(57)【要約】【課題】認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる検証装置、検証方法および検証プログラムを提供すること。【解決手段】検証装置１は、認証または鍵交換のプロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定部１０３と、暗号プリミティブの役割を設定する役割設定部１０４と、プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定部１０５と、要求に応じて検証対象の安全性を選択する安全性選択部１０６と、暗号プリミティブの役割に対して設定される所定のフレームワークに適合する安全性それぞれに関する検証項目を満足するか否かを判定する検証項目判定部１０７と、選択された全ての安全性に関する検証項目を満足していると判定された場合にプロトコルが安全であると判定する安全性判定部１０８と、を備える。【選択図】図８
2011004176.tif 000002
【特許請求の範囲】
【請求項１】
認証または鍵交換のプロトコルの安全性を検証する検証装置であって、
前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部と、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定部と、
前記種類設定部により種類が設定された暗号プリミティブの役割を設定する役割設定部と、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定部と、
要求に応じて検証対象の安全性を選択する安全性選択部と、
前記安全性選択部により選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定部により設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定部と、
前記検証項目判定部により前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定部と、を備える検証装置。
【請求項２】
前記フレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）と表現され、
関数ｇの役割は、前記認証のプロトコルにおける認証の対象となる第１の暗号プリミティブ、前記鍵交換のプロトコルにおける鍵生成対象となる第２の暗号プリミティブ、フロー上に現れる第３の暗号プリミティブ、または前記第１から第３の暗号プリミティブおよび前記第１から第３の暗号プリミティブの引数に含まれる第４の暗号プリミティブのいずれでもない第５の暗号プリミティブのいずれかであり、
関数ｆの役割は、関数ｇの役割が前記第１から第３の暗号プリミティブのいずれかである場合には、前記第４の暗号プリミティブであり、関数ｇの役割が前記第５の暗号プリミティブである場合には、前記第１から第３の暗号プリミティブのいずれかであり、
引数Ａ、ＢおよびＣは、暗号プリミティブの関数値またはデータ値であることを特徴とする請求項１に記載の検証装置。
【請求項３】
前記フレームワークの関数に設定される前記第１から第４の暗号プリミティブの種類は、共通鍵暗号、パスワードを用いた暗号化、公開鍵暗号、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族、ディジタル署名、ハッシュ関数またはメッセージ認証コードのいずれかであり、
当該関数の引数は、一般データ、ＩＤデータ、テンポラリデータ、長期鍵、パスワード、関数固定値または関数テンポラリ値と、公開状態または秘密状態と、の組合せを示す要素値であることを特徴とする請求項２に記載の検証装置。
【請求項４】
前記認証または鍵交換のプロトコルにおける検証項目は、関数ｇおよび関数ｆの種類と、引数Ａ、引数Ｂおよび引数Ｃのそれぞれに設定される要素値と、の組合せであることを特徴とする請求項３に記載の検証装置。
【請求項５】
コンピュータが認証または鍵交換のプロトコルの安全性を検証する検証方法であって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を含む検証方法。
【請求項６】
コンピュータに認証または鍵交換のプロトコルの安全性を検証させる検証プログラムであって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を実行させる検証プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証や鍵共有等のセキュリティ機能を有する認証または鍵交換のプロトコルの安全性を検証する検証装置、検証方法および検証プログラムに関する。
【背景技術】
【０００２】
従来、プロトコル設計者の有するセキュリティや暗号技術の見識に基づき、経験的に安全な認証または鍵交換のプロトコルが提案されてきた。しかしながら、提案された認証または鍵交換のプロトコルの仕様が公開された後に、セキュリティ上の脆弱性が指摘される場合があった。標準化された認証または鍵交換のプロトコルが製品等を通じて広く普及した後に脆弱性が発見されると、製品等の改修に関わるコストが大きな問題となる。
【０００３】
特に、致命的な脆弱性が発見された場合には、経済的な損害を回避するため、ソフトウェアのパッチの充当やハードウェアのチップや部品の交換等、早急に対処する必要が生じる。したがって、提案された認証または鍵交換のプロトコルや関連製品が普及するほど、社会的な影響は非常に大きくなり、場合によってはシステム全体が破綻してしまう可能性もある。
【０００４】
そこで、「汎用結合可能安全性」と呼ばれる概念を利用した、認証または鍵交換のプロトコルの安全性を検証するための装置、方法およびプログラムが提案されている（例えば、特許文献１、特許文献２参照）。ここで、「汎用結合可能安全性」とは、ある認証または鍵交換のプロトコルがそのセキュリティ機能に関する理想機能を安全に実現するならば、この認証または鍵交換のプロトコルは安全であることを意味している。例えば、ある鍵交換プロトコルが鍵交換理想機能を安全に実現するならば、この鍵交換プロトコルは安全であることが示されたことになる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−２８４４７号公報
【特許文献２】特開２００８−３５１１７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上記の「汎用結合可能安全性」は、現在最も強力な安全性であると言われており、理想機能はセキュリティ機能に要求される全ての安全性を網羅する。そのため、ある認証または鍵交換のプロトコルがその理想機能を安全に実現するとき、この認証または鍵交換のプロトコルはセキュリティ機能に要求される全ての安全性を満足することになる。
【０００７】
ところが、プロトコルの安全性と効率性とはトレードオフの関係にあるため、認証または鍵交換のプロトコルの安全性を高くするほど効率性は低くなる。そのため、認証または鍵交換のプロトコルの効率性を重要視するときには、許容される限度まで安全性を低くしてよい。しかしながら、上記の先行技術では、認証または鍵交換のプロトコルの厳密な安全性を検証することはできても、安全性のレベルに応じた検証を行うことができない。
【０００８】
そこで、本発明は、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる検証装置、検証方法および検証プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明では、以下のような解決手段を提供する。
【００１０】
（１）  認証または鍵交換のプロトコルの安全性を検証する検証装置であって、
前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部と、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定部と、
前記種類設定部により種類が設定された暗号プリミティブの役割を設定する役割設定部と、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定部と、
要求に応じて検証対象の安全性を選択する安全性選択部と、
前記安全性選択部により選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定部により設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定部と、
前記検証項目判定部により前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定部と、を備える検証装置。
【００１１】
（２）  前記フレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）と表現され、
関数ｇの役割は、前記認証のプロトコルにおける認証の対象となる第１の暗号プリミティブ、前記鍵交換のプロトコルにおける鍵生成対象となる第２の暗号プリミティブ、フロー上に現れる第３の暗号プリミティブ、または前記第１から第３の暗号プリミティブおよび前記第１から第３の暗号プリミティブの引数に含まれる第４の暗号プリミティブのいずれでもない第５の暗号プリミティブのいずれかであり、
関数ｆの役割は、関数ｇの役割が前記第１から第３の暗号プリミティブのいずれかである場合には、前記第４の暗号プリミティブであり、関数ｇの役割が前記第５の暗号プリミティブである場合には、前記第１から第３の暗号プリミティブのいずれかであり、
引数Ａ、ＢおよびＣは、暗号プリミティブの関数値またはデータ値であることを特徴とする（１）に記載の検証装置。
【００１２】
（３）  前記フレームワークの関数に設定される前記第１から第４の暗号プリミティブの種類は、共通鍵暗号、パスワードを用いた暗号化、公開鍵暗号、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族、ディジタル署名、ハッシュ関数またはメッセージ認証コードのいずれかであり、
当該関数の引数は、一般データ、ＩＤデータ、テンポラリデータ、長期鍵、パスワード、関数固定値または関数テンポラリ値と、公開状態または秘密状態と、の組合せを示す要素値であることを特徴とする（２）に記載の検証装置。
【００１３】
（４）  前記認証または鍵交換のプロトコルにおける検証項目は、関数ｇおよび関数ｆの種類と、引数Ａ、引数Ｂおよび引数Ｃのそれぞれに設定される要素値と、の組合せであることを特徴とする（３）に記載の検証装置。
【００１４】
（５）  コンピュータが認証または鍵交換のプロトコルの安全性を検証する検証方法であって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を含む検証方法。
【００１５】
（６）  コンピュータに認証または鍵交換のプロトコルの安全性を検証させる検証プログラムであって、
当該コンピュータは、前記プロトコルにおいて使用されている暗号プリミティブの役割に対して設定される所定のフレームワークに適合する、前記認証のプロトコルにおけるなりすまし攻撃に対する安全性およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、前記鍵交換のプロトコルにおける受動的攻撃に対する安全性、能動的攻撃に対する安全性、既知鍵攻撃に対する安全性、弱前方秘匿性（ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）およびオフライン辞書攻撃に対する安全性のそれぞれの要件を満たすための検証項目と、を記憶する記憶部を備え、
前記プロトコルにおいて使用されている暗号プリミティブの種類を設定する種類設定ステップと、
前記種類設定ステップにより種類が設定された暗号プリミティブの役割を設定する役割設定ステップと、
前記プロトコルにおけるデータ値の種類と状態、または暗号プリミティブの関数値の種類と状態とを示す要素を設定する要素設定ステップと、
要求に応じて検証対象の安全性を選択する安全性選択ステップと、
前記安全性選択ステップにより選択された安全性それぞれに関する検証項目を前記記憶部から抽出し、前記暗号プリミティブの種類および役割ならびに前記要素設定ステップにより設定された要素に基づいて、当該検証項目を満足するか否かを判定する検証項目判定ステップと、
前記検証項目判定ステップにより前記選択された全ての安全性に関する検証項目を満足していると判定された場合に、前記プロトコルが安全であると判定する安全性判定ステップと、を実行させる検証プログラム。
【発明の効果】
【００１６】
本発明によれば、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施形態に係る各攻撃に関係するデータと、フレームワーク内の関数の組合せと、を示した図である。
【図２】本発明の実施形態に係るＭＣ−ＳＩＡの検証項目を示す図である。
【図３】本発明の実施形態に係るＳＳ−ＳＰＡ、ＳＳ−ＳＡＡおよびＳＳ−ＫＫＳに共通の検証項目を示す図である。
【図４】本発明の実施形態に係るＳＳ−ＳＰＡの図３以外の検証項目を示す図である。
【図５】本発明の実施形態に係るＳＳ−ＳＡＡの図３以外の検証項目を示す図である。
【図６】本発明の実施形態に係るＳＳ−ＷＦＳの検証項目を示す図である。
【図７】本発明の実施形態に係るＲＯＤＡの検証項目を示す図である。
【図８】本発明の実施形態に係る検証装置の構成を示す図である。
【図９】本発明の実施形態に係る検証方法の流れを示すフローチャートである。
【発明を実施するための形態】
【００１８】
以下、本発明の実施形態の一例について説明する。
【００１９】
＜セキュリティモデル＞
まず、認証または鍵交換のプロトコルの安全性レベルに関するセキュリティモデルを示す。本実施形態では、計算量理論に基づいて認証または鍵交換のプロトコルの安全性を証明する「証明可能安全性」と呼ばれる概念を用いる。「認証または鍵交換のプロトコルが証明可能安全性を有する」とは、認証または鍵交換のプロトコルの安全性が、ある暗号プリミティブの安全性に帰着することを計算量理論的に証明可能であることを示している。すなわち、ある認証または鍵交換のプロトコルを破ることができる攻撃者は、ある暗号プリミティブを多項式時間で破るマシンを構成可能であることを証明することにより、この暗号プリミティブが破られなければ、認証または鍵交換のプロトコルも破られないことを証明する。
【００２０】
上記の証明可能安全性において、認証プロトコルではｍａｔｃｈｉｎｇ  ｃｏｎｖｅｒｓａｔｉｏｎ、鍵交換プロトコルではｓｅｍａｎｔｉｃ  ｓｅｃｕｒｉｔｙという安全性の概念がある。それぞれの概念に対し、認証または鍵交換のプロトコルに要求される以下のような安全性要件が存在する。なお、括弧内は各安全性を示す略記号である。
【００２１】
・ｍａｔｃｈｉｎｇ  ｃｏｎｖｅｒｓａｔｉｏｎ（ＭＣ）
この安全性は、認証プロトコルにおいて、攻撃者が一方のパーティから受信したメッセージをそのままもう一方のパーティへ送ること以外に何もできないことを示す。すなわち、攻撃者はメッセージの改ざんや新規メッセージの送付、メッセージの遮断、メッセージの順番の入れ替え等の不正を行うことができないことを示す。
【００２２】
（ａ）なりすまし攻撃に対する安全性（ＭＣ−ＳＩＡ）
攻撃者がパーティ間の通信を支配しても、認証プロトコルを破ることはできないことを示す。
【００２３】
・ｓｅｍａｎｔｉｃ  ｓｅｃｕｒｉｔｙ（ＳＳ）
この安全性は、鍵交換プロトコルにおいて、攻撃者はセッション鍵に関するどんな情報も得ることができないことを示す。すなわち、攻撃者はセッション鍵と乱数を多項式時間で区別することができないことを示す。
【００２４】
（ｂ）受動的攻撃に対する安全性（ＳＳ−ＳＰＡ）
攻撃者がパーティ間の通信を盗聴しても、鍵交換プロトコルを破ることはできないことを示す。
【００２５】
（ｃ）能動的攻撃に対する安全性（ＳＳ−ＳＡＡ）
攻撃者がパーティ間の通信を支配しても、鍵交換プロトコルを破ることはできないことを示す。
【００２６】
（ｄ）既知鍵攻撃に対する安全性（ＳＳ−ＫＫＳ）
攻撃者があるセッション鍵を得ることができたとしても、それとは別のセッション鍵を得ることはできないことを示す。
【００２７】
（ｅ）ｗｅａｋ  ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ（ＳＳ−ＷＦＳ）
攻撃者が共通鍵暗号の共通鍵やパスワード、公開鍵暗号の秘密鍵等のパーティの長期鍵を得ることができたとしても、それ以前に共有されたセッション鍵を得ることはできないことを示す。
【００２８】
・共通の安全性要件
この安全性は、認証および鍵交換のプロトコルに共通の安全性要件である。
【００２９】
（ｆ）オフライン辞書攻撃に対する安全性（ＲＯＤＡ）
攻撃者がパスワード推測用の辞書からオフラインで過去の履歴に一致するパーティのパスワードを探索することはできないことを示す。
【００３０】
ただし、長期鍵を使用しない鍵交換のプロトコルの場合、（ｅ）ＳＳ−ＷＦＳの安全性は要求されない。特に、パスワードを使用しない認証または鍵交換のプロトコルの場合、（ｆ）ＲＯＤＡの安全性は要求されない。
【００３１】
ここで、認証または鍵交換のプロトコルにおいて使用されている暗号プリミティブの種類は以下の目的を有する関数である。なお、括弧内は各暗号プリミティブの種類を示す略記号である。
・共通鍵暗号（ＳＫＥ）：事前共有鍵を用いた暗号化目的の関数
・パスワードを用いた暗号化（ＥＰＷ）：事前共有パスワードを用いた暗号化目的の関数
・公開鍵暗号（ＰＫＥ）：公開鍵を用いた暗号化目的の関数
・Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ族（ＤＨ）：Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ法を用いた鍵交換目的の関数
・ディジタル署名（ＳＩＧ）：署名鍵を用いて署名を生成する目的の関数
・ハッシュ関数（ＨＦ）：事前共有鍵を用いずにダイジェストを生成する目的の関数
・メッセージ認証コード（ＭＡＣ）：事前共有鍵を用いてダイジェストを生成する目的の関数
【００３２】
これらの種類は、暗号プリミティブの関数が担っている目的により分類される。例えば、事前共有鍵を用いてダイジェストを生成しているハッシュ関数は、メッセージ認証コードの目的を担っているため、ＭＡＣに分類される。
【００３３】
また、上記の暗号プリミティブの種類に設定される役割は以下の通りである。なお、括弧内は各役割を示す略記号である。
・認証プロトコルにおける認証対象となる暗号プリミティブ（ＰＡＧ）
・鍵交換プロトコルにおける鍵生成対象となる暗号プリミティブ（ＰＫＧ）
・フロー上に現れる暗号プリミティブ（ＰＡＦ）
・ＰＡＧ、ＰＫＧまたはＰＡＦの引数に含まれる暗号プリミティブ（ＰＡＯ）
・ＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯのいずれでもない暗号プリミティブ（ＰＮＡ）
【００３４】
これらの役割に対して使用されるフレームワークは、ｇ（ｆ（Ａ，Ｂ），Ｃ）である。ここで、関数ｆとｇは、上述の役割（ＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯ、ＰＮＡ）のいずれかを表し、引数ＡとＢとＣは、暗号プリミティブの関数値またはデータ値を表す。なお、検証に無関係の引数（Ａ、ＢまたはＣ）は無視することとする。
【００３５】
このフレームワークにおいて、関数ｆとｇの組合せは、ｇがＰＮＡであり、かつｆがＰＡＧ、ＰＫＧ、ＰＡＦのいずれかであるか、または、ｇがＰＡＧ、ＰＫＧ、ＰＡＦのいずれかであり、かつｆがＰＡＯであるか、のどちらかである。なお、ｇがＰＮＡであるとは、関数ｇおよび引数Ｃが存在しないことと同義である。すなわち、フレームワークは、ｆ（Ａ，Ｂ）であってもよい。
【００３６】
図１は、本実施形態に係る各攻撃に関係するデータと、フレームワーク内の関数の組合せと、を示した図である。
例えば、ＭＣ−ＳＩＡの場合には、全フローを対象とし、フレームワークの関数ｇとｆはＰＮＡとＰＡＧ、またはＰＡＧとＰＡＯの組合せである。また、ｓｅｍａｎｔｉｃ  ｓｅｃｕｒｉｔｙ（ＳＳ）の安全性の場合には、フレームワークの関数ｇとｆはＰＮＡとＰＫＧ、またはＰＫＧとＰＡＯの組合せである。なお、本実施形態に係る各攻撃に関係するデータとして、ＳＳ−ＫＫＳでは他のセッション鍵も対象とし、ＳＳ−ＷＦＳでは長期鍵も対象とする。また、ＲＯＤＡの場合には、フレームワークの関数ｇとｆはＰＮＡとＰＡＦ、またはＰＡＦとＰＡＯの組合せである。
【００３７】
ここで、フレームワークの引数Ａ、ＢまたはＣとなる暗号プリミティブの関数値またはデータ値に設定される要素、すなわち種類と状態は以下の通りである。なお、括弧内は種類または状態を示す略記号である。
［データ値の種類］
・一般データ（ＧＤ）
・ＩＤデータ（ＩＤ）
・テンポラリデータ（ＴＤ）
・長期鍵（ＬＬＫ）
・パスワード（ＰＷ）
［関数値の種類］
・固定値（ＦＶ）
・テンポラリ値（ＴＶ）
［データ値または関数値の状態］
・公開状態（ＰＳ）
・秘密状態（ＳＳ）
【００３８】
＜検証項目＞
次に、認証または鍵交換のプロトコルの安全性に対する検証項目について説明する。本実施形態では、２パーティ（２ユーザ間、サーバおよびクライアント間等）での認証または鍵交換のプロトコルを対象とし、以下の３点を前提とする。
【００３９】
・認証または鍵交換のプロトコルにおいて、秘密鍵やパスワード等の長期鍵を使用している場合、共有すべきパーティは予め同じ長期鍵を何らかの安全な手順で共有しておくこととし、その手順に脆弱性はないとする。
・認証または鍵交換のプロトコルにおいて、公開鍵を使用している場合、各パーティは認証局等の第三者機関との間で公開鍵証明書の正当性を確認することができることとし、その手順に脆弱性はないとする。
・暗号プリミティブは危殆化していないとする。なお、認証または鍵交換のプロトコルにおいて、危殆化した暗号プリミティブが使用されている場合、検証装置１はこのプロトコルを安全でないと判定する。
【００４０】
図２〜図７の表において、認証または鍵交換のプロトコルの安全性を、レベルすなわち安全性の種類に応じて検証する検証項目を示す。
【００４１】
なお、表の枠内に複数の記号が表記されている場合は、これらのいずれか１つであってよいことを示している。また、図中の「−−−」は、検証に関係する関数または引数が存在しないことを示している。また、引数ＡおよびＢは入れ替わっていてもよい。
【００４２】
ＭＣ−ＳＩＡの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図２に示す組合せのいずれかと一致することである。
【００４３】
ＳＳ−ＳＰＡの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図３または図４に示す組合せのいずれかと一致することである。
【００４４】
ＳＳ−ＳＡＡの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図３または図５に示す組合せのいずれかと一致することである。
【００４５】
ＳＳ−ＫＫＳの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図３に示す組合せのいずれかと一致することである。
【００４６】
ＳＳ−ＷＦＳの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図６に示す組合せのいずれかと一致することである。
【００４７】
ＲＯＤＡの検証項目は、上述のフレームワークにおける関数ｆおよびｇ、ならびに引数Ａ、ＢおよびＣの組合せが、図７に示す組合せのいずれかと一致することである。
【００４８】
なお、図７の中で、「ＦＶ  ｗｉｔｈ  ＬＬＫ−ＳＳ」と表記された箇所は、ＬＬＫ−ＳＳを引数に含むＦＶ、つまり秘密状態の長期鍵を引数に含む暗号プリミティブの固定値を意味している。また、「Ｅｘｃｅｐｔ  ｆｏｒ  ＰＷ−ＰＳ  ＰＷ−ＳＳ」と表記された箇所は、ＰＷ−ＰＳとＰＷ−ＳＳ、つまり公開状態または秘密状態のパスワードを含んではいけないことを意味している。
【００４９】
＜検証装置の構成＞
図８は、本実施形態に係る認証または鍵交換のプロトコルの安全性を検証する検証装置１の構成を示す図である。
検証装置１は、制御部１０と、記憶部２０と、入力部３０と、表示部４０と、を備える。
【００５０】
制御部１０は、検証装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、上述のハードウェアと協働し、本発明に係る各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってよい。
【００５１】
記憶部２０は、ハードウェア群を検証装置１として機能させるための各種プログラムや、本発明の機能を制御部１０に実行させるプログラム、データベース等を記憶する。具体的には、記憶部２０は、上述の暗号プリミティブの種類および役割、ならびに暗号プリミティブの関数値またはデータ値の種類と状態、さらには、上述の各安全性とその検証項目とを記憶している。なお、記憶部２０は、ハードディスク、光ディスクドライブ、あるいは半導体メモリ等、様々な記憶装置のいずれかにより構成されてよい。
【００５２】
入力部３０は、検証装置１に対するユーザ（検証装置１の管理者）からの指示入力を受け付けるインタフェース装置である。入力部３０は、例えばキーボードやマウス等により構成される。
【００５３】
表示部４０は、ユーザ（検証装置１の管理者）にデータの入力を受け付ける画面を表示したり、検証装置１による処理結果の画面を表示したりするものである。表示部４０は、ブラウン管表示装置（ＣＲＴ）、液晶表示装置（ＬＣＤ）等のディスプレイ装置であってよい。
【００５４】
なお、本発明でいうコンピュータとは、制御装置や記憶装置等を備えた情報処理装置である。検証装置１は、制御部１０や記憶部２０等を備えた情報処理装置であり、この情報処理装置は、本発明のコンピュータの概念に含まれる。
【００５５】
また、制御部１０は、プロトコル受付部１０１と、暗号プリミティブおよびデータ列挙部１０２と、種類設定部１０３と、役割設定部１０４と、要素設定部１０５と、安全性選択部１０６と、検証項目判定部１０７と、安全性判定部１０８と、を備える。
【００５６】
プロトコル受付部１０１は、入力部３０からの指示入力に基づいて、安全性の検証対象である認証または鍵交換のプロトコルの仕様データの入力を受け付ける。
【００５７】
暗号プリミティブおよびデータ列挙部１０２は、プロトコル受付部１０１により受け付けたプロトコルの仕様データから、このプロトコルにおいて使用されている暗号プリミティブとデータを全て列挙する。
【００５８】
種類設定部１０３は、暗号プリミティブおよびデータ列挙部１０２により列挙された暗号プリミティブの目的としての種類を、上述のＳＫＥ、ＥＰＷ、ＰＫＥ、ＤＨ、ＳＩＧ、ＨＦ、ＭＡＣの中から選択して設定する。
【００５９】
役割設定部１０４は、種類設定部１０３により種類が選択された暗号プリミティブの役割を、上述のＰＡＧ、ＰＫＧ、ＰＡＦ、ＰＡＯ、ＰＮＡの中から選択して設定する。
【００６０】
要素設定部１０５は、暗号プリミティブおよびデータ列挙部１０２により列挙された暗号プリミティブとデータの値について、プロトコルの仕様に従い、種類を上述のＧＤ、ＩＤ、ＴＤ、ＬＬＫ、ＰＷ、ＦＶ、ＴＶの中から選択し、また状態を上述のＰＳ、ＳＳの中から選択して設定する。
【００６１】
ここで、これら暗号プリミティブの関数値およびデータ値の種類と状態とは、プロトコルのフローの順に設定される。なお、状態はセッション中での以前のフローに応じて更新されていく。また、公開状態（ＰＳ）と秘密状態（ＳＳ）では、公開状態（ＰＳ）が優先されることとする。
【００６２】
安全性選択部１０６は、プロトコル受付部１０１により受け付けた検証対象のプロトコルに対して要求されている安全性を選択する。具体的には、入力部３０を介して、上述の（ａ）ＭＣ−ＳＩＡ、（ｂ）ＳＳ−ＳＰＡ、（ｃ）ＳＳ−ＳＡＡ、（ｄ）ＳＳ−ＫＫＳ、（ｅ）ＳＳ−ＷＦＳ、（ｆ）ＲＯＤＡの中から選択入力を受け付ける。なお、選択される安全性は複数であってよく、プロトコルを運用する上で必要とされる最低限の安全性が選択されることが好ましい。
【００６３】
検証項目判定部１０７は、種類設定部１０３、役割設定部１０４および要素設定部１０５により設定された情報を用いて、安全性選択部１０６により選択された各安全性に対する上述の検証項目を記憶部２０から読み出し検証する。
【００６４】
また、検証項目判定部１０７は、プロトコルにおいて要求されているセキュリティパラメータ（例えば、鍵のサイズ等）を設定する。対応する暗号プリミティブの関数値やデータ値のサイズが設定されたセキュリティパラメータを満足しているか否かを確認し、満足していないサイズが１つでもある場合、安全性判定部１０８によりプロトコルは安全ではないと判定される。
【００６５】
安全性判定部１０８は、安全性選択部１０６により選択された全ての安全性に関して、検証項目判定部１０７により検証項目を満足していると判定された場合に、プロトコルが安全であると判定する。一方、安全性判定部１０８は、検証項目を満足していない安全性が１つでもある場合には、プロトコルは安全ではないと判定する。
【００６６】
＜処理フロー＞
図９は、本実施形態に係る検証装置１の制御部１０にて実行される検証方法の流れを示すフローチャートである。
【００６７】
ステップＳ１では、制御部１０は、受け付けた認証または鍵交換のプロトコルにおいて使用されている暗号プリミティブとデータを全て列挙する。
【００６８】
ステップＳ２（種類設定ステップ）では、制御部１０は、ステップＳ１で列挙された暗号プリミティブの目的としての種類を、記憶部２０に記憶されている情報と比較することにより判断して設定する。
【００６９】
ステップＳ３（役割設定ステップ）では、制御部１０は、ステップＳ２で種類が設定された暗号プリミティブの役割を、記憶部２０に記憶されている情報と比較することにより判断して設定する。
【００７０】
ステップＳ４（要素設定ステップ）では、制御部１０は、ステップＳ１で列挙された暗号プリミティブとデータの値について、プロトコルの仕様に従い、記憶部２０に記憶されている情報と比較することにより種類と状態とを判断して設定する。
【００７１】
ステップＳ５（安全性選択ステップ）では、制御部１０は、受け付けた認証または鍵交換のプロトコルに対して要求されている安全性を、記憶部２０に記憶されている所定の種類の中から選択する。
【００７２】
ステップＳ６（検証項目判定ステップ）では、制御部１０は、ステップＳ２、ステップＳ３およびステップＳ４で設定された各情報を用いて、ステップＳ５で選択された各安全性に対する検証項目を記憶部２０から読み出し検証する。そして、制御部１０は、ステップＳ５で選択された全ての安全性に関して検証項目を満足しているか否かを判定する。この判定がＹＥＳの場合はステップＳ７に移り、判定がＮＯの場合はステップＳ８に移る。
【００７３】
ステップＳ７（安全性判定ステップ）では、制御部１０は、検証対象である認証または鍵交換のプロトコルが要求されている安全性を全て満たしているため、このプロトコルは安全であると判定する。
【００７４】
ステップＳ８（安全性判定ステップ）では、制御部１０は、検証対象のプロトコルが要求されている安全性のいずれかを満たしていないため、このプロトコルは安全ではないと判定する。
【００７５】
なお、本処理は、ソフトウェアにより行うこともできる。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムがコンピュータにインストールされる。また、当該プログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。
【００７６】
以上のように、本実施形態によれば、認証または鍵交換のプロトコルについて、要求されている安全性を選択して、それぞれの安全性を検証することができる。すなわち、本実施形態によれば、認証または鍵交換のプロトコルを安全性のレベルに応じて検証することができる。
【００７７】
以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００７８】
１  検証装置
１０  制御部
２０  記憶部
３０  入力部
４０  表示部
１０１  プロトコル受付部
１０２  暗号プリミティブおよびデータ列挙部
１０３  種類設定部
１０４  役割設定部
１０５  要素設定部
１０６  安全性選択部
１０７  検証項目判定部
１０８  安全性判定部
【図１】
2011004176.tif 000003
【図２】
2011004176.tif 000004
【図３】
2011004176.tif 000005
【図４】
2011004176.tif 000006
【図５】
2011004176.tif 000007
【図６】
2011004176.tif 000008
【図７】
2011004176.tif 000009
【図８】
2011004176.tif 000010
【図９】
2011004176.tif 000011