DE69636685T2

DE69636685T2 - Verfahren zur Datenhinterlegung für ein gesichertes Datenaustauschprotokoll

Info

Publication number: DE69636685T2
Application number: DE69636685T
Authority: DE
Inventors: Jean-Bernard Fischer
Original assignee: Thomson Multimedia SA
Current assignee: Technicolor SA
Priority date: 1995-09-15
Filing date: 1996-09-13
Publication date: 2007-10-18
Anticipated expiration: 2016-09-14
Also published as: DE69636685D1

Description

Die Erfindung betrifft ein Verfahren zum Verpfänden von Daten für ein abgesichertes Datenaustauschprotokoll.
Die Erfindung gilt insbesondere vorteilhaft für Systeme der physikalischen und logischen Zugangskontrolle, zum Beispiel in Computernetzen oder Kontrollsystemen, wie denjenigen, die man zum Beispiel in den Fernsehdecodern mit bedingtem Zugang (Gebührenfernsehen, verschlüsseltes Fernsehen usw.) findet. Natürlich sind diese Anwendungen in keiner Weise einschränkend und werden hier nur beispielhaft für technische Bereiche gegeben, in welchen die Erfindung verwendet werden kann.
Das Konzept des Verpfändens einer Information besteht zu einem ersten Teil darin, sich bei einer anderen Partei hinsichtlich einer vorausbestimmten Information zu verpflichten, ohne diese Information jedoch in Klarschrift mitzuteilen. Bei einem späteren Schritt gibt die erste Partei der zweiten Partei die Information in Klarschrift bekannt, wobei die zweite Partei die Möglichkeit hat, in diesem Augenblick zu prüfen, ob die Information in Klarschrift tatsächlich die ist, die zuvor geheim verpfändet wurde. Das Dokument DE-C-4 234 165 beschreibt ein Verfahren zum späteren Prüfen von Daten, die in Klarschrift von einer Instanz A zu einer Instanz B übertragen wurden, wobei die Prüfung unter Einsatz eines geheimen Schlüssels durchgeführt wird, der für A zugänglich ist.
Hier und unten betrifft der Begriff „Partei" sowohl juristische Personen oder natürliche Personen als auch elektronische oder EDV-Systeme, die untereinander Daten vollautomatisch im Rahmen eines besonderen Protokolls oder allgemeiner einer Datentransaktion austauschen.
Ebenso wird die Information, die Gegenstand der Transaktion ist, „verpfändete Information" genannt, „Debitor" die Partei, die ursprünglich die verpfändete Information besitzt (die „erste Partei", die weiter oben angegeben ist) und „Kreditor" die empfangende Partei der verpfändeten Information (oben „zweite Partei" genannt).
Ein solches Verpfändungsprotokoll bedingt mehrere Auflagen:

– zuerst muss die verpfändete Information für den Kreditor (und auch für Dritte) bis zu dem entsprechenden Augenblick geheim bleiben, zum Beispiel bis zum Abschluss einer Arbeit, die gemeinsam durchgeführt wird, oder bis zum Abschluss eines abgesicherten Datenaustausches zwischen den zwei Parteien,
– es ist unerlässlich, dass sich der Debitor nicht lossagen und nicht schwindeln kann, indem er zum Beispiel dem Kreditor eine andere Information als die, die ursprünglich verpfändet wurde, bekannt gibt.

Derartige Verpfändungsverfahren wurden bereits vorgeschlagen. Sie verwenden im Allgemeinen kryptographische Hash-Funktionen, wie zum Beispiel DES im CBC-Modus. Man findet eine Darlegung dieser Funktionen sowie Beispiele für ihre Umsetzung in B. Preneel et coll., „Cryptographically Secure Hash Functions: an Overview", R.C. Merkle, „One-Way Hash Functions and DES", LNCS, 435, Springer Verlag (1990), CRYPTO '89, Seiten 428–446 oder G. J. Simmons, Contemporary Cryptology, IEEE Press, Chap. 6: Digital Signature.
Einer der Nachteile dieser Funktionen liegt in der Tatsache, dass sie große Speicherressourcen und Rechenleistung erfordern, ein Nachteil, der erheblich werden kann, wenn man das Verfahren mit Konfigurationen kleinerer Größe durchführen will, wie zum Beispiel mit Mikrocontrollern und Mikroschaltkreisen von Chip-Karten.
Um dieser Schwierigkeit abzuhelfen, schlägt die vorliegende Erfindung ein Verfahren zum Verpfänden von Daten vor, das insbesondere weniger Speicher- und Rechenressourcen benutzt und daher vorteilhafterweise seine Umsetzung durch Mikroschaltkreise oder Mikrocontroller einfacher Chip-Karten erlaubt.
Dieses Verfahren gehört zu dem oben genannten bekannten Typ, das heißt Folgendes umfassend:

– einen Schritt des „Verpfändens", bei dem eine Debitorpartei, die eine verpfändete Information besitzt, Informationen mit einer Kreditorpartei so austauscht, dass sie Letzterer eine Bildinformation der verpfändeten Information überträgt, welche Letztere eindeutig aber nicht umkehrbar darstellt,
– einen Schritt des „Öffnens", bei dem die Debitorpartei Informationen mit der Kreditorpartei so austauscht, dass sie dieser Letzteren die verpfändete Information in Klarschrift oder in einer Art überträgt, die es erlaubt, sie wieder zu finden, und in der die Kreditorpartei die Konformität dieser verpfändeten Information mit der des Verpfändungsschritts prüfen kann.

Gemäß der Erfindung ist es dadurch gekennzeichnet,

– dass die Debitorpartei bei dem Verpfändungsschritt:
– einen Keim erzeugt, der an einen Pseudozufalls-Generator derart angelegt wird, dass er ein Pseudozufallswort erzeugt,
– dieses Pseudozufallswort eindeutig und umkehrbar mit der verpfändeten Information so kombiniert, dass ein Kontrollwort erzeugt wird, und
– der Kreditorpartei nur das Kontrollwort übermittelt,
– dass die Debitorpartei beim Schritt des Öffnens der Kreditorpartei den Keim mit der verpfändeten Information in Klarschrift überträgt, und
– dass die Kreditorpartei beim Empfang des Keims und der verpfändeten Information:
– den Keim an einen ähnlichen Pseudozufalls-Generator anlegt wie die Debitorpartei, um ein anderes Pseudozufallswort zu erzeugen,
– eindeutig und umkehrbar wie für die Debitorpartei dieses andere Pseudozufallswort mit dem Kontrollwort kombiniert, um eine Kontrollinformation zu erzeugen, und
– die Konformität der Kontrollinformation mit der in Klarschrift von der Debitorpartei empfangenen verpfändeten Information prüft.

Bei einer vorteilhaften Ausführungsform haben das Pseudozufallswort und das andere Pseudozufallswort, die von den Pseudozufalls-Generatoren jeweils der Debitorpartei und der Kreditorpartei erzeugt werden, die gleiche Länge wie die verpfändete Information, und die eindeutigen und umkehrbaren Kombinationsoperationen sind ODER-EXKLUSIV-Operationen.
Weitere Merkmale und Vorteile ergeben sich bei der Lektüre der folgenden detaillierten Beschreibung einer Ausführungsform der Erfindung.
Die alleinige Figur veranschaulicht schematisch die verschiedenen Operationen und Datenaustausche, die zum Umsetzen des erfindungsgemäßen Verfahrens durchgeführt werden.
Es wird angenommen, dass sich eine erste Partei A (der Debitor) bei einer zweiten Partei B (der Kreditor) hinsichtlich einer Information d verpflichten muss, die vorübergehend geheim bleiben muss, zum Beispiel bis zum Abschluss einer gemeinsamen Arbeit oder bis zum Abschluss einer Transaktion zwischen den zwei Parteien.
Im Wesentlichen wird das Protokoll in zwei Schritten abgewickelt:

– das „Verpfänden": Der Debitor A, der die Information d, die er beim Kreditor B verpfänden möchte, besitzt, tauscht Mitteilungen mit diesem Letzteren so aus, dass am Ende dieses Schritts der Kreditor B eine Information besitzt (die unten m genannt wird), die d eindeutig darstellt, die es selbst aber nicht erlaubt, diese Information d wieder zu finden (probabilistisch ausgedrückt kann man auch sagen, dass B d nicht ausgehend von m mit einer besseren Wahrscheinlichkeit als 1/n erraten können darf, wobei n der Wert eines Sicherheitsparameters ist);
– das „Öffnen": Der Debitor A gibt in Klarschrift die Information d beim Kreditor B bekannt, und B muss sich vergewissern können, dass die Information, die ihm in diesem Schritt übertragen wird, tatsächlich die gleiche ist wie die, die geheim im vorhergehenden Schritt verpfändet wurde (probabilistisch ausgedrückt muss der Debitor A, wenn er versucht zu schwindeln, indem er einen anderen Wert bekannt gibt als den, den er verpfändet hatte, mit einer Wahrscheinlichkeit von mindestens 1-1/n aufgedeckt werden können).

Im Wesentlichen beruht das erfindungsgemäße Verfahren auf dem Gebrauch eines Pseudozufalls-Generators, das heißt einer Funktion, die für ein beliebiges Wort am Eingang, das „Keim" genannt wird, am Ausgang ein Wort mit größerer Länge erzeugt. Dieses Ausgangswort wird deterministisch erzeugt, es ist aber pseudo-zufällig, das heißt, dass es fast unmöglich ist, wenn man die ersten Bits des Worts kennt, das darauf folgende Bit zu finden, ohne den Keim zu kennen und umgekehrt, dass es mindestens ebenso schwierig ist, den Keim ausgehend von dem Wort am Ausgang zu finden.
Mit anderen Worten muss der Pseudozufalls-Generator schwer umzukehren sein, wenn man nicht eine im Vergleich zur in Betracht gezogenen Anwendung krasse Leistung und/oder Rechenzeit aufbringt und insbesondere angesichts der üblichen Transaktionszeiten.
Man kann insbesondere zum Ausführen dieses Pseudozufalls-Generators einen „Zellautomaten" verwenden, wie zum Beispiel den in S. Wolfram, „Cryptography with Cellular Automata", Advances in Cryptology: Proc. Crypto '85, Lecture Notes in Computer Science, 218 (1986), Seiten 429–432 beschriebenen.
Weiter unten wird die Umsetzung eines solchen Zellautomaten im Rahmen der Erfindung beschrieben, eine solche Herstellung wird jedoch nur beispielhaft gegeben und ist in keiner Weise einschränkend.
Wie in der Figur veranschaulicht, besitzt jede der Parteien A und B, die am Verfahren beteiligt ist, einen solchen Pseudozufalls-Generator mit dem Bezugszeichen GPA, wobei die beiden Generatoren gemäß dem gleichen Algorithmus funktionieren.
Der Debitor A verfügt außerdem über einen Zufallsgenerator G. Jede der Parteien A und B ist ferner mit Mitteln ausgestattet, die es erlauben, eine ODER EXKLUSIV-Funktion bitweise auszuführen, unten mit dem Bezugszeichen „⨁" benannt.
Die Kreditorpartei B besitzt schließlich Mittel C zum bitweisen Vergleichen, die es erlauben, die Identität zwischen zwei Wörtern zu bestimmen, die am Eingang angelegt werden (wobei die Übereinstimmung dieser Wörter das Fehlen von Fälschung der Daten durch den Debitor im Laufe der Transaktion beweist).
Die Abwicklung des Prozesses ist die Folgende: Wie oben angegeben, erfolgt sie in zwei Schritten, nämlich der „Verpfändung" und dem „Öffnen".
Das Verpfänden beginnt durch Erzielen bei der Debitorpartei A eines Zufallsworts w durch den Generator G.
Dieses Wort w wird als Keim an den Pseudozufalls-Generator GPA angelegt, der gemäß seinem Algorithmus eine Pseudozufallsfolge p = P(w) erzeugt, die die gleiche Länge hat wie die Information d, die zwischen den Parteien A und B verpfändet werden soll.
A berechnet daher m = p ⨁ d, das heißt, dass A eine ODER EXKLUSIV-Operation zwischen p und d durchführt (welche zwei Informationen gleiche Länge haben) und die daraus hervorgehende Information m der Kreditorpartei B übermittelt.
Zu bemerken ist, dass die Information m eine chiffrierte eindeutige Darstellung der Information d ist, dass diese Letztere aber komplett insofern verborgen ist, als man die Folge von p, die von dem Pseudozufalls-Generator erzeugt wird, nicht bestimmen kann: es handelt sich um eine Eigenschaft einer Kombination durch eine ODER EXKLUSIV-Operation, auch unter der Bezeichnung „one-time pad-Verfahren" bekannt. Mit anderen Worten ist das Chiffrieren durch Anwenden der ODER EXKLUSIV-Operation ebenso sicher wie der Pseudozufalls-Generator, das heißt, dass ein externer Beobachter (die Partei B oder ein beliebiger Dritter) ausgehend von m die Information d nicht mit einer Wahrscheinlichkeit erraten kann, die besser ist als die, mit der er p erraten könnte, ohne den Keim w des Pseudozufalls-Generators zu kennen.
Wenn das Wort m bei B verpfändet wurde, können die Parteien A und B jetzt das begonnene Protokoll fortsetzen, indem sie die untereinander gewünschte Transaktion durchführen, indem sie die gemeinsam vorgesehene Arbeit ausführen usw. Sobald diese Betriebphase beendet ist, kann man zum Schritt des Öffnens übergehen.
Der Debitor A gibt daher dem Kreditor in Klarschrift die verpfändete Information d sowie den Keim w bekannt, der zum Chiffrieren dieser Information zu Beginn des Verpfändungsschritts gedient hat.
Die Partei B berechnet daher mittels ihres eigenen Pseudozufalls-Generators eine Information p' = P(w) (wobei normalerweise p = p', wenn A tatsächlich an B den echten Keim übermittelt hat). Mit der chiffrierten Information m, die verpfändet wurde, und die sie aufbewahrt hat, berechnet die Partei B daher durch eine ODER EXKLUSIV-Funktion d' = m ⨁ p' und prüft, ob d' = d, was die gute Abwicklung sämtlicher Operationen bestätigt: Wenn nämlich alles richtig abgelaufen ist, muss man d' = m ⨁ p' = (p ⨁ d) ⨁ p = p ⨁ p ⨁ d = d haben.
Man kann bemerken, dass das erfindungsgemäße Protokoll im Vergleich zu einer herkömmlichen Hash-Funktion eine größere Anzahl von Übertragungen benötigt (weil es nicht nur erforderlich ist, die chiffrierte Information m zu übertragen, sondern auch die Information in Klarschrift d und den Keim w). Bei einer herkömmlichen Hash-Funktion wäre das Verpfänden über einen Wert von 64 oder 128 Bits erfolgt, während man im vorliegenden Fall, wenn zum Beispiel die Länge der Information d 10.000 Bit beträgt, mindestens 10.000 Bits übertragen muss, die Erfindung ist daher insbesondere in dem Fall (in der Praxis die häufigsten) geeignet, in dem die Information bescheidene Größe hat, typisch eine Länge kleiner als 1.000 Bits.
Was die erforderlichen Speicheressourcen betrifft, ist das erfindungsgemäße Verfahren jedoch im Vergleich zu einer herkömmlichen Hash-Funktion besonders vorteilhaft: In diesem letzteren Fall wäre es nämlich erforderlich gewesen, eine Anzahl von Bits zu summieren, die der erforderlichen zu hashenden Blockgröße entspricht (typisch 64 oder 128 Bit) und in dem Fall, in dem die Information länger gewesen wäre, was oft hinsichtlich der Sicherheit sehr wünschenswert ist, ist es erforderlich, mindestens den neuen Block und das Ergebnis der vorhergehenden Hash-Operation im Lebendspeicher zu behalten, das heißt 128 bis 256 Bits. Entgegengesetzt reicht es bei dem erfindungsgemäßen Verfahren, die Bits in Blöcken zu übertragen, die so klein wie gewünscht sein können, mit korrelativ verringerten Speicheressourcenerfordernissen. Es ist im Extremfall auch möglich, Daten bitweise zu übertragen, ohne eine Zwischenspeicherung zu benötigen.
Was die Sicherheit des Protokolls betrifft, wird unten gezeigt, dass sie hervorragend ist und eigentlich nur von der Qualität des ausgewählten Pseudozufalls-Generators und der Länge der verpfändeten Information abhängt.
x ist die Länge in Bits des Keims des Pseudozufalls-Generators und y ist die Länge der Information.
Aus der Sicht von B besteht die einzige Lösung, das Protokoll „zu brechen" darin, Hinweise zu dem Keim oder zu dem Wort zu erzielen, das der Pseudozufalls-Generator erzeugt hat. Der Keim wird nun aber zufällig erzeugt und wird bis zum Öffnen geheim gehalten. Das einzige Mittel für B besteht daher darin, systematisch alle möglichen Keime zu probieren, wenn B dies tun kann, kann sie eine existenzfähige Lösung finden, indem sie die Gültigkeit der so erzeugten Daten prüft.
Es ist daher erforderlich, dass die Länge des Keims ausreichend groß ist, um einen erschöpfenden Angriff zu vermeiden, man kann daher ein unteres Limit von 2⁶⁴ möglichen Keimen festlegen.
Aus der Sicht von A ist die Bedeutung eines Betrugs mit der Möglichkeit verbunden, interessante Kollisionen zu finden. Das bedeutet, dass A mit einer falschen Information δ, die A als die verpfändete Information d ausgeben will, ein ω finden muss, wie zum Beispiel: d ⨁ P(w) = δ ⨁ P(ω),was darauf hinausläuft, P(ω) = d ⨁ P(w) ⨁ zu finden und daher einen Keim zu finden, der einem gegebenen Zufallsgeneratorausgang entspricht. Dieses Problem wird nun aber aufgrund der Tatsache der intrinsischen Eigenschaften der Pseudozufalls-Generatoren erschwert.
Zu bemerken ist jedoch, dass, wenn das Wort am Ausgang eine kleinere Länge hat als das Wort am Eingang, die Anzahl der Kollisionen für einen gegebenen Ausgang größer ist als 1, dass eine solche Kollision daher beste Aussichten hat zu existieren.
Ein weiterer wichtiger Hinweis ist, dass A vor der Transaktion über die nötige Zeit verfügt, um ihren Betrug vorzubereiten und eine interessante Kollision zu finden, während B im Allgemeinen nur sehr beschränkte Zeit hat (die der Transaktion).
Die Erfolgschancen von A müssen daher minimiert werden. Man kann daher bemerken, dass, wenn man zum Beispiel ein Minimum von 2⁶⁴ möglichen Keimen behält, A sich wahrscheinlich mit 2³² Versuchen begnügen kann, bevor sie eine Kollision findet, was leicht durchführbar ist, und daher nicht ausreichend sicher (dank des Geburtstagparadoxes).
Wenn das Wort am Ausgang jedoch länger ist als die Länge x des Keims, beträgt die Wahrscheinlichkeit, dass ein gegebenes Wort von dem Generator erzeugt werden kann, nur 1/2^y-x, das heißt zum Beispiel 1/2³², wenn y = 96 und x = 64. Das bedeutet, dass A 2³² verschiedene Werte von δ probieren muss, um einen zu finden, der von dem Pseudozufalls-Generator erzeugt wird, was insgesamt etwa 2³²⁺³² = 2⁶⁴ Versuche von Paaren (δ, ω) ausmacht, was in der Praxis undurchführbar ist.
Man kann daher als Größenordnung für x und y die folgenden Mindestmaße auferlegen:

– Länge x des Keims > 60 Bits,
– Länge y der verpfändeten Information > 100 Bits (auch wenn man Redundanz einführen muss).

Beispiel
Ein auf einem Zellautomaten basierender Pseudozufalls-Generator besteht aus einem kreisförmigen Register mit n Punkten s_i, mit o < i ≤ n. Dieses Register entwickelt sich, indem an jeden Punkt s_i die Zustandswechselfunktion: s_i = s_i+1 ⨁ (s_i ∨ s_i-1) angewandt wird. Bei jeder Runde lässt man den Generator fortschreiten und man „gibt" den Wert des Punkts s₁ „aus". Das Initialisieren des Generators besteht darin, jedem Punkt einen Wert zu geben. Der Keim hat daher die Länge n. Zu bemerken ist, dass, wenn man k Bits am Ausgang wünscht, 2.n.k Elementaroperationen erforderlich sind.
Dieser Generator ist sicher, denn er beruht auf einem „Problem NP" (siehe oben genannter Artikel von S. Wolfram), und die Anzahl unterschiedlicher Folgen, die erzeugt wird, liegt in der Größenordnung von 2ⁿ.
Was die Maße betrifft, hat die Information die Länge von 256 Bits, das Register besteht daher aus 61 Punkten. Das ergibt die Größenordnung von 2⁶¹ möglichen Ausgängen (Paddings genannt) und die Wahrscheinlichkeit, dass eine gegebene Folge von 256 Bits einem Keim entspricht, beträgt 2^–195, das heißt 1 Chance von 10⁵⁸.
Das Berechnen des Verpfändens erfordert 32.000 Elementaroperationen, das Prüfen ebenso viele.

Claims

Verfahren zum Verpfänden von Daten für ein abgesichertes Datenaustauschprotokoll des Typs, der Folgendes umfasst: – einen Schritt des „Verpfändens", bei dem eine Debitorpartei (A), die eine verpfändete Information (d) besitzt, Informationen mit einer Kreditorpartei (B) so austauscht, dass dieser Letzteren nur eine Bildinformation (m) der verpfändeten Information übertragen wird, die diese Letztere eindeutig aber nicht umkehrbar darstellt, – einen Schritt des „Öffnens", bei dem die Debitorpartei Informationen mit der Kreditorpartei so austauscht, dass sie dieser Letzteren die verpfändete Information in Klarschrift oder in einer Art übermittelt, die es ihr erlaubt, sie wieder zu finden, und in der die Kreditorpartei die Übereinstimmung dieser verpfändeten Information mit der des Verpfändungsschritts prüfen kann, Verfahren dadurch gekennzeichnet, dass: – beim Verpfändungsschritt die Debitorpartei – einen Keim (w) erzeugt, der an einen Pseudozufalls-Generator (GPA) so angelegt wird, dass ein Pseudozufallswort (p) erzeugt wird, – eindeutig und umkehrbar dieses Pseudozufallswort mit der verpfändeten Information so kombiniert, dass ein Kontrollwort (m) erzeugt wird, und – der Kreditorpartei nur das Kontrollwort übermittelt, – die Debitorpartei beim Öffnungsschritt der Kreditorpartei den Keim mit der verpfändeten Information in Klarschrift übermittelt, und – die Kreditorpartei beim Empfang des Keims und der verpfändeten Information: – den Keim an einen Pseudozufalls-Generator (GPA), der ähnlich ist wie der der Debitorpartei, anlegt, um ein anderes Pseudozufallswort (p') zu erzeugen, – eindeutig und umkehrbar wie die Debitorpartei dieses andere Pseudozufallswort mit dem Kontrollwort kombiniert, um eine Kontrollinformation (d') zu erzeugen, und – die Übereinstimmung der Kontrollinformation mit der verpfändeten Information in Klarschrift, die sie von der Debitorpartei erhalten hat, prüft.
Verpfändungsverfahren von Daten nach Anspruch 1, bei dem: – das Pseudozufallswort und das andere Pseudozufallswort, die von den jeweiligen Pseudozufalls-Generatoren der Debitorpartei und der Kreditorpartei erzeugt werden, Wörter mit gleicher Länge (y) wie die verpfändete Information sind, und – die eindeutigen und umkehrbaren Kombinationsoperationen ODER-EXKLUSIV-Operationen sind.