DE20114371U1 - Kommunikationssystem zum Austausch mit beliebig wählbaren Einmalschlüsseln verschlüsselter Daten - Google Patents

Description

KommunJkationssystem zum Austausch mit beliebig wählbaren Einmalschlüsseln verschlüsselter Daten Beschreibung

Die Erfindung betrifft Kommunikationssysteme beliebiger Art zum verschlüsselten Austausch beliebig gearteter, in &eegr; (&eegr; >= 2) Datenblöcke D₀ bis D_n_i aufteilbarer Daten, eines kontinuierlichen Datenstromes DS unbestimmter Länge, einer Folge einer bestimmten Anzahl &eegr; und einer unbestimmten Anzahl von Nachrichten zwischen mindestens zwei Kommunikationspartnern.

In Kommunikationssystemen mit verschlüsseltem Datenaustausch nach dem Stand der Technik werden die verwendeten Schlüssel entweder als Geheimnis direkt verwendet oder von einem oder mehreren Geheimnissen abgeleitet. Das/Die Geheimnisse müssen alle Kommunikationspartnem bekannt sein, welche die verschlüsselten Daten entschlüsseln und damit Zugriff auf die Originaldaten erlangen wollen. Hat ein Angreifer ein solches Geheimnis einmal gelüftet, ist er in der Lage alle abgeleiteten Schlüssel selbst abzuleiten und damit die komplette verschlüsselte Kommunikation zu entschlüsseln. Dies gilt sowohl für die bereits zuvor als auch für alle zukünftig verschlüsselten Daten. Ein solches System besitzt demnach weder perfekte Rück- noch Vorwärtssicherheit (PBS/PFS - engt, perfect backward/forward security). Zur Erzielung von perfekter Rück- und Vorwärtssicherheit kann in regelmäßigen Abständen das gemeinsame Geheimnis durch ein neues ersetzt werden, welches in keinem Bezug zu den vorherigen Geheimnissen steht. Hat der Angreifer in diesem Fall ein Geheimnis gelüftet, kann er mit diesem Wissen nur den Teil der verschlüsselten Daten entschlüsseln, welcher mit dem gelüfteten Geheimnis verschlüsselt wurde oder in Zukunft verschlüsselt wird. Im Falle des Internet Key Exchange (IKE) Protokolls nach RFC 2409 (siehe auch "IPSec", 2000, Addison Wesley, S. 117ff, insbesondere auch S. 142) kann eine limitierte oder perfekte Vorwärtssicherheit durch regelmäßigen Geheimnisaustausch zwischen den Parteien - z.B.: nach Diffie-Hellmann (US-Latent 42QQ7-70)jodenRSA (US Pgfterft 44P5£2$) - erreicht werden,

• · i

wobei der Daten-ZNachrichtenstrom mit von dem jeweils letzten Geheimnis abgeleiteten Schlüsseln verschlüsselt wird. Dabei erfordern die häufigen Geheimnisaustausche einen relativ hohen Zeit- und Rechenaufwand und müßten, um perfekte Vorwärtssicherheit für jeden Datenblock zu garantieren und jeden Datenblock mit einem absolut unabhängigen Schlüssel zu verschlüsseln, jeweils vor der Verschlüsselung jedes einzelnen Datenblokkes erfolgen. In der Praxis ist dies jedoch ein zu hoher Aufwand und reduziert die effektive Bandbreite der verschlüsselten Nutzdatenübertragung so stark, daß der Geheimnisaustausch nur in größeren Abständen erfolgt und alle dazwischen zu übertragenen Datenblöcke mit von einem Geheimnis abgeleiteten Schlüssel verschlüsselt werden. In der Praxis bietet ein solches System also nur eine limitierte Rück- und Vorwärtssicherheit.

Verschiedene blockorientierte Verschlüsselungssysteme und -verfahren sind bereits aus US 5003597, PCT/NL94/00245 und US 5799089, US 5870470, US 5974144, US 5987124 und Verschlüsselungssysteme- und verfahren mit variablen Schlüsseln aus US 5425103, US 5488661, US 5619576, US 5621799 bekannt.

PCT/NL94/00245 und US 5003597 beschreiben eine Verschlüsselungsmethode, welche einen Teil der Eingangsdaten benutzt, um auf eine Tabelle von Zufallszahlen zuzugreifen. Diese Zufallszahlen werden in mehreren Iterationen mit den Eingangsdaten durch Exklusive-Oder (XOR) Operationen verknüpft, solange, bis die Daten vollständig zufällig erscheinen. Der Nachteil dieser Methode ist, daß sowohl Sender als auch Empfänger die Tabelle der Zufallszahlen bekannt sein muß.
US 5799089 beschreibt ein Verfahren zur Verschlüsselung von Daten, welche in N Blöcke von 2^m Bits aufgeteilt werden können, wobei der Verschlüsseier zunächst die Reihenfolge der N Blöcke umkehrt, bevor er eine XOR-Operation und anschließend eine Verschlüsselungsfunktion auf jedem Datenblock ausführt. Da keine weiteren Schlüsselmanagementmittel beschrieben werden, muß man davon ausgehen, daß der verwendete Verschlüsselungsalgorithmus stets denselben Schlüssel verwendet.
US 5870470 und US5987124 beschreiben Verfahren für die Verschlüsselung von langen Blöcken mit Hilfe eines Verschlüsselungsalgorithmus für kurze Datenblöcke, wobei die originalen Daten zunächst maskiert und anschließend ein Teil der maskierten Daten verschlüsselt werden. Zusätzlich können die Eingangsdaten oder zusätzliche zur Maskierung verwendete Daten durch einen Zähler, Zeitstempel, Zufallszahlen oder andere Mittel, bei jeder Verschlüsselung modifiziert werden.

US 5974144 beschreibt ein Verfahren zur Verschlüsselung von partitionierten Datenblök-

ken mit Hilfe von öffentlichen Schlüsseln und Zufallszahlen, wobei der erste Benutzer einen ersten geheimen und einen ersten öffentlichen Schlüssel und der zweite Benutzer einen zweiten geheimen und einen zweiten öffentlichen Schlüssel besitzt, und ein globaler Schlüssel von dem zweiten öffentlichen und dem ersten geheimen Schlüssel abgeleitet wird. Das Verfahren teilt u.a. jeden Datenblock in mehrere Subblöcke auf, verschlüsselt sie durch sequentielle XOR-Operationen, teilt den so verschlüsselten Datenblock in zwei Teile auf, erzeugt in Abhängigkeit vom ersten Teil eine Zufallszahl, und verschlüsselt mit dieser Zufallszahl den zweiten Teil des Datenblockes.
US 5425103 beschreibt ein Verschlüsselungssystem mit variablen Schlüsseln, wobei jeder Benutzer- bzw. Basisschlüssel nach einer genau beschriebenen Prozedur von einem Eingabebenutzerschlüssel bzw. vorbestimmten Basisschlüssel abgeleitet wird, so daß die verwendeten Benutzer- bzw. Basisschlüssel bei Kenntnis des Eingabebenutzerschlüssels bzw. des vorbestimmten Basisschlüssels reproduziert werden können.
US 5488661 beschreibt mehrere Verschlüsselungssysteme, welche für jeden Verschlüsselungsvorgang einen Schlüssel aus einer Menge von vorherbestimmten Schlüsseln anhand der verschlüsselten Daten des vorherigen Verschlüsselungsvorgangs auswählt und die originalen Daten mit Hilfe des ausgewählten Schlüssels verschlüsselt.
US 5619576 beschreibt ein Verschlüsselungssystem mit variablen Schlüsseln, wobei der endgültige Schlüssel durch Manipulation eines oder mehrerer Benutzerschlüssel, eines Basisschlüssels und den zu verschlüsselnden Daten, und Kombination der manipulierten Schlüssel mit den Daten mit Hilfe einer Exklusiven-Oder-Funktion (XOR) berechnet wird. Dabei wird für jeden Datenblock ein neuer endgültiger Schlüssel berechnet und verwendet.

US 5621799 beschreibt Verschlüsselungssysteme mit zwei Zufallszahlengeneratoren mit unterschiedlichen Intervallen, wobei das Intervall des ersten länger ist als das des zweiten Zufallszahlengenerators und die Zufallszahl des ersten Zufallsgenerators als Basis für den zweiten Zufallszahlengenerator verwendet wird, und darüberhinaus Mittel enthält, um die Zufallszahl des ersten Generators zusammen mit den verschlüsselten Daten zu multiplexer Dabei werden stets die Zufallszahl des ersten Generators mit den durch dieselbe Zufallszahl des ersten Generators erzeugten zweiten Zufallszahl verschlüsselten Daten zusammen gemultiplext. Der zweite Zufallsgenerator muß reproduzierbar aus einer übertragenen ersten Zufallszahl stets dieselbe zweite Zufallszahl - also eine deterministische Pseudozufallszahl - erzeugen.

Keines der bekannten Verfahren verwendet jedoch für jeden Datenblock einen neuen Schlüssel, welcher u.a. von einem Basisschlüssel und vom Verschlüsseier absolut beliebig wählbaren Teilschlüsseln abhängt, wobei in jedem verschlüsselten Datenblock VDj sowohl die originalen Daten D₁ als auch der Teilschlüssel TSj₊₁ für den nächsten verschlüsselten Datenblock VD_j+i enthalten sind.
Die Aufgabe des vorliegenden Patentes besteht in dem verschlüsselten Austausch

1. beliebig gearteter Daten, welche in eine bestimmte Anzahl &eegr; Datenblöcken aufgeteilt werden können,

2. eines kontinuierlichen Datenstromes unbestimmter Länge,

3. einer Folge einer bestimmten Anzahl &eegr; Nachrichten, und

4. einer Folge einer unbestimmten Anzahl Nachrichten

zwischen mindestens zwei Kommunikationspartnern mit perfekter Rück- und Vorwärtssicherheit und vertretbarem Zeit- und Rechenaufwand.

Das vorliegende Patent löst die gestellte Aufgabe durch Kommunikationssysteme bestehend aus mindestens zwei Kommunikationspartnern nach den Oberbegriffen der Ansprüche 1 bis 4, in denen ein Datenblock bzw. ein Datenstrom in Teilblöcke mit jeweils beliebiger Länge aufgeteilt werden und jeder einzelne Teilblock bzw. jede Nachricht einer Nachrichtenfolge zusammen mit einem beliebig wählbaren Teilschlüssel für den nächsten Datenblock bzw. Nachricht verschlüsselt wird. Dabei sind die Verschlüsselungsalgorithmen VAj und Schlüsselfunktionen SF₁ beliebig - auch für jede einzelne Iteration wählbar, solange der Entschlüsseier den zu VAj gehörenden Entschlüsselungsalgorithmus EAj und die Schlüsselfunktion SF₁ entweder kennt oder anhand der ihm bereits bekannten Daten ermitteln kann.

In Kommunikationssystemen nach Ansprüchen 1 und 3, welche eine bestimmte Anzahl &eegr; von Datenblöcken bzw. Nachrichten voraussetzen, ist es nicht erforderlich, in der letzten Iteration den nächsten Schlüssel S_n zu berechnen (Anspruch 5).

Kommunikationssysteme nach Ansprüchen 1 bis 5 setzen voraus, daß sowohl dem Verschlüsseier als auch dem Entschlüsseier derselbe Basisschlüssel BS bekannt ist. Die Art und Weise, aufweiche die beteiligten Parteien die Kenntnis des Basisschlüssel erlangen bzw. sich gegenseitig die Kenntnis desselben Basisschlüssels nachweisen, kann beispielsweise nach einem der bereits bekannten Schlüsselaustauschverfahren (Anspruch 6) bzw. Wissensverifikationsverfahren (Anspruch 7) erfolgen, wobei es besonders vorteilhaft ist, wenn bei dem verwendete« WissefisJ/erifiK^tiö'rjsvQrfahfeii der Basisschlüssel

nicht zwischen Verschlüsseier und Entschlüsseier bzw. Sender und Empfänger ausgetauscht wird (Anspruch 8). Die Teilschlüssel TSj können vom jeweiligen Verschlüsseier absolut frei, insbesondere auch pseudozufällig (Anspruch 9) oder absolut zufällig (Anspruch 10), gewählt werden. Selbstverständlich decken Ansprüche 1 bis 10 auch die Spezialfälle ab, daß erstens mindestens zweimal - insbesondere auch für alle i - derselbe Verschlüsselungs- und Entschlüsselungsalgorithmus verwendet wird (Anspruch 11), oder zweitens der Verschlüsselungsalgorithmus VAj aus einer vorgegebenen Menge MVAj von verschiedenen Verschlüsselungsalgorithmen beliebig anhand der bereits bekannten Schlüssel S₀,...,Sj, Daten D₀,...,&udigr;&mgr;, Teilschlüssel TSi,...,TSj oder den verschlüsselten Daten VD, bzw. der verschlüsselten Nachricht VN, gewählt wird, so daß der zu VAj gehörende Entschlüsselungsalgorithmus EA₁ für den Entschlüsseier bzw. die Empfänger implizit anhand der bereits bekannten Schlüssel Sq,...,Sj, Daten D₀,...,Dj.-), Teilschlüssel TS-|,...,TSj oder den verschlüsselten Daten VD, bzw. der verschlüsselten Nachricht VN₁ aus genannter Menge MVAj bestimmbar ist (Anspruch 12), wobei die Mengen der Verschlüsselungsalgorithmen MVA₁ für alle bzw. einen Teil der Iterationen identisch (Anspruch 13) oder verschieden sein können. Ansprüche 14 bis 16 betreffen Spezialfälle zur Auswahl der Schlüsselfunktionen SFj. Ansprüche 17 bis 19 beschreiben die Erweiterung der zu verschlüsselnden Daten um pseudozufällige oder absolut zufällige Zusatzdaten zur weiteren Erschwerung von statistischen Angriffen.
Durch die absolut freie Wahl der Teilschlüssel TSj und der Berechnung der Schlüssel Sj+i in Abhängigkeit von allen dem Ver- und Entschlüsseier bekannten Daten - insbesondere des Basisschlüssels selbst und aller vorherigen Teilschlüssel -, kann ein Angreifer allein mit dem Wissen, welches er durch die erfolgreiche Entschlüsselung eines/r Datenblockes/Nachricht erlangt, weder vorherige noch zukünftige Datenblöcke/Nachrichten entschlüsseln. Wählt man insbesondere die Teilschlüssel pseudozufällig oder absolut zufällig und als Schlüsselfunktion eine starke Einwegfunktion, ist es auch nicht möglich, durch - heutzutage sehr beliebte und in vielen Fällen sehr erfolgreiche - statistische Attacken eventuell den Basisschlüssel zu ermitteln, da die verwendeten Schlüssel Sj wegen der zunehmenden Zufälligkeit der einfließenden Teilschlüssel zunehmend statistisch gleichverteilt sind und somit immer weniger statistisch verwertbare Informationen enthalten.

Die neuen Teilschlüssel TSj₊₁ werden zusammen mit den Daten/Nachrichten D/Nj verschlüsselt und übertragen, so daß die in den Ansprüchen dieses Patentes beschriebenen Kommunikationssysteme perfekte Vorwärts- und Rückwärtssicherheit bieten, ohne in regelmäßigen Abständen gemeinsame Geheimnisse austauschen zu müssen. Vielmehr wird die originale Datenmenge lediglich um die Teilschlüssel erhöht und für jede/n Datenblock/Nachricht ein neuer Schlüssel berechnet.

Gleichzeitig garantiert die Zufälligkeit der Teilschlüssel und das gemeinsame Verschlüsseln der originalen Daten zusammen mit einem Teilschlüssel, daß - selbst bei denselben originalen Daten, demselben Schlüssel und demselben Verschlüsselungsalgorithmus bei jedem Verschlüsselungsvorgang stets unterschiedliche verschlüsselte Daten erzeugt werden. Eine Eigenschaft, welche bei Systemen und Verfahren nach dem Stand der Technik nur durch Mischung der originalen Daten mit zufälligem Datenballast (sogenanntes "Salt") erreicht werden kann, welcher ansonsten keine weitere Funktionen erfüllt. Gerade die Doppelfunktion der beliebig wählbaren Teilschlüssel gleichzeitig als "Salt" zu wirken ist einer der besonderen Vorteile der in diesem Patent beschriebenen Kommunikationssysteme.
Gegenüber US 5870470 und US5987124 betrifft ein Kommunikationssystem nach Ansprüchen 1 bis 4 eher das Schlüsslemanagement als konkrete Verschlüsselungsalgorithmen, insbesondere ist z.B. die Maskierung der originalen Daten nicht erforderlich. Gleichwohl kann natürlich ein Verschlüsselungsverfahren nach US 5870470 oder US5987124 als Verschlüsselungsalgorithmus in einem Kommunikationssystem nach Ansprüchen 1 bis 4 eingesetzt werden. Ferner beschreiben weder US 5870470 noch US5987124 Kommunikationssysteme und/oder Verfahren mit beliebig wählbaren Einmalschlüsseln, so daß bei der Verschlüsselung davon ausgegangen werden muß, daß stets derselbe Schlüssel verwendet wird.
Abbildung 1 illustriert den allgemeinen Ablaufplan der Datenverschlüsselung in einem Kommunikationssystem nach einem der Ansprüche 1, 2 oder 5 a) auf der Seite des Verschlüsselers und b) des Entschlüsselet. Zunächst setzen Verschlüsseier und Entschlüsseier zur Initialisierung der Iterationsschleifen i = 0 und verwenden als ersten Schlüssel S₀ den ihnen bekannten Basisschlüssel BS.

Zu Beginn der i-ten Iterationsschleife wählt der Verschlüsseier zunächst einen beliebigen Teilschlüssel TSj₊-). Anschließend berechnet er mit Hilfe eines beliebig wählbaren Verschlüsselungsalgorithmus VA,- in Abhängigkeit von denjbereits bekannten Schlüsseln S₀

IiSI *· · · · ··

= BS, Si bis Sj, den originalen Daten D₀ bis Dj, sowie den Teilschlüsseln TS₀ bis TS_j+1 die verschlüsselten Daten VDj

(1) VDj = VA_i(S₀,..,Sj,D₀,..,DjJS_1l.. JS₁₊₁)
und den Schlüssel Sj₊₁ für die nächste Iteration

(2) S₁₊₁ =SF_i+1(S₀,..,S_i,D₀,..,Dj JS₁₁-JSj₊₁),
wobei in der ersten Iteration (i = 0) die Berechnungen nach

(3) VD₀ = VA₀(S₀₁D₀JS₁)

(4) S₁=SF₁(S₀₁D₀JS₁)

erfolgen.

Der Entschlüsseier berechnet mit Hilfe des zu VA, gehörenden Entschlüsselungsalgorithmus EAj in Abhängigkeit von den bereits bekannten Schlüsseln S₀ bis Sj₁ den bereits entschlüsselten originalen Daten D₀ bis Dj_-1, sowie den Teilschlüsseln TS₀ bis TSj aus den verschlüsselten Daten VDj die originalen Daten Dj und den Teilschlüssel TS_i+i

(5) (DjJSj₊₁) = EAi(S_o,..,Si,Do,..,D_i._1>TS₁,.._ITSi,VDi)
sowie den Schlüssel S_i+1 für die nächste Iteration

(6) S_i+1 = SFj₊₁(S₀,..,Sj₁D₀,..,Dj JS₁,.. JSj₊₁),
wobei in der ersten Iteration (i = 0) die Berechnungen

(7) (D₀JS₁) = EA₀(S₀₁VD₀)

(8) S₁=SF₁(S₀₁D₀JS₁)
folgen.

Nach Ver- bzw. Entschlüsselung des i-ten Datenblockes setzen Ver- bzw. Entschlüsseier i auf i+1 und wiederholen denselben Vorgang für den nächsten Datenblock. Bei Verschlüsselung einer endlichen Anzahl von Datenblöcken wird dieser Vorgang solange fortgesetzt, bis der letzte Datenblock (n-1) ver- bzw. entschlüsselt wurde. Bei Verschlüsselung eines kontinuierlichen Datenstromes nach Anspruch 2 wiederholen Ver- und Entschlüsseier die Iterationen endlos.

Der verschlüsselte Austausch beliebiger Daten, welche in eine bestimmte oder unbestimmte Anzahl von Datenblöcken aufgeteilt werden können, in einem Kommunikationssystem nach einem der Ansprüche 1 oder 2 läßt sich auch auf den Fall der nachrichtenorientierten Kommunikation zwischen 2 oder mehr Kommunikationspartnern anwenden. In diesem Fall kann jede einzelne Nachricht selbst in mehrere Datenblöcke zerlegt und nach Anspruch 1 versQhJüsseJJ wßrdeji, oder, die einzeJnen Nachfichten als jeweils eine

Verschlüsselungseinheit (Datenblock) dienen (Ansprüche 3 und 4). Wichtig ist nur, daß alle Partner denselben Basisschlüssel BS kennen und jeder Empfänger den kompletten Satz aller verschlüsselten Nachrichten in der korrekten Reihenfolge erhält. Dabei ist die Anzahl der Empfänger prinzipiell unbeschränkt und kann frei gewählt werden. Ferner ist es unerheblich, welcher der Kommunikationspartner die i-te Nachricht verschlüsselt, solange sichergestellt ist, daß alle beteiligten Partner den lückenlosen Nachrichtenstrom in der richtigen Reihenfolge kennen. So kann beispielsweise ein Nachrichtenstrom von einem einzigen Sender oder einzelne Nachrichten von verschiedenen Sendern verschlüsselt und an alle anderen Empfänger übermittelt werden, solange alle beteiligten Partner den kompletten Nachrichtenstrom zur Verfügung haben.

Abbildung 2 veranschaulicht die Verschlüsselung einer Folge von Nachrichten zwischen einem Sender P-) und einem Empfänger P₂ mit Übertragung einer verschlüsselten Nachricht VN, während jeder Iteration. Zunächst setzen Sender und Empfänger zur Initialisierung der Iterationsschleifen i = 0 und verwenden als ersten Schlüssel S₀ den beiden bekannten Basisschlüssel BS.

Zu Beginn der i-ten Iterationsschleife wählt der Sender zunächst einen beliebigen Teilschlüssel TSj₊-). Anschließend berechnet er mit Hilfe eines beliebigen Verschlüsselungsalgorithmus VAj in Abhängigkeit von den bereits bekannten Schlüsseln S₀ = BS, S₁ bis Sj, den originalen Nachrichten N₀ bis Nj, sowie den Teilschlüsseln TS₀ bis TS_j+i die verschlüsselte Nachricht VNj

(9) VNj = VA,(So,..,Si,N_Ol..,N,_ITS_1l.._lTSi₊₁),

überträgt VN₁ an den Empfänger, und berechnet den Schlüssel S_i+i für die nächste Iteration

(10) S_i+1 = SF_i+1(So,.._>S_i>No,..,N_ilTS_1l..,TS_i+1),
wobei in der ersten Iteration (i = 0) die Berechnungen nach

(11) VN₀ = VA₀(So₁N₀JS₁)

(12) S₁=SF₁(So₁No₁TS₁)
erfolgen.

Der Empfänger empfängt die verschlüsselte Nachricht VN, und berechnet mit Hilfe des zu VAj gehörenden Entschlüsselungsalgorithmus EA₁ in Abhängigkeit von den bereits bekannten Schlüsseln S₀ bis Sj, den bereits entschlüsselten originalen Nachrichten N₀

bis Nj.-), sowie den bereits bekannten Teilschlüsseln TS₀ bis TS₁ aus den verschlüsselten Daten VN₁ die originale Nachricht N, und den Teilschlüssel TS_i+1

(13) (NjJSj₊₁) = EAj(S₀, ..,Sj₁N₀... ,N_M JS₁₁₁-JSj₁VDj)
sowie den Schlüssel Sj₊₁ für die nächste Iteration

(14) Sj₊₁ = SF_i+1(S₀,..,Sj,N₀,..,N₁JS₁,.. JSj₊₁),
wobei in der ersten Iteration (i = 0) die Berechnungen

(15) (N₀₁TSi) = EA₀(S₀₁N₀)

(16) S₁=SF₁(S₀₁N₀JS₁)
folgen.

Nach Ver- bzw. Entschlüsselung der i-ten Nachricht setzen Sender bzw. Empfänger i auf i+1 und wiederholen denselben Vorgang für die nächste Nachricht. Bei Verschlüsselung einer endlichen Anzahl von Nachrichten wird dieser Vorgang solange fortgesetzt, bis die letzte Nachricht (n-1) ver- bzw. entschlüsselt wurde. Bei Verschlüsselung eines kontinuierlichen Nachrichtenstromes nach Anspruch 4 wiederholen Sender und Empfänger die Iterationen endlos.

In Abbildung 3 ist ein weiteres Beispiel eines Kommunikationssystems nach einem der Ansprüche 3 oder 4 abgebildet. Im Gegensatz zum Beispiel von Abbildung 2 wechseln sich in diesem Beispiel P₁ und P₂ als Sender bzw. Empfänger in Iteration k und k+1 gegenseitig ab. Diese Variante eignet sich besonders gut für ein transaktionsorientiertes Client/Server-System, in welchem ein Client (P₁) eine Anforderung in Iteration k an den Server (P₂) schickt und der Server in Iteration k+1 dem Client antwortet, woraufhin der Client mit der nächsten Anforderung fortfährt.
Die Wahl der Verschlüsselungsalgorithmen VAj ist in so fern beliebig, als es für jeden Verschlüsselungsalgorithmus VA₁ einen Entschlüsselungsalgorithmus EA₁- geben muß, mit dessen Hilfe der Entschlüsseier mit Kenntnis der bereits berechneten Schlüssel S₀,...,Sj, der bereits entschlüsselten Daten D₀,...,Dj.-), sowie der bereits übertragenen Teilschlüssel TS-),...,TSj aus den/r verschlüsselten Daten/Nachricht VD/Nj die originalen) Daten/Nachricht D/Nj und den Teilschlüssel TSj₊₁ ermitteln kann.
Die Ver- und Entschlüsselungsalgorithmen VAj und EAj können sowohl alle spezifizierten Parameter explizit verwenden als auch nur eine beliebige Teilmenge der spezifizierten Parameter explizit verwenden und von den übrigen Parametern unabhängig sein.

ta · · · • · · ♦

Zur Reduzierung des notwendigen Rechenaufwandes sind die folgenden Spezialfälle besonders vorteilhaft:

Die Verschlüsselungsalgorithmen VA₁ hängen lediglich vom zuletzt berechneten Schlüssel Sj, dem zuletzt gewählten Teilschlüssel TS_j+i und den/r zu verschlüsselnden Daten/ Nachricht D/Nj ab
(17)

VD| =

bzw. VN₁ =

Die Schlüsselfunktionen SF_i+i hängen nur von dem zuletzt gewählten Teilschlüssel TSj₊₁ ab

(18) Sj₊₁=SFj₊₁(TSj₊₁),

mit dem Trivialbeispiel S_i+1 = TSj₊₁. In diesem Fall kann ein Angreifer nach Entschlüsselung der i-ten Daten/Nachricht VD/Nj auch die i+1-te(n) Daten/Nachricht VD/N_i+1 und somit alle folgenden verschlüsselten Daten bzw. Nachrichten entschlüsseln. Ein solches System bietet also nur eine perfekte Rückwärtssicherheit und keine perfekte Vorwärtssicherheit.

Dieser Nachteil kann durch zusätzliche Abhängigkeit der Schlüsselfunktionen SF₁₊₁ von Basisschlüssel S₀ behoben werden

(19) Sj₊₁= SF_i+1 (S₀JSi₊₁).

Falls es einem Angreifer gelingt, die i-ten Daten/Nachricht VD/Nj zu entschlüsseln und er damit sowohl den i-ten Schlüssel Sj als auch den i+1-ten Teilschlüssel TS_j+1 kennt, genügt dieses Wissen nicht aus, um den i+1-ten Schlüssel S_i+1 zu bestimmen und damit die i+1-ten Daten/Nachricht VD/N_j+1 zu entschlüsseln, da hierzu zusätzlich die Kenntnis des Basisschlüssels S₀ erforderlich ist. In diesem Fall könnte der Angreifer eventuell nach erfolgreichem Entschlüsseln mehrerer Daten/Nachrichten eventuell durch statistische Analysen den Basisschlüssel erraten.

Die statistische Analyse der verwendeten Schlüssel S, mit dem Ziel den zugrundeliegenden Basisschlüssel zu ermitteln, kann durch zusätzliche Abhängigkeit der Schlüsselfunktionen SFj₊₁ von allen zuvor verwendeten Schlüsseln S₀ bis Sj

(20) Sj₊₁= SFi₊₁(S₀,.,SjJSj₊₁)

oder durch Hinzunahme der originalen Daten/Nachrichten D/N₀,..,D/Nj

(21) S_j+1 = SF_i+1(S₀,..,Sj,D/N₀,..,D/Ni,TS_j+1) oder durch Hinzunahme der vorherigen Teilschlüssel TS₁ ,..,TSj

(22) S_i+1 = SF_i+1(So,..,Sj_>D/N_o>..,D/N_i>TS_1>.. ,

wesentlich erschwert werden. In diesen Fällen benötigt ein Angreifer die vollständige Kenntnis mindestens eines Teiles bzw. der gesamten Vorgeschichte, um aus einem/r entschlüsselten Datenblock/Nachricht den Schlüssel für die nächste(n) Daten/Nachricht bestimmen zu können. Da die Teilschlüssel TS_j+i beliebig - insbesondere auch absolut zufällig - gewählt werden können, wird eine statistische Analyse der verwendeten Schlüssel mit dem Ziel den zugrundeliegenden Basisschlüssel zu bestimmen wesentlich erschwert. Durch die zunehmende Abhängigkeit von den Teilschlüsseln TS₁- nähert sich die Verteilung der verwendeten Schlüssel Sj mit steigender Anzahl von Iterationen immer mehr einer statistischen Gleichverteilung an, was die Bestimmung des Basisschlüssels durch statistische Analyse der verwendeten Schlüssel Sj zunehmend erschwert.

Die beste Chance für einen Angreifer besteht demnach darin, die erste(n) verschlüsselten Daten/Nachricht VD/N₀ zu entschlüsseln und so eventuell den Basisschlüssel S₀ direkt zu bestimmen. Dies kann jedoch beispielsweise durch Wahl eines besonders starken Verschlüsselungsalgorithmus VA₀ und/oder eines besonders langen Basisschlüssel S₀ erschwert werden. Ferner besteht auch die Möglichkeit, eine bestimmte Anzahl von verschlüsselten Datenblöcken/Nachrichten zu Beginn der verschlüsselten Kommunikation über einen unabhängigen separaten Kommunikationskanal - wie z.B. auf einem speziellen Netzwerkpfad, telefonisch, schriftlich, per Firmware oder per separatem Datenträger - zu übertragen, welcher für einen potentiellen Angreifer mit größtmöglicher Wahrscheinlichkeit nicht zugänglich ist. Schon der Schlüssel S₁ = SF₁(So₁TS₁) der zweiten verschlüsselten Daten/Nachricht VD/N-) enthält mit TS₁ die erste Zufallskomponente. Für alle folgenden verschlüsselten Daten/Nachrichten steigt das Gewicht der Zufallskomponente durch die hinzukommenden Teilschlüssel TS, mit jeder Iteration weiter an.

Falls es einem Angreifer gelingt, die i-te(n) Daten/Nachricht VD/Nj zu entschlüsseln und er damit sowohl den i-ten Schlüssel Sj als auch den i+1-ten Teilschlüssel TS₁₊₁ kennt, genügt dieses Wissen nicht aus, um den i+1-ten Schlüssel S_i+1 zu bestimmen und damit die i+1-te(n) Daten/Nachricht VD/N_i+1 zu entschlüsseln, da hierzu mindestens die Kenntnis des Basisschlüssels S₀ bzw. der gesamten Schlüsselvorgeschichte S₀ bis Sj₁ ja sogar der gesamten originalen Daten/Nachrichten D/N_o bis D/N, oder Teilschlüssel TS₁ bis TSj erforderlich ist.

&iacgr; &idigr;

&iacgr; &idigr; · J

: : J &idigr;

In einem konkreten Beispiel eines Kommunikationssystems nach einem der Ansprüche 1 bis 2 kann der Basisschlüssel S₀ = BS mit einer Länge von 256 Bits dem Verschlüsseier und dem/den Entschlüsseler(n) bereits bekannt sein, oder nach einem der bekannten Schlüsselaustauschverfahren - wie Diffie-Hellmann (US Patent 4200770) oder IKE (Internet RCF 2409, "IPSec", 2000, Addison-Wesley, p. 117ff) - zu Beginn untereinander ausgetauscht werden. Die zu verschlüsselnden Daten werden in Datenblöcke derselben Länge wie der Basisschlüssel (256 Bits) aufgeteilt, wobei der letzte Datenblock notfalls bis zur Schlüssellänge mit beliebigen Daten erweitert werden kann. Auch die Teilschlüssel TSj besitzen alle dieselbe Länge wie der Basisschlüssel (256 Bits). In jeder Iteration wird zunächst ein neuer Teilschlüssel TSj mit Hilfe eines Pseudozufallsgenerators erzeugt und mit den zu verschlüsselnden Daten Dj in einem 512-Bit langen Datenblock DjTSj₊₁ zusammengeführt, der Datenblock DjTSj₊₁ - bestehend aus den beidenTeilblökken Dj und TS₁₊₁ - anschließend mit Schlüssel Sj und einem beliebigen Verschlüsselungsalgorithmus VA

(23) VDj = VAj(Sj,DjTS_i+1) = VA(Sj,DjTS_i+1)
verschlüsselt, und schließlich der neue Schlüssel S_j+i für die nächste Iteration

(24) S_i+1=S₀xor(DjXorTSj₊₁)
berechnet, wobei die Berechnungen in der ersten Iteration nach

(25) VD₀ = VA₀(S₀₁D₀TS₁) = VA(S₀₁D₀TS₁)

(26) S₁=S₀XOr(D₀XOrTS₁)
erfolgen (mit "xor" als boolsche "exclusive or"-Funktion).

Der Entschlüsseier berechnet in der i-ten Iteration mit Hilfe des zu VA gehörenden Entschlüsselungsalgorithmus EA in Abhängigkeit von dem bereits bekannten Schlüssel Sj aus den verschlüsselten Daten VD, den Datenblock DjTSj₊₁ und damit die originalen Daten Dj und den Teilschlüssel TS_j+1

(27) (Dj₁TSj₊₁) = DjTSj₊₁ = EAj(Sj₁VDj) = EA(Sj₁VDj)
sowie den Schlüssel S₁₊₁ für die nächste Iteration

(28) Sj₊i = S₀ xor (Dj xor TS_i+1)
wobei in der ersten Iteration (i = 0) die Berechnungen

(29) (D₀₁TS₁) = D₀TS₁ = EA(S₀₁VD₀)

(30) S₁=S₀XOr(D₀XOrTS₁)

folqen. · · · ·

Dieses Beispiel kann leicht so modifiziert werden, daß in den Schlüssel S, alle bisherigen Teilschlüssel TSi,...,TSj eingehen, indem man in jeder Iteration mit i > 0 zusätzlich einen kumulativen Teilschlüssel

(31) KTSj₊₁ = KTSj xor TS₁₊₁ mit KTS₁ = TS₁
berechnet und anstelle von TS_l+i in der Schlüsselberechnung

(32) S₁₊₁ = S₀ xor (Dj xor KTS₁₊₁)

verwendet. Derselbe Algorithmus kann auch für die Daten D₁ angewendet werden, indem in jeder Iteration mit i > 0 anstelle von Dj die kumulativen Daten

(33) KDj₊₁ = KD₁ xor D₁ mit KD₁ = D₀
in die Schlüsselberechnung

(34) Sj₊₁ = S₀ xor (KDj xor KTS₁₊₁)
einfließen.

Selbstverständlich ist ein Kommunikationssystem nach Ansprüchen 1 oder 2 weder auf eine fixe Blocklänge der originalen Daten, Schlüssel und/oder Teilschlüssel limitiert. Sie können vielmehr frei gewählt werden, ja sogar von Iteration zu Iteration variieren, solange die Ver- und Entschlüsselungsalgorithmen und Schlüsselfunktionen sie verarbeiten können.
Dasselbe Beispiel kann auch auf nachrichtenorientierte Kommunikationssysteme nach Ansprüchen 3 oder 4 angewendet werden, wobei als Datenblöcke die einzelnen Nachrichten selbst verwendet oder jede Nachricht in mehrere Datenblöcke zerlegt werden kann.

Die in diesem Patent beschriebenen Kommunikationssysteme sind selbstverständlich nicht nur auf freiprogrammierbare elektronische Rechenmaschinen beschränkt, sondern können auch als Firmware in beliebigen Automaten enthalten sein oder mindestens teilweise durch menschliche Arbeitskraft ausgeführt werden.
Durch die freie Wahl

1. der Verschlüsselungsalgorithmen und Schlüsselfunktionen selbst und

2. der in den Verschlüsselungsalgorithmen und Schlüsselfunktionen explizit eingehenden Parameter

lassen sich beliebige weitere Verschlüsselungsalgorithmen direkt oder indirekt ableiten, welche alle nach dem beschriebenen Prinzip beliebige Einmalschlüssel verwenden können und mit diesem Patent abgedeckt sind.

Claims (31)

1. Kommunikationssystem bestehend aus mindestens einer Verschlüsselungseinheit V und mindestens einer Entschlüsselungseinheit E, welches Mittel enthält, um beliebig geartete, in n (n > = 2) jeweils beliebig große Datenblöcke D₀ bis D_n-1 aufgeteilbare Daten D zwischen Verschlüsselungseinheit V und Entschlüsselungseinheit E auszutauschen, dadurch gekennzeichnet, daß

-

i. sowohl Verschlüsselungseinheit V und als auch Entschlüsselungseinheit E derselbe beliebig geartete Basisschlüssel BS bekannt ist, welcher in Iteration i = 0 als Schlüssel S₀ = BS verwendet wird, und

ii. Verschlüsselungseinheit V Mittel enthält, um beginnend bei i = 0 sukzessive für alle ganzzahligen i < n - zur Verschlüsselung des Datenblockes D_i - einen beliebigen Teilschlüssel TS_i+1 zu wählen, mit Hilfe eines beliebigen Verschlüsselungsalgorithmus VA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i , und TS₁, . . ., TS_i+1 den verschlüsselten Datenblock VD_i zu berechnen, und mit Hilfe einer beliebigen Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . .,D_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen, und

iii. Entschlüsselungseinheit E mittel enthält, um für i = 0 - zur Entschlüsselung des Datenblockes VD₀ - mit Hilfe eines zu VA₀ gehörenden Entschlüsselungsalgorithmus EA₀ und genanntem Schlüssel S₀ aus genanntem verschlüsselten Datenblock VD₀ den originalen Datenblock D₀ und den Teilschlüssel TS₁ zu bestimmen, und
beginnend bei i = 1 sukzessive für alle ganzzahligen i < n - zur Entschlüsselung des Datenblockes VD_i - mit Hilfe eines zu VA_i gehörenden Entschlüsselungsalgorithmus EA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i-1 und TS₁, . . ., TS_iund genanntem verschlüsselten Datenblock VD_i sowohl den originalen Datenblock D_i als auch den Teilschlüssel TS_i+1 zu bestimmen, und
für alle i mit Hilfe genannter Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen.

2. Kommunikationssystem bestehend aus mindestens einer Verschlüsselungseinheit V und mindestens einer Entschlüsselungseinheit E, welches Mittel enthält, um einen kontinuierlichen, in eine Folge einer unbestimmten Anzahl jeweils beliebig großer Datenblöcke D_i(i > 0) aufgeteilbaren Datenstrom DS unbestimmter Länge zwischen Verschlüsselungseinheit V und Entschlüsselungseinheit E auszutauschen, dadurch gekennzeichnet, daß

i. sowohl Verschlüsselungseinheit V und als auch Entschlüsselungseinheit E derselbe beliebig geartete Basisschlüssel BS bekannt ist, welcher in Iteration i = 0 als Schlüssel S₀ = BS verwendet wird, und

ii. Verschlüsselungseinheit V Mittel enthält, um beginnend bei i = 0 sukzessive für alle ganzzahligen i - zur Verschlüsselung des Datenblockes D_i - einen beliebigen Teilschlüssel TS_i+1 zu wählen, mit Hilfe eines beliebigen Verschlüsselungsalgorithmus VA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i+1 den verschlüsselten Datenblock VD_i zu berechnen, und mit Hilfe einer beliebigen Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i , und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen, und

iii. Entschlüsselungseinheit E Mittel enthält, um für i = 0 - zur Entschlüsselung des Datenblockes VD₀ - mit Hilfe eines zu VA₀ gehörenden Entschlüsselungsalgorithmus EA₀ und genanntem Schlüssel S₀ aus genanntem verschlüsselten Datenblock VD₀ den originalen Datenblock D₀ und den Teilschlüssel TS₁ zu bestimmen, und
beginnend bei i = 1 sukzessive für alle ganzzahligen i - zur Entschlüsselung des Datenblockes VD_i - mit Hilfe eines zu VA_i gehörenden Entschlüsselungsalgorithmus EA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i , und TS₁, . . ., TS_i und genanntem verschlüsselten Datenblock VD_i sowohl den originalen Datenblock D; als auch den Teilschlüssel TS_i+1 zu bestimmen, und
für alle i mit Hilfe genannter Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen.

3. Kommunikationssystem bestehend aus einer beliebigen Anzahl p > = 2 Kommunikationspartner P₁ bis P_p, welches Mittel enthält, um eine Folge von n jeweils beliebig großer Nachrichten N_i(0 <= i <= n) unter Kommunikationspartnern P₁ bis P_p auszutauschen, dadurch gekennzeichnet, daß

i. jedem der Kommunikationspartner P₁ bis P_p derselbe beliebig geartete Basisschlüssel BS bekannt ist, welcher in Iteration i = 0 als Schlüssel S₀ = BS verwendet wird, und

ii. beginnend bei i = 0 sukzessive für alle ganzzahligen i mit i < n jeweils einer der Kommunikationspartner P_ji(1 < = ji < = p) Mittel enthält, um - zur Verschlüsselung der Nachricht N_i - einen beliebigen Teilschlüssel TS_i+1 zu wählen, mit Hilfe eines beliebigen Verschlüsselungsalgorithmus VA_i in Abhängigkeit von S₀, . . ., S_i, N₀, . . ., N_i, und TS₁, . . ., TS_i+1 die verschlüsselte Nachricht VN_j berechnet, und mit Hilfe einer beliebigen Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, N₀, . . ., N_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen, und die verschlüsselte Nachricht VN_i an alle Kommunikationspartner außer zu übermitteln, und

iii. beginnend bei i = 0 sukzessive für alle ganzzahligen i alle Kommunikationspartner außer P_ji Mittel enthalten, um die verschlüsselte Nachricht VN_j von P_ji zu empfangen, und

- zur Entschlüsselung der Nachricht VN₀ - mit Hilfe eines zu VA₀ gehörenden Entschlüsselungsalgorithmus EA₀ und genanntem Schlüssel S₀ aus genannter verschlüsselten Nachricht VN₀ sowohl die originale Nachricht N₀ als auch den Teilschlüssel TS₁ zu bestimmen, und

- zur Entschlüsselung der Nachricht VN_i (i > 0) - mit Hilfe eines zu VA_i gehörenden Entschlüsselungsalgorithmus EA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i und genannter verschlüsselter Nachricht VN_i sowohl die originale Nachricht N_i als auch den Teilschlüssel 151+1 zu bestimmen, und für alle i mit Hilfe genannter Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen.

4. Kommunikationssystem bestehend aus einer beliebigen Anzahl p > = 2 Kommunikationspartner P₁ bis P_p, welches Mittel enthält, um eine Folge einer unbestimmten Anzahl jeweils beliebig großer Nachrichten N_i(i > 0) zwischen Kommunikationspartnern P₁ bis P_p auszutauschen, dadurch gekennzeichnet, daß

i. jedem der Kommunikationspartner P₁ bis P_p derselbe beliebig geartete Basisschlüssel BS bekannt ist, welcher in Iteration i = 0 als Schlüssel S₀ = BS verwendet wird, und

ii. beginnend bei i = 0 sukzessive für alle ganzzahligen i jeweils einer der Kommunikationspartner P_ji(1 <= ji <= p) Mittel enthält, um - zur Verschlüsselung der Nachricht N_i - einen beliebigen Teilschlüssel TS_i+1 zu wählen, mit Hilfe eines beliebigen Verschlüsselungsalgorithmus VA_i in Abhängigkeit von S₀, . . ., S_i, N₀, . . ., N_i, und TS₁, . . ., TS_i+1 die verschlüsselte Nachricht VN_i zu berechnen, und mit Hilfe einer beliebigen Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, N₀, . . ., N_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1 zu bestimmen, und die verschlüsselte Nachricht VN_i an alle Kommunikationspartner außer P_ji zu übermitteln, und

iii. beginnend bei i = 0 sukzessive für alle ganzzahligen i alle Kommunikationspartner außer Mittel enthalten, um die verschlüsselte Nachricht VN_i von P_ji zu empfangen, und

- zur Entschlüsselung der Nachricht VN₀ - mit Hilfe eines zu VA₀ gehörenden Entschlüsselungsalgorithmus EA₀ und genanntem Schlüssel S₀ aus genannter verschlüsselten Nachricht VN₀ sowohl die originale Nachricht N₀ als auch den Teilschlüssel TS₁ zu bestimmen, und

- zur Entschlüsselung der Nachricht VN_i(i > 0) - mit Hilfe eines zu VA_i gehörenden Entschlüsselungsalgorithmus EA_i in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i , und TS₁, . . ., TS_i und genannter verschlüsselter Nachricht VN_i sowohl die originale Nachricht N_i als auch den Teilschlüssel TS_i+1 zu bestimmen, und für alle i mit Hilfe genannter Funktion SF_i+1 in Abhängigkeit von S₀, . . ., S_i, D₀, . . ., D_i, und TS₁, . . ., TS_i+1 den Schlüssel S_i+1, zu bestimmen.

5. Kommunikationssystem nach einem der Ansprüche 1 oder 3, dadurch gekennzeichnet, daß während der letzten Iteration i = n - 1 - der Schlüssel S_n nicht berechnet wird.

6. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß der Verschlüsseler und der/die Entschlüsseler bzw. Nachrichtenempfänger Mittel enthalten, um den Basisschlüssel BS zu Beginn mit Hilfe eines bekannten Schlüsselaustauschverfahrens auszutauschen.

7. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß alle beteiligten Partner Mittel enthalten, um die Kenntnis des Basisschlüssels mit Hilfe eines bekannten Wissensverifikationsverfahrens nachzuweisen und die Datenverschlüsselung nur erfolgt, falls alle beteiligten Partner die Kenntnis desselben Basisschlüssels mit Hilfe genanntem Wissensverifikationsverfahren nachgewiesen haben.

8. Kommunikationssystem nach Anspruch 7, dadurch gekennzeichnet, daß das verwendete Wissensverifikationsverfahren ohne Übertragung des Basisschlüssels zwischen den beteiligten Partnern erfolgt.

9. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß mindestens ein Verschlüsseler Mittei enthält, um mindestens einen der Teilschlüssel TS_i(i > 0) pseudozufällig auszuwählen.

10. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß mindestens ein Verschlüsseler Mittel enthält, um mindestens einen der Teilschlüssel TS_i(i > 0) absolut zufällig auszuwählen.

11. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß mindestens zweimal derselbe Verschlüsselungs- und Entschlüsselungsalgorithmus verwendet wird.

12. Kommunikationssystem nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß der Verschlüsseler bzw. der Absender Mittel enthält, um für mindestens ein i > = 0 den Verschlüsselungsalgorithmus VA_i aus einer vorgegebenen Menge MVA_i von verschiedenen Verschlüsselungsalgorithmen beliebig anhand der bereits bekannten Schlüssel S₀, . . ., S_i, Daten D₀, . . ., D_i-1, Teilschlüssel TS₁, . . ., TS_i oder den verschlüsselten Daten VD_i bzw. der verschlüsselten Nachricht VN_i zu wählen, und der/die Entschlüsseler bzw. Empfänger Mittel enthalten, um den zu VA_i gehörenden Entschlüsselungsalgorithmus EA_i implizit anhand der bereits bekannten Schlüssel S₀, . . ., S_i, Daten D₀, . . ., D_i-1, Teilschlüssel TS₁, . . ., TS_i oder den verschlüsselten Daten VD_i bzw. der verschlüsselten Nachricht VN_i aus genannter Menge MVA_i zu bestimmen.

13. Kommunikationssystem nach Anspruch 12, dadurch gekennzeichnet, daß in mindestens zwei Iterationen - i1 und i2 - die Menge der Verschlüsselungsalgorithmen MVA_i1 identisch mit der Menge der Verschlüsselungsalgorithmen MVA_i2 ist.

14. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß für mindestens ein i > 0 der Schlüssel S_i mit Hilfe einer beliebigen Funktion SF_i in Abhängigkeit der Schlüssel S₀ und S_i-1 und des Teilschlüssels TS_i berechnet werden kann.

15. Kommunikationssystem nach Anspruch 14, dadurch gekennzeichnet, daß mindestens zweimal dieselbe Funktion SF_i = SF_j verwendet wird.

16. Kommunikationssystem nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, daß der Verschlüsseler bzw. der Absender Mittel enthält, um für mindestens ein i > = 0 die Funktion SF_i+1 aus einer vorgegebenen Menge MSF_i von verschiedenen Funktionen beliebig anhand der bereits bekannten Schlüssel S₀, . . ., S_i, Daten D₀, . . ., D_i , Teilschlüssel TS₁, . . ., TS_i+1 oder den verschlüsselten Daten VD_i bzw. der verschlüsselten Nachricht VN_i zu wählen und der/die Entschlüsseler bzw. Empfänger Mitel enthalten, um die Funktion SF_i+1 implizit anhand der bereits bekannten Schlüssel S₀, . . ., S_i, Daten D₀, . . ., D_i , Teilschlüssel TS₁, . . ., TS_i+1 oder den verschlüsselten Daten VD_i bzw. der verschlüsselten Nachricht VN_i aus genannter Menge MSF_i zu bestimmen.

17. Kommunikationssystem nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, daß der Verschlüsseler bzw. der Absender Mittel enthält, um für mindestens ein i > = 0 die zu verschlüsselnden Daten D_i bzw. die zu verschlüsselnde Nachricht N_i vor der Verschlüsselung um beliebig gewählte zusätzliche Daten ZD zu erweitern und der/die Entschlüsseler bzw. Empfänger Mitel enthalten, um genannte Daten ZD nach der Entschlüsselung wieder zu entfernen.

18. Kommunikationssystem nach Anspruch 17, dadurch gekennzeichnet, daß die zusätzlichen Daten ZD pseudozufällig gewählt werden.

19. Kommunikationssystem nach Anspruch 17, dadurch gekennzeichnet, daß die zusätzlichen Daten ZD absolut zufällig gewählt werden.