DE19936918A1 - Verschlüsselungsverfahren zum Ausführen von kryptographischen Operationen - Google Patents

Abstract

Die vorliegende Erfindung betrifft ein Verschlüsselungsverfahren sowie eine Verschlüsselungsvorrichtung, wobei wenigstens eine kryptographische Teiloperation y¶i¶ = f¶i¶(x¶i¶, k¶i¶) von digital als Datenbitworte gespeicherten Daten x¶i¶, k¶i¶ ausgeführt und das jeweilige Ergebnis bzw. jeweilige Zwischenergebnisse y¶i¶ digital als Datenbitworte abgespeichert bzw. zwischengespeichert werden. Hierbei wird wenigstens eines der Daten x¶i¶, k¶i¶ und/oder das Ergebnis bzw. wenigstens ein Zwischenergebnis y¶i¶ in Abhängigkeit von einem auf Zufallszahlen basierenden Steuersignal r¶i¶ wahlweise bitweise zu DOLLAR I1 und/oder DOLLAR I2 komplementiert oder nicht.

Description

Technisches Gebiet

Die Erfindung betrifft ein Verschlüsselungsverfahren, wobei wenigstens eine kryptographische Teiloperation y_i = f_i (x_i, k_i) von digital als Datenbit­ worte gespeicherten Daten x_i, k_i ausgeführt und das jeweilige Ergebnis bzw. jeweilige Zwischenergebnisse y_i digital als Datenbitworte abgespei­ chert bzw. zwischengespeichert werden, gemäß dem Oberbegriff des An­ spruchs 1. Die Erfindung betrifft ferner eine Verschlüsselungsvorrichtung mit einer Berechnungseinheit und Registern R_i, wobei die Berechnungs­ einheit wenigstens eine kryptographische Teiloperation y_i = f_i (x_i, k_i) von di­ gital in den Registern R_i der Verschlüsselungsvorrichtung als Datenbit­ worte gespeicherten Operanden x_i, k_i ausführt und das jeweilige Ergebnis bzw. Zwischenergebnisse y_i digital in den Registern R_i der Verschlüsse­ lungsvorrichtung als Datenbitworte abspeichert, bzw. zwischenspeichert, gemäß dem Oberbegriff des Anspruchs 8.

Stand der Technik

In vielen Datenverarbeitungsgeräten dienen kryptographische Operatio­ nen zum Schutz des Betriebes dieser Geräte bzw. zum Schutz von in dem Gerät transportierten Daten. Die hierfür notwendigen Berechnungsopera­ tionen werden dabei sowohl von Standard-Rechenwerken als auch von dedizierten Crypto-Rechenwerken durchgeführt. Ein typisches Beispiel für letzteres sind Chipkarten bzw. IC-Karten. Bei derartigen kryptographi­ schen Berechnungen, wie in Fig. 1 veranschaulicht, ist es oftmals not­ wendig, entsprechende Speicherbereiche bzw. Register des Datenverar­ beitungsgerätes mit Operanden x_i, k_i zu initialisieren. Während der i-ten Berechnung werden ggf Zwischenergebnisse y_i in Speicherbereichen oder Registern R_i abgelegt oder abschließend das Ergebnis der Berech­ nung zur Weiterverarbeitung in Speicherbereichen oder Registern abge­ legt. Das Register r_i befindet sich zwischen einer vorherigen i-ten krypto­ graphischen Berechnung und einer nachfolgenden (i+1)-ten kryptographi­ schen Berechnung. Bei den in diesem Zusammenhang verwendeten Da­ ten x_i , k_i bzw. Zwischenergebnissen y_i handelt es sich üblicherweise um sicherheitsrelevante Informationen, wie beispielsweise kryptographische Schlüssel oder Operanden.

Zur Berechnung der kryptographischen Algorithmen werden in den Daten­ verarbeitungsgeräten logische Verknüpfungen zwischen Operanden k_i bzw. Zwischenergebnissen y_i bzw. x_i , x_i+1 durchgeführt. In Abhängigkeit von der verwendeten Technologie führen diese Operationen, insbesonde­ re das Laden der Speicherbereiche bzw. Register mit Daten, zu einem erhöhten Stromverbrauch der Datenverarbeitungsgeräte. Bei komple­ mentärer Logik, wie beispielsweise der CMOS-Technik, tritt ein erhöhter Stromverbrauch dann auf, wenn der Wert einer Bit-Speicherzelle geändert wird, d. h. sein Wert sich von "0" auf "1" bzw. von "1" auf "0" ändert. Der erhöhte Verbrauch hängt dabei von der Anzahl der im Speicher bzw. Re­ gister geänderten Bitstellen ab. Mit anderen Worten lässt das Laden eines zuvor gelöschten Registers einen Stromverbrauch proportional zum Hamminggewicht des Operanden (= Anzahl der Bits mit dem Wert "1") bzw. der Differenz im Hamminggewicht ansteigen. Durch eine entspre­ chende Analyse dieser Stromänderung könnte es möglich sein, Informa­ tionen über die berechneten Operationen zu extrahieren, so dass eine erfolgreiche Kryptoanalyse von geheimen Operanden, wie beispielsweise kryptographischen Schlüsseln, möglich ist. Mittels Durchführung mehrerer Strommessungen am Datenverarbeitungsgerät könnten beispielsweise bei sehr kleinen Signaländerungen eine hinreichende Extraktion der Informa­ tionen ermöglicht werden. Andererseits könnten mehrere Strommessun­ gen eine ggf. erforderliche Differenzbildung ermöglichen. Diese Art der Kryptoanalyse wird auch als "Differential Power Analysis" bezeichnet, mittels derer ein Außenstehender durch reine Beobachtung von Änderun­ gen des Stromverbrauches des Datenverarbeitungsgerätes eine ggf. un­ berechtigte Kryptoanalyse der kryptographischen Operationen, Algorith­ men, Operanden bzw. Daten erfolgreich ausführen kann.

Aus der US 5 297 201 ist es bekannt, einen Hochfrequenz abstrahlenden Computer mit einer Einrichtung zu kombinieren, welche ebenfalls Hoch­ frequenz ähnlich zu derjenigen des Computers abstrahlt. Dadurch ist es für einen unberechtigten Dritten nicht mehr möglich, die Hochfrequenzab­ strahlung des Computers zu dekodieren. Eine Kryptoanalyse durch einen Dritten, der unmittelbar Zugang zum Computer hat, kann dieses System jedoch nicht verhindern.

Um bei Chipkarten eine Korrelation zwischen einer Ausgabe eines Ergeb­ nisses einer kryptographischen Operation bzw. einer Übertragung einer Schlüsselinformation für eine kryptographischen Operation und der kryp­ tographischen Operation selbst zu beseitigen ist es aus Patent Abstracts of Japan 100 69 222 A bekannt, das Ergebnis der kryptographischen Ope­ ration bzw. die Übertragung der Schlüsselinformation für die kryptographi­ schen Operationen zeitlich zu verzögern. Jedoch ist auch dieses System mittels der "Differential Power Analysis" analysierbar, da sich auch die verzögerte Datenübertragung im Stromverbrauch des Datenverarbei­ tungsgerätes verrät.

Darstellung der Erfindung, Aufgabe, Lösung, Vorteile

Es ist Aufgabe der vorliegenden Erfindung, ein verbessertes Verfahren sowie eine verbesserte Vorrichtung der obengenannten Art zur Verfügung zu stellen, welche die obengenannten Nachteile beseitigen und eine er­ folgreiche Kryptoanalyse mittels Beobachtung eines Stromverbrauches eines Datenverarbeitungsgerätes wirksam verhindert.

Diese Aufgabe wird durch ein Verfahren der o. g. Art mit den in Anspruch 1 gekennzeichneten Merkmalen gelöst.

Dazu ist es erfindungsgemäß vorgesehen, dass wenigstens eines der Daten x_i, k_i und/oder das Ergebnis bzw. wenigstens ein Zwischenergebnis y_i in Abhängigkeit von einem auf Zufallszahlen basierenden Steuersignal r_i wahlweise bitweise zu y=f(x, k) und/oder, y_i komplementiert wird oder nicht.

Dies hat den Vorteil, dass bei wiederholter Ausführung derselben krypto­ graphischen Operation andere Bitfolgen bearbeitet bzw. abgespeichert werden, so dass sich bei der jeweiligen Ausführung einer kryptographi­ schen Operation bzw. mehrerer kryptographischer Operationen andere Stromänderungen des Datenverarbeitungsgerätes ergeben. Unabhängig vom eigentlichen Wert der Teilergebnisse wird somit bei wiederholter Ausführung der Gesamtberechnung erreicht, dass jeder Datenpfad bei einer echten Zufallszahlenreihe gleichhäufig bzw. bei einer Pseudozufalls­ zahlenreihe nahezu gleichhäufig von "0" auf "0", von "0" auf "1", von "1" auf "0" und von "1" auf "1" wechselt. Da jedoch das auf Zufallszahlen ba­ sierende Steuersignal r_i nicht bekannt bzw. vorbestimmt ist, fehlt eine Kor­ relation zwischen den Stromänderungen und den Bitwerten der Daten und Ergebnisse, so dass eine "Differential Power Analysis" nicht mehr zu einer erfolgreichen Kryptoanalyse führt. Mit anderen Worten enthält der mittlere Stromverbrauch der Gesamtoperation keine brauchbare Information über die verwendeten Teiloperanden bzw. Zwischenergebnisse in den Teilope­ rationen.

Vorzugsweise Weitergestaltungen der Vorrichtung sind in den Ansprüchen 2 bis 7 beschrieben.

Zweckmäßigerweise werden in den kryptographischen Teiloperationen eine oder mehrere XOR-Verknüfungen (Exklusiv-Oder-Verknüfung) aus­ geführt.

Die Daten umfassen beispielsweise kryptographische Schlüssel und/oder Operanden.

In einer bevorzugten Ausführungsform werden Zwischenergebnisse y_i zwischen der Ausführung von aufeinander folgenden kryptographischen Teiloperationen in einem Register R_i zwischengespeichert und als Ope­ rand x_i+1 der nachfolgenden kryptographischen Teiloperationen zugeführt.

Zum Herstellen eines originalen, nicht invertierten Wertes nach jeder Tei­ loperation wird eine aus dem Zwischenergebnis y_i einer vorangegangenen Teiloperation i erhaltene Bitfolge x_i+1 = y_i für eine nachfolgende Teilopera­ tion i+1 bitweise zu x_i+1, komplementiert, wenn die Daten x_i, k_i der voran­ gegangenen Teiloperation i bitweise komplementiert wurden.

In einer besonders bevorzugten Ausführungsform werden bei der bitwei­ sen Komplementierung wenigstens ein Bitwert, insbesondere die geraden Bitwerte, die ungeraden Bitwerte oder alle Bitwerte, eines Datenbitwortes x_i , k_i, bzw. y_i invertiert. Hierbei ist es besonders vorteilhaft, wenn eine In­ vertierung von Bitwerten bzw. Bitadressen eines Datenbitwortes x_i, k_i, bzw. y_i bei der bitweisen Komplementierung mittels einer XOR-Operation (Ex­ klusiv-Oder-Operation) durchgeführt wird.

Bei einer Vorrichtung der o. g. Art ist erfindungsgemäß wenigstens ein von einem Steuersignal r_i steuerbarer Inverter für wenigstens eines der Daten x_i, k_i und/oder das Ergebnis bzw. wenigstens ein Zwischenergebnis y_i , ein Zufallszahlengenerator, welcher Zufallszahlen erzeugt, sowie eine Vor­ richtung zum Erzeugen des Steuersignals r_i auf den Zufallszahlen basie­ rend vorgesehen, wobei der steuerbare Inverter in Abhängigkeit von dem Steuersignal r_i wahlweise die Bitfolgen x_i, k_i bzw. y_i zu ihrem bitweisen Komplement x_i, k_i bzw. y_i, umsetzt oder unverändert lässt.

Dies hat den Vorteil, dass bei wiederholter Ausführung derselben krypto­ graphischen Operation andere Bitfolgen bearbeitet bzw. abgespeichert werden, so dass sich bei der jeweiligen Ausführung der kryptographischen Operation bzw. kryptographischen Operationen andere Stromänderungen des Datenverarbeitungsgerätes ergeben. Unabhängig vom eigentlichen Wert der Teilergebnisse wird somit bei wiederholter Ausführung der Ge­ samtberechnung erreicht, dass jeder Datenpfad bei einer echten Zufalls­ zahlenreihe gleichhäufig bzw. bei einer Pseudozufallszahlenreihe nahezu gleichhäufig von "0" auf "0", von "0" auf "1", von "1" auf "0" und von "1" auf "1" wechselt. Da jedoch das auf Zufallszahlen basierende Steuersi­ gnal r_i nicht bekannt bzw. vorbestimmt ist, fehlt eine Korrelation zwischen den Stromänderungen und den Bitwerten der Daten und Ergebnisse, so dass eine "Differential Power Analysis" nicht mehr zu einer erfolgreichen Kryptoanalyse führt. Mit anderen Worten enthält der mittlere Stromver­ brauch der Gesamtoperation keine brauchbare Information über die ver­ wendeten Teiloperanden bzw. Zwischenergebnisse in den Teiloperatio­ nen.

Vorzugsweise Weitergestaltungen der Vorrichtung sind in den Ansprüchen 9 bis 14 beschrieben.

In einer bevorzugten Ausführungsform ist wenigstens einem Register R_i ein Inverter nachgeschaltet, welcher das identische Steuersignal r_i erhält, wie die der i-ten Teiloperation vorgeschalteten Inverter für die Daten x_i, k_i. Dieser einem Register R_i der i-ten Teiloperation nachgeschaltete Inverter ist dabei bevorzugt mit einem der nachfolgenden (i+1)-ten Teiloperation vorgeschalteten Inverter für ein Eingangsdatum x_i+1 kombiniert. Der kom­ binierte Inverter erhält zweckmäßigerweise sowohl das Steuersignal r_i der vorangegangenen i-ten Teiloperation als auch das Steuersignal r_i+1 der nachfolgenden (i+1)-ten Teiloperation.

Die Daten umfassen beispielsweise kryptographische Schlüssel und/oder Operanden.

In einer bevorzugten Ausführungsform speichert ein Register R_i zwischen einer vorangegangenen i-ten Teiloperation und einer nachfolgenden (i+1)- ten Teiloperation ein Zwischenergebnis y_i der vorangegangenen i-ten Teiloperation und leitet dieses Zwischenergebnis als Eingangswert x_i+1 an die nachfolgende (i+1)-te Teiloperation weiter.

Zweckmäßigerweise invertiert die bitweise Komplementierung wenigstens einen Bitwert, insbesondere die geraden Bitwerte, die ungeraden Bitwerte oder alle Bitwerte, eines Datenbitwortes x_i, k_i bzw. y_i.

Kurze Beschreibung der Zeichnungen

Nachstehend wird die Erfindung anhand der beigefügten Zeichnungen näher erläutert. Diese zeigen in

Fig. 1 ein Ablaufschema eines Teiles einer kryptographischen Ope­ ration gemäß dem Stand der Technik,

Fig. 2 ein Ablaufschema eines Teiles einer ersten bevorzugten Ausführungsform einer erfindungsgemäßen kryptographi­ schen Operation und

Fig. 3 ein Ablaufschema eines Teiles einer zweiten bevorzugten Ausführungsform einer erfindungsgemäßen kryptographi­ schen Operation.

Bester Weg zur Ausführung der Erfindung

Bei der in Fig. 2 dargestellten ersten bevorzugten Ausführungsform eines erfindungsgemäßen Verschlüsselungsverfahrens wird durch eine Kette von Teiloperationen f_i (x_i, k_i ), innerhalb derer ein oder mehrere logische XOR-Verknüpfungen (Exklusiv-Oder-Verknüpfung) ausgeführt werden, eine kryptographische Gesamtoperation durchgeführt. Dargestellt sind zwei Teiloperationen, nämlich die i-te Teiloperation 10 und die (i+1)-te Teiloperation 12, wobei jede Teiloperation von einer Berechnungseinheit ausgeführt wird. Jeder Teiloperation 10, 12 ist eine Speicherzelle oder ein Register R_i 14 bzw. eine Speicherzelle oder ein Register R_i 16 nachge­ schaltet. Jede Teiloperation 10, 12 hat als Eingangswert ein Datum x_i , x_i+1 sowie einen Operanden k_i, k_i+1, welche als Datenbitworte zur Verfügung stehen.

Jeder Teiloperation 10, 12 vorgeschaltet ist jeweils ein steuerbarer Inver­ ter 18 bzw. 20 für die Daten x_i, x_i+1 sowie jeweils ein steuerbarer Inverter 22, 24 für die Operanden k_i, k_i+1. Ferner ist bei jeder Teiloperation 10, 12 dem jeweiligen Register R_i 14 bzw. R_i +R_i+1 16 ein steuerbarer Inverter 26, 28 für das Zwischenergebnis y_i, y_i+1 nachgeschaltet, wobei dieses Zwischen­ ergebnis von dem jeweiligen Register R_i 14 bzw. R_i+1 16 als Eingangsda­ ten x_i+1 bzw. x_i+2 an eine nachfolgende Teiloperation 12 weiter gegeben werden. Diese Inverter 18 bis 28 sind durch ein Steuersignal r_i bzw. r_i+1 derart steuerbar, dass sie in Abhängigkeit von dem jeweiligen Steuersi­ gnal r_i bzw. r_i+1 wahlweise die zugeordneten Datenbitworte bitweise kom­ plementieren oder nicht. Hierbei erhalten alle Inverter 18, 22, 26 bzw. 20, 24, 28 einer Teiloperation 10 bzw. 12 dasselbe Steuersignal r_i bzw. r_i+1. Mit anderen Worten wird die Entscheidung, ob eine Invertierung der ent­ sprechenden Eingangswerte der Inverter 18 bis 28 durchgeführt wird oder ob die Eingangswerte unbearbeitet die Inverter 18 bis 28 durchlaufen, durch das zusätzliche Steuersignal r_i bzw. r_i+1 entschieden. Diese Anord­ nung von Registern 14, 16 zwischen Teiloperationen 10, 12 findet vor al­ lem dann Anwendung, wenn die Teiloperationen 10, 12 zeitlich nachein­ ander von ein und derselben Einheit berechnet werden und somit die Teilergebnisse zwischengespeichert werden müssen.

Das Steuersignal wird durch Zufallswerte aus einem Zufallsgenerator da­ hingehend gesteuert, dass die Teiloperation abhängig vom Wert der Zu­ fallszahlen entweder das Originalergebnis y = f(x, k) oder das bitinvertierte Ergebnis y = f(x, k) liefert. Hierdurch wird realisiert, dass sowohl die Berechnung als auch die Speicherung der Daten in den Registern R_i 14, 18 entweder mit Originalwerten oder mit bitinvertierten Werten durchge­ führt wird. Unabhängig vom eigentlichen Wert der Teilergebnisse wird somit bei wiederholter Ausführung der Gesamtberechnung erreicht, dass jeder Datenpfad gleich häufig von "0" auf "0", von "0" auf "1", von "1" auf "0" und von "1" auf "1" wechselt. Der mittlere Stromverbrauch der Ge­ samtoperation enthält somit keine brauchbare Information über die ver­ wendeten Teiloperanden k_i bzw. Zwischenergebnisse y_i in den Teilopera­ tionen 10, 12. Der dem Register 14, 16 nachgeschaltete Inverter 26, 28 stellt für die folgende Teiloperation 12 wieder den originalen, nicht inver­ tierten Wert her.

Die zweite bevorzugte Ausführungsform des erfindungsgemäßen Ver­ sohlüsselungsverfahrens gemäß Fig. 3 entspricht der ersten Ausfüh­ rungsform von Fig. 2 mit dem einzigen Unterschied, dass die den Regi­ stern 14, 16 nachgeschalteten Inverter 26, 28 mit dem jeweiligen Ein­ gangsinverter 20 der folgenden Stufe 12 zu einem Inverter 30 kombiniert sind.

Die Inverter invertieren beispielsweise auch nur einen Teil der Bitwerte des jeweiligen Datenbitwortes. So werden beispielsweise nur die geraden oder ungeraden Bitworte bzw. Bitadressen invertiert. Die Invertierung der Bitwerte erfolgt beispielsweise mittels einer XOR-Operation (Exklusiv- Oder-Operation).

Bezugszeichenliste

10

i-te Teiloperation

12

(i+1)-te Teiloperation

14

Register R_i

,

16

Register R_i+1

18

steuerbarer Inverter für x_i

20

steuerbarer Inverter für x_i+1

22

steuerbarer Inverter für k_i

24

steuerbarer Inverter für k_i+1

26

steuerbarer Inverter für y_i

28

steuerbarer Inverter für y_i+1

30

kombinierter Inverter

Claims (14)

1. Verschlüsselungsverfahren, wobei wenigstens eine kryptographi­ sche Teiloperation y_i = f_i (x_i , k_i) von digital als Datenbitworte gespei­ cherten Daten x_i, k_i ausgeführt und das jeweilige Ergebnis bzw. je­ weilige Zwischenergebnisse y_i digital als Datenbitworte abgespei­ chert bzw. zwischengespeichert werden, dadurch gekennzeichnet, dass wenigstens eines der Daten x_i, k_i und/oder das Ergebnis bzw. we­ nigstens ein Zwischenergebnis y_i in Abhängigkeit von einem auf Zufallszahlen basierenden Steuersignal r_i wahlweise bitweise zu x_i, k_i und/oder y_i komplementiert wird oder nicht.

2. Verschlüsselungsverfahren nach Anspruch 1, dadurch gekennzeichnet, dass in den kryptographischen Teiloperationen eine oder mehrere XOR- Verknüpfungen (Exklusiv-Oder-Verknüpfung) ausgeführt werden.

3. Verschlüsselungsverfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Daten kryptographische Schlüssel und/oder Operanden umfas­ sen.

4. Verschlüsselungsverfahren nach einem der vorhergehenden An­ sprüche, dadurch gekennzeichnet, dass Zwischenergebnisse y_i zwischen der Ausführung von aufeinander folgenden kryptographischen Teiloperationen in einem Register R_i zwischengespeichert und als Operand x_i+1 der nachfolgenden kryptographischen Teiloperationen zugeführt werden.

5. Verschlüsselungsverfahren nach einem der vorhergehenden An­ sprüche, dadurch gekennzeichnet, dass eine aus dem Zwischenergebnis y_i einer vorangegangenen Teilope­ ration i erhaltene Bitfolge x_i+1 = y_i für eine nachfolgende Teiloperati­ on i+1 bitweise zu x_i+1, komplementiert wird, wenn die Daten x_i , k_i der vorangegangenen Teiloperation i bitweise komplementiert wur­ den.

6. Verschlüsselungsverfahren nach einem der vorhergehenden An­ sprüche, dadurch gekennzeichnet, dass bei der bitweisen Komplementierung wenigstens ein Bitwert, insbe­ sondere die geraden Bitwerte, die ungeraden Bitwerte oder alle Bitwerte, eines Datenbitwortes x_i, k_i , bzw. y_i invertiert werden.

7. Verschlüsselungsverfahren nach einem der vorhergehenden An­ sprüche, dadurch gekennzeichnet, dass eine Invertierung von Bitwerten bzw. Bitadressen eines Datenbit­ wortes x_i, k_i , bzw. y_i bei der bitweisen Komplementierung mittels ei­ ner XOR-Operation (Exklusiv-Oder-Operation) durchgeführt wird.

8. Verschlüsselungsvorrichtung mit einer Berechnungseinheit und Registern R_i (14, 16), wobei die Berechnungseinheit wenigstens ei­ ne kryptographische Teiloperation y_i = f_i (x_i, k_i) (10, 12) von digital in den Registern R_i (14, 16) der Verschlüsselungsvorrichtung als Da­ tenbitworte gespeicherten Operanden x_i, k_i ausführt und das jewei­ lige Ergebnis bzw. Zwischenergebnisse y_i digital in den Registern R_i (14, 16) der Verschlüsselungsvorrichtung als Datenbitworte abspei­ chert bzw. zwischenspeichert, dadurch gekennzeichnet, dass wenigstens ein von einem Steuersignal r_i steuerbarer Inverter (18 bis 28; 30) für wenigstens eines der Daten x_i, k_i und/oder das Er­ gebnis bzw. wenigstens ein Zwischenergebnis y_i, ein Zufallszahlen­ generator, welcher Zufallszahlen erzeugt, sowie eine Vorrichtung zum Erzeugen des Steuersignal r_i auf den Zufallszahlen basierend vorgesehen ist, wobei der steuerbare Inverter (18 bis 28; 30) in Ab­ hängigkeit von dem Steuersignals r_i wahlweise die Bitfolgen x_i, k_i bzw. y_i zu ihrem bitweisen Komplement x_i , k_i, bzw. y_i umsetzt oder unverändert lässt.

9. Verschlüsselungsvorrichtung nach Anspruch 8, dadurch gekennzeichnet, dass wenigstens einem Register R_i (14, 16) ein Inverter (26, 28; 30) nachgeschaltet ist, welcher das identische Steuersignal r_i erhält, wie die der i-ten Teiloperation (10, 12) vorgeschalteten Inverter (18, 20) für die Daten x_i, k_i.

10. Verschlüsselungsvorrichtung nach Anspruch 9, dadurch gekennzeichnet, dass der einem Register R_i (14, 16) der i-ten Teiloperation (10, 12) nachgeschaltete Inverter (26, 28) mit einem der nachfolgenden (i+1)-ten Teiloperation (12) vorgeschalteten Inverter (20) für ein Eingangsdatum x_i+1 kombiniert ist.

11. Verschlüsselungsvorrichtung nach Anspruch 10, dadurch gekennzeichnet, dass der kombinierte Inverter (30) sowohl das Steuersignal r_i der voran­ gegangenen i-ten Teiloperation (10) als auch das Steuersignal r_i+1 der nachfolgenden (i+1)-ten Teiloperation (12) erhält.

12. Verschlüsselungsvorrichtung nach einem der Ansprüche 8 bis 11, dadurch gekennzeichnet, dass die Daten kryptographische Schlüssel und/oder Operanden umfas­ sen.

13. Verschlüsselungsvorrichtung nach einem der Ansprüche 8 bis 12, dadurch gekennzeichnet, dass ein Register R_i (14, 16) zwischen einer vorangegangenen i-ten Teiloperation (10) und einer nachfolgenden (i+1)-ten Teiloperation (12) ein Zwischenergebnis y_i der vorangegangenen i-ten Teilopera­ tion (10) speichert und dieses Zwischenergebnis als Eingangswert x_i+1 an die nachfolgende (i+1)-te Teiloperation (12) weiterleitet.

14. Verschlüsselungsvorrichtung nach einem der Ansprüche 8 bis 13, dadurch gekennzeichnet, dass die bitweise Komplementierung wenigstens einen Bitwert, insbe­ sondere die geraden Bitwerte, die ungeraden Bitwerte oder alle Bitwerte, eines Datenbitwortes x_i, k_i, bzw. y_i invertiert.