用于在块加密算法中使用的密钥更新的设备和方法

摘要

本文中的方法是针对站中的加密密钥更新。在所述方法中，在第一多轮上使用第一多个轮密钥加密第一数据块以产生第一经加密数据块，其中所述第一多个轮密钥是基于初始块密钥而产生。保留所述第一多个轮密钥的一轮密钥以用作第一导出的块密钥的基础。在第二多轮上使用第二多个轮密钥加密第二数据块以产生第二经加密数据块，其中所述第二多个轮密钥是基于所述第一导出的块密钥而产生。可保留所述第二多个轮密钥的一轮密钥以用作第二导出的块密钥的基础。

说明书

技术领域

本发明大体上涉及用于更新用于块加密算法中的加密/解密密钥的技术。

背景技术

差分功率分析(DPA)攻击变得更加流行，因为使用现代设备执行数据收集及分析变 得相对廉价。DPA攻击是推断秘密密钥的统计侧通道攻击。用于抵消DPA攻击的技术 可涉及电力供应器滤波、随机噪声插入、密钥“掩蔽”或密钥滚动技术。一些此类技术 可为计算密集型或另外可显得不实用。

第8,386,800号美国专利中揭示的技术是基于使用散列函数提供用于击退DPA攻击 的滚动密钥的密文散列链过程。然而，散列函数在处理时间、系统资源及/或装置电路方 面可为代价高的。

因此需要用于块加密算法中来阻止例如DPA攻击等攻击的密钥更新技术。

发明内容

本发明的方面可在于一种用于站中的加密密钥更新的方法。在所述方法中，在第一 多轮上使用第一多个轮密钥加密第一数据块以产生第一经加密数据块，其中所述第一多 个轮密钥是基于初始块密钥而产生。保留所述第一多个轮密钥的一轮密钥以用作第一导 出的块密钥的基础。在第二多轮上使用第二多个轮密钥加密第二数据块以产生第二经加 密数据块，其中所述第二多个轮密钥是基于所述第一导出的块密钥而产生。

在本发明的更详细方面中，可保留所述第二多个轮密钥的轮密钥以用作第二导出的 块密钥的基础。可使用AES(高级加密标准)算法产生所述第一和第二经加密数据块。所 述第一导出的块密钥可为所述第一多个轮密钥的最后轮密钥，且所述第二导出的块密钥 可为所述第二多个轮密钥的最后轮密钥。或者，所述第一导出的块密钥可基于通过经由 至少一个额外轮进一步处理所述第一多个轮密钥的最后轮密钥而产生的额外轮密钥，且 所述第二导出的块密钥可基于通过经由至少一个额外轮进一步处理所述第二多个轮密 钥的最后轮密钥而产生的额外轮密钥。

在本发明的其它更详细方面中，所述站可为硬件站，且所述加密及保留可由所述硬 件站执行。所述第一数据块、第二数据块、所述第一经加密数据块及所述第二经加密数 据块各自可包括128位，且所述初始块密钥、第一导出的块密钥、所述第二导出的块密 钥、所述第一多个轮密钥的轮密钥及所述第二多个轮密钥的轮密钥各自可包括192位。 或者，所述第一数据块、第二数据块、所述第一经加密数据块及所述第二经加密数据块 各自可包括128位，且所述初始块密钥、第一导出的块密钥、所述第二导出的块密钥、 所述第一多个轮密钥的轮密钥及所述第二多个轮密钥的轮密钥各自可包括256位。

本发明的另一方面可在于一种站，其包括：用于在第一多轮上使用第一多个轮密钥 加密第一数据块以产生第一经加密数据块的装置，其中所述第一多个轮密钥是基于初始 块密钥而产生；用于保留所述第一多个轮密钥的一轮密钥以用作第一导出的块密钥的基 础的装置；及用于在第二多轮上使用第二多个轮密钥加密第二数据块以产生第二经加密 数据块的装置，其中所述第二多个轮密钥是基于所述第一导出的块密钥而产生。

本发明的另一方面可在于一种站，其包括：处理器，其经配置以：在第一多轮上使 用第一多个轮密钥加密第一数据块以产生第一经加密数据块，其中所述第一多个轮密钥 是基于初始块密钥而产生；保留所述第一多个轮密钥的一轮密钥以用作第一导出的块密 钥的基础；及在第二多轮上使用第二多个轮密钥加密第二数据块以产生第二经加密数据 块，其中所述第二多个轮密钥是基于所述第一导出的块密钥而产生。

本发明的另一方面可在于一种计算机程序产品，其包括：计算机可读媒体，所述计 算机可读媒体包括：用于致使计算机在第一多轮上使用第一多个轮密钥加密第一数据块 以产生第一经加密数据块的代码，其中所述第一多个轮密钥是基于初始块密钥而产生； 用于致使计算机保留所述第一多个轮密钥的一轮密钥以用作第一导出的块密钥的基础 的代码；及用于致使计算机在第二多轮上使用第二多个轮密钥加密第二数据块以产生第 二经加密数据块的代码，其中所述第二多个轮密钥是基于所述第一导出的块密钥而产 生。

另外，本发明的方面可在于一种用于站中的密钥更新的方法。在所述方法中，处理 初始块密钥以产生第一多个轮密钥。保留所述第一多个轮密钥的一轮密钥以用作第一导 出的密钥的基础。在第一多轮上使用所述第一多个轮密钥解密第一经加密数据块以产生 第一经解密数据块，同时处理所述第一导出的密钥以产生第二多个轮密钥。保留所述第 二多个轮密钥的一轮密钥以用作第二导出的密钥的基础。在第一多轮上使用所述第二多 个轮密钥解密第二经加密数据块以产生第二经解密数据块，同时处理所述第二导出的密 钥以产生第三多个轮密钥。

在本发明的更详细方面中，可保留所述第二多个轮密钥的一轮密钥以用作第三导出 的密钥的基础。所述第一经加密数据块、第二经加密数据块、第一经解密数据块及第二 经解密数据块各自可包括128位，且所述初始块密钥、第一导出的块密钥、第二导出的 块密钥、第三导出的块密钥、所述第一多个轮密钥的轮密钥及所述第二多个轮密钥的轮 密钥各自可包括192位。或者，所述第一经加密数据块、第二经加密数据块、第一经解 密数据块及第二经解密数据块各自可包括128位，且所述初始块密钥、第一导出的块密 钥、第二导出的块密钥、第三导出的块密钥、所述第一多个轮密钥的轮密钥及所述第二 多个轮密钥的轮密钥各自可包括256位。

本发明的另一方面可在于一种站，其包括：用于处理初始块密钥以产生第一多个轮 密钥的装置；用于保留所述第一多个轮密钥的一轮密钥以用作第一导出的密钥的基础的 装置；用于在第一多轮上使用所述第一多个轮密钥解密第一经加密数据块以产生第一经 解密数据块同时处理所述第一导出的密钥以产生第二多个轮密钥的装置；用于保留所述 第二多个轮密钥的一轮密钥以用作第二导出的密钥的基础的装置；及用于在第一多轮上 使用所述第二多个轮密钥解密第二经加密数据块以产生第二经解密数据块同时处理所 述第二导出的密钥以产生第三多个轮密钥的装置。

本发明的另一方面可在于一种站，其包括：处理器，所述处理器经配置以：处理初 始块密钥以产生第一多个轮密钥；保留所述第一多个轮密钥的一轮密钥以用作第一导出 的密钥的基础；在第一多轮上使用所述第一多个轮密钥解密第一经加密数据块以产生第 一经解密数据块，同时处理所述第一导出的密钥以产生第二多个轮密钥；保留所述第二 多个轮密钥的一轮密钥以用作第二导出的密钥的基础；及在第一多轮上使用所述第二多 个轮密钥解密第二经加密数据块以产生第二经解密数据块，同时处理所述第二导出的密 钥以产生第三多个轮密钥。

本发明的另一方面可在于一种计算机程序产品，其包括：计算机可读媒体，所述计 算机可读媒体包括：用于致使计算机处理初始块密钥以产生第一多个轮密钥的代码；用 于致使计算机保留所述第一多个轮密钥的一轮密钥以用作第一导出的密钥的基础的代 码；用于致使计算机在第一多轮上使用所述第一多个轮密钥解密第一经加密数据块以产 生第一经解密数据块同时处理所述第一导出的密钥以产生第二多个轮密钥的代码；用于 致使计算机保留所述第二多个轮密钥的一轮密钥以用作第二导出的密钥的基础的代码； 及用于致使计算机在第一多轮上使用所述第二多个轮密钥解密第二经加密数据块以产 生第二经解密数据块同时处理所述第二导出的密钥以产生第三多个轮密钥的代码。

附图说明

图1为无线通信系统的实例的框图。

图2是根据本发明的用于站中的加密密钥更新的方法的流程图。

图3是与用于更新用于块加密算法中的加密用途的密钥的方法相关的示意图。

图4是根据本发明的用于站中的密钥更新的方法的流程图。

图5是与用于更新用于块加密算法中的解密用途的密钥的方法相关的示意图。

图6是包含处理器及存储器的计算机的框图。

具体实施方式

本文中使用词“示范性”意指“充当实例、例子或说明”。本文中被描述为“示范 性的”任何实施例不必被理解为比其它实施例优选或有利。

参考图1、2及3，本发明的方面可在于一种用于站102中的加密密钥更新的方法 200。在所述方法中，在第一多轮上使用第一多个轮密钥加密第一数据块B1以产生第一 经加密数据块E1，其中所述第一多个轮密钥是基于初始块密钥K0而产生(步骤210)。 保留所述第一多个轮密钥的一轮密钥以用作第一导出的块密钥K1的基础(步骤220)。在 第二多轮上使用第二多个轮密钥加密第二数据块B2以产生第二经加密数据块E2，其中 所述第二多个轮密钥是基于所述第一导出的块密钥K1而产生(步骤230)。

在本发明的更详细方面中，保留所述第二多个轮密钥的一轮密钥以用作第二导出的 块密钥K2的基础(步骤240)。所述第一和第二经加密数据块E1及E2可使用AES(高级 加密标准)算法产生。所述第一导出的块密钥K1可为所述第一多个轮密钥的最后轮密钥， 例如RK9₁，且所述第二导出的块密钥K2可为所述第二多个轮密钥的最后轮密钥，例如 RK9₂。或者，第一导出的块密钥K1可基于通过经由至少一个额外轮RK9+n₁进一步处 理所述第一多个轮密钥的最后轮密钥而产生的额外轮密钥，且第二导出的块密钥K2可 基于通过经由至少一个额外轮(例如RK9+n₂)进一步处理所述第二多个轮密钥的最后轮 密钥而产生的额外轮密钥。

本发明可涉及用于更新用于块加密算法(例如AES算法)中的加密/解密密钥的技术。 在AES算法的情形下，对于每一数据块，密钥调度的最终轮密钥(或其衍生物)可用作下 一块密钥的第一轮密钥。因此，不反复再用相同的块密钥，用于下一数据块的块密钥可 为先前数据块的最后轮密钥(或来自一或多个额外轮的轮密钥)。因此，相同的密钥材料 实质上永不使用两次，且不能够执行成功的DPA(差分功率分析)攻击所需的统计分析。

用于AES算法的数据输入及输出各自由128位的序列(具有值0或1的数字)组成。 这些序列一般被称作块，且它们的位数目被称作它们的长度。用于AES算法的密码密钥 (块密钥)被界定为128、192或256位的序列。AES算法中的轮密钥与密码密钥具有相同 的长度。因此，将轮密钥用作下一密码/块密钥的基础比使用由使用AES实施的熵再分 布操作产生的标准经加密数据输出的散列具有实质优点。散列函数将要求额外的系统资 源(例如，处理时间及/或电路)来计算新密码/块密钥。

本发明是有效，原因在于用于后续块的密码/块密钥是现有的AES操作的副产物， 且所述密钥不基于对由标准AES操作产生的经加密输出执行的函数。不需要执行额外的 函数来形成后续密码/块密钥，并且，当不使用额外轮时，可与块数据处理同时地执行后 续密码/块密钥导出/处理，而不需要额外处理硬件。

AES128、192及256位密码密钥分别使用10、12及14轮。虽然在图3(及图5)中 展示10轮，但视需要将根据更大的密码密钥长度而实施12或14轮或额外轮。因此， 轮的数目不受图式中展示的数目限制。

在本发明的其它更详细方面中，站102可为硬件站，且可由所述硬件站执行加密及 保留。第一数据块B1、第二数据块B2、第一经加密数据块E1及第二经加密数据块E2 各自可包括128位，且初始块密钥K0、第一导出的块密钥K1、第二导出的块密钥K2、 所述第一多个轮密钥的轮密钥及所述第二多个轮密钥的轮密钥各自可包括192位。或者， 第一数据块B1、第二数据块B2、第一经加密数据块E1及第二经加密数据块E2各自可 包括128位，且初始块密钥K0、第一导出的块密钥K1、第二导出的块密钥K2、所述第 一多个轮密钥的轮密钥及所述第二多个轮密钥的轮密钥各自可包括256位。

进一步参看图1及6，本发明的另一方面可在于一种站102，其包括：用于在第一 多轮上使用第一多个轮密钥加密第一数据块B1以产生第一经加密数据块E1的装置 610，其中所述第一多个轮密钥是基于初始块密钥K0而产生；用于保留所述第一多个轮 密钥的一轮密钥以用作第一导出的块密钥K1的基础的装置610；及用于在第二多轮上 使用第二多个轮密钥加密第二数据块B2以产生第二经加密数据块E2的装置610，其中 所述第二多个轮密钥是基于所述第一导出的块密钥K1而产生。

本发明的另一方面可在于一种站102，其包括：处理器610，其经配置以：在第一 多轮上使用第一多个轮密钥加密第一数据块B1以产生第一经加密数据块E1，其中所述 第一多个轮密钥是基于初始块密钥K0而产生；保留所述第一多个轮密钥的一轮密钥以 用作第一导出的块密钥K1的基础；及在第二多轮上使用第二多个轮密钥加密第二数据 块B2以产生第二经加密数据块E2，其中所述第二多个轮密钥是基于所述第一导出的块 密钥K1而产生。

本发明的另一方面可在于一种计算机程序产品，其包括：计算机可读媒体620，所 述计算机可读媒体包括：用于致使计算机600在第一多轮上使用第一多个轮密钥加密第 一数据块B1以产生第一经加密数据块E1的代码，其中所述第一多个轮密钥是基于初始 块密钥K0而产生；用于致使计算机600保留所述第一多个轮密钥的一轮密钥以用作第 一导出的块密钥K1的基础的代码；及用于致使计算机600在第二多轮上使用第二多个 轮密钥加密第二数据块B2以产生第二经加密数据块E2的代码，其中所述第二多个轮密 钥是基于所述第一导出的块密钥K1而产生。

解密操作一般通过在密钥调度算法中向前步进直到产生最后轮密钥而操作，这是因 为需要预先计算轮密钥且使用最后轮密钥开始第一轮的数据解密。所述最后轮密钥被存 储，且随后在对数据操作的同时向后操作所述算法。后续数据块使用所存储的最后轮密 钥开始以提高性能。在某些密钥滚动算法(例如基于散列函数的密钥滚动算法)的情况下， 此性能增加将是不可能的，因为用于第二数据块的最后轮密钥与用于第一数据块的最后 轮密钥不相同。预先计算用于每一滚动块密钥的最后轮密钥可引发相当大的性能冲击。

然而，通过本发明，此预先计算问题容易通过以下操作在硬件中解决：复制密钥调 度块且在对当前数据块操作的同时用所述密钥调度块计算用于下一数据块的最终轮密 钥。此技术的硬件实施方案将在芯片大小/区域方面具有相对小的区域影响。

参考图4及5，本发明的另一方面可在于一种用于站102中的密钥更新的方法400。 在所述方法中，处理初始块密钥K0以产生第一多个轮密钥(步骤410)。保留所述第一多 个轮密钥的一轮密钥以用作第一导出的密钥K1的基础(步骤420)。在第一多轮上使用所 述第一多个轮密钥解密第一经加密数据块E1以产生第一经解密数据块B1，同时处理所 述第一导出的密钥K1以产生第二多个轮密钥(步骤430)。保留所述第二多个轮密钥的一 轮密钥以用作第二导出的密钥K2的基础(步骤440)。在第一多轮上使用所述第二多个轮 密钥解密第二经加密数据块E2以产生第二经解密数据块B2，同时处理所述第二导出的 密钥K2以产生第三多个轮密钥(步骤450)。

在本发明的更详细方面中，可保留所述第二多个轮密钥的一轮密钥以用作第三导出 的密钥K3的基础(步骤460)。第一经加密数据块E1、第二经加密数据块B2、第一经解 密数据块B1及第二经解密数据块B2各自可包括128位，且初始块密钥K0、第一导出 的块密钥K1、第二导出的块密钥K2、第三导出的块密钥K3、所述第一多个轮密钥的轮 密钥及所述第二多个轮密钥的轮密钥各自可包括192位。或者，第一经加密数据块E1、 第二经加密数据块E2、第一经解密数据块B1及第二经解密数据块B1各自可包括128 位，且初始块密钥K0、第一导出的块密钥K1、第二导出的块密钥K2、第三导出的块密 钥K3、所述第一多个轮密钥的轮密钥及所述第二多个轮密钥的轮密钥各自可包括256 位。

进一步参看图1及6，本发明的另一方面可在于一种站102，其包括：用于处理初 始块密钥K0以产生第一多个轮密钥的装置610；用于保留所述第一多个轮密钥的一轮 密钥以用作第一导出的密钥K1的基础的装置610；用于在第一多轮上使用所述第一多 个轮密钥解密第一经加密数据块E1以产生第一经解密数据块B1的同时处理所述第一导 出的密钥K1以产生第二多个轮密钥的装置610；用于保留所述第二多个轮密钥的一轮 密钥以用作第二导出的密钥K2的基础的装置610；及用于在第一多轮上使用所述第二 多个轮密钥解密第二经加密数据块E2以产生第二经解密数据块B2的同时处理所述第二 导出的密钥K2以产生第三多个轮密钥的装置610。

本发明的另一方面可在于一种站102，其包括：处理器610，其经配置以：处理初 始块密钥K0以产生第一多个轮密钥；保留所述第一多个轮密钥的一轮密钥以用作第一 导出的密钥K1的基础；在第一多轮上使用所述第一多个轮密钥解密第一经加密数据块 E1以产生第一经解密数据块B1同时处理所述第一导出的密钥K1以产生第二多个轮密 钥；保留所述第二多个轮密钥的一轮密钥以用作第二导出的密钥K2的基础；及在第一 多轮上使用所述第二多个轮密钥解密第二经加密数据块E2以产生第二经解密数据块B2 同时处理所述第二导出的密钥K2以产生第三多个轮密钥。

本发明的另一方面可在于一种计算机程序产品，其包括：计算机可读媒体620，其 包括：用于致使计算机600处理初始块密钥K0以产生第一多个轮密钥的代码；用于致 使计算机600保留所述第一多个轮密钥的一轮密钥以用作第一导出的密钥K1的基础的 代码；用于致使计算机600在第一多轮上使用所述第一多个轮密钥解密第一经加密数据 块E1以产生第一经解密数据块B1同时处理所述第一导出的密钥K1以产生第二多个轮 密钥的代码；用于致使计算机600保留所述第二多个轮密钥的一轮密钥以用作第二导出 的密钥K2的基础的代码；及用于致使计算机600在第一多轮上使用所述第二多个轮密 钥解密第二经加密数据块E2以产生第二经解密数据块B2同时处理所述第二导出的密钥 K2以产生第三多个轮密钥的代码。

站102可为远程站RS，其包括计算机600，所述计算机包含处理器610、例如存储 器及/或磁盘驱动器等存储媒体620、显示器630及例如小键盘640等输入，及无线连接 650。

参看图1，无线远程站(RS)102(例如移动台MS)可与无线通信系统100的一或多个 基站(BS)104通信。无线通信系统100可进一步包含一或多个基站控制器(BSC)106，和 核心网络108。核心网络可经由合适的回程连接到因特网110以及公共交换电话网络 (PSTN)112。典型的无线移动站可以包含手持式电话、或膝上型计算机。无线通信系统 100可使用数种多址技术中的任一者或所属领域中已知的其它调制技术，所述多址技术 例如为码分多址(CDMA)、时分多址(TDMA)、频分多址(FDMA)、空分多址(SDMA)、极 分多址(PDMA)。

所属领域的技术人员将理解，可以使用多种不同技术和技艺中的任一者来表示信息 和信号。例如，可通过电压、电流、电磁波、磁场或磁粒子、光场或光粒子或其任何组 合来表示贯穿以上描述可能参考的数据、指令、命令、信息、信号、位、符号和码片。

所属领域的技术人员将进一步了解，结合本文所揭示的实施例描述的各种说明性逻 辑块、模块、电路及算法步骤可实施为电子硬件、计算机软件或两者的组合。为清晰地 说明硬件与软件的此可互换性，以上已大体就其功能性来描述了各种说明性组件、块、 模块、电路和步骤。此类功能性是实施为硬件还是软件取决于具体应用及施加于整个系 统的设计约束。熟练的技术人员可针对每一特定应用以不同方式来实施所描述的功能 性，但这样的实施方案决策不应被解释为会引起脱离本发明的范围。

可使用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门 阵列(FPGA)或经设计以执行本文所描述的功能的其它可编程逻辑装置、离散门或晶体管 逻辑、离散硬件组件或其任何组合来实施或执行结合本文中所揭示的实施例而描述的各 种说明性逻辑块、模块和电路。通用处理器可为微处理器，但在替代方案中，处理器可 为任何常规处理器、控制器、微控制器或状态机。处理器还可实施为计算装置的组合， 例如，DSP与微处理器的组合、多个微处理器的组合、一或多个微处理器与DSP核心的 联合，或任何其它此类配置。

结合本文所揭示的实施例而描述的方法或算法的步骤可直接体现在硬件、由处理器 执行的软件模块或所述两者的组合中。软件模块可驻留在RAM存储器、快闪存储器、 ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可装卸磁盘、CD-ROM， 或此项技术中已知的任何其它形式的存储媒体中。示范性存储媒体耦合到处理器，使得 处理器可从存储媒体读取信息和将信息写入到存储媒体。在替代方案中，存储媒体可集 成到处理器。处理器及存储媒体可以驻留在ASIC中。ASIC可以驻留于用户终端中。在 替代例中，处理器及存储媒体可作为离散组件驻留于用户终端中。

在一或多个示范性实施例中，所述功能可以在硬件、软件、固件或其任何组合中实 施。如果以软件实施为计算机程序产品，那么可将功能作为一或多个指令或代码存储于 计算机可读媒体上或经由计算机可读媒体予以传输。计算机可读媒体包含非暂时性计算 机可读存储媒体与通信媒体两者，通信媒体包含促进将计算机程序从一处传送到另一处 的任何媒体。存储媒体可以是可由计算机存取的任何可用媒体。借助于实例而非限制， 此些计算机可读媒体可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储装置、 磁盘存储装置或其它磁性存储装置，或可用于携载或存储呈指令或数据结构的形式的所 要程序代码且可由计算机存取的任何其它媒体。并且，可恰当地将任何连接称作计算机 可读媒体。举例来说，如果使用同轴电缆、光纤电缆、双绞线、数字订户线(DSL)或例 如红外线、无线电及微波等无线技术从网站、服务器或其它远程源发射软件，则同轴电 缆、光纤电缆、双绞线、DSL或例如红外线、无线电及微波等无线技术包含于媒体的定 义中。如本文中所使用，磁盘和光盘包含压缩光盘(CD)、激光光盘、光学光盘、数字多 功能光盘(DVD)、软性磁盘和蓝光光盘，其中磁盘通常以磁性方式再现数据，而光盘利 用激光以光学方式再现数据。以上各者的组合也应该包含在计算机可读媒体的范围内。

提供对所揭示实施例的先前描述以使得所属领域的任何技术人员能够制作或使用 本发明。所属领域的技术人员将容易地了解对这些实施例的各种修改，并且可以在不脱 离本发明的精神或范围的情况下将本文所定义的一般原理应用到其它实施例中。因此， 本发明并不希望限于本文所展示的实施例，而是将被赋予与本文所揭示的原理和新颖特 征相一致的最广泛范围。