DE69333257T2

DE69333257T2 - Anlage für Signalschaltung und -verarbeitung

Info

Publication number: DE69333257T2
Application number: DE69333257T
Authority: DE
Inventors: David Lawrence Indianapolis Albean
Original assignee: Thomson Consumer Electronics Inc
Current assignee: Technicolor USA Inc
Priority date: 1992-08-28
Filing date: 1993-08-19
Publication date: 2004-07-15
Anticipated expiration: 2013-08-20
Also published as: CN1043944C; DE69333257D1; KR940005143A; MY109281A; JPH06216805A; EP1083656B1; MX9305215A; CA2100154C; US5377272A; EP0584718B1; CN1085375A; SG55013A1; EP0584718A1; EP1083656A3; JP3138975B2; DE69330108D1; DE69330108T2; USRE40960E1; ES2204422T3; EP1083656A2

Description

Hintergrund der Erfindung
Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich auf ein Verschlüsselungssystem, und insbesondere auf eine Datensicherheit zur Bestätigung von Sender und Empfänger, gemeinsame Nutzung eines Verschlüsselungscodes und ein Zertifizierungsprotokoll auf dem Gebiet der verschlüsselten Kommunikation ohne Kenntnis.
Verwandter Stand der Technik
Herkämmliche Verschlüsselungssysteme können in zwei Hauptgxuppen unterteilt werden. In einer Kategorie der Verschlüsselungssysteme kann ein Verschlüsselungscode einer Schlüsselanalyse unterzogen werden, wenn eine bestimmte Anzahl von Kryptogrammen verfügbar ist, das heißt, der Schlüssel aufeinanderfolgend ausgegebener Kryptogramme kann leicht analysiert werden. Ein derartiges Verschlüsselungssystem wird als System A bezeichnet. Typische Beispiele des Systems A sind die Feistel-Verschlüsselung, wie BES (pata Encryption Standard) oder FEAL (Fast Encryption Algorithm), oder ein lineares Rückkopplungs-Schieberegistersystem {das nachstehend LFSR-System genannt wird) oder ein nichtlineares Rückkopplungs-Schieberegzstersystem, das ein Schieberegister verwendet.
Wie es in 12 gezeigt ist, umfasst das LFSR-System eine Stufe von Schieberegistern R(t)= (r_s(t), r_s–1(t), ..., r₂(t), r₁(t)) und Anzapfungen (h_s, h_s–1, ..., h₂, h₁). Es führt die folgenden Operationen für jeden Zeitpunkt (Stopp) zur Erzeugung einer Pseudozufallszahlenfolge gleichzeitig durch.

(a) Ausgabe des Bits r₁(t) des Registers ganz rechts als Pseudozufallsfolge kt = r1(t)
(b) r_s(t), r_s–1(t), ..., r₂(t) nach rechts verschieben r1(t + 1) = rs+1(t) (i = 1, 2, ..., s – 1)
(c) Berechnen des Bits r_s(t + 1) des Registers ganz links beruhend auf dem Inhalt des Registers und der Anzapfungen.

Zusammenfassend kann der Algorithmus des LFSR-Systems zur Erzeugung einer Pseudozufallszahlenfolge unter Verwendung einer s-Reihen- und s-Spalten-Matrix H wie folgt ausgedrückt werden: R(t + 1) = H·R(t)mod2 (1)das heißt,
Durch geeignete Auswahl der Anzapfungen des s-Stufen-LFSR-Systems kann eine Pseudozufallsbitfolge mit einer maximalen Periode von 2^s – 1 erzeugt werden, und ihre Folge ist die Folge mit maximaler Periode wie vorstehend beschrieben.
Allerdings können bei dem Zufallszahlensequenzerzeugungsverfahren unter Verwendung des LFSR-Systems die s-Stufen-Anzapfungen (h_s, h_s–1, ..., h₂, h₁) beruhend auf einer ausgegebenen 2s-Bit-Zufallszahlenfolge auf folgende Weise durch die Verwendung der Linearität des LFSR-Systems bestimmt werden.
Unter der Annahme, dass die ausgegebene Pseudozufallszahlenfolge k₁, k₂, ..., k_2s ist, sind die Inhalte R(t) des Registers zu den Zeitpunkten t (t = 1, 2, ..., s + 1) wie folgt dargestellt: R(1) = (ks, ks–1, ..., k1)T R(2) = (ks–1, ks, ..., k2)T ... R(s + 1) = (k2s, k2s–1, ..., ks–1)T wobei ^T eine Transponierung darstellt. Sind die Matrizen X und Y wie folgt gegeben: X = (R(1), R(2), ..., R(s)) Y = (R(2), R(3), ..., R(s + 1))ist folgende Beziehung aus Formel (1) erfüllt: Y = H·X, das heißt, H = Y·X–1 (2)
Somit wird H bestimmt und die Anzapfungen werden bestimmt.
Das heißt, die Periode der Zufallszahlenfolge ist 2^s – 1, und der Aufbau des LFSR-Systems ist durch 2s Bits bestimmt. Da in diesem Fall alle nach diesem Zeitpunkt erzeugten Zufallszahlenfolgen bekannt sind, ist die Verwendung der ausgegebenen Zufallszahlenfolge für Verschlüsselungszwecke hinsichtlich der Sicherheit nicht geeignet.
Es ist bekannt, dass sich die Anzahl der Zufallszahlen, die die Analyse der ausgegebenen Zufallszahlenfolgen benötigt, sich erhöht, wenn das nichtlineare Rückkopplungs-Schieberegister verwendet wird. Allerdings kann das LFSR-System einer minimalen Anzahl an Stufen, das die Folge erzeugen kann, durch den Berlekamp-Massey-Algorithmus bestimmt werden (E. R. Berlekamp „Algebraic Coding Theory", McGraw-Hills Books Company, 1968), und das Zufallszahlenfolgeerzeugungssystem, das das nichtlineare Rückkopplungs-Schieberegister verwendet, kann durch das Verfahren der Formel (2) analysiert werden.
Bei DES und FEAL kann eine Suche durch ein Kryptoanalyseverfahren schneller als eine insgesamte Codesuche (Suche nach 2⁵⁶ Codes) bewirkt werden, das differenzielle Kryptoanalyse genannt wird (E. Biham, A. Shamir: „Differential Cryptoanalysis of DES-like Cryptosystems", Journal of Cryptology, Band 4, Nr. 1, Seiten 3–72, 1992). In einer jüngsten Studie wird gezeigt, dass die 16-Stufen des DES durch 2⁴⁷ bekannte übliche Textattacken krypto-analysiert werden können, wobei das 8-Stufen-DES-System durch 2²¹ bekannt übliche Textattacken krypto-analysiert und das 8-Stufen-FEAL-System durch 2¹⁵ bekannte übliche Textattacken krypto-analysiert werden kann, und es wird erwartet, dass sich die Zahl der Suchen mit dem Fortschreiten der Studie verringern wird.
Allerdings werden diese Systeme in der Praxis häufig verwendet, da ein Verschlüsselungsvorgang mit hoher Geschwindigkeit mit einer einfachen Operation bewirkt werden kann. Somit erzielt das System A die Hochgeschwindigkeitsoperation, obwohl es keine Sicherheit bietet.
Andererseits wird ein vom System A verschiedenes Verschlüsselungssystem als System B bezeichnet, bei dem es sehr schwierig ist, eine verschlüsselte Ausgabe, die nachfolgend erzeugt werden wird, lediglich anhand der vor einem bestimmten Zeitpunkt erzeugten verschlüsselten Ausgabe vorherzusagen. Ist die verschlüsselte Ausgabe eine Zufallszahl, ist ein typisches Beispiel des Systems B ein Quadratresiduenverfahren, das in einem Artikel von L. Blum, M. Blum und S. Shub „Comparison of Two Pseudo-Random Number Generators", Advances in Cryptology: Proceeding of Crypto 82 offenbart ist.
Wird bei diesem Verfahren die Zufallszahlenfolge durch {b₁, b₂, ..., } dargestellt ist, ist das Bit b_i gegeben durch xi+1 = xi 2mod n (i = 0, 1, 2, ...) b1 = lsb(xi) (i = 0, 1, 2, ...)wobei x₀ ein willkürlich gegebener Anfangswert ist, n = p·q (p, q sind Primzahlen) ist, und lsb(x) das niedrigstwertige Bit von x darstellt.
Es ist bekannt, dass die Bestimmung von b_i+1 lediglich aus der Zufallszahlenfolge {b₁, b₂, ..., b_i}, die durch dieses Verfahren erzeugt wird, so zeitintensiv ist, wie eine Faktorisierung von n. Das heißt, der Rechenaufwand zur Bestimmung der nach einem Zeitpunkt erzeugten Zufallszahl beruhend auf den bis zu diesem Zeitpunkt erzeugten Zufallszahlen ist gleich dem Berechnungsaufwand, der für eine Faktorzerlegung von n erforderlich ist. Die durch dieses Verfahren gegebene Zufallszahl wird nachstehend als Quadratresiduenzufallszahl bezeichnet. (b₁ kann nicht nur das niedrigstwertige Bit von x_i, sondern das niedrigstwertige Bit von log₂ n Bits umfassen.)
Um die Faktorisierung von n hinsichtlich des Berechnungsaufwandes zu erschweren, ist es allerdings erforderlich, p und q auf mehrere hundert Bits zu erhöhen. Die durch das Verfahren erzeugten Zufallszahlen, die die Vorhersage der Zufallszahlen, die nachfolgend erzeugt werden, beruhend auf der bis zu diesem Zeitpunkt erzeugten Zufallszahlenfolge bezüglich des Berechnungsaufwandes schwierig macht, werden als kryptologisch sichere Pseudozufallszahlen bezeichnet.
Im vorstehenden Fall ist der Berechnungsaufwand zur Berechnung x_i+1 = x_i ² mod n auch groß und die Zufallszahl kann nicht mit hoher Geschwindigkeit erzeugt werden. Das heißt, gegenüber dem System A sichert das System B Sicherheit zu, kann aber keine Operation mit hoher Geschwindigkeit erzielen. Ein weiteres Beispiel des Systems B ist eine diskrete logarithmische Zufallszahl (M. Blum und S. Micali: „How to generate cryptographically strong sequences of pseudo-random bits". 32rd IEEE FOCS, Seiten 112–117, 1982), die die gleiche Sicherheit wie bei der Bestimmung einer RSA-Zufallszahl (B. Chor und O. Goldreich: „RSA/Rabin least significant bits are ½ + 1/poly(n) secure", Advances in Cryptology: Proceedings of Crypto 84, G. R., 1984) oder ein diskreter Logarithmus sicherstellt. Es hat auch noch ein ähnliches Merkmal dahingehend, dass es Sicherheit bietet aber keine Hochgeschwindigkeitsoperation erzielt. Somit ermöglicht das System A eine Operation mit hoher Geschwindigkeit, bietet aber keine Sicherheit, während das System B anders als das System A Sicherheit hinsichtlich des Berechnungsaufwandes bietet, aber keine Operation mit hoher Geschwindigkeit bewirkt.
In der US-A-4 860 353 ist ein Codestromgenerator offenbart mit einer Verwürfelungstechnik mit dynamischer Rückkopplungsanordnung. Der Codestromgenerator enthält zwei unabhängige Rückkopplungs-Schieberegister, von denen eines eine dynamische Rückkopplung aufweist, während das andere eine statische Rückkopplung hat. Die Datenbits werden durch die Registerstufen entsprechend einem Polynomcode verschoben. Der Polynomcode für ein Schieberegister wird zum Variieren derart veranlasst, dass die Schwierigkeit einer nicht autorisierten Duplikation des Codestroms erhöht wird.
In der US-A-4 369 434 ist ein Verschlüsselungs-/Entschlüsselungssystem offenbart. Der Verschlüsselungsund der Entschlüsselungsabschnitt des Systems enthalten jeweils einen Zufallszahlengenerator, der Zufallszahlen beruhend auf einem Anfangswert erzeugt. Der Verschlüsselungs- und der Entschlüsselungsabschnitt enthalten auch einen Speicher, wo eine Vielzahl von Anfangswerten gespeichert ist.
Kurzzusammenfassung der Erfindung
Der Erfindung liegt die Aufgabe zugrunde, eine Verschlüsselungsvorrichtung, die bezüglich der hohen Geschwindigkeit mit dem System A und bezüglich der Sicherheit mit dem System B kompatibel ist, ein Kommunikationssystem, das die Vorrichtung verwendet, und ein Verfahren dafür auszubilden.
Gemäß einer ersten Ausgestaltung der Erfindung ist eine Vorrichtung zur Erzeugung einer Bitfolge zur Verschlüsselung einer Kommunikation ausgebildet, mit
einer ersten Erzeugungseinrichtung zur Erzeugung einer Bitfolge beruhend auf einem ersten Parameter,
einer zweiten Erzeugungseinrichtung zur Erzeugung einer Zufallszahlenfolge unter Verwendung eines zweiten Parameters als Anfangswert, und
einer Modifikationseinrichtung zum periodischen Modifizieren des ersten Parameters unter Verwendung zumindest eines Teils der durch die zweite Erzeugungseinrichtung erzeugten Zufallszahlenfolge, dadurch gekennzeichnet, dass
die erste und die zweite Erzeugungseinrichtung derart eingerichtet sind, dass die durch die zweite Erzeugungseinrichtung erzeugte Zufallszahlenfolge mit einer geringeren Rate als die Rate erzeugt wird, mit der die Bitfolge durch die erste Erzeugungseinrichtung erzeugt wird, und die durch die zweite Erzeugungseinrichtung erzeugte Zufallszahlenfolge einen größeren Berechnungsaufwand zur Verschlüsselungsanalyse als die durch die erste Erzeugungseinrichtung erzeugte Bitfolge erfordert, da ein Prozess mit einer Komplexität gleich der Lösung des Faktorisierungsproblems oder des diskreten Logarithmusproblems erforderlich ist.
Gemäß einem bevorzugten Ausführungsbeispiel der ersten Ausgestaltung der Erfindung umfasst die erste Erzeugungseinrichtung
eine Halteeinrichtung zum Halten von Daten;
eine Umsetzungseinrichtung zum Empfangen der durch die Halteeinrichtung gehaltenen Daten und zur Umsetzung der empfangenen Daten beruhend auf einem Parameter in einer Folge von Parametern;
eine Aktualisierungseinrichtung zur Aktualisierung der durch die Halteeinrichtung gehaltenen Daten entsprechend dem Umsetzungsergebnis von der Umsetzungseinrichtung;
eine Einrichtung zur sequentiellen Erzeugung eines Abschnitts der durch die Halteeinrichtung gehaltenen Daten als Zufallszahlenfolge,
wobei die Modifizierungseinrichtung zur Modifikation der Folge von Parametern mit einer durch die Rate einer Zufallszahlenfolgenerzeugung der zweiten Erzeugungseinrichtung bestimmten Rate eingerichtet ist.
Gemäß einer zweiten Ausgestaltung der Erfindung ist ein Verfahren zur Erzeugung einer Bitfolge zur Verschlüsselung einer Kommunikation ausgebildet, mit:
einem ersten Erzeugungsschritt zur sequentiellen Erzeugung einer Bitfolge beruhend auf einem ersten Parameter;
einem zweiten Erzeugungsschritt zur sequentiellen Erzeugung einer Zufallszahlenfolge unter Verwendung eines zweiten Parameters als Anfangswert, und
einem Modifizierungsschritt zum periodischen Modifizieren des ersten Parameters unter Verwendung zumindest eines Teils der während des zweiten Zufallszahlenerzeugungsschritts erzeugten Zufallszahlenfolge,
gekennzeichnet durch
die Erzeugung einer Zufallszahlenfolge während des zweiten Erzeugungsschritts mit einer Rate, die geringer als die Rate ist, mit der die Bitfolge während des ersten Erzeugungsschritts erzeugt wird, und die Erzeugung einer Zufallszahlenfolge im zweiten Erzeugungsschritt, die einen größeren Berechnungsaufwand zur Verschlüsselungsanalyse als die während des ersten Erzeugungsschritts erzeugte Bitfolge erfordert, da ein Prozess mit einer Komplexität gleich dem Lösen des Faktorisierungsproblems oder des diskreten Logarithmusproblems erforderlich ist.
Gemäß einem bevorzugten Ausführungsbeispiel der zweiten Ausgestaltung der Erfindung umfasst der erste Erzeugungsschritt
einen Halteschritt zum Halten von Daten,
einen Umsetzungsschritt zum Empfangen der während des Halteschritts gehaltenen Daten und zum Umsetzen der empfangenen Daten beruhend auf einem Parameter in einer Folge von Parametern,
einen Aktualisierungsschritt zur Aktualisierung der während des Halteschritts gehaltenen Daten entsprechend dem im Umsetzungsschritt erzeugten Umsetzungsergebnis, und
einen Erzeugungsschritt zur sequentiellen Erzeugung eines Abschnitts der während des Halteschritts gehaltenen Daten als Zufallszahlenfolge,
wobei die Folge von Parametern während des Modifizierungsschritts mit einer Rate modifiziert wird, die durch die Rate einer Zufallszahlenfolgenerzeugung während des zweiten Erzeugungsschritts bestimmt wird.
Weitere Aufgaben und Vorteile neben den vorstehend beschriebenen werden aus der folgenden Beschreibung der bevorzugten Ausführungsbeispiele ersichtlich. In der Beschreibung wird auf die beiliegende Zeichnung Bezug genommen, die Ausführungsbeispiele der Erfindung zeigt. Diese Beispiele erschöpfen jedoch nicht die verschiedenen Ausführungsbeispiele der Erfindung, und daher wird für den Schutzbereich der Erfindung auf die beiliegenden Patentansprüche Bezug genommen.
Kurzbeschreibung der Zeichnung
1A und 1B zeigen grundlegende Strukturen einer Verschlüsselungsvorrichtung und einer Zufallszahlerzeugungsschaltung gemäß einem Ausführungsbeispiel der Erfindung,
2 zeigt eine Verschlüsselungsvorrichtung, wenn das DES-System als System A und das Quadratresiduenzufallszahlensystem als System B verwendet werden,
3 zeigt eine Zufallszahlerzeugungsschaltung, wenn das LFSR-System als System A und das Quadratresiduenzufallszahlensystem als System B verwendet werden,
4 zeigt ein ausführliches Blockschaltbild einer Zufallszahlerzeugungsschaltung, die eine UND-Schaltung für die lineare Umwandlung verwendet,
5 zeigt ein ausführliches Blockschaltbild einer Zufallszahlerzeugungsschaltung, die das LFSR-System verwendet,
6 zeigt eine Zufallszahlerzeugungsschaltung, wenn ein nichtlineares Rückkopplungs-Schieberegister als System A und das Quadratresiduenzufallszahlsystem als System B verwendet werden,
7 zeigt ein Blockschaltbild einer Zufallszahlerzeugungsschaltung, die eine Vielzahl von Registern verwendet,
8A und 8B zeigen eine Zufallszahlerzeugungsschaltung, wenn zwei verschiedene LFSR-Systeme verwendet werden, und eine Verschlüsselungsvorrichtung, wenn zwei verschiedene Zufallszahlerzeugungssysteme verwendet werden,
9 zeigt ein kryptografisches Kommunikationsnetz mit gemeinsam genutztem Code,
10 zeigt ein Blockschaltbild einer Kommunikationsvorrichtung mit der Verschlüsselungsvorrichtung und der Eetschlüsselungsvorrichtung,
11 zeigt ein Kommunikationssystem, das eine Geheimkommunikation durchführt, und
12 zeigt ein Blockschaltbild einer herkömmlichen Zufallszahlerzeugungsschaltung, die das LFSR-System verwendet.
1 zeigt ein Blockschaltbild einer grundlegenden Struktur der Verschlüsselungsvorrichtung gemäß einem Ausführungsbeispiel der Erfindung. In 1A wird eine Verschlüsselungsschaltung 12 für die Schaltung des Systems A verwendet, und in 1B wird eine Zufallszahlerzeugungsschaltung 13 für das System A verwendet. Das Ausführungsbeispiel umfasst eine erste Schaltung (die Verschlüsselungsschaltung 12 oder die Zufallszahlerzeugungsschaltung 13), die das System A verwendet, und eine zweite Schaltung (die Zufallszahlerzeugungsschaltung 11), die das System B verwendet, und steuert das Umsetzungssystem in der ersten Schaltung (der Verschlüsselungsschaltung 12 oder der Zufallszahlerzeugungsschaltung 13) durch Verwendung der durch die zweite Schaltung (die Zufallszahlerzeugungsschaltung 11) erzeugten Zufallszahl als Parameter, während ein von einem Sender und einem Empfänger gemeinsam genutzter kryptografischer Code ein Anfangswert ist, sodass die hohe Geschwindigkeit, die das Merkmal des Systems A ist, und die Sicherheit, die das Merkmal des Systems B ist, auf folgende Weise erhalten werden.
Das Umsetzungsschema für den kryptografischen Code des Systems A wird durch die Verwendung der Zufallszahl vom System B als Parameter geändert, bevor die Anzahl der Kryptogramme (oder Zufallszahlenfolgen), die durch das Verschlüsselungssystem (beziehungsweise die Zufallszahlerzeugungsschaltung) des Systems A ausgegeben werden, die Anzahl der Kryptogramme (oder Zufallszahlenfolgen) überschreiten, die für die Kryptoanalyse des Systems A erforderlich sind, oder in die Nähe dieser Anforderung kommen, sodass die Ansammlung der Kryptogramme (oder Zufallszahlenfolgen), die für die Kryptoanalyse erforderlich sind, schwer wird.
Da es in diesem Fall ausreicht, die Zufallszahl durch das System B zu erzeugen, bevor die Zahl der Kryptogramme (oder Zufallszahlenfolgen), die durch die Verschlüsselung (oder Zufallszahlerzeugung) durch das System A ausgegeben werden, die für die Kryptoanalyse des Systems A erforderliche Anzahl überschreitet, muss die Zufallszahlenerzeugung des Systems B nicht mit hoher Geschwindigkeit durchgeführt werden. Da aber die endgültige Ausgabe als Kryptogramm (oder Zufallszahlenfolge) vom System A kommt, kann insgesamt die Hochgeschwindigkeitsverschlüsselung (oder Zufallszahlenerzeugung) des Systems A erreicht werden.
Hinsichtlich der Sicherheit wird die Sammlung einer Anzahl von Kryptogrammen (oder Zufallszahlenfolgen), die für die Kryptoanalyse des Systems A erforderlich sind, wie vorstehend beschrieben schwer gemacht. Selbst wenn sich die Anzahl der Kryptogramme (oder Zufallszahlenfolgen), die zur Kryptoanalyse des Systems A erforderlich sind, in Zukunft verringert, wenn die Studie fortschreitet, sodass die Kryptoanalyse des Systems A ermöglicht ist, ist die Kryptoanalyse auf lediglich die Zufallszahlen beschränkt, die in das System A vom System B eingegeben werden, und es ist hinsichtlich des Berechnungsaufwandes immer noch schwierig, den in das System B eingegebenen Verschlüsselungscode einer Kryptoanalyse beruhend auf den Zufallszahlen zu unterziehen. Da der Verschlüsselungscode der Verschlüsselung (oder der Zufallszahlenerzeugung) in den 1A und 1B der in das System B eingegebene Verschlüsselungscode ist, wird die Gesamtsicherheit durch die Sicherheit des Systems B sichergestellt.
Demnach wird eine Verschlüsselung sichergestellt, die mit der Sicherheit und der Hochgeschwindigkeit kompatibel ist und bisher noch nicht erzielt wurde.
[Ausführungsbeispiel 1]
2 zeigt ein Ausführungsbeispiel, das die DES-Verschlüsselungsschaltung 22 als Verschlüsselungsschaltung 12 des Systems A in den 1A und 1B und die Quadratresiduenzufallszahlerzeugungsschaltung 21 als die Zufallszahlerzeugungsschaltung des Systems B verwendet. Da bei diesem Ausführungsbeispiel das Umsetzungssystem der DES-Verschlüsselung durch den kryptografischen beziehungsweise Verschlüsselungscode des DES-Systems gesteuert wird, wird der Verschlüsselungscode der DES-Verschlüsselung durch die Zufallszahl von der Zufallszahlerzeugungsschaltung des Systems B geändert.
Wie vorstehend beschrieben wurde die Sicherheit des DES-Systems fraglich, als ein mächtiges Kryptoanalyseverfahren vorgeschlagen wurde, das differenzielles Kryptoanalyseverfahren genannt wird, und als Gegenmaßnahme wurde ein System zur Änderung des Codes in Abhängigkeit von einem Zwischenwert eines endgültigen Wertes des DES-Systems vorgeschlagen.
Dieses System kann zwar bis zu einem gewissen Ausmaß die Sicherheit verbessern, jedoch wurde keine energische Analyse durchgeführt, da es dem herkömmlichen DES-System diente und die Sicherheit nicht geboten ist. Da außerdem die Änderung des Codes vom Zwischenwert oder endgültigen Wert des DES-Systems abhängt, ist es sehr wahrscheinlich, dass es durch ein verbessertes Verfahren des differenziellen Kryptoanalyseverfahrens einer Kryptoanalyse unterzogen werden kann. Andererseits ist das vorliegende System, das den Code des DES-Systems durch das System B ändert, das eine hohe Sicherheit bietet, sehr sicher.
Bei der Vorrichtung in 2, die das Quadratresiduenzufallszahlensystem als System B verwendet, lautet die Verschlüsselungsprozedur wie folgt:

1) Ein Verschlüsselungscode wird als Anfangswert in der Quadratresiduenzufallszahlerzeugungsschaltung eingestellt.
2) Die Quadratresiduenzufallszahlerzeugungsschaltung erzeugt einen Teil oder die gesamte 56-Bit-Zufallszahl beruhend auf dem gegebenen Anfangswert und gibt sie zur DES-Schaltung als ersten Verschlüsselungscode des DES-Systems aus.
3) Die DES-Schaltung wandelt einen eingegebenen üblichen Text entsprechend dem gegebenen Verschlüsselungscode in ein Kryptogramm um und gibt es aus.
4) Die Quadratresiduenzufallszahlerzeugungsschaltung berechnet einen Teil oder die gesamte 56-Bit-Zufallszahl, die als nächster Verschlüsselungscode des DES-Systems verwendet wird, bevor die Anzahl ausgegebener Kryptogramme die Anzahl überschreitet, die für die Kryptoanalyse des Verschlüsselungscodes des DES-Systems erforderlich ist, und gibt sie zur DES-Schaltung aus.
5) Dann werden die Schritte 3) und 4) wiederholt.

Bei diesem Vorgang sind alle oder ein Teil der in Schritt 3 ausgegebenen Kryptogramme die Kryptogramme, die bei diesem Ausführungsbeispiel erzeugt werden.
Da die Quadratresiduenzufallszahlerzeugungsschaltung 21 durch Wiederholung der Restmultiplikation beziehungsweise Residuenmultiplikation X·Y mod N realisiert werden kann, kann sie durch einen Hardwareaufbau oder eine Softwareberechnung durch eine CPU implementiert werden.
[Ausführungsbeispiel 2]
3 zeigt ein Blockschaltbild, wenn das LFSR-System als System A und das Quadratresiduenzufallszahlsystem als System B verwendet werden. Das LFSR-System in 3 umfasst n-Stufen-Schieberegister R(t) = [r_n(t) , r_n-1(t) , ..., r₂(t), r₁(t)] und Anzapfungen [h_n, h_n–1, ..., h₂, h₁] . Die Werte der Anzapfungen [h_n, h_n–1, ..., h₂, h₁] werden durch die Zufallszahlen vom System B bestimmt. Der Ablauf der Zufallszahlenerzeugung dieses Ausführungsbeispiels ist folgender, wobei die Schritte 4) bis 6) gleichzeitig ausgeführt werden.

1) Anfangswerte werden im Schieberegister 31 und der Quadratresiduenzufallszahlerzeugungsschaltung 21 eingestellt.
2) die Quadratresiduenzufallszahlerzeugungsschaltung 32 erzeugt eine Zufallszahl beruhend auf dem gegebenen Anfangswert und gibt sie durch das LFSR-System zu einer linearen Umsetzungsschaltung 32 als ersten Parameter aus.
3) Die lineare Umsetzungsschaltung bestimmt die Werte der Anzapfungen, das heißt, das lineare Umsetzungssystem entsprechend dem in Schritt 2 gegebenen Parameter.
4) Jedes Register verschiebt den gegebenen Wert nach rechts.
5) Der Wert des Registers ganz rechts wird als Zufallszahl ausgegeben.
6) r₁·h₁ + r₂·h₂+ ..., + r_n·h_n wird entsprechend der bestimmten linearen Umsetzung berechnet und zum Register ganz links zurückgeführt.
7) Dann werden die Schritte 4) bis 6) wiederholt.

Die Quadratresiduenzufallszahlerzeugungsschaltung 21 berechnet einen Teil oder die gesamte Zufallszahl, die als nächster Parameter zu verwenden ist, bevor die Zahl der aus dem LFSR-System ausgegebenen Zufallszahlen die Anzahl der Zufallszahlen überschreitet, die zur Kryptoanalyse der Werte der Anzapfungen des LFSR-Systems erforderlich ist (bei diesem Ausführungsbeispiel ist sie gleich dem Doppelten der Anzahl der Stufen des Schieberegisters), und gibt sie zur linearen Umsetzungsschaltung 32 mit dem LFSR-System zur Änderung des linearen Umsetzungssystems aus.
Bei dem vorstehenden Ablauf sind alle oder ein Teil der in Schritt 5) ausgegebenen Werte die bei diesem Ausführungsbeispiel erzeugten Zufallszahlen. Der Anfangswert des Systems A in Schritt A kann ein Teil des Verschlüsselungscodes oder ein durch andere Mittel gegebener Wert sein. Eine Zufallszahlerzeugungsschaltung, die eine UND-Schaltung als lineare Umsetzungsschaltung verwendet, ist in 4 gezeigt. In 4 wird zuerst ein Anfangswert im Schieberegister eingestellt. Da der Wert des mit der UND-Schaltung verbundenen Registers die Werte h_n, h_n–1,
..., h₂, h₁ der Anzapfungen darstellt, verursacht die Änderung des Werts des Registers eine Änderung des linearen Umsetzungssystems. Wird der Wert des Registers durch Änderung des Parameters geändert, bevor die Anzahl der ausgegebenen Zufallszahlenfolgen das Doppelte der Anzahl der Stufen des Schieberegisters überschreitet, kann die Formel (2) nicht gelöst werden, und die Zufallszahlenfolge kann nicht kryptoanalysiert werden.
Nachdem die Anzahl der ausgegebenen Zufallszahlen das Doppelte der durch die Zufallszahlenfolgen bestimmten Linearitätskomplexität überschritten hat, wird in Schritt 6 der in die lineare Umsetzungsschaltung eingegebene Parameter derart geändert, dass lediglich das lineare Umsetzungssystem durch die Formel (2) analysiert wird, selbst wenn das lineare Umsetzungssystem geändert wird. Somit kann die Kryptoanalyse der folgenden Zufallszahlenfolgen nach der Änderung des linearen Umsetzungssystems durch den Parameter verhindert und die Sicherheit gewährleistet werden.
Wie es in 5 gezeigt ist, kann durch Kombinieren des kryptologisch sicheren Pseudozufallszahlenerzeugungsverfahrens und der Rückkopplung eines ROM 62, dessen Inhalt geheim gehalten wird, eine Parameterberechnungsschaltung 61 beruhend auf dem System B aufgebaut werden.
Die Parametererzeugungseinrichtung beruhend auf dem System B kann sogar nur durch die Rückkopplung des ROM gebildet werden, dessen Inhalt geheim gehalten wird, da die verbleibenden Werte des ROM nicht anhand der Werte des ROM erfasst werden können, die bisher erzeugt wurden.
Obwohl die Steuerung nur durch die Parameter, die durch die Parameterberechnungsschaltung erzeugt werden, als Steuerung des Umsetzungssystems der Zufallszahlenerzeugungseinrichtung beschrieben wurde, kann die Steuerung durch den kombinierten Parameter des Parameters in der Zufallszahlenerzeugungseinrichtung und des durch die Parameterberechnungsschaltung berechneten Parameters ausgeführt werden.
[Ausführungsbeispiel 3]
Bei der Zufallszahlerzeugungsschaltung durch das LFSR-System gemäß Ausführungsbeispiel 2 ist die Anzahl der für die Kryptoanalyse der ausgegebenen Zufallszahlenfolgen erforderlichen Zufallszahlen gleich dem doppelten der Anzahl an Stufen des LFSR-Systems. Wird das nichtlineare Rückkopplungs-Schieberegister als System A verwendet, kann die Anzahl der für die Kryptoanalyse erforderlichen Zufallszahlen größer als die des LFSR-Systems eingestellt werden. Demnach kann die Arbeitsgeschwindigkeit des Systems B zur Änderung des Umsetzungssystems des Systems A geringer sein.
Ein Ausführungsbeispiel, das das nichtlineare Rückkopplungs-Schieberegister verwendet, ist in 6 gezeigt, das eine Blockschaltbild der Zufallszahlerzeugungsschaltung zeigt, wenn das nichtlineare Rückkopplungs-Schieberegister der Erfindung verwendet wird.
Als Zufallszahlerzeugungsschaltung beruhend auf dem System A werden ein Schieberegister 31 und eine nichtlineare Umsetzungsschaltung 41 für eine nichtlineare Umsetzung der Werte des Schieberegisters 31 und Rückkopplung dieser zum Schieberegister 31 verwendet, und die Quadratresiduenzufallszahlerzeugungsschaltung 21 wird als Zufallszahlerzeugungsschaltung des Systems B verwendet.
Der Ablauf der Zufallszahlenerzeugung gemäß dem vorliegenden Ausführungsbeispiel ist folgender, wobei die Schritte 4) bis 6) gleichzeitig durchgeführt werden.

1) Anfangswerte werden im Schieberegister 31 und der Quadratresiduenzufallszahlerzeugungsschaltung 21 eingestellt.
2) Die Quadratresiduenzufallszahlerzeugungsschaltung 21 erzeugt die Zufallszahl beruhend auf dem gegebenen Anfangswert und gibt sie zur nichtlinearen Umsetzungsschaltung 41 als ersten Parameter aus.
3) Die nichtlineare Umsetzungsschaltung 41 bestimmt die nichtlineare Umsetzung gemäß dem durch Schritt 2) gegebenen Parameter.
4) Jedes Register schiebt den gegebenen Wert nach rechts.
5) Der Wert des Registers ganz rechts wird als Zufallszahl ausgegeben.
6) Der Wert jedes Registers wird entsprechend der in Schritt 3) bestimmten nichtlinearen Umsetzung rückgekoppelt und umgesetzt und wird als Wert des Registers ganz links eingestellt.
7) Die Schritt 4) bis 6) werden wiederholt.

Die Quadratresiduenzufallszahlerzeugungsschaltung 21 berechnet einen Teil oder alle als nächster Parameter zu verwendenden Zufallszahlen, bevor die Anzahl der ausgegebenen Zufallszahlen die Anzahl der Zufallszahlen überschreitet, die für die Kryptoanalyse der Zufallszahlenfolgen erforderlich ist, und gibt sie zur nichtlinearen Umsetzungsschaltung 41 zur Änderung des nichtlinearen Umsetzungssystems aus.
In diesem Ablauf sind alle oder ein Teil der in Schritt 5) ausgegebenen Werte die gemäß diesem Ausführungsbeispiel erzeugten Zufallszahlen. Als spezielle Ausgestaltung der nichtlinearen Umsetzungsschaltung 41 kann ein ROM, das Eingangs- und Ausgangsbeziehungen einer bekannten nichtlinearen Funktion speichert, oder das DES-System verwendet werden.
[Ausführungsbeispiel 4]
In den Ausführungsbeispielen 2 und 3 werden das lineare und das nichtlineare Rückkopplungs-Schieberegister zur Erleichterung des Verständnisses der Erfindung verwendet, jedoch liegt das Wesentliche dieser Ausführungsbeispiele in der Möglichkeit der Steuerung des Umsetzungssystems durch die von außen gegebenen Parameter im Zufallszahlerzeugungssystem, das die Zufallszahlen sequenziell durch die vorbestimmte Umsetzung und die Rückkopplung beruhend auf dem gegebenen Anfangswert erzeugt, und insbesondere in der Änderung des Parameters, der das Umsetzungssystem steuert, bevor eine Anzahl an Zufallszahlenfolgen ausgegebenen wird, die zur Bestimmung des Umsetzungssystems erforderlich ist, um das Umsetzungssystem zu ändern. Anhand des vorstehend Beschriebenen sollte verstanden werden, dass das Zufallszahlenfolgeerzeugungssystem nicht auf die linearen und nichtlinearen Rückkopplungs-Schieberegister beschränkt ist, sondern verschiedene andere Systeme verwendet werden können.
Hinsichtlich des Umsetzungssystems bei der Rückkopplungsumsetzung wurde die Steuerung durch den extern gegebenen Parameter beschrieben. Alternativ dazu kann ein kombinierter Parameter des von außen gegebenen Parameters und eines intern erzeugten Parameters für die Steuerung verwendet werden.
Gemäß 7 wird kein Schieberegister im Ablauf zur Erzeugung der Zufallszahl verwendet.
Bei diesem Ausführungsbeispiel werden s Register R₁ – R_S, die mit dem gleichen Takt arbeiten, und m (nicht-) lineare Umsetzungsschaltung T₁ – T_m, die die (nicht-) lineare Umsetzung durch die Ausgaben aus den jeweiligen Registern und dem letzten Register (R_S) bewirken und sie zum nächsten Register ausgeben, als Zufallszahlerzeugungsschaltung durch das System A verwendet, und eine Parameterberechnungsschaltung 61 durch das System B ist vorgesehen. Jedes (nicht-) lineare Umsetzungssystem wird durch die Ausgabe aus der Parameterberechnungsschaltung 61 gesteuert.
Der Ablauf der Zufallszahlenerzeugung bei diesem Beispiel ist folgender, wobei die Schritte 4), 5) und 6) gleichzeitig durchgeführt werden.

1) Anfangswerte werden in den jeweiligen Registern und der Parameterberechnungsschaltung 61 eingestellt.
2) Die Parameterberechnungsschaltung 61 berechnet einen ersten Parameter beruhend auf dem gegebenen Anfangswert und gibt ihn zu den jeweiligen (nicht) linearen Umsetzungsschaltungen aus.
3) Die (nicht-) linearen Umsetzungsschaltungen T₁ – T_m bestimmen die (nicht-) linearen Umsetzungen gemäß dem in Schritt 2) gegebenen Parameter.
4) Der Wert des Registers ganz rechts (R_S) wird als Zufallszahl ausgegeben und im Register ganz links (R₁) eingestellt.
5) Jedes Register gibt den in Schritt 4) gehaltenen Wert aus und hält den Wert am Eingang.
6) Jede (nicht-) lineare Umsetzungsschaltung setzt den aus dem vorhergehenden Register ausgegebenen Wert und die rückgekoppelte Ausgabe aus dem Register R_S durch die in Schritt 3) bestimmte (nicht-) lineare Umsetzung um und gibt ihn zum folgenden Register aus.
7) Die Schritte 4), 5) und 6) werden wiederholt.

Zum Verhindern der Kryptoanalyse der ausgegebenen Zufallszahlenfolgen durch die Formel (2) berechnet die Parameterberechnungsschaltung den nächsten Parameter, bevor die Anzahl der ausgegebenen Zufallszahlen die Anzahl von Zufallszahlen überschreitet, die zur Kryptoanalyse der Zufallszahlenfolgen erforderlich ist, und gibt ihn zu den jeweiligen (nicht-) linearen Umsetzungsschaltungen zur Änderung der jeweiligen (nicht-) linearen Umsetzungssysteme aus.
Bei diesem Ablauf stellt die gesamte oder ein Teil der Ausgabe von R_S die durch dieses Ausführungsbeispiel erzeugten Zufallszahlen dar.
Bei diesem Ablauf kann jede (nicht-) lineare Umsetzungsschaltung eine andere (nicht-) lineare Umsetzung durchführen.
[Ausführungsbeispiel 5]
In den Ausführungsbeispielen 1 bis 4 werden das LFSR-System, das nichtlineare Rückkopplungs-Schieberegistersystem und das DES-System als System A zum Erleichtern des Verständnisses der Ausführungsbeispiele verwendet, obwohl das System A ein System sein kann, das die Hochgeschwindigkeitsverschlüsselung (oder Zufallszahlenerzeugung) realisieren kann, selbst wenn keine Sicherheit garantiert wird. Demnach kann es sich um ein System handeln, das zur Feistel-Verschlüsselung gehört, wie FEAL.
Als System B wird das Quadratresiduenzufallszahlensystem verwendet, obwohl es sich um ein anderes System handeln kann, das die Sicherheit durch Faktorisierung oder das diskrete logarithmische Problem garantieren kann, wie die RSA-Zufallszahl oder die diskrete logarithmische Zufallszahl.
In der Schaltung des Systems A muss die Zufallszahl vom System B nicht unverändert als Parameter verwendet werden, sondern kann durch ein ROM umgewandelt werden, oder die Anzahl der ausgegebenen Bits kann durch eine erweiterte Übersetzung geändert werden.
Das Wesentliche der vorstehenden Ausführungsbeispiele liegt in der kontinuierlichen oder intermittierenden Steuerung des kryptografischen Codes beziehungsweise Schlüssels des Systems A, dessen Sicherheit nicht garantiert wird, durch das System B, dessen Sicherheit garantiert wird, ohne Resharing durch Neuverteilung des Codes. Ist die Anzahl an Kryptogrammen (oder Zufallszahlenfolgen), die für die Kryptoanalyse des Systems A erforderlich ist, bekannt, wird das Umsetzungssystem oder der Verschlüsselungscode des Systems A durch das System B geändert, bevor das System A eine Anzahl an Kryptogrammen (oder Zufallszahlenfolgen) ausgibt, die für die Kryptoanalyse erforderlich ist. In diesem Fall muss die Schaltung zum Implementieren des Systems A oder des Systems B allerdings nicht eine einzige sein, sondern kann eine Kombination aus zwei oder mehr Schaltungen sein, die zum gleichen System gehören. Verschiedene Kombination können verwendet werden, und ein Beispiel ist in den 8A und 8B gezeigt.
Gemäß 8A wird das Umsetzungssystem von LFSR1 durch die Quadratresiduenzufallszahl gesteuert, und das Umsetzungssystem von LFSR2 wird durch die Zufallszahl von LFSRl gesteuert. Ist der Betrieb von LFSR2 viel schneller als der Betrieb der Quadratresiduenzufallszahlerzeugungsschaltung 21, wird die Ausgabe der Quadratresiduenzufallszahlerzeugungsschaltung 21 durch das LFSR1-System erweitert, um den Ablauf zu beschleunigen. In diesem Fall kann eine Kombination aus LFSRl und LFSR2 als Zufallszahlerzeugungsschaltung des Systems A in Betracht gezogen werden, oder eine Kombination der Quadratresiduenzufallszahlerzeugungsschaltung 21 und des LFSR1-System kann als Schaltung des Systems B in Betracht gezogen werden, da die Sicherheit der Kombination der Quadratresiduenzufallszahl und des LFSR-Systems im Ausführungsbeispiel 2 garantiert ist.
In 8B wird ein Verschlüsselungscode einer FEAL-Verschlüsselungsschaltung 53 durch zwei verschiedene Zufallszahlen gesteuert, die durch die Quadratresiduenzufallszahlerzeugungsschaltung 21 und eine RSA-Zufallszahlerzeugungsschaltung 54 erzeugt werden, die beide zum System B gehören. In diesem Fall kann der Verschlüsselungscode von FEAL eine Summe oder ein Produkt einer Zufallszahl 1 und einer Zufallszahl 2 sein, oder die Zufallszahl 1 und die Zufallszahl 2 können abwechselnd verwendet werden.
[Ausführungsbeispiel 6]
Da wie vorstehend beschrieben die durch das vorstehende Verschlüsselungssystem (oder das Zufallszahlenfolgeerzeugungssystem) erzeugte Kryptogrammausgabe (oder Zufallszahlenfolge) für die Kryptoanalyse sehr schnell ist, kann ein kryptografisches Kommunikationssystem, das der Kryptoanalyse widersteht und eine Verarbeitung mit hoher Geschwindigkeit erzielen kann, durch die Verwendung des vorliegenden Verschlüsselungssystems (oder des Zufallszahlenfolgeerzeugungssystems) bei der Kommunikation erreicht werden. Ein Ausführungsbeispiel des Verschlüsselungskommunikationsnetzes wird nachstehend beschrieben, wobei das Verschlüsselungssystem der vorstehenden Ausführungsbeispiele verwendet wird.
9 zeigt ein Kommunikationsnetz mit gemeinsam verwendeten Verschlüsselungscodes, wobei ein eindeutiger oder geheimer Verschlüsselungscode von Teilnehmern des Netzes gemeinsam genutzt wird. A, B, C, ..., N bezeichnen Teilnehmer des Netzes, K_AB, K_AC, ... bezeichnen einen Verschlüsselungscode, der von den Teilnehmern A und B gemeinsam genutzt wird, einen Verschlüsselungscode, der von den Teilnehmern A und C gemeinsam genutzt wird, ...
10 zeigt ein Blockschaltbild eines Aufbaus der Kommunikationsvorrichtung des vorliegenden Ausführungsbeispiels, die eine Verschlüsselungs/Entschlüsselungsvorrichtung enthält, die die Verschlüsselungsschaltung des Systems A gemäß dem vorstehenden Ausführungsbeispiel und die Zufallszahlerzeugungsschaltung 11 des Systems B verwendet.
11 zeigt eine Geheimkommunikation zwischen den Teilnehmern A und B im in den 9 und 10 gezeigten Verschlüsselungskommunikationssystem.
Die kryptografische Kommunikation vom Teilnehmer A zum Teilnehmer B wird auf folgende Weise ausgeführt, wobei angenommen wird, dass die Anfangsbedingung i = 1 ist.

1) Der Sender A der Kommunikation stellt den gesamten oder einen Teil des Geheimcodes K_AB, der mit dem Empfänger B geteilt wird, als Anfangswert der Zufallszahlerzeugungsschaltung 11 des Systems B zur Erzeugen einer i-ten Zufallszahlenfolge K_i ein.
2) Der Sender A führt eine Exklusiv-ODER-Verknüpfung der Textnachricht mA mit K_i bitweise durch die Verwendung der erzeugten Zufallszahlenfolge K_i als Verschlüsselungscode des Systems A zur Verschlüsselung der Textnachricht durch, und sendet das Kryptogramm cA zum Empfänger B.
3) Der Empfänger B der Kommunikation stellt auch den gesamten oder einen Teil des Geheimcodes K_AB, der mit dem Sender A geteilt wird, als Anfangswert der Zufallszahlerzeugungsschaltung 11 des Systems B zur Erzeugung der gleichen Zufallszahlenfolge K_i wie der vom Sender A erzeugten ein.
4) Der Empfänger B führt auch eine logische ODER-Verknüpfung des Kryptogramms K_i bitweise durch die Verwendung der erzeugten Zufallszahlenfolge K_i als Verschlüsselungscode des Systems A für die Kryptoanalyse durch, wie es der Sender A getan hat.
5) Der Sender A veranlasst die Zufallszahlerzeugungsschaltung 11 zur Erzeugung der i = (i + 1)-ten Zufallszahlenfolge, bevor die Anzahl der zum Empfänger B zu sendenden Kryptogramme die Anzahl überschreitet, die zur Kryptoanalyse des Systems A erforderlich ist, und stellt K_i ein.
6) Die Schritt 2) bis 5) werden wiederholt.

Da bei diesem Ablauf lediglich der autorisierte Empfänger B den Code K_AB kennt, kann der Empfänger B das empfangene Kryptogramm cA einer Kryptoanalyse zum Erhalten der ursprünglichen Textnachricht mA durchführen, und andere Teilnehmer (C bis N), die den für die Verschlüsselung verwendeten Geheimcode nicht kennen, können den Inhalt nicht erfassen. Auf diese Weise wird eine Geheimkommunikation erzielt.
[Ausführungsbeispiel 7]
In einem Netzwerk, in dem kein Verschlüsselungscode zuvor verteilt wird, wie es in 9 der Fall ist, sondern der Verschlüsselungscode vom Sender und vom Empfänger durch die Verteilung des Verschlüsselungscodes geteilt wird, kann die verschlüsselte Kommunikation mit dem gleichen Ablauf realisiert werden. In diesem Fall wird die sichere Aktualisierung des Verschlüsselungscodes nach der einmaligen Verteilung des Codes durch das System B bewirkt, sodass die Aktualisierung des Verschlüsselungscodes durch eine häufige Verteilung nicht erforderlich ist.
[Ausführungsbeispiel 8]
Im in 6 gezeigten Verschlüsselungskommunikationssystem teilen sich der Sender und der Empfänger der Kommunikationsnachricht den eindeutigen und geheimen Code. Somit garantieren der Empfang des Kryptogramms und die Kryptoanalyse in den gültigen Nachrichtentext dem Empfänger, dass der Nachrichtentext von einem anderen Eigner des Codes gesendet wurde. Somit kann im Geheimkommunikationssystem in 6 die Zertifizierung des Senders und des Empfängers der Kommunikation ausgeführt werden.
[Ausführungsbeispiel 9]
In einem Netz, in dem der Verschlüsselungscode nicht zuvor verteilt wird, wie es in den Ausführungsbeispielen 6 und 8 der Fall ist, sondern vom Sender und Empfänger vor der kryptografischen Kommunikation geteilt werden soll, ist ein Diffie-Hellman-System (W. Diffie und M. E. Hellman „New Directions in Cryptography", IEEE, IT; Band IT-22, Nr. 6, 1976) als System bekannt, das die gesicherte gemeinsame Nutzung des Verschlüsselungscodes selbst auf einem Kommunikationsweg ermöglicht, der einem nicht-autorisierten Empfang unterworfen ist. Die dafür verwendete Zufallszahl kann die durch die vorstehenden Ausführungsbeispiele erzeugte Zufallszahl sein.
Da die dafür verwendete Zufallszahl für den Sender und den Empfänger nicht dieselbe sein muss, können die in der Zufallszahlerzeugungsschaltung der Systeme A und B eingestellten Anfangswerte beliebige Werte sein.
Gemäß der Erfindung wird der Parameter des Systems A beruhend auf der Zufallszahl geändert, die von der Ausgabefolge im System (System B) ausgegeben wird, das schwer einer Kryptoanalyse zu unterziehen ist, bevor die Anzahl der Ausgaben eine vorbestimmte Anzahl ausgebebener Folgen im System (System A) überschreitet, das leicht einer Kryptoanalyse unterzogen werden kann, oder in der Nähe der Gleichheit beider Anzahlen geändert, sodass die Sammlung der Ausgaben, die zur Kryptoanalyse des Systems A ausreichen, schwierig gemacht wird, und die Sicherheit des Systems A gesteigert wird.
Da es in diesem Fall ausreicht, die Zufallszahl im System B auszugeben, bevor die Anzahl der aus dem System A ausgegeben Ausgaben die zur Kryptoanalyse des Systems A erforderliche Anzahl überschreitet, muss die Zufallszahl des Systems B nicht mit hoher Geschwindigkeit erzeugt werden. Allerdings wird eine Hochgeschwindigkeitsverschlüsselung erzielt, da die endgültigen Ausgaben die Ausgabe aus dem System A darstellt.
Bezüglich der Sicherheit wird die Sammlung einer Anzahl von Ausgaben, die zum Kryptoanalysieren des Systems A ausreichen, schwierig gemacht. Selbst wenn die Anzahl an Ausgaben, die zum Kryptoanalysieren des Systems A erforderlich ist, in Zukunft durch das Fortschreiten der Studie reduziert wird, kann lediglich die in das System A vom System B eingegebene Zufallszahl einer Kryptoanalyse unterzogen werden, und es ist hinsichtlich des Berechnungsaufwandes schwierig, den Verschlüsselungscode des Systems B beruhend auf der Zufallszahl einer Kryptoanalyse zu unterziehen. Demnach ist die Sicherheit der Verschlüsselung durch die vorliegende Erfindung so hoch wie die des Systems B.
Durch Verwendung der vorliegenden Verschlüsslung bei der Verschlüsselungskommunikation kann eine sehr schnelle und sehr sichere Verschlüsselungskommunikation erzielt werden.
Die Erfindung ist nicht auf die speziellen Ausführungsbeispiele beschränkt, sondern nur durch ihre Definition in den beiliegenden Patentansprüchen.

Claims

Vorrichtung zur Erzeugung einer Bitfolge zur Verschlüsselung einer Kommunikation, mit einer ersten Erzeugungseinrichtung (13) zur Erzeugung einer Bitfolge beruhend auf einem ersten Parameter, einer zweiten Erzeugungseinrichtung (11) zur Erzeugung einer Zufallszahlenfolge unter Verwendung eines zweiten Parameters als Anfangswert, und einer Modifikationseinrichtung zum periodischen Modifizieren des ersten Parameters unter Verwendung zumindest eines Teils der durch die zweite Erzeugungseinrichtung (11) erzeugten Zufallszahlenfolge, dadurch gekennzeichnet, dass die erste und die zweite Erzeugungseinrichtung (13, 11) derart eingerichtet sind, dass die durch die zweite Erzeugungseinrichtung (11) erzeugte Zufallszahlenfolge mit einer geringeren Rate als die Rate erzeugt wird, mit der die Bitfolge durch die erste Erzeugungseinrichtung erzeugt wird, und die durch die zweite Erzeugungseinrichtung (11) erzeugte Zufallszahlenfolge einen größeren Berechnungsaufwand zur Verschlüsselungsanalyse als die durch die erste Erzeugungseinrichtung (13) erzeugte Bitfolge erfordert, da ein Prozess mit einer Komplexität gleich der Lösung des Faktorisierungsproblems oder des diskreten Logarithmusproblems erforderlich ist.
Vorrichtung nach Anspruch 1, wobei die erste Erzeugungseinrichtung (13) eine Eingabeeinrichtung zur Eingabe von Kommunikationsdaten, eine Verschlüsselungseinrichtung zur Verschlüsselung der Kommunikationsdaten und eine Ausgabeeinrichtung zur Ausgabe der verschlüsselten Daten als Bitfolge enthält.
Vorrichtung nach Anspruch 1, wobei die erste Erzeugungseinrichtung (13) eine Eingabeeinrichtung zur Eingabe verschlüsselter Daten und eine Entschlüsselungseinrichtung zur Entschlüsselung der verschlüsselten Daten und eine Ausgabeeinrichtung zur Ausgabe der entschlüsselten Daten als Bitfolge enthält.
Vorrichtung nach Anspruch 1, wobei die erste Erzeugungseinrichtung (13) eine zweite Zufallszahlenfolge als die Bitfolge erzeugt.
Kommunikationssystem mit einer Übertragungseinheit mit einer Vorrichtung (122) nach Anspruch 2 und einer Empfängereinheit mit einer Vorrichtung (122) nach Anspruch 3, wobei der zweite Parameter der Vorrichtung (122) nach Anspruch 2 dem zweiten Parameter der Vorrichtung (122) nach Anspruch 3 entspricht.
Vorrichtung nach einem der vorhergehenden Ansprüche, wobei die erste Erzeugungseinrichtung (13) eine Auswahl aus einer DES-Zufallszahlerzeugungseinrichtung, einem linearen Rückkopplungs-Schieberegister und einem nicht linearen Rückkopplungs-Schieberegister umfasst.
Vorrichtung nach einem der vorhergehenden Ansprüche, wobei die zweite Erzeugungseinrichtung (11) eine Auswahl aus einer Einrichtung zur Durchführung einer quadratischen Residuenoperation und zur Ausgabe mehrerer Bits niedriger Ordnung des Operationsergebnisses, einer Einrichtung zur Erzeugung von RSA-Zufallszahlen und einer Einrichtung zur Erzeugung diskreter Logarithmuszufallszahlen umfasst.
Vorrichtung nach einem der Ansprüche 1 bis 5, wobei die erste Erzeugungseinrichtung (13) umfasst eine Halteeinrichtung (31) zum Halten von Daten; eine Umsetzungseinrichtung (32) zum Empfangen der durch die Halteeinrichtung (31) gehaltenen Daten und zur Umsetzung der empfangenen Daten beruhend auf einem Parameter in einer Folge von Parametern; eine Aktualisierungseinrichtung zur Aktualisierung der durch die Halteeinrichtung (31) gehaltenen Daten entsprechend dem Umsetzungsergebnis von der Umsetzungseinrichtung (32); eine Einrichtung zur sequentiellen Erzeugung eines Abschnitts der durch die Halteeinrichtung (31) gehaltenen Daten als Zufallszahlenfolge, wobei die Modifizierungseinrichtung zur Modifikation der Folge von Parametern mit einer durch die Rate einer Zufallszahlenfolgenerzeugung der zweiten Erzeugungseinrichtung (11) bestimmten Rate eingerichtet ist.
Verfahren zur Erzeugung einer Bitfolge zur Verschlüsselung einer Kommunikation, mit: einem ersten Erzeugungsschritt zur sequentiellen Erzeugung einer Bitfolge beruhend auf einem ersten Parameter; einem zweiten Erzeugungsschritt zur sequentiellen Erzeugung einer Zufallszahlenfolge unter Verwendung eines zweiten Parameters als Anfangswert, und einem Modifizierungsschritt zum periodischen Modifizieren des ersten Parameters unter Verwendung zumindest eines Teils der während des zweiten Zufallszahlenerzeugungsschritts erzeugten Zufallszahlenfolge, gekennzeichnet durch die Erzeugung einer Zufallszahlenfolge während des zweiten Erzeugungsschritts mit einer Rate, die geringer als die Rate ist, mit der die Bitfolge während des ersten Erzeugungsschritts erzeugt wird, und die Erzeugung einer Zufallszahlenfolge im zweiten Erzeugungsschritt, die einen größeren Berechnungsaufwand zur Verschlüsselungsanalyse als die während des ersten Erzeugungsschritts erzeugte Bitfolge erfordert, da ein Prozess mit einer Komplexität gleich dem Lösen des Faktorisierungsproblems oder des diskreten Logarithmusproblems erforderlich ist.
Verfahren nach Anspruch 9, ferner mit: einem Eingabeschritt zur Eingabe von Kommunikationsdaten; einem Verschlüsselungsschritt zur Verschlüsselung der Kommunikationsdaten, und einem Ausgabeschritt zur Ausgabe der verschlüsselten Daten als die Bitfolge.
Verfahren nach Anspruch 9, ferner mit: einem Eingabeschritt zur Eingabe von verschlüsselten Daten, einem Entschlüsselungsschritt zur Entschlüsselung der verschlüsselten Daten, und einem Ausgabeschritt zur Ausgabe der entschlüsselten Daten als die Bitfolge.
Verfahren nach Anspruch 9, wobei der erste Erzeugungsschritt eine zweite Zufallszahlenfolge als die Bitfolge erzeugt.
Verfahren zur Kommunikation von Codedaten zwischen einer Übertragungseinheit und einer Empfängereinheit mit einem Übertragungsschritt, der ein Verfahren nach Anspruch 10 umfasst, und einem Empfangsschritt, der ein Verfahren nach Anspruch 11 umfasst, wobei der zweite Parameter des Verfahrens nach Anspruch 10 dem zweiten Parameter des Verfahrens nach Anspruch 11 entspricht.
Verfahren nach einem der Ansprüche 9 bis 13, wobei der erste Erzeugungsschritt eine Auswahl aus einer DES-Zufallszahlenerzeugung oder Zufallszahlenerzeugung unter Verwendung eines linearen Rückkopplungs-Schieberegisters oder einer Zufallszahlenerzeugung unter Verwendung eines nicht linearen Rückkopplungs-Schieberegisters umfasst.
Verfahren nach einem der Ansprüche 9 bis 14, wobei der zweite Erzeugungsschritt eine Auswahl aus der Durchführung einer quadratischen Residuenoperation und Ausgabe mehrerer Bits niedriger Ordnung des Operationsergebnisses, der Erzeugung von RSA-Zufallszahlen und der Erzeugung diskreter Logarithmuszufallszahlen umfasst.
Verfahren nach einem der Ansprüche 9 bis 13, wobei der erste Erzeugungsschritt umfasst einen Halteschritt zum Halten von Daten, einen Umsetzungsschritt zum Empfangen der während des Halteschritts gehaltenen Daten und zum Umsetzen der empfangenen Daten beruhend auf einem Parameter in einer Folge von Parametern, einen Aktualisierungsschritt zur Aktualisierung der während des Halteschritts gehaltenen Daten entsprechend dem im Umsetzungsschritt erzeugten Umsetzungsergebnis, und einen Erzeugungsschritt zur sequentiellen Erzeugung eines Abschnitts der während des Halteschritts gehaltenen Daten als Zufallszahlenfolge, wobei die Folge von Parametern während des Modifizierungsschritts mit einer Rate modifiziert wird, die durch die Rate einer Zufallszahlenfolgenerzeugung während des zweiten Erzeugungsschritts bestimmt wird.