-
Die
Erfindung betrifft ein Erzeugungs- und Prüfverfahren von elektronischen
Signaturen elektronischer Nachrichten.
-
Das
erfindungsgemäße Verfahren
gilt für
alle elektronischen Systeme, bei denen eine Sende- oder Unterzeichnungsvorrichtung
eine elektronische Signatur an eine mit der Gültigkeit der Signatur beauftragte
Empfangs- oder Prüfvorrichtung
sendet. Die elektronische oder digitale Signatur betrifft im Allgemeinen
eine elektronische Nachricht, die gemeinsam mit der Signatur an
die Prüfvorrichtung
gesendet wird. Die Aufgabe der Signatur besteht dann darin, die
Nachricht sowie die Identität
ihres Autors zu authentifizieren.
-
Das
nachfolgend beschriebene Verfahren ergänzt bekannte Erzeugungs- und
Prüfalgorithmen von
digitalen Signaturen, wie den DSA-Algorithmus (Digital Signature
Algorithm), der im amerikanischen Patentantrag 5,231,668 beschrieben
ist und am 30. August 1991 im Bundesregister des US National Institute
of Standards and Technology, Seiten 42980–42982, veröffentlicht wurde.
-
Zum
besseren Verständnis
der Erfindung wird zunächst
noch einmal ein DSA-Algorithmus beschrieben.
-
Wie
bereits in dem unter der Nummer 2 733 378 veröffentlichten französischen
Patentantrag erläutert,
besteht eine DSA-Signatur aus einem Paar (r, s) großer Zahlen,
die durch lange binäre
Ziffernketten (160 Ziffern) gebildet werden. Die digitale Signatur wird
anhand einer Reihe von vom Algorithmus definierten Rechenregeln
und einer Gruppe von in diesen Berechnungen verwendeten Parametern
berechnet. Der Algorithmus ermöglicht
einerseits die Erzeugung von Signaturen und andererseits die Prüfung der
Signaturen.
-
Für die Erzeugung
von DSA-Signaturen wird ein privater Schlüssel verwendet. Für die Prüfung verwendet
man einen öffentlichen
Schlüssel,
der mit dem privaten Schlüssel
verbunden jedoch nicht identisch mit diesem ist. Jeder Benutzer
verfügt über ein Paar
Schlüssel
(privat, öffentlich).
Die öffentlichen Schlüssel können allgemein
bekannt sein, während die
privaten Schlüssel
niemals offenbart werden. Jede Person kann die Signatur eines Benutzers
anhand des öffentlichen
Schlüssels
desselben prüfen, eine
dem Schlüsselpaar
entsprechende Signatur kann jedoch nur der Inhaber des privaten
Schlüssels erzeugen.
-
Die
Parameter des DSA-Algorithmus lauten wie folgt:
- – eine Primzahl
p wie 2L–1 < p < 2L für L zwischen 512
und 1024 (einschl. Grenzen) und L = 64a für eine beliebige Ganzzahl a;
- – eine
Primzahl q wie 2159 < q < 2160 und p – 1 ist ein Vielfaches von
q;
- – eine
Zahl g der Ordnung q modulo p wie: g = h(p–1)/q modulo
p, wobei h eine beliebige Ganzzahl ist und 1 < h < p – 1 sowie
g > 1 prüft;
- – eine
zufällig
oder pseudo-zufällig
erzeugte Zahl x (das ist der private Schlüssel);
- – eine
durch die Beziehung y = gx modulo p definierte
Zahl y; (das ist der öffentliche
Schlüssel); die
nachfolgend definierten modularen Operationen modulo p oder modulo
q werden jeweils mit mod p oder mod q bezeichnet;
- – eine
zufällig
oder pseudo-zufällig
erzeugte Zahl k, wie 0 < k < q.
-
Die
Ganzzahlen p, q und g sind Parameter des Systems, die veröffentlicht
und/oder von einer Benutzergruppe geteilt werden können. Die
privaten und öffentlichen
Schlüssel
eines Unterzeichners lauten jeweils x und y. Der zufällige Parameter
muss für jede
Signatur neu erzeugt werden. Die Parameter x und k werden für die Erzeugung
von Signaturen verwendet und müssen
geheim gehalten werden.
-
Um
eine Nachricht m zu unterzeichnen (die im Allgemeinen ein zerhackter
Wert einer ursprünglichen
Datei M sein wird), errechnet der Unterzeichner die Signatur (r,
s) wie folgt: r = (gk mod
p) mod q, und s = (m + xr)/k mod q(wobei
die Division durch k sich modulo q erstreckt, d.h. 1/k ist die Zahl
k' wie kk' = 1 mod q;
beispielsweise
wenn q = 5 und k = 3, dann 1/k' =
2, da 3 × 2
= 6, gleich 1 mod 5).
-
Nach
dem Test, dass r und s nicht Null sind, wird die Signatur (r, s)
an den Prüfer übertragen.
-
Der
Prüfer,
der p, q, g (die der Applikation zugeordnet sind), y (das dem Benutzer
zugeordnet ist) und m (die Nachricht, die er ebenfalls von Signaturorgan
erhalten hat) kennt, rechnet: w = (1/s) mod q u1 = mw mod q u2 = rw
mod q v = [gu1·yu2 mod p] mod q
-
Nun
entspricht dieser Wert [gu1·yu2 mod p] mod q genau r, wenn s den Wert
(m + xr)/s mod q hat.
-
Demzufolge
erhält
die Prüfvorrichtung
r und s und prüft,
ob v auch wirklich r entspricht, um die Signatur zu akzeptieren
oder im gegenteiligen Fall abzulehnen.
-
Die
Signatur ermöglicht
gleichzeitig, die Identität
des Unterzeichners (weil sie einen dem Unterzeichner eigenen privaten
Schlüssel
einbezieht) und die Unversehrtheit der unterzeichneten Nachricht
(weil sie die Nachricht selbst einbezieht) zu bestätigen.
-
Ein
hohes Sicherheitsniveau ist nur dann gewährleistet, wenn der private
Schlüssel
Dritten gegenüber
geheim bleibt. Nun gibt es Programme des Typs trojanisches Pferd,
die zuweilen ebenfalls Anti-Programme
genannt werden, die unter dem Deckmantel harmloser Programme in
Wirklichkeit versteckte, unzulässige
Funktionen enthalten, die dazu bestimmt sind, die Sicherheitsmechanismen
des Informatiksystems des Signaturorgans zu umgehen, um in seine
Dateien einzubrechen, um sie abzufragen, zu ändern oder zu zerstören. Diese
Art von Programmen ist in der Lage, auf geheime Daten im Signaturorgan
zuzugreifen, beispielsweise auf den privaten Schlüssel, der
in dem DSA-Algorithmus verwendet wird.
-
Um
die Sicherheit der elektronischen Signaturen verwendenden Systeme
zu erhöhen,
ist die Benutzung eines Codes für
die zur Erzeugung der Signatur verwendeten physikalischen Maschine
bereits bekannt. Insbesondere die Unterlage EP-A-0 689 316 offenbart
ein elektronisches Signaturverfahren umfassend die Erzeugung einer
digitalen Signatur durch ein Signaturorgan, das diese Signatur gemäß einer
geheimen Information errechnet, und die Prüfung der Signatur durch ein
Prüforgan,
das prüft,
ob eine mathematische Bedingung von der besagten Signatur erfüllt wird,
wobei das Signaturorgan bei der Erzeugung der Signatur einen Code
für die
zur Erzeugung der besagten Signatur benutzen physikalischen Maschine
erhält
und diesen Code an das besagte Prüforgan überträgt, wobei der erzeugte Code unabhängig ist
von der geheimen Information, und die Prüfung ferner darin besteht,
ob die Signatur anhand einer zugelassenen physikalischen Maschine erzeugt
wurde, wobei diese zweite Bedingung durch Verwendung des besagten,
von dem Signaturorgan gesendeten Code geprüft wird. Dieses Verfahren schützt das
elektronische Signatursystem jedoch nicht gegen eine böswillige Änderung
bei der Erzeugung der Signatur, die auftreten könnte, selbst wenn die Signatur
von einer zugelassenen physikalischen Maschine erzeugt wurde.
-
Eine
Aufgabe der Erfindung besteht darin, die Sicherheit der elektronische
Signaturen verwendenden Systeme zu erhöhen.
-
Die
Idee der Erfindung ist, sich nicht nur von der Gültigkeit der elektronischen
Signatur zu vergewissern, sondern ebenfalls von der Art und Weise, wie
sie erzeugt wurde. Dabei handelt es sich insbesondere um die Prüfung, ob
die Signatur von Mitteln erzeugt wurde, die von der das Prüforgan kontrollierenden
Stelle zugelassen sind. Bei einer elektronischen Transaktion handelt
es sich beispielsweise um die Prüfung,
ob die der elektronischen Transaktion zugeordnete elektronische
Signatur von einem Signaturprogramm erzeugt wurde, das von der die Transaktionen
verwaltenden Stelle zugelassen ist.
-
Erfindungsgemäß stellt
das Signaturorgan dem Prüforgan
nicht nur eine elektronische Signatur zur Verfügung, sondern ebenfalls einen
Code für
das zur Erzeugung der Signatur verwendete Programm. Die Signatur
und der Code werden an das Prüforgan gesendet,
das ihre Gültigkeit
prüft.
-
Die
Erfindung betrifft demnach ein elektronisches Signaturverfahren,
umfassend die Erzeugung einer digitalen Signatur durch ein Signaturorgan,
das diese Signatur gemäß einer
geheimen Information berechnet, und die Prüfung der Signatur durch ein Prüforgan,
das prüft,
ob die besagte Signatur eine mathematische Bedingung erfüllt, dadurch
gekennzeichnet,
dass das Signaturorgan ferner bei der Erzeugung
der Signatur einen Code für
das zur Erzeugung der besagten Signatur verwendete Programm berechnet und
diesen an das besagte Prüforgan überträgt, wobei
der erzeugte Code unabhängig
ist von der geheimen Information, und
dass die Prüfung ferner
darin besteht, zu prüfen,
ob die Signatur anhand eines zugelassenen Programms erzeugt wurde.
-
Der
Code bietet ein zusätzliches
Sicherheitsniveau, um sich zu vergewissern, dass die Signatur von
Mitteln des Signaturorgans erzeugt wurde, die von dem Prüforgan zugelassen
sind.
-
Gemäß einem
Merkmal der Erfindung, besteht die Prüfung der besagten zweiten Bedingung darin,
in dem Prüforgan
anhand eines mit dem Programm des Signaturorgan identischen Programms eine
nicht personalisierte Signatur zu erzeugen, auf der Basis einer
beliebigen, die besagte geheime Information ersetzenden Information,
um den Code für das
benutzte Programm zu erhalten, und ihn mit dem von dein Signaturorgan übertragenden
Code zu vergleichen, wobei die zweite Bedingung erfüllt ist,
wenn der so von dem Prüforgan
erzeugte Code und der von dem Signaturorgan übertragene Code identisch sind.
-
Der
Code kann auf der Basis von Anweisungen erzeugt werden, die von
dem Erzeugungsprogramm der Signatur ausgeführt werden.
-
Ein
weiterer Gegenstand der Erfindung ist ein Computerprogramm für die Erzeugung
und die Prüfung
einer elektronischen Signatur, das dazu bestimmt ist, die Schritte
des zuvor beschriebenen Verfahrens in einem Computer umzusetzen.
-
Schließlich ist
ein Gegenstand der Erfindung ein Aufzeichnungsträger wie eine Diskette, eine CD-ROM
oder ein Speicher, ein elektronischer Chip, der das besagte Computerprogramm
enthält.
-
Weitere
Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden
ausführlichen Beschreibung
unter Bezugnahme auf die einzige 1, die ein
Organigramm des erfindungsgemäßen Verfahrens
für den
Fall einer Erzeugung und Prüfung einer
Signatur entsprechend dem zuvor beschriebenen DSA-Algorithmus darstellt.
-
Erfindungsgemäß ist vorgesehen,
dass das Signaturorgan außer
der digitalen Signatur einen nachfolgend mit CS bezeichneten Code
liefert, der das für
die Erzeugung der Signatur benutzte Programm kennzeichnet.
-
Das
Signaturprogramm wird in einer physikalischen Maschine, beispielsweise
des Typs PC oder MacintoshTM, oder in einer
virtuellen Maschine, beispielsweise des für die Plattformen JAVATM benutzten Typs ausgeführt.
-
Erzeugung des Codes CS
-
Erfindungsgemäß wird der
Code CS auf der Basis von Anweisungen des Signaturerzeugungsprogramms
erzeugt, beispielsweise auf der Basis des Maschinencodes der Anweisungen
dieses Programms. Um jegliches Verbreitungsrisiko von in dem Programm
enthaltenen geheimen Daten (beispielsweise des privaten Schlüssels) zu
vermeiden, ist vorgesehen, nur Anweisungen auszuwählen, die
nicht auf diese geheimen Daten zurückgreifen.
-
In
der Praxis, zum Zeitpunkt der Ausführung einer Anweisung des Signaturprogramms,
wird diese dahingehend getestet, ob sie geheime Daten enthält, und
wenn dies nicht der Fall ist, wird ihr Maschinencode oder ein Teil
davon in einem nicht flüchtigen Speicher
des Signaturorgans gespeichert. Zusätzliche Kriterien können vorgesehen
sein, um die in dem nicht flüchtigen
Speicher zu speichernden Anweisungen zu bestimmen.
-
Somit
werden alle Anweisungen des Programms getestet, um in dem nicht
flüchtigen
Speicher des Signaturorgans die Maschinencodes zu speichern, die
keine geheimen Daten enthalten. Danach werden diese Maschinencodes
verarbeitet, um einen Code CS für
das zur Erzeugung der elektronischen Signatur benutzte Programm
zu erstellen.
-
Vorzugsweise
werden die gespeicherten Maschinencodes einer Zerhackungsoperation
unterworfen. Die Zerhackungsoperation erfolgt mittels einer Zerhackungsfunktion.
Zur Erinnerung, eine Zerhackungsfunktion einer Zahl, gebildet von
einer Bitkette, besteht in der Erzeugung einer neuen Bitkette einer
bestimmten Länge,
die sich von der Länge
der ursprünglichen
Kette unterscheidet oder nicht, ausgehend von logischen Funktionen,
die an Bitgruppen der ursprünglichen
Kette ausgeführt
werden. Die bekanntesten Zerhackungsfunktionen sind die Funktion SHA
und die Funktion MD4. Der am Ende der Zerhackungsoperation erhaltene
Code ist der Code CS, der an das Prüforgan gesendet wird.
-
Die
Zerhackungsfunktion ermöglicht
nicht nur die Verschlüsselung
des Codes der gespeicherten Anweisungen, sondern ebenfalls die Wahl
der Länge
des Codes am Ende der Operation. Ferner ist der nach der Zerhackungsoperation
erhaltene Code, so wie ein Fingerabdruck, abhängig von dem Inhalt der Anweisungen
und ihrer Position in dem nicht flüchtigen Speicher des Signaturorgans.
-
Als
Variante kann man die in dem nicht flüchtigen Speicher des Signaturorgans
abgelegten Maschinencodes auch in anderer Weise verarbeiten. Man
kann sie beispielsweise anhand einer logischen Operation ODER EXKLUSIV
miteinander verknüpfen.
Bei dieser Variante wird jeder Maschinencode mit dem Inhalt eines
Registers des Signaturorgans anhand einer Operation des Typs ODER
EXKLUSIV verknüpft
und nach jeder Operation wird das Ergebnis in dem Register abgelegt.
Das Register wird vor Beginn der ersten Operation ODER EXKLUSIV
initialisiert. Es wird entweder auf Null initialisiert oder auf einen
besonderen Wert, beispielsweise die Identifikationsnummer des Prozessors
der Maschine, auf dem das Signaturprogramm läuft. Der Code CS ist der im Register
vorhandene Code, wenn alle Maschinencodes des flüchtigen Speichers des Signaturorgans anhand
der Operation ODER EXKLUSIV verarbeitet wurden.
-
Diese
beiden Erzeugungsmodi des Codes CS (anhand einer Zerhackungsfunktion
oder einer Operation ODER EXKLUSIV) sind nur als Beispiel angegeben.
Selbstverständlich
können
bei dem erfindungsgemäßen Verfahren
alle Verarbeitungen zur Anwendung gelangen, die die Erzeugung eines
Codes CS ab Anweisungen des Signaturprogramms ermöglichen.
-
Der
von dem Signaturorgan erzeugte Code CS wird gemeinsam mit der digitalen
Signatur an das Prüforgan
gesendet. Er wird beispielsweise mit der Signatur verkettet. Als
Variante kann man den Code CS direkt in die elektronische Signatur
integrieren.
-
PRÜFUNG DES CODES CS
-
Das
Prüforgan
erhält
den Code CS und die elektronische Signatur nach vorherigem Erhalt
der elektronischen Nachricht. Im Fall des DSA-Algorithmus errechnet
das Prüforgan
dann den Wert v mit Hilfe des öffentlichen
Schlüssels
und prüft,
ob v gleich r ist. Nach einem wichtigen Merkmal der Erfindung muss
es ebenfalls eine zweite Bedingung prüfen, um sich zu vergewissern,
dass die Signatur von Mitteln erzeugt wurde, die vom Prüforgan zugelassen sind.
Diese zweite Bedingung ist eine zusätzliche Sicherheit für den Unterzeichner
und den Prüfer.
Wenn beide Bedingungen geprüft
sind, wird die Signatur akzeptiert.
-
Die
zweite Bedingung besteht in der Prüfung, ob der von dem Signaturorgan
erzeugte Code CS derjenige ist, der von dem Prüforgan erwartet wurde.
-
Für die Durchführung dieser
Prüfung
erzeugt man in dem Prüforgan,
mittels einem mit dem des Signaturorgan identischen Programms, eine
nicht personalisierte Signatur, erstellt auf der Basis einer beliebigen
Information, die die geheime Information ersetzt, da das Prüforgan diese
nicht kennt. Ein Code CS' wird
erzeugt ab Anweisungen des die nicht personalisierte Signatur erzeugenden
Programms, wie in dem Signaturorgan. Die Anweisungen für die Erzeugung
des Codes CS' werden
nach den gleichen Kriterien gewählt
wie in dem Signaturorgan. Letztendlich müssen die von dem Prüforgan gewählten Anweisungen
die gleichen sein wie die von dem Signaturorgan gewählten. Der
Maschinencode der gewählten
Anweisungen wird dann der gleichen logischen Verarbeitung (Operation
ODER EXKLUSIV oder Zerhackungsfunktion) unterworfen wie derjenigen,
die im Signaturorgan für
die Erzeugung des Codes CS angewendet wird. Der auf diese Weise
erzeugte Code CS' wird
dann mit dem Code CS verglichen. Wenn die Codes CS und CS' unterschiedlich sind,
bedeutet das, dass die Erzeugungsoperation der Signatur in dem Organ,
das die Signatur ausgegeben hat, nicht korrekt verlaufen ist (d.h.
dass sie nicht verlaufen ist, wie in dem Prüforgan vorgesehen), und die
Signatur wird abgelehnt, selbst wenn ihre Echtheit von dem Prüforgan bestätigt wird.
Sind jedoch die beiden Bedingungen erfüllt (v = r und CS' = CS), wird die
Signatur akzeptiert.
-
1 zeigt
das Organigramm des erfindungsgemäßen Verfahrens im Fall einer
Erzeugung und einer Prüfung
von elektronischen Signaturen gemäß einem DSA-Algorithmus entsprechend
demjenigen des Oberbegriffs des vorliegenden Antrags.
-
Das
Signaturorgan verfügt über die
Parameter p, q und g, den geheimen Schlüssel x, eine Zerhackungsfunktion
F und die Nachricht m. Es errechnet zunächst die Signatur {r, s}, dann
den Code CS durch Anwendung der Zerhackungsfunktion F auf die von bestimmten
Anweisungen des Signaturprogramms gebildete Bitkette. Die Signatur
{r, s} und der Code werden an das Prüforgan übertragen. Das Prüforgan, das
die Parameter p, q und g, den öffentlichen Schlüssel y,
die Zerhackungsfunktion F und die Nachricht m kennt, errechnet dann
v und prüft,
ob v gleich r ist. Erfindungsgemäß erzeugt
es ebenfalls eine neue Signatur {r', s'}
auf der Basis einer beliebigen Information x' der gleichen Länge wie der geheime Schlüssel x anhand
eines Signaturprogramms, das identisch mit demjenigen des Signaturorgans
ist. Dieses Programm wird auf der physikalischen oder virtuellen
Maschine des Signaturorgans umgesetzt. Dann wird ein Code CS' erzeugt auf der
Basis von Anweisungen des Signaturprogramms, das die gleichen Kriterien
erfüllt
wie diejenigen, die in dem Signaturorgan zur Anwendung gelangen.
Danach prüft man
ob CS' = CS. Sind
die beiden Bedingungen, d.h. v = r und CS' = CS, nicht erfüllt, wird die Signatur {r, s}
von dem Prüforgan
abgelehnt.
-
Die
Erfindung gilt für
alle Arten von elektronischen Systemen, in denen ein Signaturorgan
eine elektronische Signatur an ein Prüforgan sendet, das mit der
Prüfung
der Gültigkeit
der Signatur beauftragt ist. Bei dem Signaturorgan kann es sich
beispielsweise um eine Chipkarte mit Mikroprozessor handeln und
bei dem Prüforgan
um ein Lesegerät
der Karte.