DE10142498A1

DE10142498A1 - Encoding/decoding communications data involves transmitting key information as number of selected with each data packet, decoding data by associating key number with key stored in table

Info

Publication number: DE10142498A1
Application number: DE10142498A
Authority: DE
Inventors: Josef Fellerer
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2001-08-30
Filing date: 2001-08-30
Publication date: 2003-03-27
Also published as: CA2459361A1; EP1421733B1; WO2003028285A2; US7383435B2; CN100365971C; JP2005504479A; WO2003028285A3; EP1421733A2; CN1550083A; US20040202323A1; CA2459361C; DE50213891D1

Abstract

The method involves encoding the communications data in each data packet with a selected key at a transmission point (2-4), transmitting key information in the form of a key number of the selected with each data packet and decoding the data in a receiver station by associating the key number with a key stored in a key table.

Description

Die Erfindung betrifft ein Verfahren zur Ver- und Entschlüsselung von Kommunikationsdaten gemäß dem Oberbegriff des Patentanspruches 1. The invention relates to a method for connecting and Decryption of communication data according to the generic term of Claim 1.

Verfahren zur Ver- und. Entschlüsselung von Kommunikationsdaten werden häufig bei der Datenübertragung über öffentliche Netze, wie einem auf ISDN-Standard basierenden Netz oder das Internet, als Schutzmaßnahme gegen unberechtigtes Mitlesen der übertragenen Daten angewendet. Derartige Verschlüsselungsverfahren basieren in der Regel auf der Verwendung zusätzlicher Hardware-Komponenten, welche eine Ver- und Entschlüsselung der Kommunikationsdaten durchführen. Procedure for shipping and. Decryption of Communication data is often used in data transmission via public Networks, such as a network based on ISDN standards or that Internet, as a protective measure against unauthorized reading of the transmitted data applied. such Encryption methods are usually based on usage additional hardware components, which a Ver and Carry out decryption of the communication data.

Alternativ zu den Hardware-Komponenten oder in Kombination mit diesen Komponenten kann eine Software zur Ver- bzw. Entschlüsselung der Daten verwendet werden, jedoch erfordert dies eine hohe Rechenleistung der Verschlüsselungssysteme. As an alternative to the hardware components or in combination With these components, software for Decryption of the data can be used, however, requires this is a high computing power of the encryption systems.

Um eine Ver- bzw. Entschlüsselung der Daten durch die Hardware-Komponenten zu ermöglichen, ist es notwendig, daß eine Übertragung bzw. Rückübertragung der Daten zu den Hardware- Komponenten stattfindet. Dies erfordert beim Verschlüsselungsvorgang zusätzliche Bearbeitungszeit, bevor die verschlüsselten Daten von einem Sende- zu einem Empfangsort übertragen bzw. an dem Empfangsort gelesen werden können. To encrypt or decrypt the data by the To enable hardware components, it is necessary that a Transmission or retransmission of the data to the hardware Components takes place. This requires at Encryption process additional processing time before the encrypted data from a sending to a receiving location can be transmitted or read at the receiving location.

Da bei der Internet-Telefonie (Voice over IP) kleine Datenpakete zur Übertragung der Sprachdaten genutzt werden, wobei die Datenpakete aufgrund der verbindungslosen Übertragung verschiedene Wege zu dem Empfangsort wählen können, um dort wieder zu einer vollständigen Paketsequenz zusammengefügt zu werden, muß zur Vermeidung von weiteren Bearbeitungszeiten eine schnelle Entschlüsselung der in den einzelnen Datenpaketen angeordneten Daten möglich sein, um eine gute Sprachqualität während eines Telefongespräches zu erhalten. Because small in Internet telephony (Voice over IP) Data packets are used to transmit the voice data, whereby the data packets due to the connectionless transmission can choose different routes to the destination to get there again assembled into a complete packet sequence must be avoided to avoid further processing times a quick decryption of the individual Data packets arranged data can be good Get voice quality during a phone call.

Um eine schnellere Übertragung der Daten zu ermöglichen, wird für die Internet-Telefonie als Transportprotokoll das User Datagram Protokoll (UDP) verwendet, welches im Vergleich zum TCP auf Fehlererkennung und -korrektur verzichtet. Datenpakete, die mit dem UDP übertragen werden, verfügen in der Regel über einen kleineren Keader, der diverse Verwaltungs- bzw. Steuerungsdaten enthält. Zu derartigen Verwaltungsdaten zählen auch Fehlererkennungs- und Korrekturdaten, die in diesem Fall weggelassen werden können. Die Fehlererkennungs- und Korrekturdaten werden dann häufig von einem Protokoll aus einer höheren Schicht, wie beispielsweise dem Real Time Protocol (RTP) unterstützt. Sofern der Header klein ist, ist ein relativ kleiner Overhead realisierbar. Dies führt wiederum zu einer schnelleren Verarbeitung der mit den Datenpaketen übertragenen Nutzdaten. In order to enable a faster transfer of the data, the user for Internet telephony as a transport protocol Datagram protocol (UDP) used, which compared to the TCP does not recognize and correct errors. Data packets that are transferred with UDP usually have via a smaller Keader, the various administrative or Contains control data. Such administrative data also include error detection and correction data included in this Case can be omitted. The error detection and Correction data are then often from a log a higher layer, such as real time Protocol (RTP) supported. If the header is small, is a relatively small overhead can be realized. This in turn leads to faster processing of data packets transmitted user data.

Aufgrund der Verwendung von UDP als Transportprotokoll ist in der Internet-Telefonie wegen der nicht vorhandenen Fehlerkorrektur durch das Protokoll keine verlustfreie Übertragung der Sprachdaten garantiert. Deshalb werden am besten einzelne, möglichst kleine Datenpakete unabhängig voneinander verschlüsselt, übertragen und entschlüsselt. Bisher basierten die Verschlüsselungsverfahren auf einem Austausch des Schlüssels, mit dem die in den Datenpaketen enthaltenen Nutzdaten verschlüsselt wurden. Ein derartiger Schlüssel konnte vor den Nutzdaten von dem Sende- zu dem Empfangsort übertragen werden. Das zusätzliche Austauschverfahren und die damit zusammenhängende Erzeugung eines Schlüssels benötigen zusätzliche Rechen- und Übertragungszeit, wodurch die Übermittlung von Kommunikationsdaten verlängert wird. Desweiteren fallen bei den bisher bekannten Verschlüsselungsverfahren eventuell Lizenzgebühren für das Benutzen dieser Verfahren an. Die Rechenzeiten nehmen bei Verschlüsselungssystemen zu, deren Aufgabe die gleichzeitige Verschlüsselung von Daten mehrerer parallel laufender Verbindungen ist. Due to the use of UDP as a transport protocol, in Internet telephony because of nonexistent Error correction by the protocol no lossless transmission of the Voice data guaranteed. Therefore, it is best to The smallest possible data packets independently of one another encrypted, transmitted and decrypted. So far based the encryption procedures on an exchange of the Key with which the contained in the data packets User data were encrypted. Such a key could before the user data from the sending to the receiving location be transmitted. The additional exchange procedure and with it require coherent generation of a key additional computing and transmission time, which makes the transmission of communication data is extended. Furthermore fall possibly with the previously known encryption methods License fees for using these procedures. The Computing times increase with encryption systems whose Task to encrypt data from several at the same time connections running in parallel.

Demzufolge liegt der vorliegenden Erfindung die Aufgabe zugrunde, ein gattungsgemäßes Verfahren zur Ver- und Entschlüsselung von Kommunikationsdaten dahingehend weiterzubilden, daß eine schnellere und kostengünstigere Ver- und Entschlüsselung der Daten möglich ist. Accordingly, the object of the present invention is to achieve is based on a generic method for connecting and Decryption of communication data in this regard to further develop that faster and cheaper shipping and Decryption of the data is possible.

Diese Aufgabe wird gemäß den Merkmalen des Patentanspruches 1 gelöst. This object is achieved according to the features of patent claim 1 solved.

Ein wesentlicher Punkt der Erfindung liegt darin, daß nicht - wie bisher - ein Austauschverfahren für den Schlüssel, mit dem die Nutzdaten verschlüsselt werden, zwischen Sende- und Empfangsort angewendet werden muß, sondern statt dessen eine Schlüsselnummer als Schlüsselinformation mit den Kommunikationsdaten innerhalb eines Datenpaketes übertragen wird. Eine derartige Schlüsselnummer ermöglicht einen kleinen Header innerhalb des Datenpaketes und somit eine geringe Übertragungs- und Bearbeitungszeit der Datenpakete. An essential point of the invention is that as before - an exchange procedure for the key, with which the user data are encrypted, between send and Destination must be applied, but instead one Key number as key information with the Communication data is transmitted within a data packet. A such a key number enables a small header within the data packet and thus a low transmission and processing time of the data packets.

Die Schlüsselnummer wird z. B. als Index einem von mehreren innerhalb einer Schlüsseltabelle angeordneten Schlüsseln zugeordnet und ermöglicht nach Empfang des Datenpakets und Auswertung der Headerdaten ein schnelles Zugreifen auf den richtigen Schlüssel, der anschließend für die Entschlüsselung der Kommunikationsdaten verwendet wird. The key number is e.g. B. as an index one of several keys arranged within a key table assigned and enables after receipt of the data packet and Evaluation of the header data a quick access to the correct key which is then used for decrypting the Communication data is used.

Gemäß einer bevorzugten Ausführungsform wird die Schlüsselnummer an dem Sendeort mittels eines Zufallsgenerators ausgewählt, so daß von einem externen Beobachter nicht vorhergesagt werden kann, mit welchem Schlüssel ein Datenpaket übertragen wird. Da für jedes Datenpaket eine Schlüsselnummer erneut mit dem Zufallsgenerator ausgewählt wird, ist die Entschlüsselung der Nutzdaten nach dem Zusammensetzen mehrerer Datenpakete durch einen nicht berechtigten Beobachter nahezu unmöglich. According to a preferred embodiment, the Key number at the sending location by means of a random number generator selected so that no external observer the key with which a data packet can be predicted can be predicted is transmitted. As a key number for each data packet selected again with the random number generator is the Decryption of the user data after assembling several Data packets almost by an unauthorized observer impossible.

Insbesondere wird das Abhören dadurch erschwert, daß eine zufälligerweise richtige Entschlüsselung eines Pakets nicht auf einfache Weise erkannt werden kann. In particular, eavesdropping is complicated by the fact that a accidentally correct decryption of a packet does not work can be easily recognized.

Sowohl am Sende- als auch am Empfangsort werden Schlüsseltabellen mit identischem Inhalt verwendet. Die Schlüsseltabellen setzen sich aus beispielsweise 4096 Schlüsseln mit dazugehörigen Schlüsselnummern zusammen. Für eine Entschlüsselung der Kommunikationsdaten muß also nicht nur eine große Zahl an Schlüsseln, sondern auch die Zuordnung der Schlüssel jeweils zu einer Schlüsselnummer bekannt sein. Be both at the sending and receiving location Key tables with identical content are used. The Key tables consist of, for example, 4096 keys associated key numbers together. For decryption the communication data does not only have to be a large number Keys, but also the assignment of the keys each be known to a key number.

Der den Schlüssel darstellende Algorithmus kann auf dem Data Encryption Standard (DES) und/oder dem Advanced Encryption Standard (AES) basieren, welcher eine gleichzeitige Verschlüsselung und Komprimierung der Kommunikationsdaten ermöglicht. Insbesondere bei Anwendung des erfindungsgemäßen Verfahrens in der Internet-Telefonie werden dann Sprachdaten auf eine schnelle Weise verschlüsselt und komprimiert. The algorithm representing the key can be based on the data Encryption Standard (DES) and / or the Advanced Encryption Standard (AES) based, which is a simultaneous Encryption and compression of the communication data allows. In particular when using the invention Procedures in Internet telephony are then based on voice data encrypted and compressed in a quick way.

Vorteilhaft kann das Datenpaket zusätzlich eine Größeninformation über den Datenumfang der Nutzdaten enthalten, um so zusätzliche Auffüll-Bytes, die im Rahmen eines blockweise arbeitenden Verschlüsselungsverfahrens entstehen, als solche zu erkennen und von den Nutzdaten zu trennen. The data packet can also advantageously be a Size information about the data volume of the user data included, so additional padding bytes that are block-wise working encryption procedures arise as such recognize and separate from the user data.

Weitere vorteilhafte Ausführungsformen ergeben sich aus den Unteransprüchen. Zusätzliche Zweckmäßigkeiten und Vorteile werden in der nachfolgenden Beschreibung im Zusammenhang mit der Zeichnung aufgeführt. Hierbei zeigen: Further advantageous embodiments result from the Dependent claims. Additional expediencies and advantages are related to in the description below of the drawing. Here show:

Fig. 1 eine vereinfachte Darstellung von Einrichtungen, die zur Durchführung des erfindungsgemäßen Verfahrens dienen, und Fig. 1 is a simplified representation of devices that are used to carry out the method according to the invention, and

Fig. 2 die Struktur eines Datenpakets mit einer Verschlüsselung der Daten gemäß dem erfindungsgemäßen Verfahren. Fig. 2 shows the structure of a data packet with an encryption of the data according to the inventive method.

Fig. 1 zeigt in einer stark vereinfachten Darstellung Vorrichtungen, die zur Durchführung des erfindungsgemäßen Verfahrens dienen. Zur Durchführung eines Internet-Telefonats verbindet ein öffentliches IP-Netz 1 mehrere Verschlüsselungs- bzw. Entschlüsselungssysteme 2, 3 und 4, welche mit mehreren Telefonen 5-7, 8-10 und 11-13 verbunden sind. Zwischen den Telefonen 5-13 und den Systemen 2, 3 und 4 bestehen Verbindungen 14-16, 17-19 und 20-22, die Sprachdaten von den Telefonen zu den Systemen in unverschlüsselter Form übertragen. Die zwischen dem IP-Netz 1 und den Systemen 2, 3 und 4 angeordneten Verbindungen 23, 24 und 25 hingegegen dienen zur Übertragung von verschlüsselten Sprachdaten im Rahmen eines RTP-Datenpakets. Fig. 1 shows in a highly simplified representation of devices which are used for performing the inventive method. To carry out an Internet call, a public IP network 1 connects several encryption or decryption systems 2 , 3 and 4 , which are connected to several telephones 5-7 , 8-10 and 11-13 . Connections 14-16 , 17-19 and 20-22 exist between telephones 5-13 and systems 2 , 3 and 4 , which transmit voice data from the telephones to the systems in unencrypted form. In contrast, the connections 23 , 24 and 25 arranged between the IP network 1 and the systems 2 , 3 and 4 serve for the transmission of encrypted voice data in the context of an RTP data packet.

Wenn ein Benutzer des Telefons 7 über das IP-Netz mit einem Benutzer des Telefons 8 sprechen möchte, so findet eine Übertragung der Sprachdaten über die Leitung 16 zu dem System 2 statt. In dem System 2 wird zu jedem Datenpaket, in welchem die Sprachdaten übertragen werden, mittels eines Zufallsgenerators eine Schlüsselnummer als Zufallsnummer ausgewählt und dem jeweiligen Datenpaket als Schlüsselinformation zugeordnet und zusammen mit den Sprachdaten über das IP-Netz 1 übertragen. In einer in dem System 2 angeordneten Schlüsseltabelle wird der zu der Schlüsselnummer zugehörige Schlüssel herausgegriffen und als Algorithmus, beispielsweise auf dem DES basierend, zur Verschlüsselung der Sprachdaten angewendet. If a user of the telephone 7 wishes to speak to a user of the telephone 8 via the IP network, the voice data is transmitted to the system 2 via the line 16 . In the system 2 , a key number is selected as a random number for each data packet in which the voice data is transmitted and assigned to the respective data packet as key information and transmitted together with the voice data via the IP network 1 . The key associated with the key number is extracted from a key table arranged in the system 2 and used as an algorithm, for example based on the DES, for encrypting the voice data.

Die verschlüsselten Sprachdaten werden als Nutzdaten in Form eines RTP-Payload zusammen mit der Schlüsselnummer für jedes Datenpaket separat über das IP-Netz 1 an das System 3 gesendet. Dort wird aus jedem Datenpaket die Schlüsselnummer herausgegriffen und einer in dem System 3 angeordneten Schlüsseltabelle, die mit der in dem System 2 angeordneten Schlüsseltabelle identisch ist, als Index zugewiesen. In der Schlüsseltabelle wird auf den dem Index zugeordneten Schlüssel zugegriffen, um ihn zur Entschlüsselung der Sprachdaten zu verwenden. Die entschlüsselten Sprachdaten der einzelnen Datenpakete werden zu einem gemeinsamen Datensatz zusammengesetzt, so daß zusammenhängende, gut verständliche Sätze über die Leitung 17 an das Telefon 8 übertragen werden können. The encrypted voice data are sent as user data in the form of an RTP payload together with the key number for each data packet separately to the system 3 via the IP network 1 . There, the key number is extracted from each data packet and assigned to a key table arranged in system 3 , which is identical to the key table arranged in system 2 , as an index. The key assigned to the index is accessed in the key table in order to be used to decrypt the voice data. The decrypted voice data of the individual data packets are put together to form a common data record, so that coherent, easily understandable sentences can be transmitted to the telephone 8 via the line 17 .

Fig. 2 zeigt die Struktur eines Datenpakets, in welchem Sprachdaten nach dem erfindunsgemäßen Verfahren verschlüsselt sind. Die Struktur des Datenpaketes 30 setzt sich aus dem Nutzdatenvolumen 31 (RTP-Payload), den verschlüsselten Nutzdaten 32, der Schlüsselinformation 33, der Größeninformation 34 über den Datenumfang der verschlüsselten Nutzdaten und den RTP-Headerdaten 35 zusammen. Der Nutzdatenvolumenanteil 31 beinhaltet einen Anteil 36 an verschlüsselten Daten und die Schlüsselinformation 33. Die Schlüsselinformation umfaßt eine Größe von 16 Bits, wovon die 12 niederwertigeren Bits die Schlüsselnummer bilden. Die 12 Bits lassen sich in 4.096 verschiedenen Möglichkeiten miteinander kombinieren, so daß mittels den Schlüsselnummern 4.096 verschiedene Schlüssel aus der Schlüsseltabelle ausgewählt werden können. Wenn jeder dieser Schlüssel 64 Bits umfaßt, ist eine Schlüsseltabelle mit einer Speicherkapazität von 32 Kilobytes erforderlich. Fig. 2 shows the structure of a data packet in which voice data according to the invented method encrypted. The structure of the data packet 30 is composed of the user data volume 31 (RTP payload), the encrypted user data 32 , the key information 33 , the size information 34 about the data volume of the encrypted user data and the RTP header data 35 . The user data volume portion 31 contains a portion 36 of encrypted data and the key information 33 . The key information has a size of 16 bits, of which the 12 least significant bits form the key number. The 12 bits can be combined with each other in 4,096 different ways, so that 4,096 different keys can be selected from the key table using the key numbers. If each of these keys is 64 bits, a key table with a storage capacity of 32 kilobytes is required.

In den vier höherwertigen Bits kann vorzugsweise eine Verschlüsselungsinformation über den verwendeten Verschlüsselungsalgorithmus enthalten sein. One can preferably be in the four high-order bits Encryption information about the used Encryption algorithm can be included.

Um den Index in der Schlüsseltabelle des Empfangsortes aus der 16 Bit umfassenden Integer-Zahl der Schlüsselinformation zu ermitteln, werden die 4 höherwertigen Bits der Schlüsselinformation auf 0 gesetzt und aus den restlichen 12 niederwertigen Bits der Index ermittelt. Der Index wird dann dazu verwendet, innerhalb der Schlüsseltabelle einen dem Index zugeordneten Schlüssel, der in der Regel 8 Byte umfaßt, herauszugreifen und zur Entschlüsselung bzw. Verschlüsselung der Sprachdaten zu verwenden. Hierfür kann der Schlüssel auch erst im Moment des Zugreifens ein Generierungsverfahren durchlaufen, in dem er über einen Zufallsgenerator aus einer Anzahl von Schlüsseln ausgewählt wird. To the index in the key table of the receiving location the 16-bit integer number of key information to determine the 4 high order bits of the Key information set to 0 and from the remaining 12 low-order bits of the index are determined. The index then becomes this used within the key table an the index assigned key, which usually comprises 8 bytes, to pick out and to decrypt or encrypt the Use voice data. The key can do that too a generation process only at the moment of access run through it using a random number generator from a Number of keys is selected.

Sämtliche Systeme 2, 3 und 4 weisen innerhalb eines Gesamtsystems inhaltsidentische Schlüsseltabellen auf. Weitere Gesamtsysteme können wiederum andere, ausschließlich in ihrem System geltende Schlüsseltabellen verwenden. All systems 2 , 3 and 4 have content-identical key tables within an overall system. Other overall systems can in turn use other key tables that are only valid in their system.

An dieser Stelle sei darauf hingewiesen, daß alle oben beschriebenen Teile und Schritte für sich allein gesehen und in jeder Kombination, insbesondere die in den Zeichnungen dargestellten Details als erfindungswesentlich beansprucht werden. Abänderungen hiervon sind dem Fachmann geläufig. Bezugszeichenliste 1 IP-Netz
2, 3, 4 Verschlüsselungs- bzw. Entschlüsselungssystem
5-13 Telefon
14-22 Leitung mit nicht verschlüsselten Daten
23-25 Leitung mit verschlüsselten Daten
30 Struktur eines Datenpaketes
31 RTP-Payload
32 verschlüsselte Nutzdaten
33 Schlüsselinformation
34 Größeninformation über den Datenumfang der Nutzdaten
35 RTP-Headerdaten
36 Anteil an verschlüsselten Daten
At this point it should be pointed out that all the parts and steps described above are seen on their own and in any combination, in particular the details shown in the drawings, are claimed as essential to the invention. Modifications to this are familiar to the person skilled in the art. LIST OF REFERENCES 1 IP network
2 , 3 , 4 encryption or decryption system
5-13 phone
14-22 Line with unencrypted data
23-25 line with encrypted data
30 Structure of a data packet
31 RTP payload
32 encrypted user data
33 Key information
34 Size information about the data volume of the user data
35 RTP header data
36 Share of encrypted data

Claims

1. A method for encrypting and decrypting communication data ( 32 ), in particular voice data, which are transmitted in a plurality of data packets ( 30 ) in a digital communication network ( 1 ), in particular for Internet telephony, characterized in that
the communication data ( 32 ) are encrypted with a selected key at a sending location ( 2 , 3 , 4 ) in each of the data packets ( 30 ),
a key number of the selected key is transmitted as key information with each of the data packets and
the communication data ( 32 ) are decrypted by assigning the key number to the key stored in a key table set up at a receiving location ( 2 , 3 , 4 ).

2. The method according to claim 1, characterized in that the key is selected by determining the key number ( 33 ) by means of a random number generator as a random number.

3. The method according to claim 1 or 2, characterized in that content-identical key tables are accessed at the sending and receiving locations ( 2 , 3 , 4 ).

4. The method according to any one of the preceding claims, characterized in that with one of the data packets size information ( 34 ) is transmitted about the data volume of the communication data ( 32 ).

5. The method according to any one of the preceding claims, characterized in that the key as an algorithm after data encryption Standard and / or according to the Advanced Encryption Standard is trained.

6. The method according to any one of the preceding claims, characterized in that the communication data are transmitted as user data by means of the transport protocol User Datagram Protocol and by means of the Real Time Protocol additional data, such as the type of user data and the time of generation of the user data, in each of the Header ( 35 ) associated with data packets are transmitted.

7. The method according to any one of the preceding claims, characterized in that the encryption and decryption of the communication data ( 32 ) within a with a plurality of terminals ( 5-13 ) connected telecommunications system ( 2-4 ) is carried out.

8. The method according to any one of the preceding claims, characterized in that encryption information in a data packet an encryption algorithm used is transmitted.