[发明专利]一种用于数据加密和完整性的设备

说明书

一种设备被布置为用于对输入数据进行加密，并且保护输入数据和关联数据的完整性。加密处理器具有被布置为基于所述输入数据来计算完整性值的第一散列单元(311)、被布置为基于所述完整性值和关联数据来计算初始化向量的第二散列单元(310)。散列单元中的至少一个可以是密钥散列单元。加密单元(315)被布置为用于使用所述初始化向量和加密密钥(k2)对所述输入数据进行加密以生成加密数据。实际上，所述初始化向量不同于所述完整性值。由于所述初始化向量取决于所述完整性值和关联数据二者，因此其中的任何更改都将导致解密失败，并且解密数据与原始明文P完全不同。

技术领域

本发明涉及数据的加密和解密，所述数据还具有不被加密的关联数据。

本发明涉及数据通信和存储领域，更具体地，提供用于对数据进行加密并且保护数据和关联数据的完整性以及相应地进行解密的设备和方法，以及相应的计算机程序产品。

背景技术

当设备需要保护其通信或数据存储的安全时，通常会对其通信进行加密。另外，加密算法很重要，因为它们能够使数据保持私人化。只有当有解密密钥时，才能通过解密获得加密数据的明文。但是，不仅保密或隐私很重要，而且消息的完整性也很重要。攻击者可能会通过更改、删除或添加密文符号来更改已加密的消息。密文的更改在可能会导致解密后的无用数据，但是使用密码知识和某些加密范例的聪明的攻击者可能会成功操纵数据。例如，如果攻击者拥有从一个银行到另一个银行的消息的加密版本，其中包含将一定金额的钱汇入攻击者帐户的指令，并且如果攻击者知道密码文本符号n至m包含他的银行帐户号码，攻击者可以捕获将金额汇入其他人的银行帐户另一条这样的消息，并使用攻击者的银行帐户号码的密文符号更改其密文符号n至m。然后解密可以产生看起来正确的汇款指令。实际上，在不知道解密密钥的情况下更改密文，从而使得在解密之后产生有意义的消息将更加困难，但是这也是可能的。

鉴于上述攻击，完整性保护被添加到加密中，例如，通过在加密之前对明文数据计算消息验证码(MAC)并对得到的MAC进行加密，或者通过在加密后对密文计算MAC，并将得到的MAC添加到消息。消息验证代码是一小段信息，其用于对消息进行验证——换言之，以确认消息来自指定的发件人并且未被更改过。MAC算法被设计为使得如果仅任何一比特消息被更改，则MAC的许多比特，优选大约一半比特数的MAC产生变化。需要密钥来创建MAC。如果消息的接收者拥有MAC、MAC密钥和解密密钥，则他能够验证消息未被篡改，消息是由知道MAC密钥的人发送的，并且他能够对其进行解密。众所周知，MAC算法家族是密钥散列消息验证代码(HMAC)算法，例如HMAC-SHA256、HMAC-SHA384和HMAC-SHA512，参见[RFC 6234]。

还存在结合加密和完整性保护的密码。AES-SIV(使用高级加密标准(AES)的合成初始化向量(SIV)验证加密，参见[RFC 5297])是这种密码的范例。用于AES-SIV的密钥的一半比特用于加密/解密，而另一半比特用于验证和完整性保护。这意味着，例如当256比特密钥用于AES-SIV时，由AES-SIV完成128比特AES加密。同时，可以检查AES-SIV中关联数据(AD)的真实性和完整性。这意味着，能够在加密之前将两组数据输入至AES-SIV，需要加密的数据和未加密的关联数据，但是对于这两者，其真实性和完整性能够通过AES-SIV解密和完整性检查来证明。支持这种可能性的密码有时称为具有关联数据的验证加密方案(AEAD)。

加密数据和关联数据的接收者需要将两者都输入AES-SIV进行解密。AES-SIV对密文进行解密，并将解密后的密文和关联数据输入至完整性检查，以确认完整性和真实性。如果此检查失败，则必须丢弃已解密的密文。如果已在发送方和接收方之间更改了至少一比特已加密数据或AD，则此检查将失败。

例如，改变至少一比特已加密数据将导致失败的真实性/完整性检查。在这种情况下，已解密的密文不同于发送者想要保护的明文。改变至少一比特关联数据将导致失败的真实性/完整性检查。

发明内容