(57)【要約】IDは、ユーザのパーソナルエリアネットワーク(PAN)の装置で分散して計算される。装置は、ワイヤレスで通信する。サーバは、PANのシミュレーションを実行する。サーバとPANとがマッチする結果を計算する場合、ユーザのIDが条件付きアクセスのために正しいと推測される。ユーザのPAN装置へのIDの計算の分散及び当該装置の実際的な用途についての確率論的性質は、システムをハッキングすることを非常に困難にする。
2005503627.tif 000002
【特許請求の範囲】
【請求項１】
人が固有のIDを用いることを可能にする方法において、当該ユーザのパーソナルエリアネットワークの複数の装置が前記IDをこれら装置で分散して計算することを可能にするステップを有する方法。
【請求項２】
請求項1に記載の方法において、前記IDが前記パーソナルエリアネットワークのシミュレーションに適合するかを決定するステップを有する方法。
【請求項３】
請求項1に記載の方法において、
−前記装置のそれぞれは、それぞれの有限状態機械を有し、
−前記それぞれの有限状態機械は、時間ステップごとにそれぞれの数学的関係による量の値を計算し、
−前記それぞれの数学的関係は、引き数として、
−前の時間ステップで少なくとも1つの他の前記有限状態機械によって計算された前記量の前記値と、
−前記それぞれの有限状態機械によって計算された前記量によって推定された値のそれぞれの履歴と、
を有し、
−前記それぞれの数学的関係は、前記量が事実上確率論的な挙動を取るというものである、
方法。
【請求項４】
パーソナル装置における使用のためのソフトウェアにおいて、前記装置に有限状態機械を収容し、事実上確率論的なシステムを実現するように他の装置と通信することを可能にするソフトウェア。
【請求項５】
パーソナルエリアネットワークで用いられるパーソナル機器において、有限状態機械を収容しており、事実上確率論的なシステムを実現するように前記パーソナルエリアネットワークの他の装置と通信することが可能である機器。
【請求項６】
システムのサービスにおいて、ユーザが前記システムへのアクセスを許可されているか、前記ユーザのパーソナルエリアネットワークのシミュレーションを実行して決定するステップを有するサービス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証サービス、例えばデータ処理システムとの安全なトランザクションを提供する方法に関する。
【背景技術】
【０００２】
予定日前未公開出願PCT/IB02/01582(整理番号PHUS018056)「ネットワーク環境における装置識別及び制御」は、機器をネットワークとインタフェースするモジュールを有する家庭用機器の制御ネットワークに関する。モジュールと機器とが相互接続されていると、モジュールは該機器の識別を採用する。この機器は、モジュールによって読み取られてコントローラへ転送される識別情報を伴うタグを、例えばそのパワープラグに有する。モジュール自身は、トポロジ依存ソフトウェアアプリケーションを可能にする位置依存識別子を有することができる。
【０００３】
予定日前未公開出願PCT/IB02/01015(整理番号PHUS018043)「タスク管理システム」は、オブジェクトの移動を伴うタスクを管理するためのシステムに関する。このシステムは、オブジェクトに付されたインジケータと、オブジェクトの位置又は移動を検出するためのセンサとを含み、このセンサは、例えば、タスクを実行する合図を当該センサからの入力に基づいてユーザインタフェースで生成及び除去するためのモニタ部品において用いられる。1つの実施例において、インジケータは、例えば、オブジェクトに接続された無線周波数受動素子であり、センサは、タスクが実行されたときにオブジェクトがたどる移動経路内に位置する従来型の近接センサであり、モニタ部品は、PDA(携帯情報端末)に連結されるホームネットワークの一部である。他の実施例では、単に移動経路内の位置を過ぎてオブジェクトの移動を検知するのではなく、第1の場所(開始位置)におけるオブジェクトの位置、及び第2の場所(目的地)におけるオブジェクトの位置及び／又はオブジェクトの移動の方向を確立するように、2つ以上のセンサが用いられる。両実施例において、センサは、タスクが実行されているときに、所定の位置におけるオブジェクトの存在／不存在及び／又は(インジケータを検出することによって)オブジェクトの移動を検出し、タスクが完了されていることを示す信号をモニタ部品に提供する。次に、モニタ部品は、タスクを実行するための合図を自動的に除去する等の反応を生成する。
【０００４】
識別子データ、パスワード又はコード語(この文書の残りではIDと呼ばれる)は、ユーザの識別又は認証が必要である電子トランザクションにおけるセキュリティ目的のために用いられる。このようなトランザクションの例は、クレジットカードの使用に基づいたトランザクションを含む。他の例は、エレクトロニックバンキングである。更に他の例は、遠い位置からインターネットを介して会社のデータネットワークにログインすることである。更に他の使用は、セキュアサイトに対するバッジアクセスである。
【０００５】
一般に、以下の方式が実行される。ユーザは、IDを割り当てられた。IDは、何らかのトークン(例えば磁気ストリップ又は固体メモリを有するカード、携帯電話等のCE装置等)に記憶又は暗号化されなければならない。このIDを伴う操作又はトランザクションを実行するためには、ユーザは、制御コンピュータ(例えばバンクコンピュータ、テレコムサービスプロバイダのコンピュータ、セキュリティサーバ等)に、IDを送信することが要求される。次にコンピュータは、送信されたIDをローカルに記憶されるコードと比較して、マッチ又はミスマッチに基づいて許可決定をする。
【０００６】
この実行法は、多少の欠点を伴う。例えば、IDは通常一定であり(即ち時間と共に変化しない)、伝送中に傍受される又はIDを含むトークンが盗まれる可能性がある。第1の欠点は、一度限りの暗号化コードの使用(即ち、サーバとの新しい接続が要求されるたびに、ID用に新しい値が計算される)によって回避されることができる。しかし、依然として、コードを解読すること又は独立したソースから情報を得ることが可能であるので、これはセキュリティの問題の一部を解決するに過ぎない。ある期間のデータ収集の後に、必要なコードをリバースエンジニアリングすることが十分に可能でありうる。一度限りの暗号化コードは、トークンが紛失される又は盗まれる問題を解決しない。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、セキュリティを向上させることである。本発明は、独立請求項によって規定される。従属請求項は、有利な実施例を規定する。
【課題を解決するための手段】
【０００８】
1つの実施例において、本発明者は、IDの新しい値の計算をユーザのパーソナル電子装置間で分散することによってセキュリティレベルを向上することを提案する。許可を決定するサーバ又はコンピュータは、IDの値を同期化するために、同一のパーソナル装置の個々のユーザにつきシミュレーションを実行する。この場合、1つのIDコードカード又はクレジットカードを盗むだけでは十分でない。他の装置又はユーザが無ければカードは役に立たない。
【０００９】
本発明は、人が固有のIDを用いることを可能にする方法に関する。ユーザのPAN(パーソナルエリアネットワーク)の複数の装置は、これら装置に分散してIDを計算することを可能にされる。ユーザのIDが正しいか否か決定しなければならないシステムは、このIDがリモートサーバ上で実行されるPANのシミュレーションと一致しているか確認することによって、これを行うことができる。代わりに、種々の場合にPANにより生成された種々のIDの各々は、この特定のユーザを表し、ルックアップテーブルのエントリに対応する。好適には、各装置はそれぞれ、それぞれのFSM(有限状態機械)を有する。それぞれのFSMは、時間ステップごとにそれぞれの数学的関係による量の値を計算する。それぞれの数学的関係は、引き数として、例えば、前の時間ステップで少なくとも1つの他のFSMによって計算された量の値と、前記それぞれのFSMによって計算された前記量によって推定された値のそれぞれの履歴とを有する。前記それぞれの数学的関係は、前記量が事実上確率論的な挙動を取るというものである。
【００１０】
本発明の1つの実施例は、例えば、パーソナル装置における使用のためのソフトウェアであって、前記装置にFSMを収容し、事実上確率論的なシステムを実現するために他の装置と通信することを可能にする、ソフトウェアである。
【００１１】
他の実施例は、例えば、PANで用いられるパーソナル機器である。機器は、FSMを収容しており、事実上確率論的なシステムを実現するようにPANの他の機器と通信することが可能である。
【００１２】
更に他の実施例は、例えば、バンキング、クレジットカード、条件付きアクセス又は他のセキュリティシステムのためのサービスである。サービスは、ユーザがシステムにアクセスする許可を与えられているかを決定する。サービスは、ユーザのPANのシミュレーションを実行する。このサービスは、守られるべきシステムから独立した信頼された関係者に委任されることができ、又は、システムと一体の部分であることができる。
【００１３】
より具体的な例において、本発明は、相互作用する装置のクラスタ又は例えばパーソナルエリアネットワーク(PAN)を形成する機器を有する分散された情報処理システムを考える。装置は、好適には、短距離用の無線プロトコル(例えばブルートゥース)を通じて通信する。クラスタは、例えば、携帯電話、デジタル時計、PDA、自動車キーのキー飾り、又は、宝石若しくはピン等の目立たない物に若しくは装着型の電子機器を用いて衣類にさえ埋め込まれた電子装置を有する。装置の組は、個々のユーザにつき固有である。装置には、有限状態機械(FSM)が搭載されている。(リモート)コントロールサーバは、クラスタのFSMのシミュレータを実行する。それぞれの装置のFSMは、時間ステップごとに、前のステップの他の装置のFSMの値に依存すると共にそれぞれの装置の内部状態(例えば装置のメモリの内容及びI/Oメッセージバッファの内容に基づく)及び前の値の履歴にも依存する可能性がある、それぞれの数値を計算する。この数学的関係は、この関係が、FSMの集合を、実際的な用途のためには非周期的確率過程と考えられる動的プロセスとして挙動させるように選択される。シミュレータは、サーバ上で同じことを行う。シミュレータと装置のFSMとの結果は同一であるべきである。マッチすれば、ユーザは許可されたと推定される。ミスマッチの場合、ユーザは許可されなかったと推定され、警告が生成される。IDの値は、例えば、FSMの特定の1つによって計算される現在の数値若しくは異なったFSMからの値の組み合わせ又は値のシーケンスである。
【００１４】
システムのセキュリティは、ハッカーがシステムをハッキングすることが可能であるためには、特定のステップで全てのFSMの値のスナップショットを有することと、履歴で考慮したステップの値を収集することと、各装置の内部状態に入ることとを必要とするという事実にある。これら全ての操作は1つの時間ステップで実行されなければならず、このことは、これを複雑な計算タスクにしてシステムの分散した特性のため事実上不可能にする。システムの保護、堅牢性及びセキュリティを向上させるために、幾つかのセキュリティ層は、個別に又は組み合わせられて適用されることができる。
【００１５】
システムの設定は、ユーザが自身のPAN中でどの装置又は機器を持っていくかに依存してよい。それに応じてサーバ及び／又は装置を初期化するために自動制御装置が用いられることができる。例えば、ユーザが何を持っていくかを決定するために、予定日前未公開出願PCT/IB02/01015(整理番号PHUS 018043)「タスク管理システム」にて開示したように制御システムが用いられることができる。
【発明を実施するための最良の形態】
【００１６】
本発明は、以下で更に、本発明のシステムの図を示す添付の図面を参照して例示により説明される。
【００１７】
以下の詳細な説明において、以下の定義が用いられる。
−システム：PANにおいて考慮されている装置の集まり;
−装置：CPUに基づいたコントローラを含むシステムの部品;
−装置状態情報(DSI)：装置のI/Oメッセージバッファを含む可能性がある装置のメモリの何らかの規則によって計算された制御コード;
−コントロールサーバ：システムの動作をモニタする、システム外のコンピュータ;
−シミュレータ：システムをFSMの分散ネットワークとしてシミュレーションするシミュレーションソフトウェア。
【００１８】
図面は、本発明のシステム100のブロック図である。システム100は、システム102(例えばPAN)を有する。システム102は、装置104、106、...、108を含む。装置104〜108のそれぞれは、それぞれのFSM 110、112、...、114を有する。システム100は、更に、ソフトウェアのシステム102の挙動をシミュレーションするシミュレータ118を実行するコントロールサーバ116を有する。シミュレータ118の結果は、エバリュエータ120の装置104〜108の状態と比較されてユーザが許可されるかどうかを決定する。
【００１９】
第1のセキュリティ層において、シミュレータ118は、コントロールサーバ116上で実行される。離散的な時間ステップの各々において、装置104〜108の各々のCPUは、関連する装置と関連したそれぞれのDSIを計算する。このDSIは、その装置のためにシミュレータ118によって計算される対応するDSIコードと比較される。これらの値間のミスマッチは、例えば、動作故障又はシステム102の不正な再プログラムの指示である。
【００２０】
Xk(t) =  k(X1(t-1)、X2(t-1)、...、XM(t-1)、Sk、Xk(t-2)、Xk(t-3)、Xk(t-4)、...、Xk(t-N))は、FSMを規定する数式である。値Xk(t)は、この式によって、各時間ステップtについて各装置(k)について計算される。
ここで、
−「t」は、現在の瞬間である。
−「k」は、装置の数はM(Mは示された実施例中では3に等しい)に等しいと仮定したときに1〜Mを取る、装置(k)の添字又はラベルである。
−「Sk」は、装置(k)のDSIである。
−「Fk」(., ., .)は、M個の式の組が、確率論的な非周期的動的プロセスを記述するように選択される数学的ベクトル値関数の「k」番目の部品である。
【００２１】
従って、固定の「k」に対するXk(t)は、前の時間ステップで取られる全ての装置104〜108の値Xに、装置(k)のDSIに、及び、装置(k)に対する値Xの履歴に、依存する。考慮される履歴の長さは、数Nによって決定される。シミュレータ118は、同じ数学的対応を用いて各時間ステップの全ての「k」に対するこれらの値Xk(t)を計算する。ユーザが、有効なIDを必要とするシステム(図示せず)へのアクセスを求めると、時点「t」について装置104〜108によって計算される1つ以上の値Xk(t)は、同じ時点について、シミュレータ118によって計算される関連した値Xk(t)と比較される。不一致は、ユーザが許可されないこと又はシステム102の整合性が侵されたことの表示である。
【００２２】
PAN上の少なくとも1つの装置は、コントロールサーバ116と直接又はプロキシ(図示せず)を通じて通信することを可能にされる。好適には、値Xk(t)は、指定された装置のラベルkの表示とともに、当該ラベルがシステムであらかじめ定義されていない限り、サーバ116に送信される。システムの精度及びセキュリティを向上するために、1つ以上の装置ラベル「p」を伴うと共に随意に1つ以上のタイムスタンプTqを伴う生成された値Xp(t=Tq)のシーケンスが、制御サーバ116に通信される。制御サーバ116は、シミュレータ118によって提供される結果に対して評価するために、どの値Xp(t=Tq)を選択してもよい。PANと他のネットワークとの間の通信は、値Xp(t=Tq)を暗号化キー生成器のための生成源として用いて、暗号化されることができる。
【００２３】
装置104〜108の何れかを再プログラムするためには、又は、何らかの追加のコマンドを直接システム102への影響を持って発するためには、ウイルス又はハッカーは、システム102の全ての装置104〜108に侵入しなければならず、全ての装置104〜108についての必要な履歴Xk(t-1)、Xk(t-2)、...、Xk(t-N)を収集しなければならない。図2の式の組によって与えられるモデルの発展の確率論的な性質のために、これら全ての操作は、1つの時間ステップの間に実行されなければならない。これは、システム102への検知されないハッキング又は干渉を、技術的に及び計算的に非常に複雑なタスクにする。
【００２４】
FSMの組は、有限数の可能なシステム状態を取ることができる離散システムを形成する。システムによって連続的に取られる状態は、原理的には、上述の決定論的な式を介して計算されることができる。従って、確率変数が数学的関係に導入されない限り、状態のシーケンスは真に確率論的ではない。例えば、1つ以上の装置104〜108は、システムの開発において考慮したパラメータの確率論的な値を、1つ以上のFkを当該パラメータに依存させることによって提供してもよい。装置104が携帯電話を有する場合、パラメータのための値は、例えば、前の週に呼を発した数又は呼を受けた数であり、これは、呼の間の時間間隔により重み付けされてもよく、ユーザがIDを必要なときに決定される。装置106がラジオ又はMP3プレーヤである場合、パラメータのための値は、例えば、再生されているデータのためのバッファのコンテンツによって決定される数である。従って、「確率論的」及び「非周期性確率論的」という表現は、本発明の実際的な用途について確率論的に見える非確率論的挙動、例えばアプリケーションの存続期間をも示すと理解されるべきである。
【００２５】
上述の実施例は、本発明を制限するのではなく説明しているのであり、当業者は、添付の請求項の範囲から離れることなく代替の実施例を設計することができることに注意されたい。請求項において、括弧内に配置されたいかなる引用符号も当該請求項を制限するように解釈されてはならない。「有する(comprising)」なる用語は、請求項に記載されたもの以外の要素又はステップの存在を排除するものではない。要素の前の「1つの(a又はan)」なる用語は、複数のこのような要素の存在を排除するものではない。本発明は、幾つかの個別素子を有するハードウェアにより、及び適切にプログラムされたコンピュータによって実行されることができる。幾つかの手段を列挙している装置請求項において、複数のこれらの手段を、ハードウェアの全く同一のアイテムによって具体化することもできる。特定の手段が相互に異なる従属請求項において記載されているという事実のみでは、これらの手段の組合せが有利に用いられることができないということを示すことにはならない。
【図面の簡単な説明】
【００２６】
【図１】本発明のシステムの図である。
【国際公開パンフレット】
2005503627.tif 000003
2005503627.tif 000004
2005503627.tif 000005
2005503627.tif 000006
2005503627.tif 000007
2005503627.tif 000008
2005503627.tif 000009
2005503627.tif 000010
2005503627.tif 000011
2005503627.tif 000012
2005503627.tif 000013
【国際公開パンフレット（コレクトバージョン）】
2005503627.tif 000014
【国際調査報告】
2005503627.tif 000015
2005503627.tif 000016
2005503627.tif 000017
2005503627.tif 000018
2005503627.tif 000019