(57)【要約】【課題】新たにシステムを構築する必要がなく、ユーザが旧機器のバックアップをとるとき、特別なツールを必要としないで機種変更を可能とする。【解決手段】登録時に、携帯端末はセンターからPassをもらう。そのとき、IMEI、ユーザの契約情報、それらから求まる値K、のうち2つ判れば算出できる鍵Keyを定め、センターにKを渡す。Keyは、暗号化及び復号に使用するキーである。前提は、（１）センターは、Kを知るが、個体識別情報およびユーザの契約情報を知らない（それらは外に出さない）、（２）Keyで暗号化された情報は外部にバックアップされている。機種変更時に、外部にバックアップされている情報を取得し、サービスシステム（認証成功したサービスシステム）経由でセンターからKを受けて、Kおよびユーザの契約情報でKeyを復元し、復元したKeyで情報を復号する。【選択図】図１
2019213117.tif 000002
【特許請求の範囲】
【請求項１】
下記のうちの少なくとも一部を含むシステム又は方法又はプログラム。
・登録時：携帯端末はセンターからPassをもらう。そのとき、IMEI、ユーザの契約情報、それらから求まる値K、のうち2つ判れば算出できる鍵Keyを定め、センターにKを渡す。Keyは、暗号化及び復号に使用するキーである。
・前提は、（１）センターは、Kを知るが、個体識別情報およびユーザの契約情報を知らない（それらは外に出さない）、（２）Keyで暗号化された情報は外部にバックアップされている。
・機種変更時：外部にバックアップされている情報を取得し、サービスシステム（認証成功したサービスシステム）経由でセンターからKを受けて、Kおよびユーザの契約情報でKeyを復元し、復元したKeyで情報を復号する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、機種変更等のためのデータ移行技術に関する。
【背景技術】
【０００２】
本出願人の先行技術文献として、例えば特許文献１が知られている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第６１９９５０６号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００４】
下記の記載（例えば用語）は、特許文献１の記載の少なくとも一部に基づく。例えば、「センター」は、特許文献１の「制御センタ」に対応してよい。「携帯機器」は、特許文献１の「ユーザ端末」に対応してよい。なお、携帯機器は、機器の一例であり、機器は、携帯機器以外の機器であってもよい。
【０００５】
本願発明者の提案する3者間認証において、ユーザは自身が所有する携帯機器(スマホ)を用いる。ユーザはセンターに対して、所有物及び記憶情報の2要素認証を行うが、具体的には、登録時に発行された証明書(Pass)を、それに割り当てられてID情報(aID)とともに、機器固有情報を鍵として暗号化保存する。正しい機器で復号すれば、正しく復号され、有効なPassをセンターに送ることができる。仮に、携帯機器内部の情報が漏洩し、その漏洩情報を用いて、別の機器で操作すると、異なる機器固有情報を鍵として復号しようとするため、正しいPassは得られない。
【０００６】
しかし、ユーザが携帯機器を紛失した場合も含めて、使用する携帯機器の機種変更を行う際、それまで使用していた機器(以下「旧機器」)に保存されていた暗号化データは、そのままでは正しく復号できないため、何らかの処置を施すことにより、新しく使用することになる機器(以下「新機器」)でも正しく復号できるようにしなければならない。
【０００７】
旧機器(M)に暗号化保存されていたデータ EM(Data) を、一旦、ユーザの契約情報等、機器ではなくその使用者に依存する情報を鍵として暗号化しなおし（すなわち、x=EM(Data)とするとき、α=EU(DM(x)) = EU(Data) を計算し、αを保管システムに預ける。このαに対して、Hash(U)などのタグをつけて、それをキーとして探索する）、その情報を保管システムに預けるという方法を提案している。しかし、この方法の場合、保管システムという信頼できるシステムを新たに構築する必要があり、また、タグが秘密情報とは限らないため、第三者のなりすましによる不正引き出しが起こりうる。
【０００８】
そこで、新たにシステムを構築する必要がなく、ユーザが旧機器のバックアップをとるとき、特別なツールを必要としない方法を提案する。ただし、旧機器に保存されている暗号化データの復号のために、センターおよびサービスシステムの協力が必要となり、ユーザとサービスシステム(つまり、センターを含まない2者)間で実行できる、然るべき認証手段を必要とする。
【課題を解決するための手段】
【０００９】
一例として、下記。
・機種変更が容易となる。具体的には、例えば、「個体識別情報を用いて暗号化された情報を格納している携帯機器（スマートフォン等）の機種変更を容易化する技術」とする。
・登録時：携帯端末はセンターからPassをもらう。そのとき、IMEI、ユーザの契約情報、それらから求まる値K、のうち2つ判れば算出できる鍵Keyを定め、センターにKを渡す。Keyは、暗号化及び復号に使用するキーである。
・前提は、（１）センターは、Kを知るが、個体識別情報およびユーザの契約情報を知らない（それらは外に出さない）、（２）Keyで暗号化された情報は外部にバックアップされている。
・機種変更時：外部にバックアップされている情報を取得し、サービスシステム（認証成功したサービスシステム）経由でセンターからKを受けて、Kおよびユーザの契約情報でKeyを復元し、復元したKeyで情報を復号する。
【発明の効果】
【００１０】
機器内の情報を個体識別情報で暗号化して格納する機器の機種変更は、独自仕様（ユーザ固有情報（電話番号、契約番号、pw））の保管システムが必要であるが、本発明によれば、一般の保管システムでも良い。なお、pwは記憶情報であるが電話番号でも良い。
【図面の簡単な説明】
【００１１】
【図１】( PI, PC )のみで鍵を定める場合の図。
【図２】( PI, PC, PP )で鍵を定める場合の図。
【図３】( PI, PC, PP, PD )で鍵を定める場合の図。
【発明を実施するための形態】
【００１２】
＜基本の一例＞
【００１３】
ユーザ所有の携帯機器には、IMEI(I)、電話番号やある種のIDなどの契約情報(C)が割り当てられている。xI および xC を任意に定める。(乱数でもシステムワイドな定数でもよいし、ある特定のアルゴリズムに従って I や C から算出してもよい。ただし、xC≠xI とする。) また、実際の計算においては、十分大きな素数 p を予めシステムワイドに定めておき、演算は全て GF(p) 上で行うなどの方法が考えられる。
【００１４】
携帯機器は I および C の両方を知っているので、図1のように、2点 PI:( xI、 I )、PC:( xC、 C ) を通る一意的な直線 L1 を求めることができる。さらに、PI および PC とも異なる、L1 上の点 PK:( xK、 K ) を選び、PKの情報をセンターに送る。また、Ｌ1の y軸切片( L1上で (0、 Key) の形となる点) を鍵として、Passなどの情報を暗号化する。
【００１５】
通常の利用においては、携帯機器は、I および C から Key を求め、Pass を含む暗号化情報を復号する。
【００１６】
旧機器から機種変更する場合、I は変更されるが、一般的に C は不変である。そこで、サービスシステムに対して適切な認証を経た後、PK の情報をリクエストする。サービスシステムは、当該ユーザのmIDをキーとしてPKを得て、それをユーザに安全な方法で渡す。
【００１７】
ユーザは新機器およびサービスシステムから受け取った PK を用いて、以下のように、暗号化されたPass等の情報からPassを復元する。まず、新機器には旧機器と同一の契約情報(C)が登録されているので、新機器で PC および PK の両方を通る直線を求める。これは、前述の L1 そのものとなる。したがって、これにより Key を求めることができる。
【００１８】
この時点で、新機器には PC、 PK の他、PI’の情報が集まっている。ここで、PI’は新機器のIMEIに対応する点 ( xI’、 I’ )である。PC、 PI’ を通る直線 L1’ を求め、L1’上の第3の点 PK’:( xK’、 K’ ) を選び、PK’ をセンターに送る。L1’の y軸切片 ( 0、 Key’ ) を新たな鍵として、Pass等の情報を暗号化保存する。
【００１９】
＜Keyのランダム化、および、安全性の強化＞
【００２０】
IMEIと契約情報の2種類の情報のみで鍵を決定する場合、その鍵は所有物のみで計算可能であり、かつ決定的となる。つまり、一旦 I と C を知られたとすると、鍵は容易に計算できる。そこで、鍵を決定する際、I と C だけでなく、ユーザ独自のパスワード( PP:( xP、 P ) )や、ダミー( PD:( xD、 D ) )を使うことが考えられる。
【００２１】
例えば、( PI、 PC、 PP )で鍵を決定する場合、図2のように、この3点を通る(GF(p)上の)放物線 L2 が一意的に決まるが、この L2 は、I と C が同一であっても、ユーザが定めるP によって変わる。L2上に第4の点 PK を選び、これをセンターに送る。機種変更の場合は PC、 PP、 PK により、L2 および鍵 Key を求める。以上は、ユーザの所有物および記憶情報による計算となる。
【００２２】
別の例として、( PI、 PC、 PD ) で鍵を決定する場合、放物線 L2 を求めた後、D および K をセンターに送る。機種変更の際、ユーザは D およびK をサービスシステムから受け取り、L2および鍵を算出し、Pass等の情報を得る。(PD、 PK) のみでは、放物線は一意的に定まらないので、センターやサービスシステムに対して鍵の情報が漏れることはない。(つまり、H(Key|DK) = H(Key) となる。)
【００２３】
さらに、図3のように、4点 ( PI、 PC、 PP、 PD ) により3次曲線 L3を定めて、鍵 Key を算出することも可能である。この場合も、これまでの場合と同様、L3上の第5の点 PK を選び、D および K をセンターに送る。
【００２４】
＜秘密分散法について＞
【００２５】
ここでは、鍵を復元する方法を説明するために、Shamirによる (t、n)-閾値法を用いている。図1の場合は (2、3)-閾値法であり、図3の場合は (4、5)-閾値法になっている。しかし、実際の構築に当たっては、これに限るものではなく、一般的な秘密分散法を用いることが可能である。その際の要件は以下の通りである。
（１）通常はユーザの携帯機器で機器固有情報を用いた場合のみKeyを復元可能であること。
（２）異なる携帯機器で操作した場合は、正しい機器を用いて生成しセンターに預けた情報を用いた場合のみ、Keyが復元可能であること。
【００２６】
＜変形例１＞
【００２７】
Key がランダム化された状態で定められた場合、Pass を復元する度、または、一定の回数、一定の条件の下で、Key を作り直し，PKを更新することも考えられる。
【００２８】
＜変形例２＞
【００２９】
上記内容は、ユーザが機種変更する際、センターに保管してあるK(やD)をサービスシステム経由で受け取り、正しいKeyを復元し、そのKeyを鍵として、暗号化されたPassなどの情報を復号するものである。
【００３０】
ここで、以下の記述を簡略化するため、前述の＜基本の一例＞と同様、パスワードやダミーを使わず、IおよびCによりKeyを確定させるものとし、さらに，上記「Passなどの情報」をαとする。
【００３１】
前述の＜基本の一例＞において、携帯機器はIとCから定まるKeyを鍵としてαを暗号化し、その結果Aを機器内に保存するが、機種変更をするとCは不変であるものの、Iは変化するため、同一のKeyは算出されず、したがって、Aをバックアップしてあったとしても、正しいαは得られない。そのため、秘密分散の手法を用い、(I, C, K) のうち2つ判れば正しいKeyが得られるようにし、Kはセンターに預け、機種変更時はサービスシステム経由でKを受け取り、CとKでKeyを導出するようにした。
【００３２】
ここで、Kをセンターに預けず、αはKeyで暗号化し(その結果をAとする)、Kはそのまま(または、Cなど、機器に依存せず、ユーザにのみ依存するパラメータで暗号化した状態で)携帯機器内に保存する。すなわち、機器には B=(A, K) を保存する。Bをバックアップすることにより、ユーザは機種変更したとき、B=(A, K) から判る K、および、不変である契約者情報 C から、Keyを復元でき、すなわち，Aからαを得ることができる。
【００３３】
たとえBが漏洩したとしても、他者はKのみ(すなわち、(I,C,K)のうち1つ)しか得られず、Keyを復元できず、つまり、Aからαを求めることができない。ただし、IやCが知られた場合はその限りではない。
【００３４】
以上、実施形態及び変形例を説明したが、これらは本発明の説明のための例示であって、本発明の範囲をこれらの実施形態及び変形例にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実行することが可能である。例えば、個体識別情報で暗号化されたデータを格納している機器内の当該データを別の機器に移行するシステム全般に本発明は適用されてよい。また、例えば、Passが、ユーザの生体情報テンプレートに付随したパラメータを含んでもよい。
【符号の説明】
【００３５】
１００Ａ、１００Ｂ、１００Ｃ：鍵復元の概念
【図１】
2019213117.tif 000003
【図２】
2019213117.tif 000004
【図３】
2019213117.tif 000005