SK2892002A3 - Multiple module encryption method - Google Patents

Description

Vynález sa týka šifrovania a dešifrovania dát. Vynález sa týka zvlášť ochrany dát šifrovaním pred neoprávnenými osobami alebo zariadeniami v odbore platenej televízie.

Doterajší stav techniky

V systémoch platenej televízie sa dáta šifrujú v bezpečnom prostredí, v ktorom je k dispozícii dostatočný výpočtový výkon a ktoré sa nazýva kódovací subsystém. Odtiaľ sa dáta známym spôsobom posielajú k najmenej jednému vzdialenému subsystému, kde sa dešifrujú, obvykle v integrovanom prijímačidekodére (IRD) s pomocou čipovej karty. Neautorizovaná osoba môže mať ako ku karte, tak ku vzdialenému subsystému, ktorý s kartou spolupracuje, v podstate neobmedzený prístup.

Odborníkom je známe reťazenie (sériové radenie) rôznych šifrovacích prostriedkov v šifrovacích systémoch a dešifrovacích prostriedkov v dešifrovacích systémoch. Výrazom šifrovanie/dešifrovanie sa v ďalšom texte bude rozumieť činnosť akéhokoľvek šifrovacieho/dešifrovacieho prostriedku použitého v rozsiahlom šifrovacom/dešifrovacom systéme.

Činnosť takých systémov sa optimalizuje z hľadiska troch parametrov: rýchlosť, pamäťové nároky a úroveň zabezpečenia. Rýchlosťou sa rozumie doba potrebná na dešifrovanie prijatých dát.

Sifrovacie/dešifrovacie systémy pracujúce so symetrickými kľúčmi sú odborníkom známe. Úroveň ich bezpečnosti je možné posudzovať podľa niekoľkých kritérií.

e e e e r e

Prvým kritériom je fyzické zabezpečenie, čím sa rozumie ľahkosť alebo namáhavosť vyňatia niektorého prvku systému a jeho nahradenie prvkom iným. Úlohou náhradného prvku je informovať neautorizovanú osobu o povahe a spôsobe práce šifrovacieho/dešifrovacieho systému. Náhradný prvok sa zvolí tak, aby bol zvyškom systému nezistiteľný alebo aby bolo jeho zistenie veľmi ťažké.

Druhým kritériom je systémové zabezpečenie, v ktorého rámci sa uvažuje s útokom pomocou matematickej analýzy. Také útoky sa obvykle vykonávajú pomocou vysokovýkonných počítačov, ktoré sa snažia prelomiť šifrovací algoritmus.

Príkladom šifrovania so symetrickým kľúčom sú napríklad DES (Data Encryption Standard) systémy. Tieto systémy, ktoré sú dnes už považované za zastarané, poskytujú iba priemerné fyzické aj systémové zabezpečenie. Šifrovanie pomocou symetrického kľúča sa obvykle vykonáva v špecializovaných elektronických obvodoch a úroveň zabezpečenia závisí na dĺžke kľúča.

Ďalšia stratégia útoku na šifru sa nazýva jednoduchá analýza výkonu (Simple Power Analysis) a analýza časovania (Timing Analysis). V jednoduchej analýze výkonu sa využíva skutočnosť, že mikroprocesor, ktorý vykonáva šifrovací/dešifrovací algoritmus, je napojený na napäťový zdroj (obvykle 5 voltov). V stave nečinnosti mikroprocesor odoberá stály prúd. V aktívnom stave odoberaný prúd závisí nie len na spracovávaných dátach, ale aj na šifrovacom algoritme. Jednoduchá analýza výkonu spočíva v snímaní prúdu ako funkcie času, z ktorej je možné odvodiť typ vykonávaného algoritmu.

Analýza časovania spočíva v meraní času potrebného na spracovanie vzorky postúpenej šifrovaciemu modulu. Zo závislostí medzi odovzdanými vzorkami a dôb potrebných na ich spracovanie je možné odvodiť neznáme parametre šifrovacieho modulu, akým je napríklad kľúč. Taký systém je opísaný napríklad v dokumente Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems, Paul Kocher, Cryptography Research, 870 Market St, Suite 1088, San Francisco, Kalifornie, USA.

Na zlepšenie zabezpečenia šifrovacích systémov boli vyvinuté systémy s asymetrickými kľúčmi, napríklad tzv. RSA (Rivest, Shamir, Adleman) systém. V týchto systémoch sa generujú páry zodpovedajúcich si kľúčov, z ktorých jeden je verejný a slúži na zašifrovanie (alebo dešifrovanie) dát, druhý je privátny a slúži na ich dešifrovanie (alebo zašifrovanie). Také systémy majú vysokú úroveň zabezpečenia, fyzického aj systémového, ale na druhej strane sú pomerne pomalé, predovšetkým pri dešifrovaní.

Najnovším spôsobom útoku na šifry je tzv. DPA, čiže diferenciálna analýza výkonu (Differential Power Analysis). Metóda je založená na predpoklade, že veľkým množstvom pokusov je možné zistiť, či je na určitom mieste šifrovacieho kľúča 0 alebo 1. Útok touto metódou je ťažko zistiteľný, pretože je skoro nedeštruktívny. Použitie tejto metódy vyžaduje použitie ako fyzickej, tak analytickej zložky. Spôsob práce DPA pripomína techniky prieskumu ropných polí, keď sa explóziou známej sily vyvolajú odozvy, ktoré sa snímajú sondami rozmiestenými v rôznych vzdialenostiach a hĺbkach pod povrchom od epicentra výbuchu. Z vín odrazených od hrán sedimentačných vrstiev je možné usudzovať na podzemnú štruktúru pole bez toho, že by sa museli vykonávať skúšobné vrty. DPA útoky sú podrobne opísané v § 2.1. dokumente A Cautionary Note Regarding Evaluation of AES Candidates on Smart-Carts, ktorý publikovali 1. februára 1999 Suresh Chari, Charanjit Jutla, Josyula R. Rao a Pankaj Rohatgi z IBM

T.J. Watson Research Center, Yorktown Heights, New York.

Odolnosť voči DPA útokom je možné zaistiť bieliacimi šumovými (whitening jamming) systémami, buď na prúde vstupných dát alebo na výstupe i

zo šifrovacieho algoritmu. Technika bielenia je opísaná v § 3.5 uvedeného dokumentu.

Najväčším problémom však stále zostáva obmedzený výpočtový výkon v periférnom subsystéme systému platenej televízie. Podľa doterajšieho stavu techniky nebola otázka bezpečného prenosu dát v takých systémoch dosiaľ vyriešená.

r r r · e r

Podstata vynálezu

Cieľom vynálezu je priniesť spôsob šifrovania a dešifrovania, ktorý bude odolný voči moderným útokom, ktorých príklady boli opísané vyššie.

Cieľ vynálezu sa dosiahne spôsobom podľa význakovej časti nároku 1.

Zvláštnym rysom spôsobu podľa vynálezu je to, že výpočtový prostriedok nezačne pracovať až po prijatí výsledku z prostriedku predchádzajúceho, ale už vtedy, keď má k dispozícii aspoň časť dát. Pre vonkajšieho pozorovateľa je tak nemožné určiť vstupné a výstupné podmienky tohto prostriedku.

Pretože v periférnom systéme prebieha dešifrovanie v čipovej karte, ktorá má v porovnaní s šifrovacím (centrálnym) systémom obmedzený výpočtový výkon, je výhodné použiť pre posledné dešifrovacie kroky relatívne rýchly verejný asymetrický kľúč. Tým sa zachová odolnosť systému na výstupnej strane a výpočtový výkon, ktorý je potrebný na zašifrovanie dát pomocou privátneho kľúča, sa môže skoncentrovať na strane vysielania.

Zistilo sa, že ďalšie úrovne zabezpečenia je možné dosiahnuť reťazením, alebo čiastočným prekladaním, dvoch šifrovacích prostriedkov, ktoré pracujú v sériovom zapojení. Reťazením alebo čiastočným prekladaním sa rozumie také spracovanie dát, keď druhý šifrovací prostriedok zaháji spracovanie dát ešte pred tým, než rovnaké dáta úplne spracuje prvý šifrovací prostriedok. Zamaskuje sa tým podoba, akú by dáta mala po spracovaní v prostriedku prvom a pred prostriedkom druhým.

Reťazenie sa môže začať už vtedy, keď je na výstupe z prvého prostriedku k dispozícii na spracovanie v druhom prostriedku aspoň časť dát.

Vynález umožňuje ochranu proti vyššie uvedeným útokom tým, že kombinuje rôzne šifrovacie/dešifrovacie prostriedky v šifrovacom/dešifrovacom systéme a používa reťazenie alebo čiastočné prekladanie v spôsobe, akým tieto za sebou zapojené prostriedky pracujú.

r r _r .. ' r r c r * Γ c e or r <· r r <

ŕ ^r ' ^{r c r}' ''^r,·:

r c r r r r.

V jednom uskutočnení vynálezu šifrovací/dešífrovací systém zahrnuje kódovací subsystém, v ktorom sú za sebou použité tri algoritmy:

a) asymetrický algoritmus Al s privátnym kľúčom dl. Tento algoritmus kóduje otvorené dáta, ktoré predstavuje správa m, a vytvára prvý kryptogram ’ I ¹ ' ‘

Cl. Matematicky je možné algoritmus Al vyjadriť rovnicou Cl - m exponent dl, modulo nl. Vo vzorci je nl časť verejného kľúča asymetrického algoritmu Al, modulo (mod) je odborníkom známy matematický operátor a dl je privátny kľúč algoritmu Al.

b) symetrický algoritmus S s tajným kľúčom k. Tento algoritmus prevádza kryptogram Cl na kryptogram C2.

c) asymetrický algoritmus A2 s privátnym kľúčom d2. Tento algoritmus prevádza kryptogram C2 na kryptogram C3 pomocou rovnice, ktorá zodpovedá vyššie uvedenej: C3 - C2 exponent d2, mod n2, kde n2 je časť verejného kľúča asymetrického algoritmu A2 a d2 je privátny kľúč algoritmu A2.

Kryptogram C3 opúšťa kódovací subsystém a vysiela sa odborníkom známym spôsobom k periférnemu subsystému. V prípade režimu zaplať za program platenej televízie môže ísť ako o video dáta, tak správy.

V periférnom subsystéme sa dáta dekódujú obráteným postupom tromi algoritmami A2', S' a Al'. Tieto tri algoritmy tvoria časti troch šifrovacích/dešifrovacích prostriedkov Α1-ΑΓ, S-S' a A2-A2', ktoré sú rozdelené medzi kódovací subsystém a decentralizovaný subsystém a dohromady predstavujú šifrovací/dešífrovací systém.

d) algoritmus A2' vykonáva matematickú operáciu na C3 a obnoví C2: C2 = C3 exponent e2 mod n2. Množina skladajúca sa z e2 a n2 je verejný kľúč asymetrického algoritmu A2-A2'.

e) symetrický algoritmus S' s tajným kľúčom na obnovu kryptogramu Cl.

f) asymetrický algoritmus Al' s verejným kľúčom el, nl obnoví m pomocou operácie m = Cl exponent el mod nl.

Reťazenie v periférnom systéme spočíva v tom, že dekódovací krok e) sa zaháji pred tým, než sa v kroku d) získa celé C2, a dekódovací krok f) sa zaháji pred tým, než sa v kroku e) získa celé Cl. Taký postup znemožní, či aspoň sťaží útok v periférnom subsystéme cielený na získanie kryptogramu Cl na konci kroku e). Kryptogram Cl by bolo možné porovnať s otvorenými dátami m a potom pomocou Cl a m určiť algoritmus Al' a ďalej spätne celý kódovací reťazec.

Reťazení nie je nevyhnutné v kódovacích subsystémoch, ktoré sa nachádzajú vo fyzicky zaistených miestach. Na druhej strane je veľmi výhodné v periférnych subsystémoch. V prípade zaplať za program je prijímač-dekodér (IRD) súčasťou zariadenia predplatiteľa a môže byť napadnuté vyššie opísaným spôsobom.

Je zrejmé, že útok na kombináciu troch zreťazených dešifrovacích algoritmov Aľ, S' a A2' má omnoho menšiu šanci na úspech, než by tomu bolo v prípade, že sa medzi krokmi d), e) a f) kryptogramy Cl a C2 úplne zrekonštruujú. Okrem toho, pretože algoritmy Al' a A2' využívajú verejné kľúče el, nl a e2, n2, sú nároky na výpočtové zdroje potrebné v periférnom subsystéme v porovnaní s kódovacím subsystémom niekoľkonásobne menšie.

Pre lepší predstavuje možné uviesť, že kroky a) a c), t.j. kroky zašifrovania dát privátnymi kľúčmi, sú napríklad asi dvadsaťkrát dlhšie, než dešifrovacie kroky d) a f) s verejnými kľúčmi.

V alternatívnom odvodenom uskutočnení vynálezu sú algoritmy Al a A2 a ich inverzní algoritmy Al' a A2' zhodné.

V inom alternatívnom odvodenom uskutočnení vynálezu sa v kroku c) použije verejný kľúč e2, n2 asymetrického algoritmu A2 a v kroku d) sa kryptogram C3 dešifruje privátnym kľúčom d2 tohto algoritmu. Toto uskutočnenie sa použije napríklad v prípade, keď sú zdroje výpočtového výkonu v periférnom subsystéme dostatočné.

.·* e *-’cr r *> Γ r c r r r r - f r r- r

Λ r r ,· S Γ· Γ ^r ' ^r r r ^r ‘

Aj keď sa čipové karty používajú predovšetkým na dešifrovanie dát, existujú i karty, ktoré majú kapacitu dostatočnou aj pre šifrovacie operácie. V takom prípade je nutné počítať aj s útokmi na šifrovacie karty, ktoré pracujú mimo chránené miesta, akým je napríklad správne centrum. Vynález je možné ale v plnom rozsahu využiť aj pre sériové šifrovacie operácie, tzn. že následný modul začne šifrovací operáciu ešte pred tým, než predchádzajúci modul spracovania informácie dokončí. Spôsob podľa vynálezu umožňuje prekladanie medzi rôznymi šifrovacími modulmi a vždy zaisťuje, že výsledok činnosti predchádzajúceho (v zmysle sériového zapojenia) modulu nie je nikdy k dispozícii v celku. Následný modul teda spracováva iba časti informácie, takže usudzovať na spôsob činnosti modulu zo známeho vstupu alebo známeho výstupu je značne ťažké.

Prehľad obrázkov na výkresoch

Vynález bude zrejmejší z nasledujúceho podrobného opisu príkladných uskutočnení vynálezu s odkazmi na sprievodné výkresy, na ktorých:

Na obr. 1 sú znázornené šifrovacie operácie;

Na obr. 2 sú znázornené dešifrovací operácie;

Na obr. 3 sú znázornené šifrovacie operácie alternatívneho uskutočnenia;

a

Na obr. 4 sú znázornené dešifrovacie operácie alternatívneho uskutočríePríklady uskutočnenia vynálezu

Na obr. 1 vstupujú do šifrovacieho reťazca dáta m. Prvý modul Al šifrovacieho reťazce vykonáva šifrovanie pomocou tzv. privátneho kľúča, ktorý sa skladá z exponentu dl a modula nl. Výsledkom operácie vykonávanej v module c · « t · c r c r r r » o r r c e c ^r r e O P r- n r r tt r c · ' r. r '

C 9 r. o e t r c _r - c or r. r . · 8

Al je C1. Podľa režimu práce spôsobu podľa vynálezu môže následný modul zahájiť činnosť už vtedy, keď je k dispozícii už časť C1. Ďalší modul S pracuje s tajným kľúčom k. Hneď ako je na výstupe z modulu S k dispozícii časť výsledkov C2, zaháji činnosť modul A2, ktorý vykonáva tretiu šifrovaciu operáciu pomocou privátneho kľúča, ktorý sa skladá z exponentu d2 a modula n2. Konečný výsledok C3 sa známymi spôsobmi vzdušnou cestou alebo pomocou kábla prenáša k prijímačom.

Na obr. 2 je znázornený dešifrovací systém, ktorý zahrnuje tri dešifrovacie moduly A1S' a A2\ ktoré zodpovedajú šifrovacím modulom podľa obr. 1, ale sú zapojené v obrátenom poradí. Dáta C3 vstupujú do modulu A2\ ktorý ich dešifruje pomocou verejného kľúča, ktorý sa skladá z exponentu e2 a modula n2. Rovnako ako pri zašifrovaní dát aj pri dešifrovaní modul S' zaháji činnosť už vtedy, keď je k dispozícii aspoň časť dát C2. Dešifrovanie sa dokončí v module Al' pomocou verejného kľúča, ktorý sa skladá z exponentu el a modula n 1.

V jednom uskutočnení vynálezu môžu byť kľúče modulov A1 a A2 rovnaké, t.j. má strane šifrovania platí dl=d2 a nl=n2. Obdobne, na strane dešifrovania musí byť el=e2 a nl=n2. V takom prípade sa uvažuje s privátnym kľúčom d, n a s verejným kľúčom e, n.

V alternatívnom uskutočnení vynálezu, ktoré je znázornené na obr. 3 a 4, sa v module A2 použije verejný kľúč e2, n2 na zašifrovanie a v module A2' privátny kľúč d2, n2 na dešifrovanie. Aj keď také usporiadanie kladie väčšie nároky na výpočtový výkon na strane dešifrovania, použitie privátneho kľúča zvyšuje úroveň zabezpečenia spracovania dát v module A2'.

Príklad zobrazený na obr. 3 a 4 nie je jedinou alternatívou možných kombinácií kľúčov a spôsobov šifrovania v jednotlivých moduloch. Je napríklad inožné, aby modul A 1 šifroval s verejným kľúčom a dešifroval s kľúčom privátnym.

e e « r r (» f Γ ľ r r

V inom uskutočnení je možné modul S, ktorý má tajný kľúč, nahradiť mo dulom s asymetrickým kľúčom, ktorý bude obdobný modulom AJ a A2.

Claims (8)

1. PATENTOVÉ NÁROKY

   1. Spôsob šifrovania a dešifrovania pomocou niekoľkých šifrovacích/dešifrovacích modulov zapojených do série, vyznačujúci sa tým, že následný šifrovací/dešifrovací modul zaháji svoju činnosť už vtedy, keď je k dispozícii časť výsledku z predchádzajúceho šifrovácieho/dešifrovacieho modulu.

   Spôsob podľa nároku 1, vyznačujúci sa tým, že následný dešifrovací modul zaháji svoju dešifrovaciu činnosť už vtedy, keď je k dispozícii časť výsledku z predchádzajúceho dešifrovacieho modulu.

   Spôsob podľa nároku 1, vyznačujúci sa tým, že následný šifrovací modul zaháji svoju šifrovaciu činnosť už vtedy, keď je k dispozícii časť výsledku z predchádzajúceho modulu.
2. 4. Spôsob podľa jedného z nárokov 1 až 3, vyznačujúci sa tým, že využíva tri moduly (Al, S, A2), kde centrálny modul (S) je typu s tajným symetrickým kľúčom (k).
3. 5. Spôsob podľa nároku 4, vyznačujúci sa tým, že prvý modul (Al) a posledný modul (A2) na strane šifrovania a prvý modul (A2) a posledný modul (Al) na strane dešifrovania sú typu RSA s asymetrickým kľúčom, t.j. s privátnym kľúčom a verejným kľúčom.

   c e _r - _r , r P C ^r r r .

   r r C r '·- r- C c - -' < r· ' , r c c * r i '
4. 6. Spôsob podľa nároku 5, vyznačujúci sa tým, že dva moduly (Al, A2) použijú tak zvaný privátny kľúč (d, n; dl, nl; d2, n2) na šifrovanie a tak zvaný verejný kľúč (e, n; el, nl; e2, n2) na dešifrovanie.
5. 7. Spôsob podľa nároku 6, vyznačujúci sa tým, že dva moduly (Al, A2) použijú rovnaké množiny privátnych kľúčov (d, n) a verejných kľúčov (e, n).
6. 8. Spôsob podľa nároku 6, vyznačujúci sa tým, že dva moduly (Al, A2) použijú rôzne množiny privátnych kľúčov (dl, nl; d2, n2) a verejných kľúčov (e 1, n 1; e2, n2).
7. 9. Spôsob podľa nároku 5, vyznačujúci sa tým, že pri šifrovaní použije posledný modul (A2) tak zvaný verejný kľúč (e2, n2) a pri dešifrovaní prvý modul (Al) použije tak zvaný privátny kľúč (d2, n2).
8. 10. Spôsob podľa jedného z nárokov 1 až 3, vyznačujúci sa tým, že využíva tri šifrovacie/dešifrovacie moduly (Al, S, A2) s asymetrickými kľúčmi.