NL9301784A

NL9301784A - Systeem voor het versleutelen en ontsleutelen van digitale informatie.

Info

Publication number: NL9301784A
Application number: NL9301784A
Authority: NL
Original assignee: Irdeto Bv
Priority date: 1993-10-14
Filing date: 1993-10-14
Publication date: 1995-05-01
Also published as: DE69416684D1; EP0723726A1; ES2130570T3; WO1995010906A1; ZA947822B; EP0723726B1; DE69416684T2; US5799089A; DK0723726T3; AU1078395A; AU683325B2; GR3030117T3; ATE176970T1

Description

Systeem voor het versleutelen en ontsleutelen van digitale informatie

De uitvinding heeft betrekking op een systeem voor het versleutelen en ontsleutelen van digitale informatie volgens de kop van conclusie 1.

Het bekende systeem maakt gebruik van de zogenaamde "cipher block chaining (CBC)"-methode. Hoewel door middel van deze bekende CBC-methode een versleuteling van digitale informatie kan worden bereikt, die door onbevoegden nauwelijks kan worden ontcijferd, heeft het bekende systeem enkele nadelen. Deze nadelen blijken in het bijzonder bij toepassing op het gebied van digitale televisie, waarbij een relatief gering aantal zenders en een zeer groot aantal ontvangers zijn betrokken en vanwege de grote hoeveelheid digitale informatie die moet worden overgedragen, hoge verwerkingssnelheden vereist zijn. Bij toepassing van de gebruikelijke CBC-methode is in de ontvanger een buffergeheugen nodig waarin vier blokleng-ten aan digitale informatie kan worden opgeslagen. Een dergelijk groot buffergeheugen verhoogt de kosten van de ontvanger, hetgeen bij een groot aantal ontvangers een belangrijk nadeel is. Voorts bevindt zich aan het begin van elk pakket digitale informatie gewoonlijk een zogenaamde header welke een vast bitpatroon omvat. Aangezien bij de bekende CBC-methode het eerste blok wordt gecombineerd met een vaste initiële vector, kan in de versleutelde informatie een herkenbaar bitpatroon ontstaan. Een dergelijk herkenbaar bitpatroon vormt een potentieel aanknopingspunt voor het door onbevoegden ontcijferen van de versleutelde informatie.

De uitvinding beoogt een systeem van de in de aanhef genoemde soort te verschaffen, waarbij de nadelen van het bekende systeem op doeltreffende wijze zijn ondervangen en dat in het bijzonder geschikt is voor toepassing op het gebied van de digitale televisie.

Hiertoe wordt het systeem volgens de uitvinding gekenmerkt door het kenmerkende deel van conclusie 1.

Op deze wijze wordt een systeem verkregen, waarbij aan de ontvangerzijde het buffergeheugen slechts een lengte van tweemaal de bloklengte in bits behoeft te hebben, waardoor de kosten worden verlaagd. Voorts wordt door het omkeren van de volgorde van de blokken bereikt, dat de initiële vector wordt gecombineerd met variabele informatie, waardoor het header-gedeelte van het pakket als laatste met een variabel bitpatroon wordt gecombineerd, zodat in de versleutelde blokken met zekerheid geen vast patroon meer herkenbaar is. De methode die in het systeem volgens de uitvinding wordt toegepast, kan worden aangeduid als "reverse cipher block chaining" of RCBC-methode.

De uitvinding wordt nader toegelicht aan de hand van de tekening, waarin een uitvoeringsvoorbeeld van het systeem volgens de uitvinding schematisch is weergegeven.

Fig. 1 geeft schematisch de RCBC-methode weer die in het systeem volgens de uitvinding wordt toegepast.

Fig. 2 geeft schematisch in blokvorm de werking van de versleutelinrichting volgens de uitvinding weer.

Fig. 3 geeft schematisch in blokvorm de werking van de ontsleutelinrichting volgens de uitvinding weer.

In fig. 1 is sterk schematisch een voorbeeld weergegeven voor de versleutel- en ontsleutelmethode die bij het systeem volgens de uitvinding wordt toegepast. Bij het weergegeven uitvoeringsvoorbeeld wordt uitgegaan van pakketten informatie die elk zijn verdeeld in vier blokken A, B, C en D met een lengte van 64 bits. Aan de zenderzijde worden de blokken A-D in een niet nader weergegeven versleutelinrichting in volgorde omgekeerd, zodat achtereenvolgens in de tijd de blokken D, C, B en A worden versleuteld. In de eerste versleu-telstap wordt het blok D onderworpen aan een exclusieve of-bewerking of XOR-bewerking welke wordt aangeduid met het teken 0. Voor de eerste stap wordt de XOR-bewerking uitgevoerd met een initiële vector IV welke eveneens een lengte van 64 bits heeft. Zoals in fig. 1 is weergegeven wordt hierdoor in de eerste stap een informatieblok D* verkregen, dat vervolgens wordt onderworpen aan een versleutelbewerking door middel van een versleutelalgoritme E dat hierna nog nader zal worden toegelicht. Hierdoor wordt uiteindelijk de versleutelde informatie D' verkregen.

In de tweede stap wordt het informatieblok C en het versleutelde informatieblok D' aan een XOR-bewerking onderworpen, waardoor een gecodeerd informatieblok C* wordt verkregen, dat vervolgens weer door middel van het versleutelalgoritme E wordt omgezet in een versleuteld informatieblok C'. In de volgende stappen worden op overeenkomstige wijze de versleutelde informatieblokken B' en A' verkregen.

Alvorens de informatie wordt overgedragen, wordt de volgorde opnieuw omgedraaid, zodat achtereenvolgens de versleutelde informatieblokken A', B', C' en D' worden overgedragen.

Aan de ontvangerzijde wordt in de eerste stap het ontvangen versleutelde informatieblok A' aan een ontsleutelbe-werking door middel van een ontsleutelalgoritme D onderworpen, zodat het gecodeerde informatieblok A* wordt verkregen. Dit gecodeerde informatieblok A wordt vervolgens met het tweede inmiddels ontvangen versleutelde informatieblok B' aan een XOR-bewerking onderworpen, zodat het oorspronkelijke informatieblok A wordt verkregen.

Zoals schematisch is aangeduid worden de volgende oorspronkelijke informatieblokken B en C op overeenkomstige wijze verkregen, waarna het laatste informatieblok D wordt verkregen door het gecodeerde informatieblok D* te zamen met de initiële vector IV aan een XOR-bewerking te onderwerpen.

In meer algemene vorm uitgedrukt wordt aan de zender-zijde de volgende bewerking uitgevoerd.

De digitale informatie wordt in pakketten van N blokken X(l), X(2), X(N) verdeeld, waarbij elk blok 2m bits heeft. De volgorde van de blokken wordt voor de versleutelbewerking omgekeerd tot X(N), X(N-l) ... X(1). Op deze reeks blokken wordt met het versleutelalgoritme E de volgende versleutelbewerking uitgevoerd:

Deze versleutelde blokken worden opnieuw in volgorde omgekeerd, zodat de reeks Y(N), Y(N-l) ... Y(l) wordt overgedragen naar de ontvanger.

Aan de ontvangerzijde worden met het versleutelalgoritme D de oorspronkelijke informatiebloken als volgt verkregen:

De beschreven RCBC-methode heeft het belangrijke ; voordeel, dat aan de ontvangerzijde een buffergeheugen nodig is waarin slechts twee informatieblokken behoeven te worden vastgelegd. Ten opzichte van de bekende systemen wordt hierdoor een halvering in de benodigde geheugenruimte aan de ontvangerzijde bereikt. Dit gaat ten koste van een grotere geheugenruimte aan de zenderzijde, aangezien aan de zenderzijde de volgorde van de informatieblokken binnen elk pakket moet worden omgedraaid. Het systeem volgens de uitvinding is hierdoor in het bijzonder geschikt voor toepassingen in systemen waarbij slechts één of enkele zenders aanwezig zijn en een groot aantal ontvangers aanwezig is, zoals bijvoorbeeld in digitale televisie-omroepsystemen. Voorts heeft het beschreven systeem het voordeel, dat bij het versleutelen de initiële vector wordt gecombineerd met een variabel informatieblok, terwijl het laatst versleutelde informatieblok, dat gewoonlijk een header met een vast patroon omvat daardoor met een variabel versleuteld informatieblok wordt gecombineerd. Hierdoor wordt vermeden dat in de versleutelde informatie een vast patroon tengevolge van het header-gedeelte van elk pakket herkenbaar zou zijn.

Tenslotte heeft het systeem volgens de uitvinding het voordeel, dat de pijplijnvertraging aan de ontvangerzijde, dat wil zeggen de vertraging die optreedt voordat een eerste ont-sleuteld informatieblok wordt verkregen, wordt beperkt tot één bloktijdperiode, terwijl deze pijplijnvertraging bij de bekende CBC-methode drie bloktijdperioden bedraagt.

Hierna worden aan de hand van de fig. 2 en 3 het ver-sleutelalgoritme E en het ontsleutelalgoritme D die worden toegepast bij het systeem volgens de uitvinding, nader toegelicht.

Zoals in fig. 2 is weergegeven, omvat de versleutel-inrichting een schuifregister 8 dat acht geheugenelementen 0-7 van elk 8 bits omvat. Het is ook mogelijk een ander aantal bits voor elk geheugenelement te kiezen. Tussen de geheugenelementen 2 en 3 respectievelijk 5 en 6 respectievelijk 0 en 7 is een XOR-element aangebracht, dat met Q is aangeduid en voor elk bit een XOR-poort heeft. Wanneer hierna een uitgang of ingang wordt genoemd, wordt in feite een aantal uitgangs- of in-gangslijnen overeenkomend met het aantal bits van de geheugen- elementen bedoeld. De uitgang van het geheugenelement 0 van het schuifregister 8 is aangesloten op de XOR-elementen voorafgaande aan de geheugenelementen 2 en 7. De uitgang van het geheugenelement 7 is aangesloten op een XOR-element 10 waarop tevens een cyclisch werkend sleutelregister 11 is aangesloten. Dit sleutelregister 11 omvat eveneens acht geheugenelementen 0-7 van elk 8 bits. In dit sleutelregister is een sleutel van 64 bits vastgelegd. De uitgang van het XOR-element 10 is aangesloten op een opzoektabel 12 van 256 elementen met elk 8 bits, welke ook wel als substitutiemodule of S-box wordt aangeduid. De uitgang van de S-box 12 wordt aan het XOR-element voor het geheugenelement 7 van het schuifregister 8 toegevoerd alsmede na het doorlopen van een permutatietrap 13 aan het XOR-element tussen de geheugenelementen 5 en 6 van het schuifregister 8.

Het cyclische sleutelregister 11 wordt synchroon geklokt met het schuifregister 8. Voor het versleutelen wordt een informatieblok in het schuifregister 8 geladen, waarna na elke stap de informatie één geheugenelement naar rechts is verschoven, waarbij de inhoud van het geheugenelement 0 naar het geheugenelement 7 schuift. Na acht stappen is het informatieblok eenmaal rondgeschoven en wordt de sleutel in het sleutelregister 11 één stap verschoven, zoals door een streeplijn 14 schematich is aangeduid. Hierna wordt het proces nog zesmaal herhaald. De verschuiving van de sleutel in het sleutelregister 11 is in fig. 2 in tabelvorm aangegeven, waarbij elke cyclus van acht stappen is aangeduid met Rl, R2 ... R7. Het is uiteraard ook mogelijk het proces een groter of kleiner aantal malen te herhalen.

In tegenstelling tot bekende versleutelalgoritmes, zoals het DES-algoritme, wordt bij de beschreven versleutelin-richting een enkele relatief grote S-box toegepast in plaats van meerdere kleine S-boxelementen. Het toepassen van een grote S-box heeft het voordeel, dat in één stap een zeer sterke niet-lineariteit wordt geïntroduceerd. Het byte uit geheugenelement 7 wordt direct met een byte van de sleutel gecombineerd en de bewerking door de S-box 12 zorgt voor een sterke niet-lineariteit die wordt ingevoerd in geheugenelement 7 en na permutatie via de permutatietrap 13 in geheugenelement 5.

Doordat het niet-lineair gewijzigde byte op de uitgang van de S-box 12 op twee plaatsen weer in het schuifregister 8 wordt ingevoerd, wordt een snelle verspreiding van deze niet-linea-riteit bereikt. Hierdoor wordt een betere versleuteling verkregen dan met behulp van meerdere kleine S-boxelementen mogelijk is. Het toepassen van het XOR-element tussen de geheugen-elementen 2 en 3 van het schuifregister 8 heeft het voordeel, dat het aantal mogelijke sleutels bij een bepaalde bitlengte van de sleutel ten opzichte van het bekende DES-algoritme ongeveer wordt verdubbeld, doordat niet langer samenhang tussen het complement van een informatieblok met het complement van de sleutel en het complement van het versleutelde informatieblok bestaat.

Zoals in fig. 3 is weergegeven, vindt voor het ont-sleutelen de omgekeerde bewerking plaats.

Opgemerkt wordt, dat de beschreven RCBC-methode volgens de uitvinding ook zodanig kan worden toegepast, dat de blokken van elk pakket voor de versleuteling niet in volgorde worden omgedraaid. In dat geval worden de blokken aan de ont-vangerzijde in omgekeerde volgorde X(N), X(N-l) ... X(l) ontvangen. Het omdraaien van de blokken kan dan aan de ontvanger-zijde plaatsvinden.

De uitvinding is niet beperkt tot het in het voorgaande beschreven uitvoeringsvoorbeeld, dat binnen het kader der uitvinding op verschillende manieren kan worden gevarieerd.

Claims

1. Systeem voor het versleutelen en ontsleutelen van digitale informatie, waarbij de informatie in pakketten van N blokken (X(l) ... X(N)) van 2m bits wordt verdeeld, welk systeem is voorzien van een versleutelinrichting die is ingericht voor het uitvoeren van een XOR-bewerking en een aansluitende versleutelbewerking door middel van een versleutelalgo-ritme (E) op elk blok van een pakket, zodanig dat met behulp van een initiële vector (IV) versleutelde blokken (Y(1) — Y(N)) worden gevormd,

waarbij waarna de blokken door een zender worden overgedragen aan een ontvanger, en het systeem voorts is voorzien van tenminste een ontsleutelinrichting die is ingericht voor het uitvoeren van een ontsleutelbewerking door middel van een ontsleutelalgorit-me (D) en een aansluitende XOR-bewerking op elk ontvangen blok (Y(1) ... Y(N)), zodanig dat de oorspronkelijke blokken X(1) ... X(N) worden verkregen, waarbij

met het kenmerk, dat de versleutelinrichting de volgorde van de blokken (X(l) ... X(N)) voor het uitvoeren van de versleutel- en XOR-bewerkingen omdraait, zodat de volgende versleutelde blokken Y(l) ... Y(N) worden gevormd

waarna de versleutelde blokken (Y(l) ... Y(N)) in omgekeerde volgorde (Y(N) ... Y(l)) worden overgedragen, waarbij de ontsleutelinrichting de oorspronkelijke blokken (X(l) ... X(N)) verkrijgt door het uitvoeren van het ontsleutelalgoritme (D) en een aansluitende XOR-bewerking volgens

2. Versleutelinrichting voor toepassing in een systeem volgens conclusie 1, met het kenmerk, dat de versleutelinrichting is ingericht voor het omkeren van de volgorde van de blokken (X(l) ... X(N)) van elk pakket voor het uitvoeren $ van een XOR-bewerking en een versleutelbewerking door middel van een versleutelalgoritme (E) op elk blok van een pakket, zodanig dat met behulp van de initiële vector (IV) versleutelde blokken (Y(l) ... Y(N)) worden gevormd, waarbij

3. Ontsleutelinrichting voor toepassing in een systeem volgens conclusie l, met het kenmerk, dat de ontsleutelinrichting is ingericht voor het uitvoeren van een ontsleutel-bewerking volgens een ontsleutelalgoritme (D) en een XOR-bewerking op versleutelde blokken (Y(N) ... Y(1)), zodanig dat met behulp van de initiële vector ontsleutelde blokken (X(1) ... X(N)) worden gevormd, waarbij

4. Versleutelinrichting volgens conclusie 2, met het kenmerk, dat de versleutelinrichting voor het uitvoeren van het versleutelalgoritme (E) is voorzien van een schuifregister met acht geheugenelementen (0, 1, ..7) van elk 2k bits en van een sleutelregister met acht geheugenelementen (0, 1, ..7) van 2k bits, welke registers synchroon worden bestuurd voor het parallel verschuiven van informatie in de richting van geheu-genelement (7) naar geheugenelement (0), waarbij de uitgang van geheugenelement (0) is teruggekoppeld naar geheugenelement (7) waarbij de uitgang van geheugenelement (7) van het schuif-register en de uitgang van geheugenelement (0) van het sleutelregister aan een XOR-bewerking worden onderworpen en de uitgang van de XOR-bewerking door een opzoektabel met 256 elementen van elk 2k bits wordt bewerkt en de verkregen uitvoer wordt toegevoerd aan een XOR-bewerking aan de ingang van het geheugenelement (5) respectievelijk te zamen met de uitgang van het geheugenelement (0) aan de ingang van het geheugenelement (7) .

5. Versleutelinrichting volgens conclusie 4, met het kenmerk, dat de uitvoer van de opzoektabel aan een permutatie-bewerking wordt onderworpen voor de toevoer aan de XOR-bewerking voor de ingang van het geheugenelement (5).

6. Versleutelinrichting volgens conclusie 4 of 5, met het kenmerk, dat het tweede geheugenelement (2) als invoer een XOR-bewerking van de uitgang van de geheugenelementen (0 en 3) ontvangt.

7. Versleutelinrichting volgens conclusie 4, 5 of 6, met het kenmerk, dat de bewerking op de oorspronkelijke informatie die in het schuifregister wordt ingevoerd in acht stappen wordt uitgevoerd, waarna de sleutel in het sleutelregister over één geheugenelement wordt verschoven, waarna de bewerking een gewenst aantal malen in acht stappen wordt herhaald en tenslotte de versleutelde informatie uit het schuifregister wordt uitgelezen.

8. Ontsleutelinrichting volgens conclusie 3, met het kenmerk, dat de ontsleutelinrichting voor het uitvoeren van het ontsleutelalgoritme (D) op een met de versleutelinrichting overeenkomstige wijze is uitgevoerd en in omgekeerde richting werkzaam is.