(57)【要約】鍵(k)を使って暗号化された暗号化情報(E_k(EPC,PI))を格納するとともに前記暗号化情報(E_k(EPC,PI))と関連する前記鍵(k)を格納する少なくとも１つのメモリ(MEM1,MEM2)を具えるトランスポンダ(1)である。前記トランスポンダ(1)は、リーダ装置(2)の問合せに応答して、前記鍵(k)を前記暗号化情報(E_k(EPC,PI))より低速で送るように構成される。これは、前記鍵の送信を遅らせることによって、または、前記鍵が送信される応答速度を制限することによって行うのが好ましい。特に本発明はＲＦＩＤシステムに関する。
2008543211.tif 000002
【特許請求の範囲】
【請求項１】
鍵を使って暗号化された暗号化情報を格納するとともに前記暗号化情報と関連する前記鍵を格納する少なくとも１つのメモリを具えるトランスポンダであって、前記トランスポンダは、リーダ装置の問合せに応答して、前記鍵を前記暗号化情報より低速で送るように構成されていることを特徴とするトランスポンダ。
【請求項２】
前記鍵を時間遅延して送信手段へ送る動作する鍵遅延手段を具えることを特徴とする請求項１記載のトランスポンダ。
【請求項３】
前記鍵を送信手段へ送る応答速度を制限するよう動作する応答速度制限手段を具えることを特徴とする請求項１記載のトランスポンダ。
【請求項４】
前記暗号化情報を高速応答メモリに格納し、前記鍵を低速応答メモリに格納することを特徴とする請求項１記載のトランスポンダ。
【請求項５】
乱数を生成する乱数生成器と、ランダム暗号化された情報、好ましくは前記暗号化情報又は暗号化されてない情報と乱数とからセマンティックセキュア暗号化された情報、を計算する暗号化手段とを具えることを特徴とする請求項１記載のトランスポンダ。
【請求項６】
暗号化されてない情報をブロック可能なメモリ、オプションとしてブロック解除可能でもあるメモリに格納することを特徴とする請求項１記載のトランスポンダ。
【請求項７】
前記リーダ装置から受信されるメッセージを前記鍵と比較し、前記メッセージが前記鍵と一致する場合、前記暗号化情報を前記メモリから読み出すことを開始するように構成された比較手段を具えることを特徴とする請求項１記載のトランスポンダ。
【請求項８】
乱数を生成する乱数生成器と、前記乱数生成器により生成された乱数を含むチャレンジを生成し前記リーダ装置に送るチャレンジ生成手段と、前記リーダ装置から受信されるメッセージが前記チャレンジと一緒に先に送られた前記乱数と前記鍵とから導出されたものであるかを解析し、そうであれば、前記暗号化情報を前記メモリから読み出すことを開始するよう構成されたメッセージ解析手段とを具えることを特徴とする請求項１記載のトランスポンダ。
【請求項９】
トランスポンダに問合せを送って暗号化情報と該暗号化情報と関連する鍵とを要求するよう構成されたリーダ装置であって、前記リーダ装置は、前記鍵を使って前記暗号化情報を復号する復号化手段を具えることを特徴とするリーダ装置。
【請求項１０】
暗号化情報及び関連する鍵の対、または、暗号化情報及び関連する暗号化されてない情報の対が格納されたデータベースを具え、前記リーダ装置は、トランスポンダから暗号化情報を受信するとき、前記データベースから、前記関連する鍵を読み出し前記暗号化情報を復号する、または、関連する暗号化されてない情報を読み出すように構成されていることを特徴とする請求項９記載のリーダ装置。
【請求項１１】
トランスポンダまたは鍵データベースから先に受信された鍵から、または、トランスポンダから先に受信された鍵およびチャレンジから導出されるメッセージを生成するよう構成されたメッセージ生成器を具えることを特徴とする請求項９記載のリーダ装置。
【請求項１２】
請求項１−８のいずれかに記載のトランスポンダと、請求項９−１１のいずれかに記載のリーダ装置とを具えるシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、鍵を使って暗号化された暗号化情報を格納するとともに該暗号か情報と関連する会議を格納する少なくとも１つのメモリを具えるトランスポンダに関する。
【０００２】
本発明は更に前記トランスポンダに問合せを送るように構成されたリーダデバイスに関する。
【０００３】
本発明は最後に前記トランスポンダ及びリーダデバイスを具えるシステムに関する。
【背景技術】
【０００４】
今日では、個々の製品に、種々の機能を有するトランスポンダ又はトランスポンダチップがタグ付けされている。例えば、商店では、在庫、出荷及び配送処理を簡単にするためにこのようなトランスポンダがＩＤタグや値札として使用されているが、家庭ではこのようなトランスポンダは種々の製品又はそれらの特性を種々のデバイス（冷蔵庫、洗濯機）により識別するために使用されている。例えば、洗濯機は、利用者が衣料品を損傷するかもしれないプログラムで洗濯しようとする場合に利用者に警告することができる。
【０００５】
このようなトランスポンダの一例は所謂無線識別タグ（略してＲＦＩＤタグ）である。ここで使用するＲＦＩＤタグ及びトランスポンダはリーダ装置により非接触式に読み出すことができる情報を含むデータキャリアを具える。ＲＦＩＤタグで担持される情報は、電子製品コード（ＥＰＣ）のみならず、製品の種類、価額などの製品情報も含む。更に、ＲＦＩＤタグは洗濯温度、製品の使い方、有効期限、何のために製品を使用すべきか、などの利用者のための情報を含むこともできる。
【０００６】
ＲＦＩＤタグは折り曲げ可能な小さなタグである。これらは通常小さなＩＣとアンテナからなる。ＩＣの代表的な大きさは約１ｍｍ２であるが、アンテナはもっと大きくできる。ＲＦＩＤタグは一般に専用の電源（電池類）を持たないで、リーダデバイスにより発生される電磁界に応答する。ＲＦＩＤタグは、このような電磁界の範囲内にあるとき、この電磁界から電力を得て、メッセージを受け、応答することができる。しかし、本発明はパッシブトランスポンダに限定されず、アクティブトランスポンダにも関するものである。
【０００７】
ＲＦＩＤタグは極めて広く使用されている。例えば、動物識別タグ、ドアへのアクセスキー、空港での手荷物取扱い、サプライチェーンマネジメント、在庫管理などに使用されている。ＲＦＩＤタグは更に低周波数からマイクロ波帯までの種々の周波数レンジで動作し得る。
【０００８】
ＲＦＩＤタグは低電力デバイスであるが、それにもかかわらず益々高性能化している。これらのタグは計算を行うことができ、作業プロセッサを含むことができる。ＲＦＩＤタグは、電力があるときだけアクティブになるＮＶ−ＲＡＭ（非不揮発性ＲＡＭ）、一度だけ書き込みできその後は書き換えできないＲＯＭ、多数回書き込み消去できる消去可能なＲＯＭ（ＥＲＰＭ）のようないくつかのタイプのメモリを具えることができる。
【０００９】
製造業者(又は店主)にとっては単一のＲＦＩＤタグにできるだけ多くの機能を含めることが最も便利で費用効率が高いこと勿論である。しかし、ＲＦＩＤタグの使用は便利で実用的である反面、ＲＦＩＤタグを認可されていない第３者が読み出すことができる場合、これはプライバシーの侵害になる。例えば、エイズやインポテンスの治療薬、セックス用品のような「恥ずかしい」物品、高価な宝石やその他の（見せたくない）高価な物品（泥棒の標的にされる）に付けられたＲＦＩＤタグの検出は、このような情報が悪者の手に渡った場合、被害者にとって名誉が毀損され、危険でもある。
【００１０】
一般に、ＲＦＩＤタグはある種のメモリに格納された固定のメッセージを送出し、このメッセージの生成に何の計算時間も必要としない。固定のメッセージは平文字列及び／又は静的に暗号化された文字列を含むことができる。しかし、タグが正確に同じメッセージを常時送出する場合、このメッセージが暗号化されていようとなかろうと、リンカビリティ及びトラッキングと関連するセキュリティ問題が生じる。本明細書において、「リンカビリティ」は、トランスポンダが同じメッセージを常時を送信するとき、このトランスポンダ（及びこれが固定された製品）は特定の人に割り当てられている可能性があることを表すのに使用される語である。ＲＦＩＤタグが「このタグはアリスに所有されています」のような個人関連情報を直接送信しなくても、アタッカは、ひとたびこのメッセージをアリスに割り当てる（「リンクする」）ことができる場合を見出せば、常時同じメッセージを送信するこのＲＦＩＤタグはアリスのもと認識できる。リンカビリティは、ＲＦＩＤタグにより送信されるメッセージを、メッセージが読み出されるたびに再暗号化を実施しなければならないセマンティックセキュア暗号化することによって防止することができる。「トラッキング」は文字通りの意味(追跡)に使用される語であり、アリスがあるトランスポンダにリンクされ、このトランスポンダを辿ることによりアタッカはアリスを追跡することができる。トラッキングは、セマンティックセキュア暗号化が使用されるときも可能であり、しかもこれに使用する鍵がリークする。
【００１１】
ＲＦＩＤタグに固有のこれらのプライバシー問題を克服するために、いくつかのアプローチが考えられる。
【００１２】
ＲＦＩＤタグは、商店や倉庫内の在庫管理等の作業を終了したら、破壊するか、ディセーブルにするか、製品から除去する。この方法は、ＲＦＩＤタグが家庭内使用などの後の使用のために再使用不能になる欠点を有する。
【００１３】
ＲＦＩＤタグのメッセージ送信速度を、無認可のリーダがタグを途中で（通過時に）読み出すための十分な時間及び手段を得ることができなくなるような低速に設定する。この方法は、認可されたリーダはタグを高速に読み出すことができることを望むので、不所望である。
【００１４】
米国特許明細書２００４／０２２２８７８には、安価なＲＦＩＤタグに実装可能な複雑レベルを有する暗号化技術の使用が記載されている。1つ以上のトランスポンダと、デバイスと通信する少なくとも１つのリーダとを具えるＲＦＩＤシステムでは、複数の仮名（スードニム）がトランスポンダの所定の1つと関連する。トランスポンダは異なるリーダ問合せに応答してそれぞれ異なる仮名を送信し、認可された検証子が、送信された異なる仮名が同じトランスポンダと関連することを決定できる。追加のセキュリティのために、この特許明細書には、トランスポンダ内でハードウェアベースの応答遅延を実現することにより達成できる低速の問合せ応答をトランスポンダに課すことを提案している。別の例では、トランスポンダがリーダ問合せに送信仮名で応答できる最大速度を指定することを提案している。
【００１５】
しかし、既知のトランスポンダシステムは、提案の問合せ応答制限手段をトランスポンダに実装すると、トランスポンダからリーダへの仮名の送信は常に低減された応答速度で達成され、トランスポンダシステムの適用性が低速アプリケーションに制限される欠点をこうむる。既知のトランスポンダの他の欠点は、全ての仮名の把握に多大の管理が要求される点にある。
【発明の開示】
【発明が解決しようとする課題】
【００１６】
本発明の目的は、上述した欠点が解消された、第１段落に特定した種類のトランスポンダ、第２段落に特定された種類のリーダ装置及び第３段落に特定された種類のシステムを提供することにある。
【課題を解決するための手段】
【００１７】
上述の目的を達成するために、本発明のトランスポンダは以下に記載する特徴を有する。即ち、
鍵を使って暗号化された暗号化情報を格納するとともに前記暗号化情報と関連する前記鍵を格納する少なくとも１つのメモリを具えるトランスポンダであって、前記トランスポンダは、リーダ装置の問合せに応答して、前記鍵を前記暗号化情報より低速で送るように構成されている。
【００１８】
上述の目的を達成するために、本発明のリーダ装置は以下に記載する特徴を有する。即ち、
問合せをトランスポンダに送り、暗号化情報及び前記暗号化情報と関連する鍵を要求するように構成されたリーダ装置であって、前記リーダ装置は前記鍵を使って前記暗号化情報を復号化する復号化手段を具えている。
【００１９】
上述の目的を達成するために、最後に本発明のシステムは、上述した本発明の特徴を有する少なくとも１つのリーダ装置とトランスポンダを具える。
【００２０】
ここで使用する「リーダ装置」は、通常、トランスポンダからデータを読み出すために設けられるだけでなく、トランスポンダへデータを送信するためにも設けられる点に注意されたい。ＲＦＩＤシステムについて述べるとき、リーダ装置はしばしば簡単に「リーダ」という。
【００２１】
本発明の特徴は、鍵暗号化情報をトランスポンダからリーダ装置へ高速ルートを介して送信するとともに鍵暗号化情報を復号するのに必要な関連する鍵をトランスポンダからリーダ装置へ低速ルートを介して送信することによってトランスポンダ又はＲＦＩＤタグに固有のプライバシー問題を少なくとも相当軽減できる利点をもたらす。これらの手段はトランスポンダの傍を通る盗聴者が格納情報を読み出すのを首尾よく妨げるが、これらの手段はトランスポンダシステムの処理速度を著しく低減しないため、広範囲のトランスポンダアプリケーション又は特にＲＦＩＤアプリケーションに適用できる。高速モードで送信される鍵暗号化情報は、低速モードで送信される鍵より通常遥かに長い点に注意されたい。暗号化情報の送信と鍵の送信との応答時間の差は任意のアプリケーションに対して完全にカスタマイズできる。
【００２２】
本発明の好適実施例では、暗号化情報をフル処理速度で送信するが、鍵の送信応答速度はトランスポンダで実行される次の手段の一つ以上によって限定される。
【００２３】
(a)鍵を含むメモリと送信手段との間のルート内に遅延手段を挿入する。実際の遅延をトランスポンダ内で生起する方法は任意のアプリケーションに対してカスタマイズすることができる。一つの方法は、任意のメッセージがトランスポンダから送信される前に遅延を与えることがきるが（その後に暗号化情報をできるだけ高速に送信する）、遅延は情報の各ビット間のようにメッセージの部分間に与えることもできる。遅延は状況に応じて可変とすることができる。
【００２４】
(b) 鍵を含むメモリと送信手段との間のルート内に応答速度制限手段を挿入する。応答速度制限手段と鍵遅延手段とは、応答速度制限手段はメモリから送信手段へのデータ送信のビットレートを実際に絞るが、鍵遅延手段はメモリから読み出されるデータの送信開始を遅らせる又はデータ送信を中断するも、一般にデータはフルビット速度で通す点で相違する。
【００２５】
（c）暗号化情報を高速応答メモリに格納し、鍵を低速応答メモリに格納する。
【００２６】
鍵遅延手段及び応答時間制限手段は、タイマやカウンタなどのハードウェアで実現できるが、タイミングお手バースト命令ループを処理することによりソフトウェアで実現することもできる。一般に、遅延及び時間応答制限は計算時間の副作用として実現でき、この計算時間は所要の時間に調整可能である。
【００２７】
トランスポンダに、乱数を生成する乱数生成器と、ランダム暗号化情報、好ましくは暗号化された又は暗号化されてない情報と乱数とからセマンティックセキュアに暗号化された情報、を計算する暗号化手段とを設けると、リンカビリティ及びトラッキングを満足に防止することができる。ここで使用する「セマンティックセキュア暗号化」とは、実際に乱数成分を加える暗号化であり、鍵ｋを使うメッセージｍの暗号化ごとに乱数列ｒを生成し、実際の暗号化はｋ，ｒを使ってｍを暗号化する関数Ｆ、略してＦk,r(m)である。Ｅ_k(m)は一意に決定されないで、ランダム要因を含む。しかし、ｋを知っているとき（ｒは知らなくても）、それでもＥ_k(m)を復号することが可能である。セマンティックセキュア暗号化の極めて有益な例はElGamal暗号化である。これは公開鍵暗号化方式であり、選択された数ｇ、秘密鍵ｓ、公開鍵ｈ:= g XOR s（「XOR」は排他的論理和記号）、メッセージｍ及び乱数ｒは有限界内の数であり、暗号化はｍ→（ｇｒ，ｈｒｍ）である。ｓを知っていて、メッセージ（ａ，ｂ）を受信する場合、復号はｂをa XOR sで除算して計算される。メッセージｍが暗号化されるときはいつでも、ランダム変数ｒが異なる。秘密鍵ｓを知らなければ、ａ及びｂが両方ともランダムである場合、乱数ｒ及び（ａ，ｂ）に対するメッセージ（ｇｒ，ｈｒｍ）を区別することはできない。要するに、セマンティックセキュア暗号は異なる乱数を用いて再計算を行う必要があるので、暗号化値を送るときはいつでも計算時間を必要とする。
【００２８】
本発明のトランスポンダの他の実施例では、暗号化されてない情報をブロック可能なメモリに格納する。「ブロック可能なメモリ」とは、メモリ自体を破壊又はディセーブルにすること、或はメモリからのデータルートを遮断することを意味する。これらの特徴を実装すると、トランスポンダシステムは異なる動作モードで動作させることができる。例えば、安全な環境内で行われる配送管理や在庫管理は、暗号化されてない情報の問合せにより高速モードで実効できるとともに、販売又は出荷時に、暗号化されてない情報を含むトランスポンダのメモリをブロックして、将来使用のために暗号化情報のみを読み出し可能とすることができる。
【００２９】
暗号化されてない情報を含むブロック可能なメモリを有するトランスポンダを用いるこのトランスポンダシステムの別の実施例では、前記ブロックされたメモリを有するトランスポンダは、リーダ装置が、例えばトランスポンダからリーダ装置へ既に送信された正しい鍵を有するメッセージを送る場合にのみリーダ装置の問い合わせに応答する。しかし、本発明のこの実施例は、鍵が自由に盗聴され得るので、依然として盗聴者に対して脆弱である。この潜在的なセキュリティホールを克服するために、本発明の更に別の実施例では、チャレンジ−レスポンスプロトコルを使用する。トランスポンダは、乱数生成器とチャレンジ生成手段とを具え、乱数を含むチャレンジを生成しリーダ装置に送る。次にリーダ装置がチャレンジと鍵から導出したメッセージをトランスポンダに返送する。トランスポンダは、リーダ装置から受信したメッセージが先に送ったチャレンジ及び鍵に含まれる乱数から得られたものか解析するよう構成されたメッセージ解析手段を具え、そうであれば、メモリからの暗号化情報の読出しを開始する。
【００３０】
店における高い処理速度と高い安全性を与える本発明の他の実施例では、リーダ装置は、暗号化情報と関連する鍵との対、または、暗号化情報と関連する暗号化されてない情報との対が格納されたデータベースと協働する。リーダ装置は、トランスポンダから暗号化情報を受信するとき、データベースから、関連する鍵又は関連する暗号化されてない情報を読み出すように構成されている。関連する鍵を読み出すとき、この鍵を使って暗号化情報を復号できる。
【００３１】
本発明の上記の特徴及び他の特徴は以下に記載される模範的実施例の説明から明らかになる。
【発明を実施するための最良の形態】
【００３２】
図１は本発明のトランスポンダシステムの一実施例のブロック図を示す。本発明のシステムは、トランスポンダ１（図１には１つしか示してない）とリーダ装置２を具える。図１に示すトランスポンダ１とリーダ装置２はいくつかのオプション及び代替要素を含み、これらは単一のデバイスに組み込まれないが、より良い理解のために図では組み込まれている。
【００３３】
トランスポンダ１は、例えばＲＦＩＤタグとして構成することができ、鍵ｋを格納する第１のメモリMEM1と、鍵ｋを使って暗号化された暗号化情報E_k(EPC,PI)を格納する第２のメモリMEM2とを具える。両メモリMEM1，MEM2はＲＯＭとして構成できる。メモリMEM1，MEM2は一つの物理的ＲＯＭデバイスの異なる部分として構成することもできる。代案として、暗号化情報E_k(EPC,PI)は高速応答の第２メモリMEM2に格納し、鍵ｋを低速応答の第1メモリMEM1に格納することもできる。上述の情報は電子製品コードＥＰＣ、即ち各物体を一意に識別するコード又は番号と、その製品又はその特性を記述する追加の製品情報ＰＩとを含む。
【００３４】
本発明では、リーダ装置２の問合せに応答して、鍵ｋを暗号化情報E_k(EPC,PI)より低速でリーダ装置に送信することが必須である。これは、上述したように、鍵ｋと暗号化情報E_k(EPC,PI)を異なる応答速度を有する異なる種類のメモリに格納することによって達成できる。代案として、鍵遅延手段３及び／又は応答速度制限手段４をトランスポンダ１の第1メモリMEM1からトランシーバ５への第１のルートｔ１に投入して、第１のルートｔ１が低速応答ルートになるようにし、暗号化情報E_k(EPC,PI)は第２のルートｔ２を経て第２メモリMEM2からトランシーバ５へ直接通過するようにしてもよい。鍵遅延手段３及び／又は応答速度制限手段４はハードウェア実現でも、ソフトウェア実現でもよい。
【００３５】
ランダム暗号化、特にセマンティックセキュア暗号化を実施するために、トランスポンダ１は、乱数ｒ（又は擬乱数）を生成する乱数生成器６と、暗号化情報E_k(EPC,PI)と乱数ｒとからセマンティックセキュア暗号化情報F_r(E_k(EPC,PI))（図ではF_rと略記されている）を計算する暗号化手段７とを具える。暗号化手段７は例えば上述したＥｌＧａｍａｌ暗号化に従って働くものとすることができる。
【００３６】
オプションとして、高速応答の第２メモリMEM2は、暗号化情報E_k(EPC,PI)ではなく、暗号化されてない情報ＥＰＣ、ＰＩ及び鍵ｋを含むことができる点に注意されたい。暗号化されてない情報ＥＰＣ、ＰＩ、鍵ｋ及び乱数を暗号化手段７に供給することによってランダム暗号化が実行される。暗号化手段７は鍵ｋを使って暗号化された情報ＥＰＣ、ＰＩのランダム暗号を出力する。このソリュージョンの欠点は、情報ＥＰＣ、ＰＩが高速応答の第２メモリMEM2に平文で格納される点にあるが、高速応答の第２メモリMEM2から読み出すためには、アタッカはトランスポンダを手に入れなければ成らず、またそのような場合でも、高速応答の第２メモリMEM2は直接読み出すことはできない。
【００３７】
更に、トランスポンダ１は、暗号化されてない情報ＥＰＣ、ＰＩを格納する第３のメモリMEM3を具える。この第３メモリMEM3は、トランスポンダを安全でない環境に集荷する前に、その内容を消去できる消去可能なＲＯＭ（ＥＲＯＭ）として構成するのが有利である。一般に、第３メモリMEM3は、その内容が最早トランスポンダ１から読み出すことができないように、ブロックできることが不可欠である。これを達成するために、第３メモリMEM3を上述したように消去できるもの、又はディセーブルもしくは破壊できるものとする。代案として、ワンタイムスイッチ１０を第３メモリMEM3とトランシーバ５との間の第３のルートｔ３に挿入することができる。ワンタイムスイッチ１０は、トランスポンダ１の外部で発生される制御信号disの制御の下で第３のルートｔ３を遮断するように構成される。制御信号disは第３メモリMEM3をディセーブル／消去するのに使用することもできる。第３メモリMEM3は、ブロック状態からブロック解除状態へ切り替え可能に構成することもできる。ブロック解除は、例えば第２の不可逆動作、例えばワンタイムスイッチ１０に対するバイパスを活性化することにより達成できる。
【００３８】
トランスポンダ１は、リーダ装置２から受信されるメッセージＭを鍵ｋと比較するよう構成された比較手段９も具える。メッセージＭが鍵ｋに一致する場合、比較手段９は活性化信号act2を第２メモリMEM2に送り、第２メモリMEM2からの暗号化情報E_k(EPC,PI)の読出しを開始させる。この動作モードのもっと詳細な説明は以下に与えられる。
【００３９】
トランスポンダ１は、更に、乱数生成器６により生成された乱数ｒを含むチャレンジｃを生成しリーダ装置２へ送るチャレンジ生成手段１１と、リーダ装置２から受信されたメッセージＭが、チャレンジｃと一緒に先に送られた乱数とリーダ装置２に低速モードで先に送られた鍵ｋとから導出されるかどうかを解析するように構成されたメッセージ解析手段８とを具える。解析されたメッセージが正しいとき、メッセージ解析手段８は活性化信号act1を第２メモリMEM2に送り、第２メモリMEM2からの暗号化情報E_k(EPC,PI)の読出しを開始させる。この動作モードのもっと詳細な説明は以下に与えられる。
【００４０】
乱数生成器６、チャレンジ生成器１１、メッセージ解析手段８、及び比較手段９はトランスポンダ１内の作業プロセッサを用いてソフトウェア実現することができる点に注意されたい。
【００４１】
リーダ装置２は、トランスポンダ１と無線通信するトランシーバ１５と、リーダ装置２内の種々の制御及び計算機能を実行するコントローラ１２とを具える。例えば、コントローラ１２はトランスポンダ１に対してそれらの暗号化情報E_k(EPC,PI)及び該暗号化情報E_k(EPC,PI)に関連する鍵ｋを要求する問合せｑをトランスポンダ１へ送ることを開始する。リーダ装置２は更に受信した暗号化情報E_k(EPC,PI)を受信した鍵ｋを使って復号化する復号化手段１３を具える。リーダ装置２は、暗号化情報E_k(EPC,PI)及び関連する鍵ｋの対を格納するよう構成されたデータベースＤＢと協働するとともに、トランスポンダ１から先に受信された鍵ｋから導出されるメッセージＭ、または、トランスポンダ１から先に受信された鍵ｋとチャレンジｃとから導出されるメッセージＭを生成するように構成されたメッセージ生成器１４と協働する。リーダ装置の動作のもっと詳細な説明は以下に与えられる。
【００４２】
トランスポンダ１とリーダ装置２とを具える本発明のトランスポンダシステムのいくつかの動作モードを種々のシナリオを用いて以下に説明する。これらのシナリオは代表的なショップアプリケーションに基づくものであり、トランスポンダ１に格納された情報は家では制限された方法で読出し可能とすべきであるが、本発明はこれらのアプリケーションに限定されない点に注意されたい。
【００４３】
図２は、本発明のトランスポンダシステムはどのように動作させることができるかを示す第１のシナリオを概略的に示す。トランスポンダ１は暗号化鍵ｋを保持する第１メモリMEM1を低速読出し可能な第１ルートｔ１に具える。トランスポンダ１は更に情報ＥＰＣ、ＰＩを鍵暗号化された形態E_k(EPC,PI)で保持する第２メモリMEM2を具える。第２メモリMEM2は高速読出し可能な第２ルートｔ２に接続される。
【００４４】
店内プロトコル：店は、低速読出し可能な第１ルートｔ１、換言すればトランスポンダ１から低応答速度を有する第１ルートを介して読み出される鍵ｋを知る（又は安全な環境内で時間をかけてリーダ装置２により読み出す）。更に、店内のリーダ装置２が高速の第２ルートｔ２を介してトランスポンダ１から暗号化情報E_k(EPC,PI)を問い合わせる。データベースＤＢ内には情報要素の対（E_k(EPC,PI)，k）が格納されているため、リーダ装置２により受信される任意の暗号化情報E_k(EPC,PI)に対して、データベースＤＢから関連する鍵を読み出し、情報ＥＰＣ、ＰＩを復号することができる。このように、店内ではトランスポンダ１を高速に読み出すことができる。販売時に、店はそのデータベースから（E_k(EPC,PI)，k）を消去する（又は少なくともフラグを立てて売れたことを示す）。代案として、情報要素の対（E_k(EPC,PI)，ECP，PI）をデータベースＤＢに格納しておき、リーダ装置２により受信される任意の暗号化情報E_k(EPC,PI)に対して、データベースＤＢから関連する暗号化されてない情報ＥＰＣ，ＰＩを取り出すことができるようにすることもできる。
【００４５】
家庭内プロトコル：洗濯機などのデバイスに組み込まれたリーダ装置２は時間をかけてトランスポンダ１から鍵ｋを低速読出し可能な第１ルートｔ１を介して読み出す。鍵ｋを知ったら、トランスポンダ１から高速読出し可能な第２ルートｔ２を経て読み出すことができる暗号化情報E_k(EPC,PI)を復号化できる。家庭内のデバイスはこの鍵を格納する、又は使用のたびに読み出すことができる。デバイスは必要に応じ情報要素の対（E_k(EPC,PI)，k）を格納することもできる。
【００４６】
利点：店並びに利用者はトランスポンダ１を高速に読み出すことができる。
欠点：店（及びおそらく家庭の利用者も）はデータベースの情報要素の対（E_k(EPC,PI)，k）を保持しなければならない。
【００４７】
脆弱性：トランスポンダ１は常に高速読出し可能で、一意の文字列E_k(EPC,PI)を送出するので、リンカビリティ及びトラッキングに対して脆弱である。
【００４８】
図３は、本発明のトランスポンダシステムはどのように動作させることができるかを示す第２のシナリオを概略的に示す。トランスポンダ１は暗号化鍵ｋを保持する第１メモリMEM1を低速読出し可能な第１ルートｔ１に具える。トランスポンダ１は更に情報ＥＰＣ、ＰＩを鍵暗号化された形態E_k(EPC,PI)で保持する第２メモリMEM2を具える。第２メモリMEM2は高速読出し可能な第２ルートｔ２に接続される。トランスポンダ１は更に情報ＥＣＰ，ＰＩを暗号化されてない形態で含む第３メモリMEM3を高速読出し可能な第３ルートｔ３に具える。
【００４９】
店内プロトコル：高速の第３ルートｔ３を用いて暗号化されてない情報ＥＰＣ，ＰＩを高速に読み出す。販売時に、高速の第３ルートｔ３を（例えば、メモリMEME3を消去することによって又はワンタイムスイッチ１０を駆動することによって）破壊又はブロックする必要がある。
【００５０】
家庭内プロトコル：洗濯機などのデバイスに組み込まれたリーダ装置２は時間をかけてトランスポンダ１から鍵ｋを低速読出し可能な第１ルートｔ１を介して読み出す。鍵ｋを知ったら、トランスポンダ１から高速読出し可能な第２ルートｔ２を経て読み出すことができる暗号化情報E_k(EPC,PI)を復号できる。家庭内のデバイスはこの鍵を格納する、又は使用のたびに読み出すことができる。デバイスは必要に応じ情報要素の対（E_k(EPC,PI)，k）を格納することもできる。
【００５１】
利点：店並びに利用者はトランスポンダ１を高速に読み出すことができる。
欠点：おそらく家庭の利用者はデータベースの情報要素の対（E_k(EPC,PI)，k）を保持しなければならない。
【００５２】
脆弱性：トランスポンダ１は常に高速読出し可能で、一意の文字列E_k(EPC,PI)を送出するので、リンカビリティ及びトラッキングに対して脆弱である。
【００５３】
図４は、本発明のトランスポンダシステムはどのように動作させることができるかを示す第３のシナリオを概略的に示す。トランスポンダ１は暗号化鍵ｋを保持する第１メモリMEM1を低速読出し可能な第１ルートｔ１に具える。トランスポンダ１は更に情報ＥＰＣ、ＰＩを鍵暗号化された形態E_k(EPC,PI)で保持する第２メモリMEM2を具える。第２メモリMEM2は高速読出し可能な第２ルートｔ２に接続され、その活性化のためには認証鍵ｋが送られてこなければならない。トランスポンダ１は更に情報ＥＣＰ，ＰＩを暗号化されてない形態で含む第３メモリMEM3を高速読出し可能な第３ルートｔ３に具える。
【００５４】
店内プロトコル：高速の第３ルートｔ３を用いて暗号化されてない情報ＥＰＣ，ＰＩを高速に読み出す。販売時に、高速の第３ルートｔ３を（例えば、メモリMEME3を消去することによって又はワンタイムスイッチ１０を駆動することによって）破壊又はブロックする必要がある。
【００５５】
家庭内プロトコル：洗濯機などのデバイスに組み込まれたリーダ装置２は時間をかけてトランスポンダ１から鍵ｋを低速読出し可能な第１ルートｔ１を介して読み出す。鍵ｋを知ったら、リーダ装置２は鍵ｋを含むメッセージＭを生成し、トランスポンダ１に送る。トランスポンダ１は、比較手段９によって、メッセージＭ内の鍵ｋが正しいか比較を行い、鍵ｋが正しい場合にのみ、暗号化情報E_k(EPC,PI)を高速読出し可能な第２ルートｔ２を経て送ることによって応答する。リーダ装置２は鍵ｋを使って暗号化情報E_k(EPC,PI)を復号できる。家庭内のデバイスはこの鍵を鍵データベースに格納する、また使用のたびに読み出すことができる。
【００５６】
利点：トランスポンダ１は店でも家でも高速に読み出すことができる。販売後、トランスポンダ１は、メッセージＭを正しい鍵ｋと一緒に受信する場合にのみ応答する。
【００５７】
脆弱性：盗聴者は鍵ｋを自由に盗聴でき、それを使って暗号化された情報E_k(EPC,PI)を復号化し、トランスポンダ１を活性化することができる。従って、トランスポンダ１はトラッキングにさらされる。
【００５８】
図５は、本発明のトランスポンダシステムはどのように動作させることができるかを示す第４のシナリオを概略的に示す。このシナリオでは、トランスポンダ１内の乱数生成器６を使用する。トランスポンダ１は暗号化鍵ｋを保持する第１メモリMEM1を低速読出し可能な第１ルートｔ１に具える。トランスポンダ１は更に情報ＥＰＣ、ＰＩを鍵暗号化された形態E_k(EPC,PI)で保持する第２メモリMEM2を具える。第２メモリMEM2は高速読出し可能な第２ルートｔ２に接続される。第２メモリMEM2に格納される符号化情報E_k(EPC,PI)を問い合せる権限がリーダ装置２に与えられているかチェックするために、チャレンジ−レスポンスプロトコルが使用される。トランスポンダ１は更に情報ＥＣＰ，ＰＩを暗号化されてない形態で含む第３メモリMEM3を高速読出し可能な第３ルートｔ３に具える。
【００５９】
店内プロトコル：高速の第３ルートｔ３を用いて暗号化されてない情報ＥＰＣ，ＰＩを高速に読み出す。販売時に、高速の第３ルートｔ３を（例えば、メモリMEME3を消去することによって又はワンタイムスイッチ１０を駆動することによって）破壊又はブロックする必要がある。
【００６０】
家庭内プロトコル：洗濯機などのデバイスに組み込まれたリーダ装置２は時間をかけてトランスポンダ１から鍵ｋを低速読出し可能な第１ルートｔ１を介して読み出す。そのとき、トランスポンダ１は乱数チャレンジｃを送る。このチャレンジｃに応答して、リーダ装置はチャレンジｃと鍵ｋのハッシュｋ：:H(c,k)を計算し、このハッシュを有するメッセージＭをトランスポンダ１に送る。トランスポンダ１もメッセージ解析手段８でハッシュｋ：H(c,k)を計算し、このハッシュがリーダ装置２により送られたメッセージＭ内のハッシュと一致するかチェックする。両ハッシュが一致しない場合、トランスポンダ１は応答しない。両ハッシュが一致する場合、トランスポンダ１は暗号化情報E_k(EPC,PI)を高速読出し可能な第２ルートｔ２を経て送出する。リーダ装置２は受信した暗号化情報E_k(EPC,PI)を復号する。
【００６１】
利点：鍵ｋはリーダ装置２からトランスポンダ１へ送信されないため、盗聴者はトランスポンダ１にほとんどアクセスできない。この実施例において鍵ｋがトランスポンダ１からリーダ装置２へ送信されることは軽微な問題とみなせる。なぜなら、トランスポンダ１からリーダ装置２への伝送チャネルの盗聴はリーダ装置２からトランスポンダ１への伝送チャネルの盗聴より遥かに難しいためである。
【００６２】
本発明の根本的問題は次の構成によって解消することもできる点に注意されたい。トランスポンダは、消去可能な高速にアクセス可能なＥＰＲＯＭにも遅延回路を具えるＲＯＭにも格納された電子製品コードＥＰＣと製品情報ＰＩを有する。
【００６３】
店内プロトコル：店内では、ＥＲＯＭが使用され、従って電子製品コードＥＰＣと製品情報ＰＩを高速に読み出すことができる。販売時に、ＥＲＯＭが消去又は破壊される。
【００６４】
家庭内プロトコル：トランスポンダはＲＯＭ内の遅延回路を経て低速に読み出すことができる。
【００６５】
利点：店内ではトランスポンダを高速に読み出すことができる。販売時に、トランスポンダのトラッキングは極めて難しくなり、リカビリティ／トラッキング問題に対するソリュージョンを与える。
【００６６】
欠点：家ではトランスポンダは常に低速である。
【００６７】
脆弱性：トランスポンダがあまりに長く静止すると、トランスポンダは気の長いアタッカにより自由に読み出し可能である。
【００６８】
本発明は、上述した例で示されるような商店や家庭の環境に限定されない点に注意されたい。店と家の役割は互に交換してもよく、また別の人又は公共機関に代えてもよい。
【００６９】
最後に、上述の実施例は例示であり、本発明を限定するものではなく、当業者は添付の特許請求の範囲で特定される発明の範囲を逸脱することなく多くの代替実施例を設計可能であるということに留意する必要がある。特許請求の範囲において、括弧内の符号は請求項の記載を限定するものと解釈されるべきではない。「具えている」および「具える」などの単語は、請求項あるいは本明細書に列記されていない要素またはステップの存在を除外するものではない。単数形で述べる要素は複数の要素を除外するものではないし、その逆も成り立つ。いくつかの手段を列挙している装置請求項において、これらの手段のいくつかは、ハードウェアあるいはソフトウェアの同一の要素によって具現化できる。特定の手段が相互に異なる従属請求項に引用されているが、このことは、これらの手段の組合せが有利に使用できないことを示すものではない。
【図面の簡単な説明】
【００７０】
【図１】本発明のトランスポンダシステムの一実施例のブロック図を示す。
【図２】本発明のトランスポンダシステムはどのように動作させることができるかを示す第１のシナリオを示すブロック図である。
【図３】本発明のトランスポンダシステムはどのように動作させることができるかを示す第２のシナリオを示すブロック図である。
【図４】本発明のトランスポンダシステムはどのように動作させることができるかを示す第３のシナリオを示すブロック図である。
【図５】本発明のトランスポンダシステムはどのように動作させることができるかを示す第４のシナリオを示すブロック図である。
【図１】
2008543211.tif 000003
【図２】
2008543211.tif 000004
【図３】
2008543211.tif 000005
【図４】
2008543211.tif 000006
【図５】
2008543211.tif 000007
【国際調査報告】
2008543211.tif 000008
2008543211.tif 000009