ES2348240T3 - Canal autenticado seguro. - Google Patents

Canal autenticado seguro. Download PDF

Info

Publication number
ES2348240T3
ES2348240T3 ES04822347T ES04822347T ES2348240T3 ES 2348240 T3 ES2348240 T3 ES 2348240T3 ES 04822347 T ES04822347 T ES 04822347T ES 04822347 T ES04822347 T ES 04822347T ES 2348240 T3 ES2348240 T3 ES 2348240T3
Authority
ES
Spain
Prior art keywords
key
ephemeral
keph
kperm
public key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
ES04822347T
Other languages
English (en)
Inventor
Alain Durand
Thomas Sirvent
Jean Pierre Andreaux
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Thomson Licensing SAS
Original Assignee
Thomson Licensing SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Thomson Licensing SAS filed Critical Thomson Licensing SAS
Application granted granted Critical
Publication of ES2348240T3 publication Critical patent/ES2348240T3/es
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Debugging And Monitoring (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Air Bags (AREA)
  • Lock And Its Accessories (AREA)

Abstract

Método para calcular una clave de sesión compartida por un primer y un segundo dispositivos (11, 21), teniendo dicho primer dispositivo (11), un certificado (Ca) que comprende una clave pública (ga) y una identidad correspondiente a sí mismo (IDa), y el conocimiento de la identidad correspondiente a sí mismo (IDa), a una clave privada (a) y a la clave pública (ga), teniendo dicho segundo dispositivo (21) un certificado (Cb) que comprende una clave pública (gb) y una identidad correspondiente a sí mismo (IDb), y el conocimiento de la identidad correspondiente a sí mismo (IDb), a una clave privada (b) y a la clave pública (gb), comprendiendo dicho método las siguientes etapas: en el primer dispositivo (11): -selección (252) de una primera clave privada efímera (x); -cálculo (252) de una primera clave pública efímera (gx); -envío (254) al segundo dispositivo de su certificado (Ca) y de la primera clave pública efímera (gx); en el segundo dispositivo (21): - recepción (254) del certificado del primer dispositivo (Ca) y de la primera clave pública efímera (gx); - verificación (256) del certificado del primer dispositivo (Ca); - selección (258) de una segunda clave privada efímera (y); - cálculo (258) de una segunda clave pública efímera (gy); - cálculo (258) de una clave compartida efímera (Keph) a partir de la primera clave pública efímera (gx) y de la segunda clave privada efímera (y); - cálculo (258) de una clave permanente (Kperm) a partir de la clave pública del primer dispositivo (ga) y su propia clave privada (b); - cálculo (260) de un primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda clave pública efímera (gy), la clave efímera compartida (Keph), la clave permanente (Kperm) y la identidad correspondiente a sí mismo (IDb); - envío (262) al primer dispositivo, de su certificado (Cb), de la segunda clave pública efímera (gy) y del primer valor (H(gy, Keph, Kperm, IDb)); en el primer dispositivo (11): - recepción (262) del certificado del segundo dispositivo (Cb), de la segunda clave pública efímera (gy) y del primer valor (H(gy, Keph, Kperm, IDb)) procedentes del segundo dispositivo; - verificación (264) del certificado del segundo dispositivo (Cb); - cálculo (266) de la clave efímera compartida (Keph) a partir de la segunda clave pública efímera (gy) y de la primera clave privada efímera (x); - cálculo (266) de la clave permanente (Kperm) a partir de la clave pública del segundo dispositivo (gb) y de su propia clave privada (a); - verificación (268) del primer valor (H(gy, Keph, Kperm, IDb)); - cálculo (270) de un segundo valor (H(gx, Keph, Kperm, IDa)) a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDa); - envío (272) al segundo dispositivo, del segundo valor (H(gx, Keph, Kperm, IDa)); en el segundo dispositivo (21): - recepción (272) del segundo valor (H(gx, Keph, Kperm, IDa)); - verificación (274) del segundo valor (H(gx, Keph, Kperm, IDa)); y - cálculo (276) de una clave de sesión (Ksess) en función de la clave compartida efímera (Keph); y en el primer dispositivo (11): - cálculo (280) de la clave de sesión (Ksess) en función de la clave efímera compartida (Keph).

Description

[0001] La invención se refiere en general a canales autenticados seguros, y concretamente, al cálculo de claves de sesión para el establecimiento de dichos canales, destinadas a la protección de contenidos digitales, por ejemplo, en un sistema de televisión digital. [0002] Los canales autenticados seguros, que son muy conocidos en la técnica de la criptografía, se han establecido para permitir que dos dispositivos mutuamente autenticados (denominados con frecuencia pares) intercambien
información
confidencialmente. Un canal autenticado seguro
debería
tener, preferiblemen te, las siguientes
características:
-autenticación mutua de los pares;
-confirmación de la clave, es decir, establecimiento de un secreto compartido estando al menos uno de los pares capacitado para verificar que el secreto es común a ambos;
-utilización del método de secreto hacia delante (forward secrecy), es decir, las claves de sesión antiguas no pueden calcularse aun cuando las claves secretas a largo plazo (como la claves secretas del certificado) sean conocidas. [0003] Estas características pueden demostrarse formalmente desde un punto de vista matemático, y se ha demostrado que si existe una forma de saltarse una de las características que anteceden para un protocolo criptográfico específico, podrá quebrantarse todo el protocolo con relativa facilidad. [0004] A lo largo de los años, la comunidad criptográfica ha propuesto muchos protocolos relativos a los canales
autenticados seguros. Tan sólo algunos de dichos canales han demostrado cumplir las características que anteceden. [0005] El documento US 5889865 describe un protocolo de establecimiento de claves entre un par de corresponsales, que incluye la generación por parte de cada corresponsal de las correspondientes firmas. Las firmas se obtienen a partir de una información que es privada del corresponsal, así como a partir de una información que es pública. Tras el intercambio de firmas, la integridad de los mensajes intercambiados puede verificarse extrayendo la información pública contenida en la firma, y comparándola con la información utilizada para generar la firma. A continuación podrá generarse una clave de sesión común a partir de la información pública y privada de los respectivos corresponsales. [0006] El documento US 5953420 describe la generación de claves Diffie-Hellman autenticadas. En primer lugar, cada uno de los usuarios genera un primer valor secreto compartido autenticado a partir de un primer valor secreto persistente no compartido generado por dicho usuario y de un primer valor transformado autenticado recibido del otro usuario a través de un canal de comunicaciones de confianza. A continuación, cada usuario genera dinámicamente un segundo valor secreto compartido a partir de un segundo valor secreto no compartido generado dinámicamente por dicho usuario y un segundo valor transformado generado dinámicamente y recibido del otro usuario. A continuación, cada usuario genera una o más claves mediante la concatenación del primer y el segundo de los valores secretos compartidos conjuntamente con un recuento, para generar un valor concatenado y haciendo pasar el valor concatenado a través de una función de troceo monodireccional para generar un valor de troceo a partir del cual se extraigan las claves. Teniendo en cuenta que los usuarios
legítimos poseen la información necesaria para construir el primer valor secreto compartido, un suplantador que interactúe con un usuario para generar un segundo valor secreto compartido no podrá generar la misma clave. El aumento del recuento de los sucesivos troceos permite la generación de una multiplicidad de claves a partir de una pareja de valores secretos compartidos dada. [0007] El documento US 2004/081321 describe un protocolo de establecimiento de claves que incluye la generación de un valor de función criptográfica, normalmente un valor de troceo, de una clave de sesión y de información pública. Este valor se transfiere entre los corresponsales junto con la información necesaria para generar la clave de sesión. Siempre que la clave de sesión no se encuentre comprometida, el valor de la función criptográfica será el mismo en cada corresponsal. El valor de la función criptográfica no puede comprometerse ni modificarse sin acceder a la clave de la sesión. [0008] Todos los protocolos que proporcionan canales con las características necesarias utilizan diversas primitivas criptográficas: al menos una primitiva asimétrica (como el criptado asimétrico o la firma digital), las funciones de troceo, el Código de Autenticación de Mensaje (MAC) y en algunos de ellos, otras primitivas, tal como el criptado simétrico. Un problema de estos protocolos es que consumen gran cantidad de recursos y son muy difíciles de llevar a cabo en un dispositivo que tenga limitadas capacidades de cálculo, como por ejemplo, un módulo de seguridad portátil, tal como una tarjeta inteligente. Otro problema es que la utilización de muchas primitivas criptográficas hace que sea difícil demostrar la seguridad de un protocolo.
[0009]
La presente invención proporciona un protocolo de
canal
de acceso seguro que tiene las características
necesarias
y que resulta especialmente adecuado para su
implementación en un dispositivo con limitadas capacidades de cálculo. [0010] A lo largo de la descripción se asumirá que, ya que la criptografía es una técnica en plena madurez, los conceptos básicos son perfectamente conocidos. Por razones de claridad y concisión, estos conceptos no se describirán más de lo necesario para la comprensión de la invención. [0011] En un primer aspecto, la invención se refiere a un método de cálculo de una clave de sesión común a un primer y a un segundo dispositivo (11, 21). El primer dispositivo tiene un certificado (Ca) que comprende una clave pública (ga) y una identidad correspondiente a sí mismo (IDa), y un conocimiento de la identidad correspondiente a sí mismo (IDa), una clave privada (a) y la clave pública (ga). El segundo dispositivo tiene el correspondiente certificado y conocimiento. El primer dispositivo selecciona una primera clave privada efímera (x), calcula una primera clave pública efímera (gx), y envía su certificado (Ca) y la primera clave pública efímera (gx) al segundo dispositivo. Cuando se recibe el certificado del primer dispositivo (Ca) y la primera clave pública efímera (gx), el segundo dispositivo verifica el certificado del primer dispositivo (Ca), selecciona una segunda clave privada efímera (y), calcula una segunda clave pública efímera (gy), calcula una clave compartida efímera (Keph) a partir de la primera clave pública efímera (gx) y de la segunda clave privada efímera (y), calcula una clave permanente (Kperm) a partir de la clave pública del primer dispositivo (ga) y de su propia clave privada (b), calcula un primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda
clave pública efímera (gy), de la clave efímera compartida (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDb), y envía su certificado (Cb), la segunda clave pública efímera (gy) y el primer valor (H(gy, Keph, Kperm, IDb)) al primer dispositivo. Cuando desde el segundo dispositivo se recibe el certificado de dicho segundo dispositivo (Cb), la segunda clave pública (gy) y el primer valor (H(gy, Keph, Kperm, IDb)), el primer dispositivo verifica el certificado del segundo dispositivo (Cb), calcula la clave efímera compartida (Keph) a partir de la segunda clave pública
efímera
(gy) y de la primera clave privada efímera (x),
calcula
la clave permanente (Kperm) a partir de la clave
pública
del segundo dispositivo (gb) y de su propia clave
privada (a), verifica el primer valor (H(gy, Keph, Kperm, IDb)), calcula un segundo valor (H(gx, Keph, Kperm, IDa)) a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDa), y envía el segundo valor (H(gx, Keph, Kperm, IDa)) al segundo dispositivo. Al recibir el segundo valor (H(gx, Keph, Kperm, IDa)), el segundo dispositivo verifica el segundo valor (H(gx, Keph, Kperm, IDa)) y calcula una clave de sesión (Ksess) en función de la clave compartida efímera (Keph). El primer dispositivo también calcula la clave de sesión (Ksess) en función de la clave efímera compartida (Keph). [0012] En un segundo aspecto, la invención se refiere a un primer dispositivo (11) para participar, junto con un segundo dispositivo (21) en el cálculo de una clave de sesión. El primer dispositivo tiene un certificado (Ca) que comprende una clave pública (ga) y una identidad correspondiente a sí mismo (IDa), y el conocimiento de la identidad correspondiente a sí mismo (IDa), una clave privada (a) y la
clave pública (ga). El primer dispositivo tiene un procesador
(12) para seleccionar una clave privada efímera (x), calcular una primera clave pública efímera (gx); enviar su certificado (Ca) y la primera clave pública efímera (gx) al segundo dispositivo; recibir un certificado correspondiente al segundo dispositivo (Cb), una segunda clave pública efímera (gy), y un primer valor (H(gy, Keph, Kperm, IDb)) procedente del segundo dispositivo, comprendiendo el certificado (Cb), una clave pública (gb) y una identidad del segundo dispositivo (Idb), calculándose el primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda clave pública efímera (gy), de una clave compartida efímera (Keph), de una clave permanente (Kperm) y de la identidad correspondiente al segundo dispositivo (IDb); verificación del certificado del segundo dispositivo (Cb); cálculo de la clave compartida efímera (Keph) a partir de la segunda clave pública efímera (gy) y de la clave privada efímera (x); cálculo de la clave permanente (Kperm) a partir de la clave pública del primer dispositivo (gb) y de su propia clave privada (a); verificación del primer valor (H(gy, Keph, Kperm, IDb)); cálculo de un segundo valor (H(gx, Keph, Kperm, IDa)) a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm), y de la identidad correspondiente a sí mismo (IDa); envío del segundo valor (H(gx, Keph, Kperm, IDa)) al segundo dispositivo; y cálculo de una clave de sesión (Ksess) en función de la clave compartida efímera (Keph). [0013] En un tercer aspecto, la invención se refiere a un segundo dispositivo (21) para participar, junto con un primer dispositivo (11) en el cálculo de una clave de sesión. El segundo dispositivo tiene un certificado (Cb) que comprende una clave pública (gb) y una identidad correspondiente a sí mismo (IDb), y el conocimiento de la identidad
correspondiente a sí mismo (IDb), una clave privada (b) y la clave pública (gb). El segundo dispositivo tiene un procesador (22) para la recepción de un certificado del primer dispositivo (Ca) y una primera clave pública efímera (gx), comprendiendo el certificado una clave pública (ga) y una identidad del primer dispositivo (IDa); verificación del certificado del primer dispositivo (Ca); selección de una clave privada efímera (y); cálculo de una segunda clave pública efímera (gy); cálculo de una clave compartida efímera (Keph) a partir de la primera clave pública efímera (gx) y de la clave privada efímera (y); cálculo de una clave permanente (Kperm) a partir de la clave pública del primer dispositivo (ga) y de su propia clave privada (b); cálculo de un primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda clave pública efímera (gy), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDb); envío de su certificado (Cb), de la segunda clave pública efímera (gy) y del primer valor (H(gy, Keph, Kperm, IDb)) al primer dispositivo; recepción de un segundo valor (H(gx, Keph, Kperm, IDa)) desde el primer dispositivo, calculándose el segundo valor a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente al primer dispositivo (IDa); verificación del segundo valor (H(gx, Keph, Kperm, IDa)) y cálculo de la clave de sesión (Ksess) en función de la clave compartida efímera (Keph). [0014] La figura 1 muestra el intercambio de claves de sesión de acuerdo con una realización de la presente invención. [0015] La figura 1 muestra el intercambio de claves de sesión de acuerdo con una realización de la presente invención.
[0016] Antes del inicio del método, el primer dispositivo 11 conoce su identidad IDa, su propia clave privada y una clave pública ga. g a es una notación abreviada de ga mod p, dónde a es la clave privada del primer dispositivo, g es un generador conocido y p es un número primo conocido, como se conoce perfectamente en la técnica. El segundo dispositivo 21 tiene el correspondiente conocimiento: IDb, b, gb. Los certificados correspondientes a los dispositivos incluyen la clave pública y la identidad; Ca(ga, IDa) y Cb(gb, IDb), respectivamente. Los dispositivos 11, 12 también cuentan con procesadores (CP) 12, 22 adaptados para efectuar las etapas del método. [0017] En la etapa 252, el primer dispositivo 11 selecciona, preferiblemente al azar, una primera clave privada efímera x y calcula una clave pública efímera gx, que envía junto con su certificado Ca(ga, IDa) al segundo dispositivo 21 en el mensaje 254. [0018] Al recibir el mensaje 254, el segundo dispositivo 21 verifica el certificado Ca(ga, IDa) del primer dispositivo 11; etapa 256. Si la verificación no tiene éxito, el segundo dispositivo 21 abandona el método. No obstante, si la verificación tiene éxito, seleccionará, preferiblemente de forma aleatoria, una segunda clave privada efímera y, y calculará una segunda clave privada efímera gy, una clave efímera compartida Keph = gxy, y una clave permanente Diffie- Hellman Kperm = g ab, en la etapa 258. [0019] En la etapa 260, el segundo dispositivo 21 calcula un primer valor de troceo h(gy, Keph, Kperm, IDb) utilizando la segunda clave pública efímera gy, la clave efímera compartida Keph, la clave permanente Diffie-Hellman Kper y su identidad IDb, así como una función de troceo adecuada, por ejemplo, una de las muchas funciones conocidas en la técnica. Debe entenderse que es posible utilizar otras funciones adecuadas
distintas de las funciones de troceo para este y los siguientes cálculos de valores de troceo de la realización. A continuación, el segundo dispositivo 21 envía la segunda
y
clave pública efímera g, su certificado Cb(gb, IDb), y el primer valor de troceo H(gy, Keph, Kperm, IDb) al primer dispositivo 11 en el mensaje 262. [0020] Al recibir el mensaje 262, el primer dispositivo 11 verifica el certificado Cb(gb, IDb) del segundo dispositivo 21, en la etapa 264. Si la verificación no tiene éxito, el primer dispositivo 11 abandona el método. No obstante, si la verificación tiene éxito, el primer dispositivo 11 calcula la clave efímera compartida Keph y la clave permanente Diffie- Hellman Kperm en la etapa 266. En la etapa 268, el primer dispositivo 11 verifica el primer valor de troceo, utilizando la misma función de troceo al igual que el segundo dispositivo 21 utilizado en la etapa 260. Si no se verifica el primer valor de troceo, el primer dispositivo 11 aborta el método, pero si se verifica el primer valor de troceo, el primer dispositivo 11 calculará el segundo valor de troceo H(gx, Keph, Kperm, IDa) en la etapa 270, utilizando la primera clave pública efímera gx, la clave efímera compartida Keph y la clave permanente Diffie-Hellman Kperm y su identidad IDa. El primer dispositivo 11 envía el segundo valor de troceo H(gx, Keph, Kperm, IDa) al segundo dispositivo 21 en el mensaje 272. [0021] Al recibirse el mensaje 272, el segundo dispositivo 21 verifica el segundo valor de troceo H(gx, Keph, Kperm, IDa) en la etapa 274, utilizando la misma función de troceo utilizada por el primer dispositivo 10 en la etapa 270. Si no se verifica el segundo valor de troceo, el segundo dispositivo 21 aborta el protocolo, pero si se verifica el segundo valor de troceo, el segundo dispositivo 21 calculará, en la etapa 276, una clave de sesión Ksess, calculando el valor de troceo
de la clave efímera compartida Keph. A continuación envía en mensaje de “listo” 278 al primer dispositivo 11 para indicar
que el segundo valor de
troceo H(gx , Keph, Kperm, IDa) se ha
verificado
con éxito, y que se ha calculado la clave de
sesión Ksess.
[0022] Al recibirse el mensaje “listo” 278 procedente del segundo dispositivo 21, el primer dispositivo 11 calcula, en la etapa 280, la misma clave de sesión Ksess mediante el cálculo del valor de troceo de la clave efímera compartida Keph, utilizando la misma función de troceo que la utilizada por el segundo dispositivo 21 en la etapa 276. A continuación, el primer dispositivo 11 envía un mensaje de “listo” 282 al segundo dispositivo 21 para indicar que también ha calculado la clave de sesión Ksess. [0023] En este punto, tanto el primer dispositivo 11 como el segundo dispositivo 21 tienen la clave de sesión Ksess que puede utilizarse para proteger la información enviada entre ambos. Con el protocolo acorde con la invención, se garantiza la confidencialidad de las claves privadas, y la autenticación y la confirmación de clave se efectúan mutuamente. Asimismo, el método de secreto hacia delante (forward secrecy) y la robustez frente a fugas de la anterior clave de sesión también están garantizadas. Cualquier persona versada en la materia observará que las tres funciones de troceo descritas en relación con las etapas 212, 220 y 226 pueden ser diferentes o las mismas o que dos de ellas sean las mismas y que la tercera sea diferente. [0024] Debe observarse que cuando en esta descripción se hace referencia a números aleatorios, estos números suelen ser en la práctica pseudo-aleatorios. [0025] La expresión “módulo de seguridad” incluye cualquier tipo de módulo de seguridad, portátil o fijo, que comprenda
un procesador y que pueda utilizarse para establecer un canal seguro autenticado de acuerdo con la invención, como por ejemplo, tarjetas inteligentes, tarjetas PC (antiguamente conocidas como tarjetas PCMCIA) y circuitos integrados
5 soldados a la placa de circuito impreso de un dispositivo, tal como un televisor. [0026] La realización que acaba de describirse resulta especialmente adecuada para su implementación en un aparato de televisión digital y un módulo de seguridad. No obstante,
10 cualquier persona versada en la materia se dará cuenta de que la invención puede ser implementada y utilizada por cualquier tipo de dispositivo que cuente con los necesarios recursos, es decir, un procesador y una memoria en la que se almacene la información necesaria. Entre los ejemplos no limitativos
15 de otros dispositivos se encuentran los reproductores de DVD, los ordenadores que interactúan con accesorios externos y cajeros automáticos y tarjetas bancarias.
REFERENCIAS CITADAS EN LA DESCRIPCIÓN
La lista de referencias citada por el solicitante lo es solamente para utilidad del lector, no formando parte de los documentos de patente europeos. Aún cuando las referencias han sido cuidadosamente recopiladas, no pueden excluirse errores u omisiones y la OEP rechaza toda responsabilidad a este respecto.
Documentos de patente citados en la descripción
•
US 5889865 A [0005] • US 2004081321 A [0007]
•
US 5953420 A [0006]

Claims (3)

  1. Reivindicaciones
    1. Método para calcular una clave de sesión compartida por un primer y un segundo dispositivos (11, 21),
    teniendo dicho primer dispositivo (11), un certificado (Ca) que comprende una clave pública (ga) y una identidad
    correspondiente
    a sí mismo (IDa), y el conocimiento de la
    identidad
    correspondiente a sí mismo (IDa), a una clave
    privada (a) y a la clave pública (ga),
    teniendo dicho segundo dispositivo (21) un certificado (Cb) que comprende una clave pública (gb) y una identidad correspondiente a sí mismo (IDb), y el conocimiento de la identidad correspondiente a sí mismo (IDb), a una clave privada (b) y a la clave pública (gb),
    comprendiendo dicho método las siguientes etapas: en el primer dispositivo (11): -selección (252) de una primera clave privada efímera (x); -cálculo (252) de una primera clave pública efímera (gx); -envío (254) al segundo dispositivo de su certificado
    (Ca) y de la primera clave pública efímera (gx);
    en el segundo dispositivo (21):
    -recepción (254) del certificado del primer dispositivo (Ca) y de la primera clave pública efímera (gx);
    -verificación (256) del certificado del primer dispositivo (Ca);
    -selección (258) de una segunda clave privada efímera (y);
    -cálculo (258) de una segunda clave pública efímera (gy);
    -cálculo (258) de una clave compartida efímera (Keph) a partir de la primera clave pública efímera (gx) y de la segunda clave privada efímera (y);
    -cálculo (258) de una clave permanente (Kperm) a partir de la clave pública del primer dispositivo (ga) y su propia clave privada (b);
    -cálculo (260) de un primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda clave pública efímera (gy), la clave efímera compartida (Keph), la clave permanente (Kperm) y la identidad correspondiente a sí mismo (IDb);
    -envío (262) al primer dispositivo, de su certificado (Cb), de la segunda clave pública efímera (gy) y del primer valor (H(gy, Keph, Kperm, IDb));
    en el primer dispositivo (11):
    -recepción (262) del certificado del segundo dispositivo (Cb), de la segunda clave pública efímera (gy) y del primer valor (H(gy, Keph, Kperm, IDb)) procedentes del segundo dispositivo;
    -verificación (264) del certificado del segundo dispositivo (Cb);
    -cálculo (266) de la clave efímera compartida (Keph) a partir de la segunda clave pública efímera (gy) y de la primera clave privada efímera (x);
    -cálculo (266) de la clave permanente (Kperm) a partir de la clave pública del segundo dispositivo (gb) y de su propia clave privada (a);
    -verificación (268) del primer valor (H(gy, Keph, Kperm, IDb));
    -cálculo (270) de un segundo valor (H(gx, Keph, Kperm, IDa)) a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDa);
    -envío (272) al segundo dispositivo, del segundo valor (H(gx, Keph, Kperm, IDa));
    en el segundo dispositivo (21):
    -recepción (272) del segundo valor (H(gx, Keph, Kperm, IDa));
    -verificación (274) del segundo valor (H(gx, Keph, Kperm, IDa)); y
    -cálculo (276) de una clave de sesión (Ksess) en función de la clave compartida efímera (Keph); y
    en el primer dispositivo (11):
    -cálculo (280) de la clave de sesión (Ksess) en función de la clave efímera compartida (Keph).
  2. 2. Primer dispositivo (11) para participar, junto con un segundo dispositivo (21) en el cálculo de una clave de sesión compartida, teniendo dicho primer dispositivo un certificado (Ca) que comprende una clave pública (ga) y una identidad correspondiente a sí mismo (IDa), y el conocimiento de la identidad correspondiente a sí mismo (IDa), una clave privada (a) y la clave pública (ga), comprendiendo dicho primer dispositivo (11) un procesador (12) para:
    -seleccionar una primera clave privada efímera (x);
    -calcular una primera clave pública efímera (gx);
    -enviar al segundo dispositivo su certificado (Ca) y la primera clave pública efímera (gx);
    -recepción de un certificado del segundo dispositivo (Cb), de una segunda clave pública efímera (gy) y de un primer valor (H(gy, Keph, Kperm, IDb)) procedentes del segundo dispositivo, comprendiendo el certificado (Cb) una clave pública (gb) y una identidad del segundo dispositivo (Idb), calculándose el primer valor (H(gy, Keph, Kperm, IDb)) a partir de la segunda clave pública efímera (gy), de una clave
    compartida efímera (Keph), de una clave permanente (Kperm) y de la identidad correspondiente al segundo dispositivo (IDb);
    -verificación del certificado del segundo dispositivo (Cb);
    -cálculo de la clave compartida efímera (Keph) a partir de la segunda clave pública efímera (gy) y de la clave privada efímera (x);
    -cálculo de la clave permanente (Kperm) a partir de la clave pública del segundo dispositivo (gb) y de su propia clave privada (a);
    -verificación del primer valor (H(gy, Keph, Kperm, IDb));
    -cálculo de un segundo valor (H(gx, Keph, Kperm, IDa)) a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm), y de la identidad correspondiente a sí mismo (IDa);
    -envío al segundo dispositivo del segundo valor (H(gx, Keph, Kperm, IDa)); y
    -cálculo de una clave de sesión (Ksess) en función de la clave compartida efímera (Keph).
  3. 3. Segundo dispositivo (21) para participar, junto con un primer dispositivo (11) en el cálculo de una clave de sesión compartida, teniendo dicho segundo dispositivo un certificado (Cb) que comprende una clave pública (gb) y una identidad correspondiente a sí mismo (IDb), una clave privada
    (b) y la clave pública (gb), teniendo dicho segundo dispositivo (21) un procesador (22) para cuanto sigue:
    -recepción de un certificado del primer dispositivo (Ca) y una primera clave pública efímera (gx), comprendiendo el certificado una clave pública (ga) y una identidad del primer dispositivo (IDa);
    -verificación del certificado del primer dispositivo (Ca);
    -selección de una clave privada efímera (y); -cálculo de una segunda clave pública efímera (gy); -cálculo de una clave compartida efímera (Keph) a
    partir de la primera clave pública efímera (gx) y de la clave 5 privada efímera (y);
    -cálculo de una clave permanente (Kperm) a partir de la
    clave pública del primer dispositivo (ga) y de su propia
    clave privada (b);
    -cálculo de un primer valor (H(gy, Keph, Kperm, IDb)) a
    10 partir de la segunda clave pública efímera (gy), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de la identidad correspondiente a sí mismo (IDb);
    -envío al primer dispositivo de su certificado (Cb), de la segunda clave pública efímera (gy) y del primer valor 15 (H(gy, Keph, Kperm, IDb));
    -recepción de un segundo valor (H(gx, Keph, Kperm, IDa)) desde el primer dispositivo, calculándose el segundo valor a partir de la primera clave pública efímera (gx), de la clave compartida efímera (Keph), de la clave permanente (Kperm) y de
    20 la identidad correspondiente al primer dispositivo (IDa); -verificación del segundo valor (H(gx, Keph, Kperm, IDa)); y -cálculo de la clave de sesión (Ksess) en función de la clave compartida efímera (Keph).
ES04822347T 2004-10-29 2004-10-29 Canal autenticado seguro. Expired - Lifetime ES2348240T3 (es)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/EP2004/052722 WO2006048043A1 (en) 2004-10-29 2004-10-29 Secure authenticated channel

Publications (1)

Publication Number Publication Date
ES2348240T3 true ES2348240T3 (es) 2010-12-01

Family

ID=34959210

Family Applications (1)

Application Number Title Priority Date Filing Date
ES04822347T Expired - Lifetime ES2348240T3 (es) 2004-10-29 2004-10-29 Canal autenticado seguro.

Country Status (12)

Country Link
EP (1) EP1805929B1 (es)
JP (1) JP4719749B2 (es)
KR (2) KR101075316B1 (es)
CN (1) CN101048970B (es)
AT (1) ATE477636T1 (es)
AU (1) AU2004324546B2 (es)
BR (1) BRPI0419162A (es)
DE (1) DE602004028670D1 (es)
ES (1) ES2348240T3 (es)
MX (1) MX2007005037A (es)
RU (1) RU2488226C2 (es)
WO (1) WO2006048043A1 (es)

Families Citing this family (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7646872B2 (en) 2004-04-02 2010-01-12 Research In Motion Limited Systems and methods to securely generate shared keys
CN102017510B (zh) * 2007-10-23 2013-06-12 赵运磊 自封闭联合知识证明和Diffie-Hellman密钥交换方法与结构
CN100488099C (zh) 2007-11-08 2009-05-13 西安西电捷通无线网络通信有限公司 一种双向接入认证方法
CN100553212C (zh) 2007-11-16 2009-10-21 西安西电捷通无线网络通信有限公司 一种基于三元对等鉴别的可信网络接入控制系统
CN101222328B (zh) 2007-12-14 2010-11-03 西安西电捷通无线网络通信股份有限公司 一种实体双向鉴别方法
EP2073430B1 (en) 2007-12-21 2013-07-24 Research In Motion Limited Methods and systems for secure channel initialization transaction security based on a low entropy shared secret
US8495375B2 (en) 2007-12-21 2013-07-23 Research In Motion Limited Methods and systems for secure channel initialization
EP2073484B1 (en) * 2007-12-21 2014-07-02 BlackBerry Limited Methods and systems for secure channel initialization
US8452017B2 (en) 2007-12-21 2013-05-28 Research In Motion Limited Methods and systems for secure channel initialization transaction security based on a low entropy shared secret
KR20090076606A (ko) * 2008-01-09 2009-07-13 삼성전자주식회사 컨텐츠 기록 방법, 타이틀 키 제공 방법, 컨텐츠 기록 장치및 컨텐츠 제공 서버
KR101495722B1 (ko) * 2008-01-31 2015-02-26 삼성전자주식회사 홈 네트워크에서의 통신 보안성을 보장하는 방법 및 이를위한 장치
KR100948405B1 (ko) * 2008-05-16 2010-03-19 숭실대학교산학협력단 유아이씨씨 사용 없이 안전하고 편리한 휴대성을 제공하는이에이피-에이케이에이 인증 방법
KR101016642B1 (ko) * 2008-11-27 2011-02-25 삼성전자주식회사 근접 무선 통신에서의 키 관리를 위한 모바일 시스템, 서비스 시스템 및 키 인증 방법
EP2207340A1 (en) 2009-01-12 2010-07-14 Thomson Licensing Method and device for reception of control words, and device for transmission thereof
CN101600204B (zh) * 2009-06-30 2011-05-11 中兴通讯股份有限公司 一种文件传输方法及系统
JP5355263B2 (ja) * 2009-07-08 2013-11-27 日本電信電話株式会社 鍵共有装置、鍵共有方法及びプログラム
CN101887503B (zh) * 2010-06-24 2012-06-27 北京农业信息技术研究中心 种子流通监管系统及其认证方法
JP5238045B2 (ja) * 2011-02-02 2013-07-17 トムソン ライセンシング セキュア認証チャネル
EP2793157A1 (en) 2013-04-19 2014-10-22 Thomson Licensing Apparatus and method for managing passwords
EP2876569A1 (en) 2013-11-26 2015-05-27 Thomson Licensing Apparatuses and methods for password authentication
EP2955655A1 (en) 2014-06-12 2015-12-16 Thomson Licensing Apparatuses and methods for password authentication
EP2955654A1 (en) 2014-06-12 2015-12-16 Thomson Licensing Apparatus and method for password authentication
CN111756533B (zh) * 2014-08-29 2023-07-04 维萨国际服务协会 用于安全密码生成的系统、方法和存储介质
EP3251284B1 (en) 2015-01-27 2020-08-19 Visa International Service Association Methods for secure credential provisioning
EP3067811A1 (en) 2015-03-12 2016-09-14 Thomson Licensing Apparatus and method for password authentication
US9801055B2 (en) * 2015-03-30 2017-10-24 Qualcomm Incorporated Authentication and key agreement with perfect forward secrecy
EP3086226A1 (en) 2015-04-23 2016-10-26 Thomson Licensing Device and method for providing code blocks to a client during execution of software code
CN105610575B (zh) * 2015-09-22 2019-01-08 西安电子科技大学 空间信息网跨域的端到端密钥交换方法
US10129026B2 (en) 2016-05-03 2018-11-13 Certicom Corp. Method and system for cheon resistant static diffie-hellman security
EP3748900A1 (en) 2017-03-01 2020-12-09 Apple Inc. System access using a mobile device
KR102648499B1 (ko) * 2021-03-11 2024-03-19 한국전자통신연구원 기계 학습 기반 키 생성 장치 및 방법

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2077113C1 (ru) * 1995-04-19 1997-04-10 Военная академия связи Способ криптозащиты системы телекоммуникационных технологий
US5761305A (en) * 1995-04-21 1998-06-02 Certicom Corporation Key agreement and transport protocol with implicit signatures
US7334127B2 (en) * 1995-04-21 2008-02-19 Certicom Corp. Key agreement and transport protocol
CA2176972C (en) 1995-05-17 2008-11-25 Scott A. Vanstone Key agreement and transport protocol with implicit signatures
US5953420A (en) * 1996-10-25 1999-09-14 International Business Machines Corporation Method and apparatus for establishing an authenticated shared secret value between a pair of users
US6081893A (en) * 1997-05-28 2000-06-27 Symantec Corporation System for supporting secured log-in of multiple users into a plurality of computers using combined presentation of memorized password and transportable passport record
US6724894B1 (en) * 1999-11-05 2004-04-20 Pitney Bowes Inc. Cryptographic device having reduced vulnerability to side-channel attack and method of operating same
US7047408B1 (en) * 2000-03-17 2006-05-16 Lucent Technologies Inc. Secure mutual network authentication and key exchange protocol
RU2183348C2 (ru) * 2000-07-19 2002-06-10 Военный университет связи Способ аутентификации объектов
US6986040B1 (en) * 2000-11-03 2006-01-10 Citrix Systems, Inc. System and method of exploiting the security of a secure communication channel to secure a non-secure communication channel
RU2184390C1 (ru) * 2000-11-08 2002-06-27 Военный университет связи Способ аутентификации объектов
US8219801B2 (en) * 2003-03-10 2012-07-10 International Business Machines Corporation Method of authenticating digitally encoded products without private key sharing
CN1455543A (zh) * 2003-05-30 2003-11-12 武汉理工大学 一种密钥的协定方法

Also Published As

Publication number Publication date
RU2488226C2 (ru) 2013-07-20
AU2004324546B2 (en) 2009-12-24
KR101075334B1 (ko) 2011-10-19
WO2006048043A1 (en) 2006-05-11
EP1805929B1 (en) 2010-08-11
AU2004324546A1 (en) 2006-05-11
JP4719749B2 (ja) 2011-07-06
CN101048970A (zh) 2007-10-03
DE602004028670D1 (de) 2010-09-23
JP2008518530A (ja) 2008-05-29
MX2007005037A (es) 2007-06-19
KR101075316B1 (ko) 2011-10-19
ATE477636T1 (de) 2010-08-15
CN101048970B (zh) 2012-05-23
BRPI0419162A (pt) 2007-12-11
KR20070070198A (ko) 2007-07-03
KR20090119791A (ko) 2009-11-19
EP1805929A1 (en) 2007-07-11
RU2009102230A (ru) 2010-07-27

Similar Documents

Publication Publication Date Title
EP1805929B1 (en) Secure authenticated channel
Halevi et al. Public-key cryptography and password protocols
US9628273B2 (en) Cryptographic method and system for secure authentication and key exchange
Jarecki et al. Device-enhanced password protocols with optimal online-offline protection
US20060034456A1 (en) Method and system for performing perfectly secure key exchange and authenticated messaging
KR100989185B1 (ko) Ｒｓａ기반 패스워드 인증을 통한 세션키 분배방법
Giri et al. Efficient biometric and password based mutual authentication for consumer USB mass storage devices
Ho A versatile suite of strong authenticated key agreement protocols for body area networks
Tahir et al. Resilience against brute force and rainbow table attacks using strong ICMetrics session key pairs
EP1906587A2 (en) Secure authenticated channel
CN104113414B (zh) 一种不可追踪的rfid标签认证方法
Chen et al. Weaknesses of the Yoon-Kim-Yoo remote user authentication scheme using smart cards
Xie et al. Secure mobile user authentication and key agreement protocol with privacy protection in global mobility networks
Hsu et al. Password authenticated key exchange protocol for multi-server mobile networks based on Chebyshev chaotic map
Roe et al. Secure sessions from weak secrets
Tahir et al. A scheme for the generation of strong cryptographic key pairs based on ICMetrics
van Oorschot Authentication protocols and key establishment
Hsu et al. A dynamic identity end-to-end authentication key exchange protocol for IoT environments
Tan et al. Some notes on password authenticated key exchange based on RSA
RU2359416C2 (ru) Защищенный канал с аутентификацией
AU2008201456B2 (en) Secure authenticated channel
Xie Dynamic id-based password authentication protocol with strong security against smart card lost attacks
Bicakci et al. White-Box Implementations for Hash-Based Signatures and One-Time Passwords.
Mitchell et al. Horng's identification scheme based on Shamir's' RSA for paranoids'
Lin et al. A secure and efficient mutual authentication protocol using hash function