Kryptographie mittels zeitdiskreter chaotischer Systeme

Transkript

1 Kryptographie mittels zeitdiskreter chaotischer Systeme Th. Klinker and Th. Holzhüter Fachhochschule Hamburg, Fachbereich Elektrotechnik und Informatik Berichte aus F&E 20. November Einleitung In dieser Arbeit wird die Synchronisation zweier chaotischer Systeme betrachtet mit Hinblick auf Anwendungen in der Kryptographie. Dazu werden zwei zunächst getrennte, chaotische Systeme über eine Kopplung dazu gebracht, trotz verschiedener Anfangsbedingungen eine synchrone Bewegung auszuführen. Daß dies überhaupt möglich ist, überrascht zunächst, denn das Vorhandensein von Chaos läßt eine Synchronisierung gerade unmöglich erscheinen, da Chaos eine extreme Abhänigigkeit des Signalverlaufs von den (unbekannten) Anfangsbedingungen bedeutet. In ihren Pionierarbeiten haben Carroll und Pecora, siehe [Pecora & Carroll, 1990; Carroll & Pecora, 1991], aber folgendes erkannt: Zerlegt man einen chaotischen Oszillator in geeigneter Weise in zwei Subsysteme, so können zwei Ausführungen solcher Oszillatoren (einer arbeitet als Sender, der andere als Empfänger) synchronisieren, wenn eines der beiden Subsysteme asymptotisch stabil ist, genauer gesagt, wenn alle bedingten Lyapunov-Exponenten des Subsystems negativ sind. Gegenwärtig sind drei Methoden der Synchronisation von chaotischen Sendern und Empfängern bekannt, deren Erfolg für spezielle Anordnungen nachgewiesen werden konnte: 1. Synchronisation durch Zerlegung in Subsysteme, 2. Synchronisation durch Rückkopplung und 3. Synchronisation mit Hilfe des inversen Systems. Die Methode der Aktiv-Passiv-Zerlegung (APZ), siehe [Parlitz, 1999a; Parlitz, 1999b], stellt eine Verallgemeinerung der Methode 1 dar. Sie wird in dieser Arbeit noch genau betrachtet werden. Die Technik der Synchronisierung chaotischer Systeme kann für die verschlüsselte Nachrichtenübertragung genutzt werden. Der Grundgedanke dabei ist, dem chaotischen Ausgangssignal des Senders in geeigneter Weise das die Information tragende Signal aufzuprägen. Da chaotische Systeme ein deterministisches Zufallssignal (pseudo random signal) Fachhochschule Hamburg, Fachbereich Elektrotechnik und Informatik. Berliner Tor 3, D Hamburg, Germany. Phone: +49(4103)15320; Fax: +49(40) ; th.klinker@t-online.de Fachhochschule Hamburg, Fachbereich Elektrotechnik und Informatik. Berliner Tor 3, D Hamburg, Germany. Phone: +49(4305)992940; Fax: +49(4305)992942; th.holzhueter@t-online.de 1

2 erzeugen, kann der Informationsgehalt des modulierten Signals nur schwer entschlüsselt werden. Der Empfänger wird nun mit diesem chaotischen Signal angetrieben. Bei Kenntnis des erzeugenden Systems und erfolgter Synchronisierung kann er die inverse Operation zum Sender ausführen und so das Nutzsignal wiederherstellen. Für die Modulation des chaotischen Trägersignals mit der Nutzinformation sind verschiedene Techniken diskutiert worden. Die wichtigsten sind: 1. Addieren des Informationssignal zum Trägersignal (chaotic masking), 2. Hin- und Herschalten zwischen zwei chaotischen Attraktoren (chaotic switching) und 3. direkte chaotische Modulation (direct chaotic modulation). Von der mittlerweile sehr umfangreichen Literatur zu diesem Thema seien hier nur einige der wichtigsten Arbeiten zitiert [Kokarev et al., 1992; S. Hayes et al., 1993; Dedieu et al., 1993; Kokarev & Parlitz, 1995; Hasler, 1995; Hasler, 1998; Magauer & Banerjee, 1998]. Eine Übersicht über den aktuellen Stand der Forschung findet man in [Thompson & Bishop, 1994; Kennedy & Ogorzalek, 1997; Kapitaniak, 1998; Schuster, 1999; Chen, 1999]. In dieser Arbeit wird die Methode der direkten chaotischen Modulation verwendet in Zusammenhang mit der Aktiv-Passiv-Zerlegung. 2 Synchronisation chaotischer Systeme In diesem Kapitel soll die Aktiv-Passiv-Zerlegung (APZ) zur Synchronisation chaotischer Systeme kurz beschrieben werden, und zwar sowohl für zeitkontinuierliche, als auch zeitdiskrete Systeme, siehe auch [Parlitz, 1999a; Parlitz, 1999b]. Die Grundidee ist, ein gegebenes System so in einen aktiven (antreibenden) und einen passiven (angetriebenen) Teil zu zerlegen, daß zwei verschiedene Ausführungen des passiven Teils synchronisieren, wenn beide mit demselben Signal, und zwar dem vom aktiven Teil erzeugten, angetrieben werden. 2.1 Synchronisation zeitkontinuierlicher Syteme Wir betrachten ein n-dimensionales (chaotisches) dynamisches System ż = F (z), (1) z IR n. Ziel ist es nun dieses autonome System zu schreiben als ein nicht-autonomes. Formal bedeutet dies, daß wir Gl. (1) umschreiben wollen in der Form ẋ = f(x, s) (2) s = h(x). (3) Hierbei stellt Gl. (2) den passiven und Gl. (3) den aktiven Teil des Systems dar. Das Funktionenpaar f und h bildet, wie man auch sagt, eine Aktiv-Passiv-Zerlegung (APZ) der Funktion F. Statt Gln. (2) und (3) ist auch die Zerlegung ẋ = f(x, s) (4) ṡ = h(x, s) (5) denkbar. Ist s mit x durch eine statische Funktion gemäß Gl. (3) verbunden, so gilt für den neuen Zustandsvektor x = z. Wird s aber über eine Differentialgleichung gemäß Gl. (5) erzeugt, so ist die Dimension von x kleiner als die von z. 2

3 Der entscheidende Punkt ist nun, daß man für geeignet gewählte Zerlegungen gemäß Gln. (2) und (3) zeigen kann, daß ein weiteres System ẏ = f(y, s), (6) welches durch dasselbe Vektorfeld f gegeben ist wie in Gl. (2), aber mit einer anderen Variablen y, mit dem System (2) synchronisieren kann. Synchronisieren bedeutet dabei y x 0 für t, oder präziser, das dynamische System welches die zeitliche Entwicklung der Differenz e = y x beschreibt, ė = f(y, s) f(x, s) =f(x + e, s) f(x, s), besitzt einen stabilen Fixpunkt bei e = 0. In manchen Fällen kann dies nachgewiesen werden durch eine Stabilitätsanalyse des linearisierten Systems für kleine e, ė = D x f(x, s) e, (7) wobei D x f(x, s) die Jacobi-Matrix bezüglich der Variablen x ist. In anderen Fällen kann die Stabilität durch Verwendung einer Lyapunov-Funktion gezeigt werden. In den meisten Fällen jedoch muß die Stabilität numerisch nachgewiesen werden durch Berechnung der bedingten Lyapunov Exponenten (BLE s) unter Verwendung der Linearisierung (7). Synchronisation ist gegeben, wenn die BLE s alle negativ sind. Als Beispiel wollen wir das Lorenz-System betrachten: ż 1 = σz 1 + σz 2 ż 2 = rz 1 z 2 z 1 z 3 (8) ż 3 = z 1 z 2 bz 3 Standardwerte für σ, r und b sind σ = 10, r = 28 und b =8/3. Eine mögliche Zerlegung dieses Systems in einen passiven und einen aktiven Teil ist wie folgt gegeben: ẋ 1 = σx 1 + s(t) ẋ 2 = rx 1 x 2 x 1 x 3 (9) ẋ 3 = x 1 x 2 bx 3 mit s(t) =σx 2. (10) Das System bestehend aus den Gl. (9) und (10) wird in sicheren Übertragungssystemen als Transmitter (driving system) eingesetzt. Das Empfänger-System (response system) ist gegeben durch eine Kopie des Originalsystems (9) mit der neuen Variablen y, ẏ 1 = σy 1 + s(t) ẏ 2 = ry 1 y 2 y 1 y 3 (11) ẏ 3 = y 1 y 2 by 3. Für die zeitliche Entwicklung des Differenzvektors e = y x berechnet man ė 1 = σe 1 (12) ė 2 = re 1 e 2 y 1 y 3 + x 1 x 3 (13) ė 3 = y 1 y 2 x 1 x 2 be 3. (14) 3

4 Aus Gl. (12) folgt e 1 = y 1 x 1 0für t. Das verbleibende zwei-dimensionale System kann dann geschrieben werden in der Form: ė 2 = e 2 x 1 e 3 (15) ė 3 = x 1 e 2 be 3. (16) Unter Verwendung der Lyapunov-Funktion L = e e2 3 kann L = 2(e be2 3 ) < 0 gezeigt werden. Das bedeutet, daß eine global stabile Synchronisation vorliegt. Für die Anwendung in sicheren Übertragungssystemen ist wichtig zu betonen, daß diese Stabilitätsbetrachtung für beliebige antreibende Signale s(t) gilt, was direkt aus obiger Herleitung folgt. 2.2 Synchronisation zeitdiskreter Syteme Das Konzept der Aktiv-Passiv-Zerlegung läßt sich auch auf zeitdiskrete Syteme übertragen. Wir gehen aus von dem n-dimensionales (chaotisches) dynamisches System z(n +1)=F (z(n)). (17) Wieder wird das autonome System als ein nicht-autonomes geschrieben in der Form x(n +1) = f(x(n),s(n)) (18) s(n) = h(x(n)). (19) Hierbei stellt Gl. (18) den passiven und Gl. (19) den aktiven Teil des Systems dar. Statt Gln. (18) und (19) sind auch Zerlegungen der Art x(n +1) = f(x(n),s(n)) (20) s(n +1) = h(x(n),s(n)) (21) denkbar, sollen aber im weiteren nicht betrachtet werden. Ist s mit x durch eine statische Funktion gemäß Gl. (19) verbunden, so gilt für den neuen Zustandsvektor x = z. Wirds aber über Gl. (21) erzeugt, so ist die Dimension von x kleiner als die von z. Das Funktionenpaar f und h stellt eine APZ der Funktion F dar, und bei geeigneter Wahl der Funktion h kann man zeigen, daß ein weiteres System y(n +1)=f(y(n),s(n)) (22) mit dem Originalsystem (18) synchronisieren kann. Dies ist der Fall, wenn das dynamische System, welches die zeitliche Entwicklung der Differenz e = y x beschreibt, e(n +1)=f(y(n),s(n)) f(x(n),s(n)) = f(x(n)+e(n),s(n)) f(x(n),s(n)), einen stabilen Fixpunkt bei e = 0 besitzt. Wie im zeitkontinuierlichen Fall kann dies geprüft werden durch Analyse des linearisierten Systems für kleine e, e(n +1)=D x f(x(n),s(n)) e(n), (23) oder durch Angabe einer Lyapunov-Funktion. Als Beispiel wird die in der Chaostheorie ausgiebig untersuchte Hénon-Abbildung betrachtet. Sie lautet z 1 (n +1) = 1 az1(n)+z 2 2 (n) z 2 (n +1) = bz 1 (n). (24) 4

5 Die Standardwerte für a und b sind a =1.4 und b =0.3. Eine Aktiv-Passiv-Zerlegung (APZ) dieses Systems kann wie folgt konstruiert werden, x 1 (n +1) = 1 as 2 (n)+x 2 (n) x 2 (n +1) = bx 1 (n), (25) mit s(n) =x 1 (n). (26) In einem sicheren Übertragungssystem stellen die Gl. (25) und (26) wieder die Systemgleichungen des Transmitters (driving system) dar. Die Gleichungen des Receivers (response system) sind gegeben durch eine Kopie von Gl. (25), y 1 (n +1) = 1 as 2 (n)+y 2 (n) y 2 (n +1) = by 1 (n). (27) Daß beide Systeme synchronisieren, ergibt sich sofort, wenn man das dynamische System für den Fehler e = y x betrachtet: e 1 (n +1) = e 2 (n) e 2 (n +1) = be 1 (n), (28) bzw. ( ) 0 1 e(n +1)= e(n). (29) b 0 Dieses lineare System ist offensichtlich stabil für b<1. Ein anfänglicher Synchronisationsfehler e konvergiert mit wachsender Zeit n exponentiell abnehmend gegen 0. Die oben bewiesene Stabilität gilt dabei für beliebige Signale s(n). Dies wird wieder ausgenutzt, wenn man aus obigen, uni-direktional gekoppelten Hénon-Abbildungen ein sicheres Übertragungssystem konstruieren will, siehe Abschnitt 3.2. Interessant ist auch foglende Variante der APZ der Hénon-Abbildung, die so auslegt ist, daß sich sogenannte Dead-Beat-Synchronisation, vergleiche [De Angeli et al., 1995], einstellt. Die Systemgleichungen des Transmitters lauten in diesem Fall x 1 (n +1) = 1 as 2 (n)+x 2 (n) x 2 (n +1) = bs(n), (30) mit s(n) =x 1 (n). (31) Die Gleichungen des Receivers sind gegeben durch y 1 (n +1) = 1 as 2 (n)+y 2 (n) y 2 (n +1) = bs(n). (32) Das dynamische System für den Synchronisationsfehler e = y x lautet: e 1 (n +1) = e 2 (n) e 2 (n +1) = 0, (33) bzw. ( ) 0 1 e(n +1)= e(n). (34) 0 0 Dieses lineare System ist offensichtlich stabil. Die Systemmatrix ist darüber hinaus nilpotent, was bedeutet, daß der Synchronisationsfehler e nach spätestens zwei Iterationen Null ist. Das heißt, nach spätestens zwei Iterationen ist perfekte Synchronisation gewährleistet. 5

6 3 Sichere Nachrichtenübertragung mit chaotischen Systemen In diesem Abschnitt wird gezeigt, wie man mit synchronisierten chaotischen Systemen ein verschlüsseltes Übertragungssystem generieren kann. Sei dazu eine APZ eines chaotischen Systems derart, daß die Kopie ẋ = f(x, s) (35) s = h(x). (36) ẏ = f(y, s), (37) mit dem Originalsystems (35) synchronisiert. Beim Nachweis der Synchronisation geht lediglich ein, daß beide Systeme mit demselben Signal s angetrieben werden, es muß also nicht das Signal aus Gl. (36) sein. Die grundlegende Idee ist nun, das Signal s so zu ändern, daß es nicht nur von dem n-dimensionalen Zustandsvektor x abhängt, sondern auch von der zu verschlüsselnden Information i, also s = h(x, i). (38) Mittels der Gln. (38) und (35) wird die Imformation i in die chaotische Dynamik des Transmitters injiziert. Die Gleichungen ẋ = f(x, s) und s = h(x, i) beschreiben den Transmitter, wobei s = h(x, i) gleichzeitig das übertragene chaotische Signal ist. Als Verschlüsselungsprinzip wird somit die direkte chaotische Modulation verwendet, denn das Informationssignal i(t) beeinflußt direkt die Dynamik des Transmitters. Die Gleichung ẏ = f(y, s) stellt den Receiver dar. Im Fall der Synchronisation, d.h. y x 0für t kann die Information aus der Gleichung s = h(x, i) =h(y, i) wiedergewonnen werden, wenn h nach i auflösbar ist, also i r = h 1 (y, s). (39) Für zeitdisktrete System geht das Verfahren ganz entsprechend. 3.1 Verschlüsselung mit zeitkontinuierlichen Sytemen Das folgende Beispiel für die Realisierung eines konkreten zeitkontinuierlichen Verschlüsselungssystems basiert auf dem Lorenz-System. Wir gehen aus von der APZ des Lorenz- Systems, wie sie in Abschnitt 2.1 beschrieben ist. Die Gleichungen des passiven Transmitterteils lauten ẋ 1 = σx 1 + s(t) ẋ 2 = rx 1 x 2 x 1 x 3 (40) ẋ 3 = x 1 x 2 bx 3. Als antreibendes Signal wird nun aber nicht Gl. (10) genommen, sondern Die Gleichungen des Receiver lauten s(t) =σx 2 + ix 3. (41) ẏ 1 = σy 1 + s(t) ẏ 2 = ry 1 y 2 y 1 y 3 (42) ẏ 3 = y 1 y 2 by 3. 6

7 i(t) s(t) i r (t) t Abbildung 1: Die zu verschlüsselnde Information i(t), das übertragene chaotische Signal s(t) und die im Receiver wiedergewonnene Information i r (t) für ein sicheres Übertragungssystem, bestehend aus zwei gekoppelten Lorenz-Systemen, siehe Gl. (40) bis (43). Da Transmitter und Receiver, wie in Abschnitt 2.1 bewiesen wurde, synchronisieren, und da die Variable x 3 bzw. y 3 stehts positiv ist, kann die Information im Receiver mittels i r (t) =(s σy 2 )/x 3 (43) wiedergewonnen werden. In Abb. 1 ist dies dargestellt, wobei als kontinuierliches Informationssignal eine sinus-funktion genommen wurde. Gezeigt sind im einzelnen die zu verschlüsselnde Information i(t), das übertragene chaotische Signal s(t) und die im Receiver wiedergewonnene Information i r (t). Man erkennt, wie vollständig die Information in dem übertragenen chaotischen Signal verborgen ist, und daß die verschlüsselte Information im Receiver exakt wiedergewonnen wird. Während der ersten 20 Sekunden wurde noch keine Information gesendet. Transmitter und Receiver, wurde in dieser Phase ausreichend Zeit gegeben, zu synchronisieren, da für Transmitter und Receiver verschiedene Anfangsbedingungen gewählt wurden. Man muß natürlich bei der Einkopplung des Informationssignals i in die Dynamik des Transmitters, siehe Gl. (41), darauf achten, daß die Amplitude des injizierten Informationssignals nicht zu groß wird, damit die chaotische Dynamik des Transmitters erhalten bleibt und damit die Wirksamkeit der Verschlüsselung der Information. 3.2 Verschlüsselung mit zeitdiskreten Sytemen Für die praktische Anwendung sind natürlich zeitdiskrete Systeme wesentlich interessanter, da die verschlüsselten Nachrichten in diesem Fall einfach aus Zahlenfolgen bestehen. Eine konkrete Realisierung ist die folgende, bei der eine APZ der Hénon-Abbildung, siehe Gl. (25) und (26), zu Grunde gelegt wurde. Die Gleichungen des Transmitters lauten x 1 (n +1) = 1 as 2 (n)+x 2 (n) x 2 (n +1) = bx 1 (n) (44) 7

8 i s 0 i r n Abbildung 2: Die zu verschlüsselnde Information i(n), die übertragene chaotische Zahlenfolge s(n) und die im Receiver wiedergewonnene Information i r (t) für ein sicheres Übertragungssystem, bestehend aus zwei gekoppelten Hénon-maps, siehe Gl. (44) bis (47). und s(n) =x 1 (n)+ci(n)/(x 2 (n)+1), (45) wobei Gl. (45) beschreibt, wie die zu verschlüsselnde Imformation i(n) in die chaotische Dynamik des Transmitters injiziert wird. Der Parameter c beschreibt die Stärke der Einkopplung des Informationssignals i(n). Er muß hinreichend klein gewählt werden, damit die chaotische Dynamik des Transmitters erhalten bleibt, was für die Wirksamkeit der Verschlüsselung natürlich von entscheidender Bedeutung ist. Die Zahlenfolge s(n) stellt den zum Receiver übertragenen Chiffretext dar. Als Verschlüsselung der Information wird dabei wieder das Prinzip der direkten chaotischen Modulation verwendet, denn das Informationssignal i(n) beeinflußt direkt die Dynamik des Transmitters. Die Gleichungen des Receivers sind gegeben durch Mit y 1 (n +1) = 1 as 2 (n)+y 2 (n) y 2 (n +1) = by 1 (n). (46) i r (n) =c 1 (s(n) y 1 (n)) (y 2 (n) + 1) (47) kann die Information im Receiver wiedergewonnen werden. Da Transmitter und Receiver synchronisieren, kann auch bei verschiedenen Anfangsbedingungen in Gl. (44) und (46) nach Abklingen einer kurzen Transienten die Information im Receiver mit Gl. (47) wiedergewonnen werden. Bei der Übertragung binärer Information, d.h. i(n) {0, 1}, kann für c der Wert c =10 2 gewählt werden. Eine Simulation dieser Art der verschlüsselten Nachrichtenübertragung ist in Abb. 2 dargestellt. Als Information wurde eine Bitfolge von abwechselnd 50 Bits 1 und 50 Bits 0 gewählt. Dargestellt ist die zu verschlüsselnde Information i(n), die übertragene chaotische Zahlenfolge s(n) und die im Receiver 8

9 wiedergewonnene Information i r (n). Man erkennt, daß die verschlüsselte Information im Receiver perfekt wiedergewonnen wird. Während der ersten 100 Iterationen wurde noch keine Information gesendet. Transmitter und Receiver wurde in dieser Phase ausreichend Zeit gegeben, zu synchronisieren. Sollen nicht binäre Informationen, sondern ASCII-Zeichen kodiert übertragen werden, d.h. i(n) {0, 1,...,255}, sokannfür c z.b. der Wert c =10 4 gewählt werden. Auf diese Weise ist garantiert, daß die chaotische Dynamik des Transmitters erhalten bleibt, was, wie bereits weiter oben erwähnt, für die Wirksamkeit der Verschlüsselung von entscheidender Bedeutung ist. Auch hierfür ist nachfolgend ein Beispielfall angegeben. Der zu verschlüsselnde Text i(n) lautet: Dies ist eine sichere Nachricht Die übertragene chaotische Zahlenfolge lautet: Der im Receiver wiedergewonnen Text i r (n)lautet: Dies ist eine sichere Nachricht Man erkennt auch hier, wie effektiv die Information in der übertragenen chaotischen Zahlenfolge verborgen ist, und daß die verschlüsselte Information im Receiver exakt wiedergewonnen wird. Während der ersten 20 Iterationen wurde noch keine Information gesendet. Transmitter und Receiver wurde in dieser Phase ausreichend Zeit gegeben, zu synchronisieren. Für die Parameter a und b sind die Standardwerte a =1.4 und b =0.3 genommen worden. Die Anfangsbedingungen des Transmitters waren x 1 (0) = 0.0 und x 2 (0) = 0.0, die des Receiver x 1 (0) = 1.0 und x 2 (0) = 0.1. An dieser Stelle ist es wichtig, die Robustheit des Verfahrens kurz zu diskutieren. Dabei kann zunächst davon ausgegangen werden, daß es auf den heute üblicherweise verwendeten Übertragungsstrecken zu keinen Übertragungsfehlern kommt. Die entsprechenden Protokolle und fehlerkorrigierenden Mechanismen würden derartige Übertragungsfehler erkennen und beheben. Aber bei den verwendeten Gleitkomma-Arithmetiken in Sender und Empfänger könnten geringfügige Unterschiede bestehen. Wir simulieren das dadurch, daß wir der übertragenen Zahlenfolge s(n) in Gl. (45) ein additives Gaußsches Rauschen hinzufügen, und testen, ob der Empfänger die übertragene Nachricht trotzdem noch zu entschlüsseln vermag. Statt der Folge s(n) in Gl. (45) wird also das verrauschte Signal s(n) =x 1 (n)+ci(n)/(x 2 (n) + 1) + r (48) übertragen, wobei r eine normalverteile Zufallsvariable mit dem Mittelwert 0 und der Standardabweichung σ ist. Es zeigt sich nun, daß bei Standardabweichungen σ<10 6 9

10 die übertragene Nachricht trotz der Verfälschung der übertragenen Zahlenfolge korrekt dekodiert wird. Anders ausgedrückt, könnte man sagen, daß durch unterschiedliche Gleitkomma-Arithmetiken bedingte Abweichungen, wenn diese kleiner als 10 6 sind, das Verschlüsselungsverfahren nicht beeinträchtigen, und es in diesem Sinne als robust abzusehen ist. In ganz ähnlicher Weise wie bei dem soeben diskutierten Verschlüsselungsverfahren, kann auch aus der zweiten, weiter oben beschriebenen APZ der Hénon-Abbildung, siehe Gln. (30) und (31), ein sicheres Übertragungssystem gewonnen werden. Da bei dieser Variante der APZ der Hénon-Abbildung sogenannte Dead-Beat-Synchronisation vorliegt, ist vollständige Synchronisation bereits nach zwei Iterationsschritten garantiert. Ein sicheres Kommunikations auf der Basis dieser Gleichungen kann wie folgt aussehen. Zunächst die Transmittergleichungen: mit x 1 (n +1) = 1 as 2 (n)+x 2 (n) x 2 (n +1) = bs(n), (49) s(n) =x 1 (n)+ci(n)/(x 2 (n)+1). (50) Gl. (50) beschreibt wieder die Einkopplung der zu verschlüsselnde Imformation i(n) in die chaotische Dynamik des Transmitters. Die Zahlenfolge s(n) stellt gleichzeitig die zum Receiver übertragene chaotische Zahlenfolge dar. Die Gleichungen des Receivers sind gegeben durch Mit y 1 (n +1) = 1 as 2 (n)+y 2 (n) y 2 (n +1) = bs(n). (51) i r (n) =c 1 (s(n) y 1 (n)) (y 2 (n) + 1) (52) kann nach erfolgter Synchronisation die verschlüsselte Information im Receiver wiedergewonnen werden. Eine Simulation dieses Systems liefert ganz ähnliche Resulte wie das weiter oben dargestellte System Gln. (44) bis (47). 4 Kryptoanalyse der beschriebenen Verfahren In diesem Abschnitt soll die Sicherheit der oben beschriebenen Verschlüsselungsverfahren kurz betrachtet werden. Bei den chaotischen Verschlüsselungsverfahren besteht der verwendete Schlüssel in den Parametern des benutzten nichtlinearen dynamischen Systems, z.b. die Parameter (a, b) der Hénon-Abbildung. Es muß nun untersucht werden, welche Möglichkeiten ein unautorisierter Empfänger prinzipiell hat, diese Parameter ausfindig zu machen. 4.1 Parameterschätzverfahren Eine Möglichkeit, die unbekannten Parameter (a, b) des Senders zu ermitteln,besteht in der Verwendung eines Parameterschätzverfahrens. Bei diesem Verfahren wird die übertragene Zahlenfolge s(n) =h(x(n)) mit einer vom Empfänger rekonstruierten Zahlenfoge s (n) = h(y(n)) verglichen. Dann werden die Parameter im Empfänger solange variiert, bis die Anweichung der beiden Folgen minimal, sprich Null ist. Ist dies erreicht, so hat man die Parameterwerte es Senders gefunden. Dieses Konzept wird im folgenden ausführlich erläutert. 10

11 Für das Eintreten von Synchronisation ist zum einen wichtig, daß die Gleichungen, die die zeitliche Entwicklung des Differenzvektors e = y x beschreiben, stabil sind, wobei x der Zustandsvektor des Transmitters und y der des Receivers ist. Andererseits wurde bislang stets vorausgesetzt, daß Transmitter und Receiver dieselben Parameter besitzten. Wir betrachten deshalb noch einmal die APZ der Hénon-Abbildung, siehe Gln. (25) und (26), lassen jetzt aber zu, daß die verwendeten Parameter in Sender (a x,b x ) und Empfänger (a y,b y ) unterschiedlich sind. Die Gleichungen des Transmitters lauten dann mit x 1 (n +1) = 1 a x s 2 (n)+x 2 (n) x 2 (n +1) = b x x 1 (n), (53) s(n) =x 1 (n), (54) wobei s(n) gleichzeitig die übertragene Zahlenfolge ist. Die Gleichungen des Receivers sind gegeben durch y 1 (n +1) = 1 a y s 2 (n)+y 2 (n) y 2 (n +1) = b y y 1 (n). (55) Sind die Parameter des Transmitters und des Receivers identisch, d.h. a x = a y und b x = b y, so stellt sich Synchronisation ein, d.h. es gilt y x 0für t. Anders ausgedrückt bedeutet dies, daß der Receiver in der Lage ist, für t den Zustandsvektor des Transmitters exakt zu rekonstruieren. Weichen die Parameter in Transmitter und Receiver jedoch voneinander ab, so wird die Synchronisation y x zusammenbrechen. Besitzt der Receiver aber nach wie vor negative bedingte Lyapunov-Exponenten, so ergibt sich eine sogenannte verallgemeinerte Synchroniation. Das bedeutet, x und y sind asymptotisch zwar nicht mehr identisch, stehen aber in einer festen Beziehung zueinander, d.h. es existiert eine Funktion H derart, daß im Grenzübergang t für den Zustandsvektor y des Receivers gilt y = H(x). In diesem Fall ist es möglich die Parameter des Transmitters zu schätzen, indem man die Parameter des Receivers solange variiert, bis der mittlere Synchronisationsfehler minimiert ist. Wir wollen dies im folgenden allgemein für beliebige synchronisierende chaotische Systeme darstellen. Seien x(n +1) = f(x(n),s(n); p) (56) s(n) = h(x(n)) (57) die Gleichungen des Transmitter eines durch APZ gewonnenen zeitdiskreten chaotischen Systems. Der Vektor p IR k bezeichnet dabei die Parameter des Systems. Seien weiter y(n +1)=f(y(n),s(n); q) (58) die Gleichungen des Receivers. Weichen die Parameter in Transmitter und Receiver voneinander ab, gilt also q p, so wird der Receiver den Zustandsvektor des Transmitters nicht rekonstruieren können, d.h. y x, und die vom Receiver rekonstruierte Zahlenfolge s (n) =h(y(n)) wird von der übertragenen Zahlenfolge s(n) =h(x(n)) verschiedenen sein. Man betrachtet nun den mittleren Synchronisationsfehler E = 1 N N (s(n) s (n)) 2 = 1 N (s(n) h(y(n))) N 2. (59) n=1 n=1 11

12 E b y a y Abbildung 3: Der mittlere Synchronisationsfehler E als Funktion der Parameter a y und b y des Receivers. Es ist deutlich ein Minmum bei a y = a x =1.4 und b y = b x =0.3 erkennbar. Es zeigt sich, daß bei Vorliegen verallgemeinerter Synchronisation die Größe E in glatter Weise von dem Parameter q des Receivers abhängt. Der Fehler E(q) ist dabei ein direktes Maß für die Abweichung des Parametervektors q von dem Parametervektor p; für q = p liegt ein Minimum vor. Bei der Berechnung des mittlere Synchronisationsfehler muß natürlich beachtet werden, daß die Transiente hinreichend abgeklungen ist. Erst dann kann E gemäß Gl. (59) berechnet werden. Als Beispiel betrachten wir zwei synchronisierende Hénon-Abbildungen, siehe Gln. (53) bis (55), wobei für die Parameter p =(a x,b x ) des Transmitters die Werte a x =1.4 und b x =0.3gewählt wurden. In Abb. 3 ist der mittlere Synchronisationsfehler E dargestellt als Funktion der Parameter q =(a y,b y ) des Receivers. Es zeigt sich ein deutlich ausgeprägtes Minimum bei a y = a x =1.4 und b y = b x =0.3. Mit geeigneten numerischen Verfahren zur Minimierung (line minimization method, conjugate gradient methods, etc.) können das Minimum und somit die Werte des Parameters p approximativ berechnet werden. In kryptographischen Systemen stellt der Parametervektor p des Transmitters gerade den Schlüssel dar. Dieser kann also, wenn Transmitter und Receiver synchronisieren mit obigem Parameterschätzverfahren ermittelt werden, allerdings nur, wenn keine Information i(n) in dem übertragenen Signal verschlüsselt ist. Wird jedoch verschlüsselte Information übertragen, so gilt statt Gl. (57) die Beziehung s(n) = h(x(n),i(n)) und der Receiver ist nicht mehr in der Lage das Vergleichssignal s (n) = h(y(n),i(n)) zu konstruieren. Ist allerdings für hinreichend lange Folgen neben dem Chiffretext, also der übertragenen chaotischen Zahlenfolge s(n), auch der Klartext i(n) bekannt, so läßt sich das Vergleichssignal s (n) =h(y(n),i(n)) wieder berechnen und damit auch der mittlere Synchronisationfehler E. Dem unautorisierter Empfänger muß dabei zum einen die Art der Einkopplung der Information, also die Funktion h(x, i), bekannt sein, wovon auszugehen ist (Kerckhoff sches Prinzip). Zum anderen muß auch der Wert des Einkoppelungsparameters c (siehe Gl. (45)) bekannt sein. Dieser wird im allgemeinen Bestandteil des Schlüssels sein und muß bei dem Parameterschätzverfahren als eine zusätzliche Komponente des 12

13 Parametervektors mitgeschätzt werden muß. Entscheidend bei dem oben beschriebenen Verfahren ist, daß der Klartext für die gesamte Dauer der Parameterschätzung bekannt sein muß. Nur unter dieser Voraussetzung, also bei Kenntnis sehr langer Klartexte, wovon im allgemeinen nicht ausgegangen werden kann, ist ein Klartextangriff mittels des oben beschriebenen Parameterschätzverfahrens möglich. Es zeigt sich außerdem, daß die Parameter des Transmitters sehr genau geschätzt werden müssen, um die verschlüsselte Information dekodieren zu können. Verwendet man beispielsweise bei der Hénon-Abbildung, siehe Gln. (53) bis (55), im Transmitter die Parameterwerte a x =1.4 und b x =0.3 und im Receiver a y = und b y =0.3, so zeigt sich, daß die verschlüsselte Information nicht immer richtig dekodiert wird. Ein unautorisierter Empfänger ist also gezwungen, die Parameter mit einer relativen Abweichung von weniger als % zu bestimmen, was für die Sicherheit des Verfahrens natürlich vorteilhaft ist. 4.2 Algebraische Methoden Zu Beginn dieses Abschnitts sei noch einmal daran erinnert, daß der Zustandsraum n- dimensional ist, x IR n, und der Parameterraum k-dimensional, p IR k. Die Idee dieses Verfahrens zur Auffindung des unbekannten Parametervektors p =(p 1,...,p k ) des Senders besteht darin, die Gleichungen des Senders für eine genügend lange Sequenz hinzuschreiben, s(l) = h(x(l),i(l)) x(l +1) = f(x(l),s(l); p) s(l +1) = h(x(l +1),i(l +1)) x(l +2) = f(x(l +1),s(l +1);p). s(l + m 1) = h(x(l + m 1),i(l + m 1)) x(l + m) = f(x(l + m 1),s(l + m 1); p). Hierbei sind die übertragenen Zahlenwerte s(j), j = l,...,l + m 1, bekannt, sowie die funktionale Form der Gleichungen des Senders f(x, s; p), sowie auch die Art und Weise, wie das Informationssignal i in die Dynamik des Transmitters eingespeist wird, also die Funktion h(x, i). Kennt man außerdem neben dem Chiffretext s(j) auch den Klartext i(j) für j = l,...,l+ m 1, so stellen obige Gleichungen ein nichtlineares Gleichungssystem dar mit m(n + 1) Gleichungen für die k +(m +1)n Unbekannten, p, x(l), x(l +1),..., x(l + m). Ist der Klartext i(j), j = l,...,l + m 1, nun für eine hinreichend lange Folgebekannt,sokönnen in obiger Weise so viele Gleichungen hingeschreiben werden (jeder neu hinzukommende Block von Gleichungen fügt weiter n + 1 Gleichungen hinzu), daß im Prinzip die Möglichkeit besteht, alle Unbekannten, also insbesondere auch die k Parameterwerte p =(p 1,...,p k ) zu ermitteln. Die Zahl der Gleichungen muß dazu lediglich größer oder gleich sein, wie die Zahl der Unbekannten, d.h. m mußsogroßgewählt werden können, daß gilt m(n +1) k +(m +1)n bzw. m k + n. (60) Die Probleme dieser Vorgehensweise liegen auf der Hand. Sie werden zum einen sicher darin bestehen, daß die Zahl der Gleichungen bei großen Systemen (d.h. großes n) sehr 13

14 groß sein muß. Schon bei Verwendung der vergleichsweise nieder-dimensionalen Hénon- Abbildungen (n = 2 und k =2)müßte ein nichtlineares Gleichungssystem mit 12 Gleichungen gelöst werden. Weitere Probleme ergeben sich dadurch, daß die Lösungen mit mit hoher Genauigkeit ermittelt werden müssen (vergleiche hierzu die Bemerkung am Ende des Abschnitts 4.1). Außerdem ist es möglich, daß es neben der relevanten Lösung noch etliche andere ebenfalls vorhandene Lösungen des Gleichungssystems gibt, die für die Entschlüsselung des Kodes aber uninteressant sind und verworfen werden müssen. Zusammenfassend bleibt festzustellen, im Prinzip besteht auch mit dieser Methode die Möglichkeit eines Klartextangriffs, wie weit sie praktikabel ist, müssen ausführlichere Untersuchungen zeigen. 5 Zusammenfassung In dieser Arbeit wurden mit Hilfe synchronisierter chaotischer Oszillatoren Systeme zur sicheren Nachrichtenübertragung entwickelt. Dabei wurden in erster Linie zeitdiskrete Systeme betrachtet, denn nur diese dürften für praktische Anwendungen interessant sein. Die Synchronisation erfolgte mit Hilfe des Prinzips der Aktiv-Passiv-Zerlegung (APZ) und für die Verschlüsselung wurde die Methode der direkten chaotischen Modulation verwendet. Die betrachteten zeitdiskreten Übertragungssysteme basieren auf der Hénon-Abbildung. Simulationen ergaben, daß der Receiver in allen Fällen die verschlüsselte Information perfekt wiedergewinnen konnte. Da die Synchronisation sehr empfindlich ist gegenüber kleinsten Parameterabweichungen in Transmitter und Receiver, sind diese Kommunikationssyteme als ziemlich sicher anzusehen. Mögliche Attacken mit Hilfe von Parameterschätzverfahren und algebraischen Methoden wurden ausführlich analysiert. In jüngster Zeit hat sich gezeigt, daß die Methoden zur Synchronisation chaotischer Oszillatoren in sehr engem Zusammenhang stehen mit dem Konzept der Beobachter in der nichtlinearen Kontrolltheorie, siehe z.b. [Nijmeijer & van der Schaft, 1996]. Der Entwurf eines synchronisierenden Systems ist gleichbedeutend mit dem Entwurf eines nichtlinearen Beobachters zur Rekonstruktion des Zustandsvektors. Dies eröffnet neue Möglichkeiten für die Generierung synchronisierter chaotischer Systeme und damit für die chaoskodierte Nachrichtenübertragung. Literatur T.L. Carroll und L.M. Pecora [1991] Synchronizing chaotic circuits, IEEE: Trans. Circ. Sys. 38, pp G. Chen (Ed.) [1999] Controlling Chaos and Bifurcations in Engineering Systems, Boca Raton: CRC Press. A. De Angeli, R. Genesio and A. Tesi [1995] Dead-Beat Chaos Synchronization in Discrete-Time Systems, IEEE: Trans. Circ. Sys. I 42, pp H. Dedieu, M.P. Kennedy and M. Hasler [1993] Chaos shift keying: modulation and demodulation of chaotic carrier using self synchronizing Chua s circuits, IEEE: Trans. Circ. Sys. II 40, pp M. Hasler [1995] Engineering chaos for encryption and broadband communication, Phil. Trans. R. Soc. London A 353, pp M. Hasler [1998] Synchronization of chaotic systems and transmission of information, Int. J. Bifurcation and Chaos 8, pp

15 S. Hayes, C. Grebogi and E. Ott [1993] Communicating with Chaos, Phys. Rev. Lett. 70, pp T. Kapitaniak [1998] Chaos for Engineers, Berlin: Springer. M.P. Kennedy and M.J. Ogorzalek (Eds.) [1997] Special issue on chaos synchronization and control: theory and applications, IEEE Trans. Circuits and Systems-I 44 No. 10, pp L. Kokarev, K.S. Halle, K. Eckert, L.O. Chua and U. Parlitz [1992] Experimental demonstration of secure communications via chaotic synchronization, Int. J. of Bifurcation and Chaos 2, pp L. Kokarev and U. Parlitz [1995] General approach for chaotic synchronization with application to communicaton, Phys. Rev. Lett. 74, pp A. Magauer and S. Banerjee [1998] Transmission of binary information with a chaos coded communication system using QDPSK modulation, Z. Naturforsch. 53a, pp H. Nijmeijer and A.J. van der Schaft [1996] Nonlinear Dynamical Control Systems, Berlin: Springer. U. Parlitz [1999a] Synchronisation of uni-directionally coupled chaotic systems, Göttingen: Cuvillier. U. Parlitz [1999b] Synchronisation of chaotic systems, In [Schuster, 1999], pp L.M. Pecora and T.L. Carroll [1990] Synchronization in chaotic systems, Phys. Rev. Lett. 64, pp H.G. Schuster (Ed.) [1999] Handbook of Chaos Control, Wiley-VCH. J.M.T. Thompson and S.R. Bishop (Eds.) [1994] Nonlinearity and Chaos in Engineering Dynamics, New York: Wiley. 15