MXPA01001783A - Procedimiento y dispositivo para auntentificar un algoritmo simetrico. - Google Patents

Abstract

La presente invencion se refiere a un procedimiento y a un sistema para autentificar un algoritmo simetrico, caracterizado esencialmente en que, para cada autentificacion mutua de dos partes, se lleva a cabo un calculo criptografico con una clave variable, referida como K'. Las etapas principales del procedimiento son como sigue: a) la parte A, que tiene la clave K secreta, envia un numero R2 aleatorio a la parte B, esta ultima tambien tiene la misma clave K secreta; b) la parte B selecciona un numero R2 aleatorio y calcula el numero K', que tambien es una clave secreta, a partir de la siguiente formula K' R2 xor K, en donde xor es el equivalente de la operacion exclusiva o matematica; c) luego B, usando un algoritmo simetrico de encriptado ALG, calcula una r que resulta derivada de la formula r=ALG[K'] (R1), d) la parte B envia luego r y R2 a la parte A; e) la parte A, usando el mismo algoritmo simetrico de encriptado, ALG, calcula K' y R' a partir de la siguiente formula K' = R2 xor K y r' = ALG[K'] (R1); f) si r es igual a r', entonces la parte B es sutentificada por la parte A.

Description

PROCEDIMIENTO Y DISPOSITIVO PARA AUTENTICAR UN ALGORITMO SIMÉTRICO DESCRIPCIÓN DE. LA INVENCIÓN La presente invención se refiere a un procedimiento para autentificar un algoritmo simétrico que presenta la caracteris tica principal que, para cada autentificación de dos partes entre ellas, denominadas comúnmente A y B, se efectúa un cálculo criptográfico con una clave variable, denominada K' . La invención se refiere de manera más precisa a los cálculos criptográficos citados anteriormente al momento de una autentificación de las dos partes, denominadas A y B, independientes una de la otra en el marco del intercambio de datos . Esto puede ser entre una PC y un servidor, un lector y un servidor, una tarjeta de microcircuito (chip) y un lector de tarjetas de microcircuito, por ejemplo, un distribuidor de documentos bancarios en el marco de la utilización de una tarjeta de microcircuito denominada A por un usuario que, deseando procurarse algunos documentos bancarios, lo realiza sobre un lugar que incluye un distribuidor de documentos o billetes, denominado B. Más particularmente, las dos partes A y/o B pueden ser consideradas como una tarjeta de microcircuito y/o un lector. Es conocido por el experto en la materia que los problemas de seguridad son cruciales para un buen funcionamiento de los aparatos del tipo de distribuidores de billetes y de tarjetas de microcircuito. Estas preocupaciones son el objetivo de las protecciones continuas y siempre más eficaces para hacer un ataque más difícil de cometer. Para explicar este estado de las cosas, en el dominio tecnológico de la criptologia, es conocido denominar las dos partes antes de comunicarse entre ellas, A y B. De una manera más técnica y científica, el procedimiento consiste en un cierto número de etapas . En detalle, A, que posee una clave secreta K, elige un número aleatorio R denominado también mensaj e . Se envia este número aleatorio R a B, que posee igualmente la misma clave secreta K.

B calcula un resultado, con la ayuda de un algoritmo simétrico de cifrado ALG, denominado r por la fórmula siguiente: r = ALG[K] (R) r es el resultado del cifrado del mensaje R con el algoritmo ALG y la clave secreta K. El algoritmo denominado ALG es un algoritmo de cifrado simétrico. Éste puede ser el DES (Mensaje de Codificación de Datos), el triple DES, el IDEA, etc. Esta operación es realizable puesto que la clave secreta K es conocida por las dos partes A y B y solamente por A y B. Enseguida, B envía el resultado r a A. Esta última, A, calcula luego el resultado r' por la siguiente fórmula: r' = ALG[K] (R) Si el número r es igual al resultado r' entonces B es autenticado. La autentificación de B por A es realizada de esta manera.

No obstante, esta operación no es suficiente puesto que ésta es vulnerable a las mediciones de corriente y a los ataques por un posible pirata. ün ataque, o piratería, mide el consumo de corriente eléctrica de la tarjeta de microcircuito. Siguiendo la curva obtenida, se puede deducir la información sobre las operaciones y los datos utilizados por el procesador. Con el fin de realizar las mediciones precisas, el atacante debe realizar varias medidas y filtrarlas . De manera más precisa, el problema radica en el cálculo de r, es decir sobre la fórmula: r = ALG[K] (R) En efecto, las mediciones de corriente son fáciles de realizar a este nivel y en consecuencia es posible conocer los datos por el cálculo, en particular debido al hecho que la clave K es constante . Para obtener una medición pertinente, el pirata debe efectuar varias mediciones y filtrarlas para extraer la información pertinente. Debido a la utilización de una misma clave K constante, todas las mediciones utilizan la misma clave K y por lo tanto el resultado de la filtración es característico de la clave K- La invención propone una primera particularidad que consiste en una modificación sucinta que es realizada en la fórmula de cálculo de r del protocolo de autenticación, objetivo de la invención . La parte A, que posee la clave secreta K, envía un número aleatorio Ri, aleatoriamente elegido, a la parte B. Esta última posee igualmente la misma clave secreta K. B elige un número aleatorio R2, luego calcula el número K' , que es también una clave secreta a partir de la fórmula siguiente: K' = R xor K, siendo xor el "o exclusivo" matemático . Enseguida, B calcula un resultado r a partir de la fórmula: ALG[k' ] (Ri) B envía enseguida r y R? a A. Este último calcula, con ayuda del mismo algoritmo simétrico de cifrado ALG, K' y r' a partir de las siguientes fórmulas: K' = R2 xor K y r' = ALG[K' ] (Ri) En la hipótesis donde r es igual a r ' , entonces B es autentificado por A. La imposibilidad de ' ataque hoy en día proviene del hecho de que, puesto que K' cambia en cada autenticación, el consumo de corriente de cálculo de r y r' es diferente para cada ejecución de la autenticación. No obstante, el cálculo de K' queda vulnerable a los ataques en consumo de corriente.

La invención propone pues una segunda particularidad no ligada a la primera anteriormente descrita, concerniente al cálculo de K' . En efecto, la invención utiliza un sistema de cifrado independiente y/o dependiente del sistema de autenticación anteriormente descrito. Éste consiste en un cálculo de K' que es hecho aleatorio. Para esto, se descompone la clave secreta K en un conjunto de n subclaves ki, siendo i el índice de subclaves para la fórmula: K = ki xor k2 xor xor kn De este modo, el cálculo de K' es posible como lo es bajo otra formulación: K' R2 xor ki xor xor kn Debido al hecho de la capacidad de conmutación del operador xor, es posible cambiar el orden de cálculo para obtener un cálculo variable en cada autenticación. Para que sea establecido un vínculo entre K y K' el algoritmo utilizado comprende una fase de inicialización y un subconjunto de bucles o circuitos . La inicialización del algoritmo debe ser explicada, de manera general primeramente, y en seguida tomando un caso particular de explicación, extrapolable enseguida a la generalidad. La inicialización tiene por explicación los siguientes propósitos. De una manera general, una primera tabla k, denominada más adelante en la descripción por k[], es utilizada; esta tabla contiene los valores de n subclaves i . Una segunda tabla llamada para__hacer [ ] , denominada en lo subsecuente para_hacer [ ] , contiene n funciones de booLe.- Cada función de boole contiene el valor verdadero llamado "Verdadero" o "T" más adelante y en la Figura 2. Las tablas k[l y para_hacer[] contienen el mismo número n de elementos, que representan las n subclaves ki y las n funciones de boole. Esto afecta el valor R2 a K' , de manera más precisa K' = R2. El bucle del algoritmo es descrito más adelante y representado en la Figura 1 : La primera etapa, o etapa a, consiste en qué tanto resta un elemento de la tabla para_hacer[] al valor "T", luego un número aleatorio i, comprendido entre 1 y n, es elegido. La siguiente etapa, etapa b, es la prueba de igualdad del elemento i de la tabla para_hacer[] y del valor "T", denominado más adelante en la descripción y en la figura. Si la prueba precedente de igualdad es verdadera, son efectuadas dos operaciones: - La primera, etapa c, es la afectación a la variable K' del resultado de o exclusivo" matemático entre K' y el primer elemento de la tabla k[] gue es de hecho el cálculo de la siguiente fórmula: K' K' xor k [ i ] La segunda, etapa d, es la afectación al elemento del índice i de la tabla para_hacer[] del valor "Falso", denominado más adelante en la descripción y en la figura con "F": para_hacer [i ] = "F". Si la prueba de igualdad de la etapa b es falsa, entonces el sistema de cálculo regresa a la primera etapa, o etapa a. Este algoritmo no es de tiempo constante puesto que es posible ejecutar más bucles que subclaves ki . La invención se refiere igualmente a un sistema de autenticación para el algoritmo de cifrado simétrico entre dos entidades o partes A y B, que poseen una misma clave secreta K, que pone en operación el procedimiento anteriormente descrito. La invención va a ser descrita ahora con un ejemplo de realización preciso que es el caso para el cual n, número de subclaves, es igual a dos, n = 2, en relación con la Figura 2, figura que no describe más que dos bucles.

La inicialización queda idéntica al caso general anteriormente descrito; esto es mencionado en la Figura 2 por la referencia A ó 10. El bucle del algoritmo es realizado de la siguiente manera: Son posibles dos cálculos de algoritmo. Será efectuada ya sea la siguiente operación: K' = R2 xor ki xor k2; O bien sera efectuada la siguiente operación: K' R2 xor k2 xor ki : ; De este modo, el pirata no sabe cuál es el cálculo gue va a ser efectuado en primer lugar y entonces no puede utilizar varias medidas para efectuar las filtraciones. La probabilidad de cumplir los dos elementos en una vuelta de bucle o primer ensayo es nula, o bien de manera más explícita y visual (ver Figura 2) , la probabilidad de poner al valor "F" los dos elementos de la tabla para_hacer[] en un solo ensayo es nula. Es pues imposible obtener en un solo circuito o bucle los dos valores idénticos "F", "F".

Enseguida, la probabilidad de poner al valor "F" los dos elementos de la tabla para_hacer[] en dos bucles o ensayos es igual a un medio, o -í . En efecto, al momento del primer bucle, se elige un número aleatorio i igual a 1 (20) ó 2 (21), i=l ó 2; luego el valor "F" es puesto en uno de dos elementos de la tabla para__hacer [ ] ; este primer bucle es mencionado en la Figura 2 por la referencia B. Al momento de un segundo bucle (ver Figura 2), se elige un número aleatorio i igual a 1 ó 2, i=l ó 2; luego el valor "F" es puesto en uno de dos elementos de la tabla para_hacer [ ] , según el número aleatorio elegido; este segundo bucle es mencionado en la Figura 2 por la referencia C. De este modo, se tienen dos casos terminados (31, 32), es decir dos valores "F" en dos elementos y dos casos no terminados (30, 33) ; el cálculo de K' no es terminado. La probabilidad de obtener este resultado es de un medio. Además, la probabilidad de cumplir dos elementos en tres bucles o ensayos es igual a un cuarto, o (no representado en la Figura 2) . En efecto, un número aleatorio i igual a l ó 2 es elegido; el valor "F" es puesto ya sea en el primer elemento, o bien en el segundo elemento de la tabla para_hacer[] . De este modo, como al momento del segundo bucle, se tienen dos casos terminados, es decir dos valores "F" en dos elementos y dos casos no terminados, el cálculo de K' no está terminado. De manera más general, la probabilidad de cumplir los dos elementos en k bucles es igual a l/2 -\ Es interesante conocer una media S de bucles para realizar para poner sobre dos elementos gue comprenden cada uno el valor "F". Para esto, la esperanza matemática es calculada y es formulada de la siguiente manera: n 1 S = ? i x i=2 ,1 =1 Esta esperanza matemática es la suma ponderada de las probabilidades. Ésta es igual, una vez calculada, a tres. La conclusión es pues: S = 3 El cálculo de K' es realizado en tres bucles en promedio .

Claims (8)

REIVINDICACIONES

1. Procedimiento de autenticación de algoritmo de cifrado simétrico entre dos entidades o partes A y B, que poseen una misma clave secreta K, caracterizado el procedimiento porque se efectúan las siguientes etapas para la autenticación: a) la parte A, que posee la clave secreta , envía un número aleatorio o número elegido aleatoriamente R2 a la parte B, esta última posee igualmente la misma clave secreta K; b) la parte B elige un número aleatorio R2, y calcula el número K' , que es también una clave secreta, a partir de la siguiente fórmula: K' = R2 xor K, siendo xor el equivalente del "o exclusivo" matemático; c) enseguida, B calcula, con ayuda de un algoritmo simétrico de cifrado ALG un resultado r a partir de la fórmula: r = ALG [K' ] (R ) ; d) la parte B envía enseguida r y R2 a la parte A; e) la parte A calcula, con ayuda del mismo algoritmo simétrico de cifrado ALG, K' y r' a partir de las siguientes fórmulas: K' = R2 xor K y r' = ALG [K' ] (Ri) ; f) si r es igual a r' , entonces la parte B es autenticada por la parte A.

2. Procedimiento de conformidad con la reivindicación 1, caracterizado porque la clave K es descompuesta en un conjunto de n subclaves k-¡., siendo i el índide de las subclaves por la fórmula: K = ki xor k2 xor ... xor kn .

3. Procedimiento de conformidad con la reivindicación 1 ó 2, caracterizado porque comprende un sistema de cálculo de la clave K' hecha aleatoria por el orden de utilización de las subclaves ki, siendo i el índice de las subclaves, en la formulación: K' = R2 xor ki xor ... xor kn .

4. Procedimiento de conformidad con la reivindicación 3, caracterizado porque la clave secreta K es calculada por medio de un algoritmo gue comprende una fase de inicialización y un conjunto de bucles.

5. Procedimiento- de conformidad con la reivindicación 4, caracterizado porque la fase de inicialización comprende: una primera tabla k, o k[], que contiene las n subclaves ki y una segunda tabla llamada para_hacer, o para_hacer [ ] , que contiene n funciones de boole, cada función de boole contiene el valor verdadero llamado "Verdadero" o "T", y caracterizado porque las tablas k[] y para__hacer [ ] contienen el mismo número n de elementos, que representan las n subclaves i y las n funciones de boole.

6. Procedimiento de conformidad con la reivindicación 4, caracterizado porque el bucle del algoritmo comprende las siguientes etapas: a) la primera etapa consiste en qué tanto resta un elemento de la tabla para_hacer[] al valor "T", un número aleatorio i, comprendido entre 1 y n, es entonces elegido; b) la segunda etapa consiste en la prueba del elemento i de la tabla para_hacer[] al valor t"; c) si el resultado de la segunda etapa es verdadero, entonces la tercera etapa consiste en dos operaciones: la primera es la afectación, a la variable K' , del resultado del "o exclusivo" matemático entre K' y el primer elemento de la tabla k[] que es el cálculo de la siguiente fórmula: K' = K' xor k[i], la segunda es la afectación al elemento del índice i de la tabla para_hacer[] del valor "Falso" denominado en la descripción y en la Figura por "F": para_hacer [i ] = "F".

7. Procedimiento de conformidad con la reivindicación 4, caracterizado porgue el bucle del algoritmo comprende las siguientes etapas: a) la primera etapa consiste en qué tanto resta un elemento de la tabla para_hacer[] al valor "T", un número aleatorio i, comprendido entre 1 y n, es luego elegido; b) la segunda etapa consiste de la prueba del elemento i de la tabla para_hacer[] al valor x,t"; c) si el resultado de la segunda etapa es falso entonces el sistema de cálculo regresa a la primera etapa.

8. Sistema de autenticación del algoritmo de cifrado simétrico entre dos entidades o partes A y B, que poseen una misma clave secreta K, caracterizado porque pone en operación el procedimiento de autenticación de conformidad con cualquiera de las reivindicaciones 1 a 7.