TW546935B - Multi-module encryption method - Google Patents

Description

經濟部智慧財產局員工消費合作社印製 546935 A7 -—__B7 五、發明說明（1 ) 本發明關於一種編密（e n c i p h e r m e n t )或加密（ encryption)以及解編密（decipherment)或解加密（ decryption)的領域，尤其是關於一種資料能讓付費（pay-per-Wew )電視系統之架構中的未授權人員或家電無法存取 。在此種系統中，資料是在安全的環境中進行編密，該環 境提供相當的計算能力（稱爲編碼子系統（encoding subsystem ))，然後藉由其本身的構件而傳送至至少一個 分散子系統（decentralized subsystem )，其中，資料是在 該分散子系統中藉由I R D (整合接收器解碼器）的構件 並經晶片卡（chip card )的協助而被解編密。一個未經授 權的人員可對此晶片卡及運作的分散子系統取得未受限的 存取。 一種已知的方法是將編密/解編密系統中之不同的編 密/解編密構件連鎖（chaining )在一起。在下文中，“ 加密/解加密“一詞將用以表在示較大之編密/解編密系 統中所使用的特殊加密構件。 長期以來一直從速度、所佔記憶體空間以及安全性等 三觀點來將這些系統的操作最佳化。可理解的是“速度“ 係指將所接收到之資料進行解編密所需的時間。 目前已知有一種具有對稱密鑰（symmetric key )的編 碼/解編碼系統。其安全性可評估成許多準則（cntena ) 的函數。 其第一個準則爲實體安全性（physical security ) ’該 準則是有關於藉由擷取出.特定元件之調查方法的難易度’ 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐） -4 - ----—--------- (請L閱讀背面之注意事項再填寫本頁) 訂-------r線#· 經濟部智慧財產局員工消費合作社印製 546935 A7 B7___ 五、發明說明（2 ) 其隨後必須以其他的元件來置換。這些用來通知未授權人 員有關編密/解編密系統之操作方法的置換元件是由他/ 她以不被系統中其他元件所偵測到的方法所選定。 第二個準則是組織架構中的系統安全性，其中外來的 攻擊（attack )不會從實體的觀點來侵入，但是會呼叫數 學形態的分析。一般而言，這些攻擊會由高階的電腦所發 起，此尚階電腦會試圖破壞演算法以及編密碼。 具有對稱密鑰的加密/解加密構件可例如爲D E S ( 資料編碼標準）的系統。這些相當老舊的構件現在僅提供 系統安全以及實體安全。尤其是這些密鑰的長度太短以致 於無法滿足系統安全性的條件，因此由具有較長密鑰之新 的加密/解加密構件所取代。一般而言，這些具有對稱密 鑰的構件會呼叫含有編密程式的演算法。 其他的攻擊策略稱爲一次方分析（simple power analysis )以及計時分析（timing analysis )。在一次方分 析中，用以處理資料加密或解加密的微處理器是連接於電 壓源（一般是5伏特）。當閒置（idle )時，強度爲i的 固定電流會流經於此。當作動（active )時，瞬間電流i 不僅會隨輸入資料而變，也會隨加密演算法而變。一次方 分析主要在於測量i以作爲時間的函數。便可由此演繹推 論出微處理器所執行之演算法的類型。 同樣地，計時分析主要在於測量計算所需的時間以作 爲解加密模組之取樣函數。因此，用以計算結果的樣本與 時間之間的關係可用來取得解加密模組祕密參數，例如密 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐）_ 5 - (請先閱讀背面之注意事項再填寫本頁) ,裝 -K-----訂-------r線公 經濟部智慧財產局員工消費合作社印製 546935 A7 B7 五、發明說明（3 ) 鑰。這種系統揭露於 Paul Kocher，Cryptography Research, 870 Market St，Suite 1 088，San Francisco, CA-USA 的“ Timing Attacks on Implementations of Diffie-Hellamn, RSA, DSS and Other Systems”文件中。 爲了增進編密系統的安全性，便推衍出一種具有非對 稱密鑰的演算法，例如所謂的R A S ( Rivest，Shamir以及 Adleman )系統。這些系統包含一對配對密鑰（matched key )、一個編密時所用之所謂的公開密鑰（pubUc key ) 以及解編密時所用的私用密鑰（private key )。這些演算 法在系統與實體安全上皆呈現出高階的安全性。但相對地 ，其速度較傳統的系統還慢，尤其是在編密階段。- 最近的攻擊技術呼叫所謂的D P A槪念，其代表爲微 分次方分析（differential power analysis )。這些方法是假 設編密密鑰之給定位置中的〇或1爲基礎，然後經過大量 試誤以取得驗證。這些方法幾乎是屢試不爽，因此使得這 些方法可不被察覺地呼叫實體入侵元件以及數學分析元件 兩者。其操作方法可聯想到油田的探勘技術，其中在地表 中產生已知威力的爆炸，並且在離爆炸地點的已知距離放 置耳機與探針，便可藉由地底層之沈積岩床邊界的反射震 波來做出地底層之地質成份的假設而不須實際的深挖。

D P A 攻擊係揭露於 Suresh Chari，Charanjit Jutla，Josyula R. Rao and Pankaj Rohatgi, IBM T. J. Watson Research Center，Yorktown Heights，NY，於 1 9 9 9 二月一日所發行 之”A Cautionary Note Regarding Evaluation of AES 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐）-6 - (請先閱讀背面之注意事項再填寫本頁) --------訂 i « 546935 A7 B7 五、發明說明（4 )

Candidates on Smart-Cards”文件的 § 2 · 1 章節中。 (請先閱讀背面之注意事項再填寫本頁) 爲了抵抗D P A攻擊，無論是在輸入資訊或是在編密 /解編密演算法的輸出端皆必須使用所謂的“塗白“人爲 干擾系統（Whitening jamming system )。這種塗白技術係 揭露於上述文件的第§ 3 · 5章節中。 此外，由於計算能力係受限於付費電視系統的分散子 系統（decentralized subsystem )，因此在執行上述的連鎖 時會產生問題，此問題尙未被完全解決。 本發明的目的是要提供一種加密/解加密的方法，能 夠抵抗上述的現代化調查方法。 本發明的目的係藉由申請專利範圍第一項所揭露之特 徵部份來完成。 本發明之方法的特性在於：當終止前一個模組（或逆 流（upstream ))的結果時，並不啓動其中間模組（ intermediate module )，而是一旦可獲得資訊的備妥部份（ ready part )時，便啓動該中間模組。因此，對於外部觀察 者而言，無法建立此模組的輸入或輸出條件。 經濟部智慧財產局員工消費合作社印製 因爲編密發生在具有晶片卡的分散子系統中（相較於 編碼子系統，此晶片卡僅能容納相當有限的計算能力）， 所以在解編密的最後步驟中使用公開非對稱密鑰（可快速 操作）較爲有利。一方面可保留既有程序之系統的刀槍不 入特徵，另一方面也可集中編碼子系統的計算能力（有關 於利用私用密鑰所進行的編密）。 可藉由將兩個前後相隨的加密/解加密構件連鎖在一 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐） 546935 經濟部智慧財產局員工消費合作社印製 A7 B7 五、發明說明（5 ) 起或是部份交錯在一起，以提供額外的安全性。此連鎖或 是部份交錯是指：當第一個加密/解加密構件尙未結束其 工作時，便開始第二個加密/解加密構件對相同資料進行 動作的程序。這可將資料在進行第二個模組的工作之前當 作成來自第一模組的工作結果。 一旦可部份取得第一模組的輸出計算資料時，便可啓 動連鎖動作以進行第二模組的處理。 本發明可藉由結合編密/解編密系統中之不同的加密 /解加密構件，以及藉由將彼此前後相隨之順序連鎖或部 份交錯，來防衛上述的攻擊。 ^ 在本發明的特定實施例中，編密/解編密系統包含一 編碼子系統，其中依序使用三個演算法： a )具有私用密鑰d 1的非對稱演算法A 1。此演算 法A 1對未加密資料（以訊息m來表示）進行簽章處理， 此作業流程利用公式c 1二m指數d 1，模數η 1所表示 的數學運算構件來傳遞第一密碼c 1。在此公式中，η 1 形成非對稱演算法A 1的公開密鑰部份，模數則表示數相 關整數集合內的全等數學運算符，且d 1爲演算法A的私 用密鑰。 b )使用密鑰K的對稱演算法S。此演算法將密碼 c 1轉換成密碼c 2。 c )具有私用密鑰d 2的非對稱演算法A 2。此非對 稱演算法A 2藉由上述的數學運算構件而將密碼c 2轉換 成密碼c3，其表示爲：.c3 = c2指數d2，模數ng (請先閱讀背面之注意事項再填寫本頁)

本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐） 8 546935 A7 —_ _ B7 五、發明說明（6 ) ，在此公式中，η 2形成非對稱演算法a 2的公開密鑰部 份，且d 2爲非對稱演算法A 2的私用密鑰。 密碼c 3利用其本身的構件離開編碼子系統並且到達 分散子系統。在付費電視系統中，此方法可包含影像資料 或訊息。 分散子系統以相反的順序來使用三個演算法A 1 ’、S， 以及A 2 ’。此三個演算法形成分散於編碼子系統與分散子 系統之間的三個加密/解加密構件部份A 1 — A 1，、S -S ’以及A 2 - A 2 ’，並用以表示該加密/解加密系統。 d)演算法A2’對c 3進行數學運算並還原成c 2， 其表示爲c 2 = c 3指數e 2，模數η 2。在此公式中， 由e 2與η 2所組成的集合是非對稱演算法A 2 — A 2 ’的 公開密錄。 e )使用密鑰K的對稱演算法S ’將密碼c 1還原。 f )具有公開密鑰e 1，n 1的非對稱演算法A 1 ’藉 由執行m=c 1指數e 1，模數η 1的數學運算來取回m 〇 在分散系統中的連鎖包含：當c 2尙未被前一步驟d )所完全儲存時，開始解碼步驟e )，以及當c 1尙未被 步驟e )所完全儲存時，開始解碼步驟f )。其優點是可 抵抗分散子系統內的攻擊，（例如分散子系統內之步驟e 的密碼c 1 )，以便比對於未編碼的原始資料m，然後藉 由c 1以及m來攻擊演算法A ’，並且逐漸回溯該編碼鏈。 編碼子系統並不需要連鎖，該連鎖是建立於安全的實 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐）-9 - (請先閱讀背面之注意事項再填寫本頁) 「裝·----^-----訂-------I*-線 經濟部智慧財產局員工消費合作社印製 546935 A7 B7 五、發明說明（7 ) 體環境中。另一方面，該連鎖在分散子系統是非常有用的 。在付費電視的情況中，I r D是實質被安裝在用戶端住 所，而且可能遭受到上述型態的攻擊。 可以理解的是：結合三個連鎖解加密演算法A ’，S， 以及A 2 ’的攻擊要比當密碼c 1與c 2是完全重建於步驟 d ) ’ e )及f )的情況下具有更少的成功機會。此外， 演算法A 1 ’及A 2 ’必須使用於公開密鑰的事實即表示分散 子系統內所需的計算要比編碼子系統內所需的計算來得少 〇 爲證實此論點並舉例說明：具有私用密鑰的加密步驟 a )及c )要比具有公開密鑰的解加密步驟d )及ί ·)長 上2 0倍。 在本發明的特定實施例中，演算法A 1及A 2係與其 相對應部分A I及A 2 ’相同。 在本發明的特定實施例中，當步驟c )使用非對稱演 算法A 2的公開密鑰e 2及η 2時，則在步驟d )中便需 使用此演算法的私用密鑰d 2來對密碼c 3進行解加密。 當分散子系統的計算能力遠低於可取得的資源時’本實施 例便可提供其他的選擇性。 雖然晶片卡主要是用於將資料解加密’但也有些晶片 具有可執行加密作業的能力。在此情況下’上述的攻擊將 附屬於這些加密晶片卡中，而此加密晶片卡係位於保5蒦位 置（例如管理中心）之外進行操作。這就是爲什麼本發明 的方法可應用於連續的編.碼作業，也就是說：一旦取得逆 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐） -10 - ------------_襄 (請t閱讀背®-之注意事項再填寫本頁) ---L----訂-------l·-線“ 經濟部智慧財產局員Η消費合作社印製 546935 A7 B7 五、發明說明（9 ) 首先利用模組A 2 ’以指數e 2及魔術η 2所組成之所謂的 公開密鑰爲基礎來進行解加密作業。與加密作業相同地， 一旦可取得模組A 2 ’的部分結果C 2，便馬上傳送至模組 S ’，以進行第二個解加密作業。爲了結束解加密作業，模 組A 1 ’會根據由指數e 1及模數η 1所組成之公開密鑰爲 基礎來進行其操作。 在本發明的特定實施例中，兩模組A 1及A 2的密鑰 是相同的，亦即在加密端d 1 = d 2且η 1 = η 2。相同 地，在解加密期間的e 1二e 2且η 1 = η 2。在此情況 下，私用密鑰爲d，η而公開密鑰爲e，η。 在本發明的另一實施例中，（如圖3及圖4所示·）， 模組A 2使用所謂的公開密鑰而非所謂的私用密鑰。在加 密期間，模組A 2使用公開密鑰e 2，η 2 (見圖3 )， 而在解加密期間，模組A 2 ’使用私用密鑰d 2，η 2 (見 圖4 )來進行操作。雖然此結構顯現出解加密集合的工作 負擔，但此私用密鑰強化了模組A 2所提供的安全性。 圖3及4所顯示的範例並不受限於其他的組合。例如 ，模組A 1也可利用公開密鑰來執行加密作業，以及利用 私用密鑰來進行解加密作業。 具有密鑰S的加密/解加密模組也可利用具有與模組 A 1及A 2相同類型之非對稱密鑰的模組來取代。 本紙張尺度適用中國國家標準（CNS)A4規格（210 x 297公釐）-12 - 丨丨丨丨丨丨-----«裝 (請先閱讀背面之注意事項再填寫本頁) t - -----訂-------l· .線以 經濟部智慧財產局員工消費合作社印製

Claims (1)

1. Α8 Β8 C8 D8 六、申請專利範圍 附件4 : 第891 16663號專利申請案（修正後無劃線） (請先閲讀背面之注意事項再填寫本頁) 中文申請專利範圍替換本 民國92年6月6日修正 1 . ~種利用許多連續之加密/解加密模組的加密及 解加密方法，其特徵在於：一旦可取得來自逆流加密/解 加密模組之部分結果時，順流加密/解加密模組便開始其 作業。 2 ·如申請專利範圍第1項之方法，其特徵在於：一 旦可取得來自逆流解加密模組之部分結果時，順流解加密 模組便開始其解加密作業。 3 ·如申請專利範圍第1項之方法，其特徵在於：一 旦可取得來自逆流模組之部分結果時，順流加密模組便開 始其加密作業。 4 .如申請專利範圍第1至3項中任一項之方法，其 特徵在於··其實施三個模組（A 1 ，S，A 2 )，該中央 模組（S )係具有對稱性密鑰（k )的型態。 經 濟 部 智 慧 財 產 局 員 工 消 費 合 作 社 印 製 5 ·如申請專利範圍第1至3項中任一項之方法，其 特徵在於：與加密有關的第一模組（A 1 )與最後模組（ A 2 )以及與解加拾有關的弟一丨吴組（A 1 )與最後模組 (A 2 )係具有非對稱密鑰的R S A型態，亦即具有私用 密鑰以及公開密鑰。 6 ·如申請專利範圍第1至3項中任一項之方法，其 特徵在於··兩模組（A 1 ，A 2 )使用所謂的私用密鏡（ 本紙張尺度適用中國國家摞準（CNS ) A4規格（210X297公釐） 5469Q5

   申請專利範圍 d，n; dl，nl; d2， 2 )以進行加密作業，以 e 1 ，η 1 ’· e 2 ， 及使用所謂的公開密鑰（e，n η 2 )以進行解加密作業。 7 ·如申請專利範圍第1至3項中任一項之方法，其 特徵在於：兩模組（A 1 ，A 2 )使用相同的私用密鑰（ d，η)以及公開密繪（e，η)。 8 ·如申請專利範圍第6項之方法，其特徵在於：兩 模組（A 1 ’ A 2 )使用不同的私用密鑰（^ 1 ，^ 1 ; d 2，η 2 )以及公開密鑰（ e 2 ί 2 (請先聞讀背面之注意事項再填寫本頁) 參· 9 組 模 後 最， : 2 於 e 在c 徵鑛 特密 其開 ， 公 法的 田闫 i口 之所 項用 5 使 第間 圍期 範密 利加 專在 0 ) 申 2 如 A 第2 且 d 而C ， 鑰 ) 密 2 用 η 私 的 0 芽口 所 用 使 間 期 密 加 解 在 \)y 2 A /(V 組 模 2 η 訂- ο 於 A 在丨 徵組 特模 其密 ，加 法解 方\ 之密 項加 一 個 任三 中的 項鑰 3 密 至性 1 稱 第對 圍非 範有 利具 專施 請實 串 如 其 A 2 ，· 經濟部智慧財產局員工消費合作社印製 本紙張尺度適用中國國家標準（CNS ) A4規格（210X297公釐） -2 -