WO1999025090A1 - Verfahren zum identifizieren von verrätern proprietärer daten - Google Patents

Verfahren zum identifizieren von verrätern proprietärer daten Download PDF

Info

Publication number
WO1999025090A1
WO1999025090A1 PCT/EP1998/007045 EP9807045W WO9925090A1 WO 1999025090 A1 WO1999025090 A1 WO 1999025090A1 EP 9807045 W EP9807045 W EP 9807045W WO 9925090 A1 WO9925090 A1 WO 9925090A1
Authority
WO
WIPO (PCT)
Prior art keywords
finite
traitor
traitors
hyperplane
key
Prior art date
Application number
PCT/EP1998/007045
Other languages
English (en)
French (fr)
Inventor
Jörg Schwenk
Johannes Ueberberg
Original Assignee
Deutsche Telekom Ag
Daimlerchrysler Services (Debis) Ag
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Deutsche Telekom Ag, Daimlerchrysler Services (Debis) Ag filed Critical Deutsche Telekom Ag
Priority to JP2000519971A priority Critical patent/JP2001523018A/ja
Priority to EP98961135A priority patent/EP1031205A1/de
Priority to US09/554,177 priority patent/US6760445B1/en
Priority to AU16667/99A priority patent/AU1666799A/en
Publication of WO1999025090A1 publication Critical patent/WO1999025090A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C5/00—Ciphering apparatus or methods not provided for in the preceding groups, e.g. involving the concealment or deformation of graphic data such as designs, written or printed messages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H04L2209/606—Traitor tracing

Definitions

  • the invention relates to a method according to the preamble of claim 1.
  • a key point of the scheme described in this article is that the session key s used to encrypt the data is divided into t subkeys s, ..., s. Only with knowledge of all t parts can the session key S be reconstructed.
  • Each of these sub-keys s lf . , , , s t is then encrypted with each encryption key from a set of encryption keys PK, and the entirety of these cryptograms is presented to the data as a so-called "access block".
  • Each authorized subscriber U receives a subset of the encryption keys PK (U) ⁇ zPK, which enables him to calculate all subkeys s lf ..., s t .
  • the task is to develop a method for identifying traitors of proprietary data, which enables and without doubt the identification of at least one traitor U (i.e. an authorized subscriber U who has unauthorizedly passed on one of his subkeys to a third person) j
  • the method according to the invention is also based on the fact that the data to be encrypted are encrypted with a session key S.
  • the session key S is divided into t partial keys s 1 , ... s t , all of which are required for the reconstruction of the session key S.
  • Encryption key PK encrypted The entirety of these cryptograms is placed in front of the data to be encrypted as an access block.
  • the method according to the invention includes a search scheme which differs from the search scheme of the method described above by its deterministic construction.
  • Encryption key PK to the authorized subscriber U according to geometric structures and methods of finite geometry.
  • PK U
  • the authorized subscribers U are each represented as a point in a finite affine level.
  • a finite affine level can be thought of as a Euclidean (i.e. "normal") level, which only contains a number of points.
  • Such a finite affine plane is also called AG (2, q), where the number 2 is the dimension of a plane and the parameter q specifies the number of points that lie on a straight line in the plane.
  • level q contains 2 points.
  • Such levels can be constructed as a 2-dimensional vector space over the finite field GF (q), ie they exist for all prime powers q.
  • GF finite field
  • Each parallel family of the finite affine plane AG (2, q) contains q lines. In order to obtain a k-resilient procedure, the
  • Session key (S) in t k 2 + 1 partial key s ⁇ r s. divided up. Now k 2 - + ⁇ 1 parallel pairs are selected. Each of the q (k 2 + 1) lines in these
  • An encryption key from PK is assigned to parallel sets, and the partial key s is encrypted with all encryption keys belonging to the i-th parallel set. Each authorized subscriber U receives exactly those
  • the authorized subscriber 1 receives the encryption keys k : and k 4 here , since the two straight lines which are assigned to these encryption keys go through his point.
  • the scheme according to Fig. 1 is resilient, because the authorized subscriber U has at most one encryption key k ⁇ in common with every other authorized subscriber U, so his set of encryption keys does not cover any other set of encryption keys. If the authorized participant u were a traitor, he would have to have both of them
  • the method according to the invention is also suitable for proving the unauthorized transfer of encryption keys by at most k authorized subscribers, that is, for proving a traitor in a coalition of at most k traitors.
  • At least one of the traitors t / must donate at least k + 1 encryption keys so that a complete set of k 2 + 1 encryption keys for the pirate decoder come together. (Pigeon loft principle: if you distribute k 2 + 1 pigeons to just k beats, at least one k + 1 pigeon must sit in at least one loft)
  • Knowing encryption key which lies on the connecting line between the point of the innocent authorized subscriber U and the point of the traitor U. There are exactly k such connecting lines in affine planes, and not all of them have to belong to one of the selected parallel sets (cf. FIG. 2).
  • a set of (d-1) k 2 + 1 subspaces of dimension d-2 is selected, which have the property that at most d-1 of these subspaces intersect at a common point on the hyperplane H.
  • the set of these subspaces is denoted by E.
  • E can be constructed by considering a rational norm curve in the hyperplane H dual to the hyperplane H. You get H from H (and vice versa) if you get the
  • a rational norm curve R of H can be considered as homogeneous coordinates
  • R ⁇ (l, t, t:, ..., t d - '')
  • TGGF (q) ⁇ ⁇ ⁇ ⁇ 0,0,0, ..., 0,1 ⁇ are given.
  • the points of R in H have the property that at most d-1 of them lie in a common hyperplane (of H).
  • the points from R become hyperplanes of a set R, which have the properties that at most d-1 of these hyperplanes intersect in a common point.
  • the set E is obtained by selecting (d-1) k 2 + 1 elements from R.
  • Each authorized subscriber u is now assigned a point in in the finite projective space PG (d, q) that is not in the hyperplane H (after removing the hyperplane H, all of these points are in the finite affine space AG (d, q).
  • PG finite projective space
  • Each authorized subscriber U receives an encryption key if and only if the associated hyperplane H 'passes through its point.
  • a traitor then knows at least one encryption key from an innocent authorized person
  • the encryption key of the traitor £ / is determined by how many elements of the set E meet the straight line. This can be a maximum of d-1, since at most d-1 elements of E are at the intersection of
  • PK (U) Set of encryption keys that are assigned to an authorized subscriber.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Abstract

Die Aufgabe besteht darin, ein Verfahren zur Identifizierung von Verrätern propiertärer Daten zu entwickeln, welches eine zweifelsfreie Identifizierung mindestens eines Verräters, das heißt eines berechtigten Teilnehmers U, der einen seiner Teilschlüssel unberechtigt an eine dritte Person weitergegeben hat, ermöglicht. Erfindungsgemäß erfolgt die Zuweisung der Verschlüsselungsschlüssel an einen berechtigten Teilnehmer (U) nach geometrischen Strukturen und Methoden der endlichen Geometrie, so daß die zur Identifizierung eine Verräters (U) notwendige Eigenschaft der k-Resilienz gewährleistet ist. Die zweifelsfreie Identifizierung mindestens eines Verräters (U) erfolgt mittels eines Verrätersuchalgorithmus. Das erfindungsgemäße Verfahren eignet sich sowohl zum Nachweis eines einzelnen Verräters (U) als auch zum Nachweis von Koalitionen von k Verrätern (U).

Description

Verfahren zum Identifizieren von Verrätern proprietärer Daten
Beschreibung:
Die Erfindung bezieht sich auf ein Verfahren gemäß dem Oberbegriff des 1. Patentanspruchs.
In der modernen Informationstechnologie spielt es eine zunehmend bedeutendere Rolle, proprietäre Daten sicher an einen autorisierten Kundenkreis verteilen zu können. Beispiele hierfür sind digitales Pay-TV, Datenrundfunk, Datenverteilung mittels CD-Rom und gebührenpflichtige Online-Datenbanken.
3ei allen diesen oben genannten Medien wird die Information verschlüsselt verteilt. In der Regel haben mehrere autorisierte Personen die Möglichkeit, diese Informationen zu entschlüsseln. In der Praxis kommt es nun oft vor, daß diese proprietären Daten unberechtigterweise an Dritte weitergegeben werden. Mit den heute eingesetzten Systemen ist es nicht möglich, die Quelle dieser Weitergabe ausfindig zu machen.
Einen ersten Ansatz zur Behebung dieses Problems stellt der Artikel "Tracing Traitors" vom Chor, Fiat und Naor dar, der in den Proceedings zur CRYPTO 94 erschienen ist (Springer Heidelberg, Lecture Notres in Computer Science 839). In diesem Artikel wird ein probabilistisches Verfahren zur Konstruktion eines sogenannten "Traitor Tracing"-Schemas vorgestellt, mit dem ein "Verräter" selbst dann gefunden werden kann, wenn er mit bis zu k-1 anderen Verrätern kooperiert (diese Eigenschaft wird dort ic-resilieπt genannt) . Probabilistisch bedeutet hier, daß praktisch alle Werte in diesem Schema zufällig gewählt werden. Dies bedeutet einen Nachteil in dem Fall, daß die Ergebnisse dieses Schemas in einem Gerichtsverfahren gegen eine Person verwendet werden sollen, die proprietäre Informationen unberechtigterweise weiterverteilt hat. Ein technisches Gutachten, das auf Wahrscheinlichkeiten beruht, hat wenig Aussicht, als Beweismittel anerkannt zu werden.
Ein Kernpunkt des in diesem Artikel beschriebenen Schemas besteht darin, daß der Sitzungsschlüssel s, mit dem die Daten verschlüsselt werden, in t Teilschlüssel s ,...,s aufgeteilt wird. Nur mit Kenntnis aller t Teile kann man den Sitzungsschlüssel S wieder rekonstruieren.
Jeder dieser Teilschlüssel sl f . . . , st wird dann mit jedem Verschlüsselungsschlüssel aus einer Menge von Verschlüsselungsschlüsseln PK verschlüsselt, und die Gesamtheit dieser Kryptogramme den Daten als sogenannter "Zugangsblock" vorgestellt. Jeder berechtigte Teilnehmer U erhält eine Teilmenge der Verschlüsselungsschlüssel PK(U) ςzPK, die ihn befähigt, alle Teilschlüssel slf...,st zu berechnen.
Diese Teilmengen PK(U) von Verschlüsselungsschlüssel haben die Eigenschaft, daß keine Vereinigung von bis zu k dieser Teilmengen eine andere vollständig enthält.Dies ist eine notwendige Voraussetzung für die Eigenschaft der k- Resilienz.
Die Aufgabe besteht darin, ein Verfahren zur Identifizierung von Verrätern proprietärer Daten zu entwickeln, welches eine zweifeisfreie Identifizierung mindestens eines Verräters U (das heißt eines berechtigten Teilnehmers U, der einen seiner Teilschlüssel unberechtigt an eine dritte Person weitergegeben hat) ermöglicht und j
welches damit als eindeutiges Beweismittel einem Gerichtsverfahren standhält.
Diese Aufgabe wird erfindungsgemäß durch die kennzeichnenden Merkmale des 1. Patentanspruchs gelöst. Vorteilhafte Weiterbildungen des erfindungsgemäßen Verfahrens ergeben sich aus den Unteransprüchen. Das erfindungsgemäße Verfahren basiert wie die oben beschriebene bekannte Verfahrensweise ebenfalls darauf, daß die zu verschlüsselnden Daten mit einem Sitzungsschlüssel S verschlüsselt werden. Der Sitzungsschlüssel S wird in t Teilschlüssel s1,...st aufgeteilt, die alle zur Rekonstruktion des Sitzungsschlüssels S benötigt werden. Jeder Teilschlüssel s^.-.s. wird mit jedem Verschlüsselungsschlüssel PK aus der Menge der
Verschlüsselungsschlüssel PK verschlüsselt. Die Gesamtheit dieser Kryptogramme wird den zu verschlüsselnden Daten als Zugangsblock vorangestellt.
Das erfindungsgemäße Verfahren beinhaltet ein Suchschema, welches sich durch seine deterministische Konstruktion von dem Suchschema des oben beschriebenen Verfahrens unterscheidet.
Erfindungsgemäß erfolgt die Zuweisung der
Verschlüsselungsschlüssel PK an die berechtigten Teilnehmer U nach geometrischen Strukturen und Methoden der endlichen Geometrie. Jeder berechtigte Teilnehmer U bekommt eine Teilmenge der Verschlüsselungsschlüssel PK(U) zugeordnet, welche es ihm erlaubt, jeweils einen der Teilschlüssel s für i=l,...t und damit auch den Sitzungsschlüssel S zu rekonstruieren. Auf Grund der nach geometrischen Strukturen und Methoden der endlichen Geometrie erfolgten Zuweisung der Verschlüsselungsschlüssel ist gewährleistet, daß je k berechtigte Teilnehmer mit jedem anderen berechtigten Teilnehmer insgesamt höchstens --1 k
Verschlüsselungsschlüssel gemeinsam haben. Damit ist die zur Identifizierung eines Verräters U notwendige Eigenschaft der k-Resilienz gewährleistet. Mit Hilfe eines Verrätersuchalgorithmus kann nun mindestens ein Verräter U zweifelsfrei identifiziert werden.
Im folgenden wird das erfindungsgemäße Verfahren anhand eines Ausführungsbeispiels näher erläutert, wobei die verwendete Struktur der endlichen Geometrie als endlicher affiner Raum AG ausgebildet ist. Die hier verwendeten geometrischen Begriffe können nachgelesen werden in A. Beutelspacher, U. Rosenbaum, Proj ektive Geometrie, Vieweg Verlag, Wiesbaden 1992.
Es zeigt:
Fig.l Suchschema im endlichen affinen Raum AG (2, 3) mit s=l, Fig.2 Verbindungsgeraden zwischen einem Verräter U und einem unschuldigen berechtigten Teilnehmer U, Fig.3 Aufbau eines Verräter Suchschemas im endlichen projektiven Raum PG(3,q).
Erfindungsgemäß werden die berechtigten Teilnehmer U jeweils als Punkt in einer endlichen affinen Ebene dargestellt. Eine endliche affine Ebene kann man sich dabei als eine euklidische (d. h. "normale") Ebene vorstellen, die aber nur endlich viele Punkte enthält.
Eine solche endliche affine Ebene wird auch mit AG(2,q) bezeichnet, wobei die Zahl 2 die Dimension einer Ebene ist, und der Parameter q die Anzahl der Punkte angibt, die auf einer Geraden in der Ebene liegen. Insgesamt enthält die Ebene q2 Punkte. Solche Ebenen können als 2-dimensionaler Vektorraum über dem endlichen Körper GF(q) konstruiert werden, d. h., sie existieren für alle Primzahlpotenzen q. In der endlichen affinen Ebene AG(2,q) gibt es wie in der normalen euklidischen Ebene, parallele Geraden. Die Menge aller Geraden, die zu einer gegebenen Gerade parallel sind, wird als Parallelenschaar bezeichnet. Jede Parallelenschaar der endlichen affinen Ebene AG(2,q) enthält q Geraden. Um ein k-resilientes Verfahren zu erhalten, wird der
Sitzungsschlüssel (S) in t=k2 + 1 Teilschlüssel sι r s. aufgeteilt. Nun werden k2 -+■ 1 Parallelenschaaren ausgewählt. Jeder der q(k2 + 1) Geraden in diesen
Parallelenschaaren wird ein Verschlüsselungsschlüssel aus PK zugeordnet, und der Teilschlüssel s wird jeweils mit allen Verschlüsselungsschlüsseln, die zur i-ten Parallelenschaar gehören, verschlüsselt. Jeder berechtigte Teilnehmer U erhält genau diejenigen
Verschlüsselungsschlüssel, die zu Geraden gehören, die durch seinen Punkt gehen.
In Fig. 1 ist die Situation für k = 1 und q = 3 dargestellt. Der berechtigte Teilnehmer 1 erhält hier die Verschlüsselungsschlüssel k: und k4, da die beiden Geraden, die diesen Verschlüsselungsschlüsseln zugeordnet sind, durch seinen Punkt gehen. Hier kann man auch schon sehen, daß das Schema nach Fig. 1-resilient ist, denn der berechtigte Teilnehmer U hat mit jedem anderen berechtigten Teilnehmer U höchstens einen Verschlüsselungsschlüssel k^ gemeinsam, seine Menge von Verschlüsselungsschlüsseln überdeckt also keine andere Menge von Verschlüsselungsschlüsseln. Wäre der berechtigteTeilnehmer u ein Verräter, so müßte er seine beiden
Verschlüsselungsschlüssel kx und k4 in einen Piratendekoder einbringen, um nichtautorisierten Personen ein Entschlüsseln zu ermöglichen. Der Systembetreiber kann nun aus den im Piratendekoder vorhandenen Verschlüsselungsschlüsseln kτ und k4 eindeutig nachweisen, daß der berechtigte Teilnehmer U seine Verschlüsselungsschlüssel k und k4 einer unberechtigten Person zur Manipulation zur Verfügung gestellt hat und damit zum Verräter U wurde.
Das erfindungsgemäße Verfahren eignet sich bei geeigneter Wahl der Parameter k und q auch zum Nachweis der unberechtigten Weitergabe von Verschlüsselungsschlüsseln durch höchstens k berechtigte Teilnehmer, also zum Nachweis eines Verräters in einer Koalition von höchstens k Verrätern.
• Mindestens einer der Verräter t/muß mindestens k + 1 Verschlüsselungsschlüssel spendieren, damit eine vollständige Menge von k2 + 1 Verschlüsselungsschlüssel für den Piratendekoder zusammenkommen. (Taubenschlagprinzip: Verteilt man k2 + 1 Tauben auf nur k Schläge, so müssen in mindestens einem Schlag mindestens k+ 1 Tauben sitzen.) Jeder Verräter£/ kennt von jedem unschuldigen berechtigten Teilnehmer u höchstens einen Verschlüsselungsschlüssel, da er höchstens den
Verschlüsselungsschlüssel kennen kann, der auf der Verbindungsgeraden zwischen dem Punkt des unschuldigen berechtigten Teilnehmers U und dem Punkt des Verräters U liegt. Es gibt in affinen Ebenen genau k solcher Verbindungsgeraden, und nicht alle müssen zu einer der ausgewählten Parallelenschaaren gehören (vgl. Fig. 2).
Man kann die Parameter (Anzahl der Verschlüsselungs- schlüssel, Länge des Zugangsblocks) der vorliegenden
Erfindung dadurch verbessern, daß man die Konstruktion auf endliche affine Räume AG (d,q) höherer Dimension d (endlicher projektiver Raum PG) überträgt. Mit der Konstruktion wird im endlichen projektiven Raum PG (d,q) mit den gleichen Parametern begonnen. In diesem Raum wird eine Hyperebene H, d. h. ein Unterraum der Dimension d- 1, gezeichnet. Diese spezielle Hyperebene wird später entfernt, wodurch sich aus dem endlichen projektiven Raum PG(d,q) der endliche affine Raum AG(d,q) ergibt.
In der Hyperebene H wird eine Menge von (d-1) k2 + 1 Unterräumen der Dimension d-2 ausgewählt, die die Eigenschaft besitzen, daß sich höchstens d-1 dieser Unterräume in einem gemeinsamen Punkt der Hyperebene H schneiden. Die Menge dieser Unterräume wird mit E bezeichnet.
E kann konstruiert werden, indem eine rationale Normkurve in der zur Hyperebene H dualen Hyperebene H betrachtet wird. Man erhält H aus H (und umgekehrt), wenn man die
Punkte von H als Hyperebenen (Dimension d-2) von H auffaßt, die Geraden von H als Unterräume der Dimension d-3, usw. Eine rationale Normkurve R von H kann in homogenen Koordinaten als
R={(l,t,t:,...,td-'')|tGGF(q)}^ {0,0,0,...,0,1} angegeben werden. Die Punkte von R haben in H die Eigenschaft, daß höchstens d-1 von ihnen in einer gemeinsamen Hyperebene (von H ) liegen. Beim Übergang zur Hyperebene H, also zum dualen Raum, werden die Punkte von R zu Hyperebenen einer Menge R, die die Eigenschaften haben, daß sich höchstens d-1 dieser Hyperebenen in einem gemeinsamen Punkt schneiden. Die Menge E erhält man, indem (d-1) k2 + 1 Elemente aus R ausgewählt werden.
Jedem berechtigten Teilnehmer u wird nun ein Punkt in im endlichen projektiven Raum PG(d,q) zugeordnet, der nicht in der Hyperebene H liegt (diese Punkte liegen nach Entfernen der Hyperebene H alle im endlichen affinen Raum AG(d,q). Jeder Hyperebene H' im endlichen projektiven Raum PG (d,q), die die Hyperebene H in einem Element der Menge E schneidet, wird ein Verschlüsselungsschlüssel zugeordnet. Jeder berechtigte Teilnehmer U erhält genau dann einen Verschlüsselungsschlüssel, wenn die zugehörige Hyperebene H' durch seinen Punkt geht.
In Figur 3 ist diese Konstruktion für Dimension 3 abgebildet.
Ein Verräter Ukennt genau dann mindestens einen verschlüsselungsschlüssel eines unschuldigen berechtigten
Teilnehmers U, wenn die Verbindungsgerade durch die beiden
Punkte die Menge E schneidet. Wieviele
Verschlüsselungsschlüssel der Verräter£/ kennt, wird dadurch bestimmt, wieviele Elemente der Menge E die Verbindungsgerade trifft. Maximal können dies d-1 sein, da sich höchstens d-1 Elemente von E im Schnittpunkt der
Verbindungsgerade mit H schneiden können.
Bei k Verrätern U bedeutet dies, daß alle zusammen höchstens k (d-1) Verschlüsselungsschlüssel eines unschuldigen berechtigten Teilnehmers U kennen können. Nach dem Taubenschlagprinzip muß aber mindestens einer der Verräter U k (d-1) + 1 Verschlüsselungsschlüssel einbringen. Auf diese Weise ist sichergestellt, daß beim Auslesen des Piratendekoders immer ein Verräter U zweifelsfrei identifiziert werden kann.
BezugsZeichenaufstellung
q Primzahlpotenz
U berechtigter Teilnehmer
Ü Verräter k Anzahl der maximal möglichen
Verräter
AG ( d , q ) endlicher affiner Raum der
Dimension d und der Ordnung q
GF ( q ) endlicher Körper mit q
Elementen
PG ( d , q ) endlicher projektiver Raum der
Dimension d und der Ordnung q
H Hyperebene von PG(d,σ)
H Zu H duale Hyperebene
H ' Hyperebene von PG(d,q), die durch den Punkt des berechtigten Teilnehmers geht und H in einem Element von Ξ schneidet
Menge von Unterräumen, von denen sich höchstens d-1 in einem gemeinsamen Punkt von H schneiden
R rationale Normkurve von//
S SitzungsSchlüssel
,s. Teilschlüssel des Sitzungs- schlüssels
PK Menge der Verschlüsselungsschlüssel
PK(U) Menge der Verschlüsselungsschlüssel, die einem berechtigten Teilnehmer zugeordnet sind.

Claims

Verfahren zum Identifizieren von Verrätern proprietärer Daten( 5 ) Patentansprüche
1. Verfahren zum Identifizieren von Verrätern proprietärer Daten für Koalitionen von bis zu k Verrätern, bei dem die proprietären Daten mit einem Sitzungsschlüssel S verschlüsselt werden und der Sitzungsschlüssel S in Teilschlüssel s,,..^. aufgeteilt wird, die alle zur Rekonstruktion des Sitzungsschlüssels S benötigt werden, und bei dem jeder Teilschlüssel S;_ mit jedem Verschlüsselungsschlüssel aus der Menge der Verschlüsselungsschlüssel PK verschlüsselt wird, und die Gesamtheit dieser Kryptogramme den Daten als Zugangsblock vorangestellt werden, d a d u r c h g e k e n n z e i c h n e t, daß die Zuweisung der Verschlüsselungsschlüssel an die berechtigten Teilnehmer nach geometrischen Strukturen und Methoden der endlichen Geometrie vorgenommen wird, wobei jeder berechtigte Teilnehmer (U) eine Teilmenge der Verschlüsselungsschlüssel PK(U) zugeordnet bekommt, die es ihm erlaubt, jeweils einen der Teilschlüssel Si für i=l,..,t des Sitzungsschlüssels (S) und damit auch den Sitzungsschlüssel (S) selber zu rekonstruieren, wobei auf Grund der nach geometrischen Strukturen und Methoden der endlichen Geometrie erfolgten Zuweisung der Verschlüsselungsschlüssel gewährleistet ist, daß die zur Identifizierung eines Verräters ( (/ ) notwendige Eigenschaft der k-Resilienz gewährleistet ist, und daß mit Hilfe eines Verrätersuchalgorithmus mindestens ein Verräter ( U ) zweifelsfrei identifiziert werden kann.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Struktur aus der endlichen Geometrie ein endlicher affiner Raum (AG(d,q)) der Dimension d und der Ordnung q bzw. ein endlicher projektiver Raum (PG(d,q)) der Dimension d und der Ordnung q ist.
3. Verfahren nach Anspruch 1 und 2, dadurch gekennzeichnet, daß
- eine Hyperebene H im endlichen projektiven Raum (PG(d,q)) ausgezeichnet wird,
- jedem berechtigten Teilnehmer (U) ein Punkt im endlichen projektiven Raum (PG(d,q)) zugewiesen wird, der nicht in der Hyperebene (H) liegt,
- daß mit Hilfe einer rationalen Normkurve in der zur Hyperebene H dualen Hyperebene H , eine Menge E von (d-l)k2+l Unterräumen der Dimension d-2 konstruiert wird, so daß sich höchstens d-1 dieser Unterräume in einem gemeinsamen Punkt schneiden,
- daß jeder Hyperebene (H') im endlichen projektiven Raum (PG(d,q)), die die Hyperebe H in einem Element der Menge E schneidet, ein Verschlüsselungsschlüssel zugeordnet wird,
- daß ein berechtigter Teilnehmer (U) einen Verschlüsselungsschlüssel genau dann erhält, wenn die zugehörige Hyperebene H durch den ihm zugeordneten Punkt geht, - daß für jeden berechtigten Teilnehmer (U) die
Schnittmenge der Verschlüsselungsschlüssel PK(U), die einem berechtigten Teilnehmer zugeordnet sind, mit der von den Verrätern verteilten Schlüsselmenge PK( U ) gebildet wird, wodurch mindestens einer der Verräter dadurch identifiziert wird, daß PK(U)r^ (PK(L/)) mindestens k-(d-l)+l Schlüssel enthält.
4. Verfahren nach Anspruch 1-3, dadurch gekennzeichnet, daß der Sitzungsschlüssel (S) mittels eines r, t-Threshold- Verfahrens in Teilschlüssel s^.s. .aufgeteilt wird, wobei der Sitzungsschlüssel (S) aus einem der Teilschlüssel s,..s. rekonstruierbar ist.
5. Verfahren nach Anspruch 1 -4, dadurch gekennzeichnet, daß jeder Teilschlüssel s für i=l,...,t des Sitzungsschlüssels (S) mit jedem Verschlüsselungsschlüssel PK aus einer von i abhängigenTeilmenge PK(i) der Menge der Verschlüsselungsschlüssel PK verschlüsselt wird und die Gesamtheit dieser Kryptogramme den zu verschlüsselnden Daten als Zugangsblock vorangestellt wird.
PCT/EP1998/007045 1997-11-10 1998-11-04 Verfahren zum identifizieren von verrätern proprietärer daten WO1999025090A1 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2000519971A JP2001523018A (ja) 1997-11-10 1998-11-04 独占データの暗号化キー漏洩者を識別するためのプロセス
EP98961135A EP1031205A1 (de) 1997-11-10 1998-11-04 Verfahren zum identifizieren von verrätern proprietärer daten
US09/554,177 US6760445B1 (en) 1997-11-10 1998-11-04 Method for identifying betrayers of proprietary data
AU16667/99A AU1666799A (en) 1997-11-10 1998-11-04 Method for identifying proprietary data of traitors

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE19750779A DE19750779C1 (de) 1997-11-10 1997-11-10 Verfahren zum Identifizieren von Verrätern proprietärer Daten
DE19750779.4 1997-11-10

Publications (1)

Publication Number Publication Date
WO1999025090A1 true WO1999025090A1 (de) 1999-05-20

Family

ID=7848908

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP1998/007045 WO1999025090A1 (de) 1997-11-10 1998-11-04 Verfahren zum identifizieren von verrätern proprietärer daten

Country Status (6)

Country Link
US (1) US6760445B1 (de)
EP (1) EP1031205A1 (de)
JP (1) JP2001523018A (de)
AU (1) AU1666799A (de)
DE (1) DE19750779C1 (de)
WO (1) WO1999025090A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11316673B2 (en) * 2020-09-11 2022-04-26 Seagate Technology Llc Privacy preserving secret sharing from novel combinatorial objects
US11362816B2 (en) * 2020-09-11 2022-06-14 Seagate Technology Llc Layered secret sharing with flexible access structures

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4620865B2 (ja) * 1997-12-10 2011-01-26 トムソン ライセンシング サービス・プロバイダのイベントを表す信号へのアクセスを管理する方法
JP3917507B2 (ja) * 2002-01-28 2007-05-23 株式会社東芝 コンテンツ提供側システム、ユーザ側システム、追跡システム、コンテンツ提供方法、暗号化コンテンツ復号方法、不正ユーザ特定方法、暗号化装置、復号装置及びプログラム
FR2862149A1 (fr) 2003-11-06 2005-05-13 France Telecom Procede de controle automatique des fraudes dans un systeme de transactions electroniques
KR100949404B1 (ko) 2005-07-08 2010-03-24 후지쯔 가부시끼가이샤 적층형의 반사형 액정 표시 소자
US8176568B2 (en) 2005-12-30 2012-05-08 International Business Machines Corporation Tracing traitor coalitions and preventing piracy of digital content in a broadcast encryption system
US7970141B2 (en) * 2006-09-13 2011-06-28 The Regents Of The University Of California Method and apparatus for tracing the source of decryption keys used by a decoder
US8824685B2 (en) * 2007-10-15 2014-09-02 Sony Corporation Method for detection of a hacked decoder
US8122501B2 (en) * 2008-06-20 2012-02-21 International Business Machines Corporation Traitor detection for multilevel assignment
US8108928B2 (en) * 2008-06-20 2012-01-31 International Business Machines Corporation Adaptive traitor tracing
US8422684B2 (en) * 2008-08-15 2013-04-16 International Business Machines Corporation Security classes in a media key block
US8571209B2 (en) 2009-01-19 2013-10-29 International Business Machines Recording keys in a broadcast-encryption-based system
US11615395B2 (en) * 2019-12-23 2023-03-28 Capital One Services, Llc Authentication for third party digital wallet provisioning

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IE56668B1 (en) * 1984-06-15 1991-10-23 Pelling Nicholas John M An encoder/decoder
US6549638B2 (en) * 1998-11-03 2003-04-15 Digimarc Corporation Methods for evidencing illicit use of a computer system or device
US6557103B1 (en) * 1998-04-13 2003-04-29 The United States Of America As Represented By The Secretary Of The Army Spread spectrum image steganography
US6289455B1 (en) * 1999-09-02 2001-09-11 Crypotography Research, Inc. Method and apparatus for preventing piracy of digital content

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CHOR B ET AL: "Tracing traitors", ADVANCES IN CRYPTOLOGY - CRYPTO '94. 14TH ANNUAL INTERNATIONAL CRYPTOLOGY CONFERENCE. PROCEEDINGS, ADVANCES IN CRYPTOLOGY - CRYPTO '94. 14TH INTERNATIONAL CRYPTOLOGY CONFERENCE PROCEEDINGS, SANTA BARBARA, CA, USA, 21-25 AUG. 1994, ISBN 3-540-58333-5, 1994, Berlin, Germany, Springer-Verlag, Germany, pages 257 - 270, XP002097845 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11316673B2 (en) * 2020-09-11 2022-04-26 Seagate Technology Llc Privacy preserving secret sharing from novel combinatorial objects
US11362816B2 (en) * 2020-09-11 2022-06-14 Seagate Technology Llc Layered secret sharing with flexible access structures

Also Published As

Publication number Publication date
EP1031205A1 (de) 2000-08-30
US6760445B1 (en) 2004-07-06
JP2001523018A (ja) 2001-11-20
AU1666799A (en) 1999-05-31
DE19750779C1 (de) 1999-01-14

Similar Documents

Publication Publication Date Title
EP1040662B1 (de) Verfahren zum sichern eines durch eine schlüsselhierarchie geschützten systems
DE19750779C1 (de) Verfahren zum Identifizieren von Verrätern proprietärer Daten
DE19781841C2 (de) Verfahren zum automatischen Entscheiden der Gültigkeit eines digitalen Dokuments von einer entfernten Stelle aus
DE102019208032A1 (de) Verfahren und system für fehlertolerante und sichere mehrparteienberechnung mit spdz
DE60103637T2 (de) System und methode für sichere datenübertragung
EP1133849A1 (de) Verfahren und vorrichtung zum erzeugen eines verschlüsselten nutzdatenstroms und verfahren und vorrichtung zum entschlüsseln eines verschlüsselten nutzdatenstroms
DE3036596A1 (de) Verfahren zum gesicherten abwickeln eines geschaeftsvorganges ueber einen ungesicherten nachrichtenkanal
EP0768773A1 (de) Verfahren zur Etablierung eines gemeinsamen Schlüssels für autorisierte Personen mittels Threshold-Verfahren
DE112016000791B4 (de) Medienschlüsselblock-basierende Rundfunkverschlüsselung
WO2019011777A1 (de) Verfahren und vorrichtung zum übertragen persönlicher daten
DE102007008948A1 (de) Verfahren und System zur Rechteverwaltung
DE4420967C2 (de) Entschlüsselungseinrichtung von digitalen Informationen und Verfahren zur Durchführung der Ver- und Entschlüsselung dieser mit Hilfe der Entschlüsselungseinrichtung
DE10229976B4 (de) Verfahren zur Ver- und Entschlüsselung von nach dem Verfahren der priorisierten Pixelübertragung übertragenen oder gespeicherten digitalen Daten
WO2000022776A1 (de) Verfahren zum etablieren eines gemeinsamen schlüssels zwischen einer zentrale und einer gruppe von teilnehmern
EP1035706A2 (de) Verfahren zum Verbinden von mindestens zwei Netzwerkssegmenten eines Netzwerkes mit einer Zugangskontrolle durch eine Benutzerkennung
WO1995034968A1 (de) Entschlüsselungseinrichtung von entschlüsselungsalgorithmen und verfahren zur durchführung der ver- und entschlüsselung derselben
DE102009016419B4 (de) Verfahren zum sicheren Speichern von Datensätzen, die vertrauliche Daten und zugehörige Identifizierungsdaten enthalten
DE102016217537A1 (de) Sichere und verteilte Berechnung eines Ergebnisses auf einem Dritt-Dienstknoten zur Bereitstellung auf einem mehreren Nutzerknoten
EP2187282A1 (de) Verfahren zum Betreiben einer Anlage unter Verwendung von gegen unberechtigte Verwendung gesicherten Daten
WO2002063824A1 (de) Telekommunikationsprotokoll, -system und -vorrichtungen zur anonymen und authentischen abwicklung einer elektronischen wahl
DE102018120571A1 (de) System und Verfahren zur sicheren Kommunikation zwischen kooperierenden Agenten
DE102021118590A1 (de) Verfahren, system und computerprogramm zur verschlüsselung, verarbeitung, übertragung, speicherung und nachvollziehbarkeit der verschlüsselung von personenbezogenen daten
DE102021118591A1 (de) Verfahren, system und computerprogramm zur verschlüsselung, verarbeitung, übertragung, speicherung und nachvollziehbarkeit der verschlüsselung von personenbezogenen daten
DE102021109439A1 (de) Verfahren und Vorrichtung zur Bewertung eines digitalen Gutes durch einen möglichen Erwerber
DE10245763A1 (de) Verfahren zur sicheren und vertrauenswürdigen Kommunikation von Daten durch die Zeit

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AU CA CN IL JP NO NZ TR US

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE CH CY DE DK ES FI FR GB GR IE IT LU MC NL PT SE

WWE Wipo information: entry into national phase

Ref document number: 1998961135

Country of ref document: EP

121 Ep: the epo has been informed by wipo that ep was designated in this application
DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
WWE Wipo information: entry into national phase

Ref document number: 09554177

Country of ref document: US

WWP Wipo information: published in national office

Ref document number: 1998961135

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: CA

WWR Wipo information: refused in national office

Ref document number: 1998961135

Country of ref document: EP

WWW Wipo information: withdrawn in national office

Ref document number: 1998961135

Country of ref document: EP