DE69504823T2

DE69504823T2 - Kryptographisches schlüsselverteilungssystem in einem rechnernetz

Info

Publication number: DE69504823T2
Application number: DE69504823T
Authority: DE
Inventors: Warwick Stanley Nepean Ontario K2E 5R8 Ford; Michael James Nepean Ontario K2J 3Z4 Wiener
Original assignee: Entrust Ltd
Current assignee: Entrust Ltd
Priority date: 1994-04-15
Filing date: 1995-02-22
Publication date: 1999-02-11
Anticipated expiration: 2015-02-23
Also published as: CA2187035A1; EP0755598B1; JPH09505711A; CA2187035C; JP3060071B2; US5481613A; DE69504823D1; EP0755598A1; WO1995028784A1

Description

Technisches Gebiet

Die vorliegende Erfindung bezieht sich allgemein auf Computernetze, in denen Kryptographietechniken zum Datenschutz verwendet werden. Insbesondere ist die Erfindung auf ein Computernetz gerichtet, bei dem eine Entschlüsselung von Daten lediglich möglich ist, wenn ein Entschlüssler gemäß einem Satz von Zugangskontrollattributen autorisiert ist, die von dem Verschlüssler bestimmt sind.

Stand der Technik

Kryptographietechniken bilden einen wesentlicheren Baustein, der bei der Ausführung aller Sicherheitsdienste in Computernetzen verwendet wird. Die grundlegende Funktion, die von einem Kryptographiesystem (oder Kryptosystem) geliefert wird, ist die Verschlüsselung/Entschlüsselung. Ein Kryptosystem umfaßt zwei Datentransformationen, nämlich die Verschlüsselung bzw. die Entschlüsselung. Die Verschlüsselung wird auf einen Datensatz angewandt, der als Klartext bekannt ist, und sie erzeugt einen neuen (nicht lesbaren) Datensatz, nämlich verschlüsselten Text. Die auf den verschlüsselten Text angewandte Entschlüsselung führt zur Rückgewinnung des ursprünglichen Klartextes. Eine Verschlüsselungstransformation verwendet als Eingangsinformation sowohl die Klartextdaten als auch einen unabhängigen Datenwert, der als Verschlüsselungs-Schlüssel bekannt ist. In ähnlicher Weise verwendet die Entschlüsselungstransformation einen Entschlüsselungs-Schlüssel. Es gibt zwei grundlegende Arten von Kryptosystemen - symmetrische Systeme und Systeme mit öffentlichem Schlüssel (oder unsymmetrische Systeme). Bei symmetrischen Kryptosystemen wird der gleiche Schlüssel bei den Verschlüsselungs- und Entschlüsselungs- Transformationen verwendet. Ein mit öffentlichem Schlüssel arbeitendes System weist ein Schlüsselpaar auf, das einen öffentlichen Schlüssel und einen privaten Schlüssel umfaßt. Einer dieser Schlüssel wird für die Verschlüsselung verwendet, während der andere für die Entschlüsselung verwendet wird. Der öffentliche Schlüssel muß nicht geheimgehalten werden.
Um eine Geheimhaltung zu erzielen, arbeitet ein symmetrisches Kryptosystem wie folgt. Zwei Parteien, A und B, wollen in eine gesicherte Datenübertragungsverbindung treten. Durch irgendeinen Vorgang (beispielsweise durch einen gesicherten Kanal oder einen vertraulichen Kurier), erhalten sie beide Kenntnis von einem Datenwert, der als ein Schlüssel zu verwenden ist. Der Schlüssel wird gegenüber allen anderen Parteien als A und B geheimgehalten. Dies ermöglicht es, daß entweder A oder B eine der anderen Partei zugesandte Nachricht dadurch schützen können, daß sie die Nachricht unter Verwendung des gemeinsamen Schlüssels verschlüsseln. Die andere Partei kann die Nachricht entschlüsseln, nicht jedoch außenstehende Parteien. Ein gut bekanntes symmetrisches Kryprosystem ist die US-Datenverschlüsselungsnorm (DES).
Bei einem Kryptosystem mit öffentlichem Schlüssel gibt es zwei grundlegende Betriebsarten, nämlich eine Verschlüsselungsbetriebsart und eine Authentisierungsbetriebsart. In der Verschlüsselungsbetriebsart verwendet die Datenquelle den öffentlichen Schlüssel zur Verschlüsselung, und der Empfänger verwendet den privaten Schlüssel des gleichen Schlüsselpaares zur Entschlüsselung. Bei diesem System ist die Kenntnis des öffentlichen Schlüssels nicht ausreichend, um den privaten Schlüssel abzuleiten. Daher weiß der Verschlüsseler, daß mit einem öffentlichen Schlüssel verschlüsselte Daten nur von dem Besitzer des entsprechenden privaten Schlüssels entschlüsselt werden können. Es ist weiterhin möglich, den Verschlüsseler in der Authentisierungsbetriebsart zu authentisieren. In dieser Betriebsart sendet der Verschlüsseler verschlüsselten Text, der mit dem privaten Schlüssel des Schlüsselpaares verschlüsselt wurde, aus. Der Entschlüsseler (Empfänger) weiß dann, daß mit dem privaten Schlüssel verschlüsselte Daten von jedem ent schlüsselt werden können, daß sie jedoch lediglich von dem Besitzer des privaten Schlüssels ausgesandt werden konnten. Ein Kryptosystem dieser Art, das sowohl in Verschlüsselungs als auch Authentisierungsbetriebsarten arbeiten kann, ist als ein reversibles Kryptosystem mit öffentlichem Schlüssel bekannt.
Ein gut bekanntes reversibles Kryptosystem mit öffentlichem Schlüssel ist das RSA-System, das in dem US-Patent 4 405 829 vom 20. September 1983 auf den Namen von Rivest et al beschrieben ist. Ein RSA-Schlüsselpaar wird wie folgt erzeugt: es wird eine ganze Zahl e als ein öffentlicher Exponent ausgewählt. Zwei große Primzahlen p und q werden zufällig ausgewählt und erfüllen die Bedingungen, daß (p - 1) und e keinen gemeinsamen Teiler haben und daß auch (q - 1) und e keinen gemeinsamen Teiler haben. Das öffentliche Modul ist der Wert n = pq. Die Werte von n und e bilden zusammen den öffentlichen Schlüssel. Ein privater Exponent d wird dann derart bestimmt, daß de - 1 sowohl durch p - 1 als auch q - 1 teilbar ist. Die Werte von n und d (oder p und q) bilden zusammen den privaten Schlüssel. Die Exponenten haben die wichtige Eigenschaft, daß d als die Umkehrung von e wirkt, d. h. für irgendeine Nachricht M ist (Me)d mod n = M. Der Verschlüsselungsvorgang für die Nachricht M beinhaltet die Berechnung von Me mod n. Dieser Vorgang kann von jedem ausgeführt werden, der den öffentlichen Schlüssel kennt, d. h. n und e. Die Entschlüsselung der Nachricht M' umfaßt die Berechnung von M'dmod n. Dies erfordert die Kenntnis des privaten Schlüssels.
Kryptographische Techniken hängen alle von kryptographischen Schlüsseln ab. Die Schlüssel müssen in voraus den Parteien bekannt gemacht werden (oder an diese verteilt werden), die sie benutzen werden, und gleichzeitig müssen sie in erforderlicher Weise gegen die Preisgabe und/oder einen Ersatz geschützt werden. Daher ist die Schlüsselverwaltung, insbesondere die Schlüsselverteilung, sehr wichtig. Wenn bei rein symmetrischen Systemen die Anzahl der Schlüssel in einem Nezt handhabbar gehalten werden soll, ist es erforderlich, zuverlässige Schlüsselzentren zur Schlüsselverteilung zu verwenden. Damit irgendwelche zwei Systeme in gesicherter Weise miteinander in Nachrichtenverbindung treten, müssen sie gemeinsam eine Master- Schlüssel-Beziehung mit einem Schlüsselzentrum haben. Weiterhin muß dieses Schlüsselzentrum zum gleichen Zeitpunkt wie eine gesicherte Nachrichtenübertragungsverbindung hergestellt werden soll, am Netz hängen. Die Verteilung von öffentlichen Schlüsseln ist einfacher und erfordert keine als zuverlässig angesehenen Server. Die Verteilung eines öffentlichen Schlüssels erfordert jedoch eine Integrität - für den Benutzer eines öffentlichen Schlüssels muß sichergestellt sein, daß dies der richtige öffentliche Schlüssel für die betreffende entfernt angeordnete Partei ist. Aus diesem Grund wird ein öffentlicher Schlüssel üblicherweise in Form eines Zertifikats verteilt, das von einer als zuverlässig angesehenen Zertifizierungsautorität digital unterzeichnet ist. Zertifikate können dann über ungesicherte Einrichtungen, wie z. B. über einen öffentlichen Verzeichnisdienst verteilt werden. Ein Benutzer eines Zertifikats kann sich dadurch davon überzeugen, daß der Inhalt des Zertifikats nicht geändert wurde, indem er die Unterschrift der Zertifizierungsautorität überprüft. Die Installation eines neuen privaten/öffentlichen Schlüsselpaares ist sehr einfach; Schlüssel werden typischerweise innerhalb des Systems des Inhabers oder in einem Zertifizierungsautoritäts-System erzeugt. Die einzige erforderliche gesicherte Schlüsselübertragung ist die Übertragung eines Schlüssels von entweder dem Inhabersystem zu dem Zertifizierungsautoritäts-System oder umgekehrt. Diese beiden Systeme befinden sich üblicherweise in dem gleichen Netz, und sie sind typischerweise nahe aneinander angeordnet.
Im Vergleich mit symmetrischen Kryptosystemen weisen mit einem öffentlichen Schlüssel arbeitende Systeme den Vorteil einer einfacheren Schlüsselverteilung auf. Diesem Vorteil wirkt jedoch entgegen, daß symmetrische Systeme den Vorteil einer geringeren Verarbeitungszusatzlast haben. Dies macht symmetrische Systeme insbesondere für die Massenverschlüsselung/-entschlüsselung großer Datenvolumen attraktiv.
Um alle Vorteile auszunutzen, kann eine Hybridlösung verwendet werden. Symmetrische Kryptosysteme werden zum Schutz von Massen daten verwendet, und öffentliche Schlüsselsysteme werden zur Verteilung der symmetrischen Schlüssel (primäre Schlüssel) verwendet. Wenn beispielsweise eine Partei A einen symmetrischen Verschlüsselungs-Schlüssel mit der Partei B unter Verwendung von RSA festlegen will, kann sie dies in der folgenden Weise tun: die Partei A beschafft sich eine Kopie des öffentlichen Schlüssels der Partei B, indem es sich das erforderliche Zertifikat (das möglicherweise direkt von der Partei B gesandt wird) beschafft und die Unterschrift des Zertifikates oder die Unterschriften einer Kette von Zertifikaten) überprüft, um sicherzustellen, daß der Schlüssel gültig ist. Die Partei A erzeugt dann einen zufälligen symmetrischen Schlüssel und sendet diesen der Partei B unter Verschlüsselung durch den öffentlichen Schlüssel der Partei B zu. Lediglich die Partei B kann den symmetrischen Schlüsselwert ermitteln, weil lediglich die Partei B den privaten Schlüssel kennt, der zur Entschlüsselung der Nachricht (des verschlüsselten Wertes für den symmetrischen Schlüssel) erforderlich ist. Auf diese Weise gewinnen die beiden Parteien eine gemeinsame Kenntnis des symmetrischen Schlüssels, und sie können diesen dann zum Schutz von zwischen ihnen ausgetauschten Daten verwenden.
Ein weiteres gut bekanntes Schema zur Festlegung eines symmetrischen primären Schlüssels ist als die Diffie-Hellman- Schlüsselableitungstechnik bekannt, die in dem US-Patent 4 200 770 vom 29. April 1980 auf den Namen Hellman et al beschrieben ist. Diese Technik arbeitet wie folgt: Die Parteien A und B legen im voraus eine Primzahl p und ein Zeichenelement a in GF(p) fest. Die Primzahl p sollte derart sein, daß p - 1 einen großen Primzahlenfaktor hat. Diese Vereinbarung könnte auf der Grundlage von veröffentlichten systemweiten Konstanten sein oder sich aus vorhergehenden Nachrichtenübertragungen ergeben. Als erster Schritt bei der Ableitung eines Schlüssels erzeugt die Partei A eine zufällige Zahl x, wobei 0 ≤ x ≤ p - 1 ist. Sie berechnet dann axmod p und sendet diesen Wert an die Partei B. Die Partei B erzeugt eine zufällige Zahl y, wobei 0 ≤ y ≤ p - 1 ist, berechnet ay mod p und sendet diesen Wert an die Partei A. Die Partei A berechnet dann (ay)x mod p, und die Partei B berechnet (ax)y mod p. Beide Parteien kennen nunmehr einen gemeinsamen Schlüssel K = axy mod p.
Bei dem traditionellen elektronischen Post-Verschlüsselungs- Schlüsselverteilungsverfahren haben alle Nachrichtenempfänger Schlüsselpaare eines reversiblen Verschlüsselungssystems mit öffentlichem Schlüssel (wie z. B. RSA). Die Nachricht wird unter Verwendung eines symmetrischen Kryprosystems verschlüsselt, und Kopien des Verschlüsselungs-Schlüssels, der mit dem öffentlichen Schlüssel jedes Empfängers verschlüsselt ist, werden an die Nachricht angehängt. Jeder legitime Empfänger kann den Verschlüsselungs-Schlüssel dadurch zurückgewinnen, daß er die anwendbare Kopie hiervon mit seinem privaten Schlüssel entschlüsselt. Dieses Verfahren hat verschiedene Nachteile. Zunächst ist das einzige Zugangskontrollmodell, die dieses Verfahren unterstützt, eine einfache Liste von autorisierten Entschlüsselern. In vielen Fällen sind andere Modelle erforderlich, wie z. B. die Festlegung einer Gruppenmitgleidschaft, einer Rollen-Mitgliedschaft oder einer Sicherheitsüberprüfung. Zweitens muß jeder Empfänger kritische Informationen bereithalten, nämlich den privaten Schlüssel eines Schlüsselpaares. Eine Preisgabe des privaten Schlüssels irgendeines Empfängers führt zur Preisgabe aller verschlüsselten Nachrichten, die jemals diesem Empfänger zugesandt wurden. Drittens muß das Verschlüsselungssystem für jeden autorisierten Empfänger ein Zertifikat für einen öffentlichen Schlüssel erhalten und überprüfen. Dies kann ein langwieriger Prozeß sein, wenn die Notwendigkeit der Verarbeitung mehrfacher Zertifikatsketten und Widerrufslisten berücksichtigt wird. Viertens muß jeder teilnehmende Benutzer die Verschlüsselungs- und Entschlüsselungsfähigkeiten eines reversiblen Kryptosysems mit öffentlichem Schlüssel besitzen. Es kann die Gefahr bestehen, daß derartige kryprographische Fähigkeiten für nicht vorgesehene Verschlüsselungszwecke verwendet werden.
Die am 16. September 1992 veröffentlichte EP 0 503 765 beschreibt eine Zugangskontrolle in einem verteilten Computersystem dadurch, daß ein Mechanismus einen Zugang an eine Zielanwendung durch einen bestimmten Benutzer in einem verteilten Computersystem beschränkt und validiert. Der Benutzer beschafft sich ein verschlüsseltes Privileg-Attributzertifikat (PAC) und einen Sessions-Schlüssel von einem Athentisierungs- und Privilegien-Server, und er tritt unter Verwendung dieses Schlüssels in Nachrichtenverbindung mit einem Schlüsselverteilungsserver, um einen grundlegenden Schlüssel zu beschaffen. Er sendet dann den grundlegenden Schlüssel an eine PAC-Validierungseinrichtung, die die Identität des Benutzers bestimmt. Wenn die Zielanwendung eine Anforderung für einen Zugriff von den Benutzer erhält, der diese zusammen mit dem verschlüsselten PAC liefert, so sendet sie dieses PAC an die PAC-Validierungseinrichtung, die das PAC entschlüsselt und das PAC mit der Benutzeridentität gültig macht.
Ein Kryptographieprotokoll für eine sichere Nachrichtenübertragung, das in der EP-0 535 863 vom 7. April 1993 beschrieben ist, bildet einen gesicherten Nachrichtenübertragungskanal aus, bei dem vor der Informationsübertragung ein unsymmetrisches Kryptosystem von zwei Parteien dazu verwendet wird, eine Übereinkunft über einen symmetrischen kryptographischen Schlüssel zu erzielen. Das US-Patent 4 888 801 vom 19. Dezember 1989 beschreibt ein hierachisches Schlüsselverwaltungssystem. Das Patent beschreibt ein Schlüsselverwaltungssystem, mit dem ein gesicherter Nachrichtenübertragungskanal zwischen Parteien durch die Verwendung eines SAD (Sicherheitsaktivierungselement) aufgebaut werden kann, das jeder Partei von einer KCA (Schlüsselzertifizierungsautorität) zugeteilt wird. Das SAD ist ein physikalischer Schlüssel, der anfänglich von der KCA programmiert wird und nachfolgend von einem gesicherten Endgerät erneut programmiert wird, das von dem Benutzer verwendet wird. Das SAD wird in eine Aufnahmeeinrichtung an dem Endgerät eingesetzt, um eine gesicherte Nachrichtenübertragung und Benutzerautentisierung zu ermöglichen.
In dem US-Patent 5 276 73 vom 4. Januar 1994 ist eine Art von Treuhändermechanismus für Kryptosysteme mit öffentlichem Schlüssel erwähnt, bei dem jedem Benutzer zwei zueinanderpassende geheime und öffentliche Schlüssel zugeteilt werden.
Der geheime Schlüssel jedes Benutzers ist in Anteile aufgeteilt. Jeder Benutzer liefert dann eine Vielzahl von Treuhandteilen an Information, die es jedem Treuhänder ermöglichen, seinen Anteil des geheimen Schlüssels zu überprüfen. Somit müssen alle Treuhänder zustimmen, einer dritten Partei den geheimen Schlüssel eines Benutzers zu enthüllen.
Die EP 0 343 805, die am 29. November 1989 veröffentlicht wurde, beschreibt Techniken zur Reproduktion von gesicherten Schlüsseln unter Verwendung von verteilten Schlüsselerzeugungsdaten und eines verteilten verschlüsselten Vor-Schlüssels. Die Schlüsselerzeugungsdaten werden in mehr als einen Teil unterteilt, und jeder Teil wird in einer verteilten Weise verschlüsselt, und zwar zunächst durch einen ersten Schlüssel- Vorschlüssel zur Gewinnung eines symmetrischen Schlüssels, mit dem eine Information vor der Übertragung verschlüsselt wird.
Die vorliegende Erfindung befaßt sich mit diesen Problemen und anderen, die aus der folgenden ausführlichen Beschreibung ersichtlich werden. Die Erfindung bezieht sich auf ein Schlüssel- Verteilungsverfahren, das es einem Verschlüsseler eines Datensatzes ermöglicht, in Ausdrücken irgendeines gewünschten Zugangskontrollmodells den Satz von autorisierten Entschlüsslern festzulegen. Die vorliegende Erfindung verwendet vertrauenswürdige Server, die als Schlüsselausgabeagenten bezeichnet werden. Obwohl die Erfindung nicht auf die Verwendung innerhalb irgendeiner bestimmten Anwendungsumgebung beschränkt ist, ist sie aufgrund ihrer Eigenart besonders auf Umgebungen anwendbar, bei denen große Benutzerpopulationen von Natur aus einen Zugriff einen Zugriff auf verschlüsselte Informationen haben, beispielsweise Datenserver, elektronische Anschlagbrettsysteme oder Gruppenanwendungen.
Die vorliegende Erfindung sieht weiterhin die kontrollierte Ausgabe von Verschlüsselungs-Schlüsseln unter speziellen Umständen vor, wie z. B. eine autorisierte Überwachung durch Exekutivorgane. Dies kann dadurch erzielt werden, daß eine spezielle Schlüsselausgabebedingung in den Entscheidungs prozeß eines Schlüsselausgabeagenten eingebaut wird. Wenn sie für diesen Zweck verwendet wird, beseitigt die vorliegende Erfindung Nachteile, die in dem Schlüssel-Treuhändersystem auftreten, das in der US-Regierungsnorm FIPS 185 Escrowed Encryption Standard beschrieben ist, die sich mit den gleichen Anforderungen befaßt.

Ziele der Erfindung

Es ist daher ein Ziel der vorliegenden Erfindung, ein Verfahren und ein System zur gesicherten Verteilung eines Verschlüsselungs-Schlüssels über ein Computernetz an Entschlüsseler zu schaffen, die gemäß einem Satz von Zugangskontrollattributen autorisiert sind, die von dem Verschlüsseler bestimmt sind.
Es ist ein weiteres Ziel der vorliegenden Erfindung, ein Verfahren und ein System eines Entschlüsselers zu schaffen, das einen Verschlüsselungsschlüssel von einem Schlüsselausgabeagenten in einer gesicherten Weise rückgewinnt.
Es ist ein weiteres Ziel der vorliegenden Erfindung, ein Verfahren und ein System eines Schlüsselausgabeagenten zu schaffen, der einen Verschlüsselungsschlüssel von einem verschlüsselten zugangskontrollierten Entschlüsselungsblock zurückgewinnt, der die Zugangskontrollattribute enthält.
Es ist ein weiters Ziel der vorliegenden Erfindung, ein Verfahren und ein System eines Schlüsselausgabeagenten zu schaffen, der einen Verschlüsselungs-Schlüssel an eine andere Partei als einen Entschlüsseler abgibt, der ausdrücklich von dem Verschlüsseler autorisiert ist.

Beschreibung der Erfindung

Kurz gesagt bezieht sich die vorliegende Erfindung allgemein auf ein Computernetz, das einen Verschlüsseler, mehrere Entschlüsseler und ein oder mehrere Schlüsselausgabeagenten einschließt. In einer Hinsicht ist die Erfindung auf ein Verfahren zur öffentlichen Verteilung eines Nachrichtenverschlüsselungs- Schlüssels über das Computernetz gerichtet. Das Verfahren umfaßt einen Schritt, in dem der Verschlüsseler einen zugangskontrollierten Entschlüsselungsblock (ACD) erzeugt, der Schlüsseldaten, die sich auf einen Nachrichtenverschlüsselungs- Schlüssel beziehen und eine Angabe von Zugangssteuerkriterien bezüglich autorisierter Entschlüsseler enthält, wobei beide unter Verwendung eines öffentlichen Schlüsselausgabeschlüssels geschützt sind, für den lediglich der Schlüsselausgabeagent in einer bestimmten Sicherheitsdomäne Kenntnis von dem entsprechenden privaten Schlüsselausgabeschlüssel hat. Das Verfahren schließt weiterhin die Schritte ein, daß der Verschlüsseler den zugangskontrollierten Entschlüsselungsblock, eine Sicherheitsdomänen-Identifikation (Domänen-id) und eine Identifikation (R-Schlüssel-id) des privaten Schlüsselausgabeschlüssels verteilt. Bei dem Verfahren gibt es den Schritt, daß der Entschlüsseler an den Schlüsselausgabeagenten in einer örtlich geschützten Transaktion eine Schlüsselausgabeanforderung sendet, die den zugangskontollierten Entschlüsselungsblock, die Identifikation des privaten Schlüsselausgabeschlüssels und Entschlüsselerattribute einschließt, die die Identität des Entschlüsselers einschließen. Es gibt weitere Schritte, bei denen der Schlüsselausgabeagent den Nachrichtenverschlüsselungs- Schlüssel und die Zugangskontrollattribute unter Verwendung von Daten in dem zugangskontrollierten Entschlüsselungsblock und dem privaten Schlüsselausgabeschlüssel zurückgewinnt und auf der Grundlage der Entschlüsseler-Attribute und der Angabe der Zugangskontrollkriterien in dem zugangskontrollierten Entschlüsselungsblock bestimmt, ob der Entschlüsseler autorisiert ist, den verschlüsselten Text der Nachricht zu entschlüsseln, und wenn der Entschlüsseler diese Berechtigung hat, so sendet der Schlüsselausgabeagent den Nachrichtenverschlüsselungs-Schlüssel in einer örtlich geschützten Transaktion an den Entschlüsseler.
Gemäß einem weiteren Gesichtspunkt ist die Erfindung auf ein Computernetz gerichtet, bei dem der Nachrichtenverschlüsselungs- Schlüssel öffentlich zwischen einem Verschlüsseler und einem Entschlüsseler über einen Schlüsselausgabeagenten verteilt wird.
Das Netzwerk umfaßt den Verschlüsseler unter Einschluß einer Sendeeinrichtung zur Übertragung eines verschlüsselten Textes, eines zugangskontrollierten Entschlüsselungsblockes (ACD) und einer Identifikation, die einem öffentlichen/privaten Schlüsselausgabe-Schlüsselpaar zugeordnet ist, über das Netz an den Entschlüsseler, wobei der zugangskontrollierte Entschlüsselungsblock einen Satz von Zugangskontrollattributen (ACA) und Schlüsseldaten einschließt, die auf den Nachrichten-Verschlüsselungsschlüssel bezogen sind, wobei der Verschlüsseler weiterhin eine Nachrichtenverschlüsselungseinrichtung zur Erzeugung eines verschlüsselten Textes unter Verwendung des Nachrichten- Verschlüsselungsschlüssels und der ACD-Erzeugungseinrichtung zur Erzeugung des zugangskontrollierten Entschlüsselungsblocks unter Verwendung des öffentlichen Schlüsselausgabeschlüssels einschließt. Das Netz schließt weiterhin den Entschlüsseler ein, der eine Transaktionseinrichtung zum Aussenden des zugangskontrollierten Entschlüsselungsblockes und der Identifikation zusammen mit einem Satz von Entschlüsselungsattributen an den Schlüsselausgabeagenten in einer örtlich geschützten Transaktion aufweist. Das Netzwerk schließt außerdem den Schlüsselausgabeagenten ein, der den privaten Schlüsselausgabe-Schlüssel und eine ACD-Verarbeitungseinrichtung zur Rückgewinnung des Nachrichten-Verschlüsselungs-Schlüssels und der Zugangskontrollattribute unter Verwendung des privaten Schlüsselausgabeschlüssels hat, wobei der Schlüsselausgabeagent weiterhin eine Bestimmungseinrichtung einschließt, um auf der Grundlage der zurückgewonnenen Zugangskontrollattribute und der Entschlüsselerattribute zu bestimmen, ob der Entschlüsseler autorisiert ist, den verschlüsselten Text zu entschlüsseln, wobei der Schlüsselausgabeagent weiterhin eine Sendeeinrichtung einschließt, um an den Entschlüsseler den Nachrichtenentschlüsselungs-Schlüssel in einer örtlich geschützten Transaktion auszusenden.

Kurze Beschreibung der Zeichnungen

Die Fig. 1 und 2 sind funktionelle schematische Diagramme eines Verschlüsselers, eines Entschlüsselers und eine Schlüsselausgabeagenten gemäß einer allgemeinen Ausführungsform der vorliegenden Erfindung,
die Fig. 3 und 4 sind funktionelle schematische Diagramme eines Verschlüsselers, eines Entschlüsselers und eines Schlüsselausgabeagenten gemäß einer weiteren Ausführungsform der vorliegenden Erfindung, die auf einem reversiblen Kryptosystem mit öffentlichem Schlüssel beruht,
die Fig. 5 und 6 sind funktionelle schematische Diagramme eines Verschlüsselers, eines Entschlüsselers und eines Schlüsselausgabeagenten gemäß einer weiteren Ausführungsform der vorliegenden Erfindung, die auf der Diffie- Hellman-Schlüsselableitungstechnik beruht, und
die Fig. 7 und 8 sind funktionelle schematische Diagramme eines Verschlüsselers, eines Entschlüsselers und eines Schlüsselausgabeagenten gemäß einer weiteren Ausführungsform der vorliegenden Erfindung, die ebenfalls auf der Diffie-Hellman-Schlüsselableitungstechnik beruht.

Ausführungsformen der Erfindung

Fig. 1 ist ein funktionelles schematisches Diagramm des Verschlüsselers gemäß einer Ausführungsform der vorliegenden Erfindung. Bei dieser Ausführungsform bestimmt ein Verschlüsseler 10 Zugangskontrollkriterien und erzeugt ACA (Zugangskontrollattribute), um derartige Kriterien wiederzugeben. Der Verschlüsseler 10 erzeugt eine örtliche Eingabe 12, die zusammen mit den ACA und einem öffentlichen Schlüsselausgabe-Schlüssel 14 in eine Funktion 16 eingegeben wird, die einen E-Schlüssel (Nachrichten-Verschlüsselungs-Schlüssel) und einen geschützten Datenkonstrukt erzeugt, der als ACD- (zugangskontrollierter Entschlüsselungs-)Block bezeichnet wird. Ein Klartext, der vertraulich geschützt werden soll, wird bei 18 verschlüsselt, um einen verschlüsselten Text in einem symmetrischen Kryptosystem unter Verwendung des E-Schlüssels zu erzeugen. Ein R-Schlüssel ist ein privater Schlüssel eines Schlüsselausgabe-Schlüssel paares, und er wird von einem vertrauenswürdigen Serversystem in der festgelegten Domäne gehalten, die als ein KRA (Schlüsselausgabeagent) bezeichnet wird. Jeder KRA hält eine Kopie jedes R-Schlüssels, der in seiner Domäne verwendet wird, in gesicherter Weise (beispielsweise in einem fest verdrahteten Kryptomodul). Zertifizierte Kopien der entsprechenden öffentlichen. Schlüsselausgabeschlüssel werden den Verschlüsselern zur Verfügung gestellt. Der KRA wird weiter unten noch ausführlicher beschrieben. Bei der Erzeugung des ACD-Blockes wählt der Verschlüsseler einen öffentlichen Schlüsselausgabeschlüssel aus, der zusammen mit einer Identifikation für den entsprechenden R-Schlüssel geliefert wird, und überprüft die Signatur auf dem anwendbaren Zertifikat des öffentlichen Schlüssels. Klarer ausgedrückt heißt dies, daß der private Schlüsselausgabe- Schlüssel (R-Schlüssel) und der öffentliche Schlüsselausgabe- Schlüssel (Pub-Schlüssel) ein Schlüsselausgabe-Schlüsselpaar bilden, das ein Schlüsselpaar eines mit einem öffentlichen Schlüssel arbeitenden Kryptosystems ist, das beim Schutz eines zugangskontrollierten Entschlüsselungsblockes (ACD) gegen die Benutzung oder Modifikation durch irgendein anderes System als durch einen anerkannten Schlüsselausgabeagenten (KRA) verwendet wird. Der öffentliche Schlüsselausgabe-Schlüssel wird den Verschlüsselungssystemen (Verschlüsselern) zur Verfügung gestellt und von diesen bei der Erzeugung von zugangskontrollierten Entschlüsselungsblöcken verwendet, während der private Schlüsselausgabe-Schlüssel (R-Schlüssel) lediglich autorisierten Schlüsselausgabeagenten (KRA) bekanntgemacht wird.
Die ACA können eine Zugangskontroll-Liste und/oder einen Sicherheitsetikettensatz umfassen. Die ACA können die folgenden Arten von Zugangskontrollmaßnahmen (oder eine Kombination hiervon) unterstützen:
- personenbezogene Maßnahmen: eine Liste von Namen von Personen, die zur Entschlüsselung autorisiert sind,
- gruppenbezogene Maßnahmen: eine Liste von Namen von Gruppen von autorisierten Personen, wobei der Satz von Personen, die eine bestimmte Gruppe bilden, von einer oder mehreren Personen geführt wird, der bzw. die speziell für diesen Zweck autorisiert sind,
- aufgabenbezogene Maßnahmen: eine Liste von Aufgabenidentifikationen, wobei jede Aufgabe einen Satz von Attributen bedingt, die ein Entschlüsseler besitzen muß (beispielsweise könnten in einer Bankumgebung unterschiedliche Rollen ein "Kassenschalter", "Zweigstellen-Geschäftsführer", "Kontrollperson" und "Kunde" sein),
- kontextbezogene Kontrollen, beispielsweise Position eines Entschlüsselers und/oder Tageszeit,
- Mehrebenen-Maßnahmen: der Entschlüsseler muß eine Freigabe bis zu einer bestimmten Ebene haben, beispielsweise "Geheimhaltungsfrei", "Vertraulich", "Geheim" und "Streng geheim".
Der ACD-Block wird bei 20 von einer Identifikation einer Sicherheitsdomäne (Domänen-id) und einer Identifikation eines privaten Schlüselausgabe-Schlüssels (R-Schlüssel-id) begleitet. Der verschlüsselte Text, der ACD-Block, die R-Schlüssel- Identifikation und die Domänen-Identifikation werden dem Entschlüsseler zugesandt. Weil sie jeder Partei frei zugänglich gemacht werden können, können sie über ein nicht gesichertes elektronisches Postsystem übertragen oder auf einen öffentlichen Datenserver geschickt werden. In der Figur und den folgenden Figuren werden alle verschlüsselten Daten und Daten, die ein Diffie-Hellman-Exponential enthalten, mit verstärkten Linien angegeben. Dies heißt mit anderen Worten, daß der Schlüsselausgabeagent ein Serversystem in einem Computernetz ist, dem vertraut wird, daß er Entschlüsselungs-Schlüssel an Entschlüsselungssysteme nur dann liefert, wenn die Identität und die Attribute des Entschlüsselungssystems (Entschlüsseler) mit einem Satz von Zugangskontrollkriterien übereinstimmen, die von dem Verschlüsselungssystem zum Zeitpunkt der Verschlüsselung bestimmt wurden. Die Zugangskontrollkriterien sind in den vor stehend beschriebenen Zugangskontrollattributen (ACA) wiedergegeben, die ihrerseits einen Teil eines Zugangskontroll- Entschlüsselungsblockes (ACD) bilden. Der ACD ist andererseits eine Datenstruktur, die die verschlüsselte Nachricht begleitet, während diese ein Computernetz von einem Verschlüsselungssystem (Verschlüsseler) zu einem Entschlüsselungssystem (Entschlüsseler) durchläuft. Diese Datenstruktur, die von dem Verschlüsselungssystem erzeugt wird, enthält eine Angabe der Zugangskontrollkriterien, die sich auf die Verschlüsselung und die schlüsselbezogenen Daten bezieht, die es einem Schlüsselausgabeagenten ermöglichen, den Entschlüsselungs-Schlüssel zu berechnen. Die Form des zugangskontrollierten Entschlüsselungsblockes ist derart, daß lediglich ein anerkannter Schlüsselausgabeagent den Entschlüsselungs-Schlüssel berechnen kann und daß keine andere Einheit die Zugangskontrollattribute in einer Weise modifizieren kann, die der Schlüsselausgabeagent nicht feststellen würde.
Fig. 2 ist ein funktionelles schematisches Diagramm eines Entschlüsselers und eines KRA. Um den verschlüsselten Text und den ACD zu entschlüsseln, gewinnt ein Entschlüsseler 30 ACD-Schlüssel über eine Online-Schlüsselausgabetransaktion mit einem KPA 32. Bei dieser Ausführungsform ist der E-Schlüssel der ACD-Schlüssel, doch können in anderen Ausführungsformen die ACD-Schlüssel den E-Schlüssel sowie andere Schlüssel enthalten, die zur Verschlüsselung anderer Teile des ACD verwendet werden, wie dies weiter unten beschrieben wird. Jeder KRA hält jeden in seiner Domäne verwendeten R-Schlüssel. Der Entschlüsseler leitet eine Schlüsselausgabeanforderung durch Aussenden des ACD-Blockes und der R-Schlüssel-Identifikation bei 34 an den KRA ein. Der KRA gewinnt weiterhin Entschlüsseler-Privilegattribut-Information, um zu überprüfen, ob der anfordernde Entschlüsseler in geeigneter Weise autorisiert ist. Diese Entschlüsseler-Privilegattribut-Information kann einfach die authentisierte Identität des Entschlüsselers sein, die bei einer Ausführungsform über die Schlüsselausgabetransaktionsanforderung unter Verwendung eines geeigneten Authentisierungsmechanismus gewonnen werden kann. Bei einer weiteren Ausführungsform kann eine umfangreiche re Entschlüsseler-Privilegattribut-Information, beispielsweise Gruppenmitgliedschaft, Aufgabenmitgliedschaft oder Freigabeinformation von dem Entschlüsseler in zertifizierter Form geliefert werden, beispielsweise ein Privilegattributzertifikat, das von einer vertrauenswürdigen dritten Partei unterzeichnet ist, oder bei einer weiteren Ausführungsform kann der KRA Entschlüsseler-Privilegattribute von einer Unterstützungsdatenbank erhalten, wie dies strichpunktiert in Fig. 2 gezeigt ist.
Gemäß Fig. 2 verarbeitet weiterhin der KRA unter Verwendung des durch die R-Schlüssel-Identifikation identifizierten R- Schlüssels bei 36 den ACD-Block und gewinnt die ACD-Schlüssel und ACA zurück. Bei 38 macht der KRA dann eine Zugangskontrollentscheidung auf der Grundlage eines Vergleichs der ACA (Zugangskontrollattribute) und der Entschlüsseler-Privilegattribute, die von dem Entschlüsseler über die Schlüsselausgabeanforderung oder von der Datenbank geliefert werden können. Wenn festgestellt wird, daß der Entschlüsseler autorisiert ist, gewinnt der KRA die ACD-Schlüssel bei 40 zurück und liefert die Klartext-ACD-Schlüssel an den Entschlüsseler 30 zurück. Der Entschlüsseler verwendet diesen E-Schlüssel in den ACD- Schlüsseln, um den verschlüsselten Text zu entschlüsseln und gewinnt Klartext bei 42. Die Schlüsselausgabetransaktion muß unter Verwendung geschützter Anforderungs- und Ausgabenachrichten 44 durchgeführt werden. Insbesondere muß die Anforderung 34 durch Nachrichtenauthentisierungs- und Integritäts-Mechanismen geschützt werden (beispielsweise dadurch, daß der Entschlüsseler die Anforderung digital unterzeichnet), und die Antwort 46 muß durch einen Nachrichten-Vertraulichkeits-Mechanismus geschützt werden (beispielsweise durch Verschlüsseln mit einem symmetrischen Schlüssel, der gemeinsam von dem KRA und dem Entschlüsseler verwendet wird, oder durch Verschlüsseln mit einem öffentlichen Schlüssel des Entschlüsselers).
Fig. 3 ist ein funktionelles schematisches Diagramm des Verschlüsselers gemäß einer weiteren Ausführungsform der vorliegenden Erfindung. Bei dieser Ausführungsform verwendet die ACD-Block-Erzeugung und -Verabeitung ein reversibles Krypto system mit öffentlichem Schlüssel. Weiterhin sind die ACD- Schlüssel verkettete E-Schlüssel und A-Schlüssel. Somit erzeugt der Verschlüsseler einen zufälligen E-Schlüssel (Nachrichtenverschlüsselungs-Schlüssel) und einen zufälligen A-Schlüssel (ACA-Verschlüsselungs-Schlüssel). Ein Klartext, der vertraulich geschützt werden muß, wird bei 50 verschlüsselt um einen verschlüsselten Text in einem symmetrischen Kryptosystem unter Verwendung des E-Schlüssels zu erzeugen. Der ACA wird bei 52 in einem symmetrischen Kryptosystem unter Verwendung des A- Schlüssels verschlüsselt. Bei 54 verkettet der Verschlüsseler I die E- und A-Schlüssel, um ACD-Schlüssel zu schaffen, und bei 56 verschlüsselt er diesen mit dem öffentlichen Schlüsselausgabe-Schlüssel in einem reversiblen Kryptosystem mit öffentlichem Schlüssel. Die ACA- und ACD-Schlüssel können mit einer ausreichenden Redundanz formatiert werden, damit die Verschlüsselung/Entschlüsselung zusätzlich zu der Vertraulichkeit eine Integrität ergibt. Bei 58 fügt der Verschlüsseler eine Kopie der verschlüsselten ACD-Schlüssel und der verschlüsselten ACA in einen ACD-Block ein. Bei dieser Ausführungsform ist ein R-Schlüssel ein privater Schlüssel eines Schlüsselpaares in einem reversiblen Kryptosystem mit öffentlichem Schlüssel, und er wird von einem vertrauenswürdigen Serversystem (KRA) gehalten. Bei der Verschlüsselung der ACD-Schlüssel wählt der Verschlüsseler einen öffentlichen Schlüsselausgabe-Schlüssel aus, der zusammen mit einer Identifikation für den entsprechenden R-Schlüssel geliefert wird. Die ACD-Schlüssel werden unter dem öffentlichen Schlüssel des Schlüsselausgabe-Schlüsselpaares entsprechend dem identifizierten R-Schlüssel verschlüsselt. Der verschlüsselte Text, der ACD-Block, die R-Schlüssel-Identifikation und die Domänen-Identifikation werden dem Entschlüsseler zugeführt.
Fig. 4 ist ein funktionelles schematisches Diagramm eines Entschlüsselers und eines KRA der gleichen Ausführungsform. Der Entschlüsseler erhält den E-Schlüssel und den A-Schlüssel durch eine Online-Schlüsselausgabe-Transaktionsanforderung 60 bei einem KRA. Unter Verwendung des durch die R-Schlüssel-Identifikation identifizierten R-Schlüssels entschlüsselt der KRA bei 62 die ACD-Schlüssel, um E- und A-Schlüssel aus dem ACD- Block zu gewinnen. Bei 64 verwendet der KRA den A-Schlüssel, um die ACA von dem ACD-Block zu entschlüsseln, um die Klartext- ACA zurückzugewinnen. Bei 66 und 68 führt der KRA dann Zugangskontrollentscheidungen auf der Grundlage eines Vergleichs der ACA und der Entschlüsseler-Privilegattribute durch. Wenn festgestellt wird, daß der Entschlüsseler autorisiert ist, liefert der KRA den Klartext-E-Schlüssel und wahlweise den Klartext-A- Schlüssel an den Entschlüsseler zurück. Der Entschlüsseler verwendet den E-Schlüssel zur Entschlüsselung des verschlüsselten Textes und gewinnt Klartext bei 70. Wenn der A-Schlüssel zurückgeliefert wird, kann der Entschlüsseler diesen verwenden, um die ACA bei 72 zu entschlüsseln.
In den Fig. 5 und 6 ist eine weitere Ausführungsform der vorliegenden Erfindung gezeigt, bei der der Verschlüsseler eine Diffie-Hellman-Schlüsselableitungstechnik anstelle eines reversiblen Kryptosystems mit öffentlichem Schlüssel nach den Fig. 3 und 4 verwendet. Bei dieser Ausführungsform ist ein R-Schlüssel ein geheimer zufälliger Diffie-Hellman-Exponent y und durch die R-Schlüssel-Identifikation 80 identifiziert. Jeder KRA hält eine Kopie jedes in seiner Domäne verwendeten R-Schlüssels in einer gesicherten Weise. Zertifizierte Kopien des entsprechenden Diffie-Hellman-y-Exponentials (ay mod p) 82 werden den Verschlüsselern verfügbar gemacht, so daß dieses y-Exponential ein öffentlicher Schlüssel ist. Wenn ein Klartext verschlüsselt wird, erzeugt der Verschlüsseler neue zufällige E- und A-Schlüssel und einen zufälligen Diffie-Hellman-Exponenten x. Der Verschlüsseler wählt dann ein y-Exonential (öffentlicher D-H-Schlüssel) aus und kann die Unterschrift auf dem anwendbaren Zertifikat überprüfen. Das x-Exponential 84 wird als ax mod p berechnet, und ein D-Schlüssel (gemeinsamer D-H-Schlüssel) wird als (ay)x mod p bei 86 berechnet. Wie bei der früheren Ausführungsform werden die E- und A-Schlüssel verkettet, um ACD-Schlüssel zu erzeugen, die bei 88 mit dem D-Schlüssel unter Verwendung eines symmetrischen Kryptosystems verschlüsselt werden. Die ACA werden bei 90 mit dem A-Schlüssel verschlüsselt. Die verschlüsselten ACD-Schlüssel, die verschlüsselten ACA und das x-Exponential werden in einen ACD-Block bei 92 eingeführt. Die geschützten Teile des ACD-Blockes können mit einer ausreichenden Redundanz formatiert werden, damit die Verschlüsselung/Entschlüsselung des Blockes eine Integrität zusätzlich zur Vertraulichkeit sicherstellt. Inzwischen wurden die Klartext-Daten bei 94 unter dem E-Schlüssel unter Verwendung eines symmetrischen Kryptosystems zur Erzeugung eines verschlüsselten Textes verschlüsselt. Der verschlüsselte Text, der die verschlüsselten Teile und das Klartext-x-Exponential enthaltende ACD-Block, die R-Schlüssel- Identifikation und die Domänen-Identifikation werden bei 96 miteinander verbunden und dem Entschlüsseler zugeführt.
Fig. 6 zeigt den Entschlüsseler und den KRA gemäß dieser Ausführungsform. Der Entschlüsseler ist der gleiche wie bei der vorhergehenden Ausführungsform nach Fig. 4 und leitet eine Schlüsselausgabe-Anforderung bei 100 dadurch ein, daß dem KRA der ACD-Block, die R-Schlüssel-Identifikation und die Entschlüsseler-Attributinformation, falls erforderlich, zugesandt wird. Wenn der KRA eine Schlüsselausgabe-Anforderung empfängt, berechnet er den D-Schlüssel bei 102 als (ax)y mod p unter Verwendung des durch die R-Schlüssel-Identifikation angezeigten Wertes y. Dieser D-Schlüssel wird dann bei 104 zum Entschlüsseln der verschlüsselten ACD-Schlüssel verwendet, um die E- und A-Schlüssel aus dem ACD-Block herauszuziehen. Der A-Schlüssel wird dann bei 106 dazu verwendet, die verschlüsselten ACA in dem ACD-Block zu entschlüsseln. Wenn dies nachfolgende Zugangskontrollentscheidungen bei 108 und 110 zulassen, werden die E- und/oder A-Schlüssel dem Entschlüsseler zurück geliefert, der den E-Schlüssel zum Entschlüsseln des verschlüsselten Textes bei 112 verwendet, um die Klartext-Daten zu gewinnen, und der den A-Schlüssel zum Entschlüsseln der ACA bei 114 verwendet. Die Anforderung 100 der Schlüsselausgabe-Transaktion zwischen dem Entschlüsseler und dem KRA muß durch Nachrichten-Authentisierungs- und Integritätsmechanismen geschützt werden, und die Antwort 116 der Schlüsselausgabe-Transaktion muß durch einen Nachrichten-Vertraulichkeits-Mechanismus geschützt werden.
Wenn das System zur absolut ausschließlichen Verwendung innerhalb einer einzigen Domäne bestimmt ist, ist eine weitere Vereinfachung der vorhergehenden Ausführungsform möglich. Die Fig. 7 und 8 sind funktionelle schematische Diagramme gemäß dieser weiteren Ausführungsform der Erfindung, bei der der ACD-Schlüssel, der die E- und A-Schlüssel enthält, unter Verwendung der Diffie-Hellman-Schlüsselableitungstechnik abgeleitet wird. Bei dieser Ausführungsform wird daher der in Verbindung mit der in den Fig. 5 und 6 gezeigten Ausführungsform erzeugte D-Schlüssel bei 120 in E- und A-Schlüssel aufgespalten, wobei der E-Teil zum Verschlüsseln der Klartext-Daten bei 122 zur Gewinnung eines verschlüsselten Textes verwendet wird, während der A-Teil zur Verschlüsselung der ACA bei 124 verwendet wird. Der Verschlüsseler muß keine E- und A-Schlüssel erzeugen. Sie werden einfach aus dem x- und y-Exponential berechnet, das ein öffentlicher D-H-Schlüssel ist. Es ist weiterhin nicht erforderlich, die verschlüsselten E- und A- Schlüssel in dem ACD-Block einzuschließen. Die Entschlüsselerfunktionen sind die gleichen wie die in den vorherstehenden Figuren gezeigt sind. Somit leitet in Fig. 8 der Entschlüsseler eine Schlüsselausgabanforderung bei 130 dadurch ein, daß er dem KRA den ACD-Block, die R-Schlüssel-Identifikation und wahlweise Entschlüsseler-Attributinformationen zusendet. Der KRA gewinnt dann den D-Schlüssel bei 132 zurück, und liefert in Abhängigkeit von den Zugangskontrollentscheidungen bei 134 und 136 die E- und/oder A-Schlüssel an den Entschlüsseler zurück.
Es können sich Fälle ergeben, bei denen der E-Schlüssel legitim an eine Organisation ausgegeben werden sollte, die nicht durch die Zugangskontrollattribute abgedeckt ist, beispielsweise einem Exekutivorgan mit einem Gerichtsbeschluß, der den Zugang an die verschlüsselten Daten freigibt, oder an einen Firmen- Administrator, der geschützte Informationen wiedergewinnen muß, nachdem alle autorisierten Entschlüsseler nicht mehr existieren. Daher ist gemäß einer weiteren Ausführungsform der KRA mit einer Schlüssel-Treuhänder-Fähigkeit versehen. Bei dieser Ausführungsform enthält der KRA einen speziellen Schlüsselausgabe zustand in seinem Entscheidungsprozeß. Der KRA akzeptiert eine Schlüsselausgabetransaktion von einer anderen Partei als einem Entschlüsseler, der entsprechend den ACA autorisiert ist, vorausgesetzt, daß spezielle Bedingungen erfüllt sind, d. h. daß die Anforderung diese Schlüsselausgabetransaktion derart authentisiert ist, daß zu erkennen ist, daß sie von einer vorher festgelegten Anzahl von speziellen Autoritäten stammt, wobei die Schlüssel, die für die Authentisierung spezieller Autoritäten erforderlich sind, von dem KRA gehalten werden.
Wie dies weiter oben beschrieben wurde, muß bei dem traditionellen Schlüsselverteilungsverfahren bei der elektronischen Post jedes teilnehmende Benutzersystem die Verschlüsselungs- und Entschlüsselungsfähigkeiten eines reversiblen Kryptosystems mit öffentlichem Schlüssel haben. Es kann eine Gefahr bestehen, daß derartige Kryptographie-Fähigkeiten für unbeabsichtigte Verschlüsselungszwecke verwendet werden. Bei den Ausführungsformen der vorliegenden Erfindung muß andererseits ein teilnehmendes Benutzersystem lediglich die Verschlüsselungs- jedoch nicht die Entschlüsselungs-Fähigkeiten eines Kryptosystems mit öffentlichem Schlüssel haben. Die Entschlüsselungsfähigkeiten befinden sich lediglich innerhalb einer kleinen Anzahl von genau kontrollierten KRA-Systemen. Aus diesem Grund kann es möglich sein, Exportgenehmigungen für ein leistungsfähigeres (beispielsweise einen größeren Modulus verwendendes) Kryptosystem mit öffentlichem Schlüssel zu erhalten, als dies bei dem tradionellen Verfahren möglich wäre. Bei den Ausführungsformen, die die Diffie-Hellman-Techniken verwenden, entstehen keine Bedenken hinsichtlich einer unbeabsichtigten Verwendung der kryptographisch starken Ausführungsformen.
Im Gegensatz zu bekannten Verteilungstechniken erfordert die vorliegende Erfindung nicht, daß Nachrichtenverschlüsseler oder Entschlüsseler (Empfänger) kritische geheime Information speichern müssen. Eine Mehr-Nachrichten-Kompromittierung kann sich lediglich aus einer Kompromittierung eines R-Schlüssels ergeben, der in einer kleinen Anzahl von sehr streng kontrollierten vertrauenswürdigen Serversystemen gespeichert ist.
Weiterhin kann das traditionelle Verfahren lediglich einfache Listen von autorisierten Personen als Entschlüsseler unter stützen, während die vorliegende Erfindung zusätzlich solche Modelle, wie z. B. gruppenbezogene Modelle, aufgabenbezogene Modelle und Mehrebenen-Modelle unterstützt.
Es sei weiterhin bemerkt, daß die Schlüssel-Treuhänder-Fähigkeiten der vorliegenden Erfindung im Vergleich mit anderen Systemen vorteilhaft abschneiden, wie z. B. denen, die in der Treuhänder-Verschlüsselungsnorm der US-Regierung (FIPS PUB 185) festgelegt sind, weil:
a) Es nicht erforderlich ist, eine große Anzahl von Schlüsseln an einer zentralen strikt geschützten Stelle zu speichern. Lediglich eine vergleichsweise kleine Anzahl von R-Schlüsseln muß in einer streng geschützten Weise (beispielsweise Hardware-Kryptomodul) in KRA-Einheiten gespeichert werden.
b) Schlüssel werden auf der Grundlage jeweiliger geschützter Einzelposten ausgegeben, d. h. die Ausgabe des E-Schlüssels für eine Nachricht ermöglicht nicht automatisch den Zugang an andere geschützte Daten, an denen der gleiche Verschlüsseler und/oder Entschlüsseler beteiligt sind. Bei dem Treuhänder-Verschlüsselungsnorm-System bedeutet die Freigabe von Treuhänder-Schlüsselinformation, die erforderlich ist, um einen einzigen verschlüsselten Datenposten zu entschlüsseln, daß alle anderen verschlüsselten Daten, die von der gleichen Verschlüsselungseinrichtung ausgehen, ebenfalls entschlüselt werden, ohne daß eine weitere Abfang-Autorisierung erforderlich ist.

Claims

1. Verfahren zur öffentlichen Verteilung eines Nachrichten- Verschlüsselungs-Schlüssels (E-Schlüssel) über ein Computernetz, das einen Verschlüsseler (10), einen Entschlüsseler (30) und einen Schlüsselausgabeagenten (32) einschließt, mit den folgenden Schritten:

der Verschlüsseler erzeugt einen zugangskontrollierten Entschlüsselungsblock (ACD), der Schlüsseldaten enthält, die sich auf einen Nachrichten-Verschlüsselungs-Schlüssel und eine Angabe von Zugangskontrollkritierien bezüglich autorisierter Entschlüsseler beziehen, die beide unter Verwendung eines öffentlichen Schlüsselausgabe-Schlüssels (14) geschützt sind, für den lediglich der Schlüsselausgabeagent in einer bestimmten Sicherheitsdomäne Kenntnis über den entsprechenden privaten Schlüsselausgabe-Schlüssel hat,

der Verschlüsseler verteilt den zugangskontrollierten Entschlüsselungsblock, eine Sicherheitsdomänen-Identifikation (Domänen-id) und eine Identifikation (R-Schlüssel-id) des privaten Schlüsselausgabe-Schlüssels,

der Entschlüsseler sendet dem Schlüsselausgabeagenten in einer örtlich geschützten Transaktion (44) eine Schlüsselausgabeanforderung, die den zugangskontrollierten Entschlüsselungsblock, die Identifikation des privaten Schlüsselausgabe- Schlüssels und Entschlüsseler-Attribute einschließt, die die Identität des Entschlüsselers einschließen,

der Schlüsselausgabeagent gewinnt den Nachrichten- Verschlüsselungs-Schlüssel und Zugangskontrollattribute unter Verwendung von Daten in dem zugangskontrollierten Entschlüsselungsblock und dem privaten Schlüsselausgabe-Schlüssel zurück und bestimmt auf der Grundlage der Entschlüsseler-Attribute und der Angabe der Zugangskontrollkriterien in dem zugangskontrollierten Entschlüsselungsblock, ob der Entschlüsseler autorisiert ist, den verschlüsselten Text (20) der Nachricht zu entschlüsseln, und

wenn der Entschlüsseler in dieser Weise autorisiert ist, sendet der Schlüsselausgabeagent den Nachrichten-Entschlüsselungsschlüssel an den Entschlüsseler in einer örtlich geschützten Transaktion.

2. Verfahren zur öffentlichen Verteilung des Nachrichten- Verschlüsselungs-Schlüssels nach Anspruch 1, das weiterhin die Schritte umfaßt, daß der Verschlüsseler:

Zugangskontrollattribute unter einem Zugangskontroll- Verschlüsselungs-Schlüssel (A-Schlüssel) verschlüsselt (52), wobei die Zugangskontrollattribute die Zugangskontrollkriterien enthalten,

sowohl den Zugangskontroll-Verschlüsselungs-Schlüssel als auch den Nachrichten-Verschlüsselungs-Schlüssel unter Verwendung des öffentlichen Schlüsselausgabe-Schlüssels verschlüsselt (56), und

die verschlüsselten Zugangskontrollattribute, den Zugangskontroll-Verschlüsselungs-Schlüssel und den Nachrichten- Verschlüsselungsschlüssel in den Zugangskontroll-Entschlüsselungsblock einfügt (58).

3. Verfahren zur öffentlichen Verteilung des Nachrichten- Verschlüsselungs-Schlüssels nach Anspruch 2, bei dem der öffentliche Schlüsselausgabe-Schlüssel ein Schlüssel ist, der in der Diffie-Hellman-Schlüsselableitungstechnik verwendet wird, und bei dem der Schritt des Sendens des Verschlüsselers an den Entschlüsseler den Schritt des Sendens des zugangskontrollierten Entschlüsselungsblockes einschließt, der weiterhin ein Exponential (84) einschließt, das in der Diffie-Hellman-Schlüsselableitungstechnik verwendet wird.

4. Verfahren zur öffentlichen Verteilung des Nachrichten- Verschlüsselungs-Schlüssels nach Anspruch 2, bei dem der öffentliche Schlüsselausgabe-Schlüssel in der Diffie-Hellman- Schlüsselableitungstechnik dazu verwendet wird, einen D- Schlüssel zu erzeugen, der den Nachrichten-Verschlüsselung- Schlüssel und den Zugangskontroll-Verschlüsselungsschlüssel enthält.

5. Verfahren zur öffentlichen Verteilung eines Nachrichten- Verschlüsselungs-Schlüssels nach Anspruch 1, bei dem der Schritt des Sendens des Verschlüsselers an den Entschlüsseler einen Schritt des Sendens des zugangskontrollierten Entschlüsselungsblockes einschließt, der weiterhin Zugangskontrollattribute einschließt, die die Autorisierung des Entschlüsselers beschreiben.

6. Verfahren zur öffentlichen Verteilung des Nachrichten- Verschlüsselungs-Schlüssels nach Anspruch 5, das weiterhin einen Schritt einschließt, bei dem ein Schlüsselausgabeagent das Entschlüsselerattribut auf einer Datenbank auf einem getrennten Kanal gewinnt.

7. Verfahren zur öffentlichen Verteilung eines Nachrichten- Verschlüsselungs-Schlüssels in einem Computernetz nach einem der Ansprüche 1, 3, 4 und 6, das einen weiteren Schritt umfaßt, bei dem der Verschlüsseler die Diffie-Hellmann-Schlüsselableitungstechnik zur Erzeugung des Nachrichten-Verschlüsselungs- Schlüssels verwendet.

8. Computernetz, bei dem ein Nachrichten-Verschlüsselungs- Schlüssel öffentlich zwischen einem Verschlüsseler (10) und einem Entschlüsseler (30) über einen Schlüsselausgabeagenten (32) verteilt wird, wobei:

der Verschlüsseler eine Sendeeinrichtung zur Aussendung eines verschlüsselten Textes, eines zugangskontrollierten Entschlüsselungsblockes (ACD) und einer Identifikation, die einem öffentlich-privaten Schlüsselausgabe-Schlüsselpaar zugeordnet ist, über das Netz an den Entschlüsseler einschließt, wobei der zugangskonrollierte Entschlüsselungsblock einen Satz von Zugangskontrollattributen (ACA) und auf den Nachrichten- Verschlüsselungs-Schlüssel (E-Schlüssel) bezogene Schlüsseldaten einschließt, wobei der Verschlüsseler weiterhin eine Nachrichten-Verschlüsselungseinrichtung zur Erzeugung des verschlüsselten Textes unter Verwendung des Nachrichten- Verschlüsselungs-Schlüssels und eine ACD-Erzeugungseinrichtung (16) zur Erzeugung des zugangskontrollierten Entschlüsse lungsblockes unter Verwendung des öffentlichen Schlüsselausgabe- Schlüssels (öffentlicher Schlüssel) einschließt,

der Entschlüsseler (30) eine Transaktionseinrichtung zum Senden des zugangskontrollierten Entschlüsselungsblockes und einer Identifikation zusammen mit einem Satz von Entschlüsseler-Attributen an den Schlüsselausgabeagenten in einer örtlich geschützten Transaktion (44) aufweist, und

der Schlüsselausgabeagent (32) den privaten Schlüsselausgabe-Schlüssel und eine ACD-Verarbeitungseinrichtung (36) aufweist, um den Nachrichten-Verschlüsselungs-Schlüssel und die Zugangskontrollattribute unter Verwendung des privaten Schlüsselausgabe-Schlüssels (R-Schlüssel) zurückzugewinnen, wobei der Schlüsselausgabeagent (32) weiterhin eine Bestimmungseinrichtung, die auf der Grundlage der rückgewonnenen Zugangskontrollattribute und der Entschlüsseler-Attribute bestimmt, ob der Entschlüsseler autorisiert ist, den verschlüsselten Text zu entschlüsseln, und eine Sendeeinrichtung einschließt, um dem Entschlüsseler den Nachrichten- Verschlüsselungs-Schlüssel in einer örtlich geschützten Transaktion (44) zu senden.

9. Computernetz nach Anspruch 8, bei dem der Verschlüsseler weiterhin eine Zugangskontroll-Verschlüsselungseinrichtung (52) zur Verschlüsselung der Zugangskontrollattribute unter einem Zugangskontroll-Verschlüsselungs-Schlüssel (A-Schlüssel) umfaßt und die ACD-Erzeugungseinrichtung (56) den Nachrichten-Verschlüsselungsschlüssel und den Zugangskontroll-Verschlüsselungs-Schlüssel unter Verwendung des öffentlichen Schlüsselausgabeschlüssels verschlüsselt.

10. Computernetz nach Anspruch 8, bei dem der Ausgabeschlüssel einen öffentlichen Schlüssel (14) und einen entsprechenden privaten Schlüssel umfaßt, die in einem reversiblen Kryptosystem mit öffentlichem Schlüssel verwendet werden, wobei der Verschlüsseler den öffentlichen Schlüssel und der Schlüsselausgabeagent den privaten Schlüssel hat.

11. Computernetz nach Anspruch 9, bei dem der Ausgabeschlüssel einen öffentlichen Schlüssel und einen entsprechenden privaten Schlüssel umfaßt, die in einem reversiblen Kryptosystem mit öffentlichem Schlüssel verwendet werden, wobei der Verschlüsseler den öffentlichen Schlüssel und der Schlüsselausgabeagent den privaten Schlüssel hat.

12. Computernetz nach Anspruch 8, bei dem der Ausgabeschlüssel einen Schlüssel umfaßt, der einen Schlüssel umfaßt, der durch die Diffie-Hellman-Schlüsselableitungstechnik erzeugt wurde.

13. Computernetz nach Anspruch 9, bei dem der Ausgabeschlüssel einen Schlüssel umfaßt, der durch die Diffie-Hellman-Schlüsselableitungstechnik erzeugt ist.

14. Computernetz nach Anspruch 10, bei dem der Nachrichten- Verschlüsselungsschlüssel und der Ausgabeschlüssel gleich sind und einen Schlüssel umfassen, der durch die Diffie-Hellman- Schlüsselableitungstechnik erzeugt ist.

15. Computernetz nach Anspruch 9, bei dem der Schlüsselausgabeagent weiterhin eine Schlüsseltreuhändereinrichtung umfaßt, um zu bestimmen, ob eine dritte Partei, die von dem Verschlüsseler und dem Entschlüsseler abweicht, autorisiert ist, den verschlüsselten Text zu entschlüsseln.

16. Computernetz nach Anspruch 9, bei dem der Schlüsselausgabeagent weiterhin einen Telekommunikationskanal umfaßt, der mit einer Datenbank zur Gewinnung der Entschlüsseler-Attribute verbunden ist.