專利名稱：保護(hù)電子芯片免受欺騙的公鑰加密方法
技術(shù)領(lǐng)域：
本發(fā)明涉及密碼技術(shù)領(lǐng)域。具體地，本發(fā)明涉及芯片與應(yīng)用方之間的交易中保護(hù)電子芯片免受欺騙的加密方法。
本發(fā)明可有利地得到應(yīng)用，即它允許保護(hù)具有布線邏輯的集成電路的芯片或微處理機(jī)的芯片以防止其詐用，尤其是保護(hù)裝設(shè)在可在各種交易中使用的預(yù)付費卡上的芯片，這些交易例如為建立電話通信，支付自動售貨機(jī)中的物品，根據(jù)停車計時器收費的停車位，支付如公共交通或使用公共基礎(chǔ)設(shè)施(通行稅，博物館，圖書館，…)的服務(wù)。
背景技術(shù)：
當(dāng)前，預(yù)付費卡易于受到不同類型的欺騙使用。第一類的欺騙包括未經(jīng)授權(quán)的復(fù)制卡，“克隆”一詞常常被用來表征這種操作。第二類的欺騙包括修改屬于卡的數(shù)據(jù)、尤其是登在卡中的總信貸金額。為了與詐用作斗爭，將借助于加密，一方面通過鑒別來保證卡的證實和/或通過數(shù)字簽名來保證數(shù)據(jù)的證實，及另一方面通過譯成密碼以保證必要時的數(shù)據(jù)機(jī)密。加密涉及兩個實體，即一個鑒別情況下的驗證方及一個被驗證體，及該加密可為對稱的，或不對稱的。當(dāng)它是“對稱”(或“使用密鑰”，這兩個詞語互換)時，兩個實體真正分享相同信息、尤其是一個密鑰。當(dāng)它是不對稱(或“使用公鑰”，這兩個詞語互換)時，這兩個實體之一具有一對鑰，其中一個為密鑰，另一個為公鑰；不具有密鑰的分享。在許多系統(tǒng)中，尤其當(dāng)芯片為“布線邏輯電路”類型時，僅是對稱加密被預(yù)付費卡使用，因為不對稱加密太慢及昂貴。為對稱加密開發(fā)的鑒別的主要機(jī)制包括一次性地計算一個鑒別值，該值對于每個卡不同；將該鑒別值存儲到卡的存儲器中；在每次交易時讀出它及通過詢問支持交易的網(wǎng)絡(luò)的一個應(yīng)用方來驗證該值，在此已被賦予的鑒別值被存儲或被再計算。該機(jī)制提供的保護(hù)仍不充分，因為鑒別值可被人窺探，被復(fù)制及再被欺詐地使用，這是由于對于一種給定卡鑒別值總是相同的，由此能夠?qū)崿F(xiàn)該卡的“克隆”。為了防止該復(fù)制，卡的被動鑒別機(jī)制被主動鑒別機(jī)制取代，該主動鑒別機(jī)制還可保證數(shù)據(jù)的完整性。
主動對稱鑒別機(jī)制的主要原理如下當(dāng)鑒別時，電子芯片及應(yīng)用方計算一個鑒別值，該值是對每次鑒別所確定的一個變元(argument)表施加一個函數(shù)的結(jié)果值；該變元表可包括一個隨機(jī)數(shù)，該隨機(jī)數(shù)是在每次鑒別時由應(yīng)用方確定的一個數(shù)據(jù)元素；包含在電子芯片中的數(shù)據(jù)元素及電子芯片與應(yīng)用方均已知的秘密密鑰。當(dāng)由電子芯片計算的鑒別值與應(yīng)用方計算的鑒別值相同時，該電子芯片被判斷為真實的及電子芯片與應(yīng)用方之間的交易被授權(quán)。
這種鑒別機(jī)制已被廣泛地公知，但大部分需要的計算能力至少等于一個微處理機(jī)所擁有的計算能力。因此，該機(jī)制適合于微處理機(jī)，但很難適合具有硬布線邏輯電路的芯片，后者設(shè)有過于基本的計算裝置。
當(dāng)對稱主動鑒別機(jī)制能夠結(jié)合在具有布線邏輯電路的芯片中時，就已邁出了第一步。例如，在2002年12月27日以申請?zhí)朏R 2826531公開的法國專利申請中描述了詳細(xì)說明該機(jī)制的一個方法。應(yīng)注意到，正如所述法國專利申請所指導(dǎo)的，由該機(jī)制產(chǎn)生的鑒別值也可被解釋為通過改變至少一個輸入?yún)?shù)的一個偽隨機(jī)位序列，及由此該鑒別值計算方法變成了一個偽隨機(jī)位的發(fā)生方法。
然而，該使用密鑰的機(jī)制要求負(fù)責(zé)芯片鑒別的驗證裝置-如設(shè)置在公共電話、電子付費終端或公共交通入口中的驗證裝置-必需知道所述芯片所持有的密鑰。由此帶來一個較大的缺點，即，如果希望所述裝置能夠鑒別被發(fā)行的與應(yīng)用方相關(guān)地的任何芯片，該裝置應(yīng)存儲所有這些芯片的密鑰，或應(yīng)存儲一個基本鑰、主鑰或母鑰，以便能確定任何芯片的秘密密鑰。在這兩種情況下，每個這樣的裝置將存儲足夠的信息，以便能夠再求得所有被發(fā)行的芯片的秘密密鑰，由此也就存儲了能夠制造它們中任何芯片的復(fù)制品的足夠信息。因此，對付任何這樣的裝置的成功入侵將會摧毀應(yīng)用方整體的安全性。

發(fā)明內(nèi)容
因此存在著一個緊迫的需要，即應(yīng)能將使用公鑰的主動鑒別機(jī)制納入具有布線邏輯電路的芯片中、尤其是使用大量芯片的應(yīng)用中，這通常是指使用具有布線邏輯電路的芯片的應(yīng)用場合，因為它非常地便宜。不過這樣的機(jī)制目前還不存在。其原因是使用公鑰的機(jī)制通常需要對大數(shù)目進(jìn)行大量運算，及由此它不適合納入具有布線邏輯電路的芯片，在該芯片中硅的表面積很小，及它的計算邏輯縮減到極其基本的運算布線。這些基本運算通常是串行地執(zhí)行的，意即其操作數(shù)是一位接一位順序地引入的，這種引入方式累進(jìn)地改變內(nèi)部寄存器的狀態(tài)，該寄存器的最終值作為計算函數(shù)結(jié)果的基數(shù)。
本發(fā)明涉及使用公鑰主動鑒別機(jī)制，它可以使用在具有布線邏輯電路的芯片中。
更確切地，本發(fā)明涉及一種在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的加密方法，尤其適用于具有布線邏輯電路的芯片，及尤其旨在設(shè)置一種鑒別機(jī)制，它沒有上述對稱加密的缺點，以便在整體上使應(yīng)用方的安全性得以增強(qiáng)，并尤其使復(fù)制更難產(chǎn)生。
為此目的，本發(fā)明給出一種在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該方法包括，在電子芯片中根據(jù)輸入?yún)?shù)計算一個鑒別值V，所述方法包括下列步驟-芯片借助包括在該芯片中的串行偽隨機(jī)發(fā)生器產(chǎn)生一個適用于該交易的偽隨機(jī)數(shù)r，-芯片向應(yīng)用方發(fā)送一個參數(shù)x，該參數(shù)由應(yīng)用方在交易前事先計算并通過數(shù)學(xué)關(guān)系與隨機(jī)數(shù)r相關(guān)聯(lián)，及被存儲在芯片的數(shù)據(jù)存儲器中，-芯片借助一個串行函數(shù)計算一個參數(shù)y，作為該函數(shù)的輸入?yún)?shù)至少為專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰(s，p)的一個私鑰p，該參數(shù)y構(gòu)成鑒別值V的全部或一部分，-芯片向應(yīng)用方發(fā)送一個鑒別值V，及-應(yīng)用方借助一個驗證函數(shù)來驗證所述鑒別值V，該驗證函數(shù)的輸入?yún)?shù)僅包括至少包含公鑰p的公共參數(shù)。
為此目的，本發(fā)明還給出一種電子芯片裝置，通過電子芯片根據(jù)輸入?yún)?shù)計算一個鑒別值V，它能夠?qū)嵤└鶕?jù)本發(fā)明的、在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該裝置包括-一個串行偽隨機(jī)發(fā)生器，產(chǎn)生一個專用于該交易的隨機(jī)數(shù)r，-第一存儲裝置，在其中存儲至少一個x的值，該參數(shù)x的值在交易前事先由應(yīng)用方計算及通過一個數(shù)學(xué)關(guān)系與隨機(jī)數(shù)r的值相關(guān)聯(lián)，
-從電子芯片向應(yīng)用方發(fā)送與專用于交易的隨機(jī)數(shù)r相關(guān)聯(lián)的參數(shù)x的發(fā)送裝置，-實現(xiàn)串行函數(shù)的裝置，作為該函數(shù)的輸入?yún)?shù)至少具有專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的一個私鑰s，及提供一個參數(shù)y作為輸出，-用于至少由參數(shù)y構(gòu)成鑒別值V的輸出裝置。
為此目的，本發(fā)明還給出一種驗證裝置，它用于實施根據(jù)本發(fā)明目的的、在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該方法包括驗證由電子芯片根據(jù)專一公共參數(shù)計算的鑒別值V。該裝置包括用于執(zhí)行該校驗函數(shù)的裝置，該函數(shù)至少采用鑒別值V及公鑰P作為輸入。
根據(jù)本發(fā)明的方法的優(yōu)點是，允許僅借助公共參數(shù)產(chǎn)生可驗證的鑒別值V，該公共參數(shù)僅由串行函數(shù)產(chǎn)生，這就是說，這種函數(shù)順序地處理構(gòu)成其輸入的參數(shù)的各位。
該加密方法及裝置的輸入?yún)?shù)以串行函數(shù)的方式被處理，該函數(shù)在其輸出上提供與輸入?yún)?shù)全部或一部分相關(guān)的數(shù)據(jù)元素作為其輸出。
該方法及裝置的輸入?yún)?shù)屬于一個表，在使用該鑒別機(jī)制的情況下，該表包括至少一個識別號I，一個私鑰s，與該私鑰s相對應(yīng)的公共密鑰p，該公鑰的一個證書，由驗證裝置提供的第二隨機(jī)數(shù)t。
用于計算隨機(jī)數(shù)r的串行偽隨機(jī)發(fā)生器可有利地基于上述在2002年12月27日以申請?zhí)朏R 2826531公開的法國專利申請中所述類型的對稱鑒別方法。由此，如果用f(K，M)表示這種方法的計算函數(shù)，其中符號K表示對稱密鑰及M表示函數(shù)f的其它操作數(shù)的集合，則隨機(jī)數(shù)r可通過將不同的值M重復(fù)代入該函數(shù)f并保持同一值K來產(chǎn)生。作為一個例子，如果f的輸出值z的字長等于k比特及如果隨機(jī)數(shù)r的字長等于16k比特，在芯片第一次鑒別時使用的第一隨機(jī)數(shù)r被選擇為16個輸出值f(K，M1)，f(K，M2)，…，f(K，M16)的關(guān)聯(lián)量(concatenation)，第二隨機(jī)數(shù)被選擇為16個輸出值f(K，M17)，f(K，M18)，…，f(K，M32)的關(guān)聯(lián)量等，所有的值Mi彼此不同(典型地，值Mi+1由增加值Mi獲得)。有很多使用鑒別方法的方式用于偽隨機(jī)產(chǎn)生。
串行函數(shù)括加法，減法及向左或向右的移位運算。實際上，這些運算可非常簡單地以順序方式實現(xiàn)。


通過以下參照附圖對以非限制性例子給出的優(yōu)選實施形式所作出的說明將闡明本發(fā)明的其它特征及優(yōu)點。
圖1是根據(jù)本發(fā)明的方法的一個流程圖；圖2是根據(jù)本發(fā)明的電子芯片裝置的示意圖；圖3是用于本發(fā)明的電子芯片裝置的偽隨機(jī)發(fā)生器一個例子的示意圖；圖4是用于執(zhí)行本發(fā)明的電子芯片裝置的串行函數(shù)的裝置的實施例的示意圖。
具體實施例方式
圖1表示根據(jù)本發(fā)明的保護(hù)電子芯片在應(yīng)用方與該電子芯片之間的交易中以防欺騙的不對稱加密方法的流程圖。
該方法包括，在電子芯片中根據(jù)輸入?yún)?shù)計算一個鑒別值。
在第一步驟1中，該方法包括借助包括在芯片中的串行偽隨機(jī)發(fā)生器由芯片產(chǎn)生一個偽隨機(jī)數(shù)r。該隨機(jī)數(shù)r專用于該交易。
在第二步驟2中，該方法包括由芯片向應(yīng)用方發(fā)送一個參數(shù)x。該參數(shù)x在交易前事先被應(yīng)用方計算及被存儲在芯片的數(shù)據(jù)存儲器中。該參數(shù)x與隨機(jī)數(shù)r通過一個數(shù)學(xué)關(guān)系相關(guān)聯(lián)。應(yīng)用方計算至少一個參數(shù)x，最好它計算多個參數(shù)。根據(jù)一個特別的實施例，這些參數(shù)x是將一個數(shù)學(xué)函數(shù)應(yīng)用于從一個給定芯片的給定數(shù)集中相繼取得的值的結(jié)果。該數(shù)集是這樣的，由芯片產(chǎn)生的隨機(jī)數(shù)r的不同值可包括在該數(shù)集中。
由此，使隨機(jī)數(shù)r與參數(shù)x相關(guān)聯(lián)的數(shù)學(xué)函數(shù)典型地是數(shù)集G中的指數(shù)函數(shù)，其設(shè)有一個至少具有相聯(lián)特性及以乘法形式表示的運算，即該函數(shù)為x＝gr，式中r表示一個整數(shù)及g為由應(yīng)用方預(yù)先選擇的所述集合G的一個元素。
偽隨機(jī)數(shù)r是對于每個芯片及對于每次鑒別是均不同的。它被計算兩次第一次被應(yīng)用方，第二次被芯片本身。在計算了r后，應(yīng)用方計算相應(yīng)的x。然后應(yīng)用方在定制芯片時將至少一個x值存儲在芯片中。有利地，應(yīng)用方存儲多個x值。由于應(yīng)用方及芯片應(yīng)產(chǎn)生相同的值r，當(dāng)然需要應(yīng)用方的偽隨機(jī)發(fā)生器與芯片的偽隨機(jī)發(fā)生器嚴(yán)格地相同。
有利地，對于與應(yīng)用方相關(guān)聯(lián)的所有芯片，g可以是是相同的或可為芯片專用。在后一情況下，g為電子芯片的公鑰p的組成部分。集合G的典型例子是小于n及與n互為素數(shù)的正整數(shù)或零的一個群Zn*，n表示任一正整數(shù)，或是，在一個有限體上構(gòu)成的任一橢圓曲線。
在第三步驟3中，該方法包括由芯片借助一個串行函數(shù)計算一個參數(shù)y，該函數(shù)的輸入?yún)?shù)至少為專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的私鑰s，該參數(shù)y構(gòu)成鑒別值V的全部或一部分。該串行函數(shù)由一個算術(shù)函數(shù)組成。
在第四步驟4中，該方法包括芯片向應(yīng)用方發(fā)送該鑒別值V。
在第五步驟5中，該方法包括由應(yīng)用方借助一個驗證函數(shù)來驗證所述鑒別值V，該驗證函數(shù)的輸入?yún)?shù)僅是公共參數(shù)并至少包含公鑰p。
圖2概要地表示一個根據(jù)本發(fā)明的電子芯片裝置。該電子芯片裝置能夠使用根據(jù)本發(fā)明的、在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該方法包括由電子芯片根據(jù)輸入?yún)?shù)計算一個鑒別值V。
該裝置6包括-一個串行偽隨機(jī)發(fā)生器7，它產(chǎn)生一個專用于交易的隨機(jī)數(shù)r，-第一存儲裝置8，在其中存儲一個或多個在交易前事先由應(yīng)用方計算的參數(shù)x，每個參數(shù)x以相同的數(shù)學(xué)關(guān)系與包括在數(shù)值的集合中的一個隨機(jī)數(shù)r值相關(guān)聯(lián)，該集合的數(shù)值可由串行偽隨機(jī)發(fā)生器產(chǎn)生，-提供與專用于交易的隨機(jī)數(shù)r相關(guān)聯(lián)的參數(shù)x的第一輸出裝置9，-執(zhí)行串行函數(shù)的裝置10，作為該函數(shù)的輸入?yún)?shù)至少具有專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的一個私鑰s，該參數(shù)y構(gòu)成鑒別值V的全部或一部分，-在由至少參數(shù)y構(gòu)成鑒別值后，提供該鑒別值V的第二輸出裝置9。
在參照圖2所列舉及描述的例子中，串行偽隨機(jī)發(fā)生器7是使用對稱鑒別方法，該類型的方法被描述在2002年12月27日公開的上述法國專利申請?zhí)朏R 2826531中。于是，如果用f(K，M)表示該方法的計算函數(shù)，其中符號K表示對稱密鑰及M表示函數(shù)f的其它操作數(shù)的集合，則通過重復(fù)地向不同的值M施加該函數(shù)f并保持同一值K來產(chǎn)生隨機(jī)數(shù)r。作為一個例子，如果f的輸出值z的大小等于k比特及如果隨機(jī)數(shù)r的大小等于16k比特，在芯片第一次鑒別時使用的第一隨機(jī)數(shù)r被選擇為16個輸出值f(K，M1)，f(K，M2)，…，f(K，M16)的關(guān)聯(lián)量，第二隨機(jī)數(shù)被選擇為16個輸出值f(K，M17)，f(K，M18)，…，f(K，M32)的關(guān)聯(lián)量等，所有的值Mi彼此不同。
圖3概要地表示這種串行偽隨機(jī)發(fā)生器6。該發(fā)生器包括用于混合所有或部分輸入?yún)?shù)以在輸出上提供由上述混合產(chǎn)生的一個數(shù)據(jù)元素E’＝(e’1，e’2，…，e’n，…，e’N)的混合裝置12；一個按照一個函數(shù)從舊狀態(tài)變到新狀態(tài)的有限狀態(tài)的自動裝置13，其中該函數(shù)取決于至少該舊狀態(tài)與來自比特序列(e’1，e’2，…，e’n，…，e’N)中的一個值；根據(jù)包括自動裝置的至少一個狀態(tài)的輸入變元來計算值z及然后通過執(zhí)行16個相繼輸出值f(K，M1)，f(K，M2)，…，f(K，M16)的關(guān)聯(lián)來確定選擇的隨機(jī)數(shù)r的值的輸出裝置14?；旌涎b置12的輸入?yún)?shù)可在一個非窮盡的表中取出，該表包括一個密鑰K，芯片的內(nèi)部數(shù)據(jù)D，數(shù)據(jù)D的存儲器地址，芯片的外部數(shù)據(jù)D’，由應(yīng)用方提供的一個隨機(jī)數(shù)R’。
混合裝置12執(zhí)行混合函數(shù)MIX，該函數(shù)可為輸入數(shù)據(jù)的線性或非線性函數(shù)。
線性函數(shù)的第一例包括執(zhí)行輸入數(shù)據(jù)之間的標(biāo)量積。
根據(jù)使用線性函數(shù)的另一例，該混合裝置包括一個線性反饋移位寄存器，在其中相繼地輸入輸入?yún)?shù)的位及影響寄存器的初始狀態(tài)和/或反饋位的值。
根據(jù)使用非線性函數(shù)的一個例子，該混合裝置包括一個非線性反饋移位寄存器，在其中相繼地輸入輸入?yún)?shù)的各位。輸出值S’可由從寄存器內(nèi)容中提取的一個或多個位組成。
自動裝置13 AUT的第一例包括使用布爾邏輯電路，將k+1位的矢量(A1，A2，…Ak+1)與k位的矢量(A’1，A’2，…A’k)相關(guān)，其中每個位A’i由位(A1，A2，…Ak+1)借助基本運算如“異或”、“或”、“與”、“非”得到，及其中(A1，A2，…Ak)代表自動裝置的舊狀態(tài)。該自動裝置具有一個k位(A1，A2，…Ak)的內(nèi)部狀態(tài)及每當(dāng)一個新矢量(A1，A2，…Ak，S’e’)出現(xiàn)在布爾邏輯電路的輸入端上時輸出一個新狀態(tài)(A’1，A’2，…A’k)，該新矢量由內(nèi)部狀態(tài)及混合函數(shù)MIX的輸出組成。
自動裝置13的第二例包括使用由數(shù)值表確定的位轉(zhuǎn)換。在k＝8的情況下，例如可將一個字節(jié)(A1，A2，…A8)分成兩個四位(A1，A2，A3，A4)及(A5，A6，A7，A8)，然后當(dāng)混合函數(shù)的輸出比特值E’e’為零時對每個四位施加T變換，或當(dāng)值E’e’為1時對每個四位施加U變換。T變換由將每個四位值(a，b，c，d)與四位值(a’，b’，c’，d’)相關(guān)的一個表確定。對于U變換也相同。
當(dāng)所有的輸入值均被處理時，自動裝置13處于一個確定的最后狀態(tài)(F1，F(xiàn)2，…，F(xiàn)k)。
串行偽隨機(jī)發(fā)生器的輸出裝置14典型地使用一個輸出函數(shù)，該函數(shù)是施加于自動裝置的最后狀態(tài)的恒等函數(shù)及關(guān)聯(lián)運算。該裝置14包括一個其大小等于隨機(jī)數(shù)r字長如16k位的存儲區(qū)域。
用于存儲一個或多個參數(shù)x的第一存儲裝置8典型地由一個非易失性類型的存儲器組成，在需要時它可被改寫。在電子芯片出售前參數(shù)x被寫入到該存儲器中。選擇用于參數(shù)x計算的隨機(jī)數(shù)r的值，以便芯片也能準(zhǔn)確地再計算該值。在參照圖2描述的串行偽隨機(jī)發(fā)生器的例中，這意味著密鑰k被芯片及應(yīng)用方共享。并且在發(fā)售芯片前，應(yīng)用方通過重復(fù)地應(yīng)用鑒別方法(其中計算函數(shù)為如上所述f)來計算一定數(shù)目的x值，并將這些值存儲在芯片的數(shù)據(jù)存儲器中。對于每次鑒別，芯片重新計算隨機(jī)數(shù)r及在數(shù)據(jù)存儲器中讀出與它對應(yīng)的參數(shù)x的值。在參照圖2描述的串行偽隨機(jī)發(fā)生器的例中，r與x之間的對應(yīng)性通常是通過對于M1的值選擇一個用于確定與特定值r對應(yīng)的x值地址的信息來建立的，對于i大于或等于0的Mi+1的值是通過增加Mi的值獲得的。
為了節(jié)省存儲器空間，參數(shù)x可優(yōu)選地選擇為等于由散列函數(shù)h產(chǎn)生的元素gr(也可能用其它的元素，如應(yīng)用方數(shù)據(jù))的象點(image)，而不是該元素本身，這就是說，x＝h(gr，D)，其中D表示包括例如與應(yīng)用方相關(guān)的數(shù)據(jù)的選擇域。例如，D表示由應(yīng)用方確定的以歐元為單位的金額。在此情況下，每個分值代表一個電子貨幣，及每次鑒別代表該個貨幣的支出。
輸出與專用于交易的隨機(jī)數(shù)r相關(guān)聯(lián)的參數(shù)x的第一輸出裝置9典型為一個輸入/輸出緩沖器。
執(zhí)行串行函數(shù)的裝置10的一個例子將參照圖4描述。作為串行函數(shù)的輸入?yún)?shù)為隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的一個私鑰p。密鑰p為公鑰。
裝置10由一個進(jìn)行計算及考慮進(jìn)位的位加法器組成。
r的當(dāng)前位ri的值被獲取在第一寄存器15中，s的當(dāng)前位si的值被獲取在第二寄存器16中。第三寄存器17獲取由上述位相加產(chǎn)生的進(jìn)位ci。最后，第四寄存器18獲取當(dāng)前位ri與si的值以及在先相加時獲得的進(jìn)位相加后獲得的位yi，其中該進(jìn)位相應(yīng)于第三寄存器的17的內(nèi)容。進(jìn)位ci是通過考慮在相加先前位(AND(與)門19的輸出，其輸入是前兩個寄存器15、16的輸出)產(chǎn)生的進(jìn)位與在相加當(dāng)前位(AND門20的輸出，其輸入是當(dāng)前位ri與si的值)產(chǎn)生的進(jìn)位所得到的。如果進(jìn)位是在相加先前位時產(chǎn)生的并且僅當(dāng)當(dāng)前位之一為1時，中間AND門21產(chǎn)生一個進(jìn)位，在異或門22的輸出處，其輸入是這些當(dāng)前位的值。
因此，進(jìn)位ci是中間AND門元件21的輸出及AND門元件20的輸出之間的一個“或”運算23的結(jié)果，AND門元件20的輸入為當(dāng)前位ri及si的值。該進(jìn)位ci被捕獲在第三寄存器17中，以便當(dāng)下一位ri及si相加時再考慮。
位yi通過當(dāng)前位ri及si的值(在異或門元件22的輸出處，其輸入是當(dāng)前位ri及si的值)與進(jìn)位值(在異或門元件24的輸出處，其輸入是前面異或門元件22的輸出及第三寄存器17的輸出)的相加得到的。
寄存器15，16，17，18的輸出被初始化為0。
最后產(chǎn)生yi＝ri+si+ci(mod2)及ci+1＝ri+si+ci(div2)，其中c0被選擇為等于0。
在一個特定的應(yīng)用中，串行函數(shù)還具有一個由應(yīng)用方提供的隨機(jī)數(shù)t形式的輸入?yún)?shù)。
當(dāng)芯片根據(jù)參照圖2所述的方法產(chǎn)生出一個隨機(jī)數(shù)r后，并隨后在其數(shù)據(jù)存儲器中讀出與所述隨機(jī)數(shù)相應(yīng)的參數(shù)x的值(例如通過函數(shù)x＝gr)，芯片向應(yīng)用方發(fā)送該x值，此后應(yīng)用方對芯片發(fā)送一個隨機(jī)數(shù)t，該隨機(jī)數(shù)的字長被縮減到1位。
因此將出現(xiàn)兩種情況，如果t的值等于0，芯片選擇y＝r。如果t的值等于1，芯片選擇y＝r+s。如何實施該選擇是熟練技術(shù)人員公知的及由此不再贅述。
鑒別值V被取成等于y，及被發(fā)送給應(yīng)用方。
該驗證包括檢驗方程gy＝x，如果t等于0；或gy＝xp，如果t等于1；式中p為芯片的與其密鑰s相應(yīng)的公鑰，并由函數(shù)p＝gs確定。如果這些參數(shù)被選擇得足夠大，則利用作為當(dāng)前通常采取的離散對數(shù)假設(shè)，由g及p求解s是不可行的。
在一個特定的應(yīng)用中，散列函數(shù)h可用于x的計算。在此情況下，驗證方程變?yōu)閔(gy，D)＝x，如果t等于0；或h(gy/p，D)＝x，如果t等于1。為了避免驗證方程中的任何除法(division)，也可選擇y＝r-s，而非y＝r+s，在此情況下，第二驗證方程變?yōu)閔(gy.p，D)＝x。另一可能性是選擇p＝g-s，而非p＝gs，這導(dǎo)致如下的驗證方程h(gy，D)＝x及h(gy.p，D)＝x。
在上述的實施例中，除了已知s值的芯片之外，任何其它芯片在兩次提供被應(yīng)用方確認(rèn)有效的鑒別值時至多具有一次機(jī)會。這就允許在真正的與復(fù)制的芯片之間建立區(qū)別，但該區(qū)別在大多數(shù)實際應(yīng)用的情況下顯得不足。
為了顯著減小復(fù)制成功的可能性，一個方案包括增加隨機(jī)數(shù)t的位數(shù)m。例如隨機(jī)數(shù)t被選擇為等于64位串(t63，t62，…，t0)，其中僅一個位等于1。如果i為ti等于1的唯一的下標(biāo)，則y的值可選擇為等于y＝r+2is。該值很容易按順序計算，因為其表示為將r與通過將s左移I個位而獲得的整數(shù)相加(假設(shè)高位處于左邊)。驗證方程則為gy=xp2i.]]>在此情況下，除了已經(jīng)知道密值s的芯片外，任何其它芯片至多具有64種提供被鑒別方確認(rèn)有效的鑒別值中的一種可能機(jī)會。
在一個特定的應(yīng)用中，散列函數(shù)h可用于x的計算。在此情況下，驗證方程變?yōu)閔(gy/p2i,D)=x.]]>為了避免驗證方程中的任何除法，也可選擇y＝r-2is，而非y＝r+2is，在此情況下，第二驗證方程變?yōu)閔(gy·p2i,D)=x.]]>另一可能性是選擇p＝g-s，而非p＝gs，這導(dǎo)致如下的驗證方程h(gy·p2i,D)=x.]]>對于該所述方案，出于同樣的安全觀點，對于t的值將選擇一個包括在0與m-1之間的整數(shù)取代如上面確定的串t，y則等于y＝r+2ts及驗證方程為gy=xp2i.]]>在一個特定的應(yīng)用中，散列函數(shù)h可用于x的計算。在此情況下，驗證方程變?yōu)?為了避免驗證方程中的任何除法，也可選擇y＝r-2ts，而非y＝r+2ts，在此情況下，第二驗證方程變?yōu)閔(gy·p2i,D)=x.]]>另一可能性是選擇p＝g-s，而非p＝gs，這導(dǎo)致如下的驗證方程h(gy·p2i,D)=x.]]>也出于同樣的安全觀點，對于t的值將選擇一個包括在0與m-1之間的整數(shù)取代如上面確定的串t，y則等于y＝r+ts及驗證方程為gy＝xpt。
在一個特定的應(yīng)用中，散列函數(shù)h可用于x的計算。在此情況下，驗證方程變?yōu)閔(gy/pt，D)＝x。為了避免驗證方程中的任何除法，也可選擇y＝r-ts，而非y＝r+ts，在此情況下，第二驗證方程變?yōu)閔(gy.pt，D)＝x。另一可能性是選擇p＝g-s，而非p＝gs，這導(dǎo)致如下的驗證方程h(gy.pt，D)＝x。
當(dāng)然，隨機(jī)數(shù)t也可取其它值。
鑒別值V的第二輸出裝置9使用的函數(shù)典型為應(yīng)用于參數(shù)y的恒等函數(shù)。該裝置9包括一個存儲器區(qū)域，其字長例如等于參數(shù)y的大小。
當(dāng)在應(yīng)用方與電子芯片之間交易時，應(yīng)用方及芯片使用不對稱加密方法來保護(hù)電子芯片免受欺騙，其中在該方法中，應(yīng)用方借助根據(jù)本發(fā)明的一個驗證裝置來驗證芯片。該裝置包括一個執(zhí)行根據(jù)本發(fā)明方法的驗證功能的裝置，以驗證電子芯片僅利用公共參數(shù)計算的鑒別值V，其中該公共參數(shù)至少包括鏈接到該芯片的密鑰s的公鑰p。
根據(jù)上述的本發(fā)明方法的一個實施形式，該驗證裝置將由應(yīng)用于鑒別值V的數(shù)學(xué)函數(shù)提供的結(jié)果(gy)與x值或與與對應(yīng)于其秘密密鑰s的芯片公鑰p的乘積(xp)進(jìn)行對比，作為參數(shù)t值的函數(shù)，其中y等于鑒別值V及p為對應(yīng)于其密鑰s的芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
該裝置典型為一個計算機(jī)。
權(quán)利要求
1.一種在應(yīng)用方與硬布線電子邏輯芯片之間的交易中保護(hù)該電子芯片免受欺騙的不對稱加密方法，該方法包括在電子芯片中利用輸入?yún)?shù)計算一個鑒別值V，所述方法包括下列步驟-1)芯片借助包括在該芯片中的串行偽隨機(jī)發(fā)生器產(chǎn)生一個專用于該交易的偽隨機(jī)數(shù)r，-2)芯片向應(yīng)用方發(fā)送一個參數(shù)x，該參數(shù)由應(yīng)用方在交易前事先計算并通過數(shù)學(xué)關(guān)系與隨機(jī)數(shù)r相關(guān)聯(lián)，及被存儲在芯片的數(shù)據(jù)存儲器中，-3)芯片借助一個串行函數(shù)計算一個參數(shù)y，作為該函數(shù)的輸入?yún)?shù)至少是專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的一個私鑰s，該參數(shù)y構(gòu)成鑒別值V的全部或一部分，-4)由芯片向應(yīng)用方發(fā)送該鑒別值V，及-5)應(yīng)用方借助一個驗證函數(shù)來驗證所述鑒別值V，該驗證函數(shù)的輸入?yún)?shù)僅由至少包含公鑰p的公共參數(shù)構(gòu)成。
2.根據(jù)權(quán)利要求1的方法，其中專用于交易的隨機(jī)數(shù)r的產(chǎn)生包括-借助一個混合函數(shù)混合輸入?yún)?shù)的全部或一部分及在混合函數(shù)的輸出上提供一個位序列，-根據(jù)至少取決于一個舊狀態(tài)及該位序列中的一個值的函數(shù)，將有限狀態(tài)自動裝置的狀態(tài)從該舊狀態(tài)向一個新狀態(tài)改變，-借助一個輸出函數(shù)確定一個隨機(jī)位序列，以便形成隨機(jī)數(shù)r的全部或一部分，其中該輸出函數(shù)的輸入變元包括該自動裝置的至少一個狀態(tài)。
3.根據(jù)權(quán)利要求2的方法，其中一個輸入?yún)?shù)由一個密鑰K組成，該密鑰在芯片與應(yīng)用方之間被分享及被存儲在芯片的受保護(hù)的存儲區(qū)域中。
4.根據(jù)權(quán)利要求1或2的方法，其中數(shù)學(xué)關(guān)系為元素g的一個數(shù)集G中設(shè)有至少帶有相聯(lián)屬性的運算的函數(shù)gr。
5.根據(jù)權(quán)利要求4的方法，其中數(shù)集G是小于n及與n互為素數(shù)的正整數(shù)或零的一個群Zn*。
6.根據(jù)權(quán)利要求4的方法，其中數(shù)集G是在任何有限體上構(gòu)成的任一橢圓曲線。
7.根據(jù)權(quán)利要求1或2的方法，其中串行函數(shù)是執(zhí)行一個表中的多個運算的算術(shù)函數(shù)，這些運算包括加法，減法及左移位或右移位。
8.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)僅執(zhí)行加法運算。
9.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)僅執(zhí)行減法運算。
10.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)輸入變元還包括輸入?yún)?shù)，及該算術(shù)函數(shù)根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算之一y＝r及y＝r+s。
11.根據(jù)權(quán)利要求10的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)根據(jù)參數(shù)t的值將通過應(yīng)用數(shù)學(xué)函數(shù)給鑒別值V而獲得的結(jié)果與x值或x值與對應(yīng)于其密鑰s的芯片公鑰p的乘積進(jìn)行比較，該比較用于根據(jù)參數(shù)t的值檢驗以下方程之一gy＝x及gy＝xp，y等于鑒別值V及p為對應(yīng)于其密鑰s的芯片的公鑰，由函數(shù)p＝gs限定。
12.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及包括根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算y＝r與y＝r-s。
13.根據(jù)權(quán)利要求12的方法，其中數(shù)學(xué)方程包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)根據(jù)參數(shù)t的值將通過應(yīng)用數(shù)學(xué)方程給鑒別值V所獲得的結(jié)果與x值或x值與對應(yīng)于其秘密密鑰s的芯片公鑰p的乘積進(jìn)行比較，該比較用于根據(jù)參數(shù)t的值檢驗以下方程gy＝x及gy.p＝x，y等于鑒別值V及p為芯片的公鑰，該公鑰對應(yīng)于其秘密密鑰s，并由函數(shù)p＝gs限定。
14.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及包括根據(jù)由應(yīng)用方賦予串行函數(shù)的輸入?yún)?shù)t執(zhí)行下列運算y＝r+2is，該參數(shù)t包括m位(tm-1，…，t0)的一個串，其中僅一個位ti等于1，m為一個自然整數(shù)。
15.根據(jù)權(quán)利要求14的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)根據(jù)參數(shù)t的值測試以下方程gr=xp2i,]]>y等于鑒別值V及p為對應(yīng)于其秘密密鑰s的芯片公鑰，該公鑰由函數(shù)p＝gs限定。
16.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及包括根據(jù)應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)的值執(zhí)行下列運算y＝r+2ts。
17.根據(jù)權(quán)利要求16的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)測試以下方程gr=xp2′,]]>y等于鑒別值V及p為對應(yīng)于其秘密密鑰s的芯片公鑰，該公鑰由函數(shù)p＝gs限定。
18.根據(jù)權(quán)利要求7的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及包括根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)的值執(zhí)行下列運算y＝r+ts，t為一個整數(shù)。
19.根據(jù)權(quán)利要求18的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)根據(jù)參數(shù)t的值將由應(yīng)用于鑒別值V的函數(shù)所提供的結(jié)果與x值或x值與對應(yīng)于其秘密密鑰s的芯片公鑰p的乘積進(jìn)行比較，該比較用于根據(jù)參數(shù)t的值檢驗以下方程gy＝xpt，y等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
20.根據(jù)權(quán)利要求1或2的方法，由芯片向應(yīng)用方發(fā)送的參數(shù)x是將散列函數(shù)h應(yīng)用于至少一個元素以及一個可選域D的結(jié)果，其中該元素通過一個數(shù)學(xué)函數(shù)與隨機(jī)數(shù)r相關(guān)聯(lián)，該可選域包含與應(yīng)用方相關(guān)聯(lián)的數(shù)據(jù)。
21.根據(jù)權(quán)利要求20的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及包括根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算y＝r+2is，該參數(shù)t包括m位(tm-1，…，t0)的一個串，其中僅一個位ti等于1，m為一個自然整數(shù)。
22.根據(jù)權(quán)利要求21的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)根據(jù)參數(shù)t的值檢驗以下方程h(gy/p2i,D)=x,y]]>等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
23.根據(jù)權(quán)利要求21的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)檢驗以下方程h(gy·p2i,D)=x,y]]>等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝g-s限定。
24.根據(jù)權(quán)利要求20的方法，其中算術(shù)函數(shù)還具有用于輸入變元的輸入?yún)?shù)，及根據(jù)由應(yīng)用方賦予串行函數(shù)的輸入?yún)?shù)t的值執(zhí)行下列運算y＝r-2is，該參數(shù)t包括m位(tm-1，…，t0)的一個串，其中僅一個位ti等于1，m為一個自然整數(shù)。
25.根據(jù)權(quán)利要求24的方法，其中數(shù)學(xué)關(guān)系包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中驗證函數(shù)檢驗以下方程h(gy·p2i,D)=x,y]]>等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
26.根據(jù)權(quán)利要求20的方法，其中數(shù)學(xué)函數(shù)包括在元素g的一個數(shù)集G中設(shè)有一個至少具有相聯(lián)屬性的運算的函數(shù)gr，及其中由芯片向應(yīng)用方發(fā)送的參數(shù)x是應(yīng)用了x＝h(gy，D)類型的關(guān)系式的結(jié)果，其中D表示包括與應(yīng)用方相關(guān)聯(lián)的數(shù)據(jù)的選擇域及h為散列函數(shù)。
27.根據(jù)權(quán)利要求26的方法，其中串行函數(shù)具有輸入?yún)?shù)形式的輸入變元，及根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算y＝r及y＝r+s，及其中驗證函數(shù)根據(jù)參數(shù)t的值將x的值與值h(gy，D)或值h(gy/p，D)進(jìn)行比較，y等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
28.根據(jù)權(quán)利要求26的方法，其中串行函數(shù)具有用于輸入變元的輸入?yún)?shù)，及根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算y＝r及y＝r+s，及其中驗證函數(shù)根據(jù)參數(shù)t的值將x的值與h(gy，D)，h(gy.p，D)進(jìn)行比較，y等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝g-s限定。
29.根據(jù)權(quán)利要求26的方法，其中串行函數(shù)具有用于輸入變元的輸入?yún)?shù)，及根據(jù)由應(yīng)用方賦予串行函數(shù)輸入?yún)?shù)t的值執(zhí)行下列運算y＝r及y＝r-s，及其中驗證函數(shù)根據(jù)參數(shù)t的值將x的值與h(gy，D)，h(gy.p，D)進(jìn)行比較，y等于鑒別值V及p為與秘密密鑰s相對應(yīng)芯片的公鑰，該公鑰由函數(shù)p＝gs限定。
30.根據(jù)權(quán)利要求7至29中任一項的方法，其中數(shù)集G是小于n及與n互為素數(shù)的正整數(shù)或零的一個群Zn*。
31.根據(jù)權(quán)利要求7至29中任一項的方法，其中數(shù)集G是在任何有限體上構(gòu)成的任一橢圓曲線。
32.一種包括按照前述任一權(quán)利要求的電子芯片的裝置(6)，用于實施在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該方法包括電子芯片利用輸入?yún)?shù)計算一個鑒別值V，所述裝置包括-一個串行偽隨機(jī)發(fā)生器(7)，用于產(chǎn)生專用于交易的隨機(jī)數(shù)r，-第一存儲裝置(8)，在其中存儲參數(shù)x的一個或多個值，該參數(shù)x的值在交易前事先由應(yīng)用方計算及通過一個數(shù)學(xué)關(guān)系與隨機(jī)數(shù)r的值相關(guān)聯(lián)，-從電子芯片向應(yīng)用方發(fā)送與專用于交易的隨機(jī)數(shù)r相關(guān)聯(lián)的參數(shù)x的發(fā)送裝置(9)，-實現(xiàn)串行函數(shù)的裝置(10)，作為該函數(shù)的輸入?yún)?shù)至少具有專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的一個私鑰s，及并提供一個參數(shù)y作為其輸出，-用于至少由參數(shù)y構(gòu)成鑒別值V的輸出裝置(9)。
33.驗證裝置，用于執(zhí)行根據(jù)權(quán)利要求1至31中任一項的、在應(yīng)用方與電子芯片之間的交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，該方法包括驗證由電子芯片利用專一公共參數(shù)計算的鑒別值V，所述裝置包括至少以鑒別值V及公鑰p作為其輸入以執(zhí)行該驗證功能的裝置。
全文摘要
一種在應(yīng)用方與電子芯片交易中保護(hù)電子芯片免受欺騙的不對稱加密方法，包括在電子芯片中根據(jù)輸入?yún)?shù)計算一個鑒別值V，該方法包括下列步驟芯片借助包括在該芯片中的串行偽隨機(jī)發(fā)生器產(chǎn)生專用于該交易的偽隨機(jī)數(shù)r；芯片向應(yīng)用方發(fā)送參數(shù)x，該參數(shù)由應(yīng)用方在交易前事先計算并通過數(shù)學(xué)關(guān)系與隨機(jī)數(shù)r相關(guān)聯(lián)及被存儲在芯片的數(shù)據(jù)存儲器中；芯片借助一個串行函數(shù)計算參數(shù)y，作為該函數(shù)的輸入?yún)?shù)至少包括專用于交易的隨機(jī)數(shù)r及屬于不對稱密鑰對(s，p)的私鑰p，該參數(shù)y構(gòu)成鑒別值V的全部或一部分，該串行函數(shù)由一個算術(shù)函數(shù)組成；芯片向應(yīng)用方發(fā)送該鑒別值V；及應(yīng)用方借助一個驗證函數(shù)來驗證所述鑒別值V，該驗證函數(shù)的輸入?yún)?shù)僅包括至少包含公鑰p的公共參數(shù)。
文檔編號G07F7/10GK1518270SQ20041000295
公開日2004年8月4日 申請日期2004年1月21日 優(yōu)先權(quán)日2003年1月24日
發(fā)明者馬克·吉羅, 馬克 吉羅 申請人:法國電訊