüssel D_A.
Abfrage_A: Eine Zufallsabfrage, die von Alice erzeugt wird.
Abfrage_B: Eine Zufallsabfrage, die von Bob erzeugt wird.
R: Ein Sitzungsschlüssel oder eine Zahl, aus der ein Sitzungsschlüssel abgeleitet werden kann.
p, q: Primzahlen.

Ein Kryptosystem mit symmetrischen Schlüsseln ist ein herkömmliches Kryptosystem gemäß dem Stand bis zu den 70er Jahren; solche Kryptosysteme mit symmetrischen Schlüsseln verwenden geheime Schlüssel. Im Gegensatz dazu verwendet ein Kryptosystem mit asymmetrischen Schlüsseln öffentliche Verschlüsselung- und private Entschlüsselungsschlüssel.
In der folgenden Beschreibung und in den Ansprüchen bedeutet "sichere Kommunikation" eine Kommunikation, die authentifiziert und/oder vertraulich ist.
Es werden Ausführungsformen der Erfindung vorgestellt, die Kryptosysteme mit asymmetrischen Schlüsseln verwenden. In der folgenden Beschreibung und in den Ansprüchen sind in "Verteilungssystemen mit öffentlichen Schlüsseln" Kryptosysteme mit asymmetrischen Schlüsseln mit eingeschlossen, die die Funktionen eines Verteilungssystems mit öffentlichen Schlüsseln liefern.
2. Ausführungsformen, die Kryptosysteme mit asymmetrischen Schlüsseln verwenden
Die bei einer beispielhaften Ausführungsform der Erfindung ausgetauschten Nachrichten sind in 1 gezeigt. Diese typische Ausführungsform verwendet ein Kryptosystem mit asymmetrischen Schlüsseln. Alice 101 und Bob 103 sind Entitäten, die eine vertrauliche und authentifizierte Kommunikation über einen Kanal herstellen wollen. Die gezeigten Nachrichten können durch öffentliche oder private Kommunikationswege, z.B. Telefonverbindungen, übermittelt werden. Bei dieser Ausführungsform und jeder Ausführungsform der ausführlichen Beschreibung wird angenommen, daß Alice und Bob vor dem Beginn des Nachrichtenaustauschs beide das Geheimnis P kennen. Außerdem ist bei dieser Ausführungsform und jeder Ausführungsform der ausführlichen Beschreibung Alice der Anrufer und Bob der angerufene Teilnehmer. Mit Bezug auf 1 gilt:

1. Alice erzeugt ein Zufallspaar aus öffentlichem Schlüssel/privatem Schlüssel E_A und D_A und verschlüsselt E_A oder einen Teil davon in einem Kryptosystem mit symmetrischen Schlüsseln beispielweise eines Typs, der in Data Encryption Standard, Federal Information Processing Standards Publication 46, National Bureau of Standards, U.S. Dept. of Commerce, Januar 1977, beschrieben wird, wobei das Paßwort P als der Schlüssel verwendet wird, so daß sich P(E_A) ergibt. Alice sendet P(E_A) (Nachr. 109) zu Bob (siehe 109). Diese Nachricht kann andere Informationen enthalten, wie zum Beispiel die Identität des Senders oder den Rest des öffentlichen Schlüssels, wenn ein Teil davon nicht verschlüsselt wird.
2. Bob, der P kennt, entschlüsselt Nachr. 109, um P^–1(P(E_A)) = E_A zu erhalten. Bob erzeugt dann einen Zufalls-Geheimschlüssel R und verschlüsselt ihn in dem Kryptosystem mit asymmetrischen Schlüsseln mit dem Schlüssel E_A, um E_A(R) zu erzeugen. Diese Zeichenkette wird mit P weiterverschlüsselt. Bob sendet P(E_A(R)) (Nachr. 115) zu Alice (siehe 115).
3. Alice, die P und D_A kennt, verwendet diese, um D_A(P^–1(P(E_A(R)))) = R zu erhalten. Danach können R oder aus R abgeleitete Zahlen als ein Schlüssel bei der weiteren Kommunikation zwischen Alice und Bob verwendet werden.

2.1. Schlüsselvalidierungsverfahren
Sobald sich die Teilnehmer auf einen Schlüssel R geeinigt haben, kann es unter bestimmten Umständen angemessen sein, wenn die Teilnehmer Schritte unternehmen, um sicherzustellen, daß der Schlüssel während der Übertragung nicht manipuliert wurde. In der vorliegenden Beschreibung sind solche Schritte als Schlüsselvalidierungsverfahren bekannt.
2.1.1. Schutz vor Abspielattacken
Das in dem obigen Abschnitt 2 umrissene Ausführungsbeispiel eignet sich eventuell nicht für alle Anwendungen, da es möglicherweise nicht ausreichend vor Abspielattacken schützt. Eine Abspielattacke ist ein Versuch eines Lauschers, der die Kontrolle über den Kommunikationskanal hat, alte vergangene Nachrichten in den Kommunikationskanal einzufügen, um zu versuchen, sich für einen der Teilnehmer auszugeben. Wenn die Möglichkeit einer Abspielattacke besteht, umfaßt eine bevorzugte Ausführungsform der Erfindung einen Mechanismus zum Abwehren einer solchen Attacke. Wieder mit Bezug auf 1 umfaßt diese Ausführungsform somit die folgenden Nachrichten:

1. Wie zuvor beginnt der Nachrichtenaustausch, wenn Alice 101 P(E_A) (Nachr. 109) zu Bob 103 sendet.
2. Wiederum antwortet Bob wie zuvor durch Senden von P(E_A(R)) (Nachr. 115) zu Alice.
3. Beim Empfang von Nachr. 115 beginnt der Abfrage/Antwort-Mechanismus. Alice entschlüsselt Nachr. 115, um R zu erhalten, erzeugt eine Zufallszeichenkette Abfrage_A und verschlüsselt sie mit R, um R(Abfrage_A) zu erzeugen. Sie sendet R(Abfrage_A) (Nachr. 121) zu Bob (siehe 121).
4. Bob entschlüsselt Nachr. 121, um Abfrage_A zu erhalten, erzeugt eine Zufallszeichenkette Abfrage_B, verschlüsselt die beiden Abfragen mit dem Geheimschlüssel R und sendet R(Abfrage_A, Abfrage_B) (Nachr. 127) zu Alice (siehe 127).
5. Alice entschlüsselt Nachr. 127, um Abfrage_A und Abfrage_B zu erhalten, und vergleicht die Erstere mit ihrer früheren Abfrage. Bei einer Übereinstimmung verschlüsselt sie Abfrage_B mit R und sendet R(Abfrage_B) (Nachr. 133) zu Bob (siehe 133).
6. Beim Empfang von Nachr. 133 entschlüsselt Bob, um Abfrage_B zu erhalten, und vergleicht mit der früheren Abfrage. Bei einer Übereinstimmung ist der Abfrage/Antwort-Mechanismus erfolgreich, und die Teilnehmer können R oder eine aus R abgeleitete Zeichenkette als einen Sitzungsschlüssel bei der weiteren Kommunikation verwenden.

Der Abfrage/Antwort-Teil der obigen Ausführungsform könnte durch andere Mechanismen zur Validierung von R ersetzt werden. Zum Beispiel könnte die Zeit durch R verschlüsselt ausgetauscht werden, unter der sicherheitskritischen Annahme, daß Uhren monoton und zu einem gewissen Grad synchronisiert sind.
2.1.2 Schutz vor wiederhergestellten Sitzungsschlüsseln
Wenn ein Kryptoanalysespezialist einen Sitzungsschlüssel R wiederherstellt, kann er R als einen Hinweis verwenden, um P und E_A zu attackieren. 2 zeigt die Nachrichten, die bei einer beispielhaften Ausführungsform ausgetauscht werden, die eine Attacke von P oder E_A behindert, wenn R bekannt ist. Wenn eine Chance besteht, daß ein unautorisierter Kryptoanalysespezialist einen Sitzungsschlüssel wiederherstellen könnte, enthält eine andere bevorzugte Ausführungsform der Erfindung einen Mechanismus, um eine solche Attacke zu verhindern. Mit Bezug auf 2 gilt:

1. Wie zuvor beginnt der Nachrichtenaustausch, wenn Alice 201 P(E_A) (Nach r. 209) zu Bob 203 sendet.
2. Wiederum antwortet Bob, indem er P(E_A(R)) (Nachr. 215) zu Alice sendet (siehe 215).
3. Alice entschlüsselt Nachr. 215, um R zu erhalten, erzeugt zufällig eine eindeutige Abfrage Abfrage_A und einen Zufalls-Teilschlüssel S_A, verschlüsselt die Abfrage und den Teilschlüssel mit R und sendet R(Abfrage_A, S_A) (Nachr. 221) zu Bob (siehe 221).
4. Beim Empfang von Nachr. 221 entschlüsselt Bob sie, um Abfrage_A und S_A zu erhalten, erzeugt eine eindeutige Abfrage Abfrage_B und einen zufälligen Teilschlüssel S_B und verschlüsselt die beiden Abfragen und seinen Teilschlüssel mit dem Geheimschlüssel R und sendet R(Abfrage_A, Abfrage_B, S_B) (Nachr. 227) zu Alice (siehe 227).
5. Beim Empfang von Nachr. 227 entschlüsselt Alice sie, um Abfrage_A und Abfrage_B zu erhalten, und vergleicht erstere mit ihrer früheren Abfrage. Bei einer Übereinstimmung verschlüsselt sie Abfrage_B mit R, um R (Abfrage_B) zu erhalten. Alice sendet R(Abfrage_B) (Nachr. 233) zu Bob (siehe 233).
6. Beim Empfang von Nachr. 233 entschlüsselt Bob sie, um Abfrage_B zu erhalten, und vergleicht sie mit Abfrage_B von Nachr. 227. Bei einer Übereinstimmung berechnen die beiden Teilnehmer einen Schlüssel S = f(S_A, S_B), für eine bestimmte, beiden bekannte Funktion f. S wird als der Geheimschlüssel verwendet, um alle nachfolgenden Austauschinformationen zu verschlüsseln, und R wird auf die Rolle eines Schlüsselaustauschschlüssels reduziert.

Es ist vorstellbar, daß ein findiger Kryptoanalysespezialist in der Lage sein könnte, das Vorliegen von Abfragen und Antworten in verschiedenen Nachrichten zu verwenden, um R zu attackieren. Wenn eine solche Attacke ein Problem ist, können die Antworten so modifiziert werden, daß sie eine Einweg-Funktion von Abfragen anstelle der Abfragen selbst enthalten. Somit könnte Nachr. 227 zu R(g(AbfrageA), AbfrageB, SA)werden, und Nachr. 233 würde ähnlich verändert.
2.2. Bilaterale Verschlüsselung im Vergleich zu unilateraler Verschlüsselung
Wenn ein Teil beider der ersten beiden Nachrichten mit dem Paßwort verschlüsselt wird, sowie es für Nachr. 109 und Nachr. 115 in der oben vorgestellten Ausführungsform geschieht, enthält die Ausführungsform eine sogenannte bilaterale Verschlüsselung. Bei anderen Ausführungsbeispielen ist jedoch keine bilaterale Verschlüsselung notwendig. Wenn nur eine der beiden ersten Nachrichten verschlüsselt wird, wird sie unilaterale Verschlüsselung genannt. Man beachte, daß es zwei Arten von unilateraler Verschlüsselung gibt: (1) wenn die ersten Nachrichten verschlüsselt wird und (2) wenn die zweite Nachricht verschlüsselt wird. Abschnitt 2.2.1 zeigt ein Ausführungsbeispiel der Erfindung, bei dem nur die erste Nachricht mit dem Paßwort verschlüsselt wird, und Abschnitt 2.2.2 zeigt ein Ausführungsbeispiel, bei dem nur die zweite Nachricht verschlüsselt wird.
2.2.1. Ein Ausführungsbeispiel, das das RSA-Kryptosystem mit asymmetrischen Schlüsseln verwendet
Eine beispielhafte Ausführungsform der Erfindung verwendet das als "RSA" bekannte Kryptosystem mit asymmetrischen Schlüsseln, das von R.L. Rivest, A. Shamir und L. Adleman in dem US-Patent Nr. 4,405,829, erteilt am 20.9.1983, und in "A Method of Obtaining Digital Signatures and Public Key Cryptosystems", Communications of the ACM, Band 21, Nr. 2, 120-26 (Feb. 1978), gelehrt wird. Vor der Beschreibung des Ausführungsbeispiels wird eine Übersicht des RSA gegeben.
2.2.1.1. Übersicht von RSA
Der öffentliche Schlüssel E_A für das RSA-Kryptosystem besteht aus einem Paar von natürlichen Zahlen <e,n>, wobei n das Produkt zweier Primzahlen p und q und e relativ prim zu ϕ(n) = ϕ(p)ϕ(q) = (p – 1)(q – 1)ist, wobei ϕ(n) die Euler-Totient-Funktion ist. Es wird bevorzugt, daß p und q in der Form 2p' + 1 bzw. 2q' + 1 vorliegen, wobei p' und q' Primzahlen sind. Der private Entschlüsselungsschlüssel d wird so berechnet, daß folgendes gilt: ed ≡ 1(mod(p – 1)(q – 1)).
Eine Nachricht m wird durch die folgende Rechnung verschlüsselt: c ≡ me(modn); der chiffrierte Text c wird folgendermaßen entschlüsselt: m ≡ cd(modn).
2.2.1.1. Eine beispielhafte Ausführungsform, die RSA verwendet
3 zeigt die Nachrichten, die in einer beispielhaften Ausführungsform der Erfindung ausgetauscht werden, die das RSA-Kryptosystem mit asymmetrischen Schlüsseln verwendet. Mit Bezug auf 3 gilt:

1. Der Nachrichtenaustausch beginnt, wenn Alice 301 ein zufälliges Paar von öffentlichem Schlüssel/privatem Schlüssel E_A und D_A erzeugt. E_A umfaßt die Nummern <e,n>. Da n eine Primzahl ist, kann sie von einer Zufallszahl unterschieden werden und muß im Klartext gesendet werden. Um e zu verschlüsseln, beginnt Alice mit der binären Codierung von e und verschlüsselt alle Bit, aus denen e zusammengesetzt ist, mit Ausnahme des niedrigstwertigen Bits in einem symmetrischen Kryptosystem mit dem Paßwort P. Alice sendet P(e),n (Nachr. 309) zu Bob (siehe 309).
2. Bob, der P kennt, entschlüsselt Nachr. 309, um P^–1(P(e)) = e zu erhalten, erzeugt einen zufälligen Geheimschlüssel R und verschlüsselt ihn in dem Kryptosystem mit asymmetrischen Schlüsseln mit dem Schlüssel E_A, um E_A(R) zu erzeugen. Bei anderen Ausführungsbeispielen kann E_A(R) mit P verschlüsselt werden, bei der bevorzugten Ausführungsform, die RSA verwendet, geschieht dies jedoch nicht. Bob sendet E_A(R) (Nachr. 315) zu Alice (siehe 315).
3. Beim Empfang von Nachr. 315 entschlüsselt Alice sie, um R zu erhalten. Danach können R oder aus R abgeleitete Zahlen als ein Sitzungsschlüssel verwendet werden. An diesem Punkt kann ein Schlüsselvalidierungsverfahren, wie zum Beispiel der Abfrage/Antwort-Mechanismus implementiert werden.

Es sei eine Warnung bezüglich des Sendens von n im Klartext angemerkt: Es wird dadurch das Paßwort P dem Risiko der Kryptoanalyse ausgesetzt. Genauer gesagt kann n, wenn es einem Angreifer verfügbar ist, faktorisiert werden, und R würde dann offengelegt und P einer Attacke ausgesetzt werden.
2.2.2. Ein Ausführungsbeispiel, das das El-Gamal-Kryptosystem mit asymmetrischen Schlüsseln verwendet
Das El-Gamal-Kryptosystem, T. El Gamal, "A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms", I.E.E.E. Transactions on Information Theory, Band 31, 469-72 (Juli 1985), wird in einer in 5 gezeigten, nicht in den Schutzumfang der vorliegenden Erfindung fallenden Ausführungsform verwendet. Im Gegensatz zu der Ausführungsform, die RSA enthält, muß unter bestimmten Umständen eine Ausführungsform, die das El-Gamal-Kryptosystem enthält, nicht die erste, sondern die zweite Nachricht verschlüsseln.
2.2.2.2. Eine Übersicht des El-Gamal-Kryptosystems mit asymmetrischen Schlüsseln
Wenn Bob eine verschlüsselte Nachricht (z.B. den Schlüssel R) zu Alice senden möchte, dann muß Bob diese Absicht mitteilen. Wenn Alice sich bereit erklärt, die verschlüsselte Nachricht zu empfangen, vereinbaren Alice und Bob dann eine gemeinsame Basis α und den Modul β. Alice sucht dann eine Zufallszahl R_A in dem Intervall [0, β – 1] aus und berechnet
(mod β). Als nächstes sendet Alice
(mod β) im Klartext zu Bob, der ebenfalls eine Zufallszahl R_B in dem Intervall [0, β – 1] aussucht und folgendes berechnet:
und c2 = R·K(mod β)
Die verschlüsselte Nachricht, die Bob zu Alice sendet, besteht aus dem Paar <c₁, c₂>.
Alice, die R_A und
(mod β) kennt, entschlüsselt die Nachricht, um R wiederherzustellen, indem sie folgendes berechnet:
und dann c₂ durch K dividiert.
2.2.2.3. Ein Ausführungsbeispiel, das das El-Gamal-Kryptosystem verwendet
5 zeigt die Nachrichten, die bei einem Ausführungsbeispiel der Erfindung ausgetauscht werden, das das El-Gamal-Kryptosystem mit asymmetrischen Schlüsseln verwendet. Vor der ersten Nachricht wird angenommen, daß Alice und Bob Werte für die Basis α und den Modul β vereinbart haben. Mit Bezug auf 5 gilt.

1. Alice 501 erzeugt eine Zufallszahl R_A und berechnet
(mod β). Obwohl Alice
(mod β) verschlüsseln kann, wird es bei der bevorzugten Ausführungsform nicht verschlüsselt. Alice sendet
zu Bob 503 (siehe 409). Diese Nachricht kann andere Informationen enthalten, wie zum Beispiel die Identität des Senders.
2. Wenn Bob Nachr. 409 empfängt, erzeugt er eine Zufallszahl R_B, so daß
(mod β) zufällig aus dem Intervall [0, β – 1] ausgewählt wird. Bob erzeugt außerdem einen Zufalls-Sitzungsschlüssel R und berechnet R
(mod β). Bob sendet
zu Alice (siehe 415).
3. Alice, die P kennt, stellt
(mod β) und danach R wieder her. Nach dem Empfang von Nachr. 415 kann eines der Schlüsselvalidierungsverfahren begonnen werden. Danach können R, aus R abgeleitete Zahlen oder eine aus einem Validierungsverfahren abgeleitete Zahl als ein Sitzungsschlüssel verwendet werden.

2.5. Sicherheitsbetrachtungen
2.5.1. Partitionsattacken
Die Hauptbeschränkung jeder Ausführungsform besteht darin, daß aus Verschlüsselungen, die P verwenden, keine Informationen lecken dürfen. Bei bestimmten Kryptosystemen ist dies schwierig. Zum Beispiel sind die öffentlichen Schlüssel bei RSA immer ungerade. Wenn keine speziellen Vorsichtsmaßnahmen getroffen werden, könnte ein Angreifer die Hälfte der versuchsweisen Werte P' ausschließen, wenn P^–1(P(e)) eine gerade Zahl ist. Auf den ersten Blick ist dies eine unwesentliche Reduktion des Schlüsselraums; ohne Korrektur kann sie jedoch zu einer Beeinträchtigung der Sicherheit der Ausführungsform führen. In der vorliegenden Beschreibung bedeutet der Begriff "Schlüsselraum" den Umfang möglicher kryptographischer Schlüssel. Wenn der Schlüsselraum groß ist, versucht ein unautorisierter Kryptoanalysespezialist, "den Schlüsselraum zu reduzieren" oder unmögliche kryptographische Schlüssel zu eliminieren. Durch den Vorgang der Eliminierung kann der Kryptoanalysespezialist mit gegebenen ausreichenden Hinweisen, wie zum Beispiel dem oben gezeigten, den Schlüsselraum reduzieren, bis der tatsächliche Schlüssel enthüllt wird.
Man erinnere sich, daß jede Sitzung einen anderen öffentlichen Schlüssel verwendet, der von allen zuvor verwendeten unabhängig ist. Somit schließen versuchsweise Entschlüsselungen, die zu illegalen Werten von e' führen, jedes Mal verschiedene Werte von P' aus. Anders ausgedrückt, kann ein Angreifer, jedes Mal, wenn ein Sitzungsschlüssel ausgehandelt wird, den verbleibenden versuchsweisen Schlüsselraum in zwei ungefähr gleiche Hälften aufteilen. Der Schlüsselraum wird somit logarithmisch reduziert; es reichen vergleichsweise wenige abgefangene Gespräche aus, um alle ungültigen geratenen P zurückzuweisen. Diese Attacke wird als Partitionsattacke bezeichnet.
Bei bestimmten Kryptosystemen kann eine minimale Partition annehmbar sein. Man betrachte den Fall, daß ganze Zahlen modulo eine bestimmte Primzahl p mit P verschlüsselt werden müssen. Wenn n Bit verwendet werden, um p zu codieren, dann können versuchsweise Entschlüsselungen, die Werte im Bereich von [p, 2ⁿ – 1] ergeben, verwendet werden, um den Paßwortraum aufzuteilen. Wenn p jedoch nahe bei 2ⁿ oder sogar 2ⁿ – 1 liegt, werden durch jede Sitzung nur wenige versuchsweise Paßwörter ausgeschlossen. Dementsprechend wird p gleich 2ⁿ – 1 bevorzugt, während umgekehrt Werte von p, die weit von 2ⁿ – 1 entfernt liegen, nicht bevorzugt sind.
Eine weitere Gefahr entsteht durch den Versuch, eine Zahl mit einem Kryptosystem zu verschlüsseln, das eine Blockgröße verlangt, die größer als die Zahl ist. Die Blockgröße eines Kryptosystems ist die Menge von Klartext, die das Kryptosystem mit einer einzigen Verschlüsselung verschlüsseln kann. Die Zahl sollte mit Zufallsdaten aufgefüllt werden, um die Gesamt-Zeichenkette zu der Blockgröße des Kryptosystems zu bringen.
Man beachte, daß beide Probleme in einer Operation beseitigt werden können. Man nehme wiederum an, daß man ganze Zahlen modulo p verschlüsselt. Man nehme weiterhin an, daß die gewünschte Eingangs-Verschlüsselungsblockgröße m Bit beträgt, wobei 2^m > p ist. Es sei
Der Wert q gibt an, wie oft p in die Verschlüsselungsblockgröße paßt. Man wähle deshalb einen Zufallswert j ∊ [0, q – 1] und addiere jp zu dem Eingangswert unter Verwendung einer Nicht-Modulo-Arithmetik (wenn der Eingangswert kleiner als 2^m – qp ist, verwende man stattdessen das Intervall [0, q]). Der Empfänger, der den Modul kennt, versetzt den entschlüsselten Wert wieder in den richtigen Bereich, indem er die Eingabe plus jp durch β dividiert und den Rest nimmt.
3. NICHT IN DEN SCHUTZUMFANG DER VORLIEGENDEN ERFINDUNG FALLENDE AUSFÜHRUNGSFORMEN, DIE VERTEILUNGSSYSTEME MIT ÖFFENTLICHEN SCHLÜSSELN VERWENDEN
Eine Ausführungsform verwendet das Verteilungssystem mit öffentlichen Schlüsseln, das als "Diffie-Hellman" bekannt ist und von M.E. Hellman, W. Diffie und R.C. Merkle in dem US-Patent Nr. 4,200,770, 29.4.1980, und in W. Diffie und M.E. Hellman, "New Directions in Cryptography", I.E.E.E. Transactions on Info. Theory, Band 22, Nr. 6 (Nov. 1976) gelehrt wird.
3.1. Übersicht von Diffie-Hellman
Diffie-Hellman ist kein Kryptosystem. Es ist jedoch ein Mechanismus zum öffentlichen Erzeugen eines sicheren Schlüssels (z.B. eines Sitzungsschlüssels) für ein symmetrisches Kryptosystem. Kurz gefaßt suchen sich Alice und Bob die Zufallsexponenten R_A bzw. R_B aus. Unter der Annahme, daß sie eine gemeinsame Basis α und einen Modul vereinbaren, berechnet Alice
(mod β) und Bob berechnet
(mod β). Jeder Teilnehmer sendet seine berechnete Größe im Klartext zu dem anderen
Teilnehmer. Alice, die R_A und
(mod β) kennt, berechnet
Ähnlich berechnet Bob, der R_B und
(mod β) kennt,
Die Größe R kann dann als der Schlüssel bei der weiteren Kommunikation zwischen Alice und Bob verwendet werden. Ein Eindringling, der nur
(mod β) und
(mod β) kennt, kann nicht dieselbe Berechnung durchführen. Es sollte jedoch beachtet werden, daß Diffie- Hellman keine Authentifizierung liefert und deshalb durch aktive abgehörte Leitungen kompromittiert werden kann.
3.2. Ausführungsbeispiel, das Diffie-Hellman verwendet
5 zeigt die Nachrichten, die bei einer nicht in den Schutzumfang der vorliegenden Erfindung fallenden Ausführungsform der Erfindung ausgetauscht werden, wie sie in Verbindung mit dem Diffie-Hellman-Verteilungssystem mit öffentlichen Schlüsseln verwendet wird. Mit Bezug auf 5 gilt:

1. Unter der Annahme, daß Alice 501 und Bob 503 eine gemeinsame Basis α und einen Modul β vereinbaren, erzeugt Alice eine Zufallszahl R_A und berechnet
(mod β).
(mod β) wird in einem Kryptosystem mit symmetrischen Schlüsseln mit dem Paßwort P als Schlüssel verschlüsselt und Alice sendet
zu Bob (siehe 509). Man beachte, daß, wenn R_A zufällig ist,
(mod β) zufällig ist und ein geratenes P keine nützlichen Informationen ergibt.
2. Ähnlich erzeugt Bob eine Zufallszahl R_B und sendet
zu Alice (siehe 515). An diesem Punkt kennen sowohl Alice als auch Bob
(mod β) und
(mod β) und können deshalb einen Sitzungs schlüssel wie im Abschnitt 3.1. gezeigt berechnen. Außerdem kann eines der Schlüsselvalidierungsverfahren begonnen werden, sobald sowohl von Alice als auch von Bob ein gemeinsamer Wert berechnet wird.

3.3. Bilaterale im Vergleich zu unilateraler Verschlüsselung
In der Regel werden nicht beide Nachrichten des Diffie-Hellman-Verteilungssystems mit öffentlichen Schlüsseln verschlüsselt. Eine unilaterale Verschlüsselung, die Verschlüsselung eines Teils mindestens einer der Nachrichten des Diffie-Hellman-Verteilungssystems mit öffentlichen Schlüsseln, stellt Vertraulichkeit und Authentifizierung sicher. Deshalb ist es mit Bezug auf 5 möglich, die Verschlüsselung von einer der Nachrichten in 5 auszulassen, aber nicht von beiden. Zum Beispiel kann Nachr. 509 durch folgendes ersetzt werden:
Als Alternative kann Nachr. 515 durch folgendes ersetzt werden:
Daß die unilaterale Verschlüsselung die Sicherheit des Systems bewahrt, bedeutet, daß ein Paar von Verschlüsselungen und Entschlüsselungen ausgelassen werden kann. Da die Verschlüsselung und Entschlüsselung beträchtliche Rechenbetriebsmittel und Zeit erfordern kann, können diese Betriebsmittel weggelassen und Zeit gespart werden.
3.4. Wählen von α und β
Die Werte von α und β können verschieden gewählt werden, wobei jede Auswahl einen Kompromiß zwischen Kosten und Sicherheit darstellt. Obwohl es mehrere Wahlmöglichkeiten für den Modul gibt, sind große Primwerte von β sicherer. Außerdem ist es wünschenswert, daß α eine primitive Wurzel des Felds GF(β) ist. Wenn β so gewählt wird, daß β = 2p + 1für eine bestimmte Primzahl p gilt, dann gibt es (β – 1)/2 = p solche Werte; daher sind sie leicht zu finden. Man nehme diese Beschränkungen in der folgenden Besprechung an.
Es ist für Alice und Bob etwas problematisch, gemeinsame Werte für α und β zu vereinbaren, ohne einem Angreifer Informationen zu enthüllen. P(β) kann nicht übertragen werden, da das Prüfen einer Zufallszahl auf die Prim-Eigenschaft zu leicht ist. Bei einer Ausführungsform werden α und β festgelegt und veröffentlicht. Diese Ausführungsform hat den Vorteil, daß das Risiko des Leckens von Informationen oder von Partitionsattacken nicht besteht. Der Nachteil ist, daß die Implementierung weniger flexibel wird, da alle Teilnehmer über solche Werte übereinstimmen müssen. Das Veröffentlichen von β hat den weiteren Nachteil, daß zur Aufrechterhaltung der Sicherheit β groß sein muß, wodurch die Potenzierungsoperationen kostspielig werden.
Es ist jedoch ein bestimmter Kompromiß über die Länge des Moduls möglich. Da bei der Ausführungsform das Paßwort P zur Überverschlüsselung solcher Werte verwendet wird, ist es mit Ausnahme aller möglichen geratenen P nicht möglich, eine diskrete Logarithmusberechnung zu versuchen. Das Ziel besteht dann darin, eine Größe für β zu wählen, die ausreicht, damit Rateattacken viel zu kostspielig werden. 200 Bit, wofür abgeschätzt wird, daß diskrete Logarithmuslösungen auch nach dem Aufbauen von Tabellen mehrere Minuten dauern, könnten ausreichen.
Durch andere Betrachtungen werden jedoch größere Moduln nahegelegt. Wenn das Paßwort des Benutzers kompromittiert wird, sind dem Angreifer aufgezeichnete Exponentialfunktionen verfügbar; diese gestatten bei einer Lösung das Lesen alter Gespräche. Wenn ein großer Modulwert gewählt wird, würden alle solche Gespräche sicherbleiben.
Die Größenanforderungen für β werden aus dem Wunsch abgeleitet, Berechnungen von diskreten Logarithmen in dem Feld GF(β) zu verhindern. Die zur Zeit besten Algorithmen für solche Berechnungen erfordern eine große Menge von Vorberechnungen. Wenn jedes Mal ein anderes β verwendet wird, kann ein Angreifer keine Tabellen im voraus aufbauen; somit kann ein wesentlich kleinerer und deshalb billigerer Modul verwendet werden. Bei der bevorzugten Ausführungsform erzeugt deshalb Alice Zufallswerte von β und α und überträgt sie im Klartext während des ersten Austauschs. Es ist nur ein kleines Sicherheitsrisiko, wenn ein Angreifer diese Werte kennt; das einzige Problem wären Cut-And-Paste-Attacken. Sogar dieses Risiko ist minimal, wenn Bob bestimmte Prüfungen durchführt, um sich vor leicht lösbaren Wahlmöglichkeiten zu schützen: daß β tatsächlich prim ist, daß es groß genug ist (und daher nicht durch Vorberechnung von Tabellen angegangen werden kann), daß β – 1 mindestens einen großen Primfaktor aufweist und daß α eine primitive Wurzel von GF(β) ist. Die letzten beiden Bedingungen hängen miteinander zusammen; die Faktorisierung von β – 1 muß bekannt sein, um α zu validieren. Wenn β in der Form kp + 1 vorliegt, wobei p eine Primzahl und k eine sehr kleine ganze Zahl ist, sind beide Bedingungen erfüllt.
Bisher wurde nichts über die Wahl von α gesagt. Wenn jedoch ein geeigneter Wert von β gewählt wird, wird α als eine primitive Wurzel von β gewählt. Es gibt keinen Grund, die ganzen Zahlen von 2 an zu untersuchen; die Dichte primitiver Wurzeln garantiert, daß man relativ schnell eine findet.
4. Die Kryptosysteme
4.1. Auswahl eines Kryptosystems mit symmetrischen Schlüsseln
Die Verschlüsselung mit symmetrischen Schlüsseln wird bei verschiedenen Ausführungsformen dreimal verwendet: Um den ersten Austausch asymmetrischer Schlüssel zu verschlüsseln, um Abfragen und Antworten zu wechseln und um die folgende Anwendungssitzung zu schützen. Im allgemeinen kann an allen drei Punkten dasselbe Kryptosystem mit symmetrischen Schlüsseln verwendet werden.
Bei dem ersten Austausch (z.B. Nachr. 109 und Nachr. 115) bestehen starke Beschränkungen des Klartexts. Die Nachrichten sollten vorteilhafterweise keine andere Form von angehängter Datendarstellung verwenden.
Bei allen bevorzugten Ausführungsformen sollte die ursprüngliche Klartextnachricht keine nicht-zufällige Auffüllung enthalten, um die Verschlüsselungsblockgröße zu erreichen, und auch keinerlei Form von Fehlererkennungs-Prüfsumme. Der Schutz vor Kommunikationsfehlern wird in der Regel von Protokollen niedrigerer Schichten bereitgestellt. Obwohl eine Chiffre-Block-Verkettung oder ein ähnliches Verfahren verwendet werden können, um mehrere Blöcke zusammenzubinden und kryptoanalytische Attacken zu behindern, sind solche Mechanismen in der Regel nicht wichtig, da die übertragenen Bit zufällig sind und daher nicht mit Nutzen von einem Angreifer manipuliert werden können. Der Abfrage/Antwort-Mechanismus liefert die notwendige Verteidigung gegen eine solche Manipulation der Nachrichten.
Bei einer Ausführungsform kann der Verschlüsselungsalgorithmus einfach nur eine Operation, wie zum Beispiel die bitweise Boolsche XOR-Verknüpfung des Paßworts mit dem öffentlichen Schlüssel sein.
Ähnlich müssen die Schlüsselvalidierungsnachrichten in der Regel nicht durch ein starkes Chiffresystem geschützt werden. Es wurde jedoch implizit angenommen, daß es für einen Angreifer nicht praktikabel ist, nützliche Cut-And-Paste-Operationen an verschlüsselten Nachrichten durchzuführen. Wenn zum Beispiel gesagt wird, daß Alice R(Abfrage_A, Abfrage_B) zu Bob sendet und daß Bob mit R(Abfrage_A) antwortet, könnte man schließen, daß der Angreifer R(Abfrage_A) aus der ersten Nachricht ausschneiden und es einfach in der zweiten wiederholen könnte. Bei allen bevorzugten Ausführungsformen sollte dies natürlich vorteilhafterweise verhindert werden. Wenn es in dem konkreten verwendeten Kryptosystem notwendig ist, sollten also standardmäßige Verfahren, wie zum Beispiel Chiffre-Block-Verkettung, verwendet werden. Die Chiffre-Block-Verkettung sollte solche Attacken über "Snip und Echo" oder "Cut and Paste" verhindern. Als Alternative könnten Alice und Bob R verwenden, um verschiedene Teilschlüssel R_A und R_B abzuleiten, die jeweils nur in einer Richtung verwendet werden. Zu weiteren Alternativen gehört das Verwenden der Nachrichten-Typifizierung oder das Hinzufügen von Nachrichten-Authentifizierungscodes; diese können jedoch Redundanz einführen, die angesichts einer kryptoanalytischen Attacke unerwünscht ist. In solchen Fällen können die im Abschnitt 2.1.2. erwähnten Einweg-Funktionen vorzuziehen sein.
Schließlich darf die Verwendung von R in der folgenden Login-Sitzung keine nützlichen Informationen über R enthüllen. Wenn das Systeme kryptoanalysiert wird und wenn R wiederhergestellt wird, kann der Angreifer dann eine Paßwort-Rateattacke an dem Nachrichtenaustausch einleiten. Da dieses Protokoll auf den Schutz beliebiger Sitzungen zwischen Teilnehmern anwendbar ist, ist man am besten vorsichtig und untersucht das konkrete symmetrische System unter der Annahme, daß der Gegner Attacken mit gewähltem Chiffretext gegen die Sitzung einleiten kann. In Zweifelsfällen wird die Ausführungsform mit separatem Datenschlüssel-Austauschschlüssel bevorzugt.
4.2. Auswahl eines Verteilungssystems mit öffentlichen Schlüsseln
Im Prinzip kann jedes beliebige Verteilungssystem mit öffentlichen Schlüsseln verwendet werden, darunter die Rätsel von Merkle, R.C. Merkle, "Secure Communications Over Insecure Channels", Communications of the ACM, Band 21, 294-99 (April 1978). In der Praxis werden bestimmte Systeme aus praktischen Gründen ausgeschlossen. Zum Beispiel könnte ein System, das viele große Primzahlen verwendet, bei bestimmten Anwendungen unpraktikabel sein. RSA verwendet mindestens zwei solche Primzahlen; die dynamische Schlüsselerzeugung kann sich bei bestimmten Hardwaresystemen als zu komplex und deshalb zu kostspielig erweisen.
Ein zweiter Aspekt besteht darin, ob die öffentlichen Schlüssel eines bestimmten Systems als eine zufällig erscheinende Bitkette codiert werden können oder nicht. Es wurde bereits gezeigt, daß dies bei RSA ein Problem sein kann.
Es besteht die Versuchung, das Problem auszuklügeln, indem stattdessen der Anfangswert des Zufallszahlengenerators übertragen wird, mit dem der öffentliche Schlüssel erzeugt wird. Leider ist dies in vielen Fällen eventuell nicht möglich. Abgesehen von den entstehenden Kosten (beide Seiten müßten den zeitaufwendigen Prozeß der Erzeugung der Schlüssel durchführen) führt der zufällige Anfangswert sowohl zu dem öffentlichen als auch dem privaten Schlüssel. Und dadurch könnte wiederum ein Angreifer ein versuchsweises Paßwort validieren, indem er den Sitzungsschlüssel abruft.
Die Möglichkeit, den Anfangswert eines Zufallszahlengenerators zu übertragen, funktioniert bei einem exponentiellen Schlüsselaustausch. Da der Prim-Modul sowieso öffentlich sein kann, muß nichts verborgen werden. Leider erfordert diese Möglichkeit, daß beide Teilnehmer den Schritt des Erzeugens großer Primzahlen durchführen, obwohl sie dabei bezüglich der erforderlichen Modulgröße sparen. Es kann angebracht sein, den Kompromiß erneut zu betrachten, wenn sehr schnelle Lösungen des Problems des diskreten Logarithmus gefunden werden.
5. Die Vorrichtung zur Ausführung des Nachrichtenaustauschs
6 zeigt ein Ausführungsbeispiel einer Vorrichtung, die den im Abschnitt 2 beschriebenen Nachrichtenaustausch ausführen kann. Diese Ausführungsform kann von Durchschnittsfachleuten leicht modifiziert werden, um eine beliebige Ausführungsform der Erfindung durchzuführen.
Alice 601 und Bob 603 sind zwei Computer oder andere standardmäßige Verarbeitungs- und Kommunikationsstationen oder -geräte, die ein Geheimnis P teilen, das in einem Register oder dergleichen 600 gespeichert werden kann, und möchten einen vertraulichen und authentifizierten Kommunikationskanal 629 herstellen. Das Geheimnis P wird in einem Register oder dergleichen sowohl in Alice als auch in Bob gespeichert. Alice umfaßt einen Sender 602, einen Empfänger 612, eine Schlüssel-Validierungsvorrichtung 619 und eine Sitzungskommunikationseinheit 625. Der Sender 602 nimmt als Eingabe das Geheimnis P an. Der Sender 602 enthält einen Generator 605 für asymmetrische Schlüssel, der einen öffentlichen Schlüssel und einen privaten Schlüssel erzeugt. Der öffentliche Schlüssel wird zu einem Verschlüsseler 607 für symmetrische Schlüssel weitergeleitet. Der Verschlüsseler 607 für symmetrische Schlüssel nimmt als Eingabe auch das Geheimnis P an und verschlüsselt den öffentlichen Schlüssel oder einen Teil davon mit dem geheimen Schlüssel P als der Schlüssel zur Bildung einer Einleitungsnachricht. Die Einleitungsnachricht wird von dem Verschlüsseler 607 für symmetrische Schlüssel zu einem Kommunikationskanal 609 weitergeleitet und dort zu einem Empfänger 610 in Bob übertragen.
Der Empfänger 610 umfaßt einen Entschlüsseler 611 für symmetrische Schlüssel. Der Entschlüsseler 611 für symmetrische Schlüssel nimmt als Eingabe die Einleitungsnachricht und das Geheimnis P an und entschlüsselt die Einleitungsnachricht, um den öffentlichen Schlüssel wiederherzustellen. Der öffentliche Schlüssel wird zu dem Sender 620 weitergeleitet. Der Sender 620 umfaßt einen Verschlüsseler 616 für symmetrische Schlüssel, einen Verschlüsseler 617 für asymmetrische Schlüssel und einen Generator 618 für symmetrische Schlüssel. Der Generator 618 für symmetrische Schlüssel erzeugt einen zufälligen symmetrischen Schlüssel, der zu dem Verschlüsseler 617 für asymmetrische Schlüssel weitergeleitet wird. Der Verschlüsseler 617 für asymmetrische Schlüssel nimmt als Eingabe auch den öffentlichen Schlüssel aus dem Empfänger 610 an und verschlüsselt den symmetrischen Schlüssel mit dem öffentlichen Schlüssel, um einen verschlüsselten Schlüssel zu bilden. Der verschlüsselte Schlüssel wird zu dem Verschlüsseler 616 für symmetrische Schlüssel weiterge leitet, der als Eingabe auch das Geheimnis P annimmt, und dort wird der verschlüsselte Schlüssel weiter mit dem Geheimnis P verschlüsselt, um eine Antwortnachricht zu bilden. Die Antwortnachricht wird von dem Verschlüsseler 616 für symmetrische Schlüssel zu einem Kommunikationskanal 615 weitergeleitet und dort zu einem Empfänger 612 in Alice übertragen.
Der Empfänger 612 umfaßt einen Entschlüsseler 614 für symmetrische Schlüssel und einen Entschlüsseler 613 für asymmetrische Schlüssel. Der Entschlüsseler 614 für symmetrische Schlüssel nimmt als Eingabe das Geheimnis P und die Antwortnachricht an, entschlüsselt die Antwortnachricht, um den verschlüsselten Schlüssel wiederherzustellen, und leitet ihn zu dem Entschlüsseler 613 für asymmetrische Schlüssel weiter. Der Entschlüsseler 613 für asymmetrische Schlüssel nimmt als Eingabe auch den privaten Schlüssel an, der von dem Generator 605 für asymmetrische Schlüssel weitergeleitet wurde, und verwendet ihn zur Entschlüsselung des verschlüsselten Schlüssels, um den symmetrischen Schlüssel wiederherzustellen. Der symmetrische Schlüssel wird von dem Entschlüsseler 613 für asymmetrische Schlüssel zu der Schlüsselvalidierungsvorrichtung 619 weitergeleitet. Analog leitet der Schlüsselgenerator 618 in Bob den symmetrischen Schlüssel zu der Schlüsselvalidierungsvorrichtung 623 von Bob weiter. Der Schlüsselgenerator 619 von Alice und der Schlüsselgenerator 623 von Bob kommunizieren über einen Kommunikationskanal 621 miteinander, um den symmetrischen Schlüssel zu validieren. Der Zweck des Validierens des Schlüssels besteht darin, daß sich kein unautorisierter Lauscher, der möglicherweise das Geheimnis P entdeckt hat, sich entweder für Alice oder Bob ausgeben kann.
Nach der Validierung leitet die Schlüsselvalidierungsvorrichtung 619 von Alice den symmetrischen Schlüssel zu der Sitzungskommunikationseinheit 625 weiter, die den Schlüssel bei der weiteren Kommunikation mit Bob über den Kommunikationskanal 629 verwendet. Obwohl die Kommunikationskanäle 609, 615, 621 und 629 der Einfachheit halber als separate Kanäle gezeigt sind, versteht sich, daß in der Praxis zwei oder mehr dieser Kanäle derselbe physische Kanal sein können, der gemäß wohlbekannten Prinzipien und Praktiken geeignet gemultiplext werden kann. Analog leitet die Schlüsselvalidierungsvorrichtung 623 von Bob den symmetrischen Schlüssel zu einer Sitzungskommunikationseinheit 627 weiter, die den Schlüssel bei der weiteren Kommunikation mit Alice über den Kommunikationskanal 629 verwendet.
6. Anwendungen
Ausführungsformen der Erfindung können für sichere öffentliche Fernsprecher verwendet werden. Wenn jemand einen sicheren öffentlichen Fernsprecher verwenden möchte, werden in der Regel einige Schlüsselinformationen bereitgestellt. Herkömmliche Lösungen erfordern, daß der Anrufer einen physischen Schlüssel besitzt. Ausführungsformen der Erfindung gestattet die Verwendung eines kurzen, über Tastenfeld eingegebenen Paßworts, verwendet jedoch einen wesentlich längeren Sitzungsschlüssel für den Anruf.
Ausführungsformen der vorliegenden Erfindung können mit zellularen Fernsprechern verwendet werden. Ein Problem in der Zellularindustrie ist bisher der Betrug gewesen; Ausführungsformen der können dann vor Betrug schützen (und die Vertraulichkeit des Anrufs sicherstellen), indem ein Fernsprecher nutzlos wird, wenn keine PIN oder ein anderer Schlüssel eingegeben werden. Da die PIN oder der andere Schlüssel nicht in dem Fernsprecher gespeichert ist, ist es nicht möglich, einen aus einer gestohlenen Einheit abzurufen.
Ausführungsformen der Erfindung liefern außerdem einen Ersatz für das Interlock-Protokoll von Rivest und Shamir (R.L. Rivest und A. Shamir, "How to Expose an Eavesdropper", Communications of the ACM, Band 27, Nr. 4, 393-95 (1984)).

Claims

Verfahren zur Kommunikation zwischen mehreren Teilnehmern, bestehend aus mindestens einem Teilnehmer A und einem Teilnehmer B, die jeweils Zugang zu einem Authentifikationssignal haben, wobei bei dem Verfahren durch Verwendung des Authentifikationssignals ein kryptographischer Schlüssel zu einem ersten Kryptosystem mit symmetrischen Schlüsseln erzeugt wird, wobei das Verfahren jene der folgenden Schritte umfasst, die von Teilnehmer A durchzuführen sind, oder jene, die von Teilnehmer B durchzuführen sind: a) A erzeugt einen öffentlichen Schlüssel und einen privaten Schlüssel zu einem Kryptosystem mit öffentlichen Schlüsseln, bildet ein den öffentliches Schlüssel umfassendes erstes Signal und überträgt das erste Signal auf B; b) B empfängt das erste Signal; c) B erzeugt den kryptographischen Schlüssel und bildet ein zweites Signal durch Verschlüsselung mindestens eines Teils des kryptographischen Schlüssels mit einem Kryptosystem mit öffentlichen Schlüsseln unter Verwendung des öffentlichen Schlüssels; d) B überträgt das zweite Signal auf A; und e) A empfängt das zweite Signal und erzeugt den kryptographischen Schlüssel auf der Grundlage des zweiten Signals und des privaten Schlüssels; dadurch gekennzeichnet, daß mindestens ein Teil des ersten Signals durch A mit einem zweiten Kryptosystem mit symmetrischen Schlüsseln unter Verwendung eines Schlüssels K2 auf der Grundlage des Authentifikationssignals verschlüsselt wird oder mindestens ein Teil des zweiten Signals durch B mit einem dritten Kryptosystem mit symmetrischen Schlüsseln unter Verwendung eines Schlüssels K3 auf der Grundlage des Authentifikationssignals verschlüsselt wird oder sowohl das erste als auch das zweite Signal auf diese Weise verschlüsselt werden; und jeder sich ergebende verschlüsselte Teil des ersten und/oder des zweiten Signals in verschlüsselter Form gesendet und von dem das Signal empfangenden Teilnehmer mit dem zweiten bzw. dritten Kryptosystem mit symmetrischen Schlüsseln unter Verwendung des Schlüssels K2 bzw. K3 entschlüsselt wird.
Verfahren nach Anspruch 1, wobei das erste Kryptosystem mit symmetrischen Schlüsseln, das zweite Kryptosystem mit symmetrischen Schlüsseln und das dritte Kryptosystem mit symmetrischen Schlüsseln identisch sind.