PL168163B1

PL168163B1 - Sposób kontroli dostepu i/lub identyfikacji PL PL

Info

Publication number: PL168163B1
Application number: PL92300102A
Authority: PL
Inventors: David Naccache
Original assignee: Thomson Multimedia Sa
Priority date: 1991-01-18
Filing date: 1992-01-11
Publication date: 1996-01-31
Also published as: AU1157992A; AU650321B2; EP0567474B1; WO1992013321A1; HK135597A; CA2100576A1; DE69206126T2; US5452357A; JPH06504626A; EP0567474A1; DE69206126D1; EP0496459A1; JP3145116B2

Abstract

nienia przynajmniej jednego uzytkownika U, zwlaszcza karty inteligentnej, w urzadzeniu wladzy uprawnionej oblicza sie dane symbolu identyfikacji ID charakterysty- czne dla kazdego uzytkownika U lub grupy uzytkowni- ków U i doprowadza sie do uzytkownika U w ukrytych danych zaleznych od danych symbolu identyfikacji ID i obliczonego mod n, w którym dla weryfikacji tozsamosci uzytkowników U zmienia sie przynajmniej czesc wspo- mnianych ukrytych danych za pomoca weryfikatora V, korzystnie czytnika kart inteligentnych, przy czym sprawdza sie poprawnosc danych zmienionych na pod- stawie mod n, przy czym n jest iloczynem przynajmniej dwóch liczb pierwszych, znamienny tym, ze dla upraw- nienia, w poczatkowym nastawieniu uzytkowników, w urzadzeniu wladzy uprawnionej (63) poddaje sie kombi- nacji dane symbolu identyfikacji ID z wartosciami klucza ogólnego dostepu PKj oraz bajtem c, a w wyniku uzy- skuje sie liczbe uniwersalna G majaca d-ty pierwiastek g mod n, zgodnie z zaleznoscia G = g mod n, przy czym kazdy klucz ogólnego dostepu PKj ma e -pierwiastków mod n, oznaczonych jako SKj - 1 , nastepnie przynajmniej g i n zapisuje sie w pamieci (25) karty inteligentnej (182), i/lub na odwracalnym nosniku (64) urzadzenia uzyt- kownika U, po czym dla weryfikacji wysyla sie przynaj- mniej g z urzadzenia uzytkownika U do weryfikatora V, w którego mikroprocesorze (34) oblicza sie liczbe uni- wersalna G z zaleznosci G = g2 mod n i oddziela sie z G dane symbolu identyfikacji ID oraz wartosci klucza dostepu PKj, wybiera sie losowa . . . . Fig. 1 PL PL

Description

Przedmiotem wynalazku jest sposób kontroli dostępu i/lub identyfikacji, który nie wymaga katalogu z kluczem dowolnego użytkownika.

W wielu systemach przekazywania informacji stosuje się utajnianie przesyłanych wiadomości przez ich szyfrowanie w taki sposób, aby były one dostępne jedynie dla użytkowników spełniających pewne określone warunki, na przykład wnoszenie opłat. Szyfrowane są przy tym bądź poszczególne elementy przesyłanego sygnału, bądź też cały sygnał, w sposób pseudoprzepadkowy.

Systemy tego rodzaju wymagają niepodrabialnego sposobu kontroli dostępu lub sygnatury cyfrowej, dla wielu zastosowań, na przykład do kart inteligentnych dla celów płatnej telewizji, kart kredytowych, paszportów, układów zakodowanych, rozkazów wojskowych i układów sterowania. Takie systemy kontroli dostępu mogą obejmować klucze dowolnego użytkownika. Ale w wielu systemach identyfikacji klucza dowolnego użytkownika i kontroli dostępu, zarządzanie według klucza staje się bardzo skomplikowane, gdy wzrasta liczba użytkowników. Do typowych problemów z tym związanych można zaliczyć na przykład rozmiar pamięci wykazu publicznego. Ponadto, wzajemne oddziaływanie z tym katalogiem jest zawsze potrzebne, gdy tylko użytkownicy chcą się z nim komunikować. Oznacza to problemy dostępu jednoczesnego, jeśli katalog nie jest zdublowany. Problemem jest również czarna lista nieważnych lub starych kluczy. Wprowadzenie nowego użytkownika wiąże się z koniecznością rozesłania uaktualnionego wykazu wszystkich użytkowników. Ponadto, występuje ryzyko podrobienia katalogu ogólnego dostępu, przy którym występuje wzajemna wymiana kluczy ogólnego dostępu pomiędzy użytkownikiem ofiarą i oszukującym. Jednostki mogą próbować skopiować, odtworzyć lub podrobić urządzenia identyfikacji klucza, tak zwanych identyfikatorów, ponieważ identyfikują one jednostkę wprowadzającą.

168 163

Znane rozwiązanie problemu zakodowanej identyfikacji i potwierdzenia, przedstawiono w opisach patentowych EP 0252499 i EP 0325238. Przedstawiony sposób wykorzystuje zaufaną władzę uprawnioną, która wydaje identyfikatory spełniającym warunki użytkownikom. Żadne dalsze oddziaływanie jakiegoś ośrodka nie jest wymagane, ani do wytworzenia, ani do weryfikacji tożsamości i potwierdzeń. Nieograniczona liczba użytkowników może być włączona do tego systemu bez statystycznego naruszenia jego bezpieczeństwa. Współdziałanie z identyfikatorami nie pozwala na fałszowanie, czyli nielegalne wytwarzanie identyfikatorów. Nie są potrzebne żadne katalogi użytkowników lub potwierdzających.

Ten znany sposób, który sprawdza się w praktyce, ma jednak pewne braki teoretyczne, które naruszają jego bezpieczeństwo. Protokół, to znaczy schemat przepływu, przedstawiony w opisie patentowym EP 0252499, w którym

U oznacza użytkownika, na przykład karty inteligentnej.

V oznacza weryfikatora, k oznacza liczbę całkowitą, na przykład w zakresie [1, 18], r oznacza losową liczbę całkowitą w zakresie [0, n], (ei e2 e3...ek) oznacza wektor binarny, pracuje w sposób następujący. Władza uprawniona wybiera pseudolosową funkcję f i moduł n = pq, gdzie p i q są nie ujawnionymi liczbami pierwszymi, znanymi tylko władzy uprawnionej. Funkcja A = B n jest równoważna z zależnością mod (A,n) = mod (B, n).

Aby dokonać identyfikacji, władza uprawniona na początku przygotowuje ciąg znaków identyfikacji ID zawierający informacje, które są charakterystyczne dla użytkownika U, następnie liczby zbiór wartości v, = f(ID, j,) dla małych wartości j,, a spośród v,, wybiera k wartości, które są resztami kwadratowymi mod n i oblicza wartości Sj, takie, że s,,²*Vj, = 1 mod n, a następnie wydaje identyfikator zawierający symbol identyfikacji ID, ji, je,..., jk, S,, S2,..., s,k oraz n.

Protokół weryfikacji tożsamości u weryfikatora V przebiega wówczas następująco: Użytkownik U wysyła symbol identyfikacji ID oraz wartości ji, j2,..., jk do weryfikatora V, a weryfikator V wytwarza wartości v,, przez obliczenie v, = f(ID, ji) dla i= 1, 2,..., k. Następnie użytkownik U wybiera losowo liczbę r i wysyła r2 mod n do weryfikatoraV. Następnie, weryfikator V wybiera wektor binarny (eie2e3...ek) i wysyła go do użytkownika U, który mnoży liczbę r przez każdą z wartości s,,, gdzie bit e, = 1 i każdy wynik y do weryfikatora V. Jest to wyrażone przez zależność y = r π s, mod n. e, = 1

Na przykład, jeśli wektorem binarnym jest 1100100000, wówczas tylko Sj,, Sj2 i s,5 wpfywają na y = r*Si,*s,2*s,5 mod n. Następnie, weryfikator V sprawdza czy spełniona jest zależność r2 = y π v, mod n. ei = 1

Mogą być jednak przeprowadzone różne ingerencje, które naruszają ten protokół. Na przykład, w pierwszym rodzaju ingerencji, jeśli ingerujący odkryje tylko jedno S, (powiedzmy s_JC), to wówczas cały system staje się nie zabezpieczony przed ingerencją, jak przedstawiono za pomocą następującegp schematu, gdzie użytkownik U kolejno fałszywie się przedstawia. Na początku użytkownik U wysyła do weryfikatora V symbol identyfikacji ID i wartości jc, jc,... je- Weryfikator V wytwarza k razy tę samą wartość Vjc, ponieważ wszystkie wartości j, są identyczne. Wówczas użytkownik U wybiera losowo liczbę r i wysyła r2 mod n do weryfikatora V, który z kolei wybiera wektor binarny (ei ej e3...ek) i wysyła go do użytkownika U. Następnie, użytkownik U wysyła do weryfikatora V y = r π sc= rsjc ^<Σθ1 mod n. e,= 1

Weryfikator V sprawdza następnie, czy spełniona jest zależność r2 = yj π v,, mod n.

e = 1

168 163

Drugi rodzaj ingerencji jest łatwiejszy do przeprowadzenia od pierwszego, ponieważ matematycznie łatwiej jest obliczyć odwrotność jednej z wartości v,, (powiedzmy vjc_¹) od odwrotności pierwiastka sjc. Jeśli taka wartość jest znana, wówczas istnieje prawdopodobieństwo 0,5 złamania znanego systemu identyfikacji. Na początku użytkownik U wysyła symbol identyfikacji ID i wartości jc, j,.··, jc do weryfikatora V, który wytwarza k razy tę samą wartość vjc, ponieważ wszystkiej, są identyczne. Następnie, użytkownik U wybiera losowo liczbę r i wysyła r² mod n do weryfikatora V, który wybiera wektor binarny (ei e2 e3...ek) i wysyła go do użytkownika U. Użytkownik U wysyła z kolei do weryfikatora V y = r (vjc~i)^{,nt (Se}i/2’mod n, a weryfikator V sprawdza czy spełniona jest zależność

2 r = y π v,, mod n. e,= 1

Sprawdzenie to będzie zgodne z prawdą, jeśli Ee, jest parzyste.

Jeśli weryfikator w systemie płatnej telewizji jest ogólnie dostępny i osiągalny w każdej żądanej ilości, to jest ingerujący, który wykorzystuje jednocześnie czterech weryfikatorów, otrzyma na przykład program telewizyjny rozszyfrowany aż do 94%, przy pomocy przedstawionego drugiego rodzaju ingerencji. Jeśli zostaną dodani czterej dodatkowi weryfikatorzy, to wartość ta zostanie sprowadzona do 99,6%, co daje już zupełnie dobrą jakość obrazu.

Fałszowanie sygnatury jest ingerencją najbardziej niebezpieczną, ponieważ daje możliwość każdemu weryfikatorowi na dopuszczenie do podrobienia sygnatury tylko na podstawie danych ogólnie dostępnych w sposób następujący: Użytkownik U wysyła symbol identyfikacji ID i wartości jc, jc do weryfikatora V, który wytwarza k razy tę samą wartość v,c, ponieważ wszystkiej, są identyczne. Następnie użytkownik U wykonuje następujący algorytm:

DO {

r = losowo () (ei e2...ek) = f (r2 mod n, m) a = E e, }

WHILE (α jest nieparzyste) .

y = r*(v,c-i)^'2

Prawdopodobieństwo nie wykrycia takiej liczby r maleje wykładniczo według prawa 2-^z. Zwykle prawdopodobieństwo znalezienia prawidłowej liczby r przed x = 7 jest około 99%, gdzie x jest liczbą iteracji w pętli WHILE.

Użytkownik U wysyła y razem z (ei e2...ek) do weryfikatora, który kolejno porównuje f (y² π v,,, m) i (ei e2 e3...ek) . Słabość tkwi w fakcie . że wartoćci v, są uważane jako k wartości trzymanych w tajemnicy i dlatego podrobienie części z nich (tu 1/18, k = 18) kompromituje bezpieczeństwo tego układu.

Sposób według wynalazku stosuje się do kontroli dostępu i/lub identyfikacji, zwłaszcza w systemie płatnej telewizji. Dla uprawnienia przynajmniej jednego użytkownika U, zwłaszcza karty inteligentnej, w urządzeniu władzy uprawnionej oblicza się dane symbolu identyfikacji ID charakterystyczne dla każdego użytkownika U lub grupy użytkowników U i doprowadza się do użytkownika U w ukrytych danych zależnych od danych symbolu identyfikacji ID i obliczonego mod n. Dla weryfikacji tożsamości użytkowników U, zmienia się przynajmniej część wspomnianych ukrytych danych za pomocą weryf katora V, korzystnie czytnika kart inteligentnych, przy czym sprawdza się poprawność danych zmienionych na podstawie mod n, w którym n jest iloczynem przynajmniej dwóch liczb pierwszych.

Sposób charakteryzuje się tym, że dla uprawnienia, w początkowym nastawieniu użytkowników, w urządzeniu władzy uprawnionej poddaje się kombinacji dane symbolu identyfikacji ID z wartościami klucza ogólnego dostępu PKj oraz bajtem c. W wyniku, uzyskuje się liczbę uniwersalną G mającą d-ty pierwiastek g mod n, zgodnie z zależnością G = g^d mod n, przy czym każdy klucz ogólnego dostępu PKj ma ε-pierwiastków mod n, oznaczonych jako SKj”i. Następnie przynajmniej g i n zapisuje się w pamięci karty inteligentnej, i/lub na odwracalnym nośniku urządzenia użytkownika U. Dla weryfikacji, wysyła się przynajmniej g z urządzenia użytkownika U

168 163 do weryfikatora V, w którego mikroprocesorze oblicza się liczbę uniwersalną G z zależności G = g mod n i oddziela się z G dane symbolu identyfikacji ID oraz wartości klucza dostępu PKj. Następnie wybiera się losową liczbę 6 w zakresie (yn + 1,n/2) w urządzeniu użytkownika U, w którego mikroprocesorze oblicza się wartość E = δ^Σ mod n i wysyła się tę wartość E do urządzenia weryfikatora V, w którym wybiera się losowy wektor binarny v = (v1 V2...Vk) i wysyła się ten wektor v do urządzenia użytkownika U, w którego mikroprocesorze oblicza się wartość z zgodnie z zależnością z = δ {a nSK, + b nSK¹,} mod n v, = 1 v, = 1 i wysyła się tę wartość z do urządzenia weryfikatora V, w którego mikroprocesorze sprawdza się czy spełnione jest równanie

E{b nSK’², + a}^x= ζ^Σ nPK, mod n, v, = 1 v, = 1 przy czym, ε = 2 lub ε = 3, a i b są stałymi, korzystnie a = b = 1.

W korzystnym rozwiązaniu przyjmuje się ε>2, a w urządzeniu weryfikatora V odbiera się dodatkowo wartości SKj^-2, które korzystnie przesyła się przez urządzenie użytkownika U, w którym te wartości rejestruje się. Bajt c pomija się, a kombinację symbolu identyfikacji ID z wartościami klucza ogólnego dostępu PK poddaje się permutacji, aż liczba uniwersalna G jest d-tą potęgą mod n. Korzystnie, przyjmuje się wartość d = 2 lub d = 3. Dla tworzenia G, ID i PK i/lub c poddaje się kombinacji do postaci ID&PK&c, gdzie & jest operatorem konkatenacji, w urządzeniu władzy uprawnionej. Symbol identyfikacji ID jest korzystnie stałą.

W odmiennym korzystnym rozwiązaniu potęgowanie g zastępuje się przez obliczanie wielomianowe, przy czym władza uprawniona wykorzystuje sekwencję ogólnie dostępnych liczb fii i oblicza się g zgodnie z zależnością (IDu&PKu&c) = Eg‘Q, i

Wartości a i b są algebraicznymi lub elektronicznymi funkcjami. Liczba bitów liczby n mieści się w zakresie 450 do 570.

U użytkownika U i weryfikatora V wytwarza się wartość Ω, korzystnie z losowego wektora binarnego v i/lub liczby losowej δ i/lub z danych i/lub liczb wynikających z uprzednio dokonanych obliczeń, a ponadto w mikroprocesorze urządzenia użytkownika U oblicza się wartość z zgodnie z zależnością z = δ {a (Ω) nSK, + b (Ω) nSK^,} mod n v, = 1 V, = 1 i wysyła się tę wartość z do weryfikatora V, w którego mikroprocesorze sprawdza się czy spełnione jest równanie

E {b (Ω) nSK-2, + a (Ω)}^ς = z¹ nPK, mod n. v, = 1 v, = 1

W sposobie według wynalazku stosuje się korzystnie zbiór przynajmniej k= 18 wartości kluczy ogólnego dostępu PK,.

Kroki wybierania δ, obliczania i wysyłania E, wybierania i wysyłania v, obliczania i wysyłania z oraz sprawdzania w urządzeniu weryfikatora V powtarza się t razy z różnymi losowymi wektorami binarnymi v i/lub losowymi liczbami δ, przy czym t>1. Korzystnie przyjmuje się wartość przynajmniej t = 4. Wartość iloczynu (k*t) mieści się w zakresie 64 do 80.

Kroki wybierania δ, obliczania i wysyłania E, wybierania i wysyłania v, obliczania i wysyłania z oraz sprawdzania w urządzeniu weryfikatora V przeprowadza się przy stosowaniu dwójkowych lub trójkowych sygnałów logicznych.

W rozwiązaniu według wynalazku wykorzystuje się fakt, że trudno jest obliczyć pierwiastki kwadratowe mod n gdy nie jest znany rozkład na czynniki n. Wynalazek jest oparty na równoważności:

168 163 χ2 {r (x + x^_1)}2 = γ·2 {1+χ2}2 mod n, (1) która jest obliczona i porównana przy użyciu urządzenia użytkownika i urządzenia weryfikatora. Równanie to jest bardzo trudne do rozwiązaniai do podrobienia przez użytkownika nieuprawnionego, korzystającego tylko z ogólnie dostępnych i przesyłanych danych.

Korzystnie, równanie (1) może być uogólnione do postaci:

χ2{ (ax + bx^_1)}^x = r* {b + ax2}*mod n, (2) aby zwiększyć ochronę i wprowadzić więcej szumów do przesyłanych danych.

Algorytm, który wymaga katalogu ogólnego dostępu nazwany algorytmem głównym lub protokołem głównym, wykorzystuje moduł n, który jest iloczynem co najmniej dwóch dużych liczb pierwszych. Znany katalog z kluczem dowolnego użytkownika jest zastąpiony przez charakterystyczną transmisję pomiędzy uprawnionym lub wysyłającym S i odbierającym R, który daje po właściwym przetworzeniu zarówno informacje tożsamości dla odbierającego R jak i klucze dowolnego użytkownika. Sposób ten nazwany został wirtualnym katalogiem z kluczem dostępu dowolnego użytkownika (Virtual Public Key Directory), w skrócie katalogiem VPKD. Korzystnie, katalog VPKD może być unormowany i wprowadzony do każdego protokołu zabezpieczenia wymagającego modułu ogólnego dostępu. Nowi użytkownicy mogą przyłączyć się do tego systemu bez informowania innych użytkowników i weryfikatorów, bez narażenia na szwank bezpieczeństwa tego systemu, ani jego sprawności. Jedynie władza uprawniona musi znać mnożnik n i zapewnić charakterystyczną transmisję. Zwykle katalog VPKD jest poprzedzony protokołem głównym. W rzeczywistości może być to rozumiane jako wstępna łączność zabezpieczenia, która daje wysyłającemu S dane publiczne potwierdzone przez uprawnioną władzę.

Aby zarejestrować nowego użytkownika U, władza uprawniona oblicza klucz danego użytkownika PKu w taki sposób, że PKu<n. Ograniczenie to może być usunięte, jeśli PKu jest podzielone na przedziały czasowe o właściwym rozmiarze, jak w znanych systemach szyfrowych opartych na funkcji modulo. Następnie, władza uprawniona przygotowuje ciąg znaków identyfikacji IDu, który jest charakterystyczny dla konkretnego użytkownika U lub dla danej grupy użytkowników i zawiera na przykład nazwisko, adres, numer karty kredytowej, datę ważności. Pamięć mieści w sobie wartości n. Następnie łączy się IDu i PKu z prawidłowo wybranym bajtem c tak, że IDu&PKu&c ma d-ty pierwiastek modulo n (& stanowi operator łączenia). Pierwiastek ten oznaczony przez gu · gu jest określony przez zależność Gu = g^du mod n, gdzie Gu = ODu&PKu&c. Przy tworzeniu gu, symbol identyfikacji ID oraz liczba n są zarejestrowane na odwracalnym nośniku. Gdy uprawniony S współpracuje z użytkownikiem U, to wysyła on gu do użytkownika U, który liczy Gu poprzez podniesienie gu do potęgi d, następnie rozdzielone zostają symbol identyfikacji ID i klucz danego użytkownika PKu i wykorzystane przez protokół główny. W typowej implementacji mogą być wybrane wartości d = 2 lub d = 3.

Sposób według wynalazku może być uogólniony różnymi metodami. Po pierwsze, rząd ID, PK oraz c w zależności G może być permutowany. Normalizacja okaże się w rzeczywistości dobra, ponieważ katalog VPKD może być wykorzystany przez wszystkie algorytmy oparte na funkcji modulo, wymagające przesyłania klucza dowolnego użytkownika. Po drugie, zamiast prostego łączenia, mogą być użyte ogólnie dostępne lub tajne odwracalne działania dla mieszania i rozdzielenia ID, PK i c, na przykład kompresja danych, permutowanie lub nawet powtarzający się grupowy katalog VPKD.

W schematach wymagających k różnych wartości klucza ogólnego dostępu PKu1, PKu2, PKus,..·, PKuk (dla każdego użytkownika), które mogą być permutowane bez narażenia na szwank funkcjonalności tego schematu (odnośnie znanych systemów identyfikacji gdzie wszystkie v, odgrywają tę samą rolę pod warunkiem, że dla każdego s,2v, = 1 mod n), można nawet uniknąć użycia bitu c, za pomocą permutacji:

IDu&PKu!&PKu2&PKu3&...&PKuk = Gu,1j

IDu&PKu2&PKui&PKu3&...&PK_uk ⁼ Gu,2;

IDu&PKuk&.-.&PKus&PKun—Gu,k ;

168 163 aż zostanie znalezione Gu.^, które jest d-etą potęgą mod n. Prawdopodobieństwo znalezienia nieprawidłowego Gu.Jijest tylko (3/4)¹⁸ <10^<_Μ|, ex= 10¹⁴.

Sumy kontrolne, losowe funkcje jednej metody, cykliczna kontrola nadmiarowości CRC oraz inne metody matematyczne mogą być zawarte w funkcji G, na przykład f(ID, PK), gdzie f odwzorowuje długie ciągi do kilku bajtów, lub w systemach, gdzie grupa (lub wszyscy użytkownicy) ma taki symbol identyfikacji ID, lub nie ma wcale żadnego ID. Wówczas symbol identyfikacji ID może być wyeliminowany, lub zastąpiony przez stałą. Jest to interesująca perspektywa w systemach płatnej telewizji, w których często jest pożądane adresowanie grup abonentów. ID i/lub PK mogą być przesłane w sposób zwykły lub zaszyfrowany wraz z odpowiadającym g, aby zwiększyć bezpieczeństwo. Proste podniesienie do potęgi g może być również zastąpione przez obliczenie wielomianowe. Dla wykonania tego, władza uprawniona wydaje sekwencje liczb Ω-ι i oblicza gu w taki sposób, że IDu&PKu&c = E,guOi.

Prostota, bezpieczeństwo i szybkość tego sposobu wywodzi się z technik mikroprocesorowych, które mogą być wprowadzone w kartach inteligentnych, komputerach osobistych, układach zakodowanych, paszportach i innych zdalnych systemach, na przykład dla celów płatnej telewizji.

Rozwiązanie według wynalazku zostanie objaśnione w przykładach na rysunku, na którym fig. 1 przedstawia system płatnej telewizji z zespołem szyfrowania przez mieszanie sygnałów i zespołem utajniania, fig. 2 - strukturę sprzętu i oprogramowania identyfikatora użytkownika U karty inteligentnej, fig.3 - strukturę sprzętu i oprogramowania weryfikatora V, fig.4 - protokół poświadczający pomiędzy przetwierdzającym (karta inteligentna) i weryfikatorem (urządzenie kontroli tożsamości), nie zawierający żadnych tajemnic, fig. 5 - chronologiczny rozwój wymiany wiadomości przetrzymywanych u R i S w komunikacji związanej ze wstępnym protokołem katalogu VPKD i algorytmem kontroli dostępu, fig. 6 - schemat blokowy urządzenia przetwarzania wstępnego protokołu katalogu VPKD, fig. 7 -wstępny protokół katalogu VPKD i protokół główny, a fig. 8 przedstawia chronologiczny rozwój wymiany wiadomości przetrzymywanych u odbierającego R i wysyłającego S w komunikacji związanej ze wstępnym protokołem katalogu VPKD i algorytmem identyfikacji. - '

Nadajniki satelitarne wykorzystują obecnie system dostępu warunkowego dla zapewnienia, że programy telewizyjne są dostępne tylko dla widzów, którzy wypełnili pewne warunki, takie jak opłata. Taki system płatnej telewizji może być rozpatrywany jako składający się z dwóch części, a więc system szyfrowania przez mieszanie sygnałów, który przetwarza sygnał wizyjny na przykład za pomocą cięcia linii i przestawienia jej segmentów, tak że odbierany obraz nie może być rozpoznany przez widza nie uprawnionego oraz systemu utajnienia, który przetwarza sygnały kluczowe (hasłowe), potrzebne do deszyfrowania sygnału wizyjnego.

Na figurze 1 przedstawiono znany system płatnej telewizji, to jest system Videocrypt. Dochodzący studyjny sygnał wizyjny 10 jest szyfrowany w mieszaczu wizyjnym 122, który jest sterowany za pomocą zespołu wprowadzania danych 121. Ten zespół wprowadzania danych 121 odbiera dane kontroli dostępu z komputera szyfrowania 11 i wprowadza je w okresie pionowego wygaszania sygnału wizyjnego, co pozwala na deszyfrowanie sygnału wizyjnego przez uprawniony dekoder. Zmodulowany sygnał wyjściowy RF 13 po stronie nadajnika, jest sygnałem wejściowym 14 po stronie odbiornika. Sygnał wejściowy 14 zostaje zdemodulowany w tunerze 15 i doprowadzony do zespołu wydzielania danych 16 oraz do deszyfratora wizyjnego 17. Wyjściowe dane kontroli dostępu z układu wydzielania danych są przeliczone w zespole weryfikatora 181, jeśli wprowadzona jest karta inteligentna 182. Sygnał wyjściowy zespołu weryfikatora 181 steruje deszyfrator wizyjny 17. Linie sygnału wizyjnego, które zostały zaszyfrowane przez zmieszanie, składają się z pierwszego i drugiego segmentu. Te dwa segmenty są oddzielone za pomocą punktu cięcia cp. Osiągalnych jest korzystnie 256 różnych punktów cięcia w obrębie każdej linii. Cała linia może składać się z 958 próbek zdyskretyzowanych sygnałów luminancji i chrominancji. Punkt cięcia jest określony w każdej linii za pomocą pseudo losowej sekwencji binarnej PRBS. Te dwa segmenty linii zostają następnie przedstawione w obrębie linii, to znaczy zmieniają one swoje położenie w obrębie tej linii. Stosowane położenie punktu cięcia cp zmienia się odpowiednio w liniach każdego obrazu telewizyjnego. Odtworzenie początkowych położeń tych dwóch segmentów jest zadaniem systemu deszyfrowywania w odbiorniku. Dane utajnione, niezbędne do wykonania tej pracy, mogą być wprowadzone w okresie wygaszania pionowego. Aby deszyfrować sygnał telewizyjny, dekodery

168 163 zawierają taki sam generator pseudo losowej sekwencji binarnej PRBS w zespole weryfikatora 181, jak i nadajnik w komputerze utajniania 11. Oba generatory są inicjowane tą samą binarną sekwencją sterującą, na przykład słowem sterującym. Słowo sterujące jest zmieniane co kilka sekund i przesyłane w utajnionej postaci, równocześnie do wszystkich dekoderów.

Generator pseudo losowej sekwencji binarnej PRBS może wyprowadzać dwa słowa 8 bitowe. Słowa te mogą zaznaczać punkty cięcia cp odpowiednio w liniach luminancji i chrominancji, jak następuje:

Bajt Punkt cięcia jest przy próbce

224 cp 224 + 2cp

255 734

Przed wydaniem identyfikatorów, uprawniona władza wybiera i ogólnie udostępnia moduły n i potęgę ε (zwykle ε = 2), znane wszystkim tym, którzy będą musieli sprawdzać tożsamość lub sygnaturę. Następnie, uprawniona władza wytwarza dla wszystkich upoważnionych członków katalogu VPKD, obejmujące k małych, zwykle pomiędzy 1 a 5 bajtami, wartości klucza ogólnego dostępu PK,, tak że każdy klucz dostępu PKj, ma ε-pierwiastków mod n, oznaczonych SK,”! przy których PK, nie jest pełnym kwadratem liczby N. Jeśli jest to możliwe, muszą być wybrane wartości pierwsze PK. We wdrożeniach systemu, gdzie ε42, musi być także zapewniony sposób zakomunikowania SKj-j do weryfikatora V (VPKD, katalog z kluczem ogólnego dostępu). Gdy jest to wykonane, władza uprawniona rejestruje na nośniku odwracalnym symbol identyfikujący użytkownika U, obejmujący g, n, e i poszczególne wartości SK,.

Zazwyczaj, dla wdrożenia systemu proponuje się następujące wartości:

- dwadzieścia wartości PK, każda 2 bajtowa;

- 128-bitowy symbol identyfikacji ID i 8-bajtową sumę kontrolną na ID&PK1&PK2&... ...&PK20;

- | n | = 512 bitów.

Dodatkowo można dodać do identyfikatora parę funkcji algebraicznych lub elektronicznych a i b, jak wskazano w równaniu (2). Ale jeśli tak uczyniono, to a i b muszą być znane weryfikatorom. Korzystnie, w zwykłych małych wdrożeniach systemu, na przykład w przypadku karty inteligentnej, zarówno a jak i b są stałymi o wartości 1, ale w systemach bardziej rozbudowanych, na przykład w układach zakodowanych, a i b mogą być dowolną parą funkcji.

Typowe zastosowanie sposobu kontroli dostępu jest przedstawione na fig. 2 i fig. 3. Karta inteligentna 20, a więc identyfikator użytkownika U, jest połączona swoim sprzęgiem WE/WY 21 ze sprzęgiem WE/WY 31 zespołu weryfikatora 30. Karta inteligentna 20 zawiera mikroprocesor 24 i pamięć 25, korzystnie pamięć stałą ROM. Pamięć ta może mieścić w sobie wartości g, n SK, i program sterowania mikroprocesorem 24. Zespół weryfikatora 30 również zawiera mikroprocesor 34 i pamięć 35, na przykład ROM. Pamięć ta mieści w sobie wartość n i program sterowania mikroprocesorem 34.

Podczas współdziałania identyfikowanego użytkownika z weryfikatorem, przeprowadzone są następujące etapy:

W pierwszym etapie użytkownik U wysyła g do weryfikatora V i SK© SK2©..,SK© jeśli ε#2 oraz jeśli danych tych nie przesłano, lub nie są znane weryfikatorowi V z innych źródeł. W drugim etapie weryfikator V oblicza g2 mod n i znajduje G = ID&PKi&PK2&...&PKk.

Następnie, weryfikator oddziela wartości ID i PK znalezione w g2 mod n.

W trzecim etapie użytkownik U wskazuje losowo δ w zakresie [vn + 1, n/2), oblicza E = δ mod n i wysyła E do weryfikatora V.

W czwartym etapie weryfikator V wybiera losowy wektor binarny v = (vi V2...Vk) i wysyła go do użytkownika U.

W piątym etapie, tylko jeśli stosuje się funkcje a i b, zarówno weryfikator V i użytkownik U przygotowują identyczną wartość Ω, na przykład z V, δ, poprzednio przesłanych informacji, itd.

W szóstym etapie użytkownik U oblicza z = δ {a (Ω) π SK + b (Ω) n SK^jmod n v, = 1 v, = 1

168 163 i wysyła z do weryfikatora V.

W siódmym etapie weryfikatora V sprawdza czy spełniona jest równość

E = b (Ω) tt SR,^-2 + a (Ω)}^Σ = z^x π PK, mod n v, = 1 v, = 1

Następnie, przynajmniej raz powtarza się etapy od trzeciego do siódmego. Protokół ten może być modyfikowany na wiele sposobów. Mogą być zastosowane różne wielomiany identyfikujące, zamiast równania (1). Na fig. 4 przedstawiono stosowny protokół poświadczenia.

Zwykle katalog VPKD jest poprzedzony protokołem głównym. W praktyce odpowiada to wstępnej łączności zabezpieczenia, która daje wysyłającemu S dane publiczne potwierdzone przez uprawnioną władzę. Jest to zilustrowane na fig. 7. Rozwijanie się posiadanych wiadomości pomiędzy odbierającym R i wysyłającym Sjest przedstawione na fig. 8 dla systemu identyfikacji, a na fig. 5 dla systemu kontroli dostępu.

Na figurze 6 wyjaśniono budowę urządzenia wstępnego protokołu VPKD. Aby zarejestrować nowego użytkownika U, władza uprawniona oblicza klucz danego użytkownika PKu w taki sposób, że PKu < n. Ograniczenie to może być usunięte jeśli PKu jest podzielone na przedziały czasowe o właściwym rozmiarze, jak w znanych systemach szyfrowych opartych na funkcji modulo. Następnie, władza uprawniona przygotowuje ciąg znaków identyfikacji IDu, który jest charakterystyczny dla konkretnego użytkownika U lub dla danej grupy użytkowników i zawiera na przykład nazwisko, adres, numer karty kredytowej, datę ważności. Te działania wykonane są za pomocą zespołu pierwszego 61 urządzenia. Zespół drugi 62 tego urządzenia, korzystnie pamięć, mieści w sobie wartości n. Następnie, w zespole trzecim 63, łączy się IDu i PKu z prawidłowo wybranym bajtem c tak, że IDu&PKu&c ma d-ty pierwiastek modulo n. Pierwiastek ten oznaczony przez gu · gu jest określony przez zależność Gu = gu^d mod n, gdzie Gu = IDu&PKu&c. Przy tworzeniu gu, symbol identyfikacji ID oraz liczba n są zarejestrowane na odwracalnym nośniku 64. Gdy uprawniony S współpracuje z użytkownikiem U, to wysyła on gu do użytkownika U, który liczy Gu poprzez podniesienie gu do potęgi d, następnie rozdzielone zostają symbol identyfikacji ID i klucz danego użytkownika PKu i wykorzystane przez protokół główny. W typowej implementacji wybiera się wartości d = 2 lub d = 3.

Przy stosowaniu sposobu według wynalazku nie są potrzebne żadne funkcje pseudolosowe. Wymaga to mniejszej pojemności pamięci ROM i mniej złożonego programu. Ponadto, wszystkie wartości klucza dowolnego użytkownika są obliczone ze znacznym zyskiem czasowym, za pomocą obliczania charakterystycznego. Natomiast w dotychczas znanych schematach identyfikujących musi być przeprowadzonych k niezależnych operacji, zgodnie z funkcją f(ID, j). Znana funkcja pseudolosowa f daje v, o wielkościach nie do przewidzenia, natomiast w rozwiązaniu według wynalazku dozwolony jest wybór każdej pary (PK,, SK,), a zwłaszcza takich par, gdzie zarówno SK, jak i PKj są małej wielkości.

W przypadku udoskonalenia znanych systemów identyfikujących (zmiany w funkcji f) wszystkie dotychczasowe identyfikatory stają się zdezaktualizowane. Problem ten nie istnieje w rozwiązaniu według wynalazku, ponieważ nie jest używana żadna funkcja f.

Protokół poświadczenia lub wspomniany znany protokół sygnatury cyfrowej mogą być również udoskonalone, jeśli dodatkowe próby zabezpieczenia przeprowadzone przez weryfikatora zostaną wprowadzone po odebraniu indeksuj, od sprawdzającego. Tymi próbami zabezpieczenia jest to, że dla wszystkich KaCb^k, ja nie równe jb, i/lub Ka^bCk, va nie równe Vb.

I sprzęg WE/WY |

Weryfika- tor

21 31 30

Fig. 2

| sprzęg WE/WY·. |

Identyfi- kator

31 21 20

Fig. 3

Wiadomości u R:

Wiadomości u S: .

Przesianie deklarowanej tożsamości R

VPKD rozsiewa

SK

ID deklarowane u R

Wstępny protokół wymiany VPKD <- Protokół rodzimy

PK deklarowane u R ID odpowiada PK lub nie

ID u R jest poprawne lub nie y czas

Fig.5

Fig. 6

Odbierający.

Proszę przesłać swoje g_v

Wysyłający.

9y

Liczenie:

Gp = gi mod n Wyciąganie IDu i PKu

- Protokół rodzimy.

............. Protokół VPKD.

Fig. 7


Wiadomości u R		Wiadomości u S

VPKD rozsiewa SK		wiadomość
		Wstępny protokół . wymiany VPKD
		ID deklarowane u R PK deklarowane u R
		<- Protokół rodzimy ->
wiadomość

czas

Fig. 8

▼ω

Strona nadajnika

Strona odbiornika ►14

181

Zespół weryfikatora

182 irta ▼ 19 system mieszania system szyfrowy podsystem kontroli dostępu

Fig. 1

Departament Wydawnictw UP RP. Nakład 90 egz.

Cena i,50 zł

Claims

Zastrzeżenia patentowe

1. Sposób kontroli dostępu i/lub identyfikacji, zwłaszcza w systemie płatnej telewizji, w którym dla uprawnienia przynajmniej jednego użytkownika U, zwłaszcza karty inteligentnej, w urządzeniu władzy uprawnionej oblicza się dane symbolu identyfikacji ID charakterystyczne dla każdego użytkownika U lub grupy użytkowników U i doprowadza się do użytkownika U w ukrytych danych zależnych od danych symbolu identyfikacji ID i obliczonego mod n, w którym dla weryfikacji tożsamości użytkowników U zmienia się przynajmniej część wspomnianych ukrytych danych za pomocą weryfikatora V, korzystnie czytnika kart inteligentnych, przy czym sprawdza się poprawność danych zmienionych na podstawie mod n, przy czym n jest iloczynem przynajmniej dwóch liczb pierwszych, znamienny tym, że dla uprawnienia, w początkowym nastawieniu użytkowników, w urządzeniu władzy uprawnionej (63) poddaje się kombinacji dane symbolu identyfikacji ID z wartościami klucza ogólnego dostępu PKj oraz bajtem c, a w wyniku uzyskuje się liczbę uniwersalną G mającą d-ty pierwiastek g mod n, zgodnie z zależnością G = g^d mod n, przy czym każdy klucz ogólnego dostępu PKj ma ε-pierwiastków mod n, oznaczonych jako SKj”1, następnie przynajmniej g i n zapisuje się w pamięci (25) karty inteligentnej (182), i/lub na odwracalnym nośniku (64) urządzenia użytkownika U, po czym dla weryfikacji wysyła się przynajmniej g z urządzenia użytkownika U do weryfikatora V, w którego mikroprocesorze (34) oblicza się liczbę uniwersalną G z zależności G = g² mod n i oddziela się z G dane symbolu identyfikacji ID oraz wartości klucza dostępu PKj, wybiera się losową liczbę δ w zakresie (Vn + 1,n/2) w urządzeniu użytkownika U, w którego mikroprocesorze (24) oblicza się wartość Ε = δ^Σ mod n i wysyła się tę wartość E do urządzenia weryfikatora V, w którym wybiera się losowy wektor binarny v = (v1 V2...Vk) i wysyła się ten wektor v do urządzenia użytkownika U, w którego mikroprocesorze (24) oblicza się wartość z zgodnie z zależnością z = δ {a nSK, + b nSK¹,} mod n v, = 1 v,= 1 i wysyła się tę wartość z do urządzenia weryfikatora V, w którego mikroprocesorze (34) sprawdza się czy spełnione jest równanie

E{b nSK'2, + a}*= z* πΡΚ, mod n, v, = 1 v,1 przy czym, ε = 2 lub ε = 3, a i b są stałymi, korzystnie a = b = 1.
2. Sposób według zastrz. 1, znamienny tym, że ε>2, a w urządzeniu weryfikatora V odbiera się dodatkowo wartości SK~2, które korzystnie przesyła się przez urządzenie użytkownika U, w którym te wartości rejestruje się.
3. Sposób według zastrz. 1 albo 2, znamienny tym, że bajt c pomija się, a kombinację symbolu identyfikacji ID z wartościami klucza ogólnego dostępu PK poddaje się permutacji, aż liczba uniwersalna G jest d-tą potęgą mod n.
4. Sposób według zastrz. 1 albo 2, znamienny tym, że przyjmuje się wartość d = 2 lub d = 3.
5. Sposób według zastrz. 1 albo 2, znamienny tym, że dla tworzenia G, ID i PK i/lub c poddaje się kombinacji do postaci ID&PK&c, gdzie & jest operatorem konkatenacji, w urządzeniu władzy uprawnionej (63).
6. Sposób według zastrz. 1 albo 2, znamienny tym, że symbol identyfikacji ID jest stałą.
7. Sposób według zastrz. 1 albo 2, znamienny tym, że potęgowanie g zastępuje się przez obliczanie wielomianowe, przy czym władza uprawniona wykorzystuje sekwencję ogólnie dostępnych liczb Ω, i oblicza się g zgodnie z zależnością (IDu&PKu&c) = EgD, i

168 163 3
8. Sposób według zastrz. 1 albo 2, znamienny tym, że a i b są algebraicznymi lub elektronicznymi funkcjami.
9. Sposób według zastrz. 1 albo 2, znamienny tym, że liczba bitów liczby n mieści się w zakresie 450 do 570.
10. Sposób według zastrz. 1 albo 2, znamienny tym, że u użytkownika U i weryfikatora V wytwarza się wartość Ω, korzystnie z losowego wektora binarnego v i/lub liczby losowej δ i/lub z danych i/lub liczb wynikających z uprzednio dokonanych obliczeń, a ponadto w mikroprocesorze (24) urządzenia użytkownika U oblicza się wartość z zgodnie z zależnością z = δ {a (Ω) nSK, + b (Ω) nSK’¹,} mod n v,= 1 V,= l i wysyła się tę wartość z do weryfikatora V, w którego mikroprocesorze (34) sprawdza się czy spełnione jest równanie

E {b (Ω) nSK-², + a (Ω)}^ς = z² nPK, mod n.

V = 1 v, = 1
11. Sposób według zastrz. 1 albo 2, znamienny tym, że stosuje się zbiór przynajmniej k= 18 wartości kluczy ogólnego dostępu PK,.
12. Sposób według zastrz. 1, znamienny tym, że kroki wybierania δ, obliczania i wysyłania E, wybierania i wysyłania v, obliczania i wysyłania z oraz sprawdzania w urządzeniu weryfikatora. V powtarza się t razy z różnymi losowymi wektorami binarnymi v i/lub losowymi liczbami δ, przy czym t>1.
13. Sposób według zastrz. 12, znamienny tym, że przyjmuje się wartość przynajmniej t = 4.
14. Sposób według zastrz. 12, znamienny tym, że wartość iloczynu (k*t) mieści się w zakresie 64 do 80.

3. Sposób według zastrz. 1 albo a, znamiznay tym, że kroki wybierania <5, obliczania i wysyłania E, wybierania i wysyłania v, obliczania i wysyłania z oraz sprawdzania w urządzeniu weryfikatora V przeprowadza się przy ltalawaniu dwójkowych lub trójkowych sygnałów logicznych.