DE69416809T2

DE69416809T2 - Verbesserungen der Sicherheit in Datenverarbeitungssystemen

Info

Publication number: DE69416809T2
Application number: DE69416809T
Authority: DE
Inventors: Phillip W. Rogaway
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1993-12-30
Filing date: 1994-12-16
Publication date: 1999-10-07
Anticipated expiration: 2014-12-17
Also published as: EP0661844B1; DE69416809D1; EP0661844A3; JPH07212356A; JP2926699B2; EP0661844A2; US5491749A

Description

Die vorliegende Erfindung betrifft allgemein die Sicherheit in Datenverarbeitungssystemen und insbesondere Verfahren zur Überprüfung der Identität von Kommunikationspartnern und zur Verteilung von Sitzungsschlüsseln zwischen Kommunikationspartnern in den Systemen.
Mit dem zunehmenden Einsatz von verteilten Datenverarbeitungssystemen zur gemeinsamen Benutzung und Übertragung von sensiblen und vertraulichen Informationen richten die Computerindustrie und verwandte Industriezweige eine wesentliche höhere Aufmerksamkeit auf die Verbesserung und Verfeinerung von bekannten Verfahren zur Sicherung von Daten, die über unsichere Datenübertragungskanäle, wie beispielsweise Telefonleitungen, und elektromagnetische Datenübertragungssysteme, wie beispielsweise Mobilfunknetzwerke, übertragen werden.
Es gibt drei seit langer Zeit bestehende Ziele in der Industrie. Erstens ist es wichtig, daß die jeweiligen Kommunikationspartner in einem verteilten Datenverarbeitungssystem in der Lage sind, die Identität von anderen Kommunikationspartnern in dem verteilten Datenverarbeitungssystem nachzuweisen. Gewöhnlich wird dieses Erfordernis der Instanzenechtheitsüberprüfung erfüllt, indem an zwei oder mehr Datenübertragungsknoten in dem Datenverarbeitungssystem ein gemeinsamer langlebiger und geheimer Schlüssel hinterlegt wird. Ein Benutzer kann zum Beispiel ein geheimes Paßwort besitzen, das auch einem Hostrechner in dem Datenverarbeitungssystem bekannt ist. Wenn eine Echtheitsüberprüfung gewünscht wird, wird ein Protokoll ausgeführt, das auf der Grundlage dieses geteilten Geheimnisses dazu dient, die Echtheit eines Teilnehmers gegenüber einem anderen Teilnehmer oder aller Teilnehmer untereinander nachzuweisen. Zum Beispiel kann der gemeinsame langlebige und geheime Schlüssel in einer herkömmlichen Verschlüsselungsoperation, wie beispielsweise einer Verschlüsselung nach dem Datenverschlüsselungsstandard (DES), verwendet werden. Meistens leitet der Kommunikationspartner, der die Überprüfung der Echtheit eines anderen Partners wünscht, eine "Anforderung" in Form eines zufälligen Bitstroms an den anderen Partner. Der Partner, für den ein Identitätsnachweis verlangt wird, führt typischerweise unter Verwendung des gemeinsamen langlebigen und geheimen Schlüssels eine Verschlüsselungsoperation an dem Anforderungsbitstrom aus und leitet diese Daten dann an den anfordernden Teilnehmer zurück. Diese Daten werden entschlüsselt, um festzustellen, ob der antwortende Teilnehmer im Besitz des gemeinsamen langlebigen und geheimen Schlüssels ist oder diesen kennt, oder der Anforderer verwendet eine Verschlüsselungsmaschine, um die Antwort, die er verlangt, zu erzeugen, und vergleicht dann die erhaltene Antwort mit der richtigen Antwort. Diese Operation kann unilateral oder bilateral ausgeführt werden. Bei einer unilateralen Operation erhält ein Teilnehmer den Nachweis der Identität eines anderen Teilnehmers in dem verteilten Datenverarbeitungssystem. Bei einer bilateralen Instanzenechtheitsüberprüfungsprozedur geben beide Teilnehmer typischerweise eine "Anforderung" an den anderen Teilnehmer aus, die richtig beantwortet werden muß, bevor einer Datenübertragung zwischen den Datenübertragungsknoten stattgegeben werden kann.
Das zweite große Ziel der Industrie ist die Bereitstellung von Verfahren zur Erzeugung und Verteilung von kurzlebigen und geheimen Sitzungsschlüsseln, die zwei oder mehr Kommunikationspartner in einem verteilten Datenverarbeitungssystem gemeinsam benutzen, nachdem man den Nachweis der Identität der verschiedenen Kommunikationspartner erhalten hat. Gemäß der vorliegen den Erfindung ist die Verteilung des kurzlebigen und geheimen Sitzungsschlüssels eng mit den Instanzenechtheitsüberprüfungsoperationen verbunden. Die Verwendung eines Sitzungsschlüssels gewährleistet, daß der gemeinsame langlebige und geheime Schlüssel nicht öfter als unbedingt notwendig verwendet werden muß, und er ist außerdem als Schutz gegen "Wiedergabeangriffe" über die Datenübertragungssitzungen hinweg, an denen die Kommunikationspartner möglicherweise teilnehmen, nützlich. Typischerweise wird der gemeinsame langlebige und geheime Schlüssel nur während Instanzenechtheitsüberprüfungsoperationen verwendet. Unmittelbar nach dem Erhalt des Nachweises der Identität der Kommunikationsteilnehmer wird der kurzlebige und geheime Sitzungsschlüssel verteilt und eingesetzt, damit eine Datenübertragung in Hin- und Rückrichtung zwischen den Teilnehmern in dieser bestimmten Sitzung einer Echtheitsüberprüfung unterzogen, verschlüsselt oder beides werden kann.
Das dritte große Ziel der Industrie ist, einem Kommunikationsteilnehmer, der über eine unsichere Leitung Daten empfangen hat, zu gewährleisten, daß die Daten unterwegs nicht verändert worden sind. Oftmals wird eine solche Nachrichtenechtheitsüberprüfung durchgeführt, indem man den Teilnehmer, der die Nachricht erstellt, in Abhängigkeit von der Nachricht, die übertragen wird, und dem geheimen Schlüssel, den die Kommunikationspartner gemeinsam benutzen, ein kurzes "Echtheitsüberprüfungskennzeichen" berechnen läßt. Dieses Echtheitsüberprüfungskennzeichen wird typischerweise an den Datenstrom angehängt, der zwischen den Teilnehmern übertragen wird. Nach dem Empfang des Datenstroms und des Echtheitsüberprüfungskennzeichens wertet der empfangende Teilnehmer das Echtheitsüberprüfungskennzeichen aus, indem er dieselben Operationen ausführt, die der sendende Teilnehmer an dem Datensatz ausgeführt hat, um sein eigenes Echtheitsüberprüfungskennzeichen zu erzeugen. Wenn das Echtheitsüberprüfungskennzeichen des Senders genau mit dem Echt heitsüberprüfungskennzeichen des Empfängers übereinstimmt, kann der Empfänger der Daten sicher sein, daß die Daten in keiner Weise verändert wurden. Diese Art von Schutz verhindert, daß ein aktiver Gegner in den unsicheren Datenübertragungskanal eintritt und in den Daten herumschnüffelt. EP-A-307627 beschreibt ein Beispiel für ein Verfahren zur Schlüsselechtheitsüberprüfung.
Bei der Konzeption von Sicherheitssystemen, die dazu dienen, zwischen Kommunikationspartnern eine sichere Datenübertragung zu ermöglichen, wird allgemein angenommen, daß ein Gegner (1) passiv ist und Lauschoperationen ausführt, um alle Datenübertragungen zwischen den Teilnehmern in dem verteilten Datenverarbeitungssystem zu überwachen und aufzuzeichnen oder (2) aktiv ist und tatsächlich an Datenübertragungen in dem verteilten Datenübertragungssystem teilnimmt, indem er den Zugriff auf Daten oder Ressourcen anfordert und Herausforderungen zum Nachweis der Identität ausgibt oder darauf reagiert. Man geht davon aus, daß die Fähigkeiten eines aktiven Gegners all diejenigen eines passiven Gegners einschließen. Eine Art von gegnerischem Angriff, die betrachtet wird, ist die einer anfänglich passiven Periode von Überwachungs- und Aufzeichnungsaktivitäten, gefolgt von einer Periode der rechnerunabhängigen Auswertung und Manipulation der während der Überwachungsaktivitäten ethaltenen Daten, auf die ein kurzes Aktivitätsintervall folgt, in dem, der Zugriff auf Daten und Datenverarbeitungsressourcen angefordert wird. Alternativ dazu beschäftigt sich der Gegner vielleicht nur mit passiven Überwachungs- und Aufzeichnungsaktivitäten, gefolgt von der Auswertung und Versuchen, Teile der Daten kryptografisch auszuwerten, insbesondere in dem Versuch, den Sitzungsschlüssel zu erlangen, der dann zur Entschlüsselung von verschlüsselten Daten verwendet wird, die zwischen den Teilnehmern übertragen und vom Gegner aufgezeichnet wurden.
Da es schwieriger ist, einen passiven Gegner zu entdecken, der nur überwacht, aufzeichnet und später dann eine rechnerunabhängige Auswertung vornimmt, als einen aktiven Gegner, der gezwungen ist, mit einem oder mehreren berechtigten Teilnehmern an einer Kommunikation in Dialogverkehr zu treten, ziehen Gegner die passive Angriffsart vor. Ein noch wichtigerer Grund dafür, daß ein Gegner die rechnerunabhängige Auswertung bevorzugt, sind die im Datenübertragungskanal vorhandenen Bandbreitenbegrenzungen: Der Gegner kann nur mit der von der Systemarchitektur festgelegten und erlaubten Geschwindigkeit mit Partnern kommunizieren; eine rechnerunabhängige Auswertung kann jedoch mit der Geschwindigkeit der Rechenressourcen des Gegners durchgeführt werden. Deshalb ist es besonders wichtig, Datensicherheitssysteme bereitzustellen, die einen Gegner daran hindern, während passiver Aktivitäten nützliche Daten zusammenzutragen. Es ist besonders wichtig, daß Sicherheitssysteme entwickelt werden, die eine Preisgabe des gemeinsamen langlebigen und geheimen Schlüssels als auch kurzlebiger und geheimer Sitzungsschlüssel, die gegebenenfalls verwendet worden sind, verhindern. Es ist besonders wichtig, daß es das Sicherheitssystem dem passiven Gegner unmöglich macht, den langlebigen oder kurzlebige Schlüssel während einer rechnerunabhängigen Auswertung zu erraten und während rechnerunabhängiger Aktivitäten dann die Richtigkeit des Geratenen zu bestätigen. Es ist wichtig, daß der Gegner gezwungen ist, einen oder mehrere Kommunikationsteilnehmer aktiv zu beteiligen, um die Richtigkeit eines erratenen Schlüssels zu bestätigen. Diese Art von Schutz wird als "Sicherheit gegen einen rechnerunabhängigen Angriff" bezeichnet und läßt sich am besten mit Bezug auf ein bestimmtes Beispiel für eine Art von rechnerunabhängigem Angriff verstehen, die als "Wörterverzeichnisangriff" bekannt ist und nachstehend erörtert wird.
Wörterverzeichnisangriffe sind wirksam, weil der langlebige Schlüssel, der für die Instanzenechtheitsüberprüfung verwendet wird, auf dem Paßwort eines Benutzers beruht und diese Paßwörter oftmals schlecht gewählt werden. Viele Datenverarbeitungssysteme erlauben den Bedienern, ihre eigenen Paßwörter auszuwählen. Natürlich wählen die betreffenden Personen typischerweise vertraute Begriffe aus, damit sie das Paßwort besser behalten können. Es ist nicht unüblich, daß Benutzer Eigennamen oder alltägliche Substantive oder Verben als Paßwörter verwenden. Da die menschliche Sprache aus einem ziemlich kleinen und statischen Wortschatz besteht, kann ein passiver Gegner den möglichen Begriff aus einer oder mehreren bestimmten Sprachen wiederholt raten und dann sehen, ob das Geratene die in einer früheren Sitzung während Lauschaktivitäten vorgenommene Aufzeichnung "erklärt". Wenn eine Übereinstimmung festgestellt wird, hat man das richtige Paßwort typischerweise erhalten, ebenso wie jeden kurzlebigen Schlüssel, dessen Verteilung auf diesem Paßwort beruhte. Natürlich kann diese Art von rechnerunabhängigem Angriff rechenintensiv sein, wenn das Wörterverzeichnis sehr groß ist, aber die beträchtlichen Fortschritte, die bei der Verarbeitungsgeschwindigkeit und Leistungsfähigkeit fortlaufend gemacht werden, machen diese rechnerunabhängigen Angriffe selbst dann durchführbar, wenn das Wörterverzeichnis viele Millionen Wörter enthält.
Diese Erfindung betrifft die Bereitstellung eines Sicherheitssystems, das weniger anfällig für rechnerunabhängige Angriffe, wie beispielsweise einen Wörterverzeichnisangriff, ist.
Gemäß der vorliegenden Erfindung stellen wir ein Verfahren zur Echtheitsüberprüfung eines Kommunikationspartners in einem unsicheren Datenübertragungskanal in einem Datenverarbeitungssystem bereit, wobei die Echtheit der Kommunikationspartner durch den Besitz eines gemeinsamen langlebigen, geheimen Schlüssels festgestellt wird, das die folgenden Verfahrensschritte umfaßt:
(a) den Austausch von Datenflüssen zwischen Kommunikationspartnern, um einen zusammengesetzten Schlüssel festzulegen, wobei mindesten ein Teil der Datenflüsse auf eine Weise verschlüsselt oder anderweitig maskiert worden ist, bei welcher der gemeinsame langlebige, geheime Schlüssel verwendet wird;
(b) die Weiterleitung von mindestens einem Echtheitsüberprüfungskennzeichen zwischen den Kommunikationspartnern, wobei das mindestens eine Echtheitsüberprüfungskennzeichen durch eine an einer Vielzahl von Parametern vorgenommenen Transformation festgelegt wird und mindestens teilweise auf dem zusammengesetzten Schlüssel beruht, wobei die Transformation mindestens eines von Folgendem einschließt: (i) einen Nachrichten-Echtheitsüberprüfungscode, der mit dem gemeinsamen langlebigen, geheimen Schlüssel verschlüsselt wird; (ii) eine Verschlüsselungs-Hash-Funktion, die an dem gemeinsamen langlebigen, geheimen Schlüssel ausgeführt wird; und (iii) eine Maskierungsoperation, die den gemeinsamen langlebigen, geheimen Schlüssel einschließt; und
(c) die Verwendung des Echtheitsüberprüfungskennzeichens, um die Echtheit von mindestens einem Kommunikationspartner festzustellen.
Auf diese Weise ist ein Gegner gezwungen, die Richtigkeit seiner jeweiligen Vermutung des möglichen Schlüssels interaktiv mit einem oder mehreren Kommunikationsteilnehmern zu prüfen, und die Anzahl der Datenübertragungsflüsse, die zwischen Kommunikationsteilnehmern während Instanzenechtheitsüberprüfungsope rationen stattfinden müssen, und die Anzahl der Schlüsselverteilungen können minimiert werden und stützen sich weniger auf Verschlüsselungs- und Entschlüsselungsoperationen als vorhandene Sicherheitssysteme nach dem Stand der Technik, sondern sie stützen sich weitaus mehr auf Transformationen, wie beispielsweise Nachrichtenechtheitsüberprüfungscodes und Verschlüsselungs-Hash-Funktionen, die auf eine Vielzahl von Parametern, einschließlich des gemeinsamen langlebigen und geheimen Schlüssels oder dessen Derivate, angewandt werden, um die Systemsicherheit auf ein höchstmögliches Maß zu steigern.
In einer bevorzugten Ausführungsform werden anstelle der üblicheren Verwendung von Verschlüsselungsverfahren, wie beispielsweise des DES-Algorithmus, eine oder mehrere rechnerisch nicht umkehrbare Transformationen auf eine Vielzahl von Parametern, einschließlich des gemeinsamen langlebigen und geheimen Schlüssels oder dessen Derivate, angewandt, um eine Instanzenechtheitsüberprüfung durchzuführen. In der bevorzugten Ausführungsform wird diese Art von Instanzenechtheitsüberprüfung, die auf einem Echtheitsüberprüfungskennzeichen beruht, in Verbindung mit dem Austausch eines Exponentialschlüssels verwendet. Das vorliegende Verfahren kann zur Durchführung einer unilateralen oder einer multilateralen Echtheitsüberprüfung, die zwei Teilnehmer oder drei Teilnehmer einschließt, verwendet werden.
In einer bestimmten Ausführungsform wird ein Verfahren zur Echtheitsüberprüfung eines Kommunikationspartners in einem unsicheren Datenübertragungskanal bereitgestellt, bei dem die Echtheit eines Kommunikationspartners durch den Besitz eines gemeinsamen langlebigen, geheimen Schlüssels festgestellt wird. Das Verfahren schließt eine Reihe von Schritten ein. Zuerst wird ein "zusammengesetzter Schlüssel" in Datenflüssen zwischen Kommunikationspartnern ausgetauscht, wobei mindestens ein Teil der Datenflüsse auf eine Weise verschlüsselt oder anderweitig maskiert worden ist, bei welcher der gemeinsame langlebige, geheime Schlüssel verwendet wird. Als nächstes wird mindestens ein Echtheitsüberprüfungskennzeichen zwischen Kommunikationspartnern weitergeleitet, wobei das mindestens eine Echtheitsüberprüfungskennzeichen mindestens teilweise auf dem zusammengesetzten Schlüssel beruht. Schließlich wird das Echtheitsüberprüfungskennzeichen von mindestens einem Kommunikationspartner zur Feststellung der Echtheit eines anderen Kommunikationspartners verwendet. In der bevorzugten Ausführungsform der vorliegenden Erfindung wird das mindestens eine Echtheitsüberprüfungskennzeichen durch eine Transformation festgelegt, die mindestens eines von Folgendem einschließt: (1) einen Nachrichten- Echtheitsüberprüfungscode, der mit dem gemeinsamen langlebigen, geheimen Schlüssel verschlüsselt und an einer Vielzahl von Parametern ausgeführt wird, (2) eine Verschlüsselungs-Hash-Funktion, die an dem gemeinsamen langlebigen, geheimen Schlüssel und einer Vielzahl anderer Parameter ausgeführt wird, und (3) den Verschlüsselungs- oder Nachrichtenechtheitsüberprüfungscode, der mit dem langlebigen Schlüssel verschlüsselt wird und an der Verschlüsselungs-Hash-Funktion einer Vielzahl von Parametern ausgeführt wird. In einer bestimmten Ausführungsform der vorliegenden Erfindung, bei der eine gegenseitige Echtheitsüberprüfung zwischen einem ersten und einem zweiten Teilnehmer gewünscht wird, tauschen die Teilnehmer zuerst Teile eines zusammengesetzten Schlüssels aus, wobei sie ein herkömmliches Verfahren zum Austausch eines geheimen Schlüssels mit der Ausnahme, daß einige oder alle der Datenflüsse dieses Austauschs verschlüsselt sind, verwenden, wie in der US Patentschrift A-5 241 599 von Bellovin u. a. beschrieben ist. Anschließend werden ein erstes und ein zweites Echtheitsüberprüfungskennzeichen zwischen dem ersten und dem zweiten Kommunikationsteilnehmer ausgetauscht. Die Echtheitsüberprüfungskennzeichen werden ausgewertet, um eine Instanzenechtheitsüberprüfung des ersten und des zweiten Kommunikationspartners vorzunehmen. In einer be stimmten Ausführungsform der vorliegenden Erfindung wird mindestens eines von dem ersten und dem zweiten Echtheitsüberprüfungskennzeichen zwischen dem ersten und dem zweiten Kommunikationspartner zusammen mit mindestens einem Teil des zusammengesetzten Sitzungsschlüssels übertragen, um die Anzahl der Datenübertragungsflüsse zwischen dem ersten und dem zweiten Kommunikationspartner zu minimieren. In bestimmten Ausführungsformen der vorliegenden Erfindung werden die Echtheitsüberprüfungskennzeichen erzeugt, indem auf eine Vielzahl von Parametern, die den neu verteilten Sitzungsschlüssel einschließen, eine Hash-Funktion angewandt und dann ein Vorsatz dieser Hash-Funktion als Echtheitsüberprüfungskennzeichen verwendet wird.
Gemäß der vorliegenden Erfindung stellen wir des weiteren eine Vorrichtung zur Echtheitsüberprüfung eines Kommunikationspartners in einem unsicheren Datenübertragungskanal in einem Datenverarbeitungssystem bereit, wobei die Echtheit der Kommunikationspartner durch den Besitz eines gemeinsamen langlebigen, geheimen Schlüssels festgestellt wird, die folgendes umfaßt:
(a) ein Mittel zum Austausch von Datenflüssen zwischen Kommunikationspartnern, um einen zusammengesetzten Schlüssel festzulegen, wobei mindestens ein Teil der Datenflüsse auf eine Weise verschlüsselt oder anderweitig maskiert worden ist, bei welcher der gemeinsame langlebige, geheime Schlüssel verwendet wird;
(b) ein Mittel zur Weiterleitung von mindestens einem Echtheitsüberprüfungskennzeichen zwischen den Kommunikationspartnern, wobei das mindestens eine Echtheitsüberprüfungskennzeichen durch eine an einer Vielzahl von Parametern vorgenommenen Transformation festgelegt wird und mindestens teilweise auf dem zusammengesetzten Schlüssel beruht, wobei die Transformation mindestens eines von Fol gendem einschließt: (i) einen Nachrichten-Echtheitsüberprüfungscode, der mit dem gemeinsamen langlebigen, geheimen Schlüssel verschlüsselt wird; (ii) eine Verschlüsselungs-Hash-Funktion, die an dem gemeinsamen langlebigen, geheimen Schlüssel ausgeführt wird; und (iii) eine Maskierungsoperation, die den gemeinsamen langlebigen, geheimen Schlüssel einschließt; und
(c) ein Mittel zur Verwendung des Echtheitsüberprüfungskennzeichens, um die Echtheit von mindestens einem Kommunikationspartner festzustellen.
Während die vorliegende Erfindung mit Bezug auf eine hauptsächliche kommerzielle Anwendung in verteilten Datenverarbeitungssystemen beschrieben wird, ist klar, daß die vorliegende Erfindung allgemeine Anwendung findet und zur Übertragung von Nachrichten in jedem erdenklichen Datenübertragungskanal verwendet werden kann und besonders für geheime Datenfernübertragungen geeignet ist.
Die Erfindung läßt sich mit Bezug auf die folgende ausführliche Beschreibung einer anschaulichen Ausführungsform besser verstehen, wenn sie in Verbindung mit den zugehörigen Zeichnungen gelesen wird, in denen:
Fig. 1 eine Nachrichtenechtheitsüberprüfung zwischen zwei Teilnehmern nach dem Stand der Technik darstellt;
Fig. 2 einen herkömmlichen Schlüsselaustausch nach dem Stand der Technik, einen Austausch eines Exponentialschlüssels, wie beispielsweise den Diffie-Hellman-Schlüsselaustausch, darstellt;
Fig. 3 einen Schlüsselaustausch nach dem Stand der Technik gemäß den Lehren von Bellovin und Merritt darstellt;
Fig. 4 eine gegenseitige Echtheitsüberprüfungsoperation zwischen zwei Teilnehmern in einer Ausführungsform der Erfindung darstellt;
Fig. 5 ein verteiltes Datenverarbeitungssystem darstellt, das so programmiert werden kann, daß es eine Echtheitsüberprüfungsoperation ausführt.
Die Fig. 1, 2 und 3 zeigen Ansichten von Verfahren nach dem Stand der Technik, um die Übertragung von Daten sicher zu machen. Ein Verständnis dieser Verfahren nach dem Stand der Technik vereinfacht das Verständnis der bevorzugten Ausführungsformen der vorliegenden Erfindung, die in den Fig. 4 und 5 dargestellt sind.
In Fig. 1 ist ein Verfahren zur Nachrichtenechtheitsüberprüfung mit drei Durchläufen nach dem Stand der Technik dargestellt. Wie gezeigt ist, sind A und B die Kommunikationspartner, die einen langlebigen und geheimen Schlüssel a gemeinsam benutzen. Die Kommunikationspartner A und B kommunizieren über einen unsicheren Datenübertragungskanal. Drei Datenflüsse sind in Fig. 1 dargestellt. Der erste Datenfluß erfolgt vom Kommunikationspartner A zum Kommunikationspartner B und enthält eine zufällige Bitfolge RA, die eine Herausforderung zur Instanzenechtheitsüberprüfung darstellt. Der erste Datenfluß enthält auch eine willkürliche Textfolge Text1. Der Kommunikationspartner B antwortet auf den ersten Datenübertragungsfluß, indem er an den Kommunikationspartner A eine zufällige Bitfolge-Herausforderung RB, eine willkürliche Textfolge Text2 sowie eine Bitfolge leitet, die das Ergebnis einer Transformation h¹ ist, welche mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt und an einer Vielzahl von weiteren Datenelementen, einschließlich einer Identifizierung der Kommunikationspartner A, B, der Echtheitsüberprüfungsherausforderungen RA, RB, die von den Kommunikationspartnern A, B erzeugt worden sind, und Text2, vorgenommen wird.
Da der Kommunikationspartner A den gemeinsamen langlebigen und geheimen Schlüssel a besitzt, kann er die Echtheitsüberprüfungsherausforderung RB vom Kommunkationspartner B zur Erzeugung eines Bitstroms verwenden, der als Folge der Anwendung der Transformation ha¹ mit dem vom Kommunikationspartner B bereitgestellten Bitstrom identisch ist (wenn der, zweite Datenfluß richtig berechnet und so empfangen wird, wie er übertragen wurde). Am Ende des Datenübertragungsflusses 2 kann der Kommunikationspartner A sicher sein, daß der Kommunikationspartner B "echt" ist, da der Kommunikationspartner B den gemeinsamen langlebigen und geheimen Schlüssel besitzen muß, um durch die Anwendung der Transformation ha¹ einen Bitstrom zu erzeugen, der identisch mit dem vom Kommunikationspartner A erzeugten ist.
Im dritten, Datenübertragungsfluß leitet der Kommunikationspartner A den Text3 und das Ergebnis der Anwendung der Transformation ha² an die Echtheitsüberprüfungsherausforderung RB und Text3. Der Kommunkationspartner B kann den gemeinsamen langlebigen und geheimen Schlüssel a, die Echtheitsüberprüfungsherausforderung RB, den Text3 und die Transformation ha² zur Erzeugung eines Bitstroms verwenden, der mit dem vom Kommunikationspartner A bereitgestellten Bitstrom verglichen wird. Wenn die Bitströme identisch sind, kann der Kommunikationspartner B sicher sein, daß der Kommunikationspartner A "echt" ist. Die in Fig. 1 dargestellten Verfahren werden in einer Publikation von M. Bellare und P. Rogaway mit dem Titel "Entity Authentication and Key Distribution" vollständiger behandelt, die in The Proceeding of Crypto '93 vom Springer-Verlag veröffentlicht wurde und Bestandteil hiervon ist, als ob sie vollständig zitiert worden wäre. Im Gründe werden bei dem Verfahren von Fig. 1 herkömmliche Instanzenechtheitsüberprüfungs-Herausforderungsverfahren mit herkömmlichen Nachrichtenechtheitsüberprüfungsverfahren verbunden.
Fig. 2 stellt einen herkömmlichen Schlüsselaustausch gemäß den Lehren von W. Diffie und M. Hellman in einem Artikel mit dem Titel "New Directions in Cryptography", IEEE Transactions On Information Theory, IT-22, Nr. 6, 1976, dar, der Bestandteil hiervon ist, als ob er vollständig zitiert worden wäre. Dieses Verfahren kann speziell als Diffie-Hellman-Schlüsselaustausch bezeichnet werden. Der Zweck dieses Verfahrens ist der öffentliche Austausch von Informationen, die zur Erzeugung eines gemeinsamen geheimen Schlüssels verknüpft werden können, der für bestimmte Datenübertragungssitzungen verwendet werden kann. Diesem Protokoll entsprechend leitet der Kommunikationspartner A an den Kommunikationspartner B einen Bitstrom, der erzeugt wird, indem eine öffentlich bekannte Basis g mit einer heimlich ausgewählten Potenz α potenziert wird, die aus einer öffentlich bekannten Gruppe, wie beispielsweise der multiplikativen Gruppe Modulo eine feste Primärzahl p, ausgewählt wird. Der Kommunikationspartner B antwortet im Datenübertragungsfluß 2, indem er an den Kommunikationspartner A einen Bitstrom leitet, der erzeugt wird, indem eine öffentlich bekannte Basis g mit einer heimlich ausgewählten Potenz β potenziert wird, die aus derselben öffentlich bekannten Gruppe ausgewählt wird, aus der α ausgewählt wurde. Das gemeinsame, geheime σ wird durch Verwendung der Informationen erzeugt, die zwischen den Kommunikationspartnern A, B in den beiden Datenübertragungsflüssen über tragen werden. Wie in Fig. 2 gezeigt ist, ist das gemeinsame, geheime σ eine Funktion einer Transformation H&sub1;, wie sie auf das Exponentialprodukt von gα und gβ angewandt wird. Vorzugsweise werden die Werte für α und β von den Kommunikationspartnern A, B aus einer vorher festgelegten Gruppe von ganzen Zahlen willkürlich ausgewählt.
Der Schlüsselaustausch nach Diffie-Hellman ist nur für Datenübertragungskanäle nützlich, die möglicherweise passiven Gegnern ausgesetzt sind, nicht aber für Datenübertragungskanäle, die aktiven Gegnern ausgesetzt sind. Anders ausgedrückt, wenn der Datenübertragungskanal für gegnerische Eingriffe anfällig ist, ist das Schlüsselaustauschprotokoll nach Diffie-Hellman nicht sehr nützlich, da sich der Gegner entweder als Kommunikationspartner A oder als Kommunikationspartner B ausgeben und die Erzeugung eines gemeinsamen geheimen Schlüssels einleiten kann, der dann dazu verwendet werden kann, Informationen von einem berechtigten Teilnehmer zu erhalten.
Herkömmliche Schlüsselaustauschverfahren wie das des Diffie- Hellman-Schlüsselaustauschprotokolls von Fig. 2 wurden von Bellovin und Merritt in dem Fachaufsatz mit dem Titel "Encrypted Key Exchange: Password Based Protocol Secure Against Dictionary Attacks", Proceedings of the IEEE Symposium On Research And Security And Privacy, 1992, näher ausgeführt, das auch Gegenstand der US-Patentschrift A-5 241 599 mit dem Titel "Cryptographic Protocol For Secure Communications", ausgegeben am 31. August 1993 an Bellovin u. a., ist, von denen beide durch Bezugnahme vollständiger Bestandteil hiervon sind. Das grobe Konzept hinter dem Lösungsansatz von Bellovin und Merritt ist in Fig. 3 dargestellt. Wie gezeigt ist, benutzen die Kommunikationspartner A, B einen langlebigen geheimen Schlüssel a gemeinsam. Zwei Datenübertragungsflüsse sind in Fig. 3 darge stellt, obgleich weitere Datenübertragungsflüsse ebenfalls möglich sind. Im ersten Datenübertragungsfluß wendet A ein willkürlich ausgewähltes und geheimes α (einen Echtheitsüberprüfungsschlüssel, der aus einer festgelegten, zugrundeliegenden Gruppe ausgewählt wird) als Exponenten auf die öffentlich bekannte Basis g an und wendet dann eine Verschlüsselung der Maskierungstransformation Ea¹, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt wird, auf den Bitstrom an, der gα darstellt. Im zweiten Datenübertragungsfluß antwortet der Kommunikationspartner B, indem er ein willkürlich ausgewähltes β als Exponenten auf die Basis g anwendet und anschließend eine Transformation Ea² auf den Bitstrom anwendet, der von gβ erzeugt wird. Nach diesem Verfahren ist der Schlüssel, der als Folge dieser Interaktion erzeugt worden ist, σ, das für eine Funktion H&sub1; gleich H&sub1;(gαβ) ist. Bei diesem Protokoll können die Transformationen E¹ und E² Antivalenzverknüpfungen oder eine beliebige andere Maskierungsoperation sein. Mit Hilfe dieses Verfahrens haben Bellovin und Merritt ein Protokoll entworfen, das dazu verwendet werden kann, in Übereinstimmung mit dem Schlüsselaustausch nach Diffie-Hellman in regelmäßigen Abständen kurzlebige Sitzungsschlüssel zu erzeugen, die sowohl gegen aktive als auch passive Gegner sicher sind. Die in den Datenübertragungsflüssen 1 und 2 enthaltenen Informationen sind nicht anfällig für Lauschangriffe, da die ausgetauschten Daten mit einer Transformation chiffriert werden, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt wird, und somit nicht anfällig für passive, rechnerunabhängige Angriffe wie beispielweise einen Wörterverzeichnisangriff.
Eine Ausführungsform der vorliegenden Erfindung wird nun mit Bezug auf Fig. 4 beschrieben. Die vorliegende Erfindung stellt ein Sicherheitsprotokoll vor, mit dem die folgenden Ergebnisse gleichzeitig erzielt werden können:
(1) Es ermöglicht eine Instanzenechtheitsüberprüfung zwischen zwei oder mehr Teilnehmern in einem Kommunikationssystem.
(2) Statt einer Verschlüsselung können Kennzeichen verwendet werden, um bei Nachrichten, die zwischen den Teilnehmern in einem Kommunikationssystem übertragen werden, eine Instanzenechtheitsüberprüfung durchzuführen.
(3) Es erlaubt zwei oder mehr Teilnehmern in dem Kommunikationssystem die Verteilung eines kurzlebigen Sitzungsschlüssels,
(4) wobei die Ziele der Instanzenechtheitsüberprüfung und der Verteilung von Sitzungsschlüsseln in einer minimalen Anzahl von Datenübertragungsflüssen zwischen den verschiedenen Teilnehmern in dem Kommunikationssystem erreicht werden, und insbesondere werden diese Ziele bei jedem einzelnen Datenfluß dadurch erreicht, daß sie weitgehend gleichzeitig verfolgt werden; und
(5) wobei das Kommunikationssystem sicher vor rechnerunabhängigen Angriffen und insbesondere sicher gegen Wörterverzeichnisangriffe ist; und
(6) wobei das Sicherheitssystem eine vollkommene Geheimhaltung bei der Weiterleitung bietet, indem es einen Gegner daran hindert, die Kenntnis von dem langlebigen Schlüssel dazu zu verwenden, die Geheimhaltung der aufgezeichneten Sitzungen zu verletzen.
Wie in Fig. 4 gezeigt ist, macht diese bevorzugte Ausführungsform drei aufeinanderfolgende Datenflüsse zwischen den Kommunikationspartnern A, B, die einen langlebigen geheimen Schlüssel a gemeinsam benutzen, erforderlich; in alternativen Ausführungsformen könnten die Ziele der vorliegenden Erfindung jedoch in einer größeren Anzahl von Datenflüssen, beispielsweise in vier oder fünf Datenflüssen, erreicht werden, indem bestimmte Teile der Datenflüsse zur gesonderten Übertragung getrennt werden.
In dem Szenario von Fig. 4 versucht der Kommunikationspartner A, den Text1 an den Kommunikationspartner B weiterzuleiten. Der Kommunikationspartner B antwortet, indem er den Text2 an den Kommunikationspartner A leitet. Dann antwortet der Kommunikationspartner A dem Kommunikationspartner B, indem er den Text3 an ihn überträgt. Während dieses Datenaustauschs möchten die Kommunikationspartner A, B sicherstellen, daß jede Datenübertragung von einer "echten" Quelle erzeugt wird und daß die Textnachricht oder die Daten nicht in irgendeiner Weise von einem Gegner verändert worden sind. Sie möchten auch einen neuen Sitzungsschlüssel verteilen, der zur nachfolgenden Nachrichtenechtheitsüberprüfung und/oder -verschlüsselung verwendet werden soll. Um diese Ziele zu erreichen, leitet der Kommunikationspartner A im ersten Datenübertragungsfluß den Text1 und einen verschlüsselten oder anderweitig maskierten Bitstrom an den Kommunikationspartner B. Genauer gesagt, der Kommunikationspartner A wählt entsprechend dem in Fig. 2 dargestellten und vorstehend beschriebenen Schlüsselaustausch nach Diffie-Hellman α aus. α wird aus der multiplikativen Gruppe von ganzen Zahlen Modulo p zwischen 0 und p-2 willkürlich ausgewählt. Das willkürlich ausgewählte α wird als Exponent auf eine öffentlich bekannte Basis g angewandt, und der numerische Wert von gα unterliegt der Transformation E¹, die mit dem gemeinsamen langle bigen und geheimen Schlüssel a' verschlüsselt wird und eine Antivalenzverknüpfung umfassen kann, die unter Verwendung von gα und dem gemeinsamen langlebigen und geheimen Schlüssel a durchgeführt wird. Indem Datenübertragungsfluß wird diese Antivalenzverknüpfung als Ea¹ dargestellt. Deshalb wird der erste Fluß eines herkömmlichen Austauschs eines geheimen Schlüssels gemäß der Transformation Ea¹ maskiert.
In dem zweiten Datenübertragungsfluß leitet der Kommunikationspartner B einen Textteil Text2 und zwei weitere Komponenten an den Kommunikationspartner A. Die erste Komponente ist ein zweiter Fluß eines herkömmlichen Schlüsselaustauschs, wie beispielsweise des Schlüsselaustauschmodells nach Diffie-Hellman. Genauer gesagt, der Kommunikationspartner B wählt β willkürlich aus der Gruppe ganzer Zahlen aus, aus der α ausgewählt wurde. Das willkürlich ausgewählte β wird als Exponent auf die öffentlich bekannte Basis g angewandt. Der numerische Wert von gβ kann der Transformation E² unterworfen werden, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt und im Datenübertragungsfluß 2 folglich als Ea² dargestellt wird. Die zweite Komponente ist das Ergebnis der Anwendung der Maskierungstransformation h¹, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt wird und auf eine Vielzahl von Parametern, einschließlich einer Kennung des Kommunikationspartners B, einer Kennung des Kommunikationspartners A, des Textteils Text1, der im ersten Datenfluß übertragen worden ist, des Textteils Text2, der im zweiten Datenfluß übertragen worden ist, und des maskierten-Austauschs von Schlüsselteilen, die durch Ea¹(gα) und Ea²(gβ) angegeben werden, angewandt wird. Außerdem unterliegt a ebenfalls der Transformation ha¹; σ wird gemäß dem Diffie-Hellman-Protokoll von Fig. 2 als gαβ mod p angegeben.
Auf diese Weise tauschen die Kommunikationspartner A, B in den ersten beiden Datenübertragungsflüssen zwei Textteile sowie zwei Datenflüsse aus, die zusammen den kurzlebigen (Sitzungs- )Schlüssel angeben, der als σ definiert wird; die Schlüsselflüsse werden jedoch maskiert, um sie für einen Gegner unbrauchbar zu machen, der keinen Zugriff auf den gemeinsamen langlebigen und geheimen Schlüssel a hat. Im zweiten Datenübertragungsfluß dient der durch die Transformation ha¹ erzeugte Bitstrom einer Doppelfunktion: der Durchführung einer Nachrichtenechtheitsüberprüfungsprozedur an den Daten von Text1 und Text2 und dem Nachweis der Echtheit des Kommunikationspartners B gegenüber dem Kommunikationspartner A (indem die Verschlüsselungstransformation h¹ auf eine Gruppe von Parametern angewandt wird, die σ oder a enthält).
Im dritten Datenübertragungsfluß wird der Textteil Text3 vom Kommunikationspartner A an den Kommunikationspartner B übertragen. Zusätzlich wird die Maskierungstransformation h² mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt und auf mindestens drei Parameter angewandt, einschließlich des transformierten, zusammengesetzten Schlüsselteils gβ, welcher der Transformation gemäß Ea² unterworfen wird, des Textteils Text3 und σ, das den Sitzungsschlüssel darstellt. Als Ergebnis dieses dritten Datenübertragungsflusses hat der Kommunikationspartner A seine Echtheit gegenüber dem Kommunikationspartner B nachgewiesen, indem er σ in die Parameter aufgenommen hat, die der Verschlüsselungstransformation ha² unterworfen werden. Gleichzeitig wird versichert, daß die im Text3 enthaltenen Daten richtig sind, da die Transformation ha² als Nachrichtenechtheitsüberprüfungstransformation dient.
In der bevorzugten Ausführungsform der vorliegenden Erfindung kann eine Vielzahl von herkömmlichen Transformationen zur Durchführung der Verschlüsselungs- oder Maskierungstransformationsfunktion der Transformationen E¹, E², h¹ und h² verwendet werden. Beispielsweise könnte die Verschlüsselung oder Maskierungstransformation von Ea¹ die Verknüpfung des gemeinsamen langlebigen und geheimen Schlüssels a mit gα gemäß der Exklusiv-ODER-Funktion sein. Die Verknüpfung des gemeinsamen langlebigen und geheimen Schlüssels a mit dem Bitstrom Von gβ gemäß der Exklusiv-ODER-Funktion könnte als die Maskierungstransformation E² verwendet werden.
Die Verschlüsselungs- oder Maskierungstransformationen h¹ und h² sind vorzugsweise entweder (1) eine Nachrichtenechtheitsüberprüfungscode-Operation, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt wird, der auf eine Vielzahl von Parametern, einschließlich σ oder eines Teils des zusammengesetzten Schlüssels, angewandt wird, oder (2) eine Verschlüsselungs-Hash-Funktion, die mit dem gemeinsamen langlebigen und geheimen Schlüssel a verschlüsselt und auf eine Vielzahl von Parametern, einschließlich des zusammengesetzten Sitzungsschlüssels σ oder eines Teils des zusammengesetzten Sitzungsschlüssels, angewandt wird, oder (3) der Verschlüsselungs- oder Nachrichtenechtheitsüberprüfungscode, der mit dem langlebigen Schlüssel a verschlüsselt und auf die Verschlüsselungs- Hash-Funktion einer Vielzahl von Parametern angewandt wird.
In der bevorzugten Ausführungsform der vorliegenden Erfindung sind die Transformationen ha¹ und ha² entweder herkömmliche Nachrichtenechtheitsüberprüfungscode-Verfahren oder herkömmliche Hash-Funktionen. Viele Mechanismen stehen zur Verfügung, um die Ziele von Nachrichtenechtheitsüberprüfungscode-Operationen zu erreichen, zu den wichtigsten gehören jedoch:
(1) der Vorsatz des letzten Wortes der CBC-Verschlüsselung, die einen Blockschlüssel α (d. h. Verkettung von Verschlüsselungsblöcken) eines bestimmten Bitstroms unter einem langlebigen und geheimen Schlüssel a verwendet, der als "CBCaC(x) " bezeichnet wird;
(2) der Vorsatz der Verschlüsselungs-Hash-Funktion eines bestimmten Bitstroms und der gemeinsame langlebige und geheime Schlüssel a, der als "hash (x,a)" bezeichnet wird;
(3) eine Kombination der Operation von Nr. 1 und der Operation von Nr. 2, um den Vorsatz einer Verschlüsselungsblockverkettungsoperation zu steuern, die an einer Verschlüsselungs-Hash-Funktion der Operation Nr. 2 ausgeführt wird, die als "CBCa(hash(x,a)) bezeichnet wird; und
(4) eine Kombination einer Hash-Operation und einer Verschlüsselungsoperation (wie beispielsweise der DES-Algorithmus), die als "Verschlüsselung (hash(x))" bezeichnet werden kann.

NACHRICHTENECHTHEITSÜBERPRÜFUNGSCODE-OPERATIONEN

Nachrichtenechtheitsüberprüfungscodes (MACs) werden bei der Verschlüsselung verwendet, um die Echtheit von Datenübertragungen zu gewährleisten. Diese Arten von Operationen werden häufig als "Nachrichtenechtheitsüberprüfungsoperationen" bezeichnet. Typischerweise erlauben Nachrichteilechtheitsüberprüfungsoperationen einem Empfänger, den Ursprung und das Ziel einer Nachricht, ihren Inhalt, ihre Rechtzeitigkeit und ihre Reihenfolge in bezug auf andere Nachrichten, die zwischen kommunizierenden Teilnehmern übertragen werden, auf Gültigkeit zu prüfen.
Während viele verschiedene Algorithmen zur Durchführung der Nachrichtenechtheitsüberprüfungscode-(MAC-)Operationen dienen können, ist das am besten bekannte und offizielle Schema in dem veröffentlichten Schriftstück DES MODES OF OPERATION dokumentiert, dessen genauere Bezeichnung Federal Information Processing Standards Publication, FIPS PUB 81, lautet und am 2. Dezember 1980 vom National Bureau of Standards veröffentlicht wurde. Vorzugsweise wird der Verschlüsselungsblockverkettungs- (CBC-)Modus zur Verschlüsselung von unverschlüsseltem Text verwendet, der nötigenfalls aufgefüllt werden muß (zum Beispiel mit Nullbits), damit seine Länge ein Vielfaches von vierundsechzig Bit beträgt. Der MAC besteht aus den letzten k Bits des verschlüsselten Texts, dessen Rest gelöscht wird. Dieser Prozeß wird in einem Artikel von C. H. Meyer und S. M. Matyas mit dem Titel "Cryptography: A New Dimension in Computer Data Security" erörtert, der 1982 von. John Wiley & Sons, New York, veröffentlicht wurde. Die Verwendung des DES-Algorithmus in der Betriebsweise Verschlüsselungsblockverkettung legt eine festverankerte Eigenschaft der Fehlerfortpflanzung bei der Weiterleitung offen; deshalb würde die Veränderung von nur einem, einzigen Bit in dem unverschlüsselten Text eine nicht vorhersagbare Veränderung bei jedem Bit im MAC bewirken, wobei die Wahrscheinlichkeit bei jedem Bit bei fünfzig Prozent liegt. Verwendet man einen MAC mit einer Länge von k Bit, der zusammen mit der zugehörigen Nachricht, deren Echtheit nachgewiesen werden muß, übertragen wird, und berechnet man diesen Teil an der empfangenen Nachricht am Ziel neu, dann beträgt die Wahrscheinlichkeit, daß der empfangene MAC mit dem neu berechneten MAC übereinstimmt, nur 2-k, wenn die übertragene Nachricht manipuliert worden ist. Diese Wahrscheinlichkeit kann so klein wie gewünscht ausgelegt werden, indem man k groß genug wählt.
In der bevorzugten Ausführungsform der vorliegenden Erfindung wird die Verschlüsselungsblockverkettungsoperation zur Erzeugung des Nachrichtenechtheitsüberprüfungscodes (MAC) verwendet. Die bei der Verschlüsselungsblockverkettung verwendete DES- Operation wird mit einem bestimmten, geheimen Schlüssel verschlüsselt. In der hier erörterten Ausführungsform stellt die Verschlüsselung der Nachrichtenechtheitsüberprüfungscode-(MAC-) Operation mit einem geheimen Schlüssel sicher, daß das als Ergebnis der Nachrichtenechtheitsüberprüfungscode-Operation erzeugte Echtheitsüberprüfungskennzeichen dazu dient, die Echtheit des einen oder mehrerer Kommunikationspartner nachzuweisen.
Ein 1985 in der September-Ausgabe des IEEE Communications Magazine, Band 23, Nr. 9, veröffentlichter Artikel mit dem Titel "Message Authentication" von R. R. Jueneman, S. M. Matyas und C. H. Meyer zeigt Alternativen zur Verschlüsselungsblockverkettungsoperation auf.

ANWENDUNGEN DER ECHTHEITSÜBERPRÜFUNGSPROTOKOLLE

Die Protokolle der vorliegenden Erfindung können in einem verteilten Datenverarbeitungssystem verwendet werden, um die Echtheit von einem oder mehreren Kommunikationspartnern in dem verteilten Datenverarbeitungssystem nachzuweisen. In einer solchen Umgebung führen eine oder mehrere Datenverarbeitungseinheiten die Funktionen des Vermittlers aus, dem man vertraut. Fig. 5 stellt ein verteiltes Datenverarbeitungssystem 8 dar, das so programmiert werden kann, daß es die hier beschriebenen Protokolle ausführt.
Wie in Fig. 5 gezeigt ist, kann das verteilte Datenverarbeitungssystem 8 eine Vielzahl von Netzwerken enthalten, beispielsweise die lokalen Netze (LAN) 10 und 32, von denen jedes vorzugsweise eine Vielzahl von einzelnen Rechnern 12 beziehungsweise 30 enthält. Der Fachmann erkennt natürlich, daß eine Vielzahl intelligenter Arbeitsplatzrechner, die an einen hostrechner angeschlossen sind, für jedes dieser Netzwerke verwendet werden kann. Wie es in solchen verteilten Datenverarbeitungssystemen üblich ist, kann jeder einzelne Rechner mit einer Speichereinheit 14 und/oder einem Drucker/einer Ausgabeeinheit 16 verbunden werden. Eine oder mehrere solcher Speichereinheiten 14 können zur Speicherung verschiedener "Groupware"-Anwendungen oder -Dokumente verwendet werden, auf die mehrere Benutzer gleichzeitig oder hintereinander zugreifen und sie verarbeiten können. Außerdem können ein oder mehrere Systeme eingebunden werden, um Datenverarbeitungsressourcen, einschließlich der Groupware-Anwendungen und -Dokumente, entsprechend herkömmlicher Techniken zu verwalten.
Immer noch Bezug auf Fig. 5 nehmend, ist zu sehen, daß das verteilte Datenverarbeitungssystem 8 auch mehrere Großrechner, wie beispielsweise den Großrechner 18, enthalten kann, der sich über die Datenübertragungsleitung 22 vorzugsweise an das lokale Netz (LAN) 10 anbinden läßt. Der Großrechner 18 kann mit einer Speichereinheit 20 verbunden werden, die als ferner Speicher für das lokale Netz (LAN) 10 dienen kann, und er kann über die Datenübertragungssteuereinheit 26 und die Datenübertragungsleitung 34 mit einem Gateway-Server 28 verbunden werden. Der Gateway-Server 28 ist vorzugsweise ein einzelner Rechner oder eine intelligente Workstation (IWS), der/die zur Verbindung des lokalen Netzes (LAN) 32 mit dem lokalen Netz (LAN) 10 dient.
Wie vorstehend mit Bezug auf das lokale Netz (LAN) 32 und das lokale Netz (LAN) 10 erörtert wurde, können eine Vielzahl von Datenobjekten, Anwendungsprogrammen und Datendateien, Groupware-Programmen oder Groupware-Dokumenten in der Speichereinheit 20 gespeichert und vom Großrechner 18 als Ressourcenverwalter oder Bibliotheksdienst für die auf diese Weise gespeicherten Datenobjekte und Dokumente gesteuert werden. Der Fachmann erkennt, daß es oftmals wünschenswert ist, einen gleichzeitigen oder hintereinander erfolgenden sowie eingeschränkten Zugriff auf diese Datenobjekte, Anwendungsprogramme, Datendateien, Groupware-Anwendungen oder Groupware-Dokumente zu gestatten, um die vorteilhaften synergistischen Effekte der Gruppenarbeit zu nutzen. Außerdem erkennt der Fachmann, daß sich der Großrechner 18 geographisch weit entfernt vom lokalen Netz (LAN) 10 befinden kann; und genauso kann sich das lokale Netz (LAN) 10 in einiger Entfernung vom lokalen Netz (LAN) 32 befinden. Das heißt, das lokale Netz (LAN) 32 kann sich in Californien befinden, während sich das lokale Netz (LAN) 10 in Texas und der Großrechner 18 in New York befinden können.

WEITERE BEDEUTENDE VORTEILE

Während die vorstehend beschriebene Anordnung ein sicheres und wirksames Mittel zum Nachweis der Echtheit von Kommunikationspartnern und zur gleichzeitigen Verteilung von kurzlebigen Sitzungsschlüsseln an die Kommunikationspartner bereitstellt, bringt sie auch mehrere bedeutende Vorteile mit sich. Eine "vollkommene Geheimhaltung bei der. Weiterleitung" wird geboten. Das bedeutet, daß, wenn ein Gegner in den Besitz des langlebigen, geheimen Schlüssels kommt, kurzlebige Sitzungsschlüssel, die unter Verwendung des langlebigen, geheimen Schlüssels verteilt wurden, nicht preisgegeben werden. Anders ausgedrückt, die Kenntnis oder der Besitz des langlebigen Schlüssels bringt dem Gegner keinen Vorteil in bezug auf die kurzlebigen Schlüssel. Deshalb können aufgezeichnete Sitzungen nicht "geknackt" werden, es sei denn, der kurzlebige Sitzungsschlüssel ist dem Gegner ebenfalls bekannt oder in seinem Besitz. Ein bedeutender, weiterer Vorteil besteht darin, daß das Protokoll vollkommen sicher gegen "verzahnte Angriffe" ist, bei denen sich ein Gegner als Kommunikationspartner ausgibt, um mehrere Kommunikationspartner nacheinander oder fortlaufend an einem Nachrichtenaustausch zu beteiligen, um von einem bestimmten Teilnehmer eine ausreichende Menge an Informationen zu erhalten und diese Informationen dann zum Erlangen eines Vorteils gegenüber einem anderen Kommunikationspartner zu verwenden. Diese Art von verzahntem Angriff wird in der Literatur typischerweise als "Sitzungs"-Angriff bezeichnet. In seiner verbreitetsten Form leitet der aktive Gegner eine Kommunikation mit zwei verschiedenen Kommunikationspartnern ein und verwendet die von einem Partner empfangenen Datenübertragungen, um mit einem anderen Partner in einen Schlüsselaustausch zu treten. Die vorliegende Ausführungsform ist gegen diese Art von Angriff vollkommen sicher.
Während die Erfindung insbesondere mit Bezug auf eine bevorzugte Ausführungsform gezeigt und beschrieben wurde, versteht der Fachmann von selbst, daß verschiedene Änderungen an der Form und an den Einzelheiten vorgenommen werden können, ohne vom Umfang der Erfindung abzuweichen.

Claims

1. Verfahren zur Echtheitsüberprüfung eines Kommunikationspartners in einem unsicheren Datenübertragungskanal in einem Datenverarbeitungssystem (8), wobei die Echtheit der Kommunikationspartner (12, 30) durch den Besitz eines gemeinsamen langlebigen, geheimen Schlüssels festgestellt wird, das die folgenden Verfahrensschritte umfaßt:

(a) den Austausch von Datenflüssen zwischen Kommunikationspartnern (12, 30), um einen zusammengesetzten Schlüssel festzulegen, wobei mindestens ein Teil der Datenflüsse auf eine Weise verschlüsselt oder anderweitig maskiert worden ist, bei welcher der gemeinsame langlebige, geheime Schlüssel verwendet wird;

(b) die Weiterleitung von mindestens einem Echtheitsüberprüfungskennzeichen zwischen den Kommunikationspartnern (12, 30), wobei das mindestens eine Echtheitsüberprüfungskennzeichen durch eine über eine Vielzahl von Parametern verwendete Transformierte festgelegt wird und mindestens teilweise auf dem zusammengesetzten Schlüssel beruht, wobei die Transformierte mindestens eines von Folgendem einschließt: (i) einen Nachrichten-Echtheitsüberprüfungscode, der mit dem gemeinsamen langlebigen, geheimen Schlüssel verschlüsselt wird; (ii) eine Verschlüsselungs-Hash- Funktion, die an dem gemeinsamen langlebigen, geheimen Schlüssel ausgeführt wird; und (iii) eine Maskierungsoperation, die den gemeinsamen langlebigen, geheimen Schlüssel einschließt; und

(c) die Verwendung des Echtheitsüberprüfungskennzeichens, um die Echtheit von mindestens einem Kommunikationspartner festzustellen.

2. Verfahren nach Anspruch 1,

(d) wobei ein erster Kommunikationspartner eine erste Exponentialkomponente des zusammengesetzten Schlüssels an einen zweiten Kommunikationspartner leitet;

(e) wobei der zweite Kommunikationspartner eine zweite Exponentialkomponente des zusammengesetzten Schlüssels an den ersten Kommunikationspartner leitet;

3. Verfahren nach Anspruch 2,

(f) wobei die erste Exponentialkomponente eine öffentliche Basis und einen wahlfreien und geheimen Exponenten enthält, der von dem ersten Kommunikationspartner aus einer festgelegten Gruppe von ganzen Zahlen ausgewählt wird.

4. Verfahren nach Anspruch 2,

(f) wobei die zweite Exponentialkomponente eine öffentliche Basis und einen wahlfreien und geheimen Exponenten enthält, der von dem zweiten Kommunikationspartner aus einer festgelegten Gruppe von ganzen Zahlen ausgewählt wird.

5. Verfahren nach Anspruch 2,

(f) wobei die erste Exponentialkomponente eine öffentliche Basis und einen wahlfreien und geheimen Exponen ten enthält, der von dem ersten Kommunikationspartner aus einer festgelegten, zyklisch multiplikativen Gruppe von ganzen Zahlen ausgewählt wird.

(g) wobei die zweite Exponentialkomponente eine öffentliche Basis und einen wahlfreien und geheimen Exponenten enthält, der von dem zweiten Kommunikationspartner aus einer festgelegten, zyklisch multiplikativen Gruppe von ganzen Zahlen ausgewählt wird.

6. Verfahren nach jedem der vorhergehenden Ansprüche,

(e) wobei ein erster Kommunikationspartner ein erstes Echtheitsüberprüfungskennzeichen an einen zweiten Kommunikationspartner leitet, das es dem zweiten Kommunikationspartner ermöglicht, die Echtheit des ersten Kommunikationspartners festzustellen; und

(f) wobei der zweite Kommunikationspartner ein zweites Echtheitsüberprüfungskennzeichen an den ersten Kommunikationspartner leitet, das es dem ersten Kommunikationspartner ermöglicht, die Echtheit des zweiten Kommunikationspartners festzustellen.

7. Verfahren nach Anspruch 6,

(g) wobei mindestens eines von dem ersten und dem zweiten Echtheitsüberprüfungskennzeichen zwischen dem ersten und dem zweiten Kommunikationspartner gleichzeitig mit Datenflüssen übertragen wird, die den zusammengesetzten Schlüssel festlegen, wodurch die Anzahl der Datenübertragungsflüsse zwischen dem ersten und dem zweiten Kommunikationspartner minimiert wird.

8. Verfahren nach jedem der vorhergehenden Ansprüche, wobei der Schritt des Austauschs von Datenflüssen die folgenden Schritte enthält:

im Namen eines ersten Kommunikationspartners Berechnen eines Werts für gα für ein bestimmtes g und eines Werts für α, die heimlich aus einer vorher festgelegten Gruppe ausgewählt wurden;

im Namen eines zweiten Kommunikationspartners Berechnen eines Werts für gβ für das bestimmte g und eines Werts für β, die heimlich aus einer vorher festgelegten Gruppe ausgewählt wurden;

Übertragen des Werts für gα Von dem ersten Kommunikationspartner an den zweiten Kommunikationspartner;

Übertragen des Werts für gβ von dem zweiten Kommunikationspartner an den ersten Kommunikationspartner;

Erzeugen eines gemeinsamen kurzlebigen, geheimen Schlüssels gαβ, um damit Datenübertragungen zwischen dem ersten und dem zweiten Kommunikationspartner über den unsicheren Datenübertragungskanal sicher zu machen.

9. Verfahren nach Anspruch 8, das folgendes umfaßt:

Maskieren des Werts für gα und gβ während Datenübertragungen zwischen dem ersten und dem zweiten Kommunikationspartner.

10. Verfahren nach Anspruch 9, wobei der Maskierungsschritt folgendes umfaßt:

Maskieren des Werts für gα, indem zwischen dem Wert für gα und einem gemeinsamen geheimen Schlüssel eine Maskierungsoperation ausgeführt wird;

Maskieren des Werts für gβ, indem zwischen dem Wert für gβ und einem gemeinsamen geheimen Schlüssel eine Maskierungsoperation ausgeführt wird.

11. Vorrichtung zur Echtheitsüberprüfung eines Kommunikationspartners in einem unsicheren Datenübertragungskanal in einem Datenverarbeitungssystem (8), wobei die Echtheit der Kommunikationspartner (12, 30) durch den Besitz eines gemeinsamen langlebigen, geheimen Schlüssels festgestellt wird, die folgendes umfaßt:

(a) ein Mittel für den Austausch von Datenflüssen zwischen Kommunikationspartnern (12, 30), um einen zusammengesetzten Schlüssel festzulegen, wobei mindestens ein Teil der Datenflüsse auf eine Weise verschlüsselt oder anderweitig maskiert worden ist, bei welcher der gemeinsame langlebige, geheime Schlüssel verwendet wird;

(b) ein Mittel zur Weiterleitung von mindestens einem Echtheitsüberprüfungskennzeichen zwischen den Kommunikationspartnern (12, 30), wobei das mindestens eine Echtheitsüberprüfungskennzeichen durch eine über eine Vielzahl von Parametern verwendete Transformierte festgelegt wird und mindestens teilweise auf dem zusammengesetzten Schlüssel beruht, wobei die Transformierte mindestens eines von Folgendem einschließt:

(i) einen Nachrichten-Echtheitsüberprüfungscode, der mit dem gemeinsamen langlebigen, geheimen Schlüssel verschlüsselt wird; (ii) eine Verschlüsselungs-Hash- Funktion, die an dem gemeinsamen langlebigen, geheimen Schlüssel ausgeführt wird; und (iii) eine Maskierungsoperation, die den gemeinsamen langlebigen, geheimen Schlüssel einschließt; und

(c) ein Mittel zur Verwendung des Echtheitsüberprüfungskennzeichens, um die Echtheit von mindestens einem Kommunikationspartner festzustellen.