(57)【要約】  複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立するシステム及び方法は、第１のＩｏＴ装置及び第２のＩｏＴ装置に対する一意識別子、デジタル識別トークン及び暗号鍵を提供することによって第１のＩｏＴ装置及び第２のＩｏＴ装置をプロビジョニングするとともに第１のＩｏＴ装置及び第２のＩｏＴ装置に対する第１のデジタル証明書を発行することと、第２のＩｏＴ装置からデジタルトークンを受け取ることによって、第１のＩｏＴ装置との通信回線を確立するために第１のＩｏＴ装置により第２のＩｏＴ装置を勧誘し、第２のＩｏＴ装置の一意識別子、デジタル識別トークン及び暗号鍵を用いて第２のＩｏＴ装置を認証することと、確立される通信回線を認証するとともに第１のＩｏＴ装置と第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を発行することによって第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信回線を確立することと、第１のＩｏＴ装置又は第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と第１のＩｏＴ装置又は第２のＩｏＴ装置との通信ができないようにすることと、を含む。【選択図】図７
2019517228.tif 000002
【特許請求の範囲】
【請求項１】
複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立する方法であって、
第１のＩｏＴ装置及び第２のＩｏＴ装置に対する一意識別子、デジタル識別トークン及び暗号鍵を提供することによって前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置をプロビジョニングするとともに前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置に対する第１のデジタル証明書を発行することと、
前記第２のＩｏＴ装置からデジタルトークンを受け取ることによって、前記第１のＩｏＴ装置との通信回線を確立するために前記第１のＩｏＴ装置により前記第２のＩｏＴ装置を勧誘し、前記第２のＩｏＴ装置の前記一意識別子、前記デジタル識別トークン及び前記暗号鍵を用いて前記第２のＩｏＴ装置を認証することと、
確立される通信回線を認証するとともに前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を発行することによって、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信回線を確立することと、
前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置との通信ができないようにすることと、
を備える方法。
【請求項２】
前記安全な通信回線は、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含む請求項１に記載の方法。
【請求項３】
前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び複数の追加のＩｏＴ装置の間で安全な通信回線を確立することであって、安全な通信回線がそれぞれデジタル合意を含むことと、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び前記複数の追加のＩｏＴ装置を、予め決定された基準に基づいて異なるグループに分けることと、を更に備える請求項２に記載の方法。
【請求項４】
安全な通信回線のそれぞれの証明書にグループのメンバー及び複数の関連の規則を含めることを更に備える請求項３に記載の方法。
【請求項５】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、自動車の構成要素である請求項１〜４のいずれか一項に記載の方法。
【請求項６】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、医療機器の構成要素である請求項１〜５のいずれか一項に記載の方法。
【請求項７】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、家庭用機器の構成要素である請求項１〜６のいずれか一項に記載の方法。
【請求項８】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、航空機の構成要素である請求項１〜４のいずれか一項に記載の方法。
【請求項９】
複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立するシステムであって、
第１の一意識別子、第１のデジタル識別トークン及び第１の暗号鍵を含む第１のＩｏＴ装置と、
前記第１のＩｏＴ装置からデジタルトークンを受け取ることによって前記第１のＩｏＴ装置との通信回線を確立するための第２の一意識別子、第２のデジタル識別トークン及び第２の暗号鍵を含み、前記第１のＩｏＴ装置の前記第１の一意識別子、前記第１のデジタル識別トークン及び前記第１の暗号鍵を用いて前記第１のＩｏＴ装置を認証する第２のＩｏＴ装置と、
第１のデジタル証明書を前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置に提供し、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の確立される通信回線を認証することによって前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信回線を確立し、前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置との通信ができないようにする属性認証機関（ＡＡ）と、
を備えるシステム。
【請求項１０】
前記安全な通信回線は、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含む請求項９に記載のシステム。
【請求項１１】
前記属性認証機関（ＡＡ）は、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び複数の追加のＩｏＴ装置の間で安全な通信回線を確立し、安全な通信回線がそれぞれデジタル合意を含み、前記属性認証機関（ＡＡ）は、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び前記複数の追加のＩｏＴ装置を、予め決定された基準に基づいて異なるグループに分ける請求項１０に記載のシステム。
【請求項１２】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、自動車の構成要素である請求項９に記載のシステム。
【請求項１３】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、医療機器の構成要素である請求項９〜１２のいずれか一項に記載のシステム。
【請求項１４】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、家庭用機器の構成要素である請求項９〜１３のいずれか一項に記載のシステム。
【請求項１５】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、航空機の構成要素である請求項９〜１４のいずれか一項に記載のシステム。
【請求項１６】
第１のインターネット（ＩｏＴ）装置と第２のＩｏＴ装置の間で安全な通信を確立する方法であって、各ＩｏＴ装置は、一意識別子、デジタル識別トークン及び暗号鍵を有し、
前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全でない通信回線を確立することと、
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置にそれぞれ第１のデジタル証明書を提供することと、
前記第２のＩｏＴ装置の前記一意識別子、前記デジタル識別トークン及び前記暗号鍵を用いて前記第１のＩｏＴ装置によって前記第２のＩｏＴ装置を認証することと、
前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全でない通信回線を認証することと、
前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信回線を確立するために前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を提供することと、
前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置との通信ができないようにすることと、
を備える方法。
【請求項１７】
前記第２のＩｏＴ装置からデジタルトークンを受け取ることによって、前記安全でない通信回線を確立するために前記第１のＩｏＴ装置により前記第２のＩｏＴ装置を勧誘することを更に備える請求項１６に記載の方法。
【請求項１８】
前記安全な通信回線は、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含む請求項１６〜１７のいずれか一項に記載の方法。
【請求項１９】
前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び複数の追加のＩｏＴ装置の間で安全な通信回線を確立することであって、安全な通信回線がそれぞれデジタル合意を含むことと、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び前記複数の追加のＩｏＴ装置を、予め決定された基準に基づいて異なるグループに分けることと、を更に備える請求項１６〜１８のいずれか一項に記載の方法。
【請求項２０】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、自動車、医療機器、家庭用機器及び航空機の一つ以上の構成要素である請求項１６〜１９のいずれか一項に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的には、モノのインターネット（ＩｏＴ）セキュリティ及び管理に関し、さらに詳しくは、ＩｏＴセキュリティ及び管理システム及び方法に関する。
【発明の概要】
【発明が解決しようとする課題】
【０００２】
モノのインターネット（ＩｏＴ）装置のセキュリティ、オペレーション、サポート及びメンテナンスの責任を負う多数の会社、団体、政府機関等が直面する課題が益々増えている。製造、公共施設、流通、娯楽、軍隊、住宅、商業、医療等の設備を含むＩｏＴ装置は、近代経済の多くの分野において益々重要な役割を果たすようになっている。さらに、ＩｏＴ装置は、自動車、航空機、医療機器等のような上述した設備に関連する又は関連しない製品に組み込まれている。そのような製品に対して、（典型的には第三者によって製造される）ＩｏＴ装置の保護、制御及び管理は、困難であり、危機、危険又は潜在的な不利益をはらむ。（組み込まれたＩｏＴ装置を伴う）製品及び操作施設（例えば、工場、電力系統等）にＩｏＴ装置を配置する企業の両方に対して、生成されたデータに対する制御を保証すること、許可されていない任意のグループが装置にアクセスできないようにアクセス制御を行うこと、許可されたグループのみをリッスンするように（一つ以上の）装置に命令する能力を有すること、許可されていないグループを無視するように（一つ以上の）装置に命令する能力を有すること、及び／又は、典型的な（一つ以上の）ＩｏＴ装置及びそのようなＩｏＴ装置の動作範囲内にある装置の外部の許可されたシステム又は設備に対する強い識別管理を提供することが望ましい。また、許可されるとともに検証されたファイアウォールのみによって典型的な装置を設定可能にするとともに容易に更新可能にするのが望ましい。
【課題を解決するための手段】
【０００３】
一部の実施の形態において、開示した発明は、複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立する方法であって、第１のＩｏＴ装置及び第２のＩｏＴ装置に対する一意識別子、デジタル識別トークン及び暗号鍵を提供することによって第１のＩｏＴ装置及び第２のＩｏＴ装置をプロビジョニングするとともに第１のＩｏＴ装置及び第２のＩｏＴ装置に対する第１のデジタル証明書を発行することと、第２のＩｏＴ装置からデジタルトークンを受け取ることによって、第１のＩｏＴ装置との通信回線を確立するために第１のＩｏＴ装置により第２のＩｏＴ装置を勧誘し、第２のＩｏＴ装置の一意識別子、デジタル識別トークン及び暗号鍵を用いて第２のＩｏＴ装置を認証することと、確立される通信回線を認証するとともに第１のＩｏＴ装置と第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を発行することによって、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信回線を確立することと、第１のＩｏＴ装置又は第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と第１のＩｏＴ装置又は第２のＩｏＴ装置との通信ができないようにすることと、を含む方法である。
【０００４】
一部の実施の形態において、開示した発明は、第１のインターネット（ＩｏＴ）装置と第２のＩｏＴ装置の間で安全な通信を確立する方法であって、各ＩｏＴ装置は、一意識別子、デジタル識別トークン及び暗号鍵を有する。方法は、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全でない通信回線を確立することと、第１のＩｏＴ装置及び第２のＩｏＴ装置にそれぞれ第１のデジタル証明書を提供することと、第２のＩｏＴ装置の一意識別子、デジタル識別トークン及び暗号鍵を用いて第１のＩｏＴ装置によって第２のＩｏＴ装置を認証することと、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全でない通信回線を認証することと、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信回線を確立するために第１のＩｏＴ装置と第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を提供することと、第１のＩｏＴ装置又は第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と第１のＩｏＴ装置又は第２のＩｏＴ装置との通信ができないようにすることと、を含む。
【０００５】
一部の実施の形態において、開示した発明は、複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立するシステムである。システムは、第１の一意識別子、第１のデジタル識別トークン及び第１の暗号鍵を含む第１のＩｏＴ装置と、第１のＩｏＴ装置からデジタルトークンを受け取ることによって第１のＩｏＴ装置との通信回線を確立するための第２の一意識別子、第２のデジタル識別トークン及び第２の暗号鍵を含み、第１のＩｏＴ装置の第１の一意識別子、第１のデジタル識別トークン及び第１の暗号鍵を用いて第１のＩｏＴ装置を認証する第２のＩｏＴ装置と、第１のデジタル証明書を第１のＩｏＴ装置及び第２のＩｏＴ装置に提供し、第１のＩｏＴ装置と第２のＩｏＴ装置の間の確立される通信回線を認証することによって第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信回線を確立し、第１のＩｏＴ装置又は第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と第１のＩｏＴ装置又は第２のＩｏＴ装置との通信ができないようにする属性認証機関（ＡＡ）と、を含む。
【０００６】
一部の実施の形態において、方法及びシステムは、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含んでもよい。
【０００７】
本発明のこれら及び他の特徴、態様及び利点は、以下の説明、添付した特許請求の範囲及び添付図面に関してより良く理解されるであろう。
【図面の簡単な説明】
【０００８】
【図１】開示した発明の一部の実施の形態によるＩｏＴ装置に対する例示的なプロビジョニング処理を行うセキュリティシステムを示す。
【図２】開示した発明の一部の実施の形態による安全な通信回線を相互に確立するためにＩｏＴ装置を勧誘するセキュリティシステムを示す。
【図３】開示した発明の一部の実施の形態による車両のＩｏＴ装置の複数の対の間の安全な通信回線を確立するセキュリティシステムを示す。
【図４】開示した発明の一部の実施の形態によるＩｏＴ装置を含む新たな製品を認証するセキュリティシステムを示す。
【図５】開示した発明の一部の実施の形態によるＩｏＴ装置及びそのあり得る代替品を含む製品のメンテナンスを行うセキュリティシステムを示す。
【図６】開示した発明の一部の実施の形態による安全であるとともに認証された通信回線の一部の要素を示す。
【図７】開示した発明の一部の実施の形態によるセキュリティエコシステムの一部の要素を示す。
【図８】開示した発明の一部の実施の形態による二つのアプリケーションプログラミングインタフェース（ＡＰＩ）の例示的な使用を示す。
【図９】開示した発明の一部の実施の形態による複数のＩｏＴ装置の間の安全な通信回線を確立するための例示的な処理フローを示す。
【発明を実施するための形態】
【０００９】
一部の形態において、開示した発明のセキュリティエコシステムは、認証局、登録局、ハードウェアセキュリティモジュール（ＨＳＭ）、（場合によりオンライン証明書ロトコルＯＣＳＰ又は証明書失効リストＣＲＬによる）検証局（ＶＡ）、権限管理基盤（ＰＭＩ）、バーチャルプライベートネットワーク（ＶＰＮ）技術、デバイスサイドクライアントアプリケーション（ｄｅｖｉｃｅ−ｓｉｄｅ  ｃｌｉｅｎｔ  ａｐｐｌｉｃａｔｉｏｎｓ）、クラウドホスティング及びライトアクティブディレクトリアクセスプロトコル（ＬＡＤＰ）の一つ以上を含む公開鍵基盤（ＰＫＩ）の一つ以上を用いることによって、信頼できる第三者機関の仲介サービスプロバイダとしての役割を果たす属性認証機関（ＡＡ）の一つ以上により構成される中央サーバの使用を通じて上述した能力の多数を提供する。一部の実施の形態において、開示した発明のセキュリティエコシステムは、場合により他のソリューションズ（ｓｏｌｕｔｉｏｎｓ）と組み合わされた（ＩｏＴ製品をセキュリティエコシステムによって後に管理することができる）第三者のＩｏＴ装置に仕様（ｓｐｅｃｉｆｉｃａｔｉｏｎｓ）を提供することもできる。現在の典型的な業界の慣行は、認証局（ＣＡ）から各エンドポイントに証明書を発行するだけである。しかしながら、開示した発明のセキュリティエコシステムは、エンドポイントに証明書を発行するだけでなく、エンドポイントの対を確立する（確立している）とともに用いることができる認証された通信回線の各々にも証明書を発行する。
【００１０】
一実施の形態において、このセキュリティエコシステムの結果、認証情報、アイデンティティプロファイル（ｉｄｅｎｔｉｔｙ  ｐｒｏｆｉｌｅ）、通信回線及び／又は鍵の管理をリアルタイムで行う。セキュリティエコシステムのユーザ管理された、装置管理された、オペレータ管理された又は人工知能管理された勧誘者−被勧誘者プロトコルスイートを用いることによって、勧誘者は、例えば、セキュリティエコシステムによって供給される認証支援情報（ｉｄｅｎｔｉｔｙ  ｓｕｐｏｒｔ  ｉｎｆｏｒｍａｔｉｏｎ）を用いることによって安全な通信回線を確立するプロトコルを首尾よく完了させる被勧誘者の身元（ｉｄｅｎｔｉｔｙ）を保証する。ユーザ／装置は、暗号化された通信を共有することができる（エンドポイントでない）典型的な通信回線のアクセスに関連する許可要求及び他のリアルタイム検証を確立するとともに応答してもよい。
【００１１】
典型的には、通信回線は、エンドポイント間の通信回線の使用のデジタル同意確立条件（ａｇｒｅｅｍｅｎｔ  ｅｓｔａｂｌｉｓｈｉｎｇ  ｔｅｒｍｓ）（例えば、規則及び／又はビジネスロジック）を伴うことがある。これらの合意は、一般的には、審査可能であり、仲介され、かつ、信頼できる関係であり、そのような関係／デジタル合意がそれぞれ、（一般的には、秘密保持のために）スタンドアローンとなることができる又は関係の識別信頼度レベルの向上を利用することができる。これらの関係を、規定された「グループ」にまとめることができる。一実施の形態において、暗号学的に安全なグループは、例えば、単一の製品に組み込まれた装置の全ての又は一つ以上のサブセットグループを含んでもよく、他の実施の形態において、グループは、自動車、航空機、医療機器、家庭用機器等の中のエンドポイントＩｏＴ装置を包含する。
【００１２】
開示した発明の一部の実施の形態によれば、個別に製造したＩｏＴ装置及び（ＩｏＴ装置を組み込む）製品は、以下の能力の一つ以上を含む。これらは、（例えば、暗号化を用いる）データの保護及び場合によりデータの移動を含むことができる生成されたデータの制御を保証し、許可されていない任意のパーティが装置にアクセスできないようにアクセス制御を行い、かつ、介入者攻撃を防止又は軽減することができるように許可されたパーティのみのリッスンするように装置に命令する能力を有する。これらの装置は、製品内に存在することができる複数のＩｏＴ装置に対する強い識別管理を提供するだけでなく、製品から外部の許可されたシステム又は装置への強い識別管理も提供する。
【００１３】
多くの装置は、典型的にはホストコンピュータ又は装置によって認識される認証局によって発行された証明書に署名するコード内の対象の公開鍵に対応する秘密鍵を用いて署名される許可されるとともに検証されたファイアウォールコードのみによって設定可能になるとともに容易に更新可能になる。ここで説明する解決から利益を得ることができる製品の一例は、自動車である。リモートからハッキングされた自動車の複数の報告がある。一旦システムに対するアクセスを有すると、ハッカーは、エンジン、ブレーキ、速度、ステアリング等のような複数の電子制御装置（ＥＣＵ）の少なくとも部分的なアクセス及び制御を行うために自動車のコントローラエリアネットワーク（ＣＡＮ）を用いることができた。開示した発明は、ヒューマンマシンインタフェース、エンジン制御装置、トランスミッション制御装置、ステアリング制御装置、テレマティクス制御装置、速度制御装置、電池管理システム、シート及びドア管理装置等のようなさまざまなＥＣＵに適用できる。
【００１４】
一部の実施の形態において、開示した発明は、安全な構成要素又は物理困難関数（ＰＵＦ）の一意性（ｕｎｉｑｕｅ  ｐｒｏｐｅｒｔｉｅｓ）を利用する、ＩｏＴ装置の識別を確実に確立するための基盤（ｆｏｕｎｄａｔｉｏｎ）の一つ以上を提供する、従来のファイアウォールセキュリティのギャップを解決する、遠隔認証を行う、認証された公開鍵を交換する、任意の装置のアクセスを防止しデータを保護及び制御する、及び／又は、署名されたファイアウォールによって装置を更新する。
【００１５】
一部の実施の形態によれば、開示した発明を組み込む装置は、保護された暗号鍵を制御及び使用することができる。一部の実施の形態において、専門的能力のセットを必要とする複雑な又は統合された解決を提供するために、複数のＩｏＴ装置を、（開示した発明による暗号化能力及びセキュリティ能力を組み込む）ＩｏＴ装置を組立品に統合することによって協調的な方法で又は組立品において互いに用いることができる。
【００１６】
開示した発明のシステムの目的のために、ＩｏＴ装置は、エンドポイントであり、一般的には以下の大きな二つのタイプによって構成される。
【００１７】
「制御ＩｏＴ」すなわち「ＣＩｏＴ」装置は、一つ以上の同様なＩｏＴ装置又は制限された性質の（ｍｏｒｅ  ｌｉｍｉｔｅｄ  ｎａｔｕｒｅ）ＩｏＴ装置を制御又は管理するために用いることもできるタイプのクライアントＩｏＴ装置である。例えば、ＣＩｏＴ装置は、自動車のＥＣＵを含むことができる。
【００１８】
「制限ＩｏＴ」すなわち「ＬＩｏＴ」装置は、典型的には、（大規模な記憶能力、優れた処理能力等を有する）典型的なＣＩｏＴ装置の処理能力若しくは記憶能力又は他の能力を有しない。ＬＩｏＴ装置は、センサ、スイッチ、アクチュエータ、コントローラ等を含むことができる。
【００１９】
ＬＩｏＴ装置の制限された処理能力及び他の能力を考慮すると、エコシステムの全て又は一部の完全な勧誘者−被勧誘者プロビジョニングプロトコルを、製造工程中に部分的に完成前の状態において装置にインストールすることができる。装置に割り当てられる独自のプロトコルアドレス又は識別子及びセキュリティエコシステム内の一つ以上の信頼できるＣＩｏＴ装置又は他の信頼できる装置に対する鍵を、そのようなＬＩｏＴ装置に予め割り当てることもできる。例えば、公開鍵を、ＬＩｏＴ装置が信頼できる装置又はエンドポイントにこれらの公開鍵を関連付けるときにＬＩｏＴ装置を指定するために提供することができる。これらは、ファイアウォール署名局、アドミニストレータ／ユーザ制御装置、信頼できる管理装置（例えば、ＣＩｏＴ）、信頼できるグループ装置（Ｔｒｕｓｔｅｄ  Ｇｒｏｕｐ  ｄｅｖｉｃｅｓ）等のような信頼できるサービスをＬＩｏＴ装置に提供する装置である。本開示の全体を通じて、用語「ＩｏＴ装置」又は「ＩｏＴエンドポイント」を、ＣＩｏＴ装置又はＬＩｏＴ装置を意味するために用いる。用語「装置」又は「エンドポイント」は、「ＩｏＴ装置」、「ＩｏＴエンドポイント」、ユーザ／エンドポイント、ＣＩｏＴ装置、ＬＩｏＴ装置、モバイル機器のような「コンテナ」又はユーザ制御装置、コンピュータデバイス等を意味するものとする。
【００２０】
典型的には、制限ＩｏＴ（ＬＩｏＴ）装置の割当ては、制御ＩｏＴ（ＣＩｏＴ）装置に報告される又はＣＩｏＴ装置によって管理若しくは制御される。ＣＩｏＴ装置によって収集及び認証される上述した情報に基づいて、ＡＡは、収集及び認証された情報を有するＬＩｏＴ装置のそれぞれに対するデジタル証明書を作成することができる。例えば、そのようなデジタル証明書は、装置の独自の識別情報、装置のタイプ及び能力を含むことができる。デジタル証明書は、ＬＩｏＴ装置の（一つ以上の）ＣＩｏＴ装置との関係、アドレス、インストールされた位置、勧誘者−被勧誘者プロビジョニング処理関係、グループの帰属関係、製品の証明書及び必要に応じた他の情報を含んでもよい。そのような証明書を、自動的かつ継続的に更新するとともに製品の寿命を通じて維持してもよい。
【００２１】
開示した発明のセキュリティエコシステムによって、装置をプロビジョニングする複数の方法が装置に対するエンドポイント独自の識別を実現することができる。一部の実施の形態において、製造時に技術を装置に組み込むために、ＩｏＴ装置又は製品の製造が（テレビジョン、冷蔵庫、セキュリティシステム、サーモスタット等のような）ＩｏＴ装置を組み込むＩｏＴ装置製造者の仕様を作成してもよい。一部の実施の形態において、この技術を、完全にカスタマイズされたデジタル論理、装置の既存のデジタル論理に組み込まれるＩＰ論理ブロック、装置に組み込まれたＦＰＧＡ技術を用いて実現されるプログラマブル論理、装置自体のカスタムファームウェア（ｃｕｓｔｏｍ  ｆｉｒｍｗａｒｅ）に含まれる完全にカスタマイズされたファームウェア又は装置のファームウェアに追加されるオープンソース又はプロプライエタリファームウェア（ｏｐｅｎ−ｓｏｕｒｃｅ  ｏｒ  ｐｒｏｐｒｉｅｔａｒｙ  ｆｉｒｍｗａｒｅ）の形態としてもよい。更新可能なプログラマブル論理リソース及び／又はファームウェアを有する装置に対して、この技術を、装置において製造後に実現してもよい。仕様への適合の一部の実施の形態は、エンドポイント装置の他のエンドポイントとの間の通信回線を認証するとともにエンドポイント間で確立された通信回線の使用の条件（例えば、規則及び／又はビジネスロジック）を確立するデジタル証明書に典型的に記録されたデジタル合意に含まれる任意の規則に対する装置の順守をサポートするＩｏＴ装置のファームウェアに対するものである。そのような仕様は、ＩｏＴ装置が以前に認証したエンドポイントのみと通信を行うとともにそれ以外とは通信を行わないことを要求してもよい。ＩｏＴ装置エンドポイントは、それと一つ以上の他のエンドポイント、典型的には、動作上の必要又は他の必要に適合するために通信を行う必要がある装置との間で典型的に確立される通信回線を有してもよい。
【００２２】
ここで説明する規則、手順及び方針を、セキュリティエコシステムに統合するＩｏＴ装置の構築に寄与する設計、生産、製造、組立等をおこなうためにＩｏＴ装置の製造者及び当該製造者に対するあり得る種々のサプライチェーンサプライヤー（例えば、チップ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）等）に提供される文書の仕様（ｗｒｉｔｔｅｎ  ｓｐｅｃｉｆｉｃａｔｉｏｎ）に組み込んでもよい。セキュリティエコシステムが全ての管理されたＩｏＴ装置の安全なファイアウォール更新を管理する方法を仕様に組み込んでもよい。
【００２３】
そのようなＩｏＴ装置エンドポイントの仕様適合装置ファームウェアは、安全な通信回線の確立を通じて以前に認証されなかったあらゆる未知のエンドポイントからの通信を拒否又は無視し、確立された通信回線を有するとともにデジタル証明書によってサポートされる以前に認証されたエンドポイントとのみ通信を行う。装置ファームウェアは、最初に仕様と一致してもよい又は、その後のファームウェア更新により仕様と一致してもよい。ＩｏＴ装置を、仕様に一致するように制作することができる又は装置の所有者（例えば、所有者、製造者又は所有若しくは制御するＩｏＴ装置のセキュリティ及び管理容易性を向上させることを所望する他者）がそのような装置をセキュリティエコシステムの使用及び上述した機能に一般的に適合するＩｏＴ装置として実行させる適切なアプリケーションをインストールすることができる更に基本的な装置として制作することができる。
【００２４】
（ＩｏＴ装置を組み込む）製品の製造者に対して説明したのと同様な原理及び手順を適用するとともにセキュリティエコシステムの能力を利用することによって、所有者は、そのように取得される又は制御されるＩｏＴ装置のセキュリティを向上させることができ、そのように所有される又は制御されるＩｏＴ装置に対する所有者の管理及び制御を向上させることができ、場合によっては、本願で説明する能力、特徴及び／又は利益以外を取得することができる。さらに、プロビジョニングステップの全て又は一部をＩｏＴ装置の製造者によって行ってもよい、及び／又は、その全て又は一部を装置の顧客によって（又は装置の顧客の代わりに）行ってもよい。
【００２５】
一実施の形態において、ＩｏＴ装置の製造者に、包括的なインストールサポート手順並びに製造工程及び操作性能の両方を最適化するために利用する設定オプションを提供してもよい。セキュリティエコシステム環境において、ＩｏＴ装置に、製造工程のステップとして又は装置が業務に入るときに所望に応じて独自のアドレス、例えば、インターネットプロトコル（ＩＰ）アドレス又は他の識別子を割り当てることができる。アドレスを、再書き込み可能なメモリ機能により又は安全な構成要素で永久的にＩｏＴ装置に安全に格納することができる。セキュリティエコシステム装置製造仕様は、英数字、ＱＲコード又はその両方によって装置それ自体において確認することができる装置アドレスを要求してもよい。
【００２６】
装置の電源投入時に装置がアドレス付の“Ｈｅｌｌｏ”メッセージのような確認メッセージを型番、シリアルナンバー、公開鍵、現在のホワイトリスト、現在のファームウェアバージョン等のような他の識別情報と共に送信するように仕様によって装置を任意にプログラムすることができる。この特徴の使用の一例は、製造設備において構成要素が自動車に設置される間にある。検査中、組立中、設置中、品質検査中等のどんなときにも、技術者は、装置に給電するとともに装置を検査することができ、これによって、当該装置を包括的に識別する装置独自の“Ｈｅｌｌｏ”メッセージを取得する。この特徴は、自動車の設置位置に関連した指定の目録を作るとともに当該指定を特定の装置に割り当てるのに有用となることができる（このメッセージを後に無効にしてもよい）。
【００２７】
一部の実施の形態において、ＩｏＴ装置の引き渡し前の変更不可能な製造者証明書をＩｏＴ装置の製造者の仕様に含めてもよい。そのような反論の余地のない証明書を、ＰＫＩ証明書、安全な構成要素に格納されるデジタルトークン又はその場で若しくはリモートから（ｌｏｃａｌｌｙ  ｏｒ  ｒｅｍｏｔｅｌｙ）読出し可能な装置の物理的なデータ記録のような複数の許容できる形態の一つとすることができる。開示した発明のセキュリティエコシステムに組み込まれようとするＩｏＴ装置の製造時に、製造者は、以下の一つ以上を認証することを求められてもよい。（ａ）装置によって送信又は受信される全ての情報（ｃｏｍｍｕｎｉｃａｔｉｏｎｓ）をＩｏＴ装置で実行される特定のアプリケーションによって制御することができる（例えば、装置ファームウェアは、セキュリティエコシステムの安全な通信回線技術を認識するとともにサポートする。）。（ｂ）装置によって送信又は受信される全ての又は指定された情報が更新可能なホワイトリストのＩＰアドレス及び／又は勧誘者−被勧誘者プロトコルを通じて認証されたエンティティに関連したアドレス及び／又は許可されたエンドポイントにより装置に提供されるそれ以外のアドレスのみに送信することができる。（ｃ）考えられる追加条件が適切である。（ｄ）製造者証明書が作成されない。
【００２８】
一部の実施の形態において、一部のＩｏＴ装置については、一意識別子又は暗号鍵を、装置の製造工程中に予めインストールしてもよい又は一部の場合において装置の製造後に導入してもよい。一部の実施の形態において、トラスティドプラットフォームモジュール（ＴＰＭ）又は物理困難関数（ＰＵＦ）を、一意識別子又は暗号鍵を装置に提供するために用いてもよい。ＰＵＦ技術によって、セキュリティキー及び一意識別子を、装置内の半導体の本来の特徴（ｉｎｎａｔｅ  ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ）から抽出することができる。これらの独自の鍵を、典型的には、必要なときのみ生成し、典型的には、システムに格納されず、したがって、高レベルの保護を提供する。ＰＵＦ技術によって生成された独自の鍵によって、（セキュリティエコシステムのＩｏＴ／エンドポイントクライアント内で必要とされるような）暗号化システムのブートストラップによるルート鍵の確立が可能になる。一部の実施の形態において、暗号化アルゴリズム及び／又は鍵は、装置内の一部のセキュリティサブシステムのアプリケーションソフトウェア／ファームウェアから保護又は分離される。
【００２９】
一部の実施の形態において、セキュリティエコシステムＩｏＴ装置クライアントアプリケーションをフィールドプログラマブルゲートアレイ（ＦＰＧＡ）又は他のタイプの集積回路（ＩＣ）にインストールしてもよい。例えば、ＦＰＧＡ、コントローラ又はマイクロプロセッサを、ローカルキー格納モジュール（ｌｏｃａｌ  ｋｅｙ  ｓｔｏｒｅ  ｍｏｄｕｌｅ）（ＬＫＳＭ）、装置に割り当てられるグローバル一意識別子（ＧＵＩＤ）を割り当てたセキュリティエコシステム、装置に関連する公開鍵及びＩｏＴ装置が信頼できるエンドポイント（例えば、ファームウェア署名機関（ｆｉｒｍｗａｒｅ−ｓｉｇｎｉｎｇ  ａｕｔｈｏｒｉｔｙ）、ＩｏＴ装置管理装置、ＩｏＴサポート群等）の一つ以上を含むことができるＩｏＴ装置クライアントに設置してもよい。典型的には、ＬＫＳＭは、例えば、（ａ）署名生成及び署名検証のための鍵対、（ｂ）暗号化及び復号のための（一つ以上の）鍵対、（ｃ）データのインテグリティを検証する対称鍵、（ｄ）（装置クライアント若しくは暗号化マイクロプロセッサにより潜在的に又はセキュリティエコシステムサーバ若しくはそれ以外により潜在的に最初に生成されたデジタル資産特定鍵（ｄｉｇｉｔａｌ  ａｓｓｅｔ−ｓｐｅｃｉｆｉｃ  ｋｅｙｓ）の暗号ラッピング／アンラッピングを管理するとともにその一部を安全な構成要素にインストールすることができる装置の（例えば、対称曲線、非対称曲線又は楕円曲線の及び／又は暗号化機能を提供することができる）暗号化管理システムを含む。
【００３０】
図１は、開示した発明の一部の実施の形態によるＩｏＴ装置の例示的なプロビジョニング処理を示す。典型的には、コンピュータデバイス１１４を有するインストーラが内部情報を有するＩｏＴ装置によってこのプロセスを監視する、又は、人工知能プログラムのようなプログラムにより制御されるコンピュータデバイスがプロセスを制御する。セキュリティエコシステムのクライアントアプリがＩｏＴ装置に予めインストールされていない場合、セキュリティエコシステムのクライアントアプリがインストーラのコンピュータデバイス１１４から又はセキュリティエコシステムプラットフォーム１０８からダウンロードされる（１０１）。セキュリティエコシステムプラットフォーム１０８は、ＰＫＩ，ＰＭＩ，ＡＡ等の一つ以上を含む。一意ＧＵＩＤを、（例えば、インストーラのコンピュータデバイス１１４を介して転送される）１０２においてセキュリティエコシステムによって登録されるクライアントインストール中にクライアントインスタンスに関連付けてもよい。一意ＧＵＩＤが予め生成されない場合、１０３において、一意ＰＵＦ生成ＩＤを装置において作成する。装置内のプロセッサの暗号能力によって、少なくとも一つの公開鍵／秘密鍵対を作成することができ、少なくとも一つの公開鍵は、直接又はインストーラのコンピュータデバイス１１４を介してセキュリティエコシステム１０８に渡され、１０４において、型番、シリアルナンバー、型名、現在のホワイトリスト、現在のファームウェアバージョン等のような装置識別情報を、渡すこともできる。
【００３１】
１０５において、装置クライアントＧＵＩＤ，装置ＩＤ、装置公開鍵、装置公開識別子（例えば、型番、シリアルナンバーなど）の一つ以上との装置の同一性を証明する装置に対して、証明書をＡＡによって提供する。１０６において、装置は、装置の仕様、識別子、役割又は機能、装置の公開鍵及びあり得る他の情報の一つ以上を含む装置の同一性を証明する（以下でＤＩＴとも称する）デジタル識別トークンを作成及び署名する。１０７において、このＤＩＴをインストーラのコンピュータデバイスに又は場合によりセキュリティエコシステムに（他の実施の形態において、内部情報を有するＩｏＴ装置又は人工知能コンピュータプログラムにより制御されるコンピュータデバイスに）提示することができ、それは、装置のアサーションを検査及び確認するとともに場合によっては装置のアサーションの確認を証明し、その後、装置のアサーションをデジタル的に署名し、装置のデジタル的に署名されたアサーションをセキュリティエコシステムに送信する。任意に、１０８において、セキュリティエコシステムは、これらのアサーションを検査するとともに属性証明書又はアサーションを支持する（ａｆｆｉｒｍｉｎｇ）ＤＩＴを作成する。１０９において、セキュリティエコシステムは、ＩｏＴ装置が信頼できるとともに信頼できることを証明するためにデジタル的に署名する他の装置及び／又はグループ（例えば、ファームウェア署名機関、本願で後に詳しく説明する自動車メンテナンスグループ）の公開鍵証明書を設け、その後、公開鍵証明書をＩｏＴ装置に提供する（場合によっては、インストーラのコンピュータデバイス１１４を介して渡される）。一部の実施の形態において、（ここで説明するような）ＣＩｏＴ装置を、上述したステップの一つ以上においてインストーラのコンピュータデバイス１１４の代わりにしてもよい。
【００３２】
一部の実施の形態において、ＩｏＴ装置にＤＩＴを設ける。典型的には、ＤＩＴトークンを、既存のＩｏＴ装置クライアント内で作成してもよく、これによって、当該ＩｏＴ装置クライアントのデジタル署名能力を利用する。トークンは、典型的には、発行装置（ｉｓｓｕｉｎｇ  ｄｅｖｉｃｅ）のデジタル署名を含む。ステップ１０７において、トークンを、設定可能な種々の識別フィールドで作成する。ＩｏＴ装置については、これらは、装置製造者、シリアルナンバー、装置タイプ、装置モデル、発行日等を含むことができる。
【００３３】
一部の実施の形態において、セキュアブート機能及びソフトウェア証明機能が、デジタル署名及びプロダクトキーをチェックすることによってブートローダ及び／又は重要なオペレーティングシステムファイルの改ざんを検出するために設けられる。無効なファイルは、システム又はデバイスを攻撃する前又はシステム若しくはデバイスに影響を及ぼす前に実行から遮断され、これによって、ＩｏＴ装置の動作時にＩｏＴ装置に信用の拠り所（ｔｒｕｓｔ  ｆｏｕｎｄａｔｉｏｎ）を与える。さらに、対象の構成要素の一意識別子を作成する暗号化（又は他の）技術を用いる信頼できる実行技術によって、既知のよいソース（ｋｎｏｗｎ  ｇｏｏｄ  ｓｏｕｒｃｅ）に対する始動（又は動作）環境の素子の正確な比較を可能にするとともに整合しないコードの開始を阻止する（又は適切な装置、エンドポイント若しくはセキュリティエコシステムにアラートを送信する）。一部の実施の形態において、検出を、ＰＵＦのような装置ファームウェアインストレーションのデジタルフィンガープリントとしてもよい。そのようなフィンガープリント（又は暗号学的ハッシュ若しくはその派生物）をＤＩＴに組み込むことができる又はデジタル署名するとともに個別の検証として用いてもよい。これらの構成要素の一つ以上を、一つ以上の個別のプロセッサに組み込むことができる（例えば、図１のステップ１０５及び１０９参照）。
【００３４】
一部の実施の形態において、プロビジョニング処理は、ＬＫＳＭ、安全な構成要素又は信頼できるユーザ、装置、エンティティ等に関連した公開鍵の他の許容できる記憶装置を更に有する。例えば、信頼できる最も重要な追加される公開鍵の一つは、セキュリティエコシステムからのものであり、用いられる全ての将来の信頼できる公開鍵の公開鍵証明書の署名者である。
【００３５】
信頼できる検証は複数の方法を伴うことができる。自動車の部品に対する一部の実施の形態において、セキュリティエコシステムは、（例えば、ブレーキ制御装置のＩｏＴ装置クライアントの公開鍵を用いることによって）当該ＩｏＴ装置クライアントのみがアクセスしたブレーキ制御装置の新たにインストールしたＩｏＴ装置ファームウェアクライアントに対するデジタル証明書の形式の信頼できる一意ＩＤ又は公開鍵証明書を発行する。ブレーキ制御装置のＩｏＴ装置クライアントは、単独で一意ＩＤを復号することができる。ＩｏＴ装置は、場合によっては秘密鍵を用いて暗号化される当該一意ＩＤから構成されるデジタル署名されたトークンを作成し、それをセキュリティエコシステムに戻す。
【００３６】
セキュリティエコシステムは、一意ＩＤ及び／又は信頼できる装置の公開鍵証明書を一意的に受け取ったことを確認する許容できるデジタルトークンがブレーキ制御装置のＩｏＴ装置クライアントによって提供されたことを確認する。セキュリティエコシステムは、信頼できる公開鍵に関連した秘密鍵を用いることによって正確な鍵検証によるデジタル署名が行われたことを確認するメッセージを作成し、それをブレーキ制御装置のＩｏＴ装置クライアントに戻す。署名された検証の信ぴょう性は、信頼できる公開鍵を用いて検証され、検証を完了する。その後、他の信頼できる鍵を追加し、セキュリティエコシステムからの他の検証されるメッセージは、このような又は同様なデジタル署名能力によって検証される。信頼できる公開鍵を追加することができる信頼できるエンティティの例は、コード署名機関、メンテナンスグループ、特定の装置等を含む。
【００３７】
一部の実施の形態において、プロビジョニングされたＩｏＴ装置を、ＩｏＴ装置に対する勧誘者−被勧誘者プロトコルを用いることによって追加してもよい。指定されたＩｏＴ装置の間の特定の関係の決定を、ユーザ、セキュリティエコシステム、マスターＩｏＴ装置管理エンティティ（例えば、ＣＩｏＴ装置）、内部情報を有するＩｏＴ装置、セキュリティエコシステムにアクセスするとともにセキュリティエコシステムの動作を行うよう命令する人工知能（ＡＩ）システム（例えば、ＰＫＩ／ＰＭＩ及び／又は属性認証機関）等のような複数の権限を与えられたエンティティによって行ってもよい。これらの一つ以上は、（場合によっては既存の規則及び／又はビジネスロジックの変更に限定される）規則及び／又はビジネスロジックの確立を含む指定されたＩｏＴ装置に対する一つ以上の他の指定されたＩｏＴ装置との安全な通信の確立を行う命令をするためにセキュリティエコシステムを利用してもよい。適切な命令は、典型的には、そのような要求に対するデジタル署名された承認（ｄｉｇｉｔａｌｌｙ  ｓｉｇｎｅｄ  ａｕｔｈｏｒｉｚａｔｉｏｎ）を伴う勧誘者装置と被勧誘者装置の両方の適切な確認を含む。
【００３８】
勧誘者−被勧誘者プロセスにおける認証を促すために、セキュリティエコシステムのＡＡは、勧誘者−被勧誘者のいずれか一方又は両方に対して、勧誘者−被勧誘者プロトコル中に用いられる質問及び／又は質問に対する回答を提供してもよい。プロセスに命令を行う又はプロセスを承認するそのようなセキュリティエコシステムによって、（場合によっては人工知能能力の追加の使用による又は内部情報を有するＩｏＴ装置による）装置は、直接的な人間の介在又は動作及び信頼できる第三者機関ＡＡのサポートによる装置間の安全な通信回線を必要として又は必要とすることなくそのような命令を実行することができる。一部の実施の形態において、勧誘者−被勧誘者プロセスを、ヒューマンインストーラ（ｈｕｍａｎ  ｉｎｓｔａｌｌｅｒ）又は自動工程によって制御又は管理する。ＩｏＴ装置の勧誘者−被勧誘者プロトコルの成功した実行の結果、所望の通信回線並びに一部の実施の形態においてＸ．５０９対応のセキュリティエコシステムのＡＡによって作成及び記録される（ここで説明するような）デジタル合意を有する属性証明書を確立する。
【００３９】
図２は、開示した発明の一部の実施の形態による安全な通信回線を相互に確立するためにＩｏＴ装置を勧誘するセキュリティシステムを示す。この図は、セキュリティシステム２０４に加入するようヒューマンマシンインタフェースユニット２１２を勧誘することを所望するセキュリティシステムのユーザ／エンドポイント（例えば、システム又はデバイスインストーラ２１４）の自動車の使用の場合の例を示し、システムインストーラは、識別されたヒューマンマシンインタフェースユニットに属するものとして識別したＩｏＴ装置がインストールされ、この特定のヒューマンマシンインタフェースユニットのために制御され、かつ、詐欺師（ｆｒａｕｄｓｔｅｒ）によって勝手に用いられなかったことを確実に知ることができることを所望する。セキュリティエコシステムプラットフォーム２０４は、ＰＫＩ，ＰＭＩ，ＡＡ等の一つ以上を含む。また、インストーラ２１４は、このヒューマンマシンインタフェースユニットのＩｏＴ装置がセキュリティエコシステムネットワークに存在する唯一のものであることを知るのを所望する。当該ＩｏＴ装置に対する及び当該ＩｏＴ装置からのデジタル記録の管理の一連のプロセスを通じて、クライアントをセキュリティエコシステムによって認証してもよい。
【００４０】
新たなユーザ／装置（この例示的なケースにおけるヒューマンマシンインタフェースユニット２１２）が勧誘される（２０１）とともにＩｏＴ装置クライアントインストレーション工程に入るとき、デジタル識別トークンを有するか否かの問い合わせが行われる。そうである場合、２０２に示すように、ＩｏＴ装置クライアントは、デジタル識別トークンをロードする。２０３において、インストーラ２１４は、証明書をＤＩＴに提供するとともにＤＩＴをセキュリティエコシステムに送信する。セキュリティエコシステムネットワークスは、２０４によって示すように、真贋のためにトークンを検査する。各トークンは、一意的であり、単一のセキュリティエコシステムユーザに対してのみインストールされる。一部の実施の形態において、成功したインストレーションの追加の帯域外確認（ｏｕｔ−ｏｆ−ｂａｎｄ  ｃｏｎｆｉｒｍａｔｉｏｎ）が当該ＩｏＴ装置クライアントに含まれる。帯域外確認の一例は、検証工程に含まれてもよく、これによって、２０５によって示すように、セキュリティエコシステム２０４は、（ヒューマンマシンインタフェースユニットの公開鍵を用いて暗号化することができる）一意ＩＤを、唯一のアクセスを有するヒューマンマシンインタフェースユニットの新たにインストールされたＩｏＴ装置クライアントに発行する。２０６において、ヒューマンマシンインタフェースユニット２１２のＩｏＴ装置クライアントは、（場合によっては秘密鍵を用いてデジタル署名された）当該一意ＩＤを提供する。
【００４１】
一部の実施の形態において、システムのインストーラは、２０７において、システムのインストーラがヒューマンマシンインタフェースユニット２１２によってインストレーションの完了を確認したことをセキュリティエコシステム２０４に対して証明し、例えば、それ自体のクライアントアプリケーションを使用することによってセキュリティエコシステムに対する証明書を有する一意ＩＤを任意に含む。２０９に示すように、（特に、セキュリティエコシステムによって発行された一度きりの一意ＩＤを用いる）そのような確認は、安全なインストレーションリンクの完了を確認し、その後、当該ＩｏＴ装置クライアントと他の検証されたセキュリティエコシステムのＩｏＴ装置クライアントの間で送信されたデジタル記録の管理の将来のチェーン（ｆｕｔｕｒｅ  ｃｈａｉｎ）をサポートすることができる。一部の実施の形態において、上述した勧誘者−被勧誘者プロセスは、デジタル署名に部分的に基づくオーディットトレイルを生成する。さらに、セキュリティエコシステム２０４の他のアクション及びアクティビティは、デジタル署名に部分的に基づくオーディットトレイルを生成する。
【００４２】
被勧誘者処理の成功した完了は、勧誘者によって申し出されたあらゆるデジタル合意の受け入れを意味するものと理解されたい。これは、勧誘者によって所有される新たに生成された属性証明書によって参照される証明書内の対象の公開鍵に対応する勧誘者のホストコンピュータ／クライアント／装置による署名生成秘密鍵の使用を伴う。一部の実施の形態において、Ｘ５０９プロトコル属性証明書（ＡＣ）は、勧誘者及び被勧誘者処理の基礎となる。勧誘者−被勧誘者処理の結果、セキュリティエコシステム２０４は、相互の同意の下で、企業レベル管理識別子（ｅｎｔｅｒｐｒｉｓｅ−ｌｅｖｅｌ  ｍａｎａｇｅｄ  ｉｄｅｎｔｉｔｙ）と、検証及び許可されたユーザ／エンドポイントに対する一意の通信回線とを組み合わせる。
【００４３】
図３は、開示した発明の一部の実施の形態による車両のＩｏＴ装置の複数の対の間の安全な通信回線を確立するセキュリティシステムを示す。装置プロビジョニングの方法の一つ以上及び勧誘者−被勧誘者プロセスを用いることによって、ユーザ／装置及び／又は製造された又は組み立てられた製品内のＩｏＴ装置は、一意の存在を確立することができ、装置の識別子をそれぞれ検証及びリンクすることができ、検証及び確証がされた安全な互いの通信回線を確立することができる。これを、装置、すなわち、エンドユーザ装置３０２を操作するインストーラ３０１により管理される装置、人間が操作する複数のエンドユーザ装置又は（一つ以上の）エンドユーザ装置によってヒューマンマシンインタフェース制御装置３０５を介して行われる。これらを、装置３０３の間（例えば、ヒューマンマシンインタフェース制御装置３０５とテレマティクス制御装置３０６の間）の関係の形成に任意に用いてもよく、他の同様な対の装置の追加を、規定されたグループにまとめてもよい。例えば、暗号化された安全なグループは、当該グループ３０７への及び当該グループ３０７からの安全な保護された審査可能な通信を確立するために車両３０４、航空機、医療機器等のような単一の製造された製品内に組み込むことができる通信回線を伴う装置の全てを含んでもよい。装置のサブグループの一つ以上を、グループ３０８内に又は場合によりグループ内の装置及びグループ外の装置と組み合わせて形成してもよい。さらに、グループメンバーの記録、その情報、メンバー間の通信回線、グループの帰属関係及び／又は他の関連情報を、セキュリティシステムにおいて確立、記録及び／又は破棄してもよい。装置グループの帰属関係及び当該グループの帰属関係に関連した規則を、当該グループ内の装置の一つ以上の通信線に（直接的に又はＡＡにより間接的に）追加される証明書に含めてもよい。
【００４４】
図４は、開示した発明の一部の実施の形態によるＩｏＴ装置を含む新たな製品を認証するセキュリティシステムを示す。ＩｏＴ装置を組み込む製造された製品は、典型的には、販売される又は購入者、賃借人若しくは他のエンドユーザに提供される。一部の実施の形態において、そのような製品は、車両４１２を購入する購入者４１１を有する車両である。そのようなケースにおいて、購入者の購入は、車両、車両に関連するＩｏＴ装置及び他の情報についての関連の認証された情報を包含するデジタル証明書４０１を組み込むことによって更に安全になる。そのようなデジタル証明書４０１を、セキュリティシステム４０２から購入者の携帯機器４０３、タブレット装置４０４、コンピュータ４０５等に供給される。セキュリティシステムプラットフォーム４０２は、ＰＫＩ，ＰＭＩ及びＡＡの一つ以上を含む。購入者４１１は、例えば、セキュリティエコシステムを通じて認証されたセキュリティエコシステムサポート携帯機器４０６を用いてデジタル署名を行うことによって購入契約をしてもよい。これらのデジタル記録４０７を、貸し手又は他の関心のある関係者に送ってもよく、賃借契約書又は融資契約書にデジタル署名を行ってもよい（４０８）。
【００４５】
車両（及びあり得るリース又はローン書類（４０９））のデジタル記録を組み合わせた購入の記録は、（貸し手、セキュリティエコシステム又はそれ以外により）変更不可能となるように記録される。そのような記録の一例は、４１０によって示すように、Ｂｌｏｃｋｃｈａｉｎ（登録商標）又は同様な媒体４１８におけるものである。購入者４１１及び車両の関係を、購入者装置４１３の購入者のクライアントアプリケーション並びに（ＩｏＴ装置４１４の一つ以上を介する）車両と車両のパッシブキー（ｐａｓｓｉｖｅ  ｋｅｙ）及び入力システム（キーホブ装置）４１５の両方を用いて互いに認証してもよい。購入者の携帯機器、車両及びパッシブキー入力システムは全て、認証されたグループ、例えば、「ＩｏＴ装置グループ」４１６のメンバーとなる。
【００４６】
図５は、開示した発明の一部の実施の形態によるＩｏＴ装置を含む製品をメンテナンスするセキュリティシステムを示す。メンテナンスのために製品、例えば、車両５０１を自動車販売特約店５０２に持ち込んだとき、車両の内部ＩｏＴ装置に対するアクセスを、車両に予めインストールされたセキュリティ能力によって保護することができる。例えば、アクセス５１０を求める整備士は、セキュリティエコシステム５０７内に予め登録された端末装置５０６のアプリケーションを介して車両のヒューマンマシンインタフェース制御装置５０５にアクセスするための適切な認証情報５０４を有する必要がある。整備士、アプリケーション又は他の受け入れることができる識別子は、このための適切な認証を示す必要がある。例えば、これらの一つを、車両に対する特定のタイプのメンテナンス作業を行う限定的な権利（ｄｅｆｉｎａｂｌｅ  ｒｉｇｈｔｓ）を有する車両内ＩｏＴ装置へのアクセス特権を有するディーラーメンテナンスグループの認証されたメンバーとしてもよい。例えば、整備士は、エンジン制御装置が正常に機能しないことを決定するとともにそれを取り除き（５０８）、交換品を取り付ける（５０９）ことができる。整備士は、典型的には、正常に機能しないエンジン制御装置を、セキュリティエコシステム５０７内の車両の記録から除去し、新たなエンジン制御装置記録に取り替える。取替工程は、ＩｏＴ装置５１０の間の適切な勧誘者−被勧誘者プロセス（及びあり得る上述したようなプロビジョニング処理）と、ＩｏＴ装置の取替及びセキュリティエコシステム５０７内の更新されたＩｏＴ装置グループを反映するための車両５０１の記録の更新５１０と、を含む。セキュリティエコシステムプラットフォーム５０７は、ＰＫＩ，ＰＭＩ及びＡＡの一つ以上を含む。
【００４７】
図６は、開示した発明の一部の実施の形態による安全な認証された通信回線の一部の要素を示す。図示したように、ＩｏＴエンドポイント６０１は、典型的には、装置の一意識別子又は暗号鍵を確立する方法として設定された安全なルート鍵を有する。これを行う一つの方法は、ＰＵＦ６０２の使用によるものである。暗号化アルゴリズム、安全鍵記憶装置及びクライアントアプリケーションを装置に設ける。一意ＤＩＴを装置６０１によって作成する又はセキュリティエコシステム６０４によって設ける。セキュリティエコシステム６０４は、ＰＫＩ，ＰＭＩ及びＡＡの一つ以上を含む。二つのエンドポイント６０１／６０４の間の勧誘者−被勧誘者プロセスのアプリケーション及びセキュリティエコシステム６０４内のＡＡからの促進サポートを用いることによって、これらのエンドポイントは、これらの間の安全な認証された通信回線６０５を確立する。典型的には、通信回線は、通信回線を認証するとともにエンドポイント６０６の間で確立される通信回線の使用の条件（例えば、規則及び／又はビジネスロジック）を確立するデジタル証明書に記録されるデジタル合意を伴う。
【００４８】
図７は、開示した発明の一部の実施の形態によるセキュリティエコシステム７０１の一部の要素を示す。セキュリティエコシステム７０１の一意要素の一つは、主要なセキュリティの有効化（ｐｒｉｍａｒｙ  ｅｎａｂｌｉｎｇ  ｓｅｃｕｒｉｔｙ）がエンドポイントそれ自体だけでなくエンドポイント７０３の間の通信回線７０２に基づくことである。しかしながら、開示した発明のセキュリティエコシステム７０１は、エンドポイント７０４に対する証明書７０４を発行するだけでなく、エンドポイントの対が確立する（既に確立している）とともに使用する認証された通信回線７０５のそれぞれに対する証明書も発行する。証明書を有する個別の通信回線のみに基づく関係を構築することによって、そのように有効に確立されたエンドポイント通信回線を、ホワイトリストであるとみなすことができる。装置通信回線のホワイトリストは、セキュリティを向上させるものとみなされる。典型的には、通信回線は、中央管理されるのではなく、エンドポイントの対の間のエンドポイントレベルで確立される。これによって、認証されたエンドポイントは、操作上の必要（ｏｐｅｒａｔｉｏｎａｌ  ｎｅｅｄ）に適合するために通信を行う必要がある認証された他の装置との安全な通信を確立することができる。予め認証されるとともに発行された証明書７０８を有する安全な通信回線７０７のない未知のエンドポイント７０６からの通信が防止又は無視される（７０９）（安全な通信回線を確立するための未知のエンドポイントからの勧誘は無視されるが、勧誘は、両方の装置の認証をサポートするＡＡによって管理される。）。これは、なりすまし防止の結果であり、安全な通信ラインを有する適切に設定されたエンドポイントは、予め認証されたエンドポイントのみに対して通信を行うとともにそれ以外に対して通信を行わない。
【００４９】
図８は、開示した発明の一部の実施の形態による二つのアプリケーションプログラミングインタフェース（ＡＰＩ）の例示的な使用を示す。一般的には、ＡＰＩは、種々のソフトウェアコンポーネントの間の通信の明確に規定された方法のセットである。セキュリティエコシステムは、二つの個別のＡＰＩをサポートする。一部の実施の形態において、ＡＰＩ８０２を、セキュリティエコシステム８０１の能力に対するアクセス、制御、利用等を行うためにＩｏＴエンドポイント８０３のクライアントアプリケーションによって用いてもよい。一部の実施の形態において、ＩｏＴエンドポイント及びセキュリティエコシステムは、ＡＰＩを用いることなく他の方法を用いることによって通信を行うことができる。第２のＡＰＩ８０４を、多様な使用のために（ｆｏｒ  ｍｕｌｔｉｐｌｅ  ｕｓｅｓ）ＩＴ部門（ＩＴ  ｄｅｐａｒｔｍｅｎｔ）からのユーザのような外部ユーザによって利用してもよい。一つのそのような使用は、セキュリティエコシステムによって形成、メンテナンス及び／又はサポートされる（ＩｏＴ装置及び非ＩｏＴ装置を含む）装置の安全な通信回線、証明書、グループ、関係等の全て又は一部の状況を見ることである。そのようなＡＰＩは、そのような情報に対する包括的な粒度の細かい可視性（ｃｏｍｐｒｅｈｅｎｓｉｖｅ，ｇｒａｎｕｌａｒ  ｖｉｓｉｂｉｌｉｔｙ）を提供してもよい。そのような情報を、さまざまな分析のために外部システム又はユーザによって任意に用いることができる。オプションとして、ＡＰＩは、セキュリティエコシステムが行うアクティビティの全て又は一部の命令を行う能力を提供してもよい。一部の実施の形態において、人工知能コンピュータプログラムの命令の下で動作する外部システムは、このＡＰＩを利用することができる。
【００５０】
一部の実施の形態において、開示した発明は、装置に対するソフトウェア／ファームウェア更新を行ってもよい。例えば、ファームウェアのイメージ（又はファームウェアに関連した証明書）は、保持された信頼できる公開鍵によって、例えば、更新される対象の装置のセキュアコンポーネント（ｓｅｃｕｒｅ  ｃｏｍｐｏｎｅｎｔ）のＬＫＳＭによって認識される確立されたファームウェア署名機関によってデジタル署名される。業界標準コード署名技術を用いることによって、ファームウェアを、コード署名機関の秘密鍵を用いてデジタル署名することができる。署名コードは、対象の装置に送信される。受信に応答して、対象の装置は、先ず、コード署名機関が動作を行ったこと、実際には、コードを署名したことを検証するために所有している信頼できる公開鍵を使用する。そのような検証に応答して、対象の装置は、ファームウェア更新を完了することができる。
【００５１】
そのような実施の形態において、装置のファームウェアインストレーションの一意イメージの装置デジタル記録を行うとともに装置又は機関によって記録にデジタル署名を行ってもよい。必要な場合には、後の時点において、新たなイメージを作成し、新たなイメージと以前に作成されたイメージとを比較し、二つのイメージが整合するか否かを決定してもよい。これらが整合しない場合、装置に対する攻撃又は他の問題を調べる又は他のアクションを起こす。
【００５２】
一部の実施の形態において、オーディットトレイルを、少なくとも部分的にデジタル署名に基づいて、勧誘者−被勧誘者プロセス、プロビジョニング及びセキュリティエコシステム内でとられる他のアクションを伴うグループの確立のようなアクションから生成する。一部の実施の形態は、勧誘者−被勧誘者プロセスからなるオーディットトレイルを提供する。
【００５３】
図９は、開示した発明の一部の実施の形態による複数のＩｏＴ装置の間の安全な通信回線を確立する例示的な工程である。オプションブロック９０２に示すように、第１のＩｏＴ装置及び第２のＩｏＴ装置を、一意識別子、デジタル識別トークン及び暗号鍵を設けるとともに第１のＩｏＴ装置及び第２のＩｏＴ装置をそれぞれ認証することによってプロビジョニングする。上述したように、プロビジョニングを、一部のＩｏＴ装置を含む製品の製造時、製品内へのＩｏＴ装置のインストール時、製品若しくはＩｏＴ装置のプログラミング時又は該当するＩｏＴ装置の間の通信の確立前の任意の時点に行うことができる。いずれのケースにおいても、該当するＩｏＴ装置は、一意識別子及び暗号鍵を有し、安全な通信回線を確立する前に認証される。
【００５４】
ブロック９０４において、第１のデジタル証明書が、例えば、属性認証機関（ＡＡ）のような信頼できる第三者機関によって発行される。ブロック９０６において、第１のＩｏＴ装置は、第２のＩｏＴ装置からデジタルトークンを受け取ることによって第１のＩｏＴ装置との（安全でない）通信回線を確立するために第２のＩｏＴ装置を勧誘する。ブロック９０８において、第２のＩｏＴ装置を、本開示を通じて詳しく説明するように、第２のＩｏＴ装置の一意識別子、デジタル識別トークン及び暗号鍵を用いて、第１のＩｏＴ装置に対して認証する。ブロック９１０において、第１のＩｏＴ装置と第２のＩｏＴ装置の間の安全な通信回線を、第１のＩｏＴ装置と第２のＩｏＴ装置の間の通信回線を設けるための第２のデジタル証明書を用いて安全でない通信回線を認証することによって確立する。このようにして、開示した発明のセキュリティエコシステムは、ＩｏＴ装置（エンドポイント）に対する（第１の）証明書を発行するだけでなく、ＩｏＴ装置（エンドポイント）の対が確立されるとともに用いる認証された通信回線のそれぞれに対する（第２の）デジタル証明書も発行する。
【００５５】
ブロック９１２において、第１のＩｏＴ装置又は第２のＩｏＴ装置に対する安全な通信回線が確立されなかった他の（第３の）ＩｏＴ装置が第１のＩｏＴ装置又は第２のＩｏＴ装置と通信できないようにする。
【００５６】
発明の広い範囲を逸脱することなく上述した発明の示した実施の形態及び他の実施の形態に対する種々の変形を行うことができることが当業者によって認識される。したがって、本発明は、開示した特定の実施の形態及び配置に限定されるものではなく、添付した特許請求の範囲及び図面によって規定するような発明の範囲内にあるあらゆる変形、適合及び変更をカバーすることを意図する。
【図１】
2019517228.tif 000003
【図２】
2019517228.tif 000004
【図３】
2019517228.tif 000005
【図４】
2019517228.tif 000006
【図５】
2019517228.tif 000007
【図６】
2019517228.tif 000008
【図７】
2019517228.tif 000009
【図８】
2019517228.tif 000010
【図９】
2019517228.tif 000011
【手続補正書】
【提出日】平成30年11月30日(2018.11.30)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立する方法であって、
第１のＩｏＴ装置及び第２のＩｏＴ装置に対する一意識別子、デジタル識別トークン及び暗号鍵を提供することによって前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置をプロビジョニングするとともに前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置に対する第１のデジタル証明書を発行することと、
前記第２のＩｏＴ装置からデジタルトークンを受け取ることによって、前記第１のＩｏＴ装置との通信回線を確立するために前記第１のＩｏＴ装置により前記第２のＩｏＴ装置を勧誘し、前記第２のＩｏＴ装置の前記一意識別子、前記デジタル識別トークン及び前記暗号鍵を用いて前記第２のＩｏＴ装置を認証することと、
確立される通信回線を認証するとともに前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の通信回線に対する第２のデジタル証明書を発行することによって、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信回線を確立することと、
前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置との通信ができないようにすることと、
を備える方法。
【請求項２】
前記安全な通信回線は、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含む請求項１に記載の方法。
【請求項３】
前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び複数の追加のＩｏＴ装置の間で安全な通信回線を確立することであって、安全な通信回線がそれぞれデジタル合意を含むことと、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び前記複数の追加のＩｏＴ装置を、予め決定された基準に基づいて異なるグループに分けることと、を更に備える請求項２に記載の方法。
【請求項４】
安全な通信回線のそれぞれの証明書にグループのメンバー及び複数の関連の規則を含めることを更に備える請求項３に記載の方法。
【請求項５】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、自動車、医療機器、家庭用機器及び航空機の一つ以上の構成要素である請求項１に記載の方法。
【請求項６】
複数のモノのインターネット（ＩｏＴ）装置の間で安全な通信を確立するシステムであって、
第１の一意識別子、第１のデジタル識別トークン及び第１の暗号鍵を含む第１のＩｏＴ装置と、
前記第１のＩｏＴ装置からデジタルトークンを受け取ることによって前記第１のＩｏＴ装置との通信回線を確立するための第２の一意識別子、第２のデジタル識別トークン及び第２の暗号鍵を含み、前記第１のＩｏＴ装置の前記第１の一意識別子、前記第１のデジタル識別トークン及び前記第１の暗号鍵を用いて前記第１のＩｏＴ装置を認証する第２のＩｏＴ装置と、
第１のデジタル証明書を前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置に提供し、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の確立される通信回線を認証することによって前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信回線を確立し、前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置に対する安全な通信回線が確立されなかった第３のＩｏＴ装置と前記第１のＩｏＴ装置又は前記第２のＩｏＴ装置との通信ができないようにする属性認証機関（ＡＡ）と、
を備えるシステム。
【請求項７】
前記安全な通信回線は、前記第１のＩｏＴ装置と前記第２のＩｏＴ装置の間の安全な通信の使用条件を確立するデジタル同意を含む請求項６に記載のシステム。
【請求項８】
前記属性認証機関（ＡＡ）は、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び複数の追加のＩｏＴ装置の間で安全な通信回線を確立し、安全な通信回線がそれぞれデジタル合意を含み、前記属性認証機関（ＡＡ）は、前記第１のＩｏＴ装置、前記第２のＩｏＴ装置及び前記複数の追加のＩｏＴ装置を、予め決定された基準に基づいて異なるグループに分ける請求項７に記載のシステム。
【請求項９】
前記第１のＩｏＴ装置及び前記第２のＩｏＴ装置は、自動車、医療機器、家庭用機器及び航空機の一つ以上の構成要素である請求項６に記載のシステム。
【国際調査報告】
2019517228.tif 000012
2019517228.tif 000013