DE3702520A1 - Verfahren und anordnung zur durchfuehrung einer schluesselaenderung ueber eine kryptographisch geschuetzte nachrichtenverbindung - Google Patents

Description

Die Erfindung bezieht sich allgemein auf kryptographischen Nachrichtenverkehr und betrifft insbesondere ein Verfahren und eine Anordnung zur Durchführung und Authentisierung einer Schlüsseländerung an einer entfernten Station über eine kryptographisch geschützte Verbindung.

Die Systemkonfiguration innerhalb eines niedrigfliegenden Erdsatelliten kann von einer Bodenstation aus unter Verwendung einer Befehlsleitung ferngesteuert werden (der Ausdruck "Leitung" wird in diesem Zusammenhang stellvertretend für eine beliebige, zur Informationsübertragung fähige Verbindung benutzt). Diese Befehlsleitung muß zwar im allgemeinen nicht unbedingt gegen Enthüllung der übertragenen Information geschützt werden, es ist aber wichtig, daß der Satellit nur solche Befehle annimmt, die von seiner eigenen Bodenstation erzeugt werden, und nichts anderes. Daher muß es irgendeine Methode geben, um die Quelle einer jeden Befehlsnachricht (Befehlsspruch) zu bestätigen.

Eine zur Nachrichtenbestätigung geeignete Übertragungsmethode besteht darin, jeder Befehlsnachricht ein Codewort anzuhängen, das eine spezielle kryptographische Funktion der Nachrichtendaten und eines geheimen Gebrauchsschlüssels ist. Der Satellit führt den gegebenen Befehl nur dann aus, wenn das angehängte Codewort mit einem zweiten Codewort übereinstimmt, das innerhalb des Satelliten erzeugt wird und sowohl auf den empfangenen Nachrichtendaten als auch auf einem identischen geheimen Gebrauchsschlüssel beruht, der sich im Satelliten befindet.

Es kann vorteilhaft sein, wenn man in der Lage ist, einen neuen geheimen Gebrauchsschlüssel an beiden Station zu erzeugen, und zwar aus einem sogenannten "Hauptschlüssel", denn hierdurch lassen sich manche mögliche Probleme beseitigen, die bei Systemen auftreten können, welche nicht die Fähigkeit einer derartigen Schlüsseländerung haben. Zum einen braucht der Hauptschlüssel nicht am Standort der Befehlserzeugung aufbewahrt zu werden; dies gestattet ein höheres Maß an Sicherheit für den Hauptschlüssel und bringt geringere Sicherheitsanforderungen an die Befehlsstelle, ausgenommen, wenn der Hauptschlüssel dort während der Durchführung einer Schlüsseländerung vorhanden ist. Zum anderen braucht man keine so strenge Sorge mehr dafür zu tragen, daß ein einziger Gebrauchsschlüssel für die ganze Dauer einer Mission, die typischerweise über 7 bis 10 Jahre gehen kann, wirklich geheim bleibt.

An ein solches Schlüsseländerungssystem werden einige Sicherheitsanforderungen gestellt, um maximalen Schutz sowohl für den geheimen Gebrauchsschlüssel als auch für den Hauptschlüssel zu gewährleisten. Zum ersten darf eine gesendete Nachricht, die eine Änderung des Gebrauchsschlüssels in einen neuen geheimen Gebrauchsschlüssel befiehlt, kein die Nachricht authentisierendes Codewort haben, das unter dem laufenden geheimen Gebrauchsschlüssel verschlüsselt ist. Wäre ein solches Codewort vorhanden und der laufende Gebrauchsschlüssel bloßgestellt, dann ließe sich der neue geheime Gebrauchsschlüssel herausfinden. Zum zweiten darf, um den Hauptschlüssel maximal zu schützen, keine unter diesem Schlüssel verschlüsselte oder entschlüsselte Information über die Befehlsleitung oder vom Satelliten über dessen Telemetrieleitung übertragen werden.

Mit der vorliegenden Erfindung wird ein Verfahren zur Anwendung in einem geschützten Nachrichtenverkehrssystem vorgesehen, worin eine Nachricht von einer ersten Station (z. B. von der o. g. Bodenstation) an eine zweite Station (z. B. an den o. g. Satelliten) übertragen wird. Die Nachricht enthält ein authentisierendes Codewort, das eine einzigartige kryptographische Funktion der Nachricht und eines Schlüssels ist. Die zweite Station enthält eine Einrichtung zur Authentisierung einer dort empfangenen Nachricht, mit einer Einrichtung zur Erzeugung eines zweiten Codewortes, das die einzigartige kryptographische Funktion der von der zweiten Station empfangenen Nachricht und des Schlüssels ist. Die authentisierende Einrichtung enthält ferner eine Einrichtung zum Vergleichen des von der zweiten Station empfangenen authentisierenden Codewortes mit dem zweiten Codewort.

Das erfindungsgemäße Verfahren wird an der zweiten Station praktiziert und behandelt die Reaktion der zweiten Station auf eine empfangene Nachricht, die eine Änderung eines laufenden Schlüssels in einen Nachfolgeschlüssel befiehlt. Ein erster Schritt des Verfahrens besteht in der Erzeugung des Nachfolgeschlüssels, der die kryptographische Funktion eines dritten Codewortes und eines Hauptschlüssels ist, wobei das dritte Codewort und der Hauptschlüssel in der ersten und der zweiten Station bekannt sind. Bei einem zweiten Verfahrensschritt wird ein viertes Codewort erzeugt, das die kryptographische Funktion eines fünften Codewortes und des Nachfolgeschlüssels ist, wobei das fünfte Codewort in der ersten und der zweiten Station bekannt ist. Als dritter Schritt wird die Schlüsseländerungs- Befehlsnachricht mit dem vierten Codewort verschmolzen, um ein sechstes Codewort zu erzeugen. Bei einem fünften Schritt wird das zweite Codewort erzeugt, das die kryptographische Funktion des sechsten Codewortes und des Nachfolgeschlüssels ist. Bei einem fünften Schritt wird das zweite Codewort mit dem in der Schlüsseländerungs- Befehlsnachricht enthaltenen authentisierenden Codewort verglichen. Ein letzter Schritt besteht darin, den laufenden Schlüssel durch den Nachfolgeschlüssel zu ersetzen, falls der beim fünften Schritt durchgeführte Vergleich positiv ausfällt.

Die Erfindung wird nachstehend an einem Ausführungsbeispiel anhand von Zeichnungen näher erläutert.

Fig. 1 ist ein Blockschaltbild eines für Satelliten vorgesehenen Kommunikations- und Telemetriesystems, in dem die vorliegende Erfindung angewandt wird;

Fig. 2 zeigt das Codewort-Format und die Zeitsteuerinformation in einem Schlüsseländerungsbefehl;

Fig. 3 ist ein ausführliches Blockschaltbild einer erfindungsgemäßen Anordnung zur Schlüsseländerung;

Fig. 4 ist ein Flußdiagramm zur Erläuterung des Schlüsseländerungsprozesses.

Die Fig. 1 zeigt in Blockform die Nachrichten-Baugruppe 10 und die Befehls- und Telemetrie-Baugruppe 12 eines typischen Nachrichtensatelliten. Die Nachrichten-Baugruppe 10 enthält eine Empfangsantenne 34, deren Ausgang mit redundant vorgesehenen Empfängern 16 a und 16 b gekoppelt ist. Die Empfänger 16 a und 16 b empfangen Informationssignale, die einer ersten Trägerfrequenz von typischerweise 6 GHz aufmoduliert sind, und setzen das Trägersignal auf eine zweite Frequenz von typischerweise 4 GHz um.

Die Ausgangssignale der Empfänger 16 a und 16 b werden auf jeweils ein zugeordnetes Filter 18 a bzw. 18 b gegeben, bei denen es sich typischerweise um Bandpaßfilter mit einer Mittenfrequenz von 4 GHz handelt. Die gefilterten Ausgangssignale werden einer Konfigurations-Wählschaltung 20 angelegt, durch welche sie wahlweise auf eine vorbestimmte Anzahl von Transpondern 22 gekoppelt werden. Es können z. B., aus Gründen der Zuverlässigkeit, sechs Transponder 22 vorhanden sein, von denen jederzeit vier aktiv sind. Die Steuerung der Konfigurations-Wählschaltung 20 erfolgt durch einen Befehlsdecoder 34, der weiter unten in Verbindung mit der Befehls-und Telemetrie-Baugruppe 12 erläutert wird. Die Ausgangssignale der Transponder 22 werden kombiniert und einer Antenne 24 zugeführt, um an eine Bodenstation gesendet zu werden.

Die Befehls- und Telemetrie-Baugruppe 12 enthält eine Antenne 30, die Befehlssignale über eine Befehlsleitung typischerweise mti einer Datenrate von 100 Bits pro Sekunde empfängt und auf einen Befehlsempfänger 32 koppelt, der die Datenbündel (Datenbursts) empfängt und sie in einen digitalen Datenstrom umwandelt. Die Befehlsdaten werden an den Befehlsdecoder 34 und einen Authentikator 36 gelegt. Der Befehlsdecoder 34 bestimmt aus dem digitalen Datenstrom den auszuführenden Befehl und gibt einige spezielle Bits des Datenstroms in den Authentikator 36, um zu prüfen, ob die Befehlsdaten gültig entschlüsselt wurden. Fällt diese Prüfung im Authentikator 36 positiv aus, dann veranlaßt der Authentikator den Befehlsdecoder 34, den Befehl auszuführen. Der Aufbau und die Arbeitsmethode des Authentikators 36, insbesondere was die Durchführung und Verifizierung eines Schlüsseländerungsbefehls betrifft, sind Gegenstand der vorliegenden Erfindung.

Der Authentikator 36 liefert bestimmte Informationssignale, die den zuletzt empfangenen Befehl und ein veränderliches Initialisierungsvektor-Codewort enthalten, an einen Telemetrie-Codierer 38, der außerdem eine Mehrzahl von Zustands-Informationssignalen von anderen Systemen des Satelliten empfängt. Der Telemetrie-Codierer 38 setzt seine Eingangssignale zu einem Codewort zusammen, das seriell auf einen Sender 40 gegeben wird, der eine Trägerfrequenz mit einem aus dem Codewort bestehenden Datenstrom moduliert. Das modulierte Signal wird einer Antenne 42 zugeführt, die es über einen Telemetriekanal (Telemetrieleitung) an die Bodenstation abstrahlt.

Wie weiter oben im einleitenden Teil bereits ausgeführt, ist es nicht der Zweck des Systems nach Fig. 1, die Befehlsleitung gegen unberechtigte Ausforschung der Befehlssignalübertragungen zu schützen. Vielmehr soll das System verhindern, daß Befehle aus nicht-autorisierten Quellen die Konfiguration des Satellitensystems ändern, wodurch die Steuerung des Satelliten am Ende von fremden oder gar feindlichen Kräften übernommmen werden könnte. Daher sendet die Bodensation zwar unverschlüsselte Befehlssignale an die Telemetrie-Baugruppe 12 des Satelliten, hängt jedoch jedem Befehlsspruch einen Authentisierungscode an (abgekürzt MAC von "Message Authentication Code"), der zur Authentisierung des Befehls zu verwenden ist. Dieser MAC wird als eine kryptographische Funktion der Nachrichtendaten des Befehlsspruchs errechnet. Nur diejenigen, die den geheimen Schlüssel für die Errechnung des MAC kennen, können den MAC für den empfangenen Spruch nachberechnen und durch Vergleich des errechneten MAC mit dem am Ende der eigentlichen Befehlsnachricht empfangenen MAC feststellen, daß der Spruch nicht von einer unautorisierten Quelle gesendet oder von einer solchen Quelle modifiziert worden ist.

Eine typische Verschlüsselungsmethode, die diesen Anforderungen genügt, d. h. die Unversehrtheit des Befehls schützt und gleichzeitig eine Enthüllung der Nachricht erlaubt, kann mittels des "National Bureau of Standards (NBS) Data Encryption Standard" realisiert werden, wie er in der Federal Information Processing Standards Publication No. 46 vom 15. Januar 1977 beschrieben ist. Diese Datenverschlüsselungs-Norm diene hier als Beispiel bei der Erläuterung einer bevorzugten Ausführungsform der Erfindung. Genauer gesagt wird im vorliegenden Fall für die Daten-Authentisierung die Methode der Schlüssel- Rückkopplung (abgekürzt CFB von "Cipher Feedback") angewandt, wie sie in der vorstehend genannten Veröffentlichung beschrieben ist; eine ausführlichere Erläuterung findet sich unter "DES Modes of Operation" in der FIPS Publication No. 81 von 2. Dezember 1980 und unter "Guidelines for Implementing and Using the NBS Data Encryption Standard" in der FIPS Publication No. 74 vom 1. April 1981.

Kurz erläutert beinhaltet die Erzeugung eines Nachrichten- oder Spruch-Authentisierungscodes (MAC) nach der CFB-Methode die folgenden Schritte: a) durch Verschlüsselung eines öffentlich zugänglichen Codewortes mit einem geheimen Schlüssel unter Anwendung des Data Encryption Standard wird ein Schlüsseltext erzeugt; b) dieser Schlüsseltext wird gemäß Exklusiv-ODER-Funktion mit einem Teil der Nachrichtendaten verknüpft, und das Resultat wird mit dem geheimen Schlüssel ein zweites Mal unter Anwendung des Data Encryption Standard verschlüsselt. Das Ausgangs-Codewort des zweiten Vorgangs unter Verwendung der Verschlüsselungseinrichtung ist der MAC. Beim Nachrichten-Authentisierungsprozeß werden dann die Schritte zur Erzeugung eines MAC wiederholt und der erzeugte MAC wird mit dem am Ende der Nachricht empfangenen MAC verglichen.

Bei dem System nach der vorliegenden Erfindung ist das öffentlich zugängliche Codewort ein 24-Bit-Wort, das als "Initialisierungsvektor" oder abgekürzt "IV" bezeichnet wird. Der IV kann jedesmal, wenn eine Befehlsnachricht vom Authentikator 36 des Satelliten authentisiert wird, auf den neuesten Stand gebracht werden, typischerweise durch Erhöhung um jeweils 1. Der IV wird immer wiederkehrend vom Satelliten über die Telemetrieleitung an die Bodenstation übertragen. Für die Zwecke der MAC-Erzeugung werden an den IV vierzig Nullen angehängt, um ein 64-Bit-Codewort zum Anlegen an das Verschlüsselungsgerät zu erzeugen, das als Datenverschlüsselungs-Subsystem oder abgekürzt DVS bezeichnet wird.

Der vom DVS benutzte geheime Schlüssel wird als "Gebrauchsschlüssel" bezeichnet und besteht aus einem 56- Bit-Codewort. Gegenstand der vorliegenden Erfindung ist eine Anordnung und ein Verfahren zum Ändern des Gebrauchsschlüssels unter Gewährleistung der Geheimhaltung eines Hauptschlüssels und mit Authentisierung des Schlüsseländerungsbefehls durch Verwendung eines neuen Gebrauchsschlüssels, der nicht gefährdet worden sein kann.

In der Fig. 2(a) ist ein Codewortformat gezeigt, das vom System nach Fig. 1 für Befehlssprüche verwendet werden kann. Jeder Spruch, der typischerweise mit einer Rate von 100 Bits pro Sekunde übertragen werde, beginnt mit einem vorhersagbaren Muster von 12 Bits, die vom Empfänger benutzt werden, um dessen Takt mit dem gesendeten Spruch zu synchronisieren. Die nächsten 6 Bits des Spruchs werden von Befehlsdecoder 34 verwendet, um zu bestimmen, welcher Decoder adressiert wird. Die nächsten 4 Bits sind ein "Ton", der weder binäre Einsen noch binäre Nullen enthält. Das nächste Bit bezeichnet die Länge des dann folgenden Befehl-Operationscodes: falls dieses Bit eine Null ist, dann hat der Befehl-Operationscode eine Länge von 9 Bits; ist das besagte Bit eine Eins, dann ist der Befehl-Operationscode 25 Bits lang. Die nächsten 9 (oder 25) Bits bilden den Befehl-Operationscode, der decodiert wird, um den Typ der durchzuführenden Operation zu bestimmen. Typischerweise enthält der Operationscode 8 (oder 24) Informationsbits und ein einziges Paritätsbit. Der Spruch endet schließlich mit 32 Bits eines Spruch-Authentisierungscodes (MAC), eine eine kryptographische Funktion der vorhergehenden 10 (oder 26) Bits der Befehlsnachricht ist.

Die Fig. 2(b) zeigt den zeitlichen Verlauf des Signals "Befehls-Aktivierung", das vom Befehlsdecoder 94 an den Authentikator 36 geliefert wird, um letzteren zu veranlassen, die der "Ton"-Information folgenden Datenbits einzulesen. Die Fig. 2(c) ist das Zeitdiagramm des MAC- Fensters, das vom Authentikator 36 für den Befehldecoder 34 erzeugt wird, um anzuzeigen, daß gerade der MAC zur Authentisierung der Befehlsnachricht geprüft wird. Die Fig. 2(d) zeigt die ungefähre Zeit, zu der ein neuer Schlüssel aufgrund eines Schlüsseländerungsbefehls erzeugt wird, und die Fig. 2(e) zeigt die Zeit, in welcher der neue Schlüssel zum Gebrauchsschlüssel für den Authentikator 36 wird.

Die Fig. 3 zeigt als Funktions-Blockschaltbild die Anordnung des Authentikators 36, die zur Durchführung einer Schlüsseländerungs-Operation notwendig ist. Die in der nachstehenden Beschreibung dieser Anordnung erwähnten Bauelemente gehören zur A- und B-Serie digitaler Logikschaltungen COS/MOS-Familie, wie sie z. B. von der RCA Corporation, Somerville, New Jersey, USA verkauft werden. Die Bezugnahme auf Bauelemente solcher Art erfolgt jedoch nur, um die Erfindung verständlich darstellen zu können, irgendeine Beschränkung ist damit aber nicht beabsichtigt.

Der Kern des in Fig. 3 dargestellten des Authentikators 36 ist das Datenverschlüsselungs-Subsystem (DVS) 94, bei welchem es sich typischerweise um eine Digitallogik- Hardware handelt, die speziell dazu ausgelegt ist, den Algorithmus des NBS Data Encryption Standard durchzuführen. Mit dem DVS 94 ist ein DVS-Eingangsregister 92 gekoppelt, das typischerweise ein seriell beschicktes 64-Bit-Schieberegister ist und aus einer Kaskade doppelter vierstufiger statischer Schieberegister des Typs CD 4015 mit Serieneingang und Parallelausgang gebildet sein kann. Mit dem DVS 94 ist ferner ein DVS-Schlüsselregister 96 gekoppelt, typischerweise ein seriell/parallel-beschicktes 56-Bit-Schieberegister, das aus einer Kaskade vierstufiger Schieberegister des Typs CD 4035 mit Serien/Parallel-Eingang und Parallelausgang gebildet sein kann.

Das DVS 94 empfängt als Eingangsdaten 64 Bits in Parallelform vom Register 92 und als Schlüsseldaten 56 Bits in Parallelform vom Register 96 und verarbeitet diese Bits so, daß ein verschlüsseltes Datenwort von 64 Parallelbits an das DVS-Ausgangsregister 98 geliefert wird, bei dem es sich typischerweise um eine Kaskade von Schieberegistern des Typs CD 4035 handelt. Das DVS 94 führt seinen Verschlüsselungsalgorithmus als Antwort auf ein Signal DVS- LAUF von einer Hauptsteuereinheit 68 aus und zeigt die Beendigung seiner Funktion durch ein Signal DVS FERTIG für die Steuereinheit 68 an. Neben der Steuerung des Betriebs der DVS 94 reguliert die Steuereinheit 68 auch den Datenfluß in das DVS-Eingangsregister 92 und das DVS- Schlüsselregister 96, ferner steuert sie den Datenfluß an den Ein- und Ausgängen der anderen Register des Authentikators 36. Die Hauptsteuereinheit 68 kann ein Allzweck- Mikroprozessor sein oder eine Spezial-Hardware, die speziell zur Steuerung der Funktion des Authentikators 36 konstruiert ist.

Das DVS-Schlüsselregister 96 kann in Parallelform aus einem Hauptschlüssel-Register 100 beladen werden, oder es kann seriell entweder aus einem Neuschlüssel-Register 102 oder einem Gebrauchsschlüssel-Register 110 beschickt werden. Das Hauptschlüssel-Register 110 speichert permanent den Hauptschlüssel, der nur für Änderungen des Gebrauchsschlüssels benutzt wird. Daher muß dieses Register ausfallsicher sein, und im Falle, daß es an der Bodenstation verwendet wird, muß seine Geheimhaltung möglich sein. Aus diesen Gründen ist das Hauptschlüssel-Register 100 vorzugsweise eine fest verdrahtete Schaltplatte oder ein Festwertspeicher, der unter allen Bedingungen hinsichtlich der Stromversorgung über die Dauer der Mission unveränderlich ist. (Für die Unterbringung in einer Bodensatation sollte das Hauptschlüssel-Register 100 vorzugsweise steckbar sein, so daß es an einem sicheren Ort aufbewahrt werden kann und nur zum Zwecke einer Schlüsseländerung an die befehlserzeugende Stelle gebracht zu werden braucht.)

Das Neuschlüssel-Register 102 ist ein 64-Bit-Schieberegister mit seriell/parallelem Eingang und seriellem Ausgang, z. B. eine Kaskade achtstufiger statischer Schieberegister des Typs CD 4021 mit einem asynchronen parallelen oder synchronen seriellen Eingang und mit einem seriellen Ausgang. Die seriellen Ausgangsdaten des Registers 102 werden an einen Eingang eines UND-Gliedes 104 gelegt und außerdem zum eigenen seriellen Eingang dieses Registers zurückgeführt, um sie umlaufen zu lassen.

Das Gebrauchsschlüssel-Register 110 ist ein 64-Bit-Schieberegister mit seriellem Eingang und seriellem Ausgang, z. B. ein 64-stufiges statisches Schieberegister des Typs CD 4031. Ein Eingang des Registers 110 empfängt serielle Daten vom Ausgang des Neuschlüssel-Registers 102, und der andere Dateneingang des Registers 110 empfängt umlaufende Daten von seinem eigenen Serienausgang. Die Ausgangsdaten des Registers 110 werden außerdem an einen Eingang eines UND-Gliedes 106 gelegt.

Die UND-Glieder 104 und 106 und ein ODER-Glied 108 stellen eine UND-ODER-Wählfunktion dar, die durch Verwendung eines vierfachen UND/ODER-Wahlschaltgliedes des Typs CD 4019 realisiert werden kann. Die aktivierenden Eingangssignale EN 3 für das Glied 104 und EN3 für das Glied 106 kommen von der Hauptsteuereinheit 68. Der Ausgang des Gliedes 108 ist mit dem seriellen Eingang des DVS-Schlüsselregisters 96 gekoppelt.

Eine der Quellen der seriellen Daten, die zum DVS-Eingangsregister 92 gegeben werden, ist ein Initialisierungsvektor/ Zusatzprivatcode-Register (IV/ZPC-Register) 82, bei dem es sich um ein 64-Bit-Schieberegister mit parallelem Eingang und seriellem Ausgang handelt, typischerweise bestehend aus einer Kaskade achtstufiger synchroner Schieberegister des Typs CD 4014 mit parallelem/seriellem Eingang und seriellem Ausgang. Eine Gruppe von Dateneingangssignalen zum Register 82, typischerweise mit einer Anzahl von 24 Bits, wird von einem Initialisierungsvektor-Register (IV-Register) 70 geliefert. Der Inhalt des IV-Register 70 wird von einer IV-Erneuerungsschaltung 84 periodisch auf den neuesten Stand gebracht, und zwar als Antwort auf ein Signal INKR IV von der Hauptsteuereinheit 68. In seiner einfachsten und vorteilhaftesten Ausführungsform kann das IV-Register 70 ein binärer Welligkeitszähler sein, ähnlich dem Zähler des Typs CD 4020, dessen Ausgänge an die Paralleldateneingänge des IV/ZPC-Registers 82 angeschlossen sind. Dementsprechend kann eine den IV auf den neuesten Stand bringende Schaltung (IV-Erneuerungsschaltung) 84 aus einem Schalt- oder Torglied bestehen, das auf die Steuereinheit 68 anspricht, um den nächsten Zählwert im Register 70 auszulösen.

Vierundzwanzig Exemplare der übrigen vierzig Bits, die in das IV/ZPC-Register 82 zu geben sind, werden von einem Nullen-Generator 74 geliefert, der jedesmal, wenn das Register 82 geladen wird, logische "0"-Signale an die betreffenden vierundzwanzig Eingangsstellen legt. Die letzten sechzehn Datenbits für das Register 82 werden entweder vom Nullen-Generator 74, also lauter "0"-Logiksignale, oder durch das Zusatzprivatcode-Register 72 geliefert. Die Entscheidung darüber, ob das Register 72 oder der Generator 74 diese letzten sechzehn Bits liefert, wird durch sechzehn UND-ODER-Wahlschaltungen bestimmt, die durch UND- Glieder 76 und 78 und durch ein ODER-Glied 80 dargestellt sind. Die Wahl wird durch den Zustand von Signalen EN 1 (und EN 1) bestimmt, die durch die Hauptsteuereinheit 68 geliefert werden.

Der im Register 72 enthaltene zusätzliche Privatcode (ZPC) ist eine zusätzliche Sicherheitsmaßnahme, um die "Heiligkeit" einer Schlüsseländerungs-Operation zu gewährleisten. In bevorzugter Ausgestaltung ist dieser Code ein digitales 16-Bit-Codewort, das nur dem Benutzer des Systems bekannt ist. In der Praxis kann der Eigentümer oder die Bedienungsperson des Systems diesen Zusatzprivatcode ohne Kenntnis des Systemherstellers wählen. Das Register 72 kann ebenso wie die entsprechende Speichereinrichtung für den Zusatzprivatcode an der Bodenstation eine fest verdrahtete Schaltplatte oder ein Festwertspeicher sein, ähnlich wie das Speicherregister 100 für den Hauptschlüssel.

Die Befehlsdaten werden im Authentikator 36 am Eingangsanschluß 60 empfangen und mittels eines Abtastsignals, das seinen Ursprung im Befehlsdecoder 34 hat und über den Eingangsanschluß 62 auf den Authentikator 36 gekoppelt wird, in ein Befehlsregister 64 gelassen. Das Befehlsregister 64 ist ein 26-Bit-Schieberegister mit seriellem Eingang und seriellem/parallelem Ausgang, z. B. eine Kaskade von Schieberegistern des Typs CD 4015. Die parallelen Ausgangssignale vom Register 64 werden an einen Decoder 66 geliefert, der ein Signal Δ SCHL-BEFEHL erzeugt und an die Steuereinheit 68 liefert, wenn er den Befehl-Operationscode für eine Schlüsseländerung fühlt. Der Decoder 66 sei typischerweise ein UND-Glied mit acht Eingängen, ähnlich dem Typ CD 4068B.

Der serielle Ausgangs-Datenstrom vom Befehlsregister 64 wird mit dem seriellen Ausgangsdatenstrom vom DVS-Ausgangsregister 98 durch ein Exklusiv-ODER-Glied 112 verknüpft, das ein Schaltglied vom Typ CD 4030 sein kann. Das Ausgangssignal des Gliedes 112 wird über die UND-ODER-Wählschaltung, die aus UND-Gliedern 86 und 88 und einem ODER- Glied 90 besteht, selektiv zum Serieneingang des DVS- Eingangsregisters 92 gelenkt. Als Alternative zu diesem Signal läßt die UND-ODER-Wählschaltung 86, 88, 90 das serielle Ausgangssignal vom IV/ZPC-Register 82 zum DVS- Eingangsregister 92 durch. Die Auswahl des jeweils zum Register 92 durchzulassenden Signals wird durch die Steuersignale EN 2 (und EN 2) gesteuert, die von der Hauptsteuereinheit 68 erzeugt werden.

Ein Schaltglied 114, typischerweise ein Bauelement vom Typ CD 4030, verknüpft die am Eingangsanschluß 60 empfangenen Befehlsdaten und die seriellen Ausgangsdaten vom DVS-Ausgangsregister 98 gemäß einer Exklusiv-ODER-Funktion. Das Ausgangssignal von diesem Glied 114 wird an den Dateneingang D eines Flipflops 116 gelegt und dort mittels des auf den Eingangsanschluß 62 gekoppelten Abtastsignals eingetaktet. Ein Zähler 118, typischerweise z. B. ein Welligkeitszähler ähnlich dem Bauelemententyp CD 4040, zählt die Anzahl der Abtastimpulse, die einen Spruch-Authentisierungscode begleiten. Bei einem Zählwert von 32 wird ein Ausgangssignal an ein UND-Glied 120 gelegt, und wenn das Flipflop 116 anzeigt, daß ein Datenvergleich positiv ausgefallen ist, liefert das Glied 120 ein Signal MAC'S GLEICH an die Steuereinheit 68.

Manche relativ triviale Funktionen, deren Darstellung und Erläuterung den Rahmen der Fig. 3 überschreiten würde, sind in der Zeichnung und der zugehörigen Beschreibung fortgelassen. Solche Funktionen sind z. B. die anfängliche Beladung des Registers 70, die Anfangslöschung des Flipflops 116 und des Zählers 118 und im allgemeinen auch die detaillierten Zeitsteuerfunktionen der Datenübertragung in die Register und aus den Registern. Ein Durchschnittsfachmann wird von sich aus wissen, wie die Funktionen zu realisieren sind.

Um den Verbrauch von elektrischer Leistung an Bord des Satelliten zu reduzieren, braucht man den Authentikator 36 nur dann mit Strom zu versorgen, wenn seine Funktion gefordert ist. So kann gemäß der Fig. 2(a) der Ton-Teil des Befehlsspruchs dazu benutzt werden, die Stromversorgung für den Authentikator 36 einzuschalten; nach der Authentisierung des Befehlsspruchs kann dann wieder die Ausschaltung erfolgen. Auszunehmen von dieser Ein- und Ausschaltung sind das Gebrauchsschlüssel-Register 110 und das IV-Register 70, die zu allen Zeiten mit Strom versorgt werden müssen, damit der Gebrauchsschlüssel und der Initialisierungsvektor bewahrt bleiben.

Die Fig. 4 zeigt das Flußdiagramm einzelner Schritte, die vollzogen werden können, um das erfindungsgemäße Verfahren zur Schlüsseländerung durchzuführen. Diese Schritte, die von 150 bis 182 numeriert sind, können mit Hilfe der Elemente der in Fig. 3 gezeigten Anordnung durchgeführt werden, sie lassen sich aber auch mittels einer Allzweck- Datenverarbeitungseinrichtung ausführen.

Das Schlüsseländerungsverfahren kann in folgende Hauptgruppen eingeteilt werden: die Schritte 150 und 152 speichern denjenigen Teil des Befehlsspruchs, der zur Erzeugung des MAC notwendig ist; die Schritte 154 bis 162 errechnen und speichern den neuen Schlüssel, der den laufenden Gebrauchsschlüssel eventuell ersetzen soll; die Schritte 164 bis 170 errechnen ein MAC, der auf dem neuen Schlüssel basiert; die Schritte 176 bis 182 vergleichen den errechneten MAC mit dem empfangenen MAC und führten, falls dieser Vergleich positiv ausfällt, bestimmte organisatorische Funktionen durch, u. a. das Ersetzen des laufenden Gebrauchsschlüssels durch den neuen Schlüssel.

Beim Schritt 150 wartet der Authentikator 36 auf das Signal BEFEHLS-AKTIVIERUNG vom Befehlsdecoder 34 und geht, wenn dieses Signal vorhanden ist, zum Schritt 152 über, bei dem die zugehörigen, auf den Eingangsanschluß 60 gekoppelten Befehlsspruchdaten im Befehlsregister 64 gespeichert werden, und zwar unter Zeitsteuerung durch ein auf den Eingangsanschluß 62 gegebenes Abtastsignal. Beim Schritt 154 werden der im Register 70 enthaltene Initialisierungsvektor IV, der im Register 72 enthaltene zusätzliche Privatcode ZPC und die vom Generator 74 erzeugten Nullen in das IV/ZPC-Register 82 eingelassen. Beim Schritt 156 wird die im Register 82 gespeicherte Information seriell in das DVS-Eingangsregister 92 geschoben. Beim Schritt 158 wird der im Register 100 gespeicherte Hauptschlüssel in Parallelform in das DVS-Schlüsselregister 96 eingespeichert.

Wenn der Initialisierungsvektor und der zusätzliche Privatcode im DVS-Eingangsregister 92 sind und der Hauptschlüssel im DVS-Schlüsselregister 96 ist, dann führt das Datenverschlüsselungs-Subsystem (DVS) 94 mit dem Schritt 160 den Algorithmus der NBS-Datenverschlüsselungsnorm (NBS Data Encryption Standard) durch, der im System 94 in Hardware vorliegt. Die Information, die sich als Ergebnis der Durchführung des DVS-Algorithmus ergibt und im DVS-Ausgangsregister 98 gespeichert wird, wird beim Schritt 162 in Parallelform in das Neuschlüssel-Register 102 übertragen. Dieses Codewort wird der neue Gebrauchsschlüssel, falls der Vergleich des empfangenen MAC mit dem von der Bodenstation gerade zu empfangenden MAC positiv ausfällt.

Beim Schritt 164 wird der Inhalt des Neuschlüssel-Registers 102 seriell in das DVS-Schlüsselregister 96 geschoben. Beim Schritt 166 werden der Initialisierungsvektor und vierzig Nullen parallel in das IV/ZPC-Register 82 übertragen, und beim Schritt 168 werden diese Daten seriell in das DVS-Eingangsregister 92 geschoben. Beim Schritt 170 wird der Algorithmus vom Datenverschlüsselungs- Subsystem 94 noch einmal durchgeführt. Beim Schritt 172 wird der Inhalt des DVS-Ausgangsregisters 98 in Exklusiv- ODER-Funktion mit dem Inhalt des Befehlsregisters 64 verknüpft, und die resultierende Information wird seriell in das DVS-Eingangsregister 92 geschoben. Schließlich wird, beim Schritt 174, der DVS-Algorithmus ein drittes Mal durchgeführt.

Nach diesem dritten Durchlaufen des DVS-Algorithmus wird beim Schritt 176 mittels des Exklusiv-ODER-Gliedes 114 ein Vergleich zwischen den Daten im DVS-Ausgangsregister 98 und dem gerade am Eingangsanschluß 60 empfangenen MAC vorgenommen. Fällt dieser Vergleich günstig (positiv) aus, d. h. liefert das Glied 170 das Signal MAC'S GLEICH an die Hautpsteuereinheit 68, dann erzeugt diese Einheit beim Schritt 178 ein Authentisierungssignal und liefert es an den Befehlsdecoder 34. Beim nächsten Schritt 180 wird der Inhalt des Neuschlüssel-Registers 102 seriell in das Gebrauchsschlüssel-Register 110 geschoben, und beim anschließenden Schritt 182 wird der Initialisierungsvektor im Register 70 erhöht. Fällt der Vergleich zwischen den beim Schritt 174 errechneten Daten und dem empfangenen MAC ungünstig aus, dann werden die Schritte 178 bis 182 übergangen, und der laufende Schlüssel im Gebrauchsschlüssel- Register 110 bleibt als Gebrauchsschlüssel erhalten, womit der Schlüsseländerungsbefehl zurückgewiesen ist.

Bei der in Fig. 3 gezeigten Ausführungsform des Authentikators 36 erfolgt die Datenübertragung zwischen einzelnen Registern typischerweise mit einer Rate von 256 KHz, wenn man für die digitalen Logikbausteine Typen verwendet, wie sie als Beispiel in der vorstehenden Beschreibung dieser Ausführungsform angegeben sind. Im Falle der genannten Datenübertragungsgeschwindigkeit läßt sich die anhand der Fig. 4 beschriebene Schlüsseländerungs-Operation mit der Anordnung nach Fig. 3 in ungefähr einer Millisekunde durchführen. Also wird bei einer Datenrate über die Befehlsleitung von von 100 Bits pro Sekunde ein neuer Schlüssel vom Authentikator 36 innerhalb derjenigen Zeit errechnet, die zwischen dem Empfang des letzten Operationscodebits und dem Empfang des ersten MAC-Bits des Befehlsspruchs liegt.

Die Anordnung und das Verfahren, wie sie vorstehend beschrieben wurden, erlauben also eine Schlüsseländerung über eine kryptographisch geschützte Nachrichtenverbindung ("Leitung"), wobei bestimmte strenge Anforderungen bezüglich der Geheimhaltung des Schlüssels gewahrt werden. Im einzelnen wird das Verbot, einen Schlüsseländerungsbefehl mit einem MAC zu übertragen, der durch einen möglicherweise aufgedeckten Schlüssel verschlüsselt ist, dadurch befolgt, daß der MAC im neuen Schlüssel verschlüsselt wird. Ferner wird dem Verbot entsprochen, Information in einer unter dem Hauptschlüssel verschlüsselten Form über die Befehlsleitung zu übertragen; stattdessen wird durch Verschlüsselung des Initialisierungsvektors unter dem Hauptschlüssel ein Gebrauchsschlüssel geschaffen, dann wird durch Verschlüsselung des Initialisierungsvektors unter dem Gebrauchsschlüssel ein Schlüsseltext erzeugt, und dann wird Information übertragen, welche die Verschlüsselung der Nachrichten- oder Spruchdaten (verschmolzen mit dem Schlüsseltext) unter dem Gebrauchsschlüssel ist.

Die Anordnung und das Verfahren, wie sie in den Figuren veranschaulicht sind, sollen die Prinzipien der vorliegenden Erfindung lediglich veranschaulichen, d. h. zur Realisierung der Erfindung sind auch zahlreiche Abwandlungen möglich. So wurde z. B. in der Beschreibung erwähnt, daß die Anordnungen nach den Fig. 1 und 3 an Bord eines erdumkreisenden Satelliten sei. Dies ist jedoch keine notwendige Einschränkung für die Erfindung, denn die erfindungsgemäße Anordnung kann sich ebensogut an einem Ort auf der Erde befinden, wo der bleibende Hauptschlüssel und das zusätzliche Privatcodewort vor Aufdeckung geschützt sind. Der Bereich der vorliegenden Erfindung ist nicht auf die vorstehend beschriebene und dargestellte Ausführungsform der Anordnung und des Verfahrens beschränkt.

Claims (17)

1. Verfahren zur Anwendung in einem geschützten Nachrichtensystem, worin von einer ersten Station an eine zweite Station eine Befehlsnachricht gesendet wird, die ein Nachrichten authentisierendes Codewort enthält, das eine einzigartige kryptographische Funktion von Daten in der Nachricht und eines Schlüssels ist, und worin die zweite Station einen Authentikator zur Authentisierung einer dort empfangenen Nachricht aufweist, der eine Einrichtung zur Erzeugung eines zweiten Codewortes enthält, das die besagte kryptographische Funktion der an der zweiten Station empfangenen Nachricht und des besagten Schlüssels ist, und ferner eine Einrichtung zum Vergleichen des an der zweiten Station empfangenen authentisierenden Codewortes mit dem zweiten Codewort, wobei das Verfahren an der zweiten Station durchzuführen ist, um auf eine empfangene Nachricht anzusprechen, die eine Änderung eines laufenden Schlüssels in einen Nachfolgeschlüssel befiehlt, gekennzeichnet durch folgende Schritte:

• a) Erzeugung des Nachfolgeschlüssels als besagte kryptographische Funktion eines dritten Codewortes und eines Hauptschlüssels, wobei das dritte Codewort und der Hauptschlüssel in der ersten und in der zweiten Station bekannt sind;
• b) Erzeugung eines vierten Codewortes als besagte kryptographische Funktion eines fünften Codewortes und des Nachfolgeschlüssels, wobei das fünfte Codewort in der ersten und in der zweiten Station bekannt ist;
• c) Verschmelzung der die Schlüsseländerung befehlenden Nachricht mit dem vierten Codewort, um ein sechstes Codewort zu erzeugen;
• d) Erzeugung des zweiten Codewortes als kryptographische Funktion des sechsten Codewortes und des Nachfolgeschlüssels;
• e) Vergleich des zweiten Codewortes mit dem authentisierenden Codewort, das zu der die Schlüsseländerung befehlenden Nachricht gehört;
• f) Ersetzen des laufenden Schlüssels durch den Nachfolgeschlüssel, falls der beim Schritt e) durchgeführte Vergleich positiv ausgefallen ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß als vorangehender Schritt das fünfte Codewort und ein zusätzliches Codewort kombiniert werden, um das dritte Codewort zu bilden, wobei das zusätzliche Codewort an der ersten und der zweiten Station bekannt ist.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß das fünfte Codewort, das beim vereinigenden Schritt und bei dem das vierte Codewort erzeugenden Schritt benutzt wird, und die Nachricht der Öffentlichkeit zugänglich sind.

4. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß das zusätzliche Codewort, das beim vereinigenden Schritt benutzt wird, und der für die Erzeugung des Nachfolgeschlüssels benutzte Hauptschlüssel nicht öffentlich zugänglich sind.

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Schritt der Verschmelzung eine Exklusiv-ODER- Verknüpfung der die Schlüsseländerung befehlenden Nachricht mit dem vierten Codewort umfaßt.

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der ersetzende Schritt einen Teilschritt enthält, der darin besteht, den Wert des fünften Codewortes zu ändern, falls der beim vergleichenden Schritt durchgeführte Vergleich positiv ausgefallen ist.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß der besagte Teilschritt in einer Erhöhung des Wertes des fünften Codewortes um 1 besteht.

8. Anordnung in einem geschützten Nachrichtensystem, worin von einer ersten Station an eine zweite Station eine Befehlsnachricht gesendet wird, die ein Nachrichten authentisierendes Codewort enthält, das eine einzigartige kryptographische Funktion der Nachricht und eines Schlüssels ist, wobei die besagte Anordnung an der zweiten Station vorzusehen ist, um auf eine dort empfangene Nachricht anzusprechen, die eine Änderung eines laufenden Schlüssels in einem nachfolgend zu verwendeten Schlüssel befiehlt, gekennzeichnet durch:
eine Verschlüsselungseinrichtung (92-98), die ein Dateneingangsregister (92), ein Schlüsselregister (96) und ein Ausgangsregister (98) enthält und einen Verschlüsselungs- Algorithmus durchführt, um in ihrem Ausgangsregister (98) ein Codewort zu erzeugen, das die besagte kryptographische Funktion der Daten im besagten Dateneingangsregister (92) und des Schlüssels im besagten Schlüsselregister (96) ist;
ein erstes Speicherregister (82) zur wahlweise Speicherung eines zweiten und eines dritten Codewortes und ein zweites Speicherregister (100) zur Speicherung eines Hauptschlüssels, wobei das zweite und das dritte Codewort und der Hauptschlüssel in der ersten und der zweiten Station bekannt sind;
ein drittes Speicherregister (102) zur Speicherung des Nachfolgeschlüssels, der die besagte kryptographische Funktion des zweiten Codewortes und des Hauptschlüssels ist;
eine Einrichtung (112) zum Verschmelzen der an der zweiten Station empfangenen Nachricht mit einem vierten Codewort, um ein fünftes Codewort zu erzeugen, das die besagte kryptographische Funktion des dritten Codewortes und des Nachfolgeschlüssels ist;
eine Vergleichseinrichtung (114-120) zum Vergleichen eines sechsten Codewortes mit dem zur Schlüsseländerungs- Befehlsnachricht gehörenden authentisierenden Codewort und zur Erzeugung eines das Vergleichsergebnis anzeigenden Signals, wobei das sechste Codewort die gesagte kryptographische Funktion des fünften Codewortes und des Nachfolgeschlüssels ist;
ein Gebrauchsschlüssel-Speicherregister (110) zur Speicherung des laufenden Schlüssels;
eine Steuereinrichtung (68, 86-90 usw.) zum Steuern folgender Datenübertragungen: a) wahlweise vom ersten Speicherregister (82) oder von der verschmelzenden Einrichtung (112, usw.) zum Dateneingangsregister (92) der Verschlüsselungseinrichtung, b) wahlweise vom zweiten Speicherregister (100) oder vom dritten Speicherregister (102) zum Schlüsselregister (96) der Verschlüsselungseinrichtung, c) vom Ausgangsregister (98) der Verschlüsselungseinrichtung zum dritten Speicherregister (102);
eine in der Steuereinrichtung enthaltene Einrichtung (68) zum Auslösen der von der Verschlüsselungseinrichtung durchzuführenden Operation;
eine in der Steuereinrichtung enthaltene Einrichtung (nicht dargestellt), die den Nachfolgeschlüssel aus dem dritten Register (102) in das Gebrauchsschlüssel-Speicherregister (110) überträgt, wenn das von der Vergleichseinrichtung gelieferte Signal ein positives Ergebnis des Vergleichs zwischen dem sechsten Codewort und dem authentisierenden Codewort anzeigt.

9. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß eine Speichereinrichtung (70, 84) zur Speicherung des dritten Codewortes und ein viertes Speicherregister (72) zur Speicherung eines zusätzlichen Codewortes vorgesehen sind;
daß das zweite Codewort eine Kombination des dritten Codewortes und des zusätzlichen Codewortes ist und das zusätzliche Codewort an der ersten und der zweiten Station bekannt ist;
daß die Steuereinrichtung ferner eine Einrichtung (76- 80 usw.) enthält, um das zusätzliche Codewort aus dem vierten Speicherregister (72) in das erste Speicherregister (82) zu übertragen und um das dritte Codewort aus der Speichereinrichtung (70) in das erste Speicherregister (82) zu übertragen.

10. Anordnung nach Anspruch 9, dadurch gekennzeichnet, daß die Einrichtung (70, 84) zur Speicherung des dritten Codewortes einen Binärzähler (84) enthält.

11. Anordnung nach Anspruch 10, dadurch gekennzeichnet, daß eine Einrichtung zum Ändern des im Binärzähler gespeicherten dritten Codewortes vorgesehen ist.

12. Anordnung nach Anspruch 11, dadurch gekennzeichnet, daß die Änderungseinrichtung eine Einrichtung zur Erhöhung des Wertes des dritten Codewortes um 1 aufweist.

13. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß die Vergleichseinrichtung (114-120) ein Exklusiv-ODER- Glied 114 enthält.

14. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß das erste Speicherregister (82), das zweite Speicherregister (100), das dritte Speicherregister (102), das Gebrauchsschlüssel-Speicherregister (110), das Dateneingangsregister (92) der Verschlüsselungseinrichtung, das Schlüsselregister (96) der Verschlüsselungseinrichtung und das Ausgangsregister (98) der Verschlüsselungseinrichtung jeweils ein Schieberegister ist.

15. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß die verschmelzende Einrichtung ein Exklusiv-ODER-Glied (112) enthält.

16. Anordnung nach Anspruch 8, dadurch gekennzeichnet, daß die Steuereinrichtung einen Mikroprozessor (68) enthält.

17. Anordnung nach einem der Ansprüche 8 bis 16, dadurch gekennzeichnet, daß die zweite Station ein erdumkreisender Satellit ist.