NO332641B1 - Metode for a sikre integritet og autentisitet av en datamengde - Google Patents

Abstract

For å garantere integriteten og autentisiteten av dataene overført mellom et forvaltningssenter og en eller flere mottaksenheter, har hver mottaker en dekoder (IRD) og en sikkerhetsmodul (SC) samt kommunikasjonsmidler (NET, REC) med forvaltningssenteret. Metoden består i å beregne en kontrollinformasjon (Hx) representativ for resulatet av en kollisjonsfri enveisfunksjon, utført på alle eller deler av de overførte dataene, og å sende resulatet til forvaltningssenteret for verifikasjon. Senteret vil da kunne informere dekoderen om autentisiteten av dataene ved hjelp av returkanaler eller via hovedkanalen.

Description

Denne oppfinnelsen angår en metode for å kontrollere integriteten og autentisiteten av en samling mottatte data (M1 til Mn) i en dekoderenhet for betalings-TV og en metode for å kontrollere integriteten og autentisiteten av en helhetlig mengde av lagrede data (M1 til Mn) i en lagringsenhet for data tilkoblet en sikkerhetsenhet (SC).

Oppfinnelsen kan brukes til alle maskiner som har minst en sentralprosessor som normalt kjent og brukt i informatikk, og at denne prosessoren har minst en del av programmene i et modifiserbart minne.

Det er kjent at en forandring eller en korrupsjon etterlater spor i visse deler av informasjonene behandlet og lagret i et minne, enten før eller etter behandlingen. Det er kjent at man kan bruke en enkel matematisk teknikk som en sjekksum for å finne ut om dataene har blitt forandret siden nevnte sjekksum ble beregnet.

Det kan imidlertid være at kontrollsystemet også har blitt forandret, og at det ikke lenger er i stand til å kontrollere minneinnholdet. På den måten kan man i løpet av matematiske operasjoner ha en propagasjon av tilfeldige feil som kan kanselleres ut, og på den måten gi et resultat som forventet. Konsekvensen er at kjente verifikasjonsmetoder i visse tilfeller ikke vil fungere.

Det er fra EP 689316 A2 kjent et apparat og metode for å sende en datapakke over et trådløst nettverk med forbedret sikkerhet. Hver melding som sendes inneholder tre segment. Et første segment inneholder informasjon som identifiserer avsenderen av meldingen. Et andre segment inkluderer en digital signatur som er dannet gjennom en hashing og kryptering av datasom skal overføres. Et tredje segment inkluderer datapakken.

Det finnes således et problem som ikke er tilfredsstillende løst til dags dato, som består i å forbedre påliteligheten og sikkerheten oppnådd med kjente verifikasjonsmetoder, særlig når den samme regneenheten benyttes til å beregne sjekksummen og sammenligne denne med en referanseverdi.

For å gjenkjenne alle modifikasjoner av data, er det kjent at man kan benytte en enveisfunksjon på nevnte data, det vil si en beregning som er lett å utføre i en retning men nesten umulig i motsatt retning. For eksempel så er beregningen xy er lett å utføre mens beregningen<y>Vx er mye mer komplisert.

Med en kollisjonsfri operasjon mener man en operasjon hvor ingen ulik kombina-sjon av data gir et likt resultat.

I rammen av oppfinnelsen, er denne enveisfunksjonen en matematisk operasjon H av en kildemengde som gir en resultatmengde, hvor hvert element x i kildemengden gir et resultat H(x). Disse funksjonene er spesielt nyttige når de er såkalte Hashfunksjoner, slik de er definert på side 27 i dokumentet RSA Laboratories' Frequently asked Questions About Today's Cryptography, v4.0. Elementet x kan ha hvilken som helst lengde, men H(x) er alltid en rekke tegn med en fast lengde ("fixed-size string"). En slik funksjon er vanskelig å inversere, det vil si at H(y)=H(x) impliserer nødvendigvis at y=x, og tilsvarende at H(y)^H(x) impliserer nødvendigvis at y^x.

Målet med oppfinnelsen er å sikre seg at informasjonene i en betalings-TV-dekoder er de som forvaltningssenteret har sendt, og at de ikke har blitt endret.

Dette målet er oppnådd med en metode for å kontrollere integriteten og autentisiteten av helheten av de lagrete data (M1 til Mn) i en betalings-TV-dekoder, som består av en dekoder, en sikkerhetsmodul, samt kommunikasjonsmidler (NET, REC) med et forvaltningssenter. Denne metoden består i å:

- sende data (M1 til Mn) til sikkerhetsmodulen,

- beregne en kontrollinformasjon (Hx), som representerer et resultat av en kollisjonsfrie enveisfunksjon, basert på alle eller deler av dataene (M1 til Mn)

- kryptere kontroll informasjonen (Hx) med en første nøkkel (k1)

- etablere overensstemmelsen av kontrollinformasjonen (Hx) ved hjelp av en kommunikasjon med forvaltningssenteret, ved bruk av en av kommunikasjonsmetodene.

På denne måten er integriteten av dataene ikke bare kontrollert av dekoderen der disse dataene er lagret, men også garantert av en ekstern sikkerhetsmodul, som er anerkjent for å være korrupsjonsresistent.

I henhold til oppfinnelsen kan dekoderen selv utføre beregningen og sende resultatet til sikkerhetsmodulen, eller overføre dataene M1 til Mn til sikkerhetsmodulen som beregner Hashinformasjonen.

Andre fordelaktige trekk i henhold til den foreliggende oppfinnelse fremkommer fra de selvstendige patentkravene, spesielle utførelsesformer i henhold til den foreliggende oppfinnelse fremkommer av de tilhørende uselvstendige patentkravene.

Nøklene som er brukt for å kryptere kommunikasjonen med forvaltningssenteret er kun lagret i sikkerhetsmodulen. Dekoderen har således ingen mulighet for å dekryptere disse meldingene og på den måten endre deres innhold, selv om disse fysisk passerer igjennom dekoderen.

Disse sikkerhetsmodulene er vanligvis i form av smartkort (Smart Card) og inneholder et minne, en mikroprosessor, og et kommunikasjonsmiddel.

Med kommunikasjonsmiddel forstås en bidireksjonal forbindelse over en kablet kobling, en modemutgang, eller en radioforbindelse. Også inkludert i dette mid-delet er dataenes overføringsmedium, på hvilke meldingene til sikkerhetsmodulen blir transportert.

Verifikasjonsberegningen av kontrollinformasjonen (Hx) kan bli gjort på forskjellige måter.

Sikkerhetsmodulen sender kontrollinformasjonen til forvaltningssenteret på kryptert form, og sistnevnte har ansvaret for verifikasjonen. I svaret kan forvaltningssenteret enten sende et enkelt resultat OK/NOK av sammenligningen, eller gjenta forsendelsen av referanseverdien. Alle disse meldingene er selvfølgelig kryptert med sikkerhetsmodulens egen nøkkel.

Forvaltningssenteret lagrer resultatet relatert til hver abonnent som bevis for en vellykket nedlastningoperasjon, alternativt endringene i dataene, for eksempel med henblikk på en senere repetisjon.

I henhold til en variant av oppfinnelsen kan forvaltningssenteret på forhånd sende referanseverdien til sikkerhetsmodulene. På den måten blir det ikke nødvendig å kontakte forvaltningssenteret for verifikasjonen av den beregnede kontrollinformasjonen Hx.

I en annen utførelse, og når en forespørselen om en verifikasjon kommer fra sikkerhetsmodulen, sender forvaltningssenteret tilbake som sammenlignings-resultat referanseverdien (Hy) i kryptert form k2(Hy) til sikkerhetsmodulen. På denne måten vil ikke forvaltningssenteret kun informere sikkerhetsmodulen om sammenligningen er riktig eller ikke, men sender i stedet tilbake referanseverdien til sikkerhetsmodulen. Dette blir først og fremst gjort dersom sammenligningen har gitt et positivt resultat, slik at sikkerhetsmodulen kan lagre referanseverdien Hy.

Denne tilbakesendningen kan bli gjort ved hjelp av alternative kommunikasjonskanaler slik som modem, eller over dataenes hoved-kommunikasjonskanal.

I tilfeller hvor dataene M1 til Mn er ledsaget av verifikasjonsmidler, slik som CRC, sjekksum CS eller Hash, kan dekodingsmodulen utføre en første test ved hjelp av nevnte metode som er kjent i seg selv. Ikke desto mindre kan påliteligheten av denne testen settes under tvil, for er det slik at dataene har blitt modifisert av en tredje person, er det sikkert at denne personen har også vil ha modifisert verifika-sjonsmidlene. Det er grunnen til, i henhold til metoden i oppfinnelsen, at sikkerhetsmodulen kan informere dekodermodulen om å ikke akseptere testresultatet som en garanti for dataautentisiteten, men at denne autentisiteten må fastsettes i henhold til metoden beskrevet ovenfor.

Denne varianten er viktig ved en oppdatering av en samling med dekodere, hvor enkelte dekodere er av en eldre generasjon som behøver en verifikasjon med sjekksum, mens de andre dekoderne allerede er utrustet med et system i henhold til patentkravene.

Når man laster ned en oppdatering av programmet, er det vanlig å kun sende de partier som har blitt modifisert. Dataene M1 til Mn representerer ikke hele programmet som har blitt oppdatert. Det er grunnen til at er det viktig å ha en referanseverdi H'y som kan benyttes med en Hashfunksjon på det nygenererte programmet, for på den måten ha en sikker verifikasjonsmetode for hele programmet,

Det finnes en første metode som består i å etablere integriteten til det initielle programmet PO, det vil si før oppdateringen. Til dette har man det initielle Hash-resultatet HO på programmet PO, som enten beregnes ved installasjonen av PO, eller beregnet med metoden beskrevet i oppfinnelsen.

Når autentisiteten av oppdateringsdataene har blitt sjekket, og disse dataene har blitt introdusert i programminnet, kan sikkerhetsmodulen med en gang beordre utførelsen av Hashfunksjonen på hele det nye programmet P1 som gir resul- tåtet H1. Dette resultatet vil bli brukt for kontrollene som vil utføres ved senere oppdateringer.

En variant av denne metoden består i å få fra forvaltningssenteret den nye verdien H'y som representerer Hashfunksjonsresultatet på hele det nye programmet P1, som her er representert av MO til Mm.

Forvaltningsdataene R sendt fra forvaltningssenteret kan bestå av en beskrivelse D som forteller dekoderenheten (IRD) måten å benytte disse dataene på. Denne beskrivelsen kan ha form av en tabell som innerholder bestemmelsesadressene til dataene. På den måten er det ikke mulig å anvende disse dataene uten denne beskrivelsen, ettersom sistnevnte kun returneres til dekoderenheten (IRD) hvis sammenligningen er positiv.

I følge en variant av oppfinnelsen, vil forvaltningssenteret inkludere i forvaltningsdataene R et sertifikat som autentifiserer opphavet av forsenderen av dataene.

Denne verifikasjonsfunksjonen er ikke bare tilknyttet nedlasting av nye data i dekoderen, men tillater til enhver tid å kontrollere validiteten og autentisiteten av dataene. I dette tilfelle består operasjonen i å beregne periodisk eller på en fore-spørsel verdiene (Hx) representative for resultatet av en kollisjonsfri enveisfunksjon, utført på deler av eller alle dataene (MO til Mm) i det operasjonelle minne av dekoderen, og så sende denne informasjonen (H'x) til sikkerhetsmodulen for sammenligning med en referanseverdi (H'y).

Får å utføre denne operasjonen finnes det en første metode som består i at beregningen blir gjort av dekoderen, og at resultatet deretter blir sendt til sikkerhetsmodulen. I henhold til en variant av denne metoden blir beregningen gjort av sikkerhetsmodulen, ved at dataene (MO til Mm) blir sendt fra dekoderen til sikkerhetsmodulen (SC).

Forespørselen om å utføre disse verifikasjonsoperasjonene kan komme fra forvaltningssenteret, fra sikkerhetsmodulen, fra en testenhet, eller fra et av kommunikasjonsmidlene, eventuelt ved hver gang strømmen blir skrudd på.

Når sikkerhetsmodulen sammenligner den beregnede verdien H'x med referansen H'y, kan sistnevnte bli representert enten ved en verdi beregnet av dekoderen IRD etter konfirmasjon av dens validitet av forvaltningssenteret, eller ved en referanseverdi skaffet til veie av forvaltningssenteret.

En av måtene som personer med onde hensikter bruker for å prøve å forstå hvordan et betalings-TV-system fungerer, er å observere reaksjonene etter et forsøk på en modifikasjon. Det er grunnen til at oppfinnelsen også inkluderer en over-føringsmetode av sammenligningsresultatet på som på en forsinket måte, for eksempel når abonnenten bestemmer seg for å kjøpe et TV-program og en abonnementsmelding blir sendt til forvaltningssenteret.

Man er nødt til å inkludere i denne meldingen informasjon om at dataene M1 til Mn har blitt modifisert. Slik er det vanskelig å se sammenhengen mellom en datamodifikasjon og blokkeringen av dekoderen, som kan finne sted mye senere.

I følge en variant, blir resultatverdien av beregningen Hx sendt til forvaltningssenteret. Får å gjøre dette, og forbli diskret, er resultatet delt opp og sendt bit for bit i vanlige administrative meldinger i systemet.

Forvaltningssenteret vil rekonstruere verdien Hx bit for bit, og når verdien er komplett, fastslå om det har skjedd modifikasjoner av dataene.

Et problem man møter på ved en oppdatering av en et stort antall dekodere, er mengden av oppringinger til forvaltningssenteret for å utføre en verifikasjon.

En foreslått løsning i rammen av denne oppfinnelsen er å fordele på en pseudotilfeldig måte oppringingene til forvaltningssenteret.

En annen løsning beskrevet tidligere består i å sende referanseverdien på forhånd. På den måten kan oppdateringen finne sted uten oppringing såfremt dataene er vel mottatt, hvilket vanligvis vil være tilfelle. En oppringing vil likevel finnes sted for å bekrefte at oppdateringen var vellykket.

I en spesiell realisering av oppfinnelsen vil den betraktede helheten bestå av en sendedel, plassert i forvaltningssenteret, og en mottaksdel som kan bestå av et relativt stort antall periferenheter som er funksjonelt sammenlignbare. Målet er å garantere at programmet sendt av sendedelen har blitt mottatt på en autentisk og helhetlig måte av hver periferien het. Analogt med vokabularet i betalings-TV, som er en viktig men ikke eksklusiv anvendelse av oppfinnelsen, er disse periferi-enhetene heretter kalt IRD, det vil si Integrated Receiver Decoder, som består av et mottaksdel, en dekoder for behandling av signalet mottatt av dekoderen, en sentralprosessor eller CPU som helst jobber med et ikke-volatilt minne, samt diverse periferienheter.

Et ikke-volatilt minne er et minne hvis innhold ikke forsvinner ved strømbrudd, for eksempel ved hjelp av en autonom strømkilde som et batteri. Andre typer ikke-volatile minner kan også brukes, som minner kalt EEPROM, Flash EPROM eller FEPROM. Det er dette ikke-volatile minnet som inneholder datakopiene ved strømbrudd. Det er essensielt for at prosessoren i IRD-en skal fungere bra.

Informasjonene som blir mottatt av IRD-en kommer fra forvaltningssenteret i form av en datastrøm som ledes inn i IRD-ens mottaker. I tilfelle av kodet TV, eller mer generelt interaktivt TV, vil datastrømmen inneholde videoinformasjon, audioinfor-masjon, datainformasjon, utførbare applikasjoner slik som "applets", og til slutt datakontrollinformasjoner av ulike typer.

Det er i dette tilfelle om å gjøre å sikre seg at disse informasjonene er mottatt på en korrekt måte og behandlet av IRD-en før de blir lagret i det operasjonelle minnet, særlig dataene som er utførbare, det vil si programmet.

IRD-mottakeren sender dem til en dekoder, som selv setter dem i sirkulasjon i IRD-en ved hjelp av en buss. Til bussen er koblet en spesial prosessor for multi-media, som selv er tilkoblet til en informasjonsskjerm samt en eller flere høytalere, det nevnte ikke-volatile minnet, og en eller flere valgfrie delsystemer. Det er prosessoren i IRD-en (CPU) som administrerer og kontrollerer funksjonen til sistnevnte, samt de forskjellige delsystemene, slik som en testkanal, et smartkortgrensesnitt, et sekundært masselager, andre prosessorer, eller kanskje også et modem. I tillegg kan forvaltningssenteret få informasjoner i retur, for eksempel ved hjelp av et modem tilkoblet det offentlige

telekommunikasjonsnettet.

Disse delsystemet kan selv forårsake feil som det gjelder å detektere og korrigere, spesielt ved nedlastingen en ny versjon av IRD-ens funksjonsprogram og særlig den delen beregnet på dens CPU, eller av visse andre programmer utførbare i IRD-en eller dens komponenter.

Programmet og dataene hvis autentisitet og integritet må garanteres, kan ned-lastes på forskjellige måter. En av disse måtene er å sende en datastrøm til den nevnte mottakeren, hvor dataene er gjenkjennelige for sentralenheten, og inneholder en oppdatering av minnet i form av flere blokker data M1, M2,... Mn, hvor blokkene har overskrifter som gjør at man kan identifisere dataene M1 til Mn.

Alternativt eller i tillegg kan datablokkene komme til IRD-en via et valgfritt del-system slik som for eksempel et modem.

Datablokkene M1, M2, ...Mn kan i rammen av denne oppfinnelsen uten problemer bli sendt i klartekst, det vil si uten kryptering.

Metoden i henhold til oppfinnelsen består i å først benytte ved sendingen, en enveisfunksjon eller "hash"-funksjon på alle eller deler av datablokkene M1, M2, ...Mn for å få resultatet Hx representativt for samlingen M1 til Mn. Man kan også behandle datablokkene M1 til Mn hver for seg og få resultatet Hx1 tilsvarende M1, Hx2 tilsvarende M2 ... og Hxn tilsvarende Mn. Denne eller disse resultatene Hx er lagret i forvaltningssenteret for senere verifikasjon.

Et område som er spesielt kritisk for autentifikasjonen av dataene gjelder systemer hvor dataene blir overført på offentlige kanaler, med radiosignaler, telefon eller Internet. I dette tilfelle kan en innbryter substituere seg for forvaltningssenteret og sende data for å modifisere funksjonen av dekodersystemene.

Det er kjent at man kan legge et kryptogram til dataene når disse sendes, for på den måten autentifisere dem. Dessverre tilfredsstiller kryptogrammet kun behovet for å identifisere opphavet, men er uten effekt på en dekoder som har mistet referansekriteriet.

Effektiviteten av metoden ligger på den ene side i kvaliteten av enveisfunksjonen H, og på den annen side i sertifiseringen av denne signaturen av en sikkerhetsmodul anerkjent for å være resistent mot ulike former for angrep. Av denne grunn kan ikke en enkel sjekksum benyttes for å oppdage ombyttingen av to datablokker ettersom addisjon matematisk sett er en kommutativ og assosiativ operasjon. Resultatet av en "hash"-funksjon derimot er et sikkert bilde av x, selv om x er mye lengre en Hx. Dersom ombytting av data blir gjort i x, vil funksjonen H(x) detektere dette øyeblikkelig, og systemet vil ikke virke etter denne detekteringen. Resultatet er en øket sikkerhet.

En viktig side av oppfinnelsen er å kunne kontrollere når som helst gyldigheten av dataene lagret i en periferienhet. Tilstedeværelsen av en sikkerhetsmodul med kontrollinformasjoner gjør det mulig for dekoderen å utføre en pålitelig selv- verifikasjon. Denne verifikasjonen gir et resultat uten sammenligning med sjekksummen som vanligvis utføres på et programminne. Hvis denne verifikasjonen gir et annet resultat enn referansen, har dekoderen midler (modemlinje, kabeltil-kobling) for å informere en utenforstående enhet, for eksempel forvaltningssenteret, om ukonformiteten av programmet.

Hvis oppfinnelsens foretrukkede enhet for generering og overføring av kontrollinformasjon er forvaltningssenteret, da har oppfinnelsen en periferienhet hvis minne helt eller delvis er fylt med kontrollinformasjoner som beskrevet ovenfor. Dette kan bli gjort på produksjonsstedet eller ved initialiseringen før salget ved hjelp av prosessoren, eller ved nedlastning av disse kontrollinformasjonene av en periferienhet i en initialiseringsetappe.

Denne oppfinnelsen er illustrert med et blokkskjema av en IRD.

Denne figuren presenterer en IRD eller Integrated Receiver Decoder, som inkluderer periferidelen av enheten, på hvilken er anvendt metoden i henhold til oppfinnelsen slik utførelsen er beskrevet nedenfor. Denne IRD-en har en sentral buss DB som alle de forskjellige modulene er tilkoblet. Sentralmodulen i IRD-en består av en prosessor CPU som har til oppgave å utføre ulike databehandlinger.

En mottaker REC mottar en datastrøm som inkluderer videoinformasjoner, audioinformasjoner, data og utførbare applikasjoner via ulike kanaler som kabel, radioantenne, satellittparabol, Internet eller andre kjente teknologier. Denne mottakeren REC er koblet til et grensesnitt DC, som også er koblet til bussen DB.

På denne bussen DB er også tilkoblet:

- En multimediaprosessor MP spesialisert i behandling av video og audioinformasjoner, som den sender respektivt en visualiseringsskjerm VD og høytalere AD; - En testkanal TC, som kan være tilkoblet en tester TEST som brukes til justeringer på fabrikken og til vedlikehold; - Et ikke-volatilt minne NVM, som er uavhengig av hoved-strømforsyningen takket være sin egen strømkilde. - Et grensesnitt INT for smartkort, som fysisk kan holde et smartkort SC;

- Et ekstra minne, eventuelt også et masselager TMEM.

- Et modem MD tilkoblet det offentlige nettverket NET, basert på kjente teknologier og produkter. - Andre prosessorer OP, DP, som har ulike funksjoner bestemt av brukeren, og spesielt for behandling av data.

Det er CPU-en som kontrollerer oppdateringene av programmet, og et eksempel på dette vil bli beskrevet nedenfor. Den godkjenner dem eller forkaster dem, avhengig av resultatet av testene som utføres i henhold metoden i oppfinnelsen.

Disse versjonene av CPU-programmet i IRD-en kan ankomme IRD-en via mottakeren REC, fra testeren TEST, fra smartkortet SC, eller fra nettverket NET. Heretter vil spesielt beskrives det tilfelle hvor programmene ankommer IRD-en via mottakeren REC sammen med video og audioinformasjonene.

En samling av data som representerer en ny versjon av programmet som ankommer IRD-en, er lagret i det temporære minnet TMEM i IRD-en sammen med serviceinformasjonene, etter at autentisiteten og integriteten har blitt kontrollert. Dette gjør av forvaltningssenteret kan distribuere denne versjonen av programmet til et stort antall perifere IRD-er, og å sette dem i drift uten feil i noen IRD-en.

Når IRD-en får meldingen som inneholder dataene, blir dataene dekomponert og de forskjellige elementene lagret i det temporære minnet TMEM. IRD-en gir den samme behandlingen til datablokkene M1 til Mn som de fikk ved utsendingen, men i motsatt rekkefølge. Det er klart at dersom man mottar datablokken kryptert, vil den første operasjonen bestå å dekryptere disse dataene med en offentlige nøkkelen PuK for å få dataene over i klar form.

Den neste etappen består å utføre enveisfunksjonen H på datablokkene M1 til Mn med resultat Hy1 til Hyn. I tilfelle en feil har kommet i minneblokkene M1, M2, ...Mn i løpet av transporten av meldingen, vil denne feilen slå ut på Hy som da vil være forsjellig fra Hx i kontrollblokken, og dataene M1 til Mn kan forkastes.

Disse resultatene blir sendt til smartkortet SC som utfører autentifikasjonen. Som beskrevet ovenfor er denne operasjonen utført ved hjelp av en forbindelse med forvaltningssenteret, enten på en øyeblikkelig eller på en forsinket måte.

Som eksempler på H-funksjoner, kjenner man MD2, MD5 og SHA-1.

I henhold til en variant av oppfinnelsen har enheten som inneholder dataene ingen kommunikasjonskanaler til forvaltningssenteret. Disse dataene blir levert til minneenheten sammen med kontrollinformasjonene (R1) inkludert resultatet av en kollisjonsfri enveisfunksjon, kalt Hashfunksjon, brukt på alle eller deler av dataene (M1 til Mn). Det spesielle med disse kontrolldataene (R1) er at de inneholder resultatet av Hashfunksjonen for alle de betraktede data, og at de i tillegg er lagret i en kryptert form k2(hy). Lagringsenheten kan ikke forstå dem, og heller ikke modifisere dem.

I løpet av verifikasjonsfasen sender lagringsenheten krontrollinformasjonene til sikkerhetsmodulen i kryptert form. Sikkerhetsmodulen harde nødvendige midler for å dekryptere disse informasjonene, og særlig for å beregne Hashfunksjonsresultatet (Hy).

I tillegg, i henhold til en første variant, kan lagringsenheten utføre Hashfunksjonen på dataene M1 til Mn, beregne kontrollinformasjonen Hx og sende den til sikkerhetsmodulen for sammenligning. I retur sender sikkerhetsmodulen dataene (R2) til lagringsenheten inklusive sammenligningsresultatet.

Etterpå gjør lagringsenheten det som skal til i tilfelle dataene ikke er autentifiser-bare.

I henhold til en annen variant er beregningen av kontrollinformasjonen Hx utført av sikkerhetsmodulen, hvor sistnevnte får dataene M1 til Mn tilsendt fra lagringsenheten.

I en variant som gir den største garantien når det gjelder bruken av dataene, er det lagt til kontrolldataene (R1) en nøkkel k3 som brukes til å dekryptere dataene M1 til Mn.

Disse dataene er i utgangspunktet lagret i en kryptert form, og Hashfunksjonen blir utført på de krypterte dataene. Når verifikasjonen av integriteten av dataene er gjort av sikkerhetsmodulen og resultatet er positivt, returnerer sikkerhetsmodulen i dataene (R2) nøkkelen k3, som tillater lagringsenheten å dekryptere dataene M1 til Mn.

I henhold til en variant av metoden ovenfor returnerer sikkerhetsmodulen ikke nøkkelen k3, men lagringsenheten sender istedenfor dataene M1 til Mn i kryptert form til sikkerhetsmodulen SC får dekryptering.

På samme måte som tidligere, kan denne kontrollen bli gjort når som helst mens lagringsenheten er i aktivitet.

Kontrolldataene (R1) har en databeskriver D som sier til lagringsenheten hvordan bruke disse dataene. Denne beskriveren kan ha formen av en tabell som inneholder adressene til dataene. På den måten er det ikke mulig å bruke dataene uten denne beskriveren, og sistnevnte blir kun returnert til lagringsenheten hvis sammenligningen er positiv.

Det er også planlagt å legge til kontrolldataene (R1) et sertifikat som autentifiserer datasenderen, og dette med henblikk på å ha en logg i sikkerhetsmodulen.

Claims (26)

1. Metode for å kontrollere integriteten og autentisiteten av en samling mottatte data (M1 til Mn) i en dekoderenhet for betalings-TV, som består av en dekoder (IRD) og en sikkerhetsmodul (SC), men også av kommunikasjonsmidler (NET, REC) med et forvaltningssenter, som inkluderer følgende etapper: Beregning av en kontrollinformasjon (Hx) representativ for resultatet av en kollisjonsfri enveisfunksjon, utført på alle eller deler av dataene (M1 til Mn),karakterisert vedat den består i å: Sende kontrollinformasjonen (Hx) til sikkerhetsmodulen og kryptere denne kontrollinformasjonen (Hx) med en første nøkkel (k1), Sende til forvaltningssenteret kontrollinformasjonen k1(Hx) (Hx) kryptert, dekryptering av forvaltningssenteret den krypterte kontrollinformasjonen k1(Hx), og sammenligne den med en referanseverdi for kontrollinformasjonen (Hy), sende forvaltningsdataene (R) som inkluderer sammenligningsresultatet i kryptert form til sikkerhetsmodulen (SC), og dekryptere i sikkerhetsmodulen (SC) det krypterte resultatet av sammenligningen, og informere dekoderenheten (IRD) om validiteten av dataene (M1 til Mn).

2. Metode i henhold til patentkrav 1,karakterisert vedat forvaltningssenteret sender tilbake i forvaltningsdataene (R) referanseverdien i kryptert form k2(Hy) til sikkerhetsmodulen (SC).

3. Metode i henhold til patentkrav 1 og 2,karakterisert vedat beregningen er gjort av dekoderen (IRD), og at resultatet blir sendt til sikkerhetsmodulen (SC).

4. Metode i henhold til patentkrav 1 til 3,karakterisert vedat beregningen blir gjort av sikkerhetsmodulen (SC) ved at dataene (M1 til Mn) blir sendt fra dekoderen (IRD) til sikkerhetsmodulen (SC).

5. Metode i henhold til patentkrav 1 til 4,karakterisert vedat den består i å inkludere i forvaltningsdataene (R) en anvendelsesbeskriver (D) for dataene (M1 til Mn), å dekryptere forvaltningsdataene (R), og å sende beskriveren (D) til dekoderen hvis resultatet av sammenligningen er positivt, og å la dekoderen (IRD) behandle dataene (M1 til Mn) i henhold til direktivene som er inneholdt i beskriveren (D).

6. Metode i henhold til patentkrav 1 til 5,karakterisert vedat dataene (M1 til Mn) er kombinert med en validitetsinformasjon (CRC, CS, H) og de nevnte dataene, og at sikkerhetsmodulen (SC) sender til dekoderen informasjon om å bruke eller ikke å bruke denne validitetsinformasjonen for å kontrollere dataene (M1 til Mn).

7. Metode i henhold til patentkrav 6,karakterisert vedat denne validitetsinformasjonen er av type CRC (cyclic redundancy code), CS (sjekksum) eller Hash (kollisjonsfri enveisfunksjon).

8. Metode i henhold til patentkrav 1 til 7,karakterisert vedat den består i å inkludere i forvaltningsdataene (R) en global kontrollinformasjon (H'y) representativ for resultatet av en kollisjonsfri enveisfunksjon, utført på alle eller deler av de globale dataene (MO til Mm), og at disse dataene er like eller inneholder de mottatte dataene (M1 til Mn).

9. Metode i henhold til patentkrav 8,karakterisert vedat forvaltningsdataene (R) innerholder et sertifikat som autentifiserer senderen av dataene (M1 til Mn).

10. Metode i henhold til patentkrav 8,karakterisert vedat den består i å beregne periodisk eller på oppfordring verdiene (H'x) representative for resultatet av en kollisjonsfri enveisfunksjon utført på alle eller deler av de globale dataene (MO til Mm), og at sikkerhetsmodulen (SC) sammenligner dette resultatet (H'x) med referanseverdien (H'y)-

11. Metode i henhold til patentkrav 10,karakterisert vedat beregningen utføres av dekoderen (IRD), og at resultatet av beregningen (H'x) sendes til sikkerhetsmodulen (SC).

12. Metode i henhold til patentkrav 10,karakterisert vedat beregningen utføres av sikkerhetsmodulen (SC), og at dataene (MO til Mm) blir sendt fra dekoderen (IRD) til sikkerhetsmodulen (SC).

13. Metode i henhold til patentkrav 10 til 12,karakterisert vedat den perio-diske beregningen utføres på oppfordring av forvaltningssenteret, av sikkerhetsmodulen, av testenheten (TEST), eller av en av kommunikasjonsmidlene (NET, REC).

14. Metode i henhold til patentkrav 10 til 13,karakterisert vedat sammenligningsresultatet blir sendt i en vanlig abonnementsmelding i systemet.

15. Metode i henhold til patentkrav 10 til 13,karakterisert vedat den beregnede verdien (H'x) blir sendt til forvaltningssenteret inne i vanlige abonne-mentsmeldinger i systemet, og at hver melding kun inneholder en del av den beregnede verdien (H'x).

16. Metode i henhold til en av de forrige patentkrav,karakterisert vedat sendingen fra forvaltningssenteret blir gjort på en forsinket måte, i henhold til en pseudotilfeldig timeplan innenfor gitte tidsbegrensninger.

17. Metode får å kontrollere integriteten og autentisiteten av en helhetlig mengde av lagrede data (M1 til Mn) i en lagringsenhet for data tilkoblet en sikkerhetsenhet (SC), og som inkluderer følgende etapper: sende fra lagringsenheten til sikkerhetsmodulen (SC) kontrolldataene (R1) som inneholder en kryptert referanseinforma-sjon k1(Hy) som er representativ for resultatet av en kollisjonsfri enveisfunksjon, som har vært utført på forhånd på alle eller deler av dataene (M1 til Mn), beregne en kontrollinformasjon (Hx) representativ for resultatet av en kollisjonsfri enveisfunksjon, utført på alle eller deler av dataene (M1 til Mn), og sammenligne den beregnede verdien (Hx) med den av sikkerhetsmodulen (SC) dekrypterte referanseverdi (Hy), og overføre forvaltningsdataene (R2) inklusive resultatet av sammenligningen til lagringsenheten.

18. Metode i henhold til patentkrav 17,karakterisert vedat beregningen blir utført av lagringsenheten, og at resultatet av beregningen (Hx) blir sendt til sikkerhetsmodulen (SC).

19. Metode i henhold til patentkrav 17,karakterisert vedat beregningen blir gjort av sikkerhetsmodulen (SC), og at dataene (M1 til Mn) blir sendt fra lagringsenheten til sikkerhetsmodulen (SC).

20. Metode i henhold til patentkrav 17 til 19,karakterisert vedat den inkluderer i kontrolldataene (R1) en anvendelsesbeskriver (D) for dataene (M1 til Mn), og hvis resultatet av sammenligningen er positiv, at den returnerer til lagringsenheten beskriveren (D) i dekryptert form, og at lagringsenheten behandler dataene (M1 til Mn) i henhold til direktivene inneholdt i beskriveren (D).

21. Metode i henhold til patentkrav 20,karakterisert vedat kontrolldataene (R1) inkluderer et sertifikat som autentifiserer senderen av dataene (M1 til Mn).

22. Metode i henhold til en av patentkravene 17 til 21,karakterisert vedat det beregnes periodisk eller på oppfordring verdiene (Hx) representative for resultatet av en kollisjonsfri enveisfunksjon utført på alle eller deler av dataene (M1 til Mn), og at sikkerhetsmodulen (SC) sammenligner dette resultatet (Hx) med en referanseverdi (Hy).

23. Metode i henhold til en patentkrav 17 til 22,karakterisert vedat den består i å: - lagre dataene (M1 til Mn) i en kryptert form, - sende til sikkerhetsmodulen (SC) i kontrolldataene (R1) en nøkkel (k3) for dekryptering av dataene (M1 til Mn), og - dekryptere dataene (M1 til Mn) med hjelp av nøkkelen (k3) hvis resultatet av sammenligningen Hx=Hy er positiv.

24. Metode i henhold til patentkrav 23,karakterisert vedat dekrypterings-operasjonen av dataene (M1 til Mn) blir utført av lagringsenheten, og at dekrypteringsnøkkelen (k3) blir skaffet til veie av sikkerhetsmodulen (SC).

25. Metode i henhold til patentkrav 23,karakterisert vedat dekrypterings-operasjonen av dataene (M1 til Mn) blir utført av sikkerhetsmodulen (SC), ved at dataene (M1 til Mn) blir overført fra lagringsenheten til sikkerhetsmodulen (SC).

26. Metode i henhold til patentkravene 17 til 25,karakterisert vedat den består i å inkludere i kontrolldataene (R1) en anvendelsesbeskriver (D) for dataene (M1 til Mn), å dekryptere forvaltningsdataene (R1) og å sende beskriveren (D) til lagringsenheten hvis resultatet av sammenligningen er positiv, og at lagringsenheten behandler dataene (M1 til Mn) i henhold til direktivene inneholdt i beskriveren (D).