DE60101275T2

DE60101275T2 - Kryptographisches verfahren und mikroschaltung für chipkarte

Info

Publication number: DE60101275T2
Application number: DE60101275T
Authority: DE
Inventors: Jean-Claude Pailles; Marc Girault
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 2000-05-31
Filing date: 2001-05-30
Publication date: 2004-09-09
Anticipated expiration: 2021-05-31
Also published as: US20030163699A1; PT1290647E; ES2213119T3; AU2001274162A1; HK1052785A1; KR20030028746A; FR2809894B1; JP5174256B2; JP2003535538A; KR100829654B1; WO2001093216A1; DE60101275D1; EP1290647A1; EP1290647B1; ATE254783T1; US7802098B2; FR2809894A1; JP2012133390A

Description

Die Erfindung betrifft ein Verschlüsselungsverfahren in einer Chipkarte, die eine Zentraleinheit umfaßt, wobei das Verfahren Vorberechnungen einsetzt. Die Erfindung betrifft des weiteren eine Mikroschaltung für eine Chipkarte, die in der Lage ist, mit der Außenwelt über eine Ein-/Aus-Schnittstelle zu kommunizieren, wobei die Mikroschaltung Mittel zum Ausführen von Aufgaben, darunter eine Berechnungsaufgabe, und Mittel zur Verwaltung der Ausgabenausführung umfaßt.
Sie ist auf eine kontaktlose Chipkarte oder eine Chipkarte mit Kontakt sowie auf Kombikarten anwendbar, d. h. Karten, die zwei Funktionsarten, d. h. "mit Kontakt" und "kontaktlos" unterstützen.
Eine Chipkarte C umfaßt eine in 1 gezeigte Mikroschaltung MC, welche im wesentlichen eine Ein-/Aus-Schnittstelle, einen Mikroprozessor UC einen Funktionsprogrammspeicher M1, beispielsweise einen ROM ("Read Only Memory" auf Englisch, womit ein Nur-Lesespeicher bezeichnet wird), einen Speicher für (ein) Anwendungsprogramme) M3, beispielsweise einen EEPROM ("Electrically Erasable Progranmable Read Only Memory" auf Englisch, womit ein durch den Benutzer programmierbarer und elektrisch löschbarer Festspeicher bezeichnet wird), einen Arbeitsspeicher M2, beispielsweise einen RAM ("Random Acces Memeory" auf Englisch, womit ein flüchtiger Schreib-Lese-Speicher bezeichnet wird) umfaßt.
Die Ein-/Aus-Schnittstelle ist im Fall von Chipkarten mit Kontakten durch eine asynchrone Empfangs- oder Sendeeinheit UART und einen Stecker CN realisiert, der im allgemeinen acht Kontaktflächen umfaßt, die auf der Karte zu Tage treten.
Diese Ein-/Aus-Schnittstelle wird im Fall von berührungslosen Chipkarten durch die asynchrone Einheit UART und eine Sender-Empfänger-Radiofrequenz-RF-Vorrichtung realisiert, die eine Antenne umfaßt.
Im Fall von Chipkarten mit gemischter Funktionsweise weist diese Schnittstelle selbstverständlich die RF-Vorrichtung und die Kontaktflächen CN auf.
Die Erfindung liegt auf dem Gebiet von Chipkarten, bei welchen die Ergebnisse von Exponentierungsrechnungen, die mit g^x bezeichnet sind und die häufig modulo n realisiert sind, verwendet werden. Diese Berechnungen werden bei zahlreichen Anwendungen, insbesondere solchen, die auf der Signatur oder der Authentifikation von Nachrichten basieren, ausgeführt.
Unter den Authentifikations- oder Signaturschemen sind die momentan am häufigsten verwendeten und sichersten die Algorithmen mit öffentlichem Schlüssel. Unter diesen ist der bekannteste und am häufigsten verwendete der RSA-Algorithmus (abgeleitet vom Namen seiner Erfinder R. Rivest, A. Shamir und L. Adleman), der rechenzeitaufwendig ist. Die auf dem diskreten Algorithmus basierenden Schemen sind bereits seit langem bekannt und weisen den Vorteil auf, sich insbesondere Vorberechnungen zu bedienen, die sehr zeitaufwendige Exponentierungsberechnungen umfassen.
Die Erfindung ist bei Mikroschaltungskarten anwendbar, bei welchen die kryptographischen Algorithmen mit öffentlichem Schlüssel verwendet werden, welche den diskreten Logarithmus in irgendeiner mathematischen Struktur, insbesondere den Modulo-n-Zahlenringen (wobei n in der Gesamtheit Zn auftritt, d. h. der Gesamtheit der ganzen positiven Zahlen kleiner als n), den elliptischen Kurven auf endlichen Körpern GF(q) (wobei GF(q) der Körper ist, dessen Anzahl von Elementen q ist, wobei q eine Primzahl oder eine Potenz einer Primzahl ist) verwenden. Die Exponentierung g^x ermöglicht es, alle diese Strukturen abzudecken.
Beispiele für Verfahren, bei welchen derartige Berechnungen verwendet werden, sind im französischen Patent FR 2 716 058 offenbart.
Im Fall von Zn und von aktuellen Realisierungen, bei welchen Berechnungen des Typs mit modularer Exponentierung (b^x modulo n) benötigt werden, wobei die Zahlen b, x und n häufig Längen von 768 bis 1024 Bit umfassen, liegen die Leistungen in der Größenordnung von 500 bis 300 ms. Diese Leistungen können nur mit 8-Bit-Mirkoprozessoren mit "Krypto-Prozessor" erreicht werden, die in der Lage sind, Modulo-n-Multiplikationen und -Reduktionen mit hoher Geschwindigkeit auszuführen, oder mit 16- oder 32-Bit-Mikroprozessoren, deren Lei stungen es intrinsisch zulassen, diese Leistungen zu erreichen, ohne von einer speziellen Rechenzelle, wie einem Krypto-Prozessor, Gebrauch zu machen.
In bestimmten Fällen sind diese Leistungen nicht ausreichend. Im folgenden wird ein Beispiel einer Verwendung von Kombikarten im öffentlichen Verkehr präsentiert.

– Die Karte, die in einem berührungslosen Modus funktioniert, muß es zulassen beim Eintritt in eine Metrostation oder in einen Autobus an einem Terminal den Fahrausweis zu authentifizieren, eine Berechtigung zu einer bestimmten Art einer Reduktion zu verifizieren und/oder eine Bezahlung durch einen elektronischen Geldbeutel (PME) zu empfangen. Für diese Art einer Transaktion wie im allgemeinen für solche des PME-Typs werden aus Gründen der Verwaltung des Schlüssels, der Einhaltung von Normen und schließlich der Sicherheit kryptographische Algorithmen mit öffentlichem Schlüssel verwendet. Diese Art einer Transaktion muß in weniger als 150 ms ablaufen, d. h. der Zeit, die ein Benutzer benötigt, um die Karte mit einer natürlichen Handbewegung an einem in eine Bahnsteigsperre integrierten Terminal oder einem Terminal, der sich am Eingang eines Autobusses befindet, vorbei zu führen. Diese 150 ms müssen somit nicht nur kryptographische Berechnungen abdecken, sondern auch die Eingänge/Ausgänge von Nachrichten und von anderen Bearbeitungen als kryptographischen, die entweder terminalseitig oder kartenseitig ausgeführt werden. Die terminalseitigen und kartenseitigen Bearbeitungen können nicht parallel ablaufen, da sie gemäß einer präzisen durch ein vordefiniertes Protokoll festgelegten Ordnung ineinandergreifen. In der Praxis müssen die kartenseitigen kryptographischen Berechnungen, wenn man der erforderlichen terminalseitigen Rechenzeit Rechnung trägt, somit in weniger als ungefähr 30 ms ablaufen. Keine momentan existierende Komponente einer Mikroschaltungskarte läßt es zu, derartige Leistungen zu erreichen. Darüber hinaus ist aufgrund der Tatsache, daß im berührungslosen Modus die Karte durch Energie, die durch das Terminal ausgestrahlt wird und über die Antenne empfangen wird, versorgt ist, die zum Verbrauch zur Verfügung stehende Leistung und folglich ebenso die Rechenkapazität begrenzt.
– Im Kontaktmodus bestehen diese Zwänge nicht in diesem Maße. Es ist beispielsweise bei einer Zahlung mit einem elektronischen Geldbeutel ausreichend, den Kunden nicht länger als einige Sekunden am Verkaufsort warten zu lassen. Jedoch verlangen bestimmte Betreiber, daß die Transaktion kurz, d. h. in der Größenordnung einer Sekunde bleibt.

Bezüglich der Einzelheiten der durch einen kryptographischen Algorithmus mit öffentlichem Schlüssel ausgeführten Berechnungen, sei auf das Patent FR 2 716 058 verwiesen, in dem ein Verfahren einer numerischen Signatur und einer Authentifizierung von Nachrichten unter Verwendung eines diskreten Logarithmus dargelegt ist.
Das in dem oben genannten Patent beschriebene Verfahren kann wie folgt zusammengefaßt werden.
Dem Signaturverfahren geht eine in der 2a dargestellte Vorphase voraus.
Eine Behörde A, beispielsweise eine Bank oder ein Transportunternehmen, die über einen öffentlichen Schlüssel P_A und einen geheimen Signaturschlüssel S_A verfügt, wählt Zahlen n (eine Primzahl oder Kombinationen von Primzahlen) und g (eine ganze Zahl kleiner als n und im allgemeinen viel kleiner) sowie eine Haching-Funktion h und überträgt P_A, n, g und h zur Entität S, die eine Nachricht signieren muß, beispielsweise einer Chipkarte vor einem Validieren eines zu bezahlenden Betrages, sowie zu den Entitäten V, die die Signatur verifizieren müssen, beispielsweise einem Terminal in der Art, wie ihn die Händler momentan ihren Kunden anbieten.
Die Entität S wählt einen geheimen Schlüssel x, berechnet ihren öffentlichen Schlüssel y = g^–x mod n, schickt ihn zur Behörde A, die ihr eine Bescheinigung Cert zurückgibt, die ihrerseits, insbesondere ausgehend von ihrem geheimen Signaturschlüssel S_A erstellt ist.
Die Daten n, g, x, y, Cert sind permanente Daten der Entität S.
Ist diese Vorphase beendet, kann das Signaturverfahren einer Nachricht M beginnen. Es kann sich für S darum handeln, wie in 2b) gezeigt ist, einen durch V vorgeschlagenen zu be zahlenden Betrag zu signieren. Die Nachricht M enthält insbesondere den zu bezahlenden Betrag m und eine Identifikation des Terminals V, der diese Zahlung verlangt.
Die Schritte dieses Signaturverfahrens sind die folgenden:

a) S wählt in zufälliger Weise k,
b) berechnet ein Kontrollelement r = g^k mod n
c) berechnet mit einer bekannten Haching-Funktion h von A, S und V, c = h(r, M)
d) berechnet schließlich s = k + cx.
e) S schickt an V diese Informationen: y, Cert, M, c, s.

V verifiziert Cert mit P_A, berechnet u = y^cg^s mod n und verifiziert, daß c = h(u, M). Wenn die Verifizierung richtig ist, ist die Signatur von M authentifiziert.
Unter den Schritten dieses Verfahrens besteht einer darin, bei jeder Transaktion ein Kontrollelement r zu berechnen, das eine Exponentierung erfordert (beispielsweise r = g^k mod n). Diese Operation ist sehr zeitaufwendig. Daher wird manchmal vorgesehen, dieses Kontrollelement im Voraus zu berechnen. Jedoch werden diese Vorausberechnungen durch eine externe Einrichtung ausgeführt und werden dann die Paare (k, r) in eine Speicherzone der Karte, beispielsweise M3, geschrieben, was Nachteile darstellt.
Tatsächlich läßt es die Kenntnis der für die Berechnung dieser Kontrollelemente notwendigen Daten und der Kontrollelemente selbst zu, den kryptographischen geheimen Schlüssel wiederzuerhalten. Tatsächlich ergibt die Kenntnis von r und k c = h (r, M) und die Kenntnis von s = k + cx und k und c ergibt x. Das Geheimnis wird somit zwischen der Entität, die es eigentlich hüten sollte, und dieser äußeren Einrichtung geteilt, zu der somit ein sehr großes Zutrauen bestehen muß.
Es muß ebenso die absolute Sicherheit bei der Versendung der Paare (k, r) zur Karte und bei ihrem Beschreiben sichergestellt sein.
Darüber hinaus müssen, falls die Karte keine Paare (k, r) mehr enthält, diese nachgeladen werden, wozu ein spezielles Terminal notwendig ist, das an ein Netz angeschlossen ist.
Die Aufgabe der Erfindung ist es, diese Nachteile zu vermeiden, indem die Paare (k, r) durch die Karte berechnet werden, ohne daß die Dauer der Transaktionen dadurch beeinträchtigt wird.
Dies wird durch Ausnutzen der Tatsache erreicht, daß in einem Mikroprozessor für Chipkarten (oder einem Rechner im allgemeinen) ein bedeutender Bruchteil der Zeit dem Warten auf äußere Ereignisse geopfert wird. Während dieser Zeit oder während der Warteperioden, d. h., wenn die Karte auf eine neue Befehlsnachricht des Terminals wartet, oder auch, wenn die Karte sich in einer Phase eines Empfangens oder eines Aussendens einer langen Nachricht über ihren Eingangs-/Ausgangsanschluß befindet, kann der Mikroprozessor die Kontrollelemente berechnen, wenn die Speicherzone für die Paare (k, r) nicht voll ist.
Diese Wartezeiten werden im in 3 dargestellten Fall eines Aufladens einer elektronischen Geldbeutelkarte (PME) des Kombikartentyps über eine Vorrichtung P verdeutlicht, die über ein Telekommunikations- oder Computernetz R mit dem Server eines Finanzunternehmens S zum Aufladen verbunden ist. Diese Vorrichtung P kann ein Minitel oder ein Rechner oder auch ein tragbares Telefon mit zwei Steckplätzen sein, das bereits erhältlich ist, in dem neben der gewöhnlichen SIM-("Subscriber Identity Module" auf Englisch, womit ein Identifikationsmodul des Kunden bezeichnet wird)-Karte eine weitere Karte, insbesondere eine PME-Karte aufgenommen werden kann.
Nach dem Einführen der PME-Karte in die Vorrichtung P fordert die Vorrichtung P die PME-Karte auf, sich zu authentifizieren; d. h. die Karte funktioniert somit in einem Kontaktmodus. Die PME-Signatur sowie der auf die PME-Karte zurück zu ladende Betrag wird durch P über R zu F übertragen. Vom Beginn dieser Übertragung an befindet sich die PME-Karte, die in die Vorrichtung P eingeführt ist, in einer Wartestellung.
Die Übertragung von F über das Netz zum Server dauert ungefähr 5 bis 10 Sekunden. Die Authentifizierung der Signatur von PME durch den Server von F und die Signatur des zu ladenden Betrages durch F kann ungefähr 2 Sekunden dauern. Ebenso kann die Übertragung der signierten Ladenachricht von F zu P über das Netz R erneut 5 bis 10 Sekunden in Anspruch nehmen. Die Wartezeit der Karte beträgt somit ungefähr 15 Sekunden.
Nach dem Empfang der Ladenachricht durch P und dann durch die PME-Karte, verifiziert diese die Signatur von F, und die PME-Karte aktualisiert ihr Guthaben, wenn die Autentifizierung gelungen ist.
Bei diesem Beispiel verfügt die Karte somit über eine ausreichende Wartezeit, um Vorberechnungen vorzunehmen.
Die Erfindung hat ein Verschlüsselungsverfahren in einer Chipkarte zur Aufgabe, die eine Zentraleinheit umfaßt, wobei das Verfahren, bei dem Vorberechnungen verwendet werden, in erster Linie dadurch gekennzeichnet ist, daß die Vorberechnungen durch die Chipkarte realisiert werden und daß die Vorberechnungen bei einer Sitzung während der Eingangs-, Ausgangswarteperioden der Zentraleinheit realisiert werden.
Im Verfahren wird gegebenenfalls ein auf der Berechnung eines diskreten Logarithmus basierender Algorithmus verwendet.
Gemäß einem Merkmal umfassen die Vorberechnungen somit Exponentierungsberechnungen.
Die Vorberechnungen erfolgen vorteilhafterweise schrittweise, indem Zwischenberechnungen ausgeführt werden und die Ergebnisse dieser Zwischenberechnungen auf der Chipkarte gespeichert werden.
Die Erfindung hat ebenfalls eine Mikroschaltung für eine Chipkarte zum Gegenstand, die in der Lage ist, mit der Außenwelt über eine Ein-/Aus-Schnittstelle I zu kommunizieren, umfassend Mittel zum Ausführen von Aufgaben ET, darunter eine Berechnungsaufgabe PC und Mittel zur Verwaltung GE der Aufgabenausführung, dadurch gekennzeichnet, daß die Mittel zur Verwaltung GE Mittel zum Aktivieren APC der Berechnungsaufgabe PC während der Wartezeiten der anderen aktiven Aufgabe(n) auf der Mikroschaltung umfassen.
Gemäß einem Merkmal der Erfindung umfassen die Mittel zur Aufgabenausführung ET einen Mikroprozessor UC, einen Programmspeicher M1, der das Programm zur Verwaltung der Aufgabenausführung umfaßt, und einen Speicher M3 für Anwendungsprogramme, der die ausführbare(n) Aufgabe(n) in Form eines oder mehrerer Anwendungsprogramme umfaßt.
Die Mittel zur Aufgabenausführung ET können außerdem eine Schaltung zur kryptographischen Berechnung CP umfassen.
Gemäß einem weiteren Merkmal der Erfindung sind die Mittel zur Aufgabenausführung ET geeignet, um Exponentierungsberechnungen auszuführen.
Gemäß einer Ausführung der Erfindung umfassen die Mittel zum Aktivieren APC der Berechnungsaufgabe eine Schaltung zur Verarbeitung O der Ein-/Ausgänge von der Karte bzw. darauf, die in der Lage ist, die Mittel zur Aufgabenausführung ET zu aktivieren, wenn die Verarbeitungsschaltung O auf einen Eingang oder Ausgang wartet.
Die Mikroschaltung umfaßt vorzugsweise Mittel zum Speichern M3 der Ergebnisse der Berechnungen.
Die Erfindung hat außerdem eine Karte mit berührungsloser Mikroschaltung und/oder Mikroschaltung mit Kontakt zum Gegenstand, die eine Mikroschaltung umfaßt, wie sie oben beschrieben wurde.
Andere Eigenschaften und Vorteile ergeben sich deutlich aus der Lektüre der beispielhaft angegeben und nicht beschränkenden Beschreibung unter Bezugnahme auf die beigefügten Zeichnungen, in welchen:
1 eine schematische Darstellung einer Mikroschaltung für eine Chipkarte ist,
2a den Ablauf der Vorphase der Zertifizierung schematisch darstellt, die vor der Verwendung eines Signaturverfahrens notwendig ist,
2b den Ablauf der Signaturphase eines Signaturverfahrens schematisch darstellt,
3 den Ablauf einer Transaktion eines Aufladens eines elektronischen Geldbeutels schematisch darstellt,
4 ein Ablaufdiagramm ist, in dem die Funktionsweise der Aktivierungsmittel APC dargestellt ist,
5 ein Ablaufdiagramm eines Beispiels einer Vorberechnung gemäß der Erfindung ist.
Die Mikroschaltungen für Chipkarten, wie sie in der Erfindung betrachtet werden, sind aus verschiedenen miteinander über einen Bus verbundenen Elementen gebildet, wovon die wichtigsten in 1 gezeigt sind.
Die Zentraleinheit UC bzw. der Mikroprozessor führt die Befehle der auf einem nicht flüchtigen Speicher M1 des ROM-Typ gespeicherten Programme aus. Diese Zentraleinheit UC empfängt üblicherweise über eine Schnittstelle I das Taktsignal H und das Rücksetzsignal auf 0 R ("Reset" auf Englisch). Wenn die Karte im Kontaktmodus funktioniert, kommen die Signale H und R von den Kontakten, während diese Signale durch Radiofrequenzwellen übertragen werden, die über eine Radiofrequenzvorrichtung RF empfangen werden, wenn die Karte im berührungslosen Modus funktioniert.
Diese Zentraleinheit UC wird manchmal durch einen Krypto-Prozessor CP unterstützt, der auf die rasche Behandlung von Modulo-n-Exponentierungsoperationen spezialisiert ist.
Der Speicher M1 enthält die Mittel zur Verwaltung GE der Aufgabenausführung, die in bestimmten Fällen vom Betriebssystem COS ("Chip oder Card Operating System" auf Englisch, womit das Betriebssystem der Mikroschaltung oder der Karte bezeichnet wird) umfaßt sind. Das COS hat die Verwaltung der Eingänge/Ausgänge, die Organisation und die Verwaltung des Speichers, die Verwaltung der Zugriffsauthorisierungen (Identifikationsnummern), die Organisation der Antwort auf das Reset-Signal, das optionale Laden von speziellen Unterprogrammen während der Personalisierung der Karte oder während der Dauer der Benutzung der Karte zur Aufgabe. Der Speicher M1 enthält außerdem manchmal die Anwendungsprogramme.
Die Programme des Speichers M1 verwenden Arbeitsspeicher M2 des RAM-Typs oder Register und permanente Speicher M3 des EEPROM-Typs für die permanenten Daten, die nicht gelöscht werden sollen, selbst wenn die Mikroschaltung nicht mehr mit Strom versorgt wird. Die Anwendungsprogramme sind häufig in diesen Speichern M3 gespeichert.
Die Mikroschaltung kommuniziert mit der Außenwelt über eine asynchrone Empfangs- oder Sendeeinheit UART, die dafür zuständig ist, Nachrichten in Form von Blöcken aus mehreren Bytes zu empfangen oder zu übertragen. Diese asynchrone Einheit UART kommuniziert ihrerseits mit der seriellen Eingangs-/Ausgangs-Verbindung ES über eine Schnittstelle I. Im Fall von Karten mit Kontakt laufen die Nachrichten über die Kontaktfelder und im Fall von berührungslosen Karten laufen die Nachrichten über die Radiofrequenzvorrichtung RF.
Die Mikroschaltung wird durch die Schnittstelle I mit Strom versorgt, die ihrerseits durch die mit Vcc (Vcc = 5 Volt) bezeichnete Versorgungsspannung und durch die elektrische Erdung, die mit Vss (Vss = 0 Volt) bezeichnet ist, gespeist wird. Im Berührungsmodus wird die Schnittstelle I über die Kontakte gespeist, während sie im berührungslosen Modus über die Signalradiofrequenz über die Radiofrequenzvorrichtung RF gespeist wird.
Erfindungsgemäß sind im Betriebssystem COS, das im Speicher M1 gespeichert ist, Mittel zur Verwaltung GE der Aufgabenausführung ET der verschiedenen Aufgaben vorgesehen, welche die Anwendungen bilden. Von diesen Aufgaben wird die Berechnungsaufgabe PC unterschieden: Sie wird durch die Mittel zur Verwaltung GE während der Wartezeiten der anderen Aufgaben aktiviert, die somit ausgenutzt werden, um die Vorberechnungen auszuführen und sie im Speicher M3 zu speichern.
Zu diesem Zweck weisen die Mittel zur Verwaltung GE Mittel zum Aktivieren APC der Vorberechnungsaufgabe PC auf. Diese Mittel zum Aktivieren APC können aus einem Programm bestehen oder in eine Schaltung zur Verarbeitung O integriert sein.
Es wird die Funktionsweise dieser Mittel zum Aktivieren APC, die in 4 dargestellt ist, wenn die Aufgabe "Berechnung von Kontrollelementen" aktiviert ist, d. h. wenn eine Vorberechnung eines Kontrollelementes abläuft (Schritt I), beschrieben.
Wenn ein äußeres Ereignis auftritt, d. h. wenn die Wartezeiten, von welchen die Aufgabe "Berechnung von Kontrollelementen" profitiert, um ihre Berechnungen auszuführen, beendet sind (Schritt II) und wenn die Stromversorgung der Karte nicht unterbrochen ist (Schritt III), aktivieren die APC-Mittel:

– wenn das äußere Ereignis dem Empfang einer neuen Nachricht von N Bytes durch die UART entspricht, aktivieren die APC-Mittel die Aufgabe, die auf diese Nachricht gewartet hat, beispielsweise die Aufgabe t1 (Schritt IV),
– wenn das äußere Ereignis dem Ende eines Aussendes einer Nachricht von N' Bytes durch die UART entspricht, aktivieren die APC-Mittel die Aufgabe, die diese Nachricht ausgesandt hat, beispielsweise die Aufgabe t₂ (Schritt IV).

Wenn dann die Aufgabe t_i (t₁ oder t₂ in unserem Beispiel), die die APC-Mittel reaktiviert hatte, beendet ist, oder falls ein äußeres Ereignis dazwischen kommt (Schritt V), das ein Warten hervorruft, reaktivieren die APC-Mittel die Aufgabe "Berechnung von Kontrollelementen" während dieser Wartezeit, bis diese Aufgabe "Berechnung von Kontrollelementen" beendet ist (die Speicherzone der Kontrollelemente ist voll) oder ein äußeres Ereignis auftritt (Schritt V) und man ist somit zur Ausgangssituation zurückgelangt.
Es kann in Betracht gezogen werden, daß die APC-Mittel die Prioritäten zwischen den Aufgaben verwalten, wobei die Aufgaben der Anwendungen gegenüber der Aufgabe der "Berechnung von Kontrollelementen" immer eine höhere Priorität haben.
Die Berechnung von Kontrollelementen kann lang dauern: mehrere 100 ms. In dem Maße, in dem die Berechnung durch die anderen Aufgaben unterbrochen wird, die eine höhere Priorität haben, oder bei einer Unterbrechung der Stromversorgung, wird die Berechnung in Schritten ausgeführt, wobei die Zwischenergebnisse in der Speicherzone, im vorliegenden Fall dem Speicher M3 gespeichert werden. Somit ist eine begonnene Berechnung, die jedoch nicht beendet ist, nicht verloren und kann wieder aufgenommen werden, ohne die ganze bereits durchgeführte Berechnung erneut auszuführen, wenn die APC-Mittel diese Aufgabe "Berechnung von Kontrollelementen" reaktivieren. Wenn die Aufgabe während des Schrittes m unterbrochen wird, wobei die Ergebnisse des Schrittes m-1 gespeichert wurden, werden die Berechnungen am Beginn des Schrittes m wieder aufgenommen, wenn die APC-Mittel die Aufgabe wieder reaktivieren.
Ein Schritt ist seinerseits aus Elementarschleifen gebildet und ein Schleifenzähler ermöglicht es, die Speicherung auszulösen, wenn eine vorbestimmte Anzahl von Schleifen gezählt wurde. Beispielsweise kann eine Berechnung in zehn Schritten von jeweils 30 Schleifen organisiert sein, wenn k 300 Bit beträgt.
Ein Beispiel, dessen Ablaufdiagramm in 5 gezeigt ist, veranschaulicht diesen Prozeß, wobei das Kontrollelement r gemäß der Formel berechnet wird r = gk mod n
Der Berechnung selbst geht ein Vorschritt I voraus: Er besteht darin k zu wählen und die Parameter, die im folgenden verwendet werden, mit den Werten der gespeicherten Parameter oder mit Standardeinstellungswerten zu initialisieren. Die Berechnung wird gemäß einer Schleife ausgeführt, welche die Schritte II bis VI umfaßt, die aus Vergleichen, Berechnungen und Speicherungen oder Sicherungen bestehen.
Diese Berechnungen von Kontrollelementen durch die Karte während der Wartezeiten ermöglichen somit eine Transaktion eines Ersetzens der Schritte a) und b) ("Auswählen von k und Berechnen von r") des anfangs beschriebenen Signaturverfahrens durch "Lesen eines Paars (k, r) in der Speicherzone", wobei diese Speicherzone gemäß einem Verfahren aufgefüllt wurde, das zu dem zuvor angegebenen äquivalent ist. Die anderen durch die Karte auszuführenden verbleibenden Berechnungen sind einfache und schnelle Berechnungen. Die kartenseitigen kryptographischen Berechnungen laufen somit in weniger als 10 ms ab und erlauben es somit leicht, die erforderlichen Leistungen zu erreichen.
Darüber hinaus kann Speicherplatz gespart werden.
Wenn k durch einen reproduzierbaren Pseudozufallsgenerator erzeugt wird, muß k nicht gespeichert werden: Nur die Eingangsparameter des Generators können gespeichert werden, was somit eine sparsame Verwendung des Speicherplatzes darstellt.
Ähnlich ist es nicht notwendig, daß Paar (k, r) uneingeschränkt zu speichern: Eine Beschränkung auf eine kleine Anzahl von Bits von g^k mod n ist ausreichend. Ein Beispiel ist im Patent FR 2 752 122 angegeben.

Claims

Verschlüsselungsverfahren mit Schritten zur kryptografischen Berechnung, das durch eine Chipkarte durchgeführt wird, die eine Zentraleinheit umfaßt, wobei das Verfahren außerdem einen oder mehrere Schritte zur Vorberechnung umfaßt, dadurch gekennzeichnet, daß der oder die Vorberechnungsschritte von der Chipkarte selber vorgenommen werden, und daß der oder die Vorberechnungsschritte bei einer Sitzung, die von der Chipkarte bewirkt wird, und während Ein-/Ausgangs-Warteperioden ihrer Zentraleinheit vorgenommen werden.
Verschlüsselungsverfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Verfahren einen auf dem diskreten Logarithmus basierenden Algorithmus einsetzt.
Verschlüsselungsverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Vorberechnungen Exponentierungsrechnungen umfassen.
Verschlüsselungsverfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Vorberechnungen schrittweise erfolgen, indem Zwischenberechnungen ausgeführt werden, und daß die Ergebnisse dieser Zwischenberechnungen in der Chipkarte gespeichert werden.
Mikroschaltung für eine Chipkarte, die in der Lage ist, mit der Außenwelt über eine Ein-/Aus-Schnittstelle (I) zu kommunizieren, umfassend Mittel zum Ausführen von Aufgaben (ET), darunter eine Berechnungsaufgabe (PC), und Mittel zur Verwaltung (GE) der Aufgabenausführung, dadurch gekennzeichnet, daß die Mittel zur Verwaltung (GE) Mittel zum Aktivieren (APC) der Berechnungsaufgabe (PC) während der Wartezeiten der anderen aktiven Aufgabe(n) auf der Mikroschaltung umfassen.
Mikroschaltung nach Anspruch 5, dadurch gekennzeichnet, daß die Mittel zur Aufgabenausführung (ET) einen Mikroprozessor (UC), einen Programmspeicher (M1), der das Programm zur Verwaltung der Aufgabenausführung umfaßt, und einen Spei cher (M3) für Anwendungsprogramme, der die ausführbare(n) Aufgabe(n) in Form eines oder mehrerer Anwendungsprogramme umfaßt, umfassen.
Mikroschaltung nach Anspruch 6, dadurch gekennzeichnet, daß die Mittel zur Aufgabenausführung (ET) außerdem eine Schaltung zur kryptografischen Berechnung (CP) umfassen.
Mikroschaltung nach einem der Ansprüche 5 bis 7, dadurch gekennzeichnet, daß die Mittel zur Aufgabenausführung (ET) geeignet sind, um Exponentierungsberechnungen auszuführen.
Mikroschaltung nach einem der Ansprüche 5 bis 8, dadurch gekennzeichnet, daß die Mittel (APC) zur Aktivierung der Berechnungsaufgabe eine Schaltung zur Verarbeitung (O) der Ein-/Ausgänge der Karte bzw. darauf umfassen, die in der Lage ist, die Mittel zur Aufgabenausführung (ET) zu aktivieren, wenn die Verarbeitungsschaltung (O) auf einen Eingang oder einen Ausgang wartet.
Mikroschaltung nach einem der Ansprüche 5 bis 9, dadurch gekennzeichnet, daß sie Mittel zum Speichern (M3) der Ergebnisse der Berechnungen umfaßt.
Karte mit berührungsloser Mikroschaltung, dadurch gekennzeichnet, daß sie eine Mikroschaltung nach einem der Ansprüche 5 bis 10 umfaßt.
Karte mit berührungsloser Mikroschaltung, dadurch gekennzeichnet, daß sie eine Mikroschaltung nach einem der Ansprüche 5 bis 10 umfaßt.
Karte mit Mikroschaltung, die mit oder ohne Berührung funktioniert, dadurch gekennzeichnet, daß sie eine Mikroschaltung nach einem der Ansprüche 5 bis 10 umfaßt.