(57)【要約】  開始側ノードと受信側ノードとの間に非対称鍵システムを用いた安全な通信チャンネルをセットアップする方法は、受信側ノードが第三者機関と通信する必要性を取り除き、これにより、信号方式に係る処理を削減させる。
2007533278.tif 000002
【特許請求の範囲】
【請求項１】
非対称鍵システムを用いて通信ネットワークにおける２つのノード間に通信チャンネルを確立する方法において、各ノードは、そのノードからの通信を認証するために使用される固有の証明書を有し、上記証明書は、信頼された第三者機関（Ｔ）に登録され、上記方法において、
開始側ノード（Ａ）は、受信側ノード（Ｂ）との通信要求を上記信頼された第三者機関（Ｔ）へ送り、Ｔは、Ａの証明書を含みかつＡからＢに転送するためのメッセージによってＡに返信し、上記Ａの証明書は、上記Ａの証明書を含むメッセージの部分をＢのみが復号化できるように暗号化されていることを特徴とする方法。
【請求項２】
Ｔからの応答メッセージはＢの証明書を含み、上記Ｂの証明書は、Ｂが上記Ａの証明書を復号化した後にＡのみが上記Ｂの証明書を含むメッセージの部分を復号化できるように暗号化されている請求項１記載の方法。
【請求項３】
Ｂはその暗号化された証明書をＡへ返信し、Ａは次に上記Ｂの証明書を復号化する請求項２記載の方法。
【請求項４】
各証明書は、それがＴから発信された証明書として識別可能であるように暗号化される請求項１、２又は３記載の方法。
【請求項５】
Ｔからの応答は、通信セッションの継続時間にわたって使用されるセッション鍵（ＫＡＢ）を含む請求項１、２、３又は４記載の方法。
【請求項６】
上記セッション鍵は、Ｂによって復号化される前にＡによって復号化される請求項５記載の方法。
【請求項７】
上記セッション鍵はＡによって暗号化され、かつＡによってＢへ転送されるＴからのメッセージに包含される請求項６記載の方法。
【請求項８】
ノードＡは、Ｂからの応答を待機する前に、上記セッション鍵を用いてノードＢへのパケット送信を開始する請求項５、６又は７記載の方法。
【請求項９】
Ａによる上記Ｂの証明書の復号化に続いて、上記２つのノードは、セッション鍵を用いてメッセージを暗号化しまた復号化して、対称に通信する請求項５乃至８のうちのいずれか１つに記載の方法。
【請求項１０】
Ｔから返信されるメッセージは、Ａ及びＢ間で交換されるメッセージの復号化を可能にする別の情報を含む請求項１乃至９のうちのいずれか１つに記載の方法。
【請求項１１】
上記別の情報は、Ａに関連付けられた公開鍵を含む請求項１０記載の方法。
【請求項１２】
上記別の情報は、Ａによって復号化された後に再度暗号化され、Ｂによって復号化される請求項１０又は１１記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全な（セキュリティが保護たれた、又は機密保護された）通信のためにすべてのパラメータの取得及び交換をただ１つのノードが担当する無線アクセスネットワーク内の安全な通信チャンネルを介して、互いに通信する複数の移動体無線端末に関する。
【背景技術】
【０００２】
現在、移動体無線端末間の安全な通信は、ＩＰｓｅｃプロトコルに従って管理されている。このプロトコルでは、２つの端末が、認証及び／又は暗号化を目的として秘密データ（鍵）を共有する。ＩＰｓｅｃプロトコルに関する詳細は、非特許文献１乃至３に記載されている。簡単に言えば、ＩＰｓｅｃは、ＩＰデータグラムを保護する方法である。この保護は、データ発信元認証、コネクションレス型データ完全性認証、及びデータコンテンツ機密保護という形式をとる。ＩＰｓｅｃは、カプセル化セキュリティペイロード（Encapsulated Security Payload：ＥＳＰ）又は認証ヘッダ（Authentication Header：ＡＨ）等のプロトコルを利用する。ＡＨは、受信されるパケットのデータ発信元の証明書、データ完全性、及びリプレイ防止保護を提供する。ＥＳＰは、オプションであるデータ機密保護に加えて、ＡＨが提供するものすべてを提供する。
【０００３】
ＩＰｓｅｃが提供するセキュリティサービスは、認証及び／又は機密保護を実行するために共有鍵を必要とする。これらのサービスにとって、鍵を手動で追加するメカニズムの実装は必須である。このことは、基本となるＩＰｓｅｃプロトコルの相互運用性を保証する。また、ＩＰｓｅｃピアを動的に認証し、セキュリティサービスのネゴシエーションを実行し、共有鍵を生成する標準的方法も定義されている。この鍵管理プロトコルは、インターネット鍵交換（Internet Key Exchange）、すなわちＩＫＥと呼ばれる。
【０００４】
ＩＰｓｅｃで使用される共有鍵は、機密性が必要とされる場合の対称暗号のため、又はデータ完全性のための何れか、もしくは双方のためのものである。ＩＰｓｅｃは高速でなければならず、既存の公開鍵技術はパケット毎に対して動作するには遅すぎる。現時点では、公開鍵技術は、鍵交換を行う間の最初の認証に限定されている。
【０００５】
現在広く使用されているＩＰパケットの安全を保証する方法では、２つのノード間の安全なチャンネルを確立するために、両者が所定の鍵交換プロトコルを利用しかつ暗号化アルゴリズムのタイプに合意することを必要とするものが多い。このことは、ＩＰｓｅｃプロトコルによって達成可能であり、ＩＰｓｅｃプロトコルは、例えばＩＫＥ又は公開鍵基盤（Public Key Infrastructure：ＰＫＩ）等の他のプロトコルを設定してもよい。
【０００６】
この時点で、対称鍵システムと非対称鍵システムとの相違を簡単に想起することは参考になる。２つのノードＡ及びＢ間の通信チャンネルについて考察する。対称システムでは、２つのノード間で交換される平文メッセージを暗号化し、暗号文メッセージを復号化するために、各ノードによって同じ鍵が使用される。言い替えれば、ＡによってＢへ送られるメッセージはＡにより鍵Ｋを用いて暗号化され、Ｂにより同じ鍵Ｋを用いて復号化される。非対称システムでは、互いに異なる相補的な鍵が使用される。従って、ＡによってＢへ送られるメッセージは、Ａにより鍵Ｋ１を用いて暗号化され、Ｂにより鍵Ｋ２を用いて復号化される。鍵Ｋ１及びＫ２は、数学的に関係づけられる。対称システムは、高速であるという優位点を有するが、ノードの追加可能性について、非対称システムほど柔軟ではない。
【０００７】
公開鍵基盤（ＰＫＩ）は、インターネット上の通信のセキュリティを保護するために開発されてきた。ＰＫＩは、セッション鍵と、ノード（当事者）が使用する公開鍵暗号システム内で使用される鍵を供給する／生成するための手段を提供する。これはまた、ノードが必要とするのであれば当該ノードの証明書も提供する。ＰＫＩに関する詳細事項は、非特許文献４に記載されている。
【０００８】
ＩＰｓｅｃにおいて使用されるＩＫＥ方法は、２つの当事者が互いに未知であるディフィー−ヘルマン・アルゴリズムに基づく。他の方法においては、ＰＫＩは、ネットワーク内の信頼された第三者機関（trusted third party）であり、２つの当事者は、この信頼された第三者機関に接続して、安全なチャンネルをセットアップするために必要なすべてのパラメータ及び情報を取得する。
【０００９】
ＰＫＩシステムでは、各通信ノードは２つの鍵、すなわち上記ノード自体のみが知っている秘密鍵と、上記ノードが知っていて、しかもＰＫＩからも利用可能な公開鍵とを有する。従って、あるノードは、当該ノードが通信しようとしているノードをまだ知らなければ、ＰＫＩからそのノードの公開鍵を取得することができる。ＰＫＩを使用すれば、ノードＡはその秘密鍵でメッセージを暗号化し、ノードＢはノードＡの公開鍵を用いてこれを復号化することができ、又は、ノードＡがノードＢの公開鍵でノードＢ向けのメッセージを暗号化し、ノードＢはこれをその秘密鍵で復号化することができる。
【００１０】
図１は、２つの当事者であるノードＡとノードＢの間に確立されている安全なチャンネルを示す。この場合、各ノードは第三者機関であるＰＫＩに接続しなければならない。このようなチャンネルをセットアップすることを希望する当事者、この場合ではノードＡは、ＰＫＩへ要求メッセージを送る；ｍｓｇ（１）。ＰＫＩは、セッション鍵と、暗号化アルゴリズムのタイプを含む追加の情報と、ノードＢの証明書とをノードＡへ送り返すことによって応答する；ｍｓｇ（２）。次に、ノードＡはノードＢへメッセージを送って、安全な通信チャンネルの確立を要求する；ｍｓｇ（３）。ノードＢは、このような要求を受信すると、ＰＫＩへメッセージを送ってノードＡの証明書を要求する；ｍｓｇ（４）。ＰＫＩは、ノードＡの証明書と、セッション鍵と、追加情報とをノードＢへ送り返すことによって応答する；ｍｓｇ（５）。ノードＢは、その証明書を用いてノードＡの要求（ｍｓｇ３）を検証し、セッション鍵を用いてノードＡと安全なチャンネルを共有する。最後に、ノードＢはノードＡへ確認応答を送り、安全な通信を開始するようにノードＡに通知して許可する；ｍｓｇ（６）。
【００１１】
図１では、以下の事項が想定されている。
【００１２】
・  ＰＫＩは、すべてのノードの公開鍵を有している。
・  ＰＫＩは、２つのノードに鍵（ＫＡＢ）を供給する。
・  ノードは、互いの公開鍵を知っていて、ＰＫＩの公開鍵を知っている。
・  両方のノードは、他方のノードを検証するために、及び／又は必要な全情報を取得するために、ＰＫＩへ接続する。
・  情報は、アルゴリズムのタイプなどを含む。
・  すべてのノード及びＰＫＩは、公開鍵システムを利用することができる。
【００１３】
従って、複数のノードとＰＫＩとの最初の通信では常に、暗号化及び署名のために、受信側の公開鍵と送信側の秘密鍵とがそれぞれ使用される。
【００１４】
【特許文献１】米国特許出願公開ＵＳ２００３／０１９６０８４号明細書。
【特許文献２】米国特許出願公開ＵＳ２００２／０１４７８２０Ａ１号明細書。
【非特許文献１】ＲＦＣ２４０１。
【非特許文献２】ＲＦＣ２４０２。
【非特許文献３】ＲＦＣ２４０６。
【非特許文献４】「インターネットＸ．５０９公開鍵基盤：ロードマップ（Internet X.509 Public Key Infrastructure: Roadmap）」（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ）。
【発明の開示】
【発明が解決しようとする課題】
【００１５】
ＰＫＩ方法を用いて２つのノード間の安全なチャンネルを確立するときには、６つのメッセージの交換を必要とすることが分る。ＩＫＥ方法が必要とする交換メッセージの数は、さらに増える。
【００１６】
さらなる問題点は、移動体端末から休止ノードへ向けられる通信に関連して存在する。休止ノードは、現時点ではネットワークへ接続されていない移動体端末であって、次にネットワークに接続するときに、安全な通信が当該端末により利用可能になる必要のあるような移動体端末である可能性がある。このことは、休止ノードがアクティブになると、当該休止ノードがＰＫＩへ接続して、暗号化されたメッセージを復号化するために必要な情報を取得する必要があることを意味する。
【００１７】
関連技術は特許文献１を含み、ここでは、漏洩の危険にさらすべきでない情報を無線装置上に格納することなく、安全なネットワークとの安全な通信に当該無線装置を参加させることに言及している。これによれば、無線装置が公開鍵基盤に参加することが可能になり、この場合、証明書のいかなる部分も、証明書に関するいかなる情報も、またいかなる秘密鍵データも、無線装置上に格納されることはない。
【００１８】
無線装置に関する機密情報はすべて、認証プロキシサーバ（Certificate Proxy Server：ＣＰＳ）を使用して保持される。いったんユーザが認証されると、その装置とＣＰＳとの間に安全なチャンネルが確立され、次いで、安全なリソースへアクセスするというユーザの要求はＣＰＳを介して処理され、ＣＰＳは、必要に応じて適切なユーザの証明書を当該ユーザに代わって提供する。
【００１９】
ドコモ・コミュニケーションズ・ラボラトリーズＵＳＡ（DoCoMo Communications Lab. USA）による特許文献２は、ＩＰｓｅｃプロトコルを利用することにより、安全でないネットワークにおいて２つの当事者間に安全なチャンネルをセットアップする方法を記載している。この場合において、ＩＰｓｅｃは、ケルベロス（Kerberos）プロトコルを利用して２つの当事者間の認証、鍵交換、及びセキュリティアソシエーションのネゴシエーションを行う。この方法は、２つの当事者が安全な通信のためのセッション鍵を共有することを可能にするために、ケルベロスプロトコルに基づいて最初のネゴシエーションを行う。受信側ノードが送信側ノードからパケットを受信した後にセキュリティアソシエーションの確立を開始するのを送信側ノードが待機するのではなく、送信側ノードから、セキュリティアソシエーションの確立を開始する。
【００２０】
ＩＰｓｅｃにおいてケルベロスを使用する利点は、２つの当事者間において安全なチャンネルをより高速に確立できることにあるが、ケルベロスプロトコルは対称システムに基づいているので、システム全体の柔軟性が失われるという犠牲を伴う。さらに、ケルベロスに基づくＩＰｓｅｃのセキュリティは、ログオン攻撃に対して脆弱である。
【課題を解決するための手段】
【００２１】
本発明は、ＩＫＥに基づくＩＰｓｅｃよりも少数の信号方式メッセージを用いて、２つの当事者間に安全な通信チャンネルを確立することを可能にする。また、本発明は、安全な通信チャンネルをセットアップするために必要なすべてのセキュリティパラメータのネゴシエーションをただ１つのノード（当事者）が担当することを可能にし、よって休止ノードは、当該休止ノードがアクティブになったとき、格納された／受信されたメッセージを復号化するためにどの当事者へ接続することも必要としない。さらに、本発明は、信頼された第三者機関（ＰＫＩ）によってより強い鍵を生成することができるので、限定された処理パワーを有する移動体機器が、必要なときに高レベルのセキュリティの恩恵を受けることを可能にする。
【００２２】
本発明は、非対称鍵システムを用いて通信ネットワークにおける２つのノード間に通信チャンネルを確立する方法を提供し、各ノードは、そのノードからの通信を認証するために使用される固有の証明書を有し、上記証明書は、信頼された第三者機関（Ｔ）に登録され、本方法において、
開始側ノード（Ａ）は、受信側ノード（Ｂ）との通信要求を上記信頼された第三者機関（Ｔ）へ送り、Ｔは、Ａの証明書を含みかつＡからＢに転送するためのメッセージによってＡに返信し、上記Ａの証明書は、上記Ａの証明書を含むメッセージの部分をＢのみが復号化できるように暗号化されていることを特徴とする。
【００２３】
これまでの説明から、本方法は受信側ノードが信頼された第三者機関から直接にＡの証明書を取得する必要性を取り除き、よって必要な信号の数が削減されるということが理解されるであろう。Ａを介してＴにより送られたＡの証明書を復号化すれば、Ｂは、Ａにより送られる後続のメッセージであって、Ａがその証明書を添付しているメッセージを認証することができる。
【００２４】
Ｔからの応答は、一般にセッション鍵を含み、これは、Ｂへ転送される前にＡによって復号化される。この時点で、Ａは、Ｂの応答を待つことなくＢへのパケット送信を開始することができる。このことは、Ｂが休止状態にあるときに特に有益である。
【００２５】
双方向の安全な通信を完成させるためには、Ｔからの応答はＢの証明書を含み、このＢの証明書は、ＢがＡの証明書を復号化した後にＡのみが復号化する（開く）ことができるように暗号化されている。次いでＢは、Ａの証明書を抽出して、メッセージのこの部分をＡへ返信する。
【００２６】
本発明の他の好適な特徴は、添付の従属請求項から明らかとなるであろう。
【発明を実施するための最良の形態】
【００２７】
次に、添付の図面を参照して、本発明の一例を説明する。図面を通じて、同様の参照番号は同様の部分を示す。
【００２８】
図２は、本発明による安全なチャンネルの確立を示し、開始側ノードであるノードＡは、ノードＢとの通信要求メッセージをＰＫＩへ送る；ｍｓｇ（１）。ＰＫＩからの返信メッセージは、セッション鍵と、暗号化アルゴリズムを含む情報と、ノードＡ及びＢの証明書とを含む；ｍｓｇ（２）。指摘すべきこととして、これらの２つの証明書は暗号化により合成されたものであるが、このことは、これらの２つの証明書を最初に受信するのはノードＡであっても、Ａの証明書を抽出するためにこれらを最初に復号化できるのはノードＢであることを意味する。ノードＡは、ＰＫＩから応答メッセージを受信すると、まず、セッション鍵ＫＡＢと、安全なデータ通信に必要な他の任意の情報とを抽出して格納する。次に、ノードＡは、共有鍵、情報及び証明書を転送するが、これらすべては、ノードＢの公開鍵及びノードＡの秘密鍵をそれぞれ用いて暗号化されかつ署名されている。ノードＢは、暗号化されたメッセージを受信すると、まず共有されるセッション鍵ＫＡＢと暗号化アルゴリズムのタイプとを抽出する。次に、ノードＡの証明書を抽出し、その固有の秘密鍵及びＰＫＩの公開鍵をそれぞれ用いてこれを検証する。安全な通信のための全情報を有するノードＢは、それ自体の証明書をノードＡへ送る。この証明書は、ノードＡの公開鍵及びノードＢの秘密鍵によって暗号化されかつ署名される。ノードＡによりノードＢへ送られたノードＢの証明書を、ノードＢは復号化することができないという点は留意されるべきである。ノードＢはそれを当該ノードＢの認証性の証明として使用し、ノードＡに対して当該ノードＢ自体を証明する。最後に、ノードＡは、ノードＢの公開鍵、ノードＡの秘密鍵及びＰＫＩの公開鍵を用いてノードＢのメッセージを復号化することにより、ノードＢの認証性及び証明書を受け入れる。このように、メッセージは、それがノードＢの公開鍵を用いて復号化されるので、ノードＢによって送られていなければならない。メッセージの復号化は、ノードＡの秘密鍵が必要とされるので、ノードＡのみが実行できる。証明書は、ＰＫＩの公開鍵を用いて復号化されるので、ＰＫＩによって発行されていなければならない。
【００２９】
図２のプロセスは、以下の想定に基づくものである。
【００３０】
・  ＰＫＩは、すべてのノードの公開鍵及び証明書を有している。
・  ＰＫＩは、２つのノードに鍵（ＫＡＢ）を供給する。
・  ノードは、互いの公開鍵を知っていて、ＰＫＩの公開鍵を知っている。
・  一方のノードのみがＰＫＩへ接続する。
・  情報は、アルゴリズムのタイプなどを含む。
・  すべてのノード及びＰＫＩは、公開鍵システムを利用することができる。
【００３１】
Ａ及びＢが以前に互いに通信したことがある場合には、各々が他方の公開鍵を知っていると想定することが妥当である。そうでない場合、ステップ３及び４において一方から他方へ送られる情報は、各々Ａ及びＢの公開鍵を包含することができる。
【００３２】
ＰＫＩを使用して２つのノード間に安全な通信チャンネルをセットアップするプロセスは、図３に示したタイミングを有する複数の別個のステップにおいて行われる。次に、その各ステップについて詳述する。図３におけるこれらのステップは、図２における各メッセージに対応している。図３の凡例は、下記の通りである。
【００３３】
・  ＰｕｂＡ：Ａの公開鍵
・  ＰｒｖＡ：Ａの秘密鍵
・  ＣｅｒｔＡ：Ａの証明書
・  Ｐｒｖｘ（．．．）：ｘの署名
・  Ｐｕｂｘ（．．．）：ｘの暗号化関数
【００３４】
ここで、ｘはＡ、Ｂ又はＴ（信頼された第三者機関のＰＫＩ）とすることができる。
【００３５】
下記の図において、公開鍵はすべての当事者に知られているので、認証は暗黙的に達成される点は留意されるべきである。
【００３６】
ステップ１−  最初に、ノードＡからＰＫＩへ、他のノード、すなわちノードＢとの安全な通信を求める要求メッセージが転送されている。
ステップ２−  ＰＫＩは、安全なチャンネルをセットアップするための情報を要求しているノードＡへ、セッション鍵と、暗号化アルゴリズムのタイプを含む情報と、Ａ及びＢノードの暗号化されかつ合成された証明書とを送る。
ステップ３−  ノードＡは、すべての情報と、Ａ及びＢノードの暗号化されかつ合成された証明書とをノードＢへ転送し、ノードＢは、メッセージのこの合成された部分を最初に復号化できるのはノードＢであるので、セッション鍵と暗号化アルゴリズムのタイプとを抽出してノードＡの証明書を検証する。
ステップ４−  署名されかつ暗号化されたノードＡの証明書メッセージ内において、ノードＢの確認応答メッセージ（返信）が供給される。ノードＢから送られるこの確認応答メッセージは、ノードＢの証明書を復号化できるノードはＡのみであるので、ノードＡによって検証される。
【００３７】
鍵の分配と、暗号化アルゴリズムのタイプと、証明書とに係る各ステップは、これで完了する。図４のフローチャートは、同じステップを示したものである。
【００３８】
本発明は、安全なチャンネルをセットアップする最初の合意を完了させるために使用されるメッセージの数を最小化する。ノードの検証は２つのノードの暗号化されかつ合成された証明書を用いて達成されるので、本発明は、一方のノードだけを使用して安全なリンクをセットアップしようとするものでもある。
【００３９】
所望されれば、例えばノードＢが休止ノードであるような状況下で、ノードＡはステップ３の後にノードＢへのパケット送信を始めることができる。ステップ４の後、ノードＡ及びＢはＫＡＢを用いて対称通信を始めることができ、よって、このことが可能にする増大した速度の恩恵を受ける。
【００４０】
上述の方法における暗号化の大部分はＰＫＩによって行われ、これにより、これらのノードに要求される労力が少なくなる点は留意されるべきである。一般に、ＰＫＩはより大きい処理パワーを有するので、このことは効果的である。
【００４１】
通信リンクは、上述のものにさらなる保護を追加することにより、さらに安全にされ得ることは理解されるであろう。
【図面の簡単な説明】
【００４２】
【図１】２つのノード間の安全な通信を示し、安全な通信チャンネルに必要なすべてのパラメータを取得するために両方のノードがＰＫＩに接続する場合を示す概略図である。
【図２】２つのノード間の安全な通信を示し、安全な通信チャンネルに必要なすべてのパラメータを取得するために一方のノードだけがＰＫＩに接続する場合を示す概略図である。
【図３】安全な通信リンクに必要とされるすべての要求パラメータを単一のノードＡが取得する場合の信号フロー図におけるステップ１乃至４を示す。
【図４】安全な通信リンクをセットアップするために用いられるノードとＰＫＩと受信ノードとの間のメッセージフローを示すフローチャートである。
【図１】
2007533278.tif 000003
【図２】
2007533278.tif 000004
【図３】
2007533278.tif 000005
【図４】
2007533278.tif 000006
【国際調査報告】
2007533278.tif 000007
2007533278.tif 000008
2007533278.tif 000009