WO1997016003A1 - Sicherheitschip - Google Patents

Sicherheitschip Download PDF

Info

Publication number
WO1997016003A1
WO1997016003A1 PCT/DE1996/001813 DE9601813W WO9716003A1 WO 1997016003 A1 WO1997016003 A1 WO 1997016003A1 DE 9601813 W DE9601813 W DE 9601813W WO 9716003 A1 WO9716003 A1 WO 9716003A1
Authority
WO
WIPO (PCT)
Prior art keywords
chip
security
security chip
ami
module
Prior art date
Application number
PCT/DE1996/001813
Other languages
English (en)
French (fr)
Inventor
Günther EBERHARD
Jürgen GESSNER
Wolf-Dietrich Moeller
Manfred Schäfer
Original Assignee
Siemens Aktiengesellschaft
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Aktiengesellschaft filed Critical Siemens Aktiengesellschaft
Priority to EP96932453A priority Critical patent/EP0857382A1/de
Priority to JP9516179A priority patent/JPH11513864A/ja
Priority to UA98042063A priority patent/UA46064C2/uk
Publication of WO1997016003A1 publication Critical patent/WO1997016003A1/de

Links

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/341—Active cards, i.e. cards including their own processing means, e.g. including an IC or chip
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • G06Q20/40975—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners using encryption therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols

Definitions

  • cryptographic algorithms are used to encrypt the actual communication data.
  • Various algorithms are used, for example, to ensure the integrity, confidentiality or authenticity of the transmitted data or the communication partner.
  • Special security modules designed for individual applications are known, for example a security module for secure fax transmissions (Siemens, data security module DSM-Fax, secure fax transmissions, Siemens area security technology) or also for encryption of telephone conversations (Siemens, DSM -Voice-Telephoning in Confidence, Sie ⁇ mens area security technology; Luis Cypher, LC-1 The digital voice encryptor for tap-proof telephone calls).
  • a security module for secure fax transmissions Siemens, data security module DSM-Fax, secure fax transmissions, Siemens area security technology
  • DSM-Voice-Telephoning in Confidence, Sie ⁇ mens area security technology Siemens area security technology
  • Luis Cypher Luis Cypher
  • LC-1 The digital voice encryptor for tap-proof telephone calls).
  • the invention is therefore based on the problem of specifying a security chip which avoids the disadvantages mentioned above.
  • the security chip is completely decoupled from the application hardware and can only be “addressed” via a data interface and a command interface. Because the security chip also has its own processor, an on-chip bus to which the application hardware cannot access, and different algorithm modules which the most diverse security services based on asymmetrical and symmetrical algorithms perform, is the security universally applicable and does not provide any security-relevant information to the application hardware.
  • the application hardware and the application software could be loaded, configured and adapted as desired without endangering the security of the various crypto functions that are carried out with the algorithm modules.
  • the development of the security chip according to claim 6 implements an extension of the algorithm modules by additional security services and thus extends the applicability of the security chip.
  • Figure 1 is a sketch describing a possible arrangement of the security chip
  • FIG. 2 shows a block diagram describing possible algorithm modules
  • FIG. 3 shows an arrangement which represents the construction of a safe timer module. The invention is explained further with reference to FIGS. 1 to 3.
  • FIG. 1 An arrangement of a security chip SC is shown in FIG.
  • the security chip SC has at least the following components:
  • a secure command interface BS which is either led into a chip-internal data bus DB or directly into the processor P,
  • the chip-internal data bus DB via which the plurality VZ of independent algorithm modules AMi is coupled to the data interface DS, and
  • the encryption performance is no longer dependent on the processor P.
  • the chip internal data from the chip internal bus IB cannot be intercepted by an unauthorized third party, in particular at the data interface DS or manipulated.
  • the security chip SC can have the following components:
  • a wide variety of communication protocols can be used for communication between the individual components, that is to say for sequence control, of course independently of the communication protocol used by an application hardware AHW.
  • the data interface DS and the command interface BS are the only access points for the application hardware AHW on the security chip SC.
  • the application hardware AHW has no possibility of accessing the security chip SC and thus also the security-relevant data that are used and / or stored in the security chip SC.
  • the processor P can be any processor with a suitable speed which results directly from the requirements of the planned application.
  • the algorithm modules AMi are independent modules, each of which is “responsible” for a cryptographic protocol or method. These include, for example, methods or protocols for the encryption and decryption of user data, for integrity protection, or for digital signature (signature) or hash value formation.
  • the index i uniquely identifies each algorithm module AMi. It is any natural number in the range from 1 to n. Here n is the number of different Algorithm modules AMi implemented on the security chip SC.
  • An algorithm module AMi is, for example, a module that is specifically designed to carry out a cryptographic symmetrical method SV, for example the data description standard method (DES method).
  • the module can also be designed such that it can carry out the DES process with different key lengths, for example also the triple DES process.
  • DES method data description standard method
  • asymmetrical cryptographic algorithms AV are also carried out in the algorithm modules AMi.
  • Examples of asymmetric cryptographic algorithms AV are well known to any person skilled in the art, for example the RSA method.
  • algorithm modules AMi of the same type can also be provided on the security chip SC to carry out the same method, for example to increase the performance of the security chip SC.
  • This can e.g., it can also be provided in a way that an algorithm module AMi for processing an incoming data stream and another algorithm module AMi of the same design for processing an outgoing data stream is provided.
  • the algorithm modules AMi are used, among other things, for the encryption of user data, which are placed in plain text by the application hardware AHW on a chip-internal data bus DB via the data interface DS and with any encryption method defined by the application hardware AHW via the command interface BS that the algorithm module AMi used is selected from the plurality VZ of the independent algorithm modules AMi are encrypted.
  • the user data encrypted in the respective algorithm module AMi are again transmitted to the application hardware AHW via the chip-internal data bus DB and the data interface DS, now in encrypted form.
  • the parameters of the respective encryption request for the user data are made known to the security chip SC by the application hardware AHW via the command interface BS.
  • This can be, for example, the encryption algorithm to be used, the key length, or similar parameters that are necessary for the encryption of user data.
  • the method ie for example encryption of user data, is started by the application hardware AHW via the command interface BS.
  • the processor P controls the administrative processes for encrypting data in the security chip SC and also cryptographic protocols described below.
  • the processor P does not necessarily transport the encrypted, decrypted or processed with cryptographic methods user data. If not transported by the processor P, these are usually transported via the on-chip data bus DB and, which leads to a further advantage of the security chip SC, that the encryption performance SC is not dependent on the processor P.
  • the decoupling of the chip-internal data bus DS from the chip-internal bus IB ensures that the internal data which are transported via the chip-internal bus IB are not listened to or manipulated at the data interface DS.
  • Both unencrypted data and data that have to be buffered in order to carry out cryptographic algorithms are stored in the memory SP, for example intermediate keys in methods that work on the principle of exponential key exchange or intermediate keys that are used in the DES method be used, .
  • Additional algorithm modules AMi can be provided to carry out different security services, for example from known authentication protocols, or also to carry out methods for key exchange or for key generation of cryptographic keys.
  • the sensor module SM detects physical attacks on the security chip SC, possibly evaluates them and reports them to the processor P via the chip-internal bus IB.
  • the ZM timer module has at least the following components:
  • a timer interface SIO a timer controller ZC
  • the counting circuit ZS having at least:
  • the ZM timer module carries out autonomous tasks, for example to provide time stamps.
  • the time stamps are made available to other applications of the SC security chip via the ZIO timer interface.
  • the timer controller ZC controls the processes of the timer module ZM.
  • the timer interface ZIO represents the bus interface of the timer module ZM to the on-chip bus IB.
  • the timer interface ZIO is primarily required to handle communication with external controllers, in the case of the security chip SC with the processor P.
  • Connections are therefore provided to control the sequence of the cryptographic communication protocol, that is to say to control communication with other controllers, that is to say with the processor P. Furthermore, a connection is provided via which the timer module ZM attempts to tamper with the sensor module SM, be reported, e.g. B. manipulations on the clock. Additional connections are provided for exchanging the data of the timer module ZM, that is to say an absolute or relative time which is determined by the timer module ZM. No crypto-algorithms are carried out in the timer module ZM itself.
  • the other modules of the security chip SC are responsible for handling authentication protocols and other security functions.
  • the processor P must decide and monitor who is allowed to access the timer module ZM in what way via the timer interface ZIO.
  • the timer controller ZC controls the timer interface ZIO and the counter circuit ZS. In addition, the timer controller ZC receives logic commands from the processor P via the timer interface ZIO.
  • the logic commands of the processor P are interpreted by the timer controller ZC and implemented in the internal control of the timer module ZM.
  • the timer controller ZC thus monitors the functional sequence of the entire module. It thus represents the control unit of the timer module.
  • Commands with which the timer controller ZC influences the sequence of the timer module ZM can include the following functions, for example:
  • a data access control and a function access control are carried out by the timer controller ZC.
  • this includes, for example:
  • - Access to the timer module ZM is only permitted after a secret number has been successfully checked; - Access is only allowed after successful authentication;
  • the counter circuit ZS of the timer module ZM has, as described in the previous, among other things the real time counter RZ.
  • the real-time counter RZ is a counting circuit that is made up of cascaded modulo counters.
  • the cascading and synchronization of the real-time counter RZ can take into account the peculiarities of time jumps, for example caused by summer time or leap years, etc.
  • a counting of the “relative” time ie a monotone counting binary counter of sufficient length corresponding to the required time, is also provided.
  • the clock adaptation TA is used to generate a suitable time base for the time measurement in the timer module ZM with an external clock supply, as is the case, for example, with chip cards customary today.
  • the data buffer DB is used to store data that is required in the timer module ZM.
  • the algorithm modules AMi are designed in such a way that the key management is supported directly in hardware. This offers considerable performance advantages, especially in the case of rapid key changes between differently encrypted data streams. This is of particular importance in the area of packet-oriented telecommunications or data connections or in application sharing systems or multimedia applications, for example in a local area network (LAN) in which many packets are transmitted to different communication partners and processed differently by cryptography Need to become.
  • LAN local area network

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Physics & Mathematics (AREA)
  • Accounting & Taxation (AREA)
  • General Physics & Mathematics (AREA)
  • Strategic Management (AREA)
  • Computer Security & Cryptography (AREA)
  • General Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Finance (AREA)
  • Signal Processing (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Storage Device Security (AREA)

Abstract

Ein Sicherheitschip (SC) ist von einer Anwendungshardware (AHW) entkoppelt und nur über eine Datenschnittstelle (DS) und über eine Befehlsschnittstelle (BS) mit der Anwendungshardware (AHW) verbunden. Der Sicherheitschip (SC) weist einen eigenen Prozessor (P) und eine Vielzahl (VZ) unabhängiger Algorithmenmodule (AMi) zur Durchführung von symmetrischen Verschlüsselungsalgorithmen (SV) und/oder asymmetrischen Verschlüsselungsalgorithmen (AV) auf, wobei alle Komponenten des Sicherheitschips (SC) über einen chipinternen Bus (IB) gekoppelt sind. Durch die Tatsache, daß die Verfahren zur Schlüsselverwaltung und zur kryptographischen Nutzdatenverarbeitung auf dem Sicherheitschip (SC) zusammen durchgeführt werden, werden die Sicherheitseigenschaften des Sicherheitschips (SC) gegenüber bekannten Anordnungen erheblich verbessert.

Description

Beschreibung
Sicherheitschip
Zur Wahrung der Sicherheit von Kommunikationsbeziehungen, beispielsweise von Datenkommunikation oder auch Sprachkommu¬ nikation, werden kryptographische Algorithmen zur Verschlüs¬ selung der eigentlichen Kommunikationsdaten eingesetzt. Ver- schiedene Algorithmen dienen beispielsweise zur Sicherung der Integrität, der Vertraulichkeit oder der Authentizität der übertragenen Daten oder auch der Kommunikationspartner.
Es werden also Sicherheitschips benötigt, die die kryptogra- phischen Verfahren und Protokolle für verschiedenste informa¬ tionstechnische Anwendungen durchführen.
Es sind spezielle, für einzelne Anwendungen ausgerichtete Si- cherheitsmodule bekannt, beispielsweise ein Sicherheitsmodul für sichere Telefaxübertragungen (Siemens, Datensicherungsmo¬ dul DSM-Fax, sichere Faxübertragungen, Siemens Bereich Siche¬ rungstechnik) oder auch zur Verschlüsselung von Telefonge¬ sprächen (Siemens, DSM-Voice-Telephoning in Confidence, Sie¬ mens Bereich Sicherungstechnik; Luis Cypher, LC-1 Der digita- le Sprachverschlüssler für abhörsicheres Telefonieren) .
Weiterhin sind spezielle, für asymetrische Kryptoalgorithmen entwickelte Chipkartencontroller und Coprozessoren bekannt (IS-Aktuell, Produkte/Systeme, S. 7 - 17 bis 7 - 18, April 1993, 1993) .
Es sind weitere Sicherheitschips bekannt, bei dem entweder der symmetrische Kryptoalgorithmus hardwareunterstützt durch¬ geführt wird, aber der asymmetrische Kryptoalgorithmus nur von der Software unterstützt wird, oder umgekehrt (L. Gold¬ berg, New Encryption strategy uses hardware and Software to protect data on public networks, Electronic Design, S. 39-40, März 1995; G. Eberhard, Zwei neue Kryptoprodukte von Siemens der Chipkartenkontroller SLE44C200 und der Coprozessor SLE44CP2, Prozessoren für asymmetrische Algorithmen, IS- Aktuell, S. 7-17 - 7-18, April 1993) .
Diese bekannten Sicherheitsmodule weisen den Nachteil auf, daß sie jeweils nur auf ganz bestimmte Anwendungen einge¬ schränkt sind. Vor allem ist jeweils entweder nur ein asymme¬ trischer Algorithmus, die beide direkt hardwareunterstützt ablaufen, für die Datenverschlüsselung auf einem einzigen Si¬ cherheitschip vorgesehen oder nur eine symmetrische Datenver¬ schlüsselung auf einem Chip.
Diese Einschränkung führt zu einem weiteren Nachteil der bis- herigen Lösungen, daß sicherheitskritische Information in ei¬ ner die Verschlüsselungsalgorithmen durchführenden Rechenein¬ heit teilweise noch über einen ungesicherten Bus der Rechen¬ einheit übertragen wird, beispielsweise bei der Schlüsselver¬ waltung kryptographischer Schlüssel und der Übertragung von Nutzdaten und somit von einem Angreifer abgefangen werden kann.
Somit liegt der Erfindung das Problem zugrunde, einen Sicher¬ heitschip anzugeben, der die im vorigen genannten Nachteile vermeidet.
Das Problem wird durch den Sicherheitschip gemäß Patentan¬ spruch 1 gelöst.
Der Sicherheitschip ist von der Anwendungshardware komplett abgekoppelt und nur über eine Datenschnittstelle und eine Be¬ fehlsschnittstelle „ansprechbar". Da der Sicherheitschip ei¬ nen eigenen Prozessor, einen chipinternen Bus, auf den die Anwendungshardware nicht zugreifen kann, sowie unterschiedli- che Algorithmenmodule, mit denen die verschiedensten Sicher¬ heitsdienste, basierend auf asymmetrischen und symmetrischen Algorithmen durchgeführt werden, aufweist, ist der Sicher- heitschip universell anwendbar und gibt keinerlei sicher¬ heitsrelevante Information an die Anwendungshardware.
Dadurch kann die Anwendungshardware und die Anwendungssoft- wäre beliebig geladen, konfiguriert und angepaßt werden, ohne daß die Sicherheit der verschiedenen Kryptofunktionen, die mit den Algorithmenmodulen durchgeführt werden, gefährdet ist.
Durch die Weiterbildung des Sicherheitschips gemäß Patentan¬ spruch 5 ist es möglich, Angriffe auf den Sicherheitschip zu erkennen und auch eventuell darauf beispielsweise mit einer Löschung aller Daten, zu reagieren.
Die Weiterbildung des Sicherheitschips gemäß Patentanspruch 6 realisiert eine Erweiterung der Algorithmenmodule um weitere Sicherheitsdienste und erweitert somit die Anwendbarkeit des Sicherheitschips.
Weiterbildungen der Erfindung ergeben sich aus den abhängigen Ansprüchen.
Ein bevorzugtes Ausführungsbeispiel der Erfindung ist in den Zeichnungen dargestellt und wird im folgenden näher beschrie- ben.
Es zeigen
Figur 1 eine Skizze, die eine mögliche Anordnung des Sicher- heitschips beschreibt;
Figur 2 ein Blockdiagramm, das mögliche Algorithenmodule be¬ schreibt;
Figur 3 eine Anordnung, die den Aufbau eines sicheren Zeitge¬ bermoduls darstellt. Anhand der Figuren 1 bis 3 wird die Erfindung weiter erläu¬ tert.
In Figur 1 ist eine Anordnung eines Sicherheitschips SC dar- gestellt.
Der Sicherheitschip SC weist mindestens folgende Komponenten auf:
- einen Prozessor P,
- eine Vielzahl VZ von unabhängigen Algorithmenmodulen AMi zur Durchführung von Verschlüsselungsalgorithmen,
- einen Speicher SP,
- eine Datenschnittstelle DS, die von der Performance des Prozessors P unabhängig ist,
- eine sichere Befehlsschnittstelle BS, die entweder in einen chipinternen Datenbus DB oder direkt in den Prozessor P ge¬ führt ist,
- den chipinternen Datenbus DB, über den die Vielzahl VZ von unabhängigen Algorithmenmodulen AMi mit der Datenschnitt¬ stelle DS gekoppelt ist, und
- einen chipinternen Bus IB, mit dem alle Komponenten bis auf die Datenschnittstelle DS gekoppelt sind.
Durch die Abkopplung der Datenschnittstelle DS von dem chi¬ pinternen Bus IB istm die Verschlüsselungsleistung nicht mehr abhängig von dem Prozessor P. Außerdem können die chipinter¬ nen Daten von dem chipinternen Bus IB nicht von einem unbe¬ fugten Dritten insbesondere an der Datenschnittstelle DS nicht abgehört bzw. manipuliert werden.
Weiterhin kann der Sicherheitschip SC folgende Komponenten aufweisen:
- ein Zeitgebermodul ZM,
- ein Sensorikmodul SM und
- ein Aktorikmodul AKM. Auch diese Komponenten sind mit dem chipinternen Bus IB ge¬ koppelt.
Zur Kommunikation zwischen den einzelnen Komponenten, also zur Ablaufsteuerung, können unterschiedlichste Kommunikati¬ onsprotokolle, selbstverständlich unabhängig von dem von ei¬ ner Anwendungshardware AHW verwendeten Kommunikationsproto¬ koll, eingesetzt werden.
Die Datenschnittstelle DS und die Befehlsschnittstelle BS sind die einzigen Zugriffspunkte für die Anwendungshardware AHW auf den Sicherheitschip SC.
Auf eine andere Weise hat die Anwendungshardware AHW keine Möglichkeit, auf den Sicherheitschip SC und somit auch auf die sicherheitsrelevanten Daten, die in dem Sicherheitschip SC verwendet und/oder gespeichert werden, zuzugreifen.
Durch diese Abkopplung des Sicherheitschips SC von seiner
„Außenwelt" ist es für einen unbefugten Dritten, also einen Angreifer, nicht mehr möglich, sicherheitsrelevante Daten ir¬ gendeiner Art von dem Sicherheitschip SC zu erhalten.
Der Prozessor P kann ein beliebiger Prozessor mit einer ge¬ eigneten Geschwindigkeit sein, die sich direkt aus den Anfor¬ derungen der geplanten Anwendung ergibt.
Die Algorithmenmodule AMi sind unabhängige Module, von denen jedes jeweils speziell für ein kryptographisches Protokoll bzw. Verfahren „zuständig" ist. Darunter sind beispielsweise Verfahren oder Protokolle zur Verschlüsselung und Entschlüs¬ selung von Nutzdaten, zum Integritätsschutz, oder auch zur digitalen Unterschrift (Signatur) oder Hashwertbildung zu verstehen. Der Index i identifiziert jedes Algorithmenmodul AMi eindeutig. Er ist eine beliebige natürliche Zahl im Be¬ reich von 1 bis n. Hierbei ist n die Anzahl der verschiede- nen, auf dem Sicherheitschip SC realisierten Algorithmenmodu¬ le AMi.
Mögliche Ausführungsbeispiele für die Algorithmenmodule AMi werden im folgenden erläutert.
Ein Algorithmenmodul AMi ist beispielsweise ein Modul, das speziell zur Durchführung eines kryptographischen symmetri¬ schen Verfahrens SV, beispielsweise des Data Encription Stan- dard-Verfahrens (DES-Verfahrens) vorgesehen ist. Das Modul kann auch so ausgelegt sein, daß es das DES-Verfahren mit un¬ terschiedlichen Schlüssellängen, also zum Beispiel auch das Triple-DES-Verfahren durchführen kann. Weitere symmetrische kryptographische Verfahren SV erfahren können in weiteren Al- gorithmenmodulen AMi realisiert sein.
In einem weiteren Ausführungsbeispiel ist es vorgesehen, in den Algorithmenmodulen AMi auch asymmetrische kryptographi¬ sche Algorithmen AV durchzuführen. Beispiele für asymmetri- sehe kryptographische Algorithmen AV sind jedem Fachmann hin¬ länglich bekannt, beispielsweise das RSA-Verfahren.
Diese im vorigen beschriebenen symmetrischen Verschlüsselung¬ salgorithmen SV und asymmetrischen kryptographischen Algo- rithmen AV können sowohl gesondert als auch zusammen in un¬ terschiedlichen Algorithmenmodulen AMi auf dem Sicherheit¬ schip SC vorgesehen sein.
Es können auch mehrere Algorithmenmodule AMi gleicher Bauart zur Durchführung des jeweils gleichen Verfahrens auf dem Si¬ cherheitschip SC vorgesehen sein, beispielsweise zur Erhöhung des Performance des Sicherheitschips SC. Dies kann z. B. auch in einer Art vorgesehen sein, daß ein Algorithmenmodul AMi zur Verarbeitung eines ankommenden Datenstroms und ein ande- res Algorithmenmodul AMi gleicher Bauart zur Verarbeitung ei¬ nes abgehenden Datenstroms vorgesehen ist. Die Algorithmenmodule AMi dienen unter anderem der Verschlüs¬ selung von Nutzdaten, die über die Datenschnittstelle DS in Klartext von der Anwendungshardware AHW auf einen chipinter¬ nen Datenbus DB gelegt werden und mit einem beliebigen, von der Anwendungshardware AHW über die Befehlsschnittstelle BS festgelegten Verschlüsselungsverfahren, durch das auch das verwendete Algorithmenmodul AMi aus der Vielzahl VZ der unab¬ hängigen Algorithmenmodule AMi ausgewählt wird, verschlüsselt werden.
Die in dem jeweiligen Algorithmenmodul AMi verschlüsselten Nutzdaten werden wieder über den chipinternen Datenbus DB und die Datenschnittstelle DS, nun in verschlüsselter Form, zu der Anwendungshardware AHW übertragen.
Über die Befehlsschnittstelle BS wird durch die Anwendungs- hardware AHW dem Sicherheitschip SC die Parameter der jewei¬ ligen Verschlüsselungsanforderung für die Nutzdaten bekannt¬ gegeben. Dies können beispielsweise der zu verwendende Ver- schlüsselungsalgorithmus, die Schlüssellänge, oder ähnliche Parameter, die zur Verschlüsselung von Nutzdaten nötig sind, sein. Desweiteren wird durch die Anwendungshardware AHW über die Befehlsschnittstelle BS das Verfahren, also beispielswei¬ se eine Verschlüsselung von Nutzdaten, gestartet.
Der Prozessor P steuert die administrativen Abläufe zur Ver¬ schlüsselung von Daten in dem Sicherheitschip SC und auch von im weiteren beschriebenen kryptographischen Protokollen.
Der Prozessor P transportiert jedoch nicht notwendigerweise die verschlüsselten, entschlüsselten bzw. mit kryptographi¬ schen Verfahren bearbeiteten Nutzdaten. Diese werden übli¬ cherweise, falls nicht vom Prozessor P transportiert, über den chipinternen Datenbus DB transportiert und, was zu einem weiteren Vorteil des Sicherheitschips SC führt, daß die Ver¬ schlüsselungsleistung SC nicht abhängig ist von dem Prozessor P. Außerdem wird durch die Abkopplung des chipinternen Datenbus¬ ses DS von dem chipinternen Bus IB gewährleistet, daß die in¬ ternen Daten, die über den chipinternen Bus IB transportiert werden, an der Datenschnittstelle DS nicht abgehört oder ma¬ nipuliert werden.
Dies führt zu einer wesentlichen Verbesserung der Sicher¬ heitseigenschaften des Sicherheitschips SC gegenüber bekann- ten Sicherheitsmodulen, da sicherheitsrelevante Daten wie beispielsweise zur Verschlüsselung verwendete kryptographi¬ sche Schlüssel nicht mehr von unbefugten abgehört werden kön¬ nen.
In dem Speicher SP werden sowohl nicht verschlüsselte als auch Daten, die zur Durchführung von Kryptoalgorithmen zwi¬ schengespeichert werden müssen, gespeichert, beispielsweise Zwischenschlüssel bei Verfahren, die nach dem Prinzip des ex¬ ponentiellen Schlüsselaustausches arbeiten oder Zwischen- Schlüssel, die beim DES-Verfahren verwendet werden, .
Weitere Algorithmenmodule AMi können vorgesehen sein zur Durchführung unterschiedlicher Sicherheitsdienste, beispiels¬ weise von bekannten Authentikationsprotokollen oder auch zur Durchführung von Verfahren zum Schlüsselaustausch oder zur Schlüsselgenerierung kryptographischer Schlüssel.
Durch das Sensorikmodul SM werden physikalische Angriffe auf den Sicherheitschip SC detektiert, eventuell ausgewertet und über den chipinternen Bus IB an den Prozessor P gemeldet.
In dem Aktorikmodul AKM werden auf Anweisung des Prozessors P Schritte durchgeführt zur Abwehr von von dem Sensorikmodul SM detektierten Angriffen. Diese Sicherheitsmaßnahmen können zum Beispiel das Löschen aller zu dem Zeitpunkt in dem Speicher SP gespeicherten Daten sein. Das Zeitgebermodul ZM weist mindestens folgende Komponenten auf:
- eine Zeitgeberschnittstelle SIO, - einen Zeitgebercontroller ZC,
- eine Zählschaltung ZS, wobei die Zählschaltung ZS minde¬ stens aufweist:
-- einen Datenbuffer DB,
-- einen Realzeitzähler RZ, -- eine Taktanpassung TA, und
-- eine Zählerumschaltung ZU.
Das Zeitgebermodul ZM führt autonome Aufgaben beispielsweise zur Bereitstellung von Zeitstempeln aus. Die Zeitstempel wer- den über die Zeitgeberschnittstelle ZIO anderen Applikationen des Sicherheitschips SC zur Verfügung gestellt.
Der Zeitgebercontroller ZC übernimmt die Steuerung der Abläu¬ fe des Zeitgebermoduls ZM.
Die Zeitgeberschnittstelle ZIO stellt die Busschnittstelle des Zeitgebermoduls ZM zu dem chipinternen Bus IB dar. Die Zeitgeberschnittstelle ZIO wird in erster Linie benötigt, um die Kommunikation mit externen Controllern, im Falle des Si- cherheitschips SC mit dem Prozessor P, abzuwickeln.
Vorgesehen sind also Anschlüsse zur Steuerung des Ablaufs des kryptograghischen Kommunikationsprotokolls, also zur Steue¬ rung der Kommunikation mit anderen Controllern, also mit dem Prozessor P. Weiterhin ist ein Anschluß vorgesehen, über den dem Zeitgebermodul ZM Manipulationsversuche, die durch das Sensorikmodul SM detektiert wurden, gemeldet werden, z. B. Manipulationen am Takt. Weitere Anschlüsse sind vorgesehen zum Austausch der Daten des Zeitgebermoduls ZM, also einer absoluten oder relativen Zeit, die durch das Zeitgebermodul ZM bestimmt wird. In dem Zeitgebermodul ZM selbst werden keine Krypto- Algorithmen durchgeführt. Für die Abwicklung von Authentifi- kationsprotokollen und sonstigen Sicherheitsfunktionen sind die weiteren vorgesehenen Module des Sicherheitschip SC zu- ständig. Der Prozessor P muß entscheiden und überwachen, wer auf welche Weise über die Zeitgeberschnittstelle ZIO auf das Zeitgebermodul ZM zugreifen darf.
Der Zeitgebercontroller ZC übernimmt die Steuerung der Zeit- geberschnittstelle ZIO und der Zählschaltung ZS. Außerdem empfängt der Zeitgebercontroller ZC über die Zeitgeber¬ schnittstelle ZIO logische Befehle von dem Prozessor P.
Die logischen Befehle des Prozessors P werden von dem Zeitge- bercontroller ZC interpretiert und in die interne Steuerung des Zeitgebermoduls ZM umgesetzt. Somit überwacht der Zeitge¬ bercontroller ZC den funktionalen Ablauf des gesamten Moduls. Er stellt somit das Steuerwerk des Zeitgebermoduls dar. Be¬ fehle, mit denen der Zeitgebercontroller ZC den Ablauf des Zeitgebermoduls ZM beeinflußt, können beispielsweise folgende Funktionen beinhalten:
- Stellen der Uhrzeit des Zeitgebermoduls ZM (Datum, Zeit, Synchronisationsmechanismus) ; - Übernehmen von geladenen Uhrparametern in die aktuelle Uhr¬ funktion;
- Auslesen der Uhrzeit des Zeitgebermoduls ZM;
- Festlegen von Kalenderfunktionen (Monatsrhythmus, Berück¬ sichtigen von Schaltjahren, Berücksichtigen der Sommerzeit, usw. ) ;
- Festlegen von Uhr-Resetfunktionen, also Festlegen, ob ein Reset zu einer geordneten Zeit oder zu einer beliebigen Zeit stattfinden soll;
- Starten und Anhalten des Zeitgebermoduls ZM; - Parametrieren der Taktanpassung TA, also Festlegen der Pa¬ rameter, die zur Taktanpassung TA benötigt werden; - Parametrieren der Auflösegenauigkeit des Zeitgebermoduls, das heißt die Einstellung, ob das Zeitgebermodul ZM die Zeit in Sekunden, in Millisekunden oder in MikroSekunden messen soll; - Parametrieren des Übertragungsformats der Uhrzeit des Zeit- gebermoduls ZM
- Auslesen von Statusinformation über das Zeitgebermodul ZM;
- Parametrieren des Zählmodus, also ob binär oder modulo ge¬ zählt werden soll; - Ein- und Ausschalten eines Testmodus für das Zeitgebermodul ZM.
Außerdem wird durch den Zeitgebercontroller ZC eine Datenzu¬ griffskontrolle und eine Funktionszugriffskontrolle durchge- führt. Darunter ist in diesem Zusammenhang beispielsweise zu verstehen:
- Zugriff auf das Zeitgebermodul ZM ist nur erlaubt nach ei¬ ner erfolgreichen Prüfung einer Geheimnummer; - Zugriff ist nur erlaubt nach erfolgreicher Authentifizie¬ rung;
- Zugriff ist nur lesend erlaubt;
- Zugriff ist nur schreibend erlaubt.
Die Zählschaltung ZS des Zeitgebermoduls ZM weist, wie im vo¬ rigen beschrieben, unter anderem den Realzeitzähler RZ auf.
Der Realzeitzähler RZ ist eine Zählschaltung, die aus kaska- dierten Modulozählern aufgebaut ist. Die Kaskadierung und Synchronisation des Realzeitzählers RZ kann unter Berücksich¬ tigung der Besonderheiten von Zeitsprüngen, zum Beispiel durch Sommerzeit oder durch Schaltjahre, usw. verursacht, ge¬ schehen. Für einige kryptographische Anwendungen ist eine Zählung der „relativen" Zeit, d. h. ein monoten zählender Bi- närzähler ausreichender Länge entsprechend der benötigten Zeit, weiterhin vorgesehen. Die Taktanpassung TA dient der Erzeugung einer geeigneten Zeitbasis für die Zeitmessung bei dem Zeitgebermodul ZM bei externer Taktversorgung, wie dies beispielsweise bei heutzu¬ tage üblichen Chipkarten der Fall ist.
Der Datenbuffer DB dient zur Speicherung von Daten, die in dem Zeitgebermodul ZM benötigt werden.
Es ist weiterhin vorteilhaft, wenn die Algorithmenmodule AMi derart ausgelegt sind, daß die Schlüsselverwaltung direkt in Hardware unterstützt wird. Dies bietet vor allem bei schnel¬ len Schlüsselwechseln zwischen unterschiedlich verschlüssel¬ ten Datenströmen erhebliche Performancevorteile. Dies ist von besonderer Bedeutung im Bereich der paketorientierten Tele- kommunikation oder Datenverbindungen oder bei Applikations- Sharing-Systemen oder Multimedia-Anwendungen, beispielsweise in einem Local Area Network (LAN) , bei dem viele Pakete zu unterschiedlichen Kommunikationspartnern übertragen und un¬ terschiedlich kryptographisch bearbeitet werden müssen.

Claims

Patentansprüche
1. Sicherheitschip (SC) , - bei dem der Sicherheitschip (SC) nur über eine Daten¬ schnittstelle (DS) und über eine Befehlsschnittstelle (BS) mit einer Anwendungshardware (AHW) gekoppelt ist,
- bei dem ein Prozessor (P) vorgesehen ist,
- bei dem eine Vielzahl (VZ) von unabhängigen Algorithmenmo- dulen (AMi, i=l..n) zur Durchführung von
Verschlüsselungsalgorithmen vorgesehen ist, wobei die unab¬ hängigen Algorithmenmodulen (AMi) über einen chipinternen Bus (IB) mit dem Prozessor (P) gekoppelt sind und über ei¬ nen chipinternen Datenbus (DB) mit der Datenschnittstelle (DS) gekoppelt sind, und
- bei dem ein Speicher (SP) vorgesehen ist, der mit dem chi¬ pinternen Bus (IB) gekoppelt ist.
2. Sicherheitschip (SC) nach Anspruch 1, bei dem mindestens ein Algorithmenmodul (AMi) der Vielzahl (VZ) der Algorithmen¬ module (AMi) vorgesehen ist zur Durchführung symmetrischer Verschlüsselungsalgorithmen (SV) .
3. Sicherheitschip (SC) nach Anspruch 1 oder 2, bei dem min- destens ein Algorithmenmodul (AMi) der Vielzahl (VZ) der Al¬ gorithmenmodule (AMi) vorgesehen ist zur Durchführung asymme¬ trischer Verschlüsselungsalgorithmen (AV) .
4. Sicherheitschip (SC) nach einem der Ansprüche 1 bis 3, bei dem ein Zeitgebermodul (ZM) vorgesehen ist, das eine verlä߬ liche absolute Zeit und/oder eine verläßliche relative Zeit ermittelt und zur Verfügung stellt.
5. Sicherheitschip (SC) nach einem der Ansprüche 1 bis 4, bei dem ein Sensorikmodul (SM) und/oder ein Aktorikmodul (AKM) vorgesehen ist zur Detektion und von Angriffen auf den Si¬ cherheitschip (SC) und/oder zur Durchführung von Sicherheits- maßnahmen bei erkannten Angriffen auf den Sicherheitschip (SO .
6. Sicherheitschip (SC) nach einem der Ansprüche 1 bis 5, bei dem weitere Module vorgesehen sind zur Durchführung weiterer
Sicherheitsdienste.
7. Sicherheitschip (SC) nach einem der Ansprüche 1 bis 6, bei dem die Algorithmenmodule (AMi) derart ausgelegt sind, daß eine SchlüsselVerwaltung direkt in Hardware unterstützt wird.
PCT/DE1996/001813 1995-10-25 1996-09-25 Sicherheitschip WO1997016003A1 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP96932453A EP0857382A1 (de) 1995-10-25 1996-09-25 Sicherheitschip
JP9516179A JPH11513864A (ja) 1995-10-25 1996-09-25 セキュリティチップ
UA98042063A UA46064C2 (uk) 1995-10-25 1996-09-25 Мікросхема безпеки зв'язку

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE19539700.2 1995-10-25
DE19539700A DE19539700C1 (de) 1995-10-25 1995-10-25 Sicherheitschip

Publications (1)

Publication Number Publication Date
WO1997016003A1 true WO1997016003A1 (de) 1997-05-01

Family

ID=7775724

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/DE1996/001813 WO1997016003A1 (de) 1995-10-25 1996-09-25 Sicherheitschip

Country Status (6)

Country Link
EP (1) EP0857382A1 (de)
JP (1) JPH11513864A (de)
DE (1) DE19539700C1 (de)
RU (1) RU2180987C2 (de)
UA (1) UA46064C2 (de)
WO (1) WO1997016003A1 (de)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003525481A (ja) * 1999-05-07 2003-08-26 モーフィックス テクノロジー インコーポレイテッド プログラマブル機密保護プロセッサのための装置及び方法
US7937594B2 (en) 1999-05-07 2011-05-03 Infineon Technologies Ag Apparatus and method for a programmable security processor
WO2018233583A1 (zh) * 2017-06-19 2018-12-27 华为技术有限公司 终端设备及数据处理方法
RU224749U1 (ru) * 2023-07-11 2024-04-02 Открытое Акционерное Общество "Российские Железные Дороги" Высокоскоростное средство криптографической защиты информации

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000045546A2 (en) * 1999-01-29 2000-08-03 Gen Instrument Corp Multiple level public key hierarchy for performance and high security
TW546935B (en) 1999-08-30 2003-08-11 Nagracard Sa Multi-module encryption method
CN100448193C (zh) * 1999-08-30 2008-12-31 纳格拉卡德股份有限公司 多模块加密方法
DE10040854A1 (de) 2000-08-21 2002-03-21 Infineon Technologies Ag Chipkarte
DE10061997A1 (de) 2000-12-13 2002-07-18 Infineon Technologies Ag Kryptographieprozessor
DE10138014A1 (de) * 2001-08-02 2003-02-20 Kostal Leopold Gmbh & Co Kg Schlüssellose Zugangsberechtigungskontrolleinrichtung
JP2003316263A (ja) 2002-04-19 2003-11-07 Sony Corp 演算装置および演算方法
US20040190721A1 (en) * 2003-03-24 2004-09-30 Microsoft Corporation Renewable conditional access system
CN100566251C (zh) 2007-08-01 2009-12-02 西安西电捷通无线网络通信有限公司 一种增强安全性的可信网络连接方法
CN100512313C (zh) 2007-08-08 2009-07-08 西安西电捷通无线网络通信有限公司 一种增强安全性的可信网络连接系统
JP4631935B2 (ja) * 2008-06-06 2011-02-16 ソニー株式会社 情報処理装置、情報処理方法、プログラム及び通信システム
CN103605929B (zh) * 2013-11-17 2016-05-25 北京工业大学 一种支持多用户的可信硬件设备及其使用方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5355413A (en) * 1992-03-06 1994-10-11 Mitsubishi Denki Kabushiki Kaisha Authentication method performed between IC card and terminal unit and system therefor

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5355413A (en) * 1992-03-06 1994-10-11 Mitsubishi Denki Kabushiki Kaisha Authentication method performed between IC card and terminal unit and system therefor

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
MACMILLAN D: "Single chip encrypts data at 14 Mb/s", ELECTRONICS, 16 JUNE 1981, USA, vol. 54, no. 12, ISSN 0883-4989, pages 161 - 165, XP002023179 *
MULLER-SCHLOER C: "A microprocessor-based cryptoprocessor", IEEE MICRO, OCT. 1983, USA, vol. 3, no. 5, ISSN 0272-1732, pages 5 - 15, XP002023180 *
WALLACE J ET AL: "Dedicated processor brings economy to data encryption", ELECTRONIC DESIGN, 14 APRIL 1983, USA, vol. 31, no. 8, ISSN 0013-4872, pages 143 - 150, XP002023178 *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003525481A (ja) * 1999-05-07 2003-08-26 モーフィックス テクノロジー インコーポレイテッド プログラマブル機密保護プロセッサのための装置及び方法
US7937594B2 (en) 1999-05-07 2011-05-03 Infineon Technologies Ag Apparatus and method for a programmable security processor
US7996684B2 (en) 1999-05-07 2011-08-09 Infineon Technologies Ag Apparatus and method for a programmable security processor
WO2018233583A1 (zh) * 2017-06-19 2018-12-27 华为技术有限公司 终端设备及数据处理方法
RU224749U1 (ru) * 2023-07-11 2024-04-02 Открытое Акционерное Общество "Российские Железные Дороги" Высокоскоростное средство криптографической защиты информации

Also Published As

Publication number Publication date
JPH11513864A (ja) 1999-11-24
DE19539700C1 (de) 1996-11-28
UA46064C2 (uk) 2002-05-15
EP0857382A1 (de) 1998-08-12
RU2180987C2 (ru) 2002-03-27

Similar Documents

Publication Publication Date Title
DE19539700C1 (de) Sicherheitschip
DE60314060T2 (de) Verfahren und Vorrichtung zur Schlüsselverwaltung für gesicherte Datenübertragung
DE60200081T2 (de) Sichere Benutzer- und Datenauthenifizierung über ein Kommunikationsnetzwerk
EP0903026B1 (de) Verfahren zur Aushandlung einer Sicherheitspolitik zwischen einer ersten Computereinheit und einer zweiten Computereinheit
EP1777913B1 (de) Verfahren zur Verschlüsselung bzw. Entschlüsselung von Datenpaketen eines Datenstroms
DE60119857T2 (de) Verfahren und Vorrichtung zur Ausführung von gesicherten Transaktionen
US6981156B1 (en) Method, server system and device for making safe a communication network
EP1105998B1 (de) Verfahren und anordnung zur bildung eines geheimen kommunikationsschlüssels zu einem zuvor ermittelten asymmetrischen kryptographischen schlüsselpaar
DE102004024002B4 (de) Verfahren zur Authentifizierung von Sensordaten und zugehörigem Sensor
DE10212619A1 (de) Sichere Benutzerauthentisierung über ein Kommunikationsnetzwerk
EP1278332B1 (de) Verfahren und System zur Echtzeitaufzeichnung mit Sicherheitsmodul
DE3321910A1 (de) Vorrichtung und verfahren zum schuetzen von software
AT504634B1 (de) Verfahren zum transferieren von verschlüsselten nachrichten
EP3465513B1 (de) Nutzerauthentifizierung mittels eines id-tokens
EP0923826B1 (de) Anordnung und verfahren zur kryptographischen bearbeitung eines digitalen datenstroms, der eine beliebige anzahl von daten aufweist
EP1287655B1 (de) Verfahren zur authentizitätssicherung von hard- und software in einem vernetzten system
EP3648430A1 (de) Hardware-sicherheitsmodul
DE102006025369B4 (de) Verfahren und Vorrichtung zur Sicherung der Integrität und/oder Nichtabstreitbarkeit von paketbasierter, zeitkritischer Kommunkation
EP1801724A2 (de) Verfahren und Anordnung zum Bereitstellen sicherheitsrelevanter Dienste durch ein Sicherheitsmodul einer Frankiermaschine
DE19703970B4 (de) Verfahren zur Erfassung von Daten und deren Übermittlung in authentischer Form
DE112021004459T5 (de) Informationsverifizierungsvorrichtung, elektronische steuervorrichtung und informationsverifizierungsverfahren
DE10355865B4 (de) Verfahren und Chip zur kryptographischen Verschlüsselung von Daten
EP1054364A2 (de) Verfahren zur Erhöhung der Sicherheit bei digitalen Unterschriften
DE19642371C1 (de) Verfahren zum Austausch kryptographischen Schlüsselmaterials zwischen mindestens einer ersten Computereinheit und einer zweiten Computereinheit
DE19548387C1 (de) Verfahren zur kryptographischen Sicherung der rechnergestützten digitalen Kommunikation zwischen einem Programm und mindestens einer Benutzereinheit

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 96198962.9

Country of ref document: CN

AK Designated states

Kind code of ref document: A1

Designated state(s): CN JP RU UA US

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH DE DK ES FI FR GB GR IE IT LU MC NL PT SE

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 1996932453

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 1997 516179

Country of ref document: JP

Kind code of ref document: A

WWP Wipo information: published in national office

Ref document number: 1996932453

Country of ref document: EP

WWR Wipo information: refused in national office

Ref document number: 1996932453

Country of ref document: EP

WWW Wipo information: withdrawn in national office

Ref document number: 1996932453

Country of ref document: EP