CN102037675A

CN102037675A - 用于进行加密的数据交换的方法和通信系统

Info

Publication number: CN102037675A
Application number: CN200980118112.4A
Authority: CN
Inventors: M.布劳恩; A.卡格尔; B.迈尔
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2008-05-20
Filing date: 2009-03-24
Publication date: 2011-04-27
Also published as: EP2277279A1; EP2124382A1; WO2009141187A1; US20110107097A1

Abstract

本发明涉及一种用于在使用基于椭圆曲线的加密的情况下在通信系统的用户之间进行加密的数据交换的方法，其中根据第一用户的询问由第二用户计算第一标量乘法的结果，其中标量乘法的结果的仅仅一部分被作为应答发回给第一用户。本发明涉及一种通信系统。

Description

用于进行加密的数据交换的方法和通信系统

技术领域

本发明涉及一种用于在通信系统的用户之间进行加密的数据交换的方法以及一种通信系统。

背景技术

本发明处于通信技术领域、并且尤其是处于为识别目的的无接触式通信领域中。尽管原则上可以应用任意的通信系统，但是本发明及其所基于的问题在下面参照所谓的RFID通信系统及其应用予以阐述。在此，RFID代表“射频识别（Radio Frequency Identification）”。关于该RFID技术的总体背景，可以参阅Klaus Finkenzeller的“RFID－Handbuch”（Hansa出版社，经过更新的第三版，2002）。

在如今公知的RFID系统的情况下，由基站（或者读取站或读取器）所发出的电磁信号通常被无源的发射应答器（或者标签）接收，该发射应答器从该电磁信号中获得发射应答器中所需的能量。在大多数基于UHF或微波的RFID系统中，除了该单向能量传输以外还进行基于所谓的挑战/回应方法的通常为双向的数据通信。在此，基站持续地发出询问信号（数据请求（Data Request），挑战（Challenge）），这些询问信号仅在相应的发射应答器位于该基站的作用范围内时才被应答。在这种情况下，位于该基站的邻近环境中的发射应答器以应答信号（回应）作出反应。这样的RFID发射应答器例如被用于标记对象—例如商品、文件等等。

与常规的有线数据通信不同，基站与相应的发射应答器之间的通信几乎独立地并且在一定程度上在后台进行，而根本不必有用户在场。也就是说，一旦经过认证的发射应答器位于相关基站的作用范围内，数据通信就被接收。例如在读取数据载体—例如磁盘、USB棒等等—期间，必须在用户感知的情况下使所述数据载体与相应的读取设备相接触，并且在有线数据通信的情况下，数据通信必须同样在用户感知的情况下启动，而在基于RFID的无线数据通信时情况并不如此。

这例如在物流领域、仓库等等中的识别方面具有一些显著优点，但是该基于RFID的数据通信技术也具有一些在许多应用中应当注意的缺点。

这样的问题涉及在RFID发射应答器中所包含的数据—尤其是在所述数据是安全关键的数据时—被未经许可的用户（攻击者）读取。出于这种原因，基于RFID的数据通信系统通常还包括安全机制，该安全机制例如保护数据通信，使得安全码被基站调谐到发送信号上，然后该安全码可以被准许进行数据通信的发射应答器解码和分析。在成功的分析以后，被准许进行数据通信的发射应答器给基站发回同样包含安全码的应答信号，然后该安全码可以在基站中被分析以用于认证该发射应答器。借助于该认证在基站中保证：未经许可的用户不能够在不被察觉的情况下耦合到数据通信中并且因此不能读取安全关键的数据。

基于发射应答器的数据通信中的重要边界条件在于，在基站与发射应答器之间应当进行尽可能简单和快速的数据通信。这首先是因为，发射应答器通常仅仅具有少量的资源，即一方面具有少量的能量资源并且另一方面具有少量的存储器和计算资源，使得在认证时通常应当分析和认证尽可能少的数据量。另一方面，该认证还应当尽可能迅速地被执行，因为尤其是在动态的基于RFID的数据通信系统的情况下，要认证的发射应答器常常仅在短的时间间隔内位于相应基站的作用范围中。在该短时间间隔内，一方面必须建立数据通信连接、认证该数据通信连接并且接着进行数据交换。

为了保证基站与发射应答器之间的数据通信，例如可以基于非对称加密方法进行经过加密保护的数据通信。对于这些加密方法重要的是，在合理时间内几乎不能利用可用的计算能力完成逆转—即从公共密钥中确定私人密钥。

已经被证明有利的是，使用基于椭圆曲线的加密算法，因为这些加密算法在短密钥长度的情况下提供高的安全性。这样的基于椭圆曲线的加密方法是非常有效的，这尤其是是因为在这些方法中与其他公知的加密方法不同，没有具有次指数运行时间的攻击方法是已知的。换言之，这意味着，在基于椭圆曲线的方法中，所使用的安全参数的每位的安全性收益更高，并且因此可以针对实际应用使用明显更短的密钥长度。因此，在可实现的安全性具有相似程度的情况下与其他加密方法相比，基于椭圆曲线的加密方法性能更好并且需要更小的带宽来传输系统参数。

因此，该加密方法是在预期的安全性与对于数据加密的计算成本之间的折衷。

在德国专利申请DE 101 61 138 Al中描述有，点的标量倍数在不考虑Y坐标的情况下仅仅根据该点的X坐标就已经可以确定。在该文献中同样描述了针对任意域的相应计算规则。由此，可以实现针对标量乘法的点运算—例如蒙哥马利阶梯（Montgomery-Leiter）—的显著更有效的实施、每个点加法的更小数目的域乘法、以及更小数目的用于中间结果的点表示的寄存器。

欧洲专利申请EP 1 675 300A1描述了一种通信系统的用户之间的认证方法，其中在使用双线性映射的情况下进行通信系统的用户之间的加密。该经过加密保护的数据通信基于椭圆曲线在使用询问－应答方法（挑战－回应）的情况下进行。

在公开文献“The Static－Diffie－Hellman Problem”（Daniel R. L. Brown和Robert P. Gallant，2005年6月23日）中描述了一种对如下加密方法的新型攻击：所述加密方法的安全性基于有限群中的离散对数问题。该攻击尤其是可以应用于椭圆曲线。那样的话，当含有秘密标量s并且在输入任意点U的情况下给攻击者返回T＝sU的计算结果、即标量乘法的结果点T的设备对攻击者可用（在文献中被称为“谕示”）时，所述攻击可以被有效地执行。攻击尤其是需要椭圆曲线上的点P0、P1、P2、…Pn的序列，其中有

Figure 2009801181124100002DEST_PATH_IMAGE001

成立。该攻击场景尤其是在德国专利申请DE 101 61 138Al中所描述的方法中给出，其中该方法尤其是适于应用在具有有限存储器空间和小的可用计算能力的系统上。

发明内容

在这种背景下，本发明的任务在于提供一种用于无线数据通信的认证，所述认证不能被上面公开的攻击危害。另外，本发明的任务是提供一种用于无线数据通信的认证，对于所述认证来说，尤其是在保持不变的高安全性的情况下需要较小的计算成本并且所述认证尤其也是快速的。

根据本发明，该任务通过具有权利要求1的特征的方法和/或具有权利要求20的特征的通信系统来解决。

因此规定：

一种用于在使用基于椭圆曲线的加密的情况下在通信系统（1）的用户（2，3）之间进行加密的数据交换的方法，其中根据第一用户（2）的询问由第二用户（3）计算第一标量乘法的结果。借助于非单射映射，从标量乘法的结果中确定函数值，使得所述函数值不允许关于该结果做出唯一的推断。最后，所确定的函数值作为应答被发回给第一用户（2）。

一种用于在使用根据本发明的加密方法的情况下对通信系统的用户进行认证的通信系统。

本发明所基于的思想在于，在通信系统的两个用户之间进行认证时、尤其是在从发射应答器将应答信号发回给基站时，将该要传输回的数据输送给非单射映射，使得这样确定的函数值不允许关于该结果做出唯一的推断。通过例如不再输出结果点的完整的x坐标、而是输出由此计算出的不再允许唯一地重建该x坐标的函数值，在使用谕示的情况下不再能够进行攻击所需的对标量乘法的迭代，并且攻击被防御。

在本发明的特别有利的扩展方案中，在通信系统的两个用户之间进行认证时、尤其是在从发射应答器将应答信号发回给基站时，所述要传输回的数据通过非单射映射被减少。

在通过基站对发射应答器进行认证时，通常使用基于挑战－回应方法的认证协议。根据该认证协议，例如发射应答器根据基站的询问计算标量乘法并且作为结果获得仿射表示形式的x坐标。在迄今为止公知的方法中，在将应答传输回时由发射应答器将完整的仿射x坐标作为应答信号发回给基站。

现在，本发明的有利的扩展方案所基于的认识在于，不必为了传输x坐标的仿射表示而由发射应答器将完整的值发送给基站。更确切地说，将所述值至少部分地发回就足够了。那样的话，利用该几乎不完整的应答，基站也仍然能够以相对高的安全性进行认证。

在本发明的另一有利的扩展方案中，例如发射应答器根据基站的询问计算标量乘法并且作为结果获得投影表示形式的x坐标。该投影表示含有两个值（X，Z），这两个值可能以二进制表示形式以彼此相邻排列的方式被表示。在迄今为止公知的方法中，在将应答传输回时由发射应答器将x坐标的两个值、即（X，Z）对作为应答信号发回给基站。

现在，本发明的有利的扩展方案所基于的认识在于，不必为了传输x坐标的仿射表示而由发射应答器将两个值都发回给基站。更确切地说，将所述两个值仅仅之一完整地发回并且分别将第二个值至少部分地发回就足够了。那样的话，利用该几乎不完整的应答，基站也仍然能够以相对高的安全性进行认证。

所列举的扩展方案中的特别的优点在于，由发射应答器所发回的应答数据由此能够被减少，这总体上为认证减小了要传输的应答数据的量。由此所造成的是，发射应答器需要更少的时间以进行回传、认证以及与之相联系的计算操作。此外，在该实施方式中还防御静态Diffie Hellman攻击，因为不再输出结果点的以仿射或投影表示形式的完整的x坐标，并且因此不再能够在使用谕示的情况下进行所述攻击所需的对标量乘法的迭代。因此，整个认证方法在总体上可以显著更简单以及更快地被设计，而不会由此伴随有认证时的安全性损失。

例如发射应答器仅仅传输以仿射方式表示的x坐标的值的仅仅一部分—例如一半、或者以投影方式表示的x坐标的两个值之一的仅仅一部分—例如一半。根据本发明，这通过如下方式来实现：例如仅仅传输回x坐标的相应计算出的值的上部分或上半部或者下部分或下半部。然后，基站检查：值的所述部分或半部是否与同这些所计算出的值相对应的值的相应的部分或半部一致。仅当所述位的所述部分或半部相等时，才从基站一方将发送应答数据的发射应答器作为可信任的来接受。

在发射应答器的确定应用中具有对数据减少的变型方案的根据本发明的认证方法具有下列不同的优点，其中发射应答器传输回以投影方式表示的坐标作为应答：

投影表示形式的x坐标的要传输的位的量显著减少。那样的话，在上述仅仅传输两个值的位的一半的情况下，要传输的数据的总量在仿射情况下减少一半并且在透射情况下减少四分之一。

所述数据减少在许多应用、例如在本专利申请中所说明的认证协议中仅仅导致安全性的可忽略的减少。加密的公知结果是，适用于加密应用的在有限域GF（2^d）上的椭圆曲线仅仅提供2^d/2的安全性。也就是说，尽管使用该域的具有长度为d位的元素，但是这种认证在使用公共密钥的情况下仅仅对应于d/2的密钥长度。因此，从未经许可的用户角度来看，突破认证方法并且由此获得发射应答器的秘密密钥是与在上述根据本发明的具有减少的数据量的认证方法中在传输回应答时提供有效的应答一样地困难的。根据应用情况和那里预先给定或所需的安全性要求，可以更进一步减少由发射应答器部分地发送给基站的x坐标的位的数量。

未被传输的位是随机产生的秘密，所述秘密仅为发射应答器以及参加数据通信的基站所知。所述未被传输的位例如可以在根据本发明的认证方法的后面的协议步骤中被用作密钥。这意味着，在根据本发明的具有通过仅仅部分地传输x坐标进行的数据减少的认证方法中，该用于（单方）认证的协议被扩展成用于利用密钥统一进行（单方）认证的协议。

在根据本发明的认证方法的变型方案中，还可以在发射应答器能够执行有限域中的除法并且由此能够计算回应的坐标的仿射表示的情况下以所述方式将认证方法用于仿射值。在这种情况下，要传输的位的数目同样显著减少、通常减少到要传输的位的一半。

从另外的从属权利要求以及从结合附图的图作出的描述中得出本发明的有利的扩展方案和改进方案。

附图说明

下面根据附图的图中给出的实施例进一步阐述本发明。在此：

图1a、1b示出椭圆曲线的示例；

图2示出在使用椭圆曲线情况下的加法的示例；

图3根据框图示出根据本发明的通信系统的构造；

图4示出用于示出根据本发明的基于椭圆曲线的认证方法的流程图；

图5a－5c示出用于阐述用于对应答数据进行数据减少的方法以及用于将经过数据减少的应答数据与所计算出的应答数据相比较的方法的示意图。

在附图的图中，只要未另行说明，则给相同和功能相同的元件、特征和信号配备相同的附图标记。

具体实施方式

根据本发明的认证方法具有新的安全协议，该安全协议基于椭圆曲线的运算。因此在描述根据本发明的认证方法以前，首先根据图1a和1b阐述椭圆曲线的最重要的特性。

有限域（伽罗瓦（Galois）域）GF（2^d）上的椭圆曲线是如下三次方程的零点集合：

。（1）

在此，x和y表示变量，并且系数a和b表示（伽罗瓦域）GF（2^d）中的系数，其中b≠0。

图1a和1b中示例性地示出实数范围内的两个椭圆曲线。

在添加无穷远点作为中性元素的情况下，该零点结合构成加法群，该加法群的群法则至少在实数域范围内的椭圆曲线的情况下可以以几何方式来解释。这样的加法群由数集和加法（群运算）构成。此外，在该群中存在中性元素，该中性元素在相加到数集中的数的情况下其值不改变（例如零）。此外，对于数集中的每个数都存在逆元，使得在将相应的值与逆元相加时获得中性元素。在此，重要的是来自代数几何的两个结果（参见图2）。

每条直线在3个不一定彼此不同的点处与椭圆曲线相交。在每两个不一定不同的点可以计算出第三点，使得3个点的总和是中性元素。如果P和Q（其中P≠Q）是两个点并且g是过这些点P、Q的直线，则该直线g在第三点R处与椭圆曲线相交。通过R关于X轴的镜像对称获得S＝P+Q。在P＝－Q的情况下，g的斜率为无穷并且第三交点R是无穷远点。

与矢量空间中的标量乘法的定义类似地定义椭圆曲线上的标量乘法。假设P是椭圆曲线的点并且K是自然数。标量乘法k*P对应于P自身的k次相加。该标量乘法k*P构成基于椭圆曲线的加密系统的重要组成部分。在加密强度大的椭圆曲线的情况下，标量乘法是单向函数，也就是说，该标量乘法可以在多项式时间中被计算出，但是根据研究和技术的现有水平仅在指数时间中可逆。因此，对标量的有效的算法重建是难以想象的。该单向函数构成基于椭圆曲线的加密认证方法的基础。

一种公知的用于实施这样的基于椭圆曲线的标量乘法的方法是所谓的蒙哥马利阶梯或者亦称蒙哥马利算法。蒙哥马利阶梯可以被实施为使得为了计算点P的标量倍数的x坐标仅仅使用P的x坐标以及伽罗瓦域GF（2^d）中的仅仅加法和乘法。在此，不需要高成本的逆转。下面所描述的根据本发明的双方认证方法基于该蒙哥马利算法。

在描述根据本发明的双方认证方法以前，下面根据图3中的框图首先进一步阐述根据本发明的通信系统的原理构造。

图3中用附图标记1表示通信系统，例如RFID通信系统。RFID通信系统1包含第一用户（基站2）和至少一个第二用户（发射应答器3）。基站2和发射应答器3通过无线通信线路4具有双向通信连接。通信系统1例如可以被构造成所谓的主从通信系统1，其中基站例如充当主机并且发射应答器3例如分别充当从机。

基站2包括控制设备5、发送/接收设备6、以及发送/接收天线7。同样，发射应答器也包括控制设备8、发送/接收设备9、以及共同的发送/接收天线10。

发送/接收设备7、10可以被构造成感应式线圈天线或者也可以被构造成偶极天线。

在相应的控制设备5、8中控制数据通信的流程。通常，该控制设备为此包含计算设备（运算单元，CPU），在该计算设备中执行尤其是用于认证的计算操作。控制设备5、8例如可以被构造成程序控制的设备、例如微控制器或者微处理器，或者也可以被实施成固定布线的逻辑电路。

基站2的控制设备5被安排为通过天线7将高频载波信号11发送给发射应答器3的天线10。同样，发射应答器3的控制设备8和发送/接收设备9被安排为根据所发送的载波信号11给基站2发回相应的应答信号12。

另外，基站2具有分析设备14。该分析设备14被布置在基站2的接收路径21中并且被布置为连接在发送/接收设备6的接收器之后。同样，发射应答器3也包括发射应答器3的接收路径23中的分析设备。在相应的分析设备14、15中进行对数据通信的所接收数据的分析。

根据本发明，基站2和发射应答器3现在都具有认证模块16、17，这些认证模块16、17被布置在基站2以及发射应答器3的相应的发送/接收设备6、9与控制设备5、8之间。在此，这些认证模块16、17被构造成单独的模块。但是相应的认证模块16、17优选地为相应的控制设备5、8的组成部分。

另外，认证模块16、17具有存储器18、19，在所述存储器18、19中例如存放为了认证所需或者必需被暂存的数据、密钥等等。存储器18、19通常包含里面例如存放计算结果的RAM存储器。附加地或者可替代地，这些存储器18、19也可以具有非易失性存储器、例如EEPROM存储器或者闪存，在所述非易失性存储器中存放系统参数、不同通信用户的参数，例如用户特定的私人密钥、公共密钥、用户特定的证书等等。

示例性地参考图4和5中的示意图来阐述根据本发明的认证方法（或认证协议）的原理。

图4示意性地示出通信系统1的基站2和发射应答器3，其中在那里仅仅示出设备2、3内的认证模块16、17和存储设备18、19。假定：在基站侧的存储设备18中存放有公共密钥，并且在发射应答器3的存储设备19中存放有其证书、发射应答器侧的秘密密钥、以及必要时存放有公共密钥。

下面根据图4中的流程图描述根据本发明的基于椭圆曲线的认证方法的示例。

下面的参数作为系统参数、即适用于整个通信系统1并且因此适用于整个认证的参数而被预先给定：

－预先给定合适的椭圆曲线。

－xp表示椭圆曲线上的基点P的仿射x坐标。

－xS表示用于签名验证的公共密钥、即基站和发射应答器知道的密钥。

针对发射应答器3设置有下列参数：

－

表示发射应答器侧的秘密密钥，因此该秘密密钥不为基站2所知。

－xT、rT、sT表示发射应答器2的证书Z，其中xT表示公共密钥（点的仿射x坐标），并且rT、sT表示可以利用公共密钥xS验证的xT的签名。

图4中所示的认证方法按如下方式执行：

在步骤1）－3），基站2产生询问C＝x1（C＝挑战）。为此，随机选择值r1。接着，基站2从该值r1以及系统参数xp中计算出询问（X1，Z1），该询问（X1，Z1）表示点P1（

）的投影x坐标。从两个值X1、Z1中通过除法计算出被以仿射方式表示的x坐标x1作为询问。该询问x1表示随机标量的点

的x坐标。

在步骤4），基站2将该询问C＝x1发送给发射应答器3。

在步骤5），进行应答R的计算（R＝回应）。为此，发射应答器3针对查询x1计算相应的应答数据R＝（X2，Z2），所述应答数据R＝（X2，Z2）表示点

的投影x坐标。

在步骤6），由发射应答器3所产生的应答数据R＝（X2，Z2）在使用非单射变换的情况下被减少为

，其中所述应答数据R＝（X2，Z2）是点P2的x坐标的随机选择的投影表示。因此，在此根据本发明，在步骤6）对两个值（X2，Z2）之一进行数据减少。

在步骤7），由发射应答器3所产生的应答数据

与发射应答器3的证书

一起被发回给基站2。

在步骤8），基站2检查发射应答器3的证书

。如果证书Z无效，则基站2将发射应答器3作为不可信者而拒绝。

在步骤9）和10），检验发射应答器3的应答。基站2计算点

的所计算出的投影x坐标（X3，Z3）并且在此检查：由发射应答器3所传输的数据

与基站2中所产生的数据（X3，Z3）是否可能是同一点的投影坐标。恰好在对于标量乘法的结果有下式成立时情况如此：

，

其中F是发射应答器3在步骤6）为了计算应答数据

已经使用的相同的非单射映射。在所述实施例中，为此如在步骤6）在发射应答器3）中进行的那样同样对所计算出的值

进行数据减少。

如果该关联成立，则发射应答器3是可信的。如果情况不是这样，则基站2将发送应答数据的发射应答器3作为不可信者而拒绝。

在此重要的是，将询问C和应答数据

、

的产生以及相应的证书Z预先给定为使得可以在伽罗瓦域GF（2^d）上执行基于椭圆曲线的相应的认证协议。

在迄今为止公知的方法中，点P2的整个x坐标（X2，Z2）都被传输回基站，也就是说，从该x坐标，应答R的两个值X2、Z2都被完整地传输回。基站2在检查回应R时可以放弃使用用于数据减少的非单射变换，并且为了进行检查，必需的关联具有形式

。因此，步骤7）直接地紧接在在方法步骤5）之后。根据本发明，现在在步骤5）与7）之间设置附加的方法步骤6）。该附加的方法步骤6）表示数据减少步骤。在该方法步骤6）中，由发射应答器3所产生的应答数据R＝（X2，Z2）通过使用非单射变换而被减少，其中所述应答数据R＝（X2，Z2）是点P2的x坐标的随机选择的投影表示。因此根据本发明，在此在方法步骤6），对这两个值（X2，Z2）之一进行数据减少。

在图5中的实施例中假定：对x坐标（X2，Z2）的投影表示的第一值X2进行数据减少，使得该x坐标现在具有两个值

并且

具有与值X2相比经过数据减少的内容。接着在步骤7），该经过数据减少的应答

与发射应答器3的证书Z一起被发射应答器3发送给基站2。

显而易见的是，也可以附加地或可替代地替代于x坐标的第一值X2的数据减少进行相应的第二值Z2的数据减少。

接着，基站2检查：基站2中所计算出的数（X3，Z3）是否与所发送的应答

一致。但是由于该应答

不完整，而是以经过数据减少的形式存在，因此利用应答

的分量仅仅检验项

的通过使用非单射变换所获得的相应部分。在该实施例中，仅当数

的该相应部分与

一致时，则发射应答器3才作为可信任的被基站2接受。

下面根据图5a－5c中的示意图简要阐述该用于数据减少的方法以及用于比较该经过数据减少的值的相应方法。

在此，图5a中示出利用方法步骤5）所产生的x坐标或数30。在图5a中首先示出数30的结构。该数30包含两个数值X2、Z2。在此，该x坐标30以及此处其值X2、Z2被以二进制编码的形式示出。假定：两个值X2、Z2之中的每个都宽度为8位并且所述两个宽度为8位的值X2、Z2都被布置为彼此直接相邻。因此，整个坐标30宽度为16位。在所示的实施例中，该数30的值X2被划分为宽度为4位的具有位序列1010的上半部32和宽度为4位的具有位序列1011的下半部33。数30的值Z2也具有两个拥有位序列0111和0101的位半部34、35。

在方法步骤6），从数30中生成经过数据减少的具有值

、Z2的数31。为此，为了产生经过数据减少的数31例如省略值X2的上半部32，也就是说，经过数据减少的值31仅仅具有值X2的下半部33以及完整的值Z2。

在步骤6）中数据减少以后，经过数据减少的x坐标31仅仅含有值X2的下半部33以及值Z2的两个半部34、35。现在，值X2的上半部32不再是经过数据减少的x坐标31的组成部分，并且因此也不被发射应答器3发回给基站2。

在图5的所示示例中，为了经过数据减少的x坐标31而省略上半部32。当然也可以设想，在此省略值X的下半部33或者值Z2的两个半部34、35之一。除此之外，分别恰好省略值X2的半部32并且因此省略值X2的8位内容的4位。在此可以设想对值X2进行任意不等于0的数据减少，也就是说也可以设想，为了生成经过数据减少的x坐标省略值X2的例如仅仅1至7位。也可以设想，应用对有限域的元素的另外的非单射映射，其中所述非单射映射不能通过简单方式通过省略投影表示的值之一的位来实现。

根据图5c，现在描述方法步骤10）。在认证检查时，首先从值X3、Z3以及在发射应答器3的应答中所包含的值Z3中通过公式

计算出数37。数37再次被划分为两个半部、即数38和39。现在，认证的检验不通过比较两个数对32、33和38、39来进行，而是仅仅将数33与数39相比较。

在图5的该情况下，片段33的位内容与片段39的相应的位内容相等，使得在这种情况下，基站2将已经发送经过数据减少的数31的相应发射应答器3识别为可信的。这种情况存在，即使值X2的上片段32不与相应值的上片段38相比较。在此，作为出发点的认识是，尤其是在要比较的数的非常大的位宽的情况下，仅仅传输所述值的一部分并且将其与相应的部分相比较就已经足够了。如果所述相互比较的片段一致，则可以以非常大的概率以相应的数对32、33和38、39相等为出发点。

尽管在前面已经根据优选实施例描述了本发明，但是本发明不限于此，而是以多种多样的方式被修改。

因此，本发明尤其是不仅限于RFID，而是也可以例如扩展到零件识别（物品识别（Item－Identification））。这样的零件常常不必唯一地被识别。在此，例如能够将有误的零件的存在排出常常就已经足够了。这在大多数情况下也被称为非唯一性识别。在发射应答器在这种情形下运行时，该发射应答器具有传感器的功能。本发明还明确地涉及如下这样的传感器：在所述传感器的情况下，为了读取和写入数据载体或传感器的数据而进行通信。

本发明还涉及任意的数据通信系统，所述数据通信系统不一定是RFID系统并且也不一定被构造为无线的。

为更清楚起见，在图3和4中特意高度简化地示出RFID系统的构造、尤其是发射应答器和基站的构造。显而易见的是，基站和相应的发射应答器同样可以包含为了基站与发射应答器之间的数据通信所需的功能单元，例如解调器、调制器、能源供应装置、同步设备、解码器等等。

在图3和图4中分别区分控制设备、分析设备和认证模块。显而易见的是，这些设备或其部分例如可以是控制设备的组成部分或者也可以被构造为与其分开。

同样应当指出，基站和发射应答器都具有单个的发送/接收设备以及相关的发送/接收天线。当然可以设想，基站和/或发射应答器可以具有分开的发送/接收设备以及尤其是发送天线和与其分开的接收天线。

前述数据通信系统和数据通信方法是根据“读取器先发言（Reader－talks－first）”原理来描述的。当然也可以设想“标签先发言（Tag－talks－first）”原理，其中基站首先等待发射应答器的询问。但是该所提及第二原理具有较差的反应时间，使得尤其是在例如用在RFID中的现代所谓“远程（long－range）”数据通信系统的情况下优选地使用“读取器先发言”原理。

显而易见的是，应当将根据图5所描述的根据本发明的认证方法理解成仅仅是示例性的。当然，在那里也可以在本发明的范围内例如通过功能相同或者可替换的方法步骤改变和修改各个方法步骤和所应用的数学运算。

另外应当指出，应将所给出的数据和位宽理解成仅仅是示例性的，并且本发明无论如何不应当限于此。尤其是也可以设想，为相应的值使用更大或更小的位宽。除此之外，值的不同的片段也不必具有相同的位宽，而是可以不同。相同的情况对相应的投影x坐标的两个值X、Z的位宽也成立。

在公开文献“The Static-Diffie-Hellman Problem” （Daniel R. L. Brown和Robert P. Gallant，2005年6月23日）中描述了一种对如下加密方法的新型攻击：所述加密方法的安全性基于有限群中的离散对数问题。该攻击尤其是可以应用于椭圆曲线。当含有秘密标量s并且在输入任意点U的情况下给攻击者返回T＝sU的计算结果、即标量乘法的结果点T的设备对攻击者可用（在文献中被成为“谕示”）时，所述攻击可以被有效地执行。攻击尤其是需要椭圆曲线上的点P0、P1、P2、…Pn的序列，其中有成立。该攻击场景尤其是存在于所述RFID标签中。所述RFID标签恰好是这样的谕示的技术实现。

在所述RFID标签的认证协议中，标签计算标量乘法，并且作为结果获得随机选择的投影表示形式的x坐标（X2，Z2）。迄今为止都将整个对（X2，Z2）作为回应发回给终端。至今为止通过所使用的椭圆曲线的特性来保证认证协议对抗静态Diffie-Hellman攻击的安全性。因此，为了抵御静态Diffie-Hellman攻击，使用如下的椭圆曲线：所述椭圆曲线的阶数含有所谓的强素数。在该由强素数所产生的有限点群的循环子群内执行加密应用。

根据本发明的方法有利地适于防御这样的静态Diffie－Hellman攻击。如上述实施例中那样，RFID标签在值X2、Z2之中仅仅返回所计算的位的一部分。然后，终端检查：数

的相应位是否与返回的位一致。如果这些位相等，则RFID标签作为可信的而被接受。由此一方面可以减小回应（X2，Z2）的要传输的位的量，另一方面可以防止：该结果的仿射x坐标被重建并且被用于再次调用标量乘法以便能够为了攻击而产生点P1、P1、P2、…Pn的上述序列。

通过不再输出结果点的完整的x坐标，不再能够在使用谕示的情况下进行所述攻击所需的对标量乘法的迭代，并且攻击被抵御。如果攻击者仅还获得结果点的x坐标的一部分，则一般存在许多可以作为点的x坐标出现并且仍然与攻击者知道的分段一致的值。如果攻击者尝试对x坐标与输出段匹配的所有可能的点执行所述攻击，则可能的点序列的数目与迭代的数目成指数关系地增长，并且快速地变得效率低。

在实际中为了抵御所述攻击已经足够的是，结果的坐标的一些位被分段并且仅仅几个到点的x坐标的延续是可能的。

因此，根据本发明的方法除了数据减少以外还附加地提供下列优点：实现了对抗静态Diffie－Hellman攻击的隐式保护。通过使攻击者不再能够对谕示的计算进行迭代，所述攻击也不再可能进行。尤其是不必使用阶数具有强素数的椭圆曲线。

Claims

1.一种用于在使用基于椭圆曲线的加密情况下在通信系统（1）的用户（2，3）之间进行加密的数据交换的方法，其中根据第一用户（2）的询问由第二用户（3）计算第一标量乘法的结果；

－其中借助于非单射映射，从标量乘法的结果中确定函数值，使得所述函数值不允许关于所述结果做出唯一的推断；

－其中所述函数值被作为应答发回给第一用户（2）。

2.根据权利要求1所述的方法，其中

－标量乘法的结果的一部分被确定为函数值并且作为应答被发回给第一用户（2）；

－其中所述应答包含椭圆曲线上的点的x坐标；以及

－其中所述应答中所包含的x坐标的仅仅一部分被发送。

3.根据权利要求1所述的方法，其中

－其中所述应答包含椭圆曲线上的点的y坐标；以及

－其中所述应答中所包含的y坐标的仅仅一部分被发送。

4.根据权利要求1所述的方法，

其特征在于，

所述询问包含椭圆曲线上的点的x坐标。

5.根据权利要求1至4之一所述的方法，

其特征在于，

所述坐标以二进制形式存在。

6.根据权利要求1至5之一所述的方法，

其特征在于，

所述询问和/或应答中所包含的在椭圆曲线上的点的x坐标或y坐标以投影表示形式存在。

7.根据权利要求1至6之一所述的方法，

其特征在于，

以二进制表示形式的点的坐标是如下的数：所述数包含第一值和第二值，所述第一值和第二值能够以二进制表示形式以彼此相邻排列的方式被表示。

8.根据权利要求7所述的方法，

其特征在于，

所述两个值至少之一的位的仅仅一部分被发回。

9.根据权利要求7或8所述的方法，

其特征在于，

所述两个值至少之一的位的一半被发回。

10.根据权利要求7至9之一所述的方法，

其特征在于，

关于MSB位，所述两个值至少之一的位的上部位区域、尤其是位的上半部被发回。

11.根据前述权利要求之一所述的方法，

其特征在于，

第一用户（2）在第二用户（3）的所接收的应答的真实性方面检查所述应答。

12.根据前述权利要求之一所述的方法，

其特征在于，

第一用户（2）检查：所述应答中所包含的数据和第二标量乘法的结果的数据是否是同一点的坐标。

13.根据前述权利要求之一所述的方法，

其特征在于，

第一用户（2）将所述应答中所包含的数据与第二标量乘法的结果相比较，并且第一用户（2）在所述应答和第二标量乘法的结果的相应数据彼此一致的情况下将第二用户（3）作为可信任的来接受。

14.根据权利要求13所述的方法，

其特征在于，

为了将所述应答的数据与第二标量乘法的结果相比较，仅仅使用第二标量乘法的结果的如下部分：所述部分对应于由第二用户（3）发送给第一用户（2）的应答的一部分。

15.根据前述权利要求之一所述的方法，

其特征在于，

第一标量乘法的结果的未作为应答被传输回的部分是随机产生的并且被两个用户（2，3）至少之一、优选被两个用户（2，3）知道的结果，所述结果能够在后面的方法步骤中被用作秘密密钥。

16.根据前述权利要求之一所述的方法，

其特征在于，

该方法是基于挑战－回应方法的用于由第二用户（3）对第一用户（2）和/或反过来进行认证的认证方法。

17.根据前述权利要求之一所述的方法，

其特征在于，

第一用户（2）的询问与第二用户（3）的密钥无关。

18.根据前述权利要求之一所述的方法，

其特征在于，

作为通信系统（1）的系统参数提供适用于加密方法的椭圆曲线和椭圆曲线的基点的仿射x坐标以及用于签名检查的公共密钥。

19.根据前述权利要求之一所述的方法，

其特征在于，

作为第二用户（3）的参数仅仅提供被第二用户（3）知道的密钥以及第二用户（3）的证书。

20.根据权利要求18所述的方法，

其特征在于，

由第二用户（3）将第二用户的证书与所述应答一起传输，在第一用户中在使用被两个用户知道的公共密钥的情况下执行对所述证书的有效性的检查。

21.一种用于在使用根据前述权利要求之一所述的加密的情况下对通信系统（1）的用户（2，3）进行认证的通信系统。

22.根据权利要求21所述的系统，

其特征在于，

设置有第一用户（2）和至少一个第二用户（3），所述用户彼此处于数据通信连接（4）中，其中第一和第二用户（2，3）为了认证分别具有认证模块（16，17）。

23.根据权利要求22所述的系统，

其特征在于，

相应的用户（2，3）的认证模块（16，17）具有计算设备，所述计算设备为了计算、检查和认证被设备在相应的认证模块（16，17）内。

24.根据前述与系统相关的权利要求之一所述的系统，

其特征在于，

每个用户（2，3）都具有存储器（18，19），在所述存储器（18，19）中存放有系统参数以及分别与该用户（2，3）相关的参数。

25.根据前述与系统相关的权利要求之一所述的系统，

其特征在于，

第一和第二用户（2，3）是通信系统（1）、尤其是被构造成RFID系统的通信系统（1）的通信用户。

26.根据前述与系统相关的权利要求之一所述的系统，

其特征在于，

第一用户（2）是基站（2）并且第二用户（3）是发射应答器、尤其是无源或半无源或者有源的发射应答器（3）。