TWI507004B - 無線通信網路中產生完美秘鑰的方法及裝置 - Google Patents

Description

無線通信網路中產生完美秘鑰的方法及裝置

本發明與無線通信安全的領域有關。具體來說，本發明與根據無線通道對等性的秘鑰產生有關。

雖然許多傳統密碼技術，都可以適用於無線通信之中，這些技術具有的問題，為該合法方所依賴的是，一竊聽者所面對因為計算困難度，而在數學上無法獲得一秘鑰。當竊聽者可利用的計算能力增加時，這些方法的效果便減少。此外，這些方法具有的問題，在於其通常以一種簡單的方法驗證一特定猜測是否正確。因此，建造一種提供絕對(無條件的)保密，而非根據計算假設的密碼技術是較有利的。執行此技術的一種方法，已經在先前技術中，由Maurer、Csiszar與Ahlswede及其他人的文獻中所知。以下敘述此方法的簡要描述。

假設有兩方人，Alice與Bob，已經存取兩個隨機來源X 及Y ，其在預定時間產生由下標i 所標註的獨立樣本X _i 與Y _i 。假設Alice與Bob是利用對於竊聽者Eve已經存取的公開通道通信，並希望產生“完美秘鑰”。此外，Eve也可以存取另一隨機來源Z，其產生獨立樣本Z _i 。該隨機來源Z可能是與隨機來源有關，但不像X與Y彼此之間具有強烈相關性。因此，直觀地，Alice與Bob利用該隨機來源較強的相互信賴關係，共享某些高於Eve的優勢。的確，其已經顯示Alice與Bob可以利用此信賴關係，產生“完美隨機秘鑰＂。

在不失去一般性下，秘鑰可以定義為位元序列。具有長度N 位元的完美隨機秘鑰，則稱為N 位元的序列S ，其由Alice與Bob共享，因此任一其他人(在此情況中，只有Eve)對於此秘鑰序列的估計，可以是對於所有可能N 位元序列的大體等機率分佈，在此有2 ^N 個。

使V 表示所有在該公開通道中所執行的通信；n 為該三方每一個累積其已經存取隨機來源的時間場合數目；|S |為該形成秘鑰的長度。則對於所有的ε >0，吾人尋找一種協定，其對於所有足夠大的n ，具有以下的關係：

其中H 為隨機變數的熵，可根據資訊理論由先前技術已知。注意方程式1是被正規化為該隨機來源的單一採樣，其為用於秘鑰產生的基本資源。

在方程式1可以等價考量為在[|S |/n ]下，該 H (S |V ,Z )的量，也稱為秘鑰率。此後，該秘鑰的長度標註以及該秘鑰率，在文章的適用下是可交換的。也就是說，無論何時提到一特定秘鑰長度，應該瞭解的是，這是根據某些基本隨機變數的具體量(n )觀測所導出。反之，當提到一秘鑰率時，此標註為每個隨機變數觀測的平均秘鑰數量之一。

值得注意的是在該上述秘密定義，與最新包含所有相關公開秘鑰系統的密碼系統之間存在差異。具體來說，新的密碼系統，為依賴在猜測該密碼秘鑰時，由一計算複雜觀點所衍生的極度困難性。然而，在多數這些系統之中，一旦產生了正確的猜測，便非常容易驗證其的確為正確的猜測。實際上，Maurer與Wolfe的研究，意味著其便不再是任何的公開秘鑰系統，換言之，公開產生加密秘鑰，但解密秘 鑰則保持秘密。為了描述該觀點，考慮以下公開秘鑰密碼系統可以根據的簡單範例，然而記住最實用的系統常常是更加複雜的。

使p 與q 為兩個大的基本數量，並使s =pq 。其已知對於兩個大基本數量的乘積分解因子問題是難以計算的。因此，一種可能的想法是，利用具有該通信目標所建構的公開秘鑰密碼系統，秘密地選擇p 與q ，並使其乘積s 可公開取得，其接著作為某些加密系統的加密秘鑰，並除非在已知p 與q 的情況下，否則是無法輕易解密的。想要攔截一加密信息的竊聽者，可能從攻擊該因子s 開始，其已知是難以計算的。據推測該竊聽者可以放棄，或在經過長時間後，該信息的秘密已不再是問題。然而要注意的是，萬一該竊聽者猜測p ，便可十分容易地驗證，其是否為正確解答。得知該最後猜測正確解答的能力，便使該計算秘密脫離“完美保密＂。完美保密指的是，即使該竊聽者正確地猜測出秘鑰，其也沒有能力確認其是否為真以及是否完成。因此，“完美保密＂是指，在一種非常特有的見識中，比起在最新密碼系統中普遍使用的概念而言，為更強健的密碼概念。

在我們的方案中，不明顯的是，這樣的協定產生完美秘密性應該存在。不過，其存在性或是許多其不同協定的存在，已經在Ahlswede與Csiszar、Csiszar與Narayan以及Maurer與Wolfe的研究中建立。這些先前研究在廣泛範圍的假設下，也對於每個隨機來源採樣，所可以產生的隨機位元數目，給定其上限與下限。

產生完美秘鑰的過程，接著可以如以下所描述。Alice與Bob首先利用其聯合隨機性，開始建立位元字串S ’，其內在熵從Eve的觀點來說則為|S |，且|S |≦|S ’|。這可以利用某些在Alice與Bob之間的公開交換量所完成。在許多情況中，訊號的單方交換便是足夠的。該交換的精確本質，與該聯合隨機來源(X ,Y ,Z )的本質有關。此步驟通常稱為資訊調解。

接著Alice與Bob可能使用另一組公開交換，一般單一交換也是足夠的，以公開地同意將序列S ＇轉換為完美秘密字串S 的功能。這一般稱為隱私增強。替代地，此功能可以在系統設計期間預先同意。

在以上描述的第一步驟之前，可以另外使用稱為優勢淨化(advantage distillation)的額外步驟，然而其在此並不相關，也不會對其進行進一步敘述。

當具體應用於一無線通信系統時，該過程必須進一步具體指明。當相關隨機來源於沒有事先通信下，而難以成為所產生的事前資訊時，該無線通道便只提供該通道脈衝響應形式的資源。具體來說，在某些通信系統中，兩個通信方(Alice與Bob)在從Alice通信至Bob及從Bob通信至Alice時，將測量非常相似的通道脈衝響應(例如，寬頻分工多重擷取系統(WCDMA)分時雙工(TDD)系統便具有此性質)。另一方面，實體上不和Alice與Bob相關的任一方，可能觀測到的通道脈衝響應，與Alice與Bob所觀測的之間，具有非常小的相關性。此差異便可以利用來產生完美秘鑰。同樣的，對每個通道脈衝響應測量，產生一些完美秘鑰也是重要的。注意該通道脈衝響應測量必須在時間中公平廣泛地分散，以便具有較多或較少的獨立性。

因此，便需要設計一種系統，當面對處於密碼學所應用的最壞情況下，竊聽者可以攔截介於兩無線終端之間任何位元的挑戰時，其能夠從對等無線通道，明確地取的該秘密位元字串，並知道由該兩終端所使用的演算法，以導出秘鑰。

然而另一問題是某人可能想將從兩收發器終端的完美秘鑰產生，延伸至多數收發器，因此完整的收發器網路便共享一共有的完美秘鑰，而只有每對之間共享其內在的獨特通道性質。也就是說，每對收發器產生一共有隨機秘鑰，但這些秘鑰在各對之間是不相同的。當相同的資訊必須被散佈至多於一個接收器時，其造成在這樣的網路 中共享資訊變得沒有效率。其理由是，該信息以對於每一個接收器而言為不同的秘鑰所加密，且之後以一種不同的信息出現，其因此必須分別與每個接收器進行通信。相比之下，以一共享秘鑰加密的信息可以被多重散佈一次，而所有的合法接收器，便能夠將該單一傳輸解密。

本發明為在無線通信網路中的多數終端之間，產生完美隨機秘鑰的方法與系統，因此其對於依竊聽者而言，在數學上是不可能導出或猜測所使用秘鑰的確實量。本發明利用在點對點無線通道中所固有的獨特隨機性。竊聽者可能會猜出正確的秘鑰，但其無法從錯誤的秘鑰中分辨。

在一對收發器之間，一引導收發器導出共享通道的通道脈衝響應估計，其接著被離散處理以產生長秘鑰。接著產生錯誤修正碼，並傳輸該同位位元至該第二收發器。同時產生一選擇性的同步位元字串，並傳輸至該第二收發器，以確保在該第二收發器處的同步通道脈衝響應估計。該第二收發器獨立地導出其本身的共享通道脈衝響應估計，並以該接收的同位位元以及由該引導收發器所傳送的同步碼，處理其本身的通道脈衝響應估計。其結果是如同在該引導收發器處所導出的相同長秘鑰，並除了該同位位元以外，不需要公開地共享該秘鑰。為了去除該交換同位位元所喪失的相關性與秘密性，每個收發器進一步利用一隱私增強處理，處理其長秘鑰。

這種建立完美秘鑰的技術，也延伸至一般網路設定，用於共享一單一完美秘鑰的三或多個收發器。

100、200‧‧‧收發器

501‧‧‧三節點網路

502‧‧‧四節點網路

CIR‧‧‧通道脈衝響應

CRC‧‧‧循環冗餘檢查

PA‧‧‧隱私增強

S‧‧‧聯合秘鑰

WKA‧‧‧弱秘鑰分析

本發明的詳細瞭解，可以從後續對於較佳實施例的描述，藉由 範例的方式所獲得，並結合伴隨圖示所瞭解，其中：第1圖顯示在收發器A處，該引導收發器中的秘密性處理塊狀圖示；第2圖顯示在收發器B的秘密性處理塊狀圖示；第3圖顯示對於該時間延遲域中同步問題的描述；第4圖顯示使用迴旋碼所進行的差異向量編碼；以及第5圖顯示一種三節點網路圖示，以及四節點網路圖示。

雖然本發明的特徵與元件，是以特定結合方式在該較佳實施例中敘述，每個特徵或元件也可以單獨使用(不與本發明的其他特徵及元件一起使用)，或是與本發明的其他特徵及元件，一起或獨立進行不同結合。

此後，收發器包括但不侷限為無線傳輸/接收單元(WTRU)、網路節點、使用者配備、移動站、固定式或移動式的用戶單元、呼叫器、或是具有在無線環境中操作能力的其他形式裝置。當此後談到基站時，其包含但不侷限為節點B、位置控制器、存取點，或是在無線環境中的任何其他形式介面裝置。

第1與第2圖分別顯示收發器100與200的塊狀圖示，其代表兩個在一點對點系統中通信的合法方。本發明在兩收發器100與200之間建立完美秘鑰，其中該收發器100，被選擇為該引導收發器(換言之，收發器100在該秘鑰建立過程中具有引導地位)。注意該收發器100與200較佳的是一較大通信系統及/或特殊用途超大型積體電路(ASICs)的子成分。在第1與第2圖中顯示的某些或所有的處理元件，在進行非秘密相關工作時可以彼此共享。

一般上，收發器100與200對於加密通信而言，遵循後續產 生完美秘鑰的初始處理步驟：

1)每個收發器互相傳輸特別設計的訊號或導引序列，其可以為了其他目的所使用。

2)該無線實體通道根據該實體環境、產生訊號凋零與扭曲，自然地或多或少修改該序列，但由於通道對等性，這些修改是高度相似的。據此，收發器100與200利用在其共享通道中的內在聯合隨機性，建立秘鑰。

3)每個收發器接著轉換其接收訊號，成為在某些形式中的二進位制序列(或某些離散形式)。

如在第1圖中所顯示，該引導收發器100包括通道估計器101、通道脈衝響應(CIR)後處理器102、隱私增強(PA)處理器103、塊碼編碼器104、選擇性的同步碼單元105、同位位元與同步碼多工器(MUX)106以及選擇性的弱秘鑰分析處理器112。

在收發器100處，該通道估計器101利用從收發器200所接收的無線電訊號，估計一通道脈衝響應，其接著由該通道脈衝響應後處理器102處理。該通道脈衝響應後處理器的主要工作，是將該估計的通道脈衝響應，轉換為位元字串，此後則稱為長秘鑰110。假設在該收發器100處，完成資訊調解處理，收發器200也將擁有該相同的位元字串，也稱為長秘鑰210。此長秘鑰110、210由於以下兩個理由，而並非是完美秘鑰：1)因為該通道脈衝響應樣本為潛在相關(對於高採樣比率而言為高度相關)，該位元則非獨立分佈；2)因為該協定的某些部分需要公開通信，該資訊的某些部分便已經洩漏至一潛在竊聽者。隱私增強處理器103便是用來補償這些問題。

作為該資訊調解處理部分，該塊碼編碼器104為了在收發器200處的錯誤修正，利用同位位元導出塊碼。在至少一較佳實施例中，該同步碼編碼器105產生用於將該收發器100與200之間通道脈衝響應估計進行同步的碼。該同位位元與同步碼位元便由該多工器106所 多工處理，以傳輸至該收發器200。

該選擇性的弱秘鑰分析處理器112則在長秘鑰110確認為弱長秘鑰時，用來偵測並拒絕該長秘鑰110。

如在第2圖中所顯示，收發器200包括通道估計器201、通道脈衝響應後處理器202、隱私增強處理器203、同位位元解碼器204、同步位元解碼器205、向上同步(synch-up)通道脈衝響應單元207、以及弱秘鑰分析處理器212。

在收發器200處，通道估計器201從該收發器100接收該無線電訊號，並估計該通道脈衝響應。該通道脈衝響應後處理器202，則用以過濾該通道脈衝響應估計。這兩個單元利用與收發器100中對應裝置101、102的相同方式操作。該通道脈衝響應後處理器202的輸出，是一種“隨機秘鑰＂位元字串。理想上，此字串根據存在於兩收發器之間的通道對等性，而與在收發器100上的長秘鑰相同。然而，該實際的通道脈衝響應估計由於通道脈衝響應扭曲、通道噪音、以及通道估計開始點的原因而並非相同；該兩字串實際上是或多或少不同的。

如果該通道脈衝響應後處理器202的實際輸出，與該通道脈衝響應後處理器102相同，則由隱私增強處理器203所進行的隱私增強以及選擇性的弱秘鑰分析，便可應用來產生與在收發器100處相同的完美秘鑰。該隱私增強處理器203的本質，與該隱私增強處理器103相同，而該弱秘鑰分析處理器212也與該弱秘鑰分析處理器112相同。隱私增強處理與弱秘鑰分析處理不能直接地對其應用。更確切地說，收發器200使用由該收發器100所傳輸的同位與同步碼，修正這些差異。

在實作該同步碼編碼器105的實施例中，該同步位元解碼器205與該同位位元解碼器204，將來自該接收訊號的同步位元與同位位元解碼。該向上同步通道脈衝響應單元207處理該解碼位元，並利用 收發器100的通道脈衝響應估計，將該通道脈衝響應估計同步。該同位位元解碼器204處理該解碼同位位元，並實作該同步通道脈衝響應估計的錯誤修正。該長秘鑰210現在已經復原為在收發器100處所存在的樣子，便可應用該隱私增強與弱秘鑰分析處理。來自收發器100埋入至該接收無線電訊號之中的長秘鑰210，便利用隱私增強處理器203處理，以提供該完美秘鑰。該選擇性的弱秘鑰分析處理器212，偵測並拒絕該弱長秘鑰。

現在敘述來自該通道估計所產生的完美秘鑰。收發器100與200兩者，都根據在該通道估計單元101與201處的接收無線電訊號，估計該通道脈衝響應。兩收發器在某些無線電訊號種類的傳輸期間，都必須支援此操作。典型地，這是一種為了不同於秘鑰產生的目的，由通道估計所使用的特別設計導引訊號。目前的多數系統由於資料估計的目的都有埋入。有許多方法可以用來實作此步驟，包含但不侷限為，為了協助在該另外的收發器處所進行的處理目的，由兩收發器傳輸的特別發信。這種發信實作可以包含使用一種像是在分時雙工中使用的中置碼、像是在IS-95中的連續導引，以及像是在許多正交分頻多工系統中，於某些頻率處埋入導引的分頻雙工系統。

該通道估計單元101與201的輸出，是該通道脈衝響應的一種數位化表現。該通道脈衝響應估計，可以利用多種不同方式產生並儲存，包含時間域、頻率域，以及使用一種抽象向量空間，只要在收發器100與200兩者中所使用的表現技術相同即可。在該較佳實施例中，在該通道脈衝響應估計器101、201輸出處的通道脈衝響應估計，提供一種產生秘鑰的振幅/曲線輸出，同時忽略該通道脈衝響應相位資訊。替代地，該通道估計的通道脈衝響應相位資訊，也可以在該處理中使用。根據該實作，只有部分有關於該通道脈衝響應的資訊具有對等性，並因此適用於產生共有秘密性。

從數位訊號產生通道脈衝響應的一般問題，為在該類比數位 (A/D)轉換器採樣相位中的差異，其可能造成通道脈衝響應估計大大的不同。如果將該通道脈衝響應儲存於時間域中，這便特別是個問題。如果，該通道脈衝響應儲存於頻率域中，便不是個顯著的問題。對於其他替代儲存方法而言，對此問題的認同也會不同。一個簡單處理此問題的方法，是在該天線處，於明顯大於該給定傳輸帶寬最小率(換言之，奈奎斯特(Nyquist)率)的速率下，進行類比訊號採樣。考慮奈奎斯特率的4至10倍，便可算是明顯的高。

因為在收發器100與200之間的通道對等性，在收發器處所產生的後處理通道脈衝響應估計應該非常相似。然而，介於該通道脈衝響應估計之間的差異，可以因為後續三種錯誤來源任一項，而引入至該收發器100與200。

第一種錯誤來源，來自於假設在該收發器100與200兩者處，同時產生通道估計的通道對等性。在此同時性中的差異，將造成在通道估計中的某些差異。

第二種錯誤來源，為該數位化通道脈衝響應估計，可能需要針對開始點進行同步。舉例而言，如果該估計是在時間延遲域中進行數位化，該通道脈衝響應有意義部分的開始處，可能出現在該兩收發器100與200中，對於參考時間原點的不同位置。如在第3圖中所顯示的，收發器100具有從參考時間原點起算的τ₁ 時間延遲，而收發器200則具有從參考時間原點起算的τ₂ 時間延遲，其中τ₁ ≠τ₂ 。作為另一範例，如果該通道脈衝響應是以頻率域表現所儲存，便需要假設開始頻率/參考相位的差異，以用來決定該儲存參數。

第三種錯誤來源，是由於任何無線通道中的內在干擾所引起的通道脈衝響應估計差異。此干擾可能是來自於在相同頻率中所操作的其他裝置及/或接收器噪音，及/或像是熱噪音的環境噪音。

確保在收發器100與200處通道估計的同時性，可以使用目前存在於通信系統中的許多方式所完成。一種這樣的方式，是具有與一特定系統時間聯繫的通道估計時序，像是一種無線電訊框或是時槽邊界，以及在全球行動通訊系統(UMTS)的超級訊框計數器。另一種方式，則是在收發器發射至支援通道估計的導引訊號中，埋入同步化訊號。替代地，可以從這樣的導引訊號導出一同步事件，而不需要埋入一特別訊號。第三種確保同時性的方法，是利用具有與該收發器兩者所存取全球位置定位系統(GPS)衛星的絕對參考時間，或是由無線通信系統所使用的共有系統時間，所聯繫的通道估計事件。第四種可能確保同時性的方式，是使用預定技術測量來回延遲，並接著根據此延遲進行同步。

當使用這些方法以後，仍存在小量的同步差異時，其很可能對於該系統效能而言，是小到不具有任何顯著影響。任何小量的殘餘差異，可以利用處理由於無線通道中所產生差異的相同機制處理，像是塊碼及循環冗餘檢查碼，其將在之後敘述。

為了該儲存通道脈衝響應的開始點同步化，可以利用記錄在收發器100處的開始點處理，並使用一種高度可靠碼的方式，傳輸至收發器200，以確保無錯誤傳輸。替代地，可以使用一種來自多種此類編碼(例如，無逗點碼)族的特別同步碼。因為該同步問題典型上是受到少量樣本的限制，只需要來自如此特別同步碼的受限效能。同步碼編碼器105結合同步位元解碼器205與向上同步通道脈衝響應單元207，以實作用於該儲存通道脈衝響應的開始點同步解決方式。當同步位元使用一種分離碼傳送時，解碼器205將該同步位元解碼，而向上同步通道脈衝響應單元207調整與該同步位元一致局部參考位置有關的通道脈衝響應考位置。替代地，使用於修正干擾錯誤的塊碼，可以結合上述兩種方法所利用，或是另外的如以下所敘述的方法。另外的一種替代方法，是使用一種對於此開始點同步問題為不敏感的通道脈 衝響應後處理方式。

該開始點同步也可以不需儲存該時序資訊碼而進行處理。一種這樣的方法，包含使該收發器100與200產生與共有時序來源(例如，全球位置定位系統)有關的同步訊號，而該通道脈衝響應估計，也可以根據這樣的訊號產生。替代地，該開始點同步可以利用與域無關的通道脈衝響應處理方式達成。然而，這樣的解決方式需要犧牲某些秘密比例。舉例而言，根據該較佳實施例，假設該通道脈衝響應相位資訊是被忽略的，該同步問題便不存在於頻率域之中。根據該通道的干擾程度，該保密比例損失可能變大或變小。作為另一範例，在非常吵雜的通道中，該相位資訊可能是高度不可信賴的，因此將其忽略會造成較小的保密比例損失。

塊碼編碼器104以同位位元的形式，提供系統性的錯誤修正碼，其在收發器200處，由同位位元解碼器204進行解碼，其中在傳輸字串與接收字串之間的差異，是因為通道干擾所產生。系統性的錯誤修正碼，是一種在解碼器204輸出的字碼之中，所包含該編碼器104的原始信息。在此，該系統性錯誤修正碼，是利用存在於該引導收發器100傳輸器中的編碼器104，以及位於該收發器200接收器中的同位位元解碼器204所實作。典型的，塊碼是由系統設計者所預先選擇。替代地，其可以根據某些即時門檻，也就是在收發器100與200之間通信的公開選擇所動態選擇。因為使用隱私增強，該塊碼實際上是公開所知，其不減少系統產生秘密性的能力。

該塊碼編碼器104取得該輸入位元，並產生一組同位檢查位元，其接著被傳輸而無須該輸入位元。該同位位元解碼器204接著結合從該通道所接收的同位位元，以及該通道脈衝響應後處理器的輸出，以產生完整的“訛誤字碼”，並將該長秘鑰210進行解碼。該同位位元的處理，完成該解碼操作，修正該通道脈衝響應後處理器202的輸出，因此，其現在便與存在於收發器100中的長秘鑰110相同。

根據本發明，該塊碼是以一種非傳統方式所利用。在收發器100處的通道脈衝響應估計，是使用作為該塊碼的輸入，然而，只有由該編碼器104所產生的同位位元被傳輸。收發器200，接收此可能帶有某些錯誤的傳輸，接著以其本身的通道脈衝響應估計處理，作為該字碼的信息部分，其也可能包含錯誤，並使用該接收的同位檢查位元，以修正這些錯誤。假設該塊碼是被良好選擇的，該同位位元解碼器204的輸出，便有很高的可能性會與該收發器100的通道脈衝響應估計相同。因此，收發器100與200已經成功獲得相同的字串，而只有某些部分被公開地洩漏，換言之，該同位檢查位元的傳輸。

在選擇塊碼時，假設一潛在竊聽者已經具有找出所使用塊碼的能力，因此不需要保持其秘密性。該塊碼的本質，只有在其錯誤修正能力的範圍是重要的，而編碼/解碼複雜度必須作為設計的考量。任何的系統性塊狀錯誤修正碼都可以使用，包含里德所羅門(Reed-Solomon)與渦輪碼。該塊碼的尺寸較佳的是被預先定義的，因為在多數系統中，可以設定該通道脈衝響應長度的合理上邊界。然而，如果無法達成，可以在公開的討論下，選擇來自預先同意編碼族的特定碼。替代地，可以選擇一塊碼族，例如一種具有可改變錯誤修正能力的族。接著該收發器100、200根據通道狀況(干擾程度、都普勒擴展等等)，從該塊碼族選擇將使用的碼。對於塊碼的同意，是透過公開通信所建立。因此所選擇的塊碼並不需要保持秘密及確保其秘密性，這並不會危及該系統。

在該產生字串中的剩餘秘密性，大致上是與該通道脈衝響應估計的初始熵相等，使用愈少的同位位元數量，一潛在竊聽者可能取得該通道脈衝響應估計的資訊便愈少。假設一竊聽者對於該通道脈衝響應估計的知識是微少的，為了最大的秘密性，盡可能使用愈少的同位位元是較佳的。另一方面，其需要足夠的同位位元量，以確保收發器200有很高的可能性，以幾乎與在收發器100處所相同的數位化序 列所結束，其中該可接受的可能性門檻是被預定的。因此，便可以實行從一編碼族選擇一塊碼，以符合一特定通道狀況的能力，並在此協調之中維持適當的平衡。此決策產生機制為該塊碼編碼器104的選擇性增加部分。

如同之前所介紹的，塊碼也可以用來支援該數位化通道脈衝響應的開始點同步。如果收發器200並不確定該精確的開始點，或是因為沒有使用向上同步機制，或因為其無法完全地降低不確定性，便會使其縮小為有限、典型小的可能性集合。接著其可以使用該接收的同位位元，以嘗試利用每一個的可能開始點進行解碼。在進行此項工作時，需要計算在其本身通道脈衝響應估計中，由該通道脈衝響應錯誤修正器206所修正的“錯誤＂數目。有很高的可能性，除了正確位置以外的所有位置，將造成非常高數量的修正；然而該正確的位置，則造成非常小數量的修正。在此形式中，該塊碼解碼處理便可以促進或支援該開始點同步處理。

雖然利用良好的錯誤修正碼，有很高的可能性會在兩終端處形成相同的秘鑰，該處理卻並非必定成功。如果該步驟失敗，該終端便以兩個不同的秘密字串做結束。即使只由一個單一位元造成差異，也無法再進行通信。此問題可以在多種方式之一所減緩。如果該終端具有偵測解密信息是否正確的方式，則該同意秘鑰的錯誤，便可由此方法所偵測。然而，這樣的偵測處理常常是不彈性的，或是在耗費通信資源的觀念中為太過昂貴。在此情況中，可以應用一種錯誤偵測碼的替代方法。

錯誤修正碼的一般形式為循環冗餘檢查(CRC)碼，其將在後續的範例中所敘述，為錯誤修正碼的較佳選擇。該循環冗餘檢查處理器108，根據一些預先選擇的循環冗餘檢查碼，計算用於長秘鑰的循環冗餘檢查檢查位元。該形成字串帶有循環冗餘檢查位元，並接著發送到該收發器200。

收發器200接著如以上所述的方法，精確地繼續進行塊狀解碼。在解碼之後，該循環冗餘檢查處理器208使用相同的循環冗餘檢查碼，計算其本身的循環冗餘檢查位元，並與從收發器100所接收的位元進行比較。如果該形成的錯誤修正字串通過該循環冗餘檢查檢查，便宣告成功。否則收發器200將宣告秘鑰產生失敗，並繼續重複秘鑰產生處理。

最後，當該通道狀況是夠好的時候，該通道脈衝響應便有很高的可能會完全相同，並簡單地由確認在收發器200處的同位位元中，沒有任何偵測錯誤，替代地使用塊碼進行錯誤修正。

作為一替代實施例，當利用一種非對稱錯誤碼時，該後續的範例描述一種綜合實作。假設Alice與Bob分別知道兩個相關的二進位獨立變數，以及相同的分佈序列Xⁿ =(X₁ ,...,X_n )及Yⁿ =(Y₁ ,...,Y_n )。Alice藉由傳輸Xⁿ 的資訊給Bob，希望Bob復原Xⁿ 。注意，當Bob已經藉由該相關序列Yⁿ 的方式而知道某些Xⁿ 的資訊時，Alice便不需要傳輸所有的Xⁿ 給Bob。一種已知的解決方法，是已知為史勒賓-沃夫界限(Slepian-Wolf bound)，其提出從Alice傳輸給Bob，並使得Bob能夠重建Xⁿ 的最小傳輸位元量為nH(X|Y)，其中H(X|Y)則是標註為給定條件的熵。使用根據本發明的綜合方式，該傳輸位元nH(X|Y)可以根據Yⁿ 與該傳輸的位元決定並重建Xⁿ 。以綜合方式為基礎的解決方法，對於使用低密度同位檢查(LDPC)碼進行錯誤修正的實施例而言是重要的，而一般上低密度同位檢查碼為非對稱的。

考慮以下簡單但用以說明的範例。令X³ =(X₁ ,X₂ ,X₃ )與Y³ =(Y₁ ,Y₂ ,Y₃ )，其為兩個(具有長度為3的)二進位制序列，其漢明(Hamming)距離不大於1。Alice與Bob分別觀測X³ 及Y³ 。Alice藉由傳輸X³ 的部分資訊，協助Bob重建X³ 。注意，如果Bob已知X³ 屬於{000,111}的集合，其可以簡單地將X³ 解碼，因為介於X³ 與Y³ 之間的漢明距離不大於1，而介於“000＂及“111”之間的漢明距離為3。因 此，如果Bob的解碼器知道不是X=000就是X=111，便可利用檢查何者在漢明距離中較為接近而解決其不確定性。同樣地，已知X³ 屬於{001,110}、{010,101}與{100,011}集合之一的知識，有助於Bob復原X³ ，這些集合的漢明距離都為3。因此，Alice只需要通知Bob，X³ 屬於(上述四個集合的)哪個集合。

該上述的四個集合，對其各別的子集合而言，具有3的漢明距離，則稱為線性碼{000,111}的共集，其具有同位檢查矩陣。該序列X³ 的綜合現象，驗證該有效字碼的同位檢查，並將其定義為P(X³ )^t ，其中t標示為轉置。已知的是，所有在相同共集中的序列，都具有相同的綜合現象，而在不同共集中的任兩個序列，具有不同的綜合現象。因此，Alice可以只傳輸其觀測X³ 的綜合現象，其象徵包含X³ 的共集。

現在回到在第1與第2圖中所顯示的隱私增強處理器103、203，其負責減少字串，因此該字串的位元長度大致上是與該秘鑰所提供的秘密性總量相等。其利用通用雜湊函數所實作，其中所使用的特定函數，可以是根據公開通信所預先同意或是根據公開通信所同意。該函數就像所使用的塊碼，並不需要維持秘密性，並可以因此根據使用公開無線通道而同意。

雜湊函數為一種轉換函數，其將維度的輸入字串，轉換成較小維度N；其中M>N：f ：{0,1} ^M =>{0,1} ^N 方程式5

雜湊函數一般適用在電腦科學中，以解決字典問題。該字典問題是定意為建立一種儲存給定項目(字、名稱、物件、秘鑰...等等)集合與其相關特性的機制，因此之後可以有效率地查詢各個項目。雜 湊函數則具有像是一給定集合查詢操作時間成本以及儲存與查詢機制簡易實作的特性。

獲得查詢操作成本時間是一項非常困難的工作，因為輸入字串一般上並不是來自於相同分佈，以及因為從一較大維度M映射至一較小維度N的複雜操作。為了這些理由，在雜湊函數輸出中的衝突並非相同，其中衝突是來自於有多於一個的不同輸入字串會形成相同的輸出數值。不同的結構，像是雙重雜湊、探根(線性與二次)、鏈鎖等等，被用來達成盡可能地接近這些雜湊函數的查詢操作成本時間。

本發明的雜湊函數，具有後續的性質，其有助於獲得該完美秘鑰。首先，該雜湊函數為單向不可反轉的，其在前向方向中的計算，是明顯易於反向方向之中。典型地，前向方向中需要幾秒的計算時間，而其無法計算獲得該反向結果。也就是說，對於一給定雜湊函數y =h (x )而言，對於給定x 時能夠簡單獲得y 的數值，而在給定y 數值時，無法計算獲得x 數值。

接著，根據本發明的雜湊函數，具有一種弱衝突阻抗與一種強衝突阻抗。弱衝突阻抗的定義如下。給定一信息x ，以及其雜湊數值(同樣也稱為信息摘要)y ，其無法計算找到另一個雜湊函數為相等的信息z ，換言之h (x )=h (z )。注意，該使用者不具有選擇該信息與其雜湊數值的選擇性，卻必須決定具有相同雜湊數值的不同信息。

一強衝突阻抗存在於無法計算獲得兩個不同的信息，其中x ≠z ，而其雜湊函數相同，換言之h (x )=h (z )。因此該使用者在此情況中可以選擇該信息，此性質便稱為強衝突阻抗。

這些性質是由多數的標準化雜湊函數所參照。有兩種主要的標準：安全雜湊演算法(SHA)族與濃縮訊息(MA)演算法族。此外，該安全雜湊演算法族與該濃縮訊息族在該加密系統的潛在攻擊者不具有計算資源以破壞時，為計算安全的。該通用雜湊函數對於破壞這種 加密系統的功用，是使其難以解決任何一般硬性問題(例如，大數目的分解因子、以複數模式之下，計算整數域的根、根據有限群集計算離散對數...等等)時，可證明為安全的。

根據本發明，通用雜湊函數g _{(a,b )} (x )，將每個具有尺寸為M位元的通用秘鑰{x }，映射至具有尺寸為N位元的固定雜湊數值，其中N<M，因此對於每一對秘鑰x _i ,x _j ，其中x _i ≠x _j 而言，該衝突數目是小的。也就是說，對於g(x _i ) =g(x _j ) 的衝突數目而言，為1/2^N 。

該雜湊數值則利用通用雜湊函數所導出，像是以下的方程式：g _{(a,b )} (x )=((ax +b )modp )mod 2N 方程式6

其中p 為質數，因此p ≧(2 ^M -1)；a ={1,2,...,p -1}：b ={0,1,...,p -1}。

考慮a 與b 的選擇範圍，其共有p (p-1 )的通用雜湊數值。這些函數的集合G ={g _{(a,b )} (x )}，共同地參考為該雜湊函數的通用類，且對於G (x _i )=G (x _j )的衝突數目而言，最多為|G |/2 ^N 。

該雜湊數值處理的結果，是假設已經被一竊聽者所攔截的公開交換位元，已經被“混淆(hashed out)”，其中該最終完美秘鑰並不包含被公開交換的位元。

注意當該長秘鑰110、210並不相關時，可以結合一種熵編碼器，或是一種像是柏洛-菲勒(Burrows-Wheeler)轉換的良好壓縮演算法，與該隱私增強處理一起使用。在某些情況中，使用這樣的編碼器，也可以去除一種以雜湊函數為基礎的隱私增強處理必要性，而成為一種可能利用的簡單解決方式(例如，只選擇某些輸出位元)。

最後，注意在某些情況中，以雜湊函數為基礎的隱私增強處理，在使用一種非對稱碼基礎的解決方法中是非必須的，如以上所談到利用低密度同位檢查碼所進行的的錯誤修正。

在該隱私增強之前或之後，可以引入一弱秘鑰分析(WKA)步驟，以進一步改善系統效能。如在第1與第2圖中所顯示，該弱秘鑰分析處理器112、212保護該系統對抗隨機產生完美秘鑰的可能性(儘管不太可能發生)，其根據某些外來的上下文資訊，而具有攔截的高度可能性。這種秘鑰的範例，包含所有都是1或0的串流，或是在一預定週期中的序列。該具體門檻則是由系統設計所選擇。

如果弱秘鑰分析偵測到一弱秘鑰，該適當的處理便拒絕該秘鑰，並重複該步驟。如果該塊碼處理或該隱私增強處理，牽涉到使用碼/雜湊函數的即時通信，便可以選擇一種新的碼/雜湊函數，並利用相同的通道脈衝響應重複該步驟。這將減少該秘鑰率；否則該終端必須等到可獲得的新通道脈衝響應為止。該秘鑰率的降低應該被報告。

上述描述解決方法的主要特徵，是在一大塊碼中產生隨機序列的情況。這些塊碼無法常常被更新，因為其必須等到該通道脈衝響應幾乎完全與之前的通道脈衝響應無關為止。然而，在某些情況中，吾人希望更常地更新小量的秘密位元。舉例而言，吾人可能想要具有一種“黑盒＂，其在頻率基礎上每次都共享一個該輸出秘密位元。一種達成此目的的方法，是取得該產生的秘密位元塊，並每次輸出一個。另一種方法是修正該上述的處理，以連續地產生小量的秘密位元。其可利用以下方式完成。在第1與第2圖中的高層次塊狀圖仍舊持續應用。然而，該通道估計單元101、201現在則產生該通道的頻率估計，而該通道脈衝響應後處理器102、202則產生介於目前與先前估計之間的差異向量。

該差異向量可以利用多種方式產生。最簡單的方法是簡單的 取得介於該通道脈衝響應兩個連續表示之間的差異。然而，這通常不是完成此工作最有效率的方式。較佳的替代方式，包含利用像是卡門(Kalman)預測濾波器等等的良好預測濾波器，連續地過濾該通道脈衝響應，並取得該預測與實際觀測數值之間的差異。也可以使用這些解決方式的其他變化。

注意在此當通道脈衝響應與測量之間相關時，取得該差異是有實用價值的，因為取得該差異將移除冗位。另一種解決方法是取得該通道在某些頻率處的獨立樣本，其確保欠缺相關，並接著對該估計執行一種先進先出(FIFO)的解決方式，並接著在某些間隔處與新的數值通信，以允許連續地更新並改變該秘鑰。此處的秘鑰目的，是在給定時間中傳輸最少的資訊，以在想要的頻率處產生新的獨立秘鑰。

該差異向量很可能是小的，而因此對其塊狀編碼應該並不是非常有效。然而，吾人可以檢視差異現象序列的資訊串流。以迴旋碼對該資訊串流進行有效的編碼，並因此提出一種系統性的迴旋碼，作為以上敘述系統性塊碼的置換。

第4圖顯示這種編碼器的塊狀圖，其位於該引導收發器100之中，取代在第1圖中所顯示的塊碼編碼器104。差異向量串流401則被提供至標準迴旋編碼器402(典型地是利用XOR邏輯閘所進行的移動標示)之中，其產生一個或數個的平行同位串流403(為了簡化僅顯示一個)。這樣的串流典型上包含多於應該要傳輸的位元量，以維持想要的保密程度。然而，如同該迴旋碼的比率，是有效率地由穿刺所控制，該同位串流403也根據想要的傳輸率404，在傳輸之前由一穿刺處理器405所穿刺。此外，藉由應用改變該穿刺量，收發器100可以有效的協調該碼對於所產生隨機性總量的錯誤修正能力。如同使用塊碼的第一實施例，根據像是通道干擾程度的通道狀況而改變該迴旋編碼比率，可提供最佳化的處理。

繼續回到使用迴旋錯誤碼的實施例，在收發器200中，一標準迴旋碼解碼器(例如，維特比解碼器)是用來取代該同位位元解碼器204(第2圖)，其中該系統性的輸入為局部產生的差異向量。如同具有塊碼一樣，該碼的本質是假設為公開已知，並因此可使用其碼族。然而，因為可利用穿刺或重複，以非常有效率地進行錯誤修正效能與殘餘秘密性之間的衡量，也不太需要利用此解碼器。

在建立根據在兩方之間的該通道脈衝響應估計，而產生秘鑰的必須技術後，便可將其延伸至接著所考慮，較寬的網路之中。如之前在背景知識中所敘述的，該問題基本上如以下所述。對於所有合法方而言，其較佳的是共享該相同的秘鑰。然而，當每對收發器都共享同樣的通道脈衝響應時，此性質精確地支援根據該通道脈衝響應，產生該完美秘鑰。如果每對收發器僅利用其本身的相同通道脈衝響應，則每對收發器很可能以其本身秘鑰作為結束。此造成在這樣網路中進行共有資訊傳輸是不實際的，因為以不同秘鑰所解密的相同信息，造成該密文的統計獨立情況。透過無線通道進行獨立資訊傳輸，並接著在這樣的通道中散佈相同資訊，是明顯地缺乏效率。吾人現在提出在多於兩個終端的網路中，產生相同秘鑰的一些方法。

以下敘述在一般網路中，一種根據延伸樹的簡單處理方法。該網路節點(收發器)形成一種樹狀結構，而不在該樹中的連接鏈結(通道脈衝響應)則被忽略。任何彈性秘鑰長度可以透過一些先前的通信方法所建立，其中彈性意味著每個在該樹中所使用的鏈結，可以用來產生至少此尺寸的秘鑰。

每對連接節點根據其本身的通道脈衝響應，利用以上對於收發器100及200所敘述的方式，建立一暫時秘鑰。一旦完成此項工作，在該樹狀結構根部的節點，選擇許多可能的秘鑰之一，並作為該固定秘鑰。其接著使用為了所有其他鏈結所建立的暫時秘鑰，並將此秘鑰與其子代節點通信。該子代節點接著使用已經建立的暫時秘鑰，進一 步往該樹狀結構下的固定秘鑰通信，並繼續下去。一旦該固定秘鑰達到所有的葉部節點，該網路便共享一共有秘鑰，並建立起共有秘密通信。這樣的通信根據為了秘鑰分佈所定義的樹狀結構，並不一定必須進行。

注意在一單一終端作為秘鑰分佈伺服器的散佈方案，是一種上述情形的特別情況，其中該樹狀結構在該根部(該伺服器終端)以下只具有一層。在該方案之中，該最短的暫時秘鑰可以作為一固定秘鑰，而建立此特定秘鑰的根部與葉部節點便不再需要通信。該秘鑰是利用其暫時秘鑰，散佈至其他的節點。隨然這是最簡單的樹狀配置，其可以高度應用於集中式網路中，像是在蜂巢式網路中，將該基站自然選擇為該根部節點，或是在無線區域網路中，將該存取點自然選擇為根部節點。

接著敘述根據本發明，用於網路產生的更複雜解決方式。考慮網路，其每對節點產生與所有其他產生秘鑰獨立的秘鑰。與該產生對所不同的其他節點，也不具有該秘鑰的知識。此模型實際上是應用於某些情況之中。一個範例是在無線網路中，該節點使用其點對點通道的相同特性，以產生秘鑰。這種通道性質的結果是，忽略和其他節點(無論是合法方或是敵人)可能具有對特定對通道的知識，因此此範例的模型在此具有直接的應用性。其較佳的是在此網路周圍分佈單一秘鑰。

第5圖顯示三節點網路501與四節點網路502。另S _kl 表示由節點k 與l 所共享的秘鑰，而|S _kl |為此秘鑰長度，從該三節點網路501開始，假設|S ₁₂ |>|S ₁₃ |，並考慮後續對策。首先，節點1作為該伺服器，以節點2與3，利用以上敘述的散佈解決方式，建立一聯合秘鑰。選擇該兩秘鑰的最小尺寸秘鑰，假設其為|S ₁₃ |。然而，節點1與2仍然共享長度為|S ₁₂ |-|S ₁₃ |的剩餘秘密字串，其是未使用的。根據比較|S ₂₃ |與|S ₁₂ |-|S ₁₃ |，節點2可以使用這些剩餘位元，以傳輸某些或全部的字串S ₂₃ ， 其假設與S ₁₂ 及S ₁₃ 獨立。因此，使用此對策，該網路可以產生長度為|S |的共享秘鑰：|S |=min[|S ₁₂ |,|S ₁₃ |+|S ₂₃ |] 方程式7

接著，考慮該四節點網路502，其中|S ₁₂ |>|S ₁₃ |>|S ₁₄ |。使用上述的三節點網路對策，節點2、3及4共享一共有秘鑰S _{2,3,4} ，其與S ₁₂ 、S ₁₃ 、S ₁₄ 獨立。接著節點1利用該散佈網路解決方式，分佈字串S ₁₄ 至節點2與3，選擇S ₁₄ 是因為其為最短的字串。接著，節點2使用長度為|S ₁₂ |-|S ₁₄ |的未使用秘鑰部分，以盡可能地提供S _{2,3,4} 至節點1。因此，該網路現在共享長度為|S |的秘鑰；|S |=min[|S ₁₂ |,|S ₁₄ +S _{2,3,4} |] 方程式8

為了將此解決方法一般化，引入後續標註。考慮具有標註為1至K的k 節點網路，並令Π代表這些標註的排列集合。給定一組點對點秘鑰率{S _lk }，且l ≠k ，則整體看來，由該網路可達成的秘鑰率具有下限為：

其中

而L ₂ (π )=|S _{π (1)π (2)} | 方程式9c

100‧‧‧收發器

CIR‧‧‧通道脈衝響應

CRC‧‧‧循環冗餘檢查

PA‧‧‧隱私增強

WKA‧‧‧弱秘鑰分析

Claims (16)

1. 一種完美加密秘鑰產生方法，包括：在一第一無線傳輸/接收單元(WTRU)處接收一無線電訊號；在該第一WTRU處，從一第二WTRU接收一天線配置資訊；針對該無線電訊號，在該第一WTRU處產生一通道脈衝響應(CIR)估計，其中該CIR估計是至少部份基於該天線配置資訊而產生；確定該第一WTRU處的該CIR估計內的一開始點；從該第一WTRU傳輸該開始點至該第二WTRU；基於該第一WTRU處的該CIR估計，產生一長秘鑰；以及基於該第一WTRU處的該長秘鑰，產生一完美加密秘鑰。
2. 如申請專利範圍第1項所述的方法，其中該無線電訊號是接收自該第二WTRU。
3. 如申請專利範圍第1項所述的方法，更包括：選擇一塊碼；產生複數個塊碼同位位元；以及將該複數個塊碼同位位元傳輸至該第二WTRU。
4. 如申請專利範圍第3項所述的方法，其中該塊碼是基於一通道條件來選擇。
5. 一種無線傳輸/接收單元(WTRU)，包括：一接收器，被配置以接收一無線電訊號以及從一第二WTRU接收一天線配置資訊；一處理器，被配置以：產生用於該無線電訊號的一通道脈衝響應(CIR)估計，其中該CIR估計是至少部份基於該天線配置資訊而產生； 確定該CIR估計內的一開始點；基於該CIR估計，產生一長秘鑰；以及基於該長秘鑰，產生一完美加密秘鑰；以及一傳輸器，被配置以傳輸該開始點至該第二WTRU。
6. 如申請專利範圍第5項所述的無線傳輸/接收單元(WTRU)，其中該無線電訊號是接收自該第二WTRU。
7. 如申請專利範圍第5項所述的無線傳輸/接收單元(WTRU)，其中該處理器更被配置以選擇一塊碼、以及產生複數個塊碼同位位元；以及其中該傳輸器更被配置以將該複數個塊碼同位位元傳輸至該第二WTRU。
8. 如申請專利範圍第7項所述的無線傳輸/接收單元(WTRU)，其中該塊碼是基於一通道條件來選擇。
9. 一種完美加密秘鑰產生方法，包括：在一第一無線傳輸/接收單元(WTRU)處接收一無線電訊號；在該第一WTRU處，從一第二WTRU接收一天線配置資訊；在該第一WTRU處，從該第二WTRU接收用於一通道脈衝響應(CIR)估計的一開始點；在該第一WTRU處，使用該開始點來產生針對該無線電訊號的一CIR估計，其中該CIR估計是至少部份基於該天線配置資訊而產生；基於該CIR估計，產生一長秘鑰；以及基於該長秘鑰，產生一完美加密秘鑰。
10. 如申請專利範圍第9項所述的方法，其中該無線電訊號是接收自該第二WTRU。
11. 如申請專利範圍第9項所述的方法，更包括：從該第二WTRU接收複數個塊碼同位位元。
12. 如申請專利範圍第11項所述的方法，更包括：使用該複數個塊碼同位位元以對該CIR估計執行一錯誤修正。
13. 一種無線傳輸/接收單元(WTRU)，包括：一接收器，被配置以：接收一無線電訊號；以及從一第二WTRU接收一天線配置資訊；以及從該第二WTRU接收用於一通道脈衝響應(CIR)估計的一開始點；以及一處理器，被配置以：使用該開始點來產生針對該無線電訊號的一CIR估計，其中該CIR估計是至少部份基於該天線配置資訊而產生；基於該CIR估計，產生一長秘鑰；以及基於該長秘鑰，產生一完美加密秘鑰。
14. 如申請專利範圍第13項所述的無線傳輸/接收單元(WTRU)，其中該無線電訊號是接收自該第二WTRU。
15. 如申請專利範圍第13項所述的無線傳輸/接收單元(WTRU)，其中該接收器更被配置以從該第二WTRU接收複數個塊碼同位位元。
16. 如申請專利範圍第15項所述的無線傳輸/接收單元(WTRU)，其中該處理器更被配置以使用該複數個塊碼同位位元來對該CIR估計執行一錯誤修正。