защищенный канал с аутентификацией

Формула изобретения

1. Первое устройство (11), адаптированное для верификации хэш-значения, причем первое устройство имеет сертификат (C _a), содержащий открытый ключ (g^a) и соответствующий ему идентификатор (ID_a), и сведения соответствующего ему идентификатора (ID_a), секретный ключ (a) и открытый ключ (g^a),

при этом первое устройство содержит процессор (12) для:

- выбора кратковременного секретного ключа (x);

- вычисления первого кратковременного открытого ключа (g^x);

- посылки своего сертификата (C _a) и первого кратковременного открытого ключа (g^x ) второму устройству (21);

приема сертификата (C _b) второго устройства, второго кратковременного открытого ключа (g^y) и первого хэш-значения (H(g^y , K_eph, K_perm, ID_b)) от второго устройства, причем сертификат (С_b) содержит открытый ключ (g^b) и идентификатор (ID_b) второго устройства, и первое хэш-значение (H(g^y, K_eph , K_perm, ID_b)) вычислено из второго кратковременного открытого ключа (g^y), кратковременного ключа (K _eph) коллективного пользования, постоянного ключа (K _perm) и идентификатора (ID_b), соответствующего второму устройству;

- верификации сертификата (C _b) второго устройства;

- вычисления кратковременного ключа (K_eph) коллективного пользования из второго кратковременного открытого ключа (g^y) и кратковременного секретного ключа (x);

- вычисления постоянного ключа (K_perm) из открытого ключа (g^b) второго устройства и своего собственного секретного ключа (a); и

- верификации первого хэш-значения (H(g^y, K_eph , K_perm, ID_b)).

2. Первое устройство по п.1, в котором процессор (12) дополнительно предназначен для:

- вычисления второго хэш-значения (H(g^x, K _eph, K_perm, ID_a)) из первого кратковременного открытого ключа (g^x), кратковременного ключа (K _eph) коллективного пользования, постоянного ключа (K _perm) и соответствующего ему идентификатора (ID_a );

- посылки второго хэш-значения (H(g^x, K _eph, K_perm, ID_a)) второму устройству.

3. Второе устройство (21), адаптированное для верификации хэш-значения, причем второе устройство имеет сертификат (C _b), содержащий открытый ключ (g^b) и соответствующий ему идентификатор (ID_b), и сведения соответствующего ему идентификатора (ID_b), секретный ключ (b) и открытый ключ (g^b),

при этом второе устройство (21) содержит процессор (22) для:

- приема от первого устройства (11) сертификата (C_a) первого устройства и первого кратковременного открытого ключа (g^x), причем сертификат содержит открытый ключ (g^a) и идентификатор (ID _a) первого устройства;

- верификации сертификата (С_а) первого устройства;

- выбора кратковременного секретного ключа (y);

- вычисления второго кратковременного открытого ключа (g^y);

- вычисления кратковременного ключа (K_eph) коллективного пользования из первого кратковременного открытого ключа (g^x) и кратковременного секретного ключа (y);

- вычисления постоянного ключа (K_perm) из открытого ключа (g^a) первого устройства и своего собственного секретного ключа (b);

- вычисления первого хэш-значения (H(g^y, K_eph , K_perm, ID_b)) из второго кратковременного открытого ключа (g^y), кратковременного ключа (K _eph) коллективного пользования, постоянного ключа (K _perm) и соответствующего ему идентификатора (ID^b );

- посылки первому устройству своего сертификата (C _b), второго кратковременного открытого ключа (g^y ) и первого хэш-значения (H(g^y, K_eph, K _perm, ID_b));

- приема второго хэш-значения (H(g^x, K_eph, K_perm, ID_a )) от первого устройства, причем второе значение вычислено из первого кратковременного открытого ключа (g^x), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и идентификатора (ID_a), соответствующего первому устройству; и

- верификации второго хэш-значения (H(g^x, K_eph, K_perm, ID_a )).

4. Способ для верификации хеш-значения, причем способ выполняется первым устройством (11), имеющим сертификат (C _a), содержащий открытый ключ (g^a) и соответствующий ему идентификатор (ID_a), и сведения соответствующего ему идентификатора (ID_a), секретный ключ (a) и открытый ключ (g^a),

при этом способ содержит этапы

- выбора (252) кратковременного секретного ключа (x);

- вычисления (252) первого кратковременного открытого ключа (g^x);

- посылки (254) своего сертификата (C _a) и первого кратковременного открытого ключа (g^x ) второму устройству (21);

- приема (262) сертификата (C_b) второго устройства, второго кратковременного открытого ключа (g^y) и первого хэш-значения (H(g ^y, K_eph, K_perm, ID_b)) от второго устройства, причем сертификат (C_b) содержит открытый ключ (g^b) и идентификатор (ID_b ) второго устройства, и первое хэш-значение (H(g^y, K_eph, K_perm, ID_b)) вычислено из второго кратковременного открытого ключа (g^y), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и идентификатора (ID _b), соответствующего второму устройству;

- верификации (264) сертификата (C_b) второго устройства;

- вычисления (266) кратковременного ключа (K_eph) коллективного пользования из второго кратковременного открытого ключа (g ^y) и кратковременного секретного ключа (x);

- вычисления (266) постоянного ключа (K_perm) из открытого ключа (g^b) второго устройства и своего собственного секретного ключа (a); и

- верификации (268) первого хэш-значения (H(g^y, K_eph, K_perm, ID_b )).

5. Способ для верификации хеш-значения, причем способ выполняется вторым устройством (21), имеющим сертификат (C _b), содержащий открытый ключ (g^b) и соответствующий ему идентификатор (ID^b), и сведения соответствующего ему идентификатора (ID_b), секретный ключ (b) и открытый ключ (g^b),

при этом способ содержит этапы

- приема (254) от первого устройства (11) сертификата (C _a) первого устройства и первого кратковременного открытого ключа (g^x), причем сертификат (C_a) содержит открытый ключ (g^a) и идентификатор (ID_a ) первого устройства;

- верификации (256) сертификата (C_a) первого устройства;

- выбора (258) кратковременного секретного ключа (y);

- вычисления (258) второго кратковременного открытого ключа (g^y);

- вычисления (258) кратковременного ключа (K_eph) коллективного пользования из первого кратковременного открытого ключа (g^x) и кратковременного секретного ключа (y);

- вычисления (258) постоянного ключа (K_perm) из открытого ключа (g^a) первого устройства и своего собственного секретного ключа (b);

- вычисления (260) первого хэш-значения (H(g^y, K _eph, K_perm, ID_b)) из второго кратковременного открытого ключа (g^y), кратковременного ключа (K _eph) коллективного пользования, постоянного ключа (K _perm) и соответствующего ему идентификатора (ID_b );

- посылки (262) первому устройству своего сертификата (C_b), второго кратковременного открытого ключа (g ^y) и первого хэш-значения (H(g^y, K_eph , K_perm, ID_b));

- приема (272) второго хэш-значения (H(g^x, K_eph, K _perm, ID_a)) от первого устройства, причем второе значение вычислено из первого кратковременного открытого ключа (g^x), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и идентификатора (ID_a), соответствующего первому устройству; и

- верификации (274) второго хэш-значения (H(g^x, K _eph, K_perm, ID_a)).

Описание изобретения к патенту

ОБЛАСТЬ ТЕХНИКИ

Настоящее изобретение относится в основном к защищенному каналу с аутентификацией и, в частности, для вычисления сеансовых ключей для создания таких каналов для защиты цифрового контента, например, в цифровой телевизионной системе.

УРОВЕНЬ ТЕХНИКИ

Защищенные каналы с аутентификацией, хорошо известные в области криптографии, устанавливаются, чтобы разрешить двум устройствам со взаимной аутентификацией (часто называемыми одноранговыми) конфиденциально обмениваться информацией. Защищенный канал с аутентификацией должен предпочтительно иметь следующие характеристики:

- взаимная аутентификация одноранговых устройств;

- подтверждение ключа, то есть устанавливается общий секрет и, по меньшей мере, одно одноранговое устройство способно удостоверить, что секрет действительно является общим;

- перспективная секретность, то есть старые сеансовые ключи не могут быть вычислены, даже когда известны долговременные секретные ключи (например, секретные ключи сертификата).

Эти характеристики могут быть формально доказаны математически, и доказано, что если существует путь для обхода одной из описанных выше характеристик для данного криптографического протокола, то весь протокол может быть с относительной легкостью взломан.

С годами криптографическое сообщество предложило множество протоколов для защищенных каналов с аутентификацией. Доказано, что только некоторые из этих каналов реализуют описанные выше характеристики.

Все протоколы, которые обеспечивают каналы с требуемыми характеристиками, используют несколько различных криптографических базисных элементов: по меньшей мере, один асимметричный базисный элемент (например, асимметричное шифрование или цифровая подпись), хэш-функции, код аутентификации сообщения (КАС) (MAC) и в некоторых из них - другие базисные элементы, например, симметричное шифрование. Проблема с этими протоколами заключается в том, что они в значительной степени потребляют ресурсы и как таковые трудны для осуществления в устройстве с ограниченными вычислительными способностями, например, в портативном модуле защиты, подобном смарт-карте. Другая проблема заключается в том, что использование множества криптографических базисных элементов создает сложности для подтверждения того, что протокол защищен.

Настоящее изобретение обеспечивает протокол защищенного доступа к каналу, который имеет требуемые характеристики и который, в частности, пригоден для воплощения в устройстве с ограниченными вычислительными способностями.

По всему описанию принято, что, поскольку криптография представляет собой развитый уровень техники, ее основные принципы общеизвестны. Эти принципы по причине ясности и краткости не будут описаны более, чем это необходимо для понимания изобретения.

СУЩНОСТЬ ИЗОБРЕТЕНИЯ

В первом аспекте изобретение направлено на способ вычисления сеансового ключа, общего для первого и второго устройства (11, 21). Первое устройство имеет сертификат (С_а), содержащий открытый ключ (g ^a) и соответствующий ему идентификатор (ID_a) и сведения соответствующего ему идентификатора (ID_a ), секретный ключ (а) и открытый ключ (g^a). Второе устройство имеет соответствующий сертификат и сведения. Первое устройство выбирает первый кратковременный секретный ключ (х), вычисляет первый кратковременный открытый ключ (g^x ) и посылает свой сертификат (С_а) и первый кратковременный открытый ключ (g^x) второму устройству. При приеме сертификата первого устройства (С_а) и первого кратковременного открытого ключа (g^x) второе устройство верифицирует сертификат первого устройства (С_а), выбирает второй кратковременный секретный ключ (y), вычисляет второй кратковременный открытый ключ (g^y), вычисляет кратковременный ключ (K_eph) коллективного пользования из первого кратковременного открытого ключа (g^x) и второго кратковременного секретного ключа (y), вычисляет постоянный ключ (K_perm) из открытого ключа (g^a) первого устройства и своего собственного секретного ключа (b), вычисляет первое значение (H(g^y , K_eph, K_perm, ID_b)) из второго кратковременного открытого ключа (g^y), кратковременного ключа (K_eph) коллективного пользования, кратковременного постоянного ключа (K_perm) и соответствующего ему идентификатора (ID_b), и посылает первому устройству свой сертификат (C_b), второй кратковременный открытый ключ (g ^y) и первое значение (H(g^y, K_eph, K_perm, ID_b)). При приеме сертификата (C _b) второго устройства, второго кратковременного открытого ключа (g^y) и первого значения (H(g^y, K _eph, K_perm, ID_b)) от второго устройства первое устройство верифицирует сертификат (C_b) второго устройства, вычисляет кратковременный ключ (K_eph) коллективного пользования из второго кратковременного открытого ключа (g^y) и первого кратковременного секретного ключа (х), вычисляет постоянный ключ (K_perm) из открытого ключа (g^b) второго устройства и своего собственного секретного ключа (а), верифицирует первое значение (H(g^y , K_eph, K_perm, ID_b)), вычисляет второе значение (H(g^x, K_eph, K_perm , ID_a)) из первого кратковременного открытого ключа (g^x), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и соответствующего ему идентификатора (ID_a), и посылает второе значение (H(g^x, K_eph, K_perm, ID_a )) второму устройству. При приеме второго значения (H(g^x , K_eph, K_perm, ID_a)) второе устройство верифицирует второе значение (H(g^x, K _eph, K_perm, ID_a)) и вычисляет сеансовый ключ (K_sess) как функцию кратковременного ключа (K _eph) коллективного пользования. Первое устройство также вычисляет сеансовый ключ (K_sess) как функцию кратковременного ключа (K_eph) коллективного пользования.

Во втором аспекте изобретение направлено на первое устройство (11) для участия вместе со вторым устройством (21) в вычислении сеансового ключа. Первое устройство имеет сертификат (С_а ), содержащий открытый ключ (g^a) и соответствующий ему идентификатор (ID_a) и сведения соответствующего ему идентификатора (ID_a), секретный ключ (а) и открытый ключ (g^a). Первое устройство содержит процессор (12) для выбора кратковременного секретного ключа (х); для вычисления первого кратковременного открытого ключа (g^x); для посылки своего сертификата (С_а) и первого кратковременного открытого ключа (g^x) второму устройству; для приема сертификата (C_b) второго устройства, второго кратковременного открытого ключа (g^y) и первого значения (H(g^y , K_eph, K_perm, ID_b)) от второго устройства, при этом сертификат (C_b) содержит открытый ключ (g^b) и идентификатор (ID_b) второго устройства, и первое значение (H(g^y, K_eph , K_perm, ID_b)) вычислено из второго кратковременного открытого ключа (g^y), кратковременного ключа (K _eph) коллективного пользования и идентификатора (ID _b), соответствующего второму устройству; для верификации сертификата (C_b) второго устройства; для вычисления кратковременного ключа (K_eph) коллективного пользования из второго кратковременного открытого ключа (g^y) и кратковременного секретного ключа (х); для вычисления постоянного ключа (K_eph) из открытого ключа второго устройства (g^b) и своего собственного секретного ключа (а); для верификации первого значения (H(g^y, K_eph , K_perm, ID_b)); для вычисления второго значения (H(g^x, K_eph, K_perm, ID_a)) из первого кратковременного открытого ключа (g^x), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и идентификатора (ID_a); для посылки второго значения (H(g^x , K_eph, K_perm, ID_a)) второму устройству и для вычисления сеансового ключа (K_sess ) как функцию кратковременного ключа (K_eph) коллективного пользования.

В третьем аспекте изобретение направлено на второе устройство (21) для участия вместе с первым устройством (11) в вычислении сеансового ключа. Второе устройство имеет сертификат (C_b), содержащий открытый ключ (g^b) и соответствующий ему идентификатор (ID_b), и сведения соответствующего ему идентификатора (ID_b), секретный ключ (b) и открытый ключ (g^b). Второе устройство содержит процессор (22) для приема сертификата (С_а) первого устройства и первого кратковременного открытого ключа (g^x), при этом сертификат (С_а) содержит открытый ключ (g^a) и идентификатор (ID_a) первого устройства; для верификации сертификата (С_а) первого устройства; для выбора кратковременного секретного ключа (y); для вычисления второго кратковременного открытого ключа (g^y); для вычисления кратковременного ключа (K_eph) коллективного пользования из первого кратковременного открытого ключа (g^x) и кратковременного секретного ключа (y); для вычисления постоянного ключа (K _perm) из открытого ключа (g^a) первого устройства и своего собственного секретного ключа (b); для вычисления первого значения (H(g^y, K_eph, K_perm, ID_b)) из второго кратковременного открытого ключа (g^y), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и соответствующего ему идентификатора (ID_b); для посылки первому устройству своего сертификата (C_b), второго кратковременного открытого ключа (g^y) и первого значения (H(g^y , K_eph, K_perm, ID_b)); для приема второго значения (H(g^x, K_eph, K_perm , ID_a)) от первого устройства, причем второе значение вычисляется из первого кратковременного открытого ключа (g ^x), кратковременного ключа (K_eph) коллективного пользования, постоянного ключа (K_perm) и идентификатора (ID_a), соответствующего первому устройству; для верификации второго значения (H(g^x, K_eph, K_perm , ID_a)); и для вычисления сеансового ключа (K _sess) как функции кратковременного ключа (K_eph ) коллективного пользования.

КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ

Фиг.1 иллюстрирует обмен сеансовыми ключами согласно варианту осуществления настоящего изобретения.

ПОДРОБНОЕ ОПИСАНИЕ ПРЕДПОЧТИТЕЛЬНОГО ВАРИАНТА ОСУЩЕСТВЛЕНИЯ

Фиг.1 иллюстрирует обмен сеансовыми ключами согласно варианту осуществления настоящего изобретения.

До начала выполнения способа первое устройство 11 знает свой идентификатор ID_a, свой собственный секретный ключ и открытый ключ g^a. Открытый ключ g^a представляет собой короткую запись для g^a mod р, как общеизвестно из уровня техники, где а является секретным ключом первого устройства, g является известным генератором и р является известным простым числом. Второе устройство 21 имеет соответствующие сведения: ID_b, b, g^b. Сертификаты для устройств содержат открытый ключ и идентификатор: С_а (g^a, ID_a) и C_b (g^b, ID_b ), соответственно. Устройства 11, 12 также имеют процессоры (CPU) 12, 22, приспособленные для выполнения шагов способа.

На шаге 252 первое устройство 11 выбирает, предпочтительно случайно, первый кратковременный секретный ключ х и вычисляет кратковременный открытый ключ g^x, который оно посылает вместе со своим сертификатом С_а (g^a, ID_a) второму устройству 21 в сообщении 254.

При приеме сообщения 254 на шаге 256 второе устройство 21 верифицирует сертификат С_а (g^a, ID_a) первого устройства 11. Если верификация безуспешна, то второе устройство прекращает способ. Однако если верификация успешна, то на шаге 258 второе устройство выбирает, предпочтительно случайно, второй кратковременный секретный ключ y и вычисляет второй кратковременный открытый ключ g^y, кратковременный ключ K_eph=g ^xy коллективного пользования и постоянный ключ K_perm =g^ab Диффи-Хеллмана.

На шаге 260 второе устройство 21 затем вычисляет первое хэш-значение H(g^y , K_eph, K_perm, ID_b) с помощью второго кратковременного открытого ключа g^y, кратковременного ключа K_eph коллективного пользования, постоянного ключа K_perm Диффи-Хеллмана и собственного идентификатора ID_b, и подходящую хэш-функцию, например, одну из множества функций, известных в уровне техники. Понятно, что другие доступные функции, кроме хэш-функций, могут быть использованы для этого и последующих вычислений хэш-значения согласно варианту осуществления. Второе устройство 21 затем посылает второй кратковременный открытый ключ g^y, свой сертификат C_b (g^b , ID_b) и первое хэш-значение H(g^y, K _eph, K_perm, ID_b) первому устройству 11 в сообщении 262.

При приеме сообщения 262 на шаге 264 первое устройство 11 верифицирует сертификат C_b (g^b, ID_b) второго устройства 21. Если верификация безуспешна, то первое устройство 11 прекращает способ. Однако если верификация успешна, то первое устройство 11 на шаге 266 вычисляет кратковременный ключ K_eph коллективного пользования и постоянный ключ K_perm Диффи-Хеллмана. На шаге 268 первое устройство 11 верифицирует первое хэш-значение с помощью той же самой хэш-функции, которую использовало второе устройство на шаге 260. Если первое хэш-значение не верифицировано, то первое устройство прекращает способ, но если первое хэш-значение верифицировано, то первое устройство 11 вычисляет второе хэш-значение H(g^x, K_eph, K_perm, ID_a ) на шаге 270 с помощью первого кратковременного открытого ключа g^x, кратковременного ключа K_eph коллективного пользования, постоянного ключа K_perm Диффи-Хеллмана и собственного идентификатора ID_a. Первое устройство 11 посылает второе хэш-значение H(g^x, K_eph , K_perm, ID_a) второму устройству 21 в сообщении 272.

При приеме сообщения 272 второе устройство 21 на шаге 274 верифицирует второе хэш-значение H(g^x , K_eph, K_perm, ID_a) с помощью той же самой хэш-функции, которую использовало первое устройство на шаге 270. Если второе хэш-значение не верифицировано, то второе устройство 21 прекращает протокол, но если второе хэш-значение верифицировано, то второе устройство 21 вычисляет на шаге 276 сеансовый ключ K_sess путем вычисления хэш-значения кратковременного ключа K_eph коллективного пользования. Затем оно посылает сообщение 278 «готов» первому устройству 11 для указания, что второе хэш-значение H(g^x, K _eph, K_perm, ID_a) успешно верифицировано, а сеансовый ключ K_sess вычислен.

При приеме сообщения 278 «готов» от второго устройства 21 первое устройство 11 вычисляет на шаге 280 тот же самый сеансовый ключ K_sess путем вычисления хэш-значения кратковременного ключа K_eph коллективного пользования с помощью той же самой хэш-функции, которую использовало второе устройство 21 на шаге 276. Затем первое устройство 11 посылает сообщение 282 «готов» второму устройству 21 для указания того, что оно также вычислило сеансовый ключ K_sess.

В этот момент как первое устройство 11, так и второе устройство 21 обладают сеансовым ключом K_sess, который может быть использован для защиты информации, пересылаемой между ними. Протоколом согласно изобретению гарантируется конфиденциальность секретных ключей, а аутентификация и подтверждение ключа являются взаимными. Более того, гарантируются также перспективная секретность и устойчивость против утечки предыдущего сеансового ключа. Специалисту будет понятно, что три хэш-функции, описанные в связи с шагами 212, 220 и 226, могут быть различными, одинаковыми или две из них одинаковы, а третья отличной.

Понятно, что там, где в описании даются ссылки на случайные числа, эти числа являются часто на практике псевдослучайными.

Выражение «модуль защиты» охватывает любой вид модулей защиты, портативный или стационарный, который содержит процессор и может быть использован для установления защищенного канала с аутентификацией согласно изобретению, например, смарт-карты, PC-карты (ранее известные как PCMCIA-карты) и интегральные схемы, припаянные к печатной плате устройства, такого как телевизор.

Описанный вариант осуществления особенно подходит для осуществления в цифровом телевизоре и модуле защиты. Однако специалисту будет понятно, что изобретение может быть осуществлено и использовано любым видом устройства с необходимыми ресурсами, т.е. процессором и предпочтительно памятью, хранящей необходимую информацию. Не ограничивающими примерами других устройств являются DVD-плееры, компьютеры, взаимодействующие с внешними устройствами, банкоматы (ATM) и банковские карты.