DE69932740T2

DE69932740T2 - Verfahren und vorrichtung zur kryptographischen datenverarbeitung

Info

Publication number: DE69932740T2
Application number: DE69932740T
Authority: DE
Inventors: Gerrit Roelofsen; Jan Dirk VAN BRUCHEM; Frank Muller; Willem Rombaut
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 1998-12-30
Filing date: 1999-12-16
Publication date: 2006-12-07
Anticipated expiration: 2019-12-17
Also published as: DE69932740D1; AU1983300A; US7162031B1; WO2000041356A1; EP1142191A1; ATE336122T1; EP1142191B1; ES2270628T3

Description

HINTERGRUND DER ERFINDUNG
Die Erfindung betrifft ein Verfahren zur kryptografischen Datenverarbeitung, das das Zuführen zu einem kryptografischen Prozess von Werten, insbesondere die Daten und ein Schlüssel, und das Ausführen des Prozesses, um kryptografisch verarbeitete Daten zu bilden, umfasst. Ein derartiges Verfahren ist im Allgemeinen bekannt.
Zur kryptografischen Datenverarbeitung werden in der Praxis häufig im Allgemeinen bekannte Prozesse angewandt. Beispiele derartiger kryptografischer Prozesse (Algorithmen) sind DES und RSA [DES = Data Encryption Standard = Datenverschlüsselungsstandard und RSA = Rivest, Shamir & Adleman = asymmetrisches Verschlüsselungssystem], die beispielsweise im Buch „Applied Cryptography" von B. Schneier (2. Auflage), New York, 1996, beschrieben werden.
Derartige Prozesse sind veröffentlicht, da angenommen wurde, dass es im Fall ausreichend großer Schlüssellängen unmöglich ist, anhand der verarbeiteten Daten die Originaldaten und/oder -schlüssel abzurufen, und dies selbst dann, wenn der kryptografische Prozess bekannt ist.
Kryptografische Algorithmen können jedoch angegriffen werden, wobei das Ziel stets darin besteht, den verwendeten Verschlüsselungsschlüssel auf verschiedene Weisen zu finden:

(1) Mathematische Angriffe, wie die differentielle und lineare Kryptanalyse;
(2) Hardwareorientierte Angriffe, die so genannten „Seitenkanalangriffe", d.h. Angriffe, die auf der Stromverbrauchsanalyse oder E/A-Taktanalyse beruhen.

Die amerikanische Patentschrift US-A-5745577 offenbart ein Verfahren für fortschrittliches Key-Scheduling von einem Geheimschlüssel. Die Aufgabe besteht darin, einen Schutz gegen die mathematischen Angriffe (differentielle und lineare Kryptanalyse) bereit zu stellen, indem der Verschlüsselungsalgorithmus abgeändert wird. Das Abändern des Algorithmus führt zur Änderung seiner Ausgabe und folglich weist das offenbarte Verfahren keine Verbesserung gegenüber den „Seitenkanalangriffen" auf.
KURZDARSTELLUNG DER ERFINDUNG
Der vorliegenden Erfindung liegt die Aufgabe zugrunde, den Schutz einer kryptografischen Einheit gegen „Seitenkanalangriffe" zu verbessern. Kurz gesagt wird diese Verbesserung erreicht durch das Maskieren der Daten und/oder des Schlüssels durch das Erzeugen von einer Zusatz-, Hilfseingabe (Daten oder Schlüssel) und das Kompensieren ihres Einflusses auf die Ausgabe durch das Hinzufügen eines Hilfs- (Kompensier-) Prozesses zum „Haupt"-Verschlüsselungsprozess. Durch diese Maskiermaßnahmen wird es viel schwieriger sein, den Wert der Daten oder des Schlüssels vom Verhalten des Stromverbrauchs der kryptografischen Einheit abzuleiten (siehe Seite 1, Zeilen 32 bis 34). Dieses Maskieren erfolgt jedoch auf eine derartige Art und Weise, dass das Ergebnis des Prozesses als ein Ganzes unverändert bleibt: mit derselben Eingabe und Schlüssel ergibt der abgeänderte Algorithmus dieselbe unverändert Ausgabe.
Folglich stellt die Erfindung ein Verfahren des Typs vor, auf das im Oberbegriff gemäß der Erfindung Bezug genommen wird, das gekennzeichnet ist durch das Zuführen zum Prozess von Hilfswerten, Während anhand eines Hilfsprozesses der Einfluss der Hilfswerte auf die Ausgabedaten kompensiert wird, um die Werte, die im Prozess verwendet werden, zu maskieren.
Durch das Maskieren von Daten und/oder Schlüssel(n) wird es erheblich schwieriger, diese Werte auf Grundlage des Verhaltens vom Prozess abzuleiten. Das Ergebnis des Prozesses, das heißt die Erfassung verarbeiteter Daten, kann im Fall einer passenden Wahl der Hilfswerte unverändert sein, das heißt identisch mit dem Ergebnis des Prozesses, wenn ihm keine Hilfswerte zugeführt wurden. Diesbezüglich wird „Hilfswert" so verstanden, dass er einen Wert (Daten oder Schlüssel) bedeutet, der dem Prozess als eine Ergänzung zu den entsprechenden Daten und Schlüssel zugeführt wird. Die Erfindung beruht demgemäß auf der Erkenntnis, dass die Ableitung der Werte, die in einem kryptografischen Prozess verwendet werden, erheblich erschwert wird, wenn diese Werte unter Verwendung von diesen Hilfswerten und diesem Hilfsprozess maskiert werden.
Die Erfindung beruht des Weiteren teilweise auf der Erkenntnis, dass sich die Verwendung von Hilfswerten nicht unbedingt auf das Ergebnis des Prozesses auswirkt.
In einer ersten Ausführungsform der Erfindung umfasst ein Hilfswert einen zusätzlichen Schlüssel, der einem zusätzlichen Prozess zugeführt wird, um den Schlüssel zu bilden.
Durch das Anwenden einer Kombination aus einem bekannten Prozess und einem zusätzlichen Prozess wird ein neuer kryptografischer Prozess gebildet, der per se unbekannt ist, und dies selbst dann, wenn der zusätzliche Prozess ebenfalls per se bekannt ist.
Durch das Ableiten des Schlüssels, der für den bekannten Prozess verwendet wird (primärer Schlüssel), von einem zusätzlichen Schlüssel (sekundärer Schlüssel), durch Verwendung eines zusätzlichen Prozesses, wird erreicht, dass nicht der (primäre) Schlüssel des bekannten Prozesses sondern der zusätzliche (sekundäre) Schlüssel der Kombination von Prozessen bereit gestellt wird. Mit anderen Worten wird von außen der zusätzliche (sekundäre) Schlüssel und nicht der tatsächliche (primäre) Schlüssel des eigentlichen Prozesses verwendet. Die Ableitung des Schlüssels von den Originaldaten und den verarbeiteten Daten ist auf diese Weise unmöglich geworden. Zusätzlich wurde die Ableitung des zusätzlichen Schlüssels erheblich schwieriger gemacht, da die Kombination aus dem Originalprozess und dem zusätzlichen Prozess nicht bekannt ist.
Diese Ausführungsform der Erfindung beruht demgemäß unter anderem auf der Erkenntnis, dass das Bekanntsein eines kryptografischen Prozesses unverwünscht ist, im Gegensatz zu dem, was bis jetzt angenommen wurde. Diese Ausführungsform beruht ebenfalls auf der weiteren Erkenntnis, dass Angriffe, die eine Kenntnis des Prozesses entwickeln, erheblich schwieriger werden, wenn der Prozess unbekannt ist.
Der zusätzliche Prozess umfasst vorzugsweise einen kryptografischen Prozess. Dieser erschwert die Ableitung des zusätzlichen Schlüssels. Grundsätzlich kann jedoch ein einfaches Kodieren angewandt werden, zum Beispiel als ein zusätzlicher Prozess. Im Fall eines kryptografischen Prozesses wird vorzugsweise ein Hilfsschlüssel angewandt. Der zusätzliche Prozess ist vorzugsweise ein umkehrbarer Prozess. Dies ermöglicht die Anwendung vom erfindungsgemäßen Verfahren in einer bestehenden Anlage mit einem Mindestmaß an Änderungen.
Wenn zum Beispiel eine erste Einheit einen (zusätzlichen) Schlüssel abgibt, der in einer zweiten Einheit gemäß der Erfindung angewandt wird, dann kann in der ersten Einheit die Umkehrung des zusätzlichen Prozesses verwendet werden, um den zusätzlichen Schlüssel vom Originalschlüssel abzuleiten. Mit anderen Worten wird, obwohl in der ersten und in der zweiten Einheit intern der Original- (primäre) Schlüssel verwendet wird, der zusätzliche (sekundäre) Schlüssel zwischen den Einheiten ausgetauscht. Das Abfangen des zusätzlichen Schlüssels ergibt jedoch nicht die Kenntnis des Originalschlüssels.
Es kann vorteilhaft sein, wenn das Ausführen des zusätzlichen Prozesses ausschließlich dann erfolgt, wenn die Daten vorbestimmte Eigenschaften aufweisen. Auf diese Art und Weise kann die kryptografische Verarbeitung nur für besondere, ausgewählte Daten ausgeführt werden, während dies für alle anderen Daten blockiert ist. Auf diese Art und Weise wird ein zusätzlicher Schutz erreicht.
Es wird eine optimale Sicherheit bereit gestellt, wenn der Prozess und der zusätzliche Prozess jeweils auf mehreren Schritten aufbauen und in ihnen Schritte des Prozesses und des zusätzlichen Prozesses abwechselnd ausgeführt werden. Als ein Ergebnis sind die Eigenschaften des bekannten Prozesses noch mehr verborgen, wodurch die Ableitung der Schlüssel noch komplizierter ist.
In einer zweiten Ausführungsform der Erfindung umfasst der Prozess mehrere Schritte, die jeweils eine kryptografische Operation zum Verarbeiten rechtshändiger Daten aufweisen, die von den Daten abgeleitet sind, und eine kombinatorische Operation zum Kombinieren mit den linkshändigen Daten, die von den Daten abgeleitet sind, der verarbeiteten rechtshändigen Daten, um geänderte linkshändige Daten zu bilden, in denen die rechtshändigen Daten vor dem ersten Schritt mit einem primären Hilfswert kombiniert werden und die linkshändige Daten mit einem zusätzlichen Hilfswert kombiniert werden. Als ein Ergebnis werden die Daten, die in den Schritten verwendet werden und die zwischen den Schritten übertragen werden, maskiert.
Um es den primären und den zusätzlichen Hilfswerten zu ermöglichen, dass sie im Endergebnis des Prozesses nicht selbst bemerkbar sind, werden die rechtshändigen Daten vorzugsweise unverzüglich nach dem letzten Schritt mit einem weiteren primären Hilfswert kombiniert, und die geänderten linkshändigen Daten werden mit einem weiteren zusätzlichen Hilfswert kombiniert.
Damit das Ergebnis der Operationen nicht durch die primären Hilfswerte beeinflusst wird, wird das erfindungsgemäße Verfahren vorzugsweise derart ausgeführt, dass die rechtshändigen Daten in jedem Schritt und vor der Operation mit dem primären Hilfswert vom Schritt kombiniert werden.
Ein weiterer Schutz wird erreicht, wenn die verarbeiteten rechtshändigen Daten nach der Verarbeitung mit einem sekundären Hilfswert vom Schritt kombiniert werden.
Der sekundäre Hilfswert von einem Schritt wird vorzugsweise von der Kombination aus dem primären Hilfswert des vorhergehenden Schritts und dem primären Hilfswert vom nächsten Schritt gebildet. Als ein Ergebnis wird es möglich, den Hilfswert im wiederholten nächsten Schritt zu kompensieren, wodurch sich dieser Hilfswert nicht im Endergebnis des Prozesses selbst bemerkbar ist.
Es ist möglich, das Verfahren gemäß der Erfindung derart ausführen, dass alle primären Hilfswerte gleich sind. Als ein Ergebnis ist eine besonders einfache praktische Ausführung möglich. Die Verwendung von mehreren Hilfswerten, die vorzugsweise Zufallszahlen sind und die jedes Mal, wenn der Prozess ausgeführt wird, aufs Neue erzeugt werden, bietet jedoch eine größere kryptografische Sicherheit.
Eine weitere Vereinfachung dieser Ausführungsform kann erhalten werden, wenn die primären Hilfswerte und/oder sekundären Hilfswerte wiederholt im Voraus mit der entsprechenden Operation kombiniert wurden. Dies heißt, dass das Kombinieren mit Hilfswerten derart in der entsprechenden Operation (zum Beispiel eine Substitution) verarbeitet wird, dass das Ergebnis der entsprechenden Operation gleich dem der Originaloperation plus eine oder zwei kombinatorische Operationen mit Hilfswerten ist. Durch das vorherige Einschließen in die Operation der kombinatorischen Operationen, ist eine einfachere und schnellere praktische Ausführung möglich.
Diese kombinatorischen Operationen werden vorzugsweise durch Verwendung einer XOR-Operation [XOR = eXklusiv ODER] ausgeführt. Andere kombinatorische Operationen, wie binäres Hinzufügen, sind grundsätzlich jedoch ebenfalls möglich.
Die Erfindung stellt des Weiteren eine Schaltung zum Ausführen eines Verfahrens zur kryptografischen Datenverarbeitung bereit. Zusätzlich verschafft die Erfindung eine Zahlungskarte und ein Zahlungsterminal, die mit einer derartigen Schaltung bereit gestellt sind.
Nachstehend wird die Erfindung ferner auf Grundlage der beispielhaften Ausführungsformen, die in den Figuren dargestellt sind, erklärt.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Es zeigen:
1 schematisch einen kryptografischen Prozess nach dem Stand der Technik.
2 schematisch einen ersten kryptografischen Prozess nach einer ersten Ausführungsform der Erfindung.
3 schematisch einen zweiten kryptografischen Prozess nach einer ersten Ausführungsform der Erfindung.
4 schematisch eine Art und Weise, auf die die Prozesse der 1 und 2 ausgeführt werden können.
5 schematisch einen kryptografischen Prozess, der mehrere Schritte nach dem Stand der Technik aufweist.
6 schematisch einen ersten kryptografischen Prozess nach einer zweiten Ausführungsform der Erfindung.
7 schematisch einen zweiten kryptografischen Prozess nach einer zweiten Ausführungsform der Erfindung.
8 schematisch einen dritten kryptografischen Prozess nach einer zweiten Ausführungsform der Erfindung.
9 schematisch eine Schaltung, in der die Erfindung angewandt ist.
10 schematisch ein Zahlungssystem, in dem die Erfindung angewandt ist.
VORZUGSWEISE AUSFÜHRUNGSFORMEN
Ein (kryptografischer) Prozess P nach dem Stand der Technik ist schematisch in der 1 dargestellt. Zum Prozess P werden Eingabedaten X und ein Schlüssel K zugeführt. Auf Grundlage des Schlüssels K konvertiert der Prozess P die Eingabedaten X in (kryptografisch) verarbeitete Ausgabedaten Y: Y = P_K (X). Der Prozess P kann ein bekannter kryptografischer Prozess sein, wie DES (Data Encryption Standard = Datenverschlüsselungsstandard), Triple-DES oder RSA (Rivest, Shamir & Adleman).
Wenn die Eingabedaten X und die Ausgabedaten Y bekannt sind, ist es grundsätzlich möglich, den verwendeten Schlüssel K abzuleiten. Im Fall von einem Schlüssel ausreichender Länge (das heißt mit einer ausreichenden Anzahl an Bits), wurde es bis jetzt für unmöglich gehalten, diese Schlüssel abzuleiten, selbst wenn der Prozess P bekannt war. Unmöglich bedeutet in diesem Fall, dass es theoretisch anerkanntermaßen möglich ist, zum Beispiel durch Ausprobieren aller möglichen Schlüssel, den verwendeten Schlüssel zu finden, was jedoch eine unglaublich lange Rechenzeit benötigt. Eine derartige „Brute-Force-Attacke" ist demgemäß kaum eine Bedrohung für die kryptografische Sicherheit.
Kürzlich entdeckte Angriffe verwenden jedoch die Kenntnis des Prozesses, wodurch die Anzahl möglicher Schlüssel drastisch reduziert werden kann. Das Ableiten des verwendeten Schlüssels K und/oder der Eingabedaten X von den Ausgabedaten Y wird demgemäß innerhalb annehmbarer Rechenzeiten möglich.
Das Prinzip der Erfindung, die der Aufgabe zugrunde liegt, derartige Angriffe erheblich schwieriger und zeitraubender zu machen, ist schematisch in der 2 dargestellt. Genau wie in der 1, werden einem (bekannten) Prozess P Eingabedaten X und ein (geheimer) Schlüssel K zugeführt, um Ausgabedaten Y zu erzeugen.
Im Gegensatz zur Situation in der 1, wird in der Situation der 2 der Schlüssel K dem Prozess P von einem zusätzlichen Prozess P* zugeführt. Der zusätzliche Prozess P* hat einen zusätzlichen (sekundären) Schlüssel K* als Eingabedaten, um unter dem Einfluss eines Hilfsschlüssels K' den (primären) Schlüssel K als Ausgabedaten zu erzeugen. Der Schlüssel K wird demgemäß nicht, wie es der Fall in der Situation von der 1 ist, von einer extern Quelle (zum Beispiel ein Speicher) zum Prozess P zugeführt, sondern durch den Prozess P* vom zusätzlichen (sekundären) Schlüssel K* erzeugt: K = P*K. (K).
Es ist demgemäß der sekundäre Schlüssel K*, anstelle des primären Schlüssels K, der vorbestimmt und gespeichert ist, zum Beispiel in einem Schlüsselspeicher (nicht dargestellt). Gemäß der Erfindung ist der primäre Schlüssel K, der dem Prozess P zugeführt wird, nicht vorbestimmt.
Der Hilfsschlüssel K' kann ein permanent gespeicherter vorbestimmter Schlüssel sein. Es ist ebenfalls möglich, einen zusätzlichen Prozess P* anzuwenden, in dem kein Hilfsschlüssel K' verwendet wird.
Die Kombination aus den Prozessen P und P* bildet einen neuen Prozess, der schematisch durch Q bezeichnet wird. Zum Prozess, der wegen des zusätzlichen Prozesses P* per se unbekannt ist, werden die Eingabedaten X und der (sekundäre) Schlüssel K* zugeführt, um die Ausgabedaten Y zu erzeugen. Die Beziehung zwischen dem sekundären Schlüssel K* und dem primären Schlüssel K wird durch den zusätzlichen Prozess P* verborgen.
Der zusätzliche Prozess P* ist vorzugsweise die Umkehrung von einem anderen umkehrbaren Prozess R. Das heißt: P* = R–1.
Dies ermöglicht das Erzeugen des sekundären Schlüssels K* vom primären Schlüssel K unter Verwendung von R und dem Hilfsschlüssel K': K* = RK' (K),wie noch weiter unten unter Bezugnahme auf 5 ausführlicher erklärt werden wird. Der neue Prozess Q kann möglicherweise derart durch den Prozess R erweitert werden, dass der primäre Schlüssel K, anstelle des sekundären Schlüssels K*, zum Prozess Q zugeführt wird. Der primäre Schlüssel K, in diesem Fall im Prozess Q, wird abgeleitet von: K = P*K' (K*) = P*K' (RK' (K))
Dies ermöglicht die Verwendung desselben (primären) Schlüssels wie im Stand der Technik.
Der kryptografische Prozess Q gemäß der Erfindung, der schematisch in der 3 dargestellt wird, umfasst ebenfalls einen Prozess P, der einen primären Schlüssel K aufweist, und einen zusätzlichen Prozess P*, der einen Hilfsschlüssel K' aufweist, wobei der primäre Schlüssel K vom zusätzlichen Schlüssel K* durch den zusätzlichen Prozess P* abgeleitet wird. Den Prozess von der 1 ergänzend, werden in diesem Fall die Eingabedaten X ebenfalls derart zum zusätzlichen Prozess P* zugeführt, dass der primäre Schlüssel K zum Teil als eine Funktion von den Eingabedaten X festgelegt wird: K = P*K' (K*, X).
Als ein Ergebnis wird ein zusätzlicher kryptografischer Schutz erhalten. Zusätzlich wird als ein Ergebnis die Möglichkeit geboten, den zusätzlichen Prozess P* ausschließlich dann auszuführen, wenn einige Eingabedaten bereit gestellt sind. Das heißt, dass der zusätzliche Prozess P* einen Test der Eingabedaten X umfassen kann, und dass das Ausführen des zusätzlichen Prozesses P* vom Ergebnis dieses Tests abhängen kann. Folgendermaßen kann der zusätzliche Prozess P* zum Beispiel nur dann ausgeführt werden, wenn die letzten beiden Bits der Eingabedaten X gleich null sind. Die Auswirkung einer derartigen Eingabedaten-abhängigen Operation besteht darin, dass nur für einige Eingabedaten X der korrekte primäre Schlüssel K derart erzeugt wird, dass nur diese Eingabedaten die gewünschten Ausgabedaten Y liefern. Es versteht sich, dass als ein Ergebnis die kryptografische Sicherheit noch mehr verbessert ist.
Die 4 zeigt schematisch die Art und Weise, in der Unterschritte der Prozesse P und P* abwechselnd („Überlappung") ausgeführt werden können, um den Schutz gegen Angriffe noch mehr zu verbessern. Die Unterschritte können so genannte „Runden" umfassen, wie zum Beispiel im Fall von der DES. Die Unterschritte umfassen jedoch vorzugsweise nur einen oder wenige Befehle eines Programms, mit dem die Prozesse ausgeführt werden.
In einem ersten Schritt 101 wird ein erster Unterschritt P₁ des Prozesses P ausgeführt. Anschließend wird in einem zweiten Schritt 102 der erste Unterschritt P₁* des zusätzlichen Prozesses P* ausgeführt.
Desgleichen wird in einem dritten Schritt 103 der zweite Unterschritt P₂ des Prozesses P ausgeführt usw. Dies setzt sich fort bis im Schritt 110 der letzte Unterschritt P_n* des zusätzlichen Prozesses P* ausgeführt wurde, wobei des Beispiels halber angenommen wird, dass die Prozesse P und P* eine gleiche Anzahl an Unterschritten umfassen. Wenn dies nicht der Fall ist, wird im Schritt 110 der letzte entsprechende Unterschritt ausgeführt, und in weiteren Schritten werden die verbleibenden Unterschritte ausgeführt.
Durch das Alternieren der Unterschritte des Prozesses P, das per se bekannt ist, und des Prozesses P* (der möglicherweise ebenfalls per se bekannt ist), kann eine Serie von Unterschritten erhalten werden, die nicht denjenigen eines bekannten Prozesses entsprechen. Als ein Ergebnis ist die Art des Prozesses schwieriger zu erkennen.
Der kryptografische Prozess P, der nur zur Veranschaulichung schematisch in der 5 nach dem Stand der Technik dargestellt wird, umfasst mehrere Schritte S_i (das heißt S₁, S₂, ..., S_n). In jedem Schritt S_i werden (rechtshändige) Daten RD_i zu einer kryptografischen Operation F_i zugeführt. Diese kryptografische Operation kann ihrerseits eine Anzahl von Unterschritten umfassen, wie eine Erweiterung, eine Kombination mit einem Schlüssel, eine Substitution und eine Permutation, die jedoch der einfacheren Zeichnung halber nicht getrennt angegeben wurden. Die kryptografische Operation F_i verschafft verarbeitete Daten FD_i: FDi = Fi (RDi).
In einer kombinatorischen Operation CC_i (CC₁, CC₂, ..., wobei der Index i stets den entsprechenden Schritt S anzeigt) werden die verarbeiteten Daten FD_i mit linkshändigen Daten LD_i kombiniert, um geänderte (linkshändige) Daten SD_i zu bilden, die, genau wie die rechtshändigen Originaldaten RD, zum nächsten Schritt weitergeleitet werden. Die kombinatorische Operationen CC_i sind vorzugsweise XOR-Operationen (Symbol: ⊕).
Wie es in der 5 dargestellt wird, ändern am Ende von jedem Schritt S_i die geänderten linkshändigen Daten SD_i und die rechtshändigen Daten RD_i derart die Positionen, dass sie die rechtshändigen Daten RD_i+1 und die linkshändigen Daten LD_i+1 vom nächsten Schritt S_i+1 bilden.
Die linkshändigen Daten LD₁ und die rechtshändigen Daten RD₁ des ersten Schritts S₁ wurden in einer vorhergehenden Operation von Eingabedaten X abgeleitet und können hierdurch einer vorbereitenden Verarbeitung unterzogen werden, wie einer Eingabepermutation. Die Ausgabedaten SD_n und RD_n des letzten Schritts S_n bilden die verarbeiteten Daten Y des Prozesses P, möglicherweise nachdem sie einer Endoperation unterzogen wurden, wie einer Ausgabepermutation PP^–1.
Der kryptografische Prozess von der 6 entspricht weitgehend demjenigen von der 5. In Übereinstimmung mit der Erfindung werden die Daten, die sich in und zwischen den Schritten befinden, mit Hilfswerten maskiert. Zu diesem Zwecke gehen in dieser Ausführungsform dem ersten Schritt S₁ (vorbereitende) kombinatorische Operationen DC und EC voran, die vorzugsweise ebenfalls XOR-Operationen sind. Sie kombinieren jeweils die linkshändigen Daten LD₁ und die rechtshändigen Daten RD₁, die aus der vorbereitenden Operation (PP) hervorgehen, mit einem nullten Hilfswert A_o und einem ersten Hilfswert A₁. Die Ergebnisse der kombinatorischen Operationen DC und EC sind jeweils linkshändige maskierte Daten LD'₁ und rechtshändige maskierte Daten RD₁' (nachstehend werden im vorliegenden Text maskierte Daten durch ein Apostroph angegeben). Die Maskierungen selbst sind in den nachfolgenden Schritten bemerkbar. Da die linkshändigen Daten des zweiten Schritts S₂ den maskierten rechtshändigen Daten des ersten Schritts S₁ gleichkommen, werden diese linkshändigen Daten LD'₂ ebenfalls maskiert. Die rechtshändigen Daten RD₂' des zweiten Schritts sind maskiert, da sie den maskierten geänderten Daten SD₁' gleichkommen.
Das Kombinieren der Daten LD_i und RD_i mit den Hilfswerten A_i ergibt demgemäß, dass die geänderten Daten LD_i' und RD_i' maskiert sind, wodurch es erheblich schwieriger ist, die Originaldaten X oder den Schlüssel, der von den maskierten Daten LD_i' und RD_i' verwendet wird, abzuleiten.
Um die Hilfswerte A_i vor der Endoperation (PP^–1) zu entfernen, werden ergänzende kombinatorische Operationen FC und GC bereit gestellt, die jeweils die geänderten und maskierten linkshändigen Daten SD'_n des letzten Schritts S_n mit einem Hilfswert A_n+1 kombinieren, und die maskierten rechtshändigen Daten RD_n' mit einem Hilfswert A_n. Da A_i A_i null ist, werden auf diese Art und Weise die Maskierungen durch die Hilfswerte A_i entfernt. Als ein Ergebnis ist es möglich, das Verfahren derart auszuführen, dass trotz der Verwendung der Hilfswerte A_i, die Enddaten Y dem gleichkommen, was durch das herkömmliche Verfahren nach 5 erhalten worden wäre.
Um die Auswirkung der Hilfswerte A_i auf die Ergebnisse FD_i der Operationen F_i auszuschließen, befindet sich in jedem Schritt S_i vorzugsweise eine zusätzliche kombinatorische Operation AC_i, die die rechtshändigen Daten RD_i mit einem (primären) Hilfswert A_i kombiniert, bevor diese Daten der kryptografischen Operation F_i zugeführt werden. Das Ergebnis von jeder zusätzlichen kombinatorischen Operation AC_i sind derart nicht-maskierte rechtshändige Daten RD_i, dass die kryptografische Operation F_i an denselben Daten funktioniert, wie im Prozess von der 5.
Vorzugsweise kann eine weitere kombinatorische Operation BC_i zwischen der kryptografischen Operation F_i und der kombinatorischen Operation CC_i zum Zwecke des Kombinierens der verarbeiteten (rechtshändigen) Daten FD_i mit einem weiteren (sekundären) Hilfswert B_i eingefügt werden. Als ein Ergebnis kann ein Maskieren der verarbeiteten Daten FD_i erreicht werden und ein weiteres Maskieren der (geänderten) linkshändigen Daten SD_i'. Die kombinatorischen Operationen AC_i und BC_i sind vorzugsweise ebenfalls XOR-Operationen.
In Übereinstimmung mit einem weiteren Aspekt der Erfindung sind die Hilfswerte A_i und B_i miteinander verbunden. Die sekundären Hilfswerte B_i werden vorzugsweise durch Verwendung einer XOR-Operation gebildet, vom ersten Hilfswert A_i–1 des vorhergehenden Schrittes und dem Hilfswert A_i+1 des nächsten Schrittes: Bi= Ai–1 ⊕ Ai+1
Dies läuft auf jeden primären Hilfswert A_i+1 hinaus, der durch Verwendung einer weiteren zusätzlichen kombinatorischen Operation BC_i mit den verarbeiteten rechtshändigen Daten FD_i als ein Bestandteil des sekundäres Hilfswertes B_i kombiniert wird, der wiederholt im nächsten Schritt, das heißt Schritt S_i+1, anhand einer kombinatorischen Operation AC_i kompensiert wird, bevor die rechtshändigen Daten RD_i+1 der Operation F_i unterzogen werden. Die entsprechenden (maskierten) rechtshändigen Daten RD_i', die die (maskierten) linkshändigen Daten LD_i+1' des wieder nächsten Schrittes S_i+2 bilden, werden hier mit dem primären Hilfswert A_i+1 kombiniert und auf diese Art und Weise kompensiert. Der Hilfswert A_i+1 senkt sich selbst derart in die geänderten Daten SD_i', dass dieser zwischen zwei Schritten maskiert bleibt.
Die linkshändigen Daten LD₁ des ersten Schrittes S₁ werden mit dem zusätzlichen oder nullten (primären) Hilfswert A_o maskiert. Durch Kombinieren mit dem sekundären Hilfswert B₁ = A_o ⊕ A₂, wird der ursprüngliche Hilfswert A_o entfernt (da A_o ⊕ A_o null ist), aber der Hilfswert A₂ und das damit erreichte Maskieren sind beibehalten. Der nullte Hilfswert A_o wird in dieser Ausführungsform vorzugsweise gleich dem ersten Hilfswert A_i gewählt.
Obwohl alle primären Hilfswerte A_i vorzugsweise verschieden gewählt werden, mit der Ausnahme von A_o = A₁, ist es möglich, alle primären Hilfswerte A_i gleich zu wählen. In diesem Fall sind alle sekundären Hilfswerte B_i, die in der Ausführungsform dargestellt sind, derart gleich null, dass die weiteren kombinatorischen Operationen BC_i ausgelassen werden können. Die Erfindung gilt ferner für Prozesse P, die nur einen Schritt S enthalten, oder die eine abweichende Struktur aufweisen.
Im Prozess von der 7, der weitgehend dem von der 6 entspricht, sind die kombinatorischen Operationen AC_i und BC_i und die kryptografische Operation F_i in jedem Schritt integriert, um eine kombinierte Operation F_i' zu bilden. Das Integrieren der kombinatorischen Operationen in die Operationen F_i ist durch angemessenes Einstellen möglich, zum Beispiel einer Substitutionstabelle der Operation F_i. Als ein Ergebnis können die zusätzlichen kombinatorischen Operationen AC_i und BC_i ausgelassen werden und das Ergebnis der eingestellten Operation F_i' kommt dem Ergebnis der Gesamtmenge der eigentlichen Operation F_i und der kombinatorischen Operationen gleich: FDi' = Fi' (RDi') = Bi ⊕ Fi (Ai ⊕ RDi').
Grundsätzlich benötigt jeder Schritt S_i eine andere kombinatorische Operation F_i, in der zahlreiche Hilfswerte A_i integriert sind (siehe 6). Nur wenn die Hilfswerte A_i gleich gewählt sind, das heißt A₁ = A₂ = ... = A_n, können die kombinatorischen Operationen F_i in dieser Ausführungsform gleich sein.
Jedes Mal wenn der Prozess ausgeführt wird, werden die Werte A_i vorzugsweise aufs Neue gewählt. Für den Prozess von der 7 bedeutet dies, dass die kombinierten Operationen F_i' dann aufs Neue festgelegt sind. Da die Operationen F_i' in vielen Implementierungen die Verwendung von mehreren Tabellen, wie Substitutionstabellen, umfassen, werden diese Tabellen jedes Mal wenn der Prozess P ausgeführt wird, aufs Neue festgelegt. Um einen zusätzlichen Schutz gegen Angriffe zu bieten, werden nach einem weiteren Aspekt der Erfindung die Tabellen in einer Zufallsordnung festgelegt. Wenn eine kombinierte Operation F_i' zum Beispiel acht Tabellen umfasst, werden diese acht Tabellen, jedes Mal wenn diese Operation F_i' aufs Neue ausgeführt wird, in einer anderen Ordnung festgelegt. Diese Ordnung kann auf Grundlage der Inhalte eines Ordnungsregisters festgelegt werden, wobei diese Inhalte jedes Mal durch eine Zufallsnummer gebildet werden können, die aus einem Zufalls-Nummergenerator hervorgeht. Auf Grundlage der Inhalte des Ordnungsregisters kann jedes Mal eine neue Nachschlagetabelle zusammen gesetzt werden. Unter Verwendung der Nachschlagetabelle können die Tabellen in einem Speicher geschrieben und später ausgelesen werden.
Nach einem weiteren Aspekt der Erfindung, diesen ergänzend oder ersetzend, können die Elemente von jeder Tabelle in Zufallsordnungen festgelegt und/oder gespeichert werden. Mit dieser Maßnahme wird erreicht, dass der Schutz gegen Angriffe weiter verbessert wird. In diesem Fall kann ebenfalls eine Nachschlagetabelle angewandt werden, anhand der die Elemente später wieder gefunden werden können.
Die vorstehenden Maßnahmen können ebenfalls in einer anderen Ausführungsform der Erfindung angewandt werden, wie diejenige von der 8, oder in vollkommen verschiedenen anderen Prozessen, seien sie kryptografisch oder auch nicht.
Die Ausführungsform von der 8 entspricht weitgehend derjenigen von der 7. Die 7 ergänzend, umfasst jeder Schritt S_i, mit Ausnahme des letzten Schrittes S_n, eine kombinatorische Operation HC_i, die die rechtshändigen Daten RD_i mit einem tertiären Hilfswert W_i kombiniert. Der tertiäre Hilfswert W_i kommt vorzugsweise der XOR-Kombination der Hilfswerte A_o und A_i gleich: W = Ao ⊕ Ai,wobei A_o ≠ A_i .
Dies führt in der Operation HC_i stets zum Hinzufügen des nullten Hilfswertes A_o und dem Kompensieren des ersten Hilfswertes A_i. Als ein Ergebnis ist es möglich, dass alle kryptografischen Operationen F_i hauptsächlich identisch sind, was eine viel kleinere Verarbeitungs- und/oder Speicherkapazität von einem Prozessorsystem erfordert, mit dem das Verfahren ausgeführt wird. In der Ausführungsform von der 8 sind die Operationen F_i'' derartige Einstellungen von den Originaloperationen F_i, dass diese für den Hilfswert A_i korrigiert sind und zusätzlich den tertiären Hilfswert W = A_o ⊕ A₁ mit deren Ergebnis kombinieren. Wenn mit anderen Worten RD_i ⊕ A_i zu F'' zugeführt ist, kommt das Ergebnis
FD_i' = F_i (RD_i) ⊕ W gleich.
Es versteht sich durch den Fachmann, dass die kombinatorischen Prozesse AC_i, BC_i und HC_i an verschiedenen Stellen im kryptografischen Prozess P ausgeführt werden können, um eine vergleichbare oder gar identische Auswirkung zu erhalten.
Die 9 zeigt schematisch eine Schaltung 10 zum Implementieren des Verfahrens nach der Erfindung. Die Schaltung 10 umfasst einen ersten Speicher 11, einen zweiten Speicher 12 und einen Prozessor 13, wobei die Speicher 11 und 12 und der Prozessor 13 unter Verwendung eines Datenbusses 14 verbunden sind. Durch Bereitstellen von zwei Speichern ist es möglich, jedes Mal einen Unterschritt von einem der Prozesse P und P* (siehe 4) auszuführen, um das Ergebnis dieses Unterschritts zum Beispiel im ersten Speicher 11 zu speichern, und um vom zweiten Speicher 12 ein vorhergehendes Zwischenergebnis vom anderen Prozess zum Prozessor 13 zu übertragen. Auf diese Art und Weise ist es möglich, effizient die alternierende Berechnung der Unterschritte von zwei verschiedenen Prozessen auszuführen.
Das Zahlungssystem, das schematisch in der 10 dargestellt ist, umfasst ein elektronisches Zahlungsmittel 1 und eine Zahlungsstation 2. Das elektrische Zahlungsmittel 1 ist zum Beispiel eine so genannte Smart Card, das heißt eine Karte, die mit einer integrierten Schaltung zum Speichern und Verarbeiten von Zahlungsdaten bereit gestellt ist. Die Zahlungsstation 2 umfasst einen Kartenleser 21 und eine Prozessorschaltung 22. Die Prozessorschaltung 22 kann der Schaltung 10 von der 9 entsprechen.
Zu Beginn der Transaktion überträgt das Zahlungsmittel 1 eine Identifikations-(Kartenidentifikations-) ID zur Zahlungsstation 2. Unter Bezugnahme auf diese Identifikation, legt die Zahlungsstation 2 einen Schlüssel fest, der für diese Transaktion verwendet wird. Diese Identifikations-ID kann als Eingabedaten X (siehe die 1 bis 3) zu einem kryptografischen Prozess zugeführt werden, der auf Grundlage eines Masterschlüssels MK einen identifikationsabhängigen Transaktionsschlüssel KID als Ausgabedaten Y erzeugt. In Übereinstimmung mit der Erfindung wird zu diesem Zweck der Prozess, der in den 2 und 3 dargestellt wird, verwendet, wobei der Masterschlüssel MK unter Verwendung eines Prozesses R in einen zusätzlichen Masterschlüssel MK* im Voraus konvertiert wurde. Dieser zusätzliche Masterschlüssel MK* wird nun vorzugsweise gemeinsam mit der Identifikations-ID, in Übereinstimmung mit der 3, zum zusätzlichen Prozess P* zugeführt, um den Original-Masterschlüssel MK zu reproduzieren und den Transaktionsschlüssel KID von der Identifikations-ID abzuleiten.
Obwohl in den 2 und 3 stets nur ein einziger zusätzlicher Prozess P* dargestellt wird, können möglicherweise mehrere Prozesse P*, P**, P***, ... in Serie und/oder parallel verwendet werden, um den primären Schlüssel K abzuleiten.
Es versteht sich durch den Fachmann, dass zahlreiche Änderungen und Abänderungen möglich sind, ohne den Rahmen der Erfindung zu sprengen.

Claims

Verfahren zur kryptografischen Datenverarbeitung unter Verwendung einer Schaltung oder eines Prozessors, das Folgendes umfasst: Zuführen zu einem kryptografischen Prozess (P) von Werten, die die Daten (X) und einen Schlüssel (K) mit einschließen, und Ausführen des Prozesses (P), um kryptografisch verarbeitete Ausgabedaten (Y) zu bilden, gekennzeichnet durch das Zuführen zum Prozess (P) von Hilfswerten (K*, A_o, ..., A_n+1, B_o, ..., B_n), um die Werte zu maskieren, die den Schlüssel (K) mit einschließen, der im Prozess (P) verwendet wird, und durch das Kompensieren, durch einen Hilfsprozess, des Einflusses der Hilfswerte auf die Ausgabedaten (Y).
Verfahren nach Anspruch 1, wobei ein Hilfswert einen zusätzlichen Schlüssel (K*) umfasst, der einem zusätzlichen Prozess (P*) zugeführt wird, um den Schlüssel (K) zu bilden.
Verfahren nach Anspruch 2, wobei der zusätzliche Prozess (P*) einen kryptografischen Prozess umfasst, dem ein Hilfsschlüssel (K') zugeführt wird.
Verfahren nach Anspruch 2 oder 3, wobei der zusätzliche Prozess (P*) ein umkehrbarer Prozess ist.
Verfahren nach Anspruch 2, 3 oder 4, wobei die Daten (X) ebenfalls zum zusätzlichen Prozess (P*) zugeführt werden.
Verfahren nach Anspruch 5, wobei das Ausführen des zusätzlichen Prozesses (P*) ausschließlich erfolgt, wenn die Daten (X) vorbestimmte Eigenschaften aufweisen.
Verfahren nach einem der Ansprüche 2 bis 6, wobei sich der Prozess (P) und der zusätzliche Prozess (P*) jeweils aus einer Anzahl von Schritten zusammensetzen, und wobei Schritte des Prozesses (P) und des zusätzlichen Prozesses (P*) alternierend sind.
Verfahren nach einem der vorhergehenden Ansprüche, wobei der Prozess (P) eine Anzahl von Schritten (S_i) umfasst, die jeweils eine kryptografische Operation (F_i, F_i', F_i'') zum Verarbeiten rechtshändiger Daten (RD_i), die von den Daten (X) abgeleitet sind, aufweisen, und eine kombinatorische Operation (C_i) zum Kombinieren mit linkshändigen Daten (LD_i), die ebenfalls von den Daten (X) abgeleitet sind, der verarbeiteten rechtshändigen Daten (FD_i), um geänderte linke Daten (SD_i) zu bilden, und wobei die rechtshändigen Daten (RD₁) vor dem ersten Schritt (S₁) mit einem primären Hilfswert (A₁) kombiniert werden und die linkshändigen Daten (LD₁) mit einem zusätzlichen Hilfswert (A_o) kombiniert werden.
Verfahren nach Anspruch 8, wobei unverzüglich nach dem letzten Schritt (S_n), die rechtshändigen Daten (RD_n) mit einem weiteren primären Hilfswert (A_n) kombiniert werden und die geänderten linkshändigen Daten (SD_n') mit einem weiteren zusätzlichen Hilfswert (A_n+1) kombiniert werden.
Verfahren nach Anspruch 8 oder 9, wobei die rechtshändigen Daten (RD_i) in jedem Schritt (S_i) und vor der Operation (F_i') mit dem primären Hilfswert (A_i) vom Schritt (S_i) kombiniert werden.
Verfahren nach Anspruch 10, wobei die verarbeiteten rechtshändigen Daten (FD_i) nach der Operation (F_i), mit dem sekundären Hilfswert (B_i) vom Schritt (S_i) kombiniert werden.
Verfahren nach Ansprüchen 10 und 11, wobei der sekundäre Hilfswert (B_i) von einem Schritt (S_i) aus der Kombination des primären Hilfswertes (A_i–1) vom vorhergehenden Schritt und des primären Hilfswertes (A_i+1) vom nächsten Schritt gebildet wird.
Verfahren nach einem der Ansprüche 8 bis 12, wobei alle primären Hilfswerte (A_i) gleich sind.
Verfahren nach einem der Ansprüche 9 bis 13, wobei die primären Hilfswerte (A_i) und/oder die sekundären Hilfswerte (B_i) jedes Mal im Voraus mit der jeweiligen Operation (F_i) kombiniert wurden.
Verfahren nach Anspruch 14, wobei eine kombinierte Operation (F_i') mehrere Tabellen enthält, und wobei die Tabellen, jedes Mal wenn der Prozess (P) ausgeführt wird, in einer anderen Ordnung festgelegt werden.
Verfahren nach Anspruch 14 oder 15, wobei eine kombinierte Operation (F_i') mehrere Tabellen enthält, und wobei die Elemente der Tabellen, jedes Mal wenn der Prozess (P) ausgeführt wird, in einer anderen Ordnung festgelegt und/oder gespeichert werden.
Verfahren nach Anspruch 16, wobei die Ordnung als eine Nachschlagetabelle zum Zwecke des Auslesens der Elemente gespeichert wird.
Verfahren nach einem der Ansprüche 8 bis 17, wobei die rechtshändigen Daten (RD_i) nach jedem Schritt (S_i) mit einem tertiären Hilfswert (W_i) kombiniert werden.
Verfahren nach Anspruch 18, wobei der tertiäre Hilfswert (W_i) in allen Schritten, mit Ausnahme vom letzten Schritt (S_n), gleich der Kombination des primären Hilfswertes (A₁) vom ersten Schritt (S₁) und des zusätzlichen Hilfswertes (A_o) ist, und im letzten Schritt (S_n) gleich null ist.
Verfahren nach einem der Ansprüche 8 bis 19, wobei das Kombinieren unter Verwendung einer XOR-Operation ausgeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Daten (X) Identifikationsdaten eines Zahlungsmittels (1) umfassen und die verarbeiteten Daten (Y) einen diversifizierten Schlüssel bilden.
Verfahren nach einem der vorhergehenden Ansprüche, wobei der Prozess (P) das DES, vorzugsweise das Triple-DES, umfasst.
Schaltung (10), die Mittel umfasst, die dazu geeignet sind, jeden der Schritte des Verfahrens nach Anspruch 1 auszuführen.
Zahlungskarte (1), die eine Schaltung (10) nach Anspruch 23 umfasst.
Zahlungsterminal (2), das eine Schaltung (10) nach Anspruch 23 umfasst.