DE102005005335A1

DE102005005335A1 - Vorrichtung und Verfahren zur Hardware-Verschlüsselung

Info

Publication number: DE102005005335A1
Application number: DE200510005335
Authority: DE
Inventors: Kyoung-Moon Ahn; Mi-Jung Noh
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2004-01-29
Filing date: 2005-01-28
Publication date: 2005-08-25
Also published as: US20050169463A1; KR100800468B1; JP2005215688A; KR20050078271A

Abstract

Die Erfindung bezieht sich auf eine Vorrichtung zur Hardware-Verschlüsselung mit einer Mehrzahl von sequentiell verbundenen Modulen, einer Mehrzahl zugehöriger Schlüssel und einer die Schlüssel bereitstellenden Schlüsselbereitstellungseinheit, wobei ein erstes Modul einen ersten Schlüssel und Eingabedaten empfängt und Chiffriertext abgibt und jedes weitere Modul einen zugehörigen Schlüssel und den vom vorherigen Modul abgegebenen Chiffriertext empfängt und seinerseits Chiffriertext abgibt, sowie auf ein zugehöriges Verschlüsselungsverfahren.
Erfindungsgemäß umfasst jedes Modul eine S-BOX (161 bis 164), die zur Berechnung eines multiplikativen Inversen jedes Elements (S00 bis S33) eines Eingabevektors (SBIN) über GF(2⁸) unter Verwendung einer Operation über GF(((2²)²)²) und zum Ersetzen jedes Elements im Eingabevektor durch ein durch diese Operation erhaltenes Ersatzelement (S00' bis S33') eingerichtet ist.
Verwendung z. B. für Smartcards und IC-Karten.

Description

Die Erfindung bezieht sich auf eine Vorrichtung zur hardwaremäßigen Verschlüsselung, kurz Hardware-Verschlüsselung, nach dem Oberbegriff des Anspruchs 1 und auf ein zugehöriges Verfahren zur Hardware-Verschlüsselung.

Benutzer von intelligenten elektronischen Karten (Smartcards), integrierten Schaltkreiskarten (IC-Karten), dem Internet und drahtlosen lokalen Netzwerken (LAN) haben zunehmend den Wunsch, große Mengen an geheimer Information zu übertragen, die sichere Kommunikationsverbindungen erfordert. Demgemäß wird allgemein eine Vorrichtung zur hardwaremäßigen Verschlüsselung, eine sogenannte Hardware-Kryptographiemaschine, bereitgestellt, um die geheime Information durch einen Signatur- oder Authentikationsprozess zu verschlüsseln und zu übertragen, so dass sie von unautorisierten Dritten nicht erkannt werden kann. In Anbetracht des hohen Rechenaufwands für die meisten Verschlüsselungsprozesse wird die Verschlüsselung in bestimmten technischen Anwendungen, wie Smartcards, typischerweise in Hardware und nicht in Software ausgeführt. Dazu wird häufig ein symmetri scher Verschlüsselungsalgorithmus, wie der Datenverschlüsselungsstandard (DES) oder der fortentwickelte Verschlüsselungsstandard (AES) in Hardware implementiert, alternativ zu einem Algorithmus mit öffentlichem Schlüssel, wie dem Rivest-Shamir-Adelman(RSA)-Algorithmus oder dem Elliptikkurvenkrypto(ECC)-System.

Der AES-Algorithmus hat die Struktur eines Substitutionspermutationsnetzwerks (SPN). AES bezieht sich auf einen symmetrischen Verschlüsselungsalgorithmus in Form eines permutierten DES und benutzt eine Blocklänge von 128 Bit sowie eine Schlüssellänge von 128 Bit, 192 Bit oder 256 Bit. Abhängig von der jeweils verwendeten Schlüssellänge werden 10, 12 oder 14 Runden bzw. Durchläufe beim AES ausgeführt. Der AES-Verschlüsselungsprozess umfasst die Summation eines anfänglichen Eingabeschlüssels mit Eingabedaten und eine Operation im jeweiligen Durchlauf.

Jede Runde beim AES-Verschlüsselungsprozess führt die gleichen Operationen aus, mit Ausnahme einer letzten Runde, die eine Datentransformation weglässt. Wenn beispielsweise die Anzahl an Durchläufen, die im AES-Verschlüsselungsprozess verwendet werden, mit Nr bezeichnet wird, wird ein Durchlauf, der Operationen mit den Bezeichnungen "Sub_Byte transformation", "Shift_Row transformation", "Mix_Column transformation" und "Add_Round_Key operation" umfasst, Nr-1 Mal ausgeführt, und eine letzte Rundenoperation mit "Sub_Byte transformation", "Shift_Row transformation" und "Add_Round_Key operation", jedoch ohne "Mix_Column transformation" wird ein Mal durchgeführt. Dementsprechend werden in einer Implementierung des herkömmlichen AES-Verschlüsselungsalgorithmus wenigstens Nr + 1 Taktzyklen im Verschlüsselungsprozess benötigt, und mehr als 2(Nr + 1) Taktzyklen werden dafür benötigt, sowohl den Verschlüsselungsprozess als auch einen zugehörigen Entschlüsselungsprozess auszuführen, welcher den zum Verschlüsselungsprozess inversen Prozess darstellt. Ein Durchlauf des AES-Verschlüsselungsalgorithmus, wie er oben erwähnt ist, ist z.B. in den Offenlegungsschriften US 2003/0133568 A und KR 2002-061718 beschrieben.

Der Vorgang "Sub_Byte transformation", der eine nichtlineare Transformation darstellt, wird durch den Betrieb einer sogenannten S-BOX durchgeführt und verbraucht von allen Transformationen die meiste Energie bei einer herkömmlichen Implementierung des AES-Algorithmus. Als nichtlineare Transformationsfunktion substituiert die S-BOX Eingabedaten durch andere Daten. Die S-BOX verursacht aufgrund der Komplexität eines Speichers und eines Schaltkreises, die zur Implementierung der nichtlinearen Transformationsfunktion verwendet werden, einen hohen Leistungsverbrauch. Beispielsweise führt die S-BOX einen Substitutionsvorgang gemäß einer nichtlinearen Funktion unter Benutzung verschiedener Methoden aus, wie einer Nachlagetabelle (LUT), einer Summe von Produkten (SOP), einem Produkt von Summen (POS), einer Reed-Muller-Form positiver Polarität (PPRM-Form) und eines binären Entscheidungsdiagramms (BDD). Um für einen Eingabewert der S-BOX in einer typischen LUT-Implementierung einen transformierten Wert zu erhalten, werden Werte als eine LUT in einem Festwertspeicher (ROM) abgelegt. In Implementierungen gemäß den Techniken der SOP, POS, PPRM-Form und BDD und ähnlichen werden Daten in binärer Notation unter Benutzung von acht Eingaben ausgedrückt.

Eine gemeinsame Schwierigkeit herkömmlicher Implementierungen einer S-BOX unter Verwendung der obigen Methoden besteht darin, dass sie etwa 800 bis 2200 Gate-Einheiten benötigt. Die hohe Anzahl an erforderlichen Gate-Einheiten ist insbesondere für Hardware-Anwendungen mit limitierten Speicher- und Bandbreitenkapazitäten problematisch, wie für Smartcards und IC-Karten. Die hohe Anzahl an erforderlichen Gate-Einheiten ist zudem nicht gut für miniaturisierte Systeme ge eignet, die einen niedrigen Energieverbrauch und eine hohe Betriebsgeschwindigkeit erfordern.

Der Erfindung liegt als technisches Problem die Bereitstellung einer Vorrichtung und eines Verfahrens zur Hardware-Verschlüsselung der eingangs genannten Art zugrunde, mit denen sich die oben erwähnten Schwierigkeiten des Standes der Technik wenigstens teilweise beheben lassen und die insbesondere eine Hardware-Implementierung des AES-Algorithmus mit vergleichsweise niedrigem Leistungsbedarf und hoher Betriebsgeschwindigkeit erlauben.

Die Erfindung löst dieses Problem durch die Bereitstellung einer Verschlüsselungsvorrichtung mit den Merkmalen des Anspruchs 1 und eines Verschlüsselungsverfahrens mit den Merkmalen des Anspruchs 13.

Erfindungsgemäß wird das multiplikative Inverse jedes Elements in einem Eingabevektor einer S-BOX über GF(2⁸) unter Verwendung einer Operation über GF(((2²)²)²) berechnet, wodurch die Verschlüsselungsvorrichtung und das Verschlüsselungsverfahren eine Implementierung des AES-Algorithmus mit niedrigem Energiebedarf und hoher Betriebsgeschwindigkeit ermöglichen.

Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Vorteilhafte Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und werden nachfolgend beschrieben. Hierbei zeigen:
1 ein Blockdiagramm einer Vorrichtung zur Hardware-Verschlüsselung,
2 ein detaillierteres Blockdiagramm zur Veranschaulichung der Funktion einiger Module der Vorrichtung von 1,
3 ein detaillierteres Blockdiagramm zur Veranschaulichung der Funktion eines weiteren Moduls der Vorrichtung von 1,
4 ein Blockdiagramm einer Schlüsselbereitstellungseinheit für die Vorrichtung von 1,
5 ein Blockdiagramm einer in Subbyte-Schaltkreisen von 2 und 3 verwendbaren S-BOX,
6 ein Blockdiagramm einer Inversoperationseinheit von 5 zur Durchführung einer inversen Operation über GF(((2²)²)²),
7 ein Blockdiagramm eines ersten, in 6 verwendbaren Inversoperators zur Durchführung einer inversen Operation über GF((2²)²),
8 ein Blockdiagramm eines in 6 verwendbaren 4-Bit-Multiplizierers zur Durchführung einer Multiplikation über GF((2²)²),
9 ein Blockdiagramm eines in den 7 und 8 verwendbaren 2-Bit-Multiplizierers zur Durchführung einer Multiplikation über GF(2²),
10 ein Blockdiagramm einer Vorrichtung zur Hardware-Entschlüsselung, die zum Entschlüsseln von Chiffriertext geeignet ist, welcher von der Hardware-Verschlüsselungsvorrichtung von 1 übertragen wird,
11 ein Blockdiagramm zur Veranschaulichung der Funktion einiger Module in der Entschlüsselungsvorrichtung von 10,
12 ein Blockdiagramm zur Veranschaulichung der Funktion eines weiteren Moduls der Entschlüsselungsvorrichtung von 10 und
13 ein Blockdiagramm einer inversen S-BOX, die in inversen Subbyte-Schaltkreisen der 11 und 12 verwendbar ist.
1 zeigt eine Hardware-Verschlüsselungsvorrichtung 100, in der ein AES-Algorithmus implementiert ist und die einen Addierer 110 sowie eine Mehrzahl von Modulen 120 bis 150 umfasst, die zu jeweils einer von zehn Runden bzw. Durchläufen des AES-Algorithmus gehören. Die Hardware-Verschlüsselungsvorrichtung 100 umfasst des weiteren eine Schlüsselbereitstellungseinheit, z.B. die in 4 gezeigte Schlüsselbereitstellungseinheit 400, die einen Eingabeschlüssel INKEY für den Addierer 110 sowie Schlüssel KEY1 bis KEY10 für je eines der Module 120 bis 150 bereitstellt, wie weiter unten detaillierter erläutert. In jedem der Module 120 bis 150 wird typischerweise eine redundante Operation ausgeführt.
Der Addierer 110 addiert übertragene Daten TXD zum Eingabeschlüssel INKEY und gibt das Additionsergebnis als Eingabedaten an das Modul 120 aus. Die übertragenen Daten TXD haben typischerweise eine Blocklänge von 128 Bit. Die Module 120 bis 150 empfangen den jeweils zugehörigen Schlüssel KEY1 bis KEY10, die typischerweise eine Datenlänge von 128 Bit haben, wobei zehn Module 120 bis 150 vorgesehen sind, die wie gesagt zehn im AES-Algorithmus ausgeführten Durchläufen entsprechen. In Fällen, in denen die Schlüssel eine Datenlänge von 192 Bit oder 256 Bit haben, werden zwölf bzw. vierzehn Durchläufe des AES-Algorithmus ausgeführt. Das Modul 120 transformiert das Ausgangssignal des Addierers 110 in Chiffriertext unter Verwendung des Schlüssels KEY1. Entsprechend transformiert jedes der neun übrigen Module 130 bis 150 sequentiell den vom vorherigen Modul ausgegebenen Chiffriertext in einen geänderten Chiffriertext unter Verwendung des jeweiligen Schlüssels KEY2 bis KEY10. Das letzte Modul 150 transformiert den vom vorhergehenden Modul 140 abgegebenen Chiffriertext unter Verwendung des Schlüssels KEY10 in einen endgültigen Chiffriertext CIPHD. Dieser kann geheime Information enthalten, die z.B. von einem miniaturisierten System, wie einer Smartcard oder einer IC-Karte, übertragen wird. Die Hardware-Kryptographiemaschine 100 ist auch für Internet-Kommunikation, drahtlose LAN-Kommunikation und dergleichen einsetzbar, um geheime Information sicher zu übertragen und zu empfangen.
Im obigen Ausführungsbeispiel werden, da zehn Durchläufe im AES-Verschlüsselungsprozess benutzt werden, neun Mal Durchläufe mit den Operationen "Sub_Byte transformation", "Shift_Row transformation", "Mix_Column transformation" und "Add_Round_Key operation" ausgeführt, während ein letzter Durchlauf mit "Sub_Byte transformation", "Shift_Row transformation" und "Add_Round_Key operation", jedoch ohne "Mix_Column transformation", ein Mal ausgeführt wird.
Im allgemeinen verbraucht die Hardware-Verschlüsselungsvorrichtung 100 wegen der Komplexität eines Speichers und eines Schaltkreises zur Durchführung der "Sub_Byte transformation", bei der es sich um eine nichtlineare Transformation handelt, eine relativ hohe Leistung. Die Erfindung trägt dem dadurch Rechnung, dass eine Hardware-Kryptographiemaschine mit neuartiger S-BOX benutzt wird, wie sie in 5 bzw. 13 dargestellt ist. Die neuartige S-BOX wird in einem Sub_Byte-Schaltkreis 160 von 2, einem Subbyte-Schaltkreis 200 von 3, einem inversen Subbyte-Schaltkreis 1700 von 11 und einem inversen Subbyte-Schaltkreis 2100 in 12 eingesetzt und dazu verwendet, die "Sub_Byte transformation" und "inverse Sub_Byte transformation" in einer vom üblichen Stand der Technik verschiedenen Art und Weise auszuführen.
Gemäß einem Ausführungsbeispiel der Erfindung benutzt die Hardware-Verschlüsselungsvorrichtung 100 die S-BOX dazu, jedes Eingabeelement durch sein multiplikatives Inverses bzw. den Reziprokwert über GF(2⁸) unter Verwendung von Operationen über zusammengesetzte Felder von GF(2) zu ersetzen, d.h. GF(2²), GF((2²)²) und GF(((2²)²)²). Die Funktionsweise der S-BOX von 5 wird nachfolgend unter Bezugnahme auf die 2, 3 und 5 genauer erläutert.
2 veranschaulicht den Betrieb der Module 120 bis 140 von 1, die sich auf den ersten bis neunten Durchlauf des AES-Algorithmus beziehen. Wie aus 2 ersichtlich, umfasst jedes der Module 120 bis 140 einen Subbyte-Schaltkreis 160, einen Zeilenverschiebungs-Schaltkreis 170, einen Spaltenmischungs-Schaltkreis 180 und einen Addierer 190. Wie vorstehend erwähnt, werden die Operationen "Sub_Byte transformation", "Shift_Row transformation", "Mix_Column transformation" und "Add_Round_Key operation" in Form des ersten und neunten Durchlauf des AES-Algorithmus in dieser Art neun Mal durchgeführt.
Der Subbyte-Schaltkreis 160 benutzt die S-BOX von 5 zur Durchführung einer inversen Operation über GF(2⁸) für die "Sub_Byte transformation", indem er eine Operation über das zusammengesetzte Feld GF(((2²)²)²) ausführt. Mit anderen Worten wird die inverse Operation über GF(2⁸) durch die Operation über die zusammengesetzten Felder von GF(2) ausgeführt, d.h. GF(2²), GF((2²)²) und GF(((2²)²)²). Durch die Funktion der S-BOX werden Elemente eines Eingangsvektors INCIPH vom Subbyte-Schaltkreis 160 durch substituierende Elemente ersetzt, und der Subbyte-Schaltkreis 160 gibt Daten als Resultat dieses Betriebs der S-BOX in Form eines Subbyte-Ausgabevektors ab. Für weitere De tails der inversen Operation unter Verwendung der zusammengesetzten Felder kann auf die diesbezügliche Literatur verwiesen werden, z.B. den Beitrag "A Compact Rijndael Hardware Architecture with S-BOX Optimization" von Akashi Satoh, Sumio Morioka, Kohji Takano und Seiji Munetoh in ASIACRYPT 2001.
Die nachstehende Gleichung 1 zeigt ein primitives Polynom für GF(2⁸), GF(²), GF((2²)²) und GF(((2²)²)²) gemäß einem allgemeinen Kommunikationsstandard. GF(28): x8 + x4 + x3 + x + 1 GF(22): x2 + x + 1 GF((22)2): x2 + x + ϕ GF(((22)2)2): x2 + x + λ (1)
Das primitive Polynom gemäß Gleichung 1 ist ein irreduzibles Polynom, wobei λ = {1100}₂ ∊ GF((2²)²) und ϕ = {10}₂ ∊ GF(2²). Mit anderen Worten ist der erste Koeffizient λ eine Binärzahl {1100}₂ über GF((2²)²), und der zweite Koeffizient ϕ ist eine Binärzahl {10}₂ über GF(2²).
Um die Operation "Shift_Row transformation" auszuführen, empfängt der Zeilenverschiebungs-Schaltkreis 170 den Subbyte-Ausgabevektor als Eingabevektor und verschiebt diesen gemäß einer Zeileneinheits-Verschiebefunktion und gibt das Resultat als einen Zeilenverschiebungs-Ausgabevektor in einer Zeileneinheit ab.
Um die Operation "Mix_Column transformation" auszuführen, permutiert der Spaltenmischungs-Schaltkreis 180 den Zeilenverschiebungs-Ausgabevektor gemäß einer Spalteneinheits-Permutationsfunktion und gibt das Resultat als Spaltenmischungs-Ausgabevektor in einer Spalteneinheit ab.
Um die Operation "Add_Round_Key operaton" auszuführen, addiert der Addierer 190 den Ausgabevektor des Spaltenmischungs-Schaltkreises 180 zum zugehörigen Schlüssel KEYN der Schlüssel KEY1 bis KEY9 und gibt das Additionsergebnis als Chiffriertext OUTCIPH ab, der als Eingabe für das jeweils folgende Modul dient.
3 veranschaulicht die Betriebsweise des zum zehnten Durchlauf von 1 gehörigen Moduls 150, das hierzu einen Subbyte-Schaltkreis 200, einen Zeilenverschiebungs-Schaltkreis 210 und einen Addierer 220 umfasst. Wie oben erwähnt, werden während dieser zehnten und letzten Runde des AES-Algorithmus die Operationen "Sub-Byte transformation", "Shift_Row transformation" und "Add_Round_Key operation" jeweils ein Mal ausgeführt, wobei sie vom Subbyte-Schaltkreis 200, vom Zeilenverschiebungs-Schaltkreis 210 bzw. vom Addierer 220 in der gleichen Weise ausgeführt werden wie oben zum Subbyte-Schaltkreis 160, zum Zeilenverschiebungs-Schaltkreis 170 bzw. zum Addierer 190 von 2 beschrieben, worauf verwiesen werden kann.
4 veranschaulicht die zur Erzeugung der Schlüssel KEY1 bis KEY10 und des Eingabeschlüssels INKEY von 1 verwendbare Schlüsselbereitstellungseinheit 400 mit einem Register 410, einem Multiplexer 420 und einem Schlüsselgenerator 430. Der Eingabeschlüssel INKEY wird zur Verschlüsselung benutzt und typischerweise vom Systemnutzer bereitgestellt. Der Schlüsselgenerator 430 erzeugt den Schlüssel KEY1 für das Modul 120 unter Verwendung des über den Multiplexer 420 zugeführten Eingabeschlüssels INKEY. Die Schlüsselbereitstellungseinheit 420 führt dem Addierer 110 von 1 den Eingabeschlüssel INKEY zu einem Anfangszeitpunkt vor dem Betrieb des Moduls 120 zu. Typischerweise erfolgt die Bereitstellung des Eingabeschlüssels INKEY für den Addierer 110 von 1 und die Erzeugung des Schlüssels KEY1 durch den Schlüsselgenerator 430 während eines einzigen Zyklus eines nicht gezeigten Systemtaktes. Der vom Schlüsselgenerator 430 erzeug te Schlüssel KEY1 wird im Register 410 gespeichert und gleichzeitig dem Modul 120 zugeführt. Nach einem Taktzyklus wird der Schlüssel KEY1 vom Register 410 dem Multiplexer 420 zugeführt. Der Multiplexer 420 gibt selektiv den Eingabeschlüssel INKEY oder den vom Register 410 abgegebenen Schlüssel KEY1 abhängig vom logischen Zustand eines Steuersignals RNDST ab. Unter Verwendung des zugeführten Schlüssels KEY1 erzeugt der Schlüsselgenerator 430 dann den Schlüssel KEY2 und gibt diesen ab.
Auf diese Weise erzeugt der Schlüsselgenerator 430 sequentiell die weiteren Schlüssel KEY2 bis KEY10, die vom jeweiligen Modul 130 bis 150 für den zweiten bis zehnten Durchlauf verwendet werden, indem er dazu den Schlüssel des jeweils vorherigen Durchlaufs benutzt, der im Register 410 gespeichert ist. Beispielsweise empfängt der Schlüsselgenerator 430 den Schlüssel KEY1 vom Register 410 über den Multiplexer 420 und benutzt ihn zur Erzeugung des Schlüssels KEY2, der im zweiten Durchlauf vom Modul 130 benutzt wird.
Die Schlüsselbereitstellungseinheit 400 erzeugt in der oben beschriebenen Weise unter Verwendung des Eingabeschlüssels INKEY jeden der Schlüssel KEY1 bis KEY10, so dass die Module 120 bis 150 für die zehn Durchläufe des AES-Algorithmus mit den entsprechenden Schlüsseln KEY1 bis KEY10 versorgt werden. Da der Eingabeschlüssel INKEY dem Addierer 110 von 1 zugeführt wird und die Schlüssel KEY1 bis KEY10 sequentiell durch den Schlüsselgenerator 430 erzeugt werden, wozu wie oben erwähnt jeweils ein Zyklus des Systemtaktes benutzt wird, sind zehn Taktzyklen erforderlich, um den AES-Verschlüsselungsalgorithmus unter Verwendung der Hardware-Verschlüsselungsvorrichtung von 1 auszuführen. Folglich werden insgesamt 20 Taktzyklen zur Durchführung des Verschlüsselungsprozesses und des dazu inversen Entschlüsselungsprozesses benötigt. Wie sich aus den obigen Erläuterungen ergibt, ist nur eine minimale Anzahl an Taktzyklen gemäß der Erfindung zur Erzeugung von Schlüsseln für den AES-Verschlüsselungsprozess erforderlich, so dass ein schneller Betrieb bereitgestellt wird. Der Entschlüsselungsprozess wird weiter unten in Verbindung mit den 10 bis 13 näher erläutert.
5 veranschaulicht Aufbau und Funktionsweise der in den Subbyte-Schaltkreisen 160 und 200 der 2 und 3 verwendbaren, neuartigen S-BOX mit einer Einheit 161 für eine isomorphe Transformation δ, einer Einheit 162 für eine inverse Operation X^–1, einer Einheit 163 für eine inverse isomorphe Transformation δ^–1 und einer Einheit 164 für eine affine Transformation.
Die Einheit 161 führt die isomorphe Transformation δ aus, durch die ein Element über GF(⁸), welches jeweilige Elemente eines Eingangsvektors SBIN bildet, in ein Element über GF(((2²)²)²) transformiert, das von der Isomorphietransformationseinheit 161 abgegeben wird. Der Eingangsvektor SBIN besitzt 128 Bit und besteht aus 16 Elementen S00 bis S33 mit je 8-Bit-Daten. Die von der Isomorphietransformationseinheit 161 ausgeführte, isomorphe Transformation δ ist durch die folgenden Gleichungen 2 und 3 definiert: y = δ·x, (2)wobei x ein Eingangsvektor der Isomorphietransformationseinheit 161 und y ein durch die isomorphe Transformation δ transformierter Vektor ist, mit
Die Inversoperationseinheit 162 verarbeitet das von der Isomorphietransformationseinheit 161 abgegebene Element über GF(((2²)²)²) und gibt das multiplikative Inverse des Elements über GF(((2²)²)²) ab. Die Betriebsweise der Inversoperationseinheit 162 ist im Detail in 6 veranschaulicht.
Die Einheit 163 führt eine inverse isomorphe Transformation δ^–1 aus, durch die das von der Inversoperationseinheit 162 abgegebene, multiplikative Inverse des Elements über GF(((2²)²)²) in ein Element über GF(2⁸) transformiert wird, das dann von der Einheit 163 abgegeben wird. Die von der Einheit 163 ausgeführte, inverse isomorphe Transformation ist in den nachstehenden Gleichungen 4 und 5 definiert. x = δ–1·y, (4)wobei y den der Einheit 163 zugeführten inversen Vektor und x den durch die inverse isomorphe Transformation δ^–1 transformierten Vektor bezeichnet, mit
Die Einheit 164 führt eine affine Transformation mit dem von der Einheit 163 abgegeben Element über GF(2⁸) aus. Wie aus 5 ersichtlich, ergibt sich ein affin transformierter Vektor SBOUT mit 128 Bit bestehend aus 16 Elementen S00' bis S33' mit jeweils 8-Bit-Daten. Der Vektor SBOUT hat die gleiche Anzahl an Bit wie der Vektor SBIN, welcher der Isomorphietransformationseinheit 161 zugeführt wird. Die affine Transformation ist durch die nachstehende Gleichung 6 definiert.
wobei x₀ bis x₇ Bitwerte des 8-Bit-Datenelements über GF(2⁸), das von der Einheit 163 invers isomorph transformiert wurde, und x'₀ bis x'₇ Bitwerte des affin transformierten 8-Bit-Datenelements sind.
6 veranschaulicht detailliert die zur Durchführung der inversen Operation über GF(((2²)²)²) benutzte Inversoperationseinheit 162 von 5. Wie aus 6 ersichtlich, umfasst die Inversoperationseinheit 162 einen ersten Addierer 601, einen ersten Multiplizierer 602, einen ersten Quadrierer 603, einen ersten Koeffizientenmultiplizierer 608, einen zweiten Addierer 604, einen ersten Inversoperator 605, einen zweiten Multiplizierer 606 und einen dritten Multiplizierer 607. Der erste Addierer 601 addiert obere 4-Bit-Daten P_H[3:0] und untere 4-Bit-Daten P_L[3:0] der von der Isomorphietransformationseinheit 161 abgegebenen digitalen 8-Bit-Daten und gibt das Additionsergebnis als eine erste Summe ab. Der erste Multiplizierer 602 multipliziert die unteren 4-Bit-Daten P_L[3:0] mit der vom ersten Addierer 601 abgegebenen ersten Summe über GF((2²)²) und gibt das Multiplikationsergebnis als ein erstes Produkt ab. Der erste Quadrierer 603 empfängt die oberen 4-Bit-Daten P_H[3:0] und gibt das Quadrat derselben als ein erstes Quadraturresultat ab. Der erste Koeffizientenmultiplizierer 608 multipliziert das erste Quadraturresultat mit dem ersten Koeffizienten λ, wie er in der obigen Gleichung 1 definiert ist, und gibt das Multiplikationsergebnis als ein erstes Koeffizientenprodukt ab. Der zweite Addierer 604 addiert das erste Produkt mit dem ersten Koeffizientenprodukt des ersten Koeffizientenmultiplizierer 608 und gibt das Additionsergebnis als eine zweite Summe ab. Der erste Inversoperator 605 berechnet das Inverse der zweiten Summe über GF((2²)²) und gibt das berechnete Ergebnis ab. Die Betriebsweise des ersten Inversoperators 605 wird nachstehend unter Bezugnahme auf 7 näher erläutert.
Der zweite Multiplizierer 606 multipliziert die Ausgabe des ersten Inversoperators 605 mit der ersten Summe über GF((2²)²) und gibt das Multiplikationsergebnis als ein zweites Produkt oder als das Inverse P_L ^–1[3:0] der niedrigeren 4-Bit-Daten P_L[3:0] ab. Der dritte Multiplizierer 607 multipliziert die Ausgabe des ersten Inversoperators 605 mit den oberen 4-Bit-Daten P_H[3:0] und gibt das Multiplikationsergebnis als ein drittes Produkt oder das Inverse P_H ^–1[3:0] der oberen 4-Bit-Daten P_H[3:0] ab.
7 zeigt detaillierter Aufbau und Funktionsweise des ersten Inversoperators 605, der eine inverse Operation über GF((2²)²) ausführt. Wie aus 7 ersichtlich, umfasst der erste Inversoperator 605 von 6 einen dritten Addierer 701, einen vierten Multiplizierer 702, einen zweiten Quadrierer 703, einen zweiten Koeffizientenmultiplizierer 704, einen vierten Addierer 705, einen zweiten Inversoperator 706, einen fünften Multiplizierer 707 und einen sechsten Multiplizierer 708. Der dritte Addierer 701 addiert obere 2-Bit-Daten Q_H[1:0] mit unteren 2-Bit-Daten Q_L[1:0] von digitalen 4-Biten-Daten, welche die Ausgabe des zweiten Addierers 604 von 6 bilden, und gibt das Additionsresultat als eine dritte Summe ab. Der vierte Multiplizierer 702 multipliziert die dritte Summe mit den unteren 2-Bit-Daten Q_L[1:0] über GF(2²) und gibt das Multiplikationsergebnis als ein viertes Produkt ab. Der zweite Quadrierer 703 quadriert die oberen 2-Bit-Daten Q_H[1:0] und gibt das Resultat als ein zweites Quadraturresultat ab. Der zweite Koeffizientenmultiplizierer 704 multipliziert das zweite Quadraturresultat mit dem zweiten Koeffizienten θ, wie er in der obigen Gleichung 1 definiert ist, und gibt das Multiplikationsergebnis als ein zweites Koeffizientenprodukt ab. Der vierte Addierer 705 addiert das vierte Produkt zum zweiten Koeffizientenprodukt und gibt das Additionsergebnis als eine vierte Summe ab. Der zweite Inversoperator 706 berechnet das Quadrat der vierten Summe und gibt das Quadraturresultat als das Inverse der vierten Summe ab. Mit anderen Worten ist das Quadrat der vierten Summe gleich ihrem Inversen. Der fünfte Multiplizierer 707 multipliziert die Ausgabe des zweiten Inversoperators 706 mit der dritten Summe über GF(2²) und gibt das Multiplikationsergebnis als ein fünftes Produkt oder als das Inverse Q_L ¹[1:0] der niedrigeren 2-Bit-Daten Q_L[1:0] ab. Der sechste Multiplizierer 708 multipliziert die Ausgabe des zweiten Inversoperators 706 mit den oberen 2-Bit-Daten Q_H[1:0] über GF(2²) und gibt das Multiplikationsergebnis als ein sechstes Produkt oder als das Inverse Q_H ^–1[1:0] der oberen 2-Bit-Daten Q_H[1:0] ab.
8 zeigt detaillierter den Aufbau und die Funktionsweise der in 6 zur Durchführung der Multiplikation über GF((2²)²) benutzten 4-Bit-Multiplizierer 602, 606 und 607. Wie aus 8 ersichtlich, umfasst jeder der 4-Bit-Multiplizierer 602, 606 und 607 von 6 einen fünften Addierer 801, einen sechsten Addierer 802, einen siebten Multiplizierer 803, einen achten Multiplizierer 804, einen neunten Multiplizierer 805, einen siebten Addierer 806, einen dritten Koeffizientenmultiplizierer 807 und einen achten Addierer 808. Die 4-Bit-Multiplizierer 602, 606 und 607 empfangen jeweils zwei digitale 4-Bit-Datenwerte als einen ersten Operand A bzw. einen zweiten Operand B, um ein Multiplikationsresultat M der zwei digitalen 4-Bit-Datenwerte über GF((2²)²) zu berechnen.
Dazu addiert der fünfte Addierer 801 obere 2-Bit-Daten B_H[1:0] mit unteren 2-Bit-Daten B_L[1:0] des zweiten Operanden B und gibt das Additionsresultat als eine fünfte Summe ab. Der sechste Addierer 802 addiert die oberen 2-Bit-Daten B_H[1:0] mit unteren 2-Bit-Daten A_L[1:0] des ersten Operanden A und gibt das Additionsergebnis als eine sechste Summe ab. Der siebte Multiplizierer 803 multipliziert die unteren 2-Bit-Daten B_L[1:0] des zweiten Operanden B mit den unteren 2-Bit-Daten A_L[1:0] des ersten Operanden A über GF(2²) und gibt das Multiplikationsergebnis als ein siebtes Produkt ab. Der achte Multiplizierer 804 multipliziert die oberen 2-Bit-Daten B_H[1:0] des zweiten Operanden B mit den oberen 2-Bit-Daten A_H[1:0] des ersten Operanden A und gibt das Multiplikationsergebnis als ein achtes Produkt ab. Der neunte Multiplizierer 805 multipliziert die fünfte Summe mit der sechsten Summe über GF(2²) und gibt das Multiplikationsresultat als ein neuntes Produkt ab. Der siebte Addierer 808 addiert das neunte Produkt mit dem siebten Produkt und gibt das Additionsergebnis als obere 2-Bit-Daten M_H[1:0] des 4-Bit-Multiplikationsergebnisses M ab. Der dritte Koeffizientenmultiplizierer 807 multipliziert das achte Produkt mit dem zweiten Koeffizienten ϕ gemäß der obigen Gleichung 1 und gibt das Multiplikationsergebnis als ein drittes Koeffizientenprodukt ab. Der achte Addierer 808 addiert das sieb te Produkt mit dem dritten Koeffizientenprodukt und gibt das Additionsergebnis als untere 2-Bit-Daten M_L[1:0] des 4-Bit-Multiplikationsergebnisses M ab.
9 veranschaulicht Aufbau und Funktionsweise der 2-Bit-Multiplizierer 702, 707, 708, 803, 804 und 805 der 7 und 8, welche die Multiplikation über GF(2²) ausführen. Wie aus 9 ersichtlich, umfasst jeder der 2-Bit-Multiplizierer 702, 707, 708, 803, 804 und 805 der 7 und 8 ein erstes UND-Gatter 901, ein zweites UND-Gatter 902, ein drittes UND-Gatter 903, ein viertes UND-Gatter 904, ein erstes Exklusiv-ODER-Gatter 905, ein zweites Exklusiv-ODER-Gatter 906 und ein drittes Exklusiv-ODER-Gatter 907. Jeder der 2-Bit-Multiplizierer 702, 707, 708, 803, 804 und 805 empfängt zwei digitale 2-Bit-Datenwerte als einen dritten Operanden C bzw. vierten Operanden D, um das Multiplikationsresultat der beiden digitalen 2-Bit-Datenwerte über GF(2²) zu berechnen. Das Resultat der Multiplikation der Operanden C und D wird gemäß folgender Gleichung 7 berechnet. (ax + b)(cx + d) = acx2 + adx + bcx + bd = ac(x + 1) + adx + bcx + bd = (ac + ad + bc)x + (ac + bd) (7)
Dabei bezeichnen a und c obere sowie b und d untere Bits der 2-Bit-Daten.
Gleichung 7 wird folglich dadurch erhalten, dass der dritte Operand C mit „ax + b" und der vierte Operand D mit „cx + d" bezeichnet werden. Da ein primitives Polynom mit „x²+ x + 1" über GF(2²) bezeichnet wird und das primitive Polynom ein irreduzibles Polynom in der obigen Gleichung 1 ist, ist in der obigen Gleichung 7 „x²" gleich „x + 1".
Somit berechnen die 2-Bit-Multiplizierer 702, 707, 708, 803, 804 und 805 ihr jeweiliges Multiplikationsergebnis wie folgt. Das erste UND-Gatter 901 berechnet das logische Produkt der oberen Bits „a" und „c" des dritten Operanden C bzw. des vierten Operanden D und gibt das Resultat „ac" dieser Berechnung als ein erstes logisches Produkt ab. Das zweite UND-Gatter 902 berechnet das logische Produkt des unteren Bit „b" des dritten Operanden C mit dem oberen Bit „c" des vierten Operanden D und gibt das Resultat „bc" der Berechnung als ein zweites logisches Produkt ab. Das dritte UND-Gatter 903 berechnet das logische Produkt des oberen Bit „a" des dritten Operanden C mit dem unteren Bit „d" des vierten Operanden D und gibt das Resultat „ad" dieser Berechnung als ein drittes logisches Produkt ab. Das vierte UND-Gatter 904 berechnet das logische Produkt der unteren Bits „b" und „d" des dritten Operanden C bzw. des vierten Operanden D und gibt das Resultat „bd" dieser Berechnung als ein viertes logisches Produkt ab. Das erste Exklusiv-ODER-Gatter 905 berechnet die Exklusiv-ODER-Verknüpfung der Ausgabe „ac" des ersten UND-Gatters 901 mit der Ausgabe „bc" des zweiten UND-Gatters 902 und gibt das Resultat „ac + bc" dieser Berechnung als eine erste XOR-Ausgabe ab. Das zweite Exklusiv-ODER-Gatter 906 berechnet die Exklusiv-ODER-Verknüpfung der Ausgabe „ac + bc" des ersten Exklusiv-ODER-Gatters 905 mit der Ausgabe „ad" des dritten UND-Gatters 903 und gibt das Resultat „ac + ad + bc" dieser Berechnung als oberes Datenbit des Multiplikationsresultates ab. Das dritte Exklusiv-ODER-Gatter 907 berechnet die Exklusiv-ODER-Verknüpfung der Ausgabe des ersten UND-Gatters 901 mit der Ausgabe des vierten UND-Gatters 904 und gibt das Resultat „ac + bd" dieser Berechnung als unteres Datenbit des Multiplikationsresultates ab.
10 veranschaulicht ein Beispiel einer Hardware-Entschlüsselungsvorrichtung, die zum Entschlüsseln vom Chiffriertext eingesetzt werden kann, der von der Hardware-Verschlüsselungsvorrichtung von 1 erzeugt und übertragen wurde. Wie aus 10 ersichtlich, empfängt die Hardware-Entschlüsselungsvorrichtung Chiffriertext CIPHD, der von der Hardware-Verschlüsselungsvorrichtung 100 der 1 übertragen wurde, und entschlüsselt den Chiffriertext unter Verwendung eines von einem Systemnutzer bereitgestellten Eingabeschlüssels INKEY in Klartext. Der von der Hardware-Entschlüsselungsvorrichtung abgegebene Klartext kann geheime Informationen oder Authentikations-/Signaturdaten enthalten, die über ein System wie eine Smartcard, eine IC-Karte, das Internet, ein drahtloses LAN etc. übertragen werden. Im Entschlüsselungsprozess wird der oben erläuterte AES-Verschlüsselungsprozess umgekehrt ausgeführt. Wenn die Hardware-Verschlüsselungsvorrichtung 100 zehn AES-Durchläufe ausführt, wie in 1 angegeben, führt die Hardware-Entschlüsselungsvorrichtung zehn entsprechende zusätzliche Durchläufe umgekehrt zum Verschlüsselungsprozess aus, was in insgesamt zwanzig Durchläufen resultiert. Die Hardware-Entschlüsselungsvorrichtung benutzt einen Addierer 1100 sowie Module 1200 bis 1500, die zu Durchläufen 10 bis 1 gehören. Der Klartext wird vom letzten Modul 1500 abgegeben. Für die Durchführung der Entschlüsselung werden der Eingabeschlüssel INKEY und die weiteren Schlüssel KEY1 bis KEY10 in einer zur Nutzung bei der Verschlüsselung umgekehrten Reihenfolge verwendet.
Die Schlüsselbereitstellungseinheit 400 verwendet den Eingabeschlüssel INKEY zur Erzeugung der Schlüssel KEY1 bis KEY10 für die Entschlüsselung in gleicher Weise wie für den Verschlüsselungsprozess. Sobald der Schlüssel KEY10 erzeugt worden ist, wird der Entschlüsselungsprozess in der in 10 gezeigten Weise ausgeführt. Die Schlüsselbereitstellungseinheit 400 erzeugt die weiteren Schlüssel KEY9 bis INKEY zur Verwendung im jeweils zugehörigen Durchlauf 10 bis 1. Insgesamt werden somit zwanzig Zyklen des Systemtaktes benötigt, um die zehn Durchläufe für den Verschlüsselungsprozess und die zehn Durchläufe für den Entschlüsselungsprozess auszuführen, wie oben erläutert.
11 veranschaulicht detaillierter Aufbau und Funktionsweise der zum zehnten bis zweiten Durchlauf in der Hardware-Entschlüsselungsvorrichtung von 10 gehörigen Module 1200 bis 1400. Wie aus 11 ersichtlich, transformiert jedes der Module 1200 bis 1400 von 10 einen eingangsseitigen Chiffriertext I_INCIPH unter Verwendung einer mit "inverse Shift_Row transformation" bezeichneten Operation in einem entsprechenden Schaltkreis 1600 zur inversen Zeilenverschiebung. Die Ausgabe des Schaltkreises 1600 wird dann durch eine mit "inverse Sub-Byte transformation" bezeichnete Operation in einem entsprechenden inversen Subbyte-Schaltkreis 1700 transformiert. Ein Addierer 1800 addiert zur Ausgabe des inversen Subbyte-Schaltkreises 1700 den zum betreffenden Modul gehörigen Schlüssel KEYN und gibt das Additionsergebnis aus. Das Additionsergebnis wird durch eine finale, mit "inverse Mix_Column transformation" bezeichnete Operation in einem entsprechenden inversen Spaltenmischungs-Schaltkreis 1900 transformiert, der das Transformationsergebnis als Chiffriertext I_OUTCIPH abgibt.
12 zeigt detaillierter Aufbau und Funktionsweise des letzten Moduls 1500 von 10. Wie aus 12 ersichtlich, umfasst das Modul 1500 von 10 einen inversen Zeilenverschiebungs-Schaltkreis 2000, einen inversen Subbyte-Schaltkreis 2100 und einen Addierer 2200. Damit führt das Modul 1500, das zu einem finalen Durchlauf im Entschlüsselungsprozess gehört, einen Durchlauf aus, der die mit "inverse Shift_Row transformation", "inverse Sub_Byte transformation" und "Add_Round_Key operation" bezeichneten Operationen umfasst.
13 veranschaulicht eine inverse S-BOX, wie sie in den inversen Subbyte-Schaltkreisen 1700 und 2100 der 11 und 12 eingesetzt werden kann. Wie aus 13 ersichtlich, führt die inverse S-BOX eine Transformation durch, die invers zu der von der S-BOX in 5 durchgeführten Transformation ist. Die inverse S-BOX benutzt dazu eine inverse affine Transformationseinheit 2300, eine Isomorphietransformati onseinheit 2400, eine Inversoperationseinheit 2500 und eine inverse Isomorphietransformationseinheit 2600. Der inverse Transformationsprozess gemäß den 10 bis 13 ist dem Fachmann ohne weiteres verständlich und kann vollständig in Hardware implementiert sein. Eine weitergehende detaillierte Beschreibung des inversen Transformationsprozesses ist daher an dieser Stelle entbehrlich.
Wie oben erläutert, berechnet die S-BOX von 5 in der Hardware-Kryptographiemaschine für den AES-Algorithmus mittels Durchführung der Operation "Sub_Byte transformation" das multiplikative Inverse eines Elements über GF(2⁸) unter Verwendung einer Operation über das zusammengesetzte Feld GF(((2²)²)²). Dabei werden von der Hardware-Krypographiemaschine keine Taktzyklen bei der Erzeugung des Schlüssels für den anfänglichen Durchlauf verschwendet. Die Hardware-Kryptographiemaschine benutzt eine optimierte Schlüsselbereitstellungseinheit 400 zur Erzeugung eines Schlüssels KEYN, der im jeweiligen Durchlauf verwendet wird, während jedes Taktzyklus. Dementsprechend weist die S-BOX von 5 bzw. die inverse S-BOX von 13 eine Größe von etwa 400 Gattern auf, was einen reduzierten Hardware-Aufwand bedeutet. Zudem wird die Anzahl benötigter Taktzyklen zur Berechnung der nichtlinearen Transformationsfunktion verringert. Die von der S-BOX in 5 bzw. der inversen S-BOX von 13 durchgeführten Operationen werden in Abhängigkeit von der variablen Länge der jeweiligen Schlüssel, die z.B. 128 Bit, 192 Bit oder 256 Bit betragen kann, in zehn, zwölf bzw. vierzehn Durchläufen ausgeführt.
Wie aus den obigen Erläuterungen deutlich wird, wird eine von der S-BOX benötigte Hardware-Fläche in der Hardware-Kryptographiemaschine minimiert, und auch die Anzahl benötigter Taktzyklen zur Erzeugung von Schlüsseln für den AES-Verschlüsselungsalgorithmus wird minimiert. Dementsprechend ergibt die Erfindung den Vorteil, dass sie einfach für miniaturisierte System wie Smartcards und IC-Karten an wendbar ist, bei denen nur wenig Hardware-Fläche zur Verfügung steht und eine hohe Betriebsgeschwindigkeit gefordert ist.

Claims

Vorrichtung zur Hardware-Verschlüsselung mit – einer Mehrzahl von sequentiell miteinander verbundenen Modulen (120 bis 150), wobei ein erstes Modul (120) einen ersten Schlüssel (KEY1) und Eingabedaten empfängt und einen Chiffriertext abgibt und jedes weitere Modul (130 bis 150) einen zugehörigen Schlüssel (KEY2 bis KEY10) und den vom vorhergehenden Modul abgegebenen Chiffriertext empfängt und einen Chiffriertext abgibt, und – einer Schlüsselbereitstellungseinheit (440) zur Bereitstellung der Schlüssel, dadurch gekennzeichnet, dass – jedes der Module (120 bis 150) eine S-BOX zur Berechnung eines multiplikativen Inversen jedes Elements in einem Eingabevektor (SBIN) über GF(2⁸) unter Verwendung einer Operation über GF(((2²)²)²) und zum Ersetzen jedes Elements im Eingabevektor durch ein Ersatzelement umfasst, das unter Verwendung eines Ergebnisses der Operation erhalten wird.
Vorrichtung nach Anspruch 1, weiter dadurch gekennzeichnet, dass die Schlüsselbereitstellungseinheit zur Erzeugung der mehreren Schlüssel (KEY1 bis KEY10) in Bezug auf einen Eingabeschlüssel (INKEY) eingerichtet ist und die Vorrichtung einen Addierer (110) aufweist, der zum Eingabeschlüssel Übertragungsdaten (TXD) addiert und die resultierende Summe als die Eingabedaten für das erste Modul (120) abgibt.
Vorrichtung nach Anspruch 1 oder 2, weiter dadurch gekennzeichnet, dass sie zehn, zwölf oder vierzehn Module beinhaltet.
Vorrichtung nach einem der Ansprüche 1 bis 3, weiter dadurch gekennzeichnet, dass jedes Modul mit Ausnahme des letzten Moduls folgende Elemente enthält: – einen Subbyte-Schaltkreis (160), der die zugehörige S-BOX zur Erzeugung eines Subbyte-Ausgabevektors aus einem Eingabevektor benutzt, – einen Zeilenverschiebungs-Schaltkreis (170), der den Subbyte-Ausgabevektor empfängt und in einer Zeileneinheit abhängig von einer Zeileneinheit-Verschiebefunktion verschiebt und das Resultat als einen Zeilenverschiebungs-Ausgabevektor abgibt, – einen Spaltenmischungs-Schaltkreis (180), der den Zeilenverschiebungs-Ausgabevektor in einer Spalteneinheit abhängig von einer Spalteneinheits-Permutationsfunktion permutiert und das Resultat als Spaltenmischungs-Ausgabevektor abgibt, und – einen Addierer (190), der den Spaltenmischungs-Ausgabevektor und einen zum zugehörigen Modul gehörigen Schlüssel addiert und die resultierende Summe abgibt, und/oder dass das letzte Modul folgende Elemente enthält: – einen Subbyte-Schaltkreis (200), der die zugehörige S-BOX zur Erzeugung eines Subbyte-Ausgabevektors aus einem Eingabevektor benutzt, – einen Zeilenverschiebungs-Schaltkreis (210), der den Subbyte-Ausgabevektor empfängt und in einer Zeileneinheit abhängig von einer Zeileneinheit-Verschiebefunktion verschiebt und das Resultat als einen Zeilenverschiebungs-Ausgabevektor abgibt, und – einen Addierer (220), der den Zeilenverschiebungs-Ausgabevektor und einen zum zugehörigen Modul gehörigen Schlüssel addiert und die resultierende Summe abgibt.
Vorrichtung nach einem der Ansprüche 1 bis 4, weiter dadurch gekennzeichnet, dass die S-BOX folgende Elemente enthält: – eine Isomorphietransformationseinheit (161) zur Transformation eines Elements über GF(2⁸) in ein Element über GF(((2²)²)²), – eine Inversoperationseinheit (162) zur Berechnung des Inversen des Elements über GF(((2²)²)²), – eine Einheit (163) zur inversen isomorphen Transformation, um das Inverse des Elements über GF(((2²)²)²) in ein transformiertes Element über GF(2⁸) zu transformieren, und – eine Einheit (164) zur affinen Transformation des transformierten Elements über GF(2⁸) in Abhängigkeit von einer affinen Transformationsfunktion.
Vorrichtung nach Anspruch 5, weiter dadurch gekennzeichnet, dass die Inversoperationseinheit folgende Elemente enthält: – einen ersten Addierer (601) zum Addieren oberer 4-Bit-Daten und unterer 4-Bit-Daten eines digitalen 8-Bit-Datenwerts, der das Element über GF(((2²)²)²) bildet, und zum Abgeben einer ersten Summe, – einen ersten Multiplizierer (602) zum Multiplizieren der ersten Summe mit den unteren 4-Bit-Daten über GF((2²)²) und zum Abgeben eines ersten Produkts, – einen ersten Quadrierer (603) zum Quadrieren der oberen 4-Bit-Daten und Abgeben eines ersten Quadraturergebnisses, – einen ersten Koeffizientenmultiplizierer (608) zum Multiplizieren des ersten Quadraturergebnisses mit einem ersten Koeffizienten (λ) und Abgeben eines ersten Koeffizientenproduktes, – einen zweiten Addierer (604) zum Addieren des ersten Produkts und des ersten Koeffizientenprodukts und zum Abgeben einer zweiten Summe, – einen ersten Inversoperator (605) zur Berechnung des Inversen der zweiten Summe über GF((2²)²), – einen zweiten Multiplizierer (606) zum Multiplizieren des Inversen der zweiten Summe über GF((2²)²) mit der ersten Summe über GF((2²)²) und zum Abgeben eines zweiten Produkts als dem Inversen der unteren 4-Bit-Daten und – einen dritten Multiplizierer (607) zum Multiplizieren des Inversen der zweiten Summe über GF((2²)²) mit den oberen 4-Bit-Daten über GF((2²)²) und zum Abgeben eines dritten Produkts als dem Inversen der oberen 4-Bit-Daten.
Vorrichtung nach Anspruch 6, weiter dadurch gekennzeichnet, dass der erste Inversoperator folgende Elemente enthält: – einen dritten Addierer (701) zum Addieren von oberen 2-Bit-Daten und unteren 2-Bit-Daten eines digitalen 4-Bit-Datenwertes, der die zweite Summe bildet, und zum Abgeben einer dritten Summe, – einen vierten Multiplizierer zum Multiplizieren der dritten Summe mit den unteren 2-Bit-Daten über GF(2²) und zum Abgeben eines vierten Produkts, – einen zweiten Quadrierer (703) zum Quadrieren der oberen 2-Bit-Daten und Abgeben eines zweiten Quadraturergebnisses, – einen zweiten Koeffizientenmultiplizierer (704) zum Multiplizieren des zweiten Quadraturergebnisses mit einem zweiten Koeffizienten (ϕ) und zum Abgeben eines zweiten Koeffizientenproduktes, – einen vierten Addierer (705) zum Addieren des vierten Produktes und des zweiten Koeffizientenproduktes und zum Abgeben einer vierten Summe, – einen zweiten Inversoperator (706) zur Berechnung eines Quadrats der vierten Summe als Inverses der vierten Summe, – einen fünften Multiplizierer (707) zum Multiplizieren des Inversen der vierten Summe mit der dritten Summe über GF(2²) und zum Abgeben eines fünften Produktes als Inverses der unteren 2-Bit-Daten und – einen sechsten Multiplizierer (708) zum Multiplizieren des Inversen der vierten Summe mit den oberen 2-Bit-Daten über GF(2²) und zum Abgeben eines sechsten Produktes als Inverses der oberen 2-Bit-Daten.
Vorrichtung nach Anspruch 6 oder 7, weiter dadurch gekennzeichnet, dass wenigstens einer von dem ersten, dem zweiten und dem dritten Multiplizierer folgende Elemente enthält: – einen fünften Addierer (801) zum Addieren oberer 2-Bit-Daten und unterer 2-Bit-Daten eines zweiten Eingabeoperanden (B) mit vier Bit und zum Abgeben einer fünften Summe, – einen sechsten Addierer (802) zum Addieren oberer 2-Bit-Daten und unterer 2-Bit-Daten eines ersten Eingabeoperanden (A) mit vier Bit und zum Abgeben einer sechsten Summe, – einen siebten Multiplizierer (803) zum Multiplizieren der unteren 2-Bit-Daten des ersten und des zweiten Eingabeoperanden über GF(2²) und zum Abgeben eines siebten Produkts, – einen achten Multiplizierer (805) zum Multiplizieren der oberen 2-Bit-Daten des ersten und des zweiten Eingabeoperanden über GF(2²) und zum Abgeben eines achten Produkts, – einen neunten Multiplizierer (805) zum Multiplizieren der fünften Summe mit der sechsten Summe über GF(2²) und zum Abgeben eines neunten Produkts, – einen siebten Addierer (806) zum Addieren des neunten Produkts und des siebten Produkts und zum Abgeben einer siebten Summe als obere 2-Bit-Daten eines 4-Bit-Multiplikationsresultats, – einen zweiten Koeffizientenmultiplizierer (807) zum Multiplizieren des achten Produkts mit einem zweiten Koeffizienten (ϕ) und zum Abgeben eines zweiten Koeffizientenproduktes und – einen achten Addierer (808) zum Addieren des siebten Produkts und des zweiten Koeffizientenprodukts und zum Abgeben einer achten Summe als untere 2-Bit-Daten des 4-Bit-Multiplikationsresultates.
Vorrichtung nach Anspruch 7 oder 8, weiter dadurch gekennzeichnet, dass wenigstens einer von dem vierten, dem fünften und dem sechsten Multiplizierer folgende Elemente enthält: – ein erstes UND-Gatter (901) zum Berechnen des logischen Produkts eines oberen Bit eines ersten Eingabeoperanden mit zwei Bit und eines oberen Bit eines zweiten Eingabeoperanden mit zwei Bit und zum Abgeben eines ersten logischen Produkts, – ein zweites UND-Gatter (902) zum Berechnen des logischen Produkts eines unteren Bit des ersten Eingabeoperanden und des oberen Bit des zweiten Eingabeoperanden und zum Abgeben eines zweiten logischen Produkts, – ein drittes UND-Gatter (903) zum Berechnen des logischen Produkts des oberen Bit des ersten Eingabeoperanden und eines unteren Bit des zweiten Eingabeoperanden und zum Abgeben eines dritten logischen Produkts, – ein viertes UND-Gatter (904) zum Berechnen des logischen Produkts des unteren Bit des ersten Eingabeoperanden und des unteren Bit des zweiten Eingabeoperanden und zum Abgeben eines vierten logischen Produkts, – ein erstes Exklusiv-ODER-Gatter (905) zur Exklusiv-ODER-Verknüpfung des ersten logischen Produkts und des zweiten logischen Produkts und zum Abgeben einer ersten XOR-Ausgabe, – ein zweites Exklusiv-ODER-Gatter (906) zur Exklusiv-ODER-Verknüpfung der ersten XOR-Ausgabe und des dritten logischen Produkts und zum Abgeben eines oberen Bit eines 2-Bit-Multiplikationsresultats und – ein drittes Exklusiv-ODER (907) zur Exklusiv-ODER-Verknüpfung des ersten logischen Produkts und des vierten logischen Produkts und zum Abgeben eines unteren Bit des 2-Bit-Multiplikationsresultats.
Vorrichtung nach Anspruch 8 oder 9, weiter dadurch gekennzeichnet, dass wenigstens einer von dem siebten, dem achten und dem neunten Multiplizierer folgende Elemente enthält: – ein erstes UND-Gatter (901) zum Berechnen des logischen Produkts eines oberen Bit eines dritten Eingabeoperanden mit zwei Bit und eines oberen Bit eines vierten Eingabeoperanden mit zwei Bit und zum Abgeben eines ersten logischen Produkts, – ein zweites UND-Gatter (902) zum Berechnen des logischen Produkts eines unteren Bit des dritten Eingabeoperanden und des oberen Bit des vierten Eingabeoperanden und zum Abgeben eines zweiten logischen Produkts, – ein drittes UND-Gatter (903) zum Berechnen des logischen Produkts des oberen Bit des dritten Eingabeoperanden und eines unteren Bit des vierten Eingabeoperanden und zum Abgeben eines dritten logischen Produkts, – ein viertes UND-Gatter (904) zum Berechnen des logischen Produkts des unteren Bit des dritten Eingabeoperanden und des unteren Bit des vierten Eingabeoperanden und zum Abgeben eines vierten logischen Produkts, – ein erstes Exklusiv-ODER-Gatter (905) zur Exklusiv-ODER-Verknüpfung des ersten logischen Produkts und des zweiten logischen Produkts und zum Abgeben einer ersten XOR-Ausgabe, – ein zweites Exklusiv-ODER-Gatter (906) zur Exklusiv-ODER-Verknüpfung der ersten XOR-Ausgabe und des dritten logischen Produkts und zum Abgeben eines oberen Bit eines 2-Bit-Multiplikationsresultats und – ein drittes Exklusiv-ODER (907) zur Exklusiv-ODER-Verknüpfung des ersten logischen Produkts und des vierten logischen Produkts und zum Abgeben eines unteren Bit des 2-Bit-Multiplikationsresultats.
Vorrichtung nach einem der Ansprüche 2 bis 10, weiter dadurch gekennzeichnet, dass die Schlüsselbereitstellungseinheit den ersten Schlüssel unter Verwendung des Eingabeschlüssels erzeugt und sequentiell die weiteren Schlüssel für die zugehörigen Module erzeugt, wobei zur Erzeugung jedes weiteren Schlüssels ein vorheriger, in einem Register gespeicherter Schlüssel benutzt wird und der Eingabeschlüssel dem Addierer zugeführt wird und der erste Schlüssel in einem einzigen Zyklus eines Systemtakts erzeugt wird.
Vorrichtung nach einem der Ansprüche 1 bis 11, weiter dadurch gekennzeichnet, dass die Schlüsselbereitstellungseinheit folgende Elemente enthält: – einen Multiplexer (420), der den Eingabeschlüssel und eine Ausgabe eines Registers empfängt und selektiv eine der empfangenen Eingaben basierend auf einem Steuersignal (RNDST) abgibt, und – einen Schlüsselgenerator (430), der die Ausgabe des Multiplexers empfängt und einen Schlüssel erzeugt und abgibt, der vom Registerempfangen wird.
Verfahren zur Hardware-Verschlüsselung, bei dem – eine Mehrzahl von Schlüsseln (KEY1 bis KEY10) entsprechend einer Mehrzahl von sequentiell angeordneten Modulen unter Verwendung eines Eingabeschlüssels (INKEY) erzeugt wird, – Eingabedaten in Chiffriertext unter Verwendung eines ersten der mehreren Module und eines ersten der Schlüssel transformiert werden und der Chiffriertext abgegeben wird und – der vom ersten Modul abgegebene Chiffriertext sequentiell unter Verwendung der weiteren Module und deren zugehöriger Schlüssel transformiert wird, dadurch gekennzeichnet, dass die Transformation der Eingabedaten in Chiffriertext folgende Schritte umfasst: – Empfangen der Eingabedaten als Eingabevektor in einer S-BOX und – Berechnen eines multiplikativen Inversen jedes Elements im Eingabevektor über GF(2⁸) unter Verwendung einer Operation über GF(((2²)²)²) und Ersetzen jedes Elements im Eingabevektor durch ein Ersatzelement, das unter Verwendung des Resultat der Operation erhalten wird.
Verfahren nach Anspruch 13, weiter gekennzeichnet durch das Addieren von Übertragungsdaten (TXD) zum Eingabeschlüssel (INKEY) und Abgeben einer resultierenden Summe als die Eingabedaten.
Verfahren nach Anspruch 13 oder 14, weiter dadurch gekennzeichnet, dass zehn, zwölf oder vierzehn Module vorgesehen werden.
Verfahren nach einem der Ansprüche 13 bis 15, weiter dadurch gekennzeichnet, dass das sequentielle Transformieren des vom ersten Modul abgegebenen Chiffriertextes in weitere Chiffriertexte folgende Schritte umfasst: – Empfangen eines Eingabesignals als Eingabevektor in eine S-BOX, Durchführen einer S-BOX-Operation und Abgeben eines Resultats der S-BOX-Operation, – Verschieben des Resultats der S-BOX-Operation in einer Zeileneinheit gemäß einer Zeileneinheits-Verschiebefunktion und Abgeben eines Verschiebeergebnisvektors, – Permutieren des Verschiebeergebnisvektors in einer Spalteneinheit gemäß einer Spalteneinheits-Permutationsfunktion und Abgeben eines entsprechenden Permutationsvektors und – Addieren des Permutationsvektors zu einem zugehörigen der Schlüssel und Abgeben einer resultierenden Summe als Eingabesignal für ein folgendes Modul, wobei eine letzte Transformation von Chiffriertext folgende Schritte umfasst: – Empfangen eines Eingabesignals als Eingabevektor in eine letzte S-BOX, Durchführen einer letzten S-BOX-Operation und Abgeben eines Resultats als letzte S-BOX-Operation, – Verschieben des Resultats der S-BOX-Operation in einer Zeileneinheit gemäß einer Zeileneinheits-Verschiebefunktion und Abgeben eines finalen Verschiebeergebnisvektors und – Addieren des finalen Verschiebeergebnisvektors zu einem zugehörigen der Schlüssel und Abgeben eines Resultats der Addition als Chiffriertext.
Verfahren nach einem der Ansprüche 13 bis 16, weiter dadurch gekennzeichnet, dass das Ersetzen des jeweiligen Elements im Eingabevektor mit einem Ersatzelement folgende Schritte umfasst: – Transformieren jedes Elements im Eingabevektor über GF(2⁸) in ein Element über GF(((2²)²)²), – Berechnen und Abgeben des multiplikativen Inversen des Elements über GF(((2²)²)²), – Transformieren des multiplikativen Inversen des Elements über GF(((2²)²)²) in ein transformiertes Element über GF(2⁸) und – Transformieren des transformierten Elements über GF(2⁸) gemäß einer affinen Transformationsfunktion.
Verfahren nach Anspruch 17, weiter dadurch gekennzeichnet, dass zur Berechnung des Inversen des Elements über GF(((2²)²)²) ein digitaler 8-Bit-Datenwert, der das Element über GF(((2²)²)²) bildet, in untere 4-Bit-Daten und obere 4-Bit-Daten aufgeteilt wird, um ein Inverses der oberen und der unteren 4-Bit-Daten über GF((2²)²) unter Verwendung einer einfachen Addition und Multiplikation zu berechnen.
Verfahren nach Anspruch 18, weiter dadurch gekennzeichnet, dass zur Berechnung des Inversen des Elements über GF((2²)²) die oberen und unteren 4-Bit-Daten, die das Element über GF((2²)²) bilden, jeweils in untere 2-Bit-Daten und obere 2-Bit-Daten aufgeteilt werden, um das Inverse der oberen und der unteren 2-Bit-Daten über GF(2²) unter Verwendung einer einfachen Addition und Multiplikation zu berechnen.
Verfahren nach einem der Ansprüche 13 bis 19, weiter dadurch gekennzeichnet, dass die Erzeugung der Schlüssel folgende Schritte umfasst: – Erzeugen des ersten Schlüssels unter Verwendung des Eingabeschlüssels und – sequentielles Erzeugen eines jeweils weiteren Schlüssels unter Verwendung des durch ein in der Sequenz vorhergehendes Modul benutzten, in einem Register gespeicherten Schlüssels, wobei die Bereitstellung des Eingabeschlüssels für den Addierer und die Erzeugung des ersten Schlüssels in einem einzigen Zyklus eines Systemtakts ausgeführt werden.