(57)【要約】  本発明は、被認証部PRVの真正性を認証部VERに証明する方法に関する。その方法は、被認証部PRVにより物理トークンを用いて秘密Sを生成するステップと、認証部により公開値PVを取得するステップを有する。公開値PVは、ある関数を用いて秘密Sから得られる。その関数のその逆関数は計算機的に高いようなものである。その方法は、被認証部PRVが物理トークンに対するアクセスを持つことが所定の割合で確からしいことを認証部VERに証明するため、被認証部PRVと認証部VERとの間でゼロ知識プロトコルを実行するステップとを更に有する。被認証部PRVは秘密Sを利用し、認証部VERは公開値PVを利用する。本発明は更に、その方法を利用するシステム及び真正性を証明するための物に関する。
2008545323.tif 000002
【特許請求の範囲】
【請求項１】
被認証部の真正性を認証部に証明する方法において、
物理トークンを用いて被認証部により秘密を生成するステップと、
関数を用いて前記秘密から得られる公開値を前記認証部により取得するステップであって、前記公開値が与えられても前記秘密を計算するのが困難であるよう、前記関数が選択される、ステップと、
前記被認証部が前記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを前記認証部に証明するため、前記被認証部と前記認証部との間でゼロ知識プロトコルを実行するステップとを有し、前記被認証部が前記秘密を利用し、前記認証部が前記公開値を利用する、方法。
【請求項２】
前記関数が、一方向関数である、請求項１に記載の方法。
【請求項３】
前記関数が、落とし戸一方向関数である、請求項１に記載の方法。
【請求項４】
前記秘密が、該秘密が必要とされるとき毎回前記物理トークンを用いて生成される、請求項１に記載の方法。
【請求項５】
前記秘密を生成するステップが、
前記物理トークンを用いてレスポンスを生成するサブステップと、
ヘルパーデータと前記レスポンスとを結合し、エラー訂正コードを適用するサブステップとを更に有する、請求項１に記載の方法。
【請求項６】
前記公開値が、信頼できる第三者機関により署名された証明書から得られ、前記方法は、前記公開値の真正性を証明するため前記証明書の署名が確認されるステップを更に有する、請求項１に記載の方法。
【請求項７】
前記ゼロ知識プロトコルが、Nで割った余りのe乗根を計算するのが困難であるという事実に基づかれる、請求項１に記載の方法。
【請求項８】
前記ゼロ知識プロトコルが、離散的対数を計算するのが困難であるという事実に基づかれる、請求項１に記載の方法。
【請求項９】
真正性を証明するための物であって、
物理トークンを用いて秘密を生成する秘密生成手段を有し、
前記物が前記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを前記秘密を用いて認証検証装置に証明するため、前記認証検証装置を用いてゼロ知識プロトコルを実行する第１のゼロ知識プロトコル手段を更に有する、物。
【請求項１０】
前記物が、前記秘密に基づき公開値を生成するため、前記秘密に関数を適用する関数手段を更に有し、前記公開値が与えられても前記秘密を計算するのが困難であるよう、前記関数が選択される、請求項９に記載の物。
【請求項１１】
前記関数が、一方向関数である、請求項１０に記載の物。
【請求項１２】
前記関数が、落とし戸一方向関数である、請求項１０に記載の物。
【請求項１３】
前記秘密生成手段が、該秘密が必要とされるとき毎回前記物理トークンを用いて前記秘密を生成するよう構成される、請求項９に記載の物。
【請求項１４】
前記秘密生成手段が、
前記物理トークンを用いてレスポンスを生成し、及び
ヘルパーデータと前記レスポンスとを結合し、エラー訂正コードを適用する、請求項９に記載の物。
【請求項１５】
前記物が、前記公開値を有する証明書を格納する格納手段を更に有する、請求項９に記載の物。
【請求項１６】
前記物が、前記認証検証装置と通信する第１の通信手段を更に有する、請求項９に記載の物。
【請求項１７】
前記第１の通信手段が、短距離無線通信のための手段である、請求項１６に記載の物。
【請求項１８】
前記第１のゼロ知識プロトコル手段が、Nで割った余りのe乗根を計算するのが困難であるという事実に基づかれるゼロ知識プロトコルを実行するよう構成される、請求項９に記載の物。
【請求項１９】
前記第１のゼロ知識プロトコル手段が、離散的対数を計算するのが困難であるという事実に基づかれるゼロ知識プロトコルを実行するよう構成される、請求項９に記載の物。
【請求項２０】
認証検証装置に対し物の真正性を証明するシステムであって、該システムが、請求項９に記載の物と、認証検証装置とを有し、前記認証検証装置が、
前記秘密から得られた公開値を得るよう構成される取得手段と、
前記物が前記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを前記公開値を用いて検証するため、前記第１のゼロ知識プロトコル手段を用いてゼロ知識プロトコルを実行するよう構成される第２のゼロ知識プロトコル手段とを有する、システム。
【請求項２１】
前記物がソフトウェアとともに出荷され、前記認証検証装置は、前記ソフトウェアのインストールを許可する前に、前記ソフトウェアの真正性が所定の割合で確からしいことを証明するため、前記物にゼロ知識プロトコルを実行する認証検証プログラムを実行するよう構成されるコンピュータである、請求項２０に記載のシステム。
【請求項２２】
前記物がパスポートに埋め込まれ、前記認証検証装置が、前記パスポートの真正性が所定の割合で確からしいことを証明するため、前記物にゼロ知識プロトコルを実行するよう構成されるパスポート認証端末である、請求項２０に記載のシステム。
【請求項２３】
ネットワークへの接続を試みるデバイスを認証する方法における請求項１に記載の方法の使用。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、被認証部(prover)の真正性(authenticity)を認証部(verifier)に証明する方法に関する。本発明は更に、真正性を証明するための物にも関し、その物は、物理トークンを用いて秘密Sを生成する秘密生成手段を有する。本発明は、認証検証装置に対して物の真正性を証明するシステムにも関する。
【背景技術】
【０００２】
偽造及び海賊版の物による収益の減少は、製造者及びベンダー等にとって深刻な経済的脅威である。偽造慣行が疑われるものとして知られる製品は、時計、衣服、靴、宝石、CD、DVDからソフトウェアに至るまで広い範囲に存在する。
【０００３】
パスポート、運転免許証、及び紙幣といった書類の真正性の証明も大きな課題である。これらの書類は、権限を付与されており、従って価値があるものである。パスポート及び紙幣は、真正性を証明する複数の手段に適合されてきた書類の良い例である。
【０００４】
偽造及び海賊版の疑いのある製品の明確な定義はないが、しかしながら、共通性が存在する。偽造及び海賊版に魅力があり、一般に、真正品を得るにはコストか努力かのいずれかを必要とすることである。偽造品及び海賊品に対抗して、正規のベンダーは、自分達の製品にホログラフィック・ステッカーといった真正品を証明する手段を追加してきた。
【０００５】
米国特許出願公開第2003/0063772号によれば、光学的にアクティブな媒体を含む製品を認証する方法が与えられる。その方法は、その製品の有効性を証明するのに使用されることができる。その製品の１つ又は複数の部分に含まれるか、又は埋め込まれる光学的にアクティブな媒体の光学特性に少なくとも一部が基づかれる文字列を用いて、有効性が証明される(established)。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
この方法の問題は、製品の真正性が証明されるとき、特に上記光学的にアクティブな要素からの応答といった、製品からの情報が明らかにされることである。その情報は、製品又はその挙動を複製するのに使用されることができる。
【０００７】
本発明の目的は、物理トークンを用いて被認証部の真正性の十分な証明を認証部に与えることであり、物理トークンの応答に関連して認証部に明らかにされる情報を減らすことである。
【課題を解決するための手段】
【０００８】
上記目的は、冒頭に述べられた方法において実現される。その方法は、物理トークンを用いて被認証部により秘密Sを生成するステップと、関数Fを用いて上記秘密Sから得られる公開値PVを上記認証部により取得するステップであって、上記公開値PVが与えられても上記秘密Sを計算するのが困難であるよう、上記関数Fが選択される、ステップと、上記被認証部が上記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを上記認証部に証明するため、上記被認証部と上記認証部との間でゼロ知識プロトコルを実行するステップとを有する。上記被認証部が上記秘密Sを利用し、上記認証部が上記公開値PVを利用する。
【０００９】
真正性を証明するのに物理トークンを用いる従来の方法においては、被認証部が物理トークンへのアクセスを持つことを十分に証明するのに物理トークンの一意な特性が使用される。このため、物理トークンからの一意なレスポンスを呼び起こすため、チャレンジレスポンス手段を用いて物理トークンにチャレンジが行われている。すると、この一意なレスポンスが、被認証部の真正性を検証するのに認証部により使用される。その処理において、レスポンスは認証部及び／又は他の悪意ある第三者に明らかとなる。
【００１０】
対象的に、本発明は、そのレスポンスから秘密Sを生成することを提案する。この秘密Sは、付随する公開値PVを生成するのに使用される。公開値PVは、秘密Sと組み合わせてゼロ知識プロトコルを実行するのに使用されることができる。ゼロ知識プロトコルは、当業者には知られた様々なゼロ知識プロトコルから選択されることができる。
【００１１】
ゼロ知識プロトコルは、上記秘密にアクセスできる被認証部のみが正確にかつ信頼性高くレスポンスを返すことができるような態様で、被認証部にチャレンジが行われることができるという事実を利用する。認証部は、上記秘密Sから得られる公開値PVを用いて被認証部のレスポンスが正しいかどうかを検証することができる。公開値PVは、関数Fを用いて上記秘密Sから得られる。秘密Sを明らかにしないために、上記公開値PVが与えられても秘密Sを計算するのが困難であるよう、関数Fは選択されなければならない。
【００１２】
繰り返し被認証部にチャレンジを行い、そのレスポンスを検証することで、認証部は、悪意ある被認証部が連続的に正確な答を推測してだますことができる確率を更に減らすことができる。[0,1)の範囲の所定の確率で悪意あるユーザを阻止すべく必要とされる正確な反復回数を事前に決定することも可能である。
【００１３】
その際に、本発明は、認証部に明らかとされる物理トークンのレスポンスに関する情報を減らすという安全な態様で被認証部の真正性の十分な証明を提供する。
【００１４】
秘密Sから公開値PVを生成するため、好ましい実施形態は、一方向関数又は落とし戸一方向関数を適用するであろう。一方向関数は、ある方向の計算が反対方向の計算よりかなり簡単である数学関数である。秘密Sから公開値PVを(ほんの)数秒で計算するのに一方向関数が使用されることができる。しかしながら、公開値PVが与えられても秘密Sを計算するには数ヶ月から数世紀かかる。落とし戸一方向関数は、ある情報の破片が与えられると逆方向の計算も容易であるが、それ以外の場合は計算が困難であるような一方向関数である。ほとんどの公開鍵暗号化は、(推定)落とし戸一方向関数に基づかれる。
【００１５】
本発明の実施形態は、物理トークンを用いて秘密Sを構築する(establish)。このため、物理トークンがチャレンジレスポンス手段と組み合わされることができる。チャレンジレスポンス手段は、チャレンジCを物理トークンに与える。お返しに、トークンは、チャレンジレスポンス手段により測定されるレスポンスRを応答する。秘密Sを生成するのにこの測定されるレスポンスが使用されることができる。測定されたレスポンスRを直接使用することも可能であるが、ノイズ堅牢性を高めるため一般には更なる処理が必要とされる。斯かる処理は、いわゆるヘルパーデータの使用を含むことができる。
【００１６】
ヘルパーデータは、
１．ランダム化目的に使用される。
【００１７】
ヘルパーデータは、物理トークンのレスポンスをランダム化するのに使用されることができる。特定のチャレンジに対する所定のランダムデータを格納することにより、ヘルパーデータと測定されたレスポンスとを結合することが可能であり、結果、結合されたデータがランダム化され、もはや物理トークンからレスポンスRへの相関性がなくなる。
【００１８】
またヘルパーデータは、
２．ノイズ補償目的に使用される。
【００１９】
後の認証に備えて、認証の間に使用されることができる各個別のチャレンジレスポンスペアに対して、ヘルパーデータが構築されることができる。認証の間、ヘルパーデータHとレスポンスRとが結合され、取得処理の間にもたらされるエラーを訂正するため、冗長性を利用しエラー訂正コードが適用される。
【００２０】
本発明の好ましい実施形態は、上記秘密Sが、必要とされるとき毎回生成されるような本発明による方法である。その際、被認証部は、秘密S又は中間値を格納する必要がない。これは、秘密Sを取得しようと試みる悪意ある第三者にとっては問題を複雑にする。
【００２１】
秘密Sは、ゼロ知識プロトコルの繰り返しにつき１度使用される。そのプロトコルが多数回の反復を必要とするとき、秘密Sを毎回再生成する代わりに、仮ストレージに一時的に秘密Sを格納することが有利である可能性がある。しかしながら、一旦不要になった後秘密S及び中間値を削除するよう注意しなければならない。
【００２２】
本発明の更なる目的は、認証検証装置に明らかとされる物理トークンのレスポンスに関する情報を減らしつつ、物理トークンを用いて上記認証検証装置に真正性の十分な証明を提供することができる物を提供することにある。
【００２３】
この目的は、冒頭部に述べられる物において実現される。その物は、上記秘密Sを用いて上記物が上記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを認証検証装置に証明するため、上記認証検証装置を用いてゼロ知識プロトコルを実行する第１のゼロ知識プロトコル手段を更に有する。
【００２４】
ある実施形態においては、真正性を証明するための物が、無線の短距離無線通信(Near Field Communication:ニアフィールド・コミュニケーション)のための手段を具備する。結果として斯かる物は、両者が近傍に与えられると、無線チャネルを介して認証検証装置との間で前述のゼロ知識プロトコルを実行することができる。
【００２５】
本発明による物の別の有利な実施形態は、信頼できる第三者機関TTPにより署名された証明書であって、公開値PVを有するものを格納する格納手段を有する。認証検証装置に証明書を送信することにより、その物は、ゼロ知識プロトコルを開始する前に、その装置に公開値を提供することができる。認証部は、証明書にある信頼できる第三者機関の署名を検証することにより、公開値PVが正当であることを確認することができる。
【００２６】
結果として、公開値のデータベースを維持する必要なく、オフラインで真正性が検証されることができる。オフラインで作業できることになれば、真正性を検証する簡単なハンドヘルド装置を用いて、消費者製品の真正性の検証を行うといった用途を可能にする。この特定の実施形態においてデータベースは関与しないので、ストレージ要件は最小限に保つことができ、とりわけ、斯かるデータベースを維持する必要も共有する必要もない。
【００２７】
本発明の更なる目的は、本発明による物を適用するシステムを提供することである。
【００２８】
この目的は、冒頭に述べられるシステムにおいて実現される。そのシステムは、本発明による物と、認証検証装置とを有する。その認証検証装置は、上記秘密Sから得られた公開値PVを得るよう構成される取得手段と、上記公開値PVを用いて上記物が上記物理トークンに対するアクセスを持つことが所定の割合で確からしいことを検証するため、上記第１のゼロ知識プロトコル手段を用いてゼロ知識プロトコルを実行するよう構成される第２のゼロ知識プロトコル手段とを有する。
【００２９】
本発明は、鍵交換といったより労力の要る情報交換に進む前又はSecure Authenticated Channel(認証暗号通信路)の構築前に、まず真正性を証明するシステムにおいて使用されることができる。同じ手順が、被認証部の役割と認証部の役割とで反転されて繰り返され、それにより、実際に先に進む前に両者が認証されることが確立される。こうして、認証されていない(non-authentic)装置に対する情報漏れが防止されることができる。
【００３０】
本発明は、アクセス制御システムにおいて使用されることができる。ここで、アクセス制御は、物理位置、情報、装置、通信チャネル又はサービスへのアクセスに関する。
【発明を実施するための最良の形態】
【００３１】
本発明のこれら及び他の側面が、図面を参照して、更に説明され記述されることになる。
【００３２】
図面を通して、同じ参照番号は同じ要素、又は同じ機能を実行する要素を参照する。
【００３３】
偽造を阻止するため、製造者は、真正品であることを証明するのに役立つ様々な手段を製品に適合させてきた。斯かる手段の例は、CD及びDVDといった事前記録された媒体に対する真正性の証明を与えるのに使用されるホログラフィックステッカー及びラベルである。現在はコピーするのが困難であるが、これらのラベルは一般的には一意ではなく、個別の製品の認証を可能にするものではない。
【００３４】
米国特許出願公開第2003/0063772号において使用されるような比較的安価で信頼性の高い物理トークンの導入により、個別の製品を認証する問題が対処されることができる。適切な物理トークンは一般に、クローンを作ることも複製することも非常に困難である。このため、斯かる物理トークンは、物理クローン不可機能又はPUFとも呼ばれている。
【００３５】
物理トークンはしばしば、多くのランダムに分布する要素を有する複雑な物理システムである。適切なチャレンジを用いてプローブするとき、物理トークンとチャンレンジとの間の相互作用を支配する複雑な物理過程、例えば乱雑な媒体における複数の散乱波形が、各個別のチャレンジに対して、見かけがランダムな出力、又はレスポンスをもたらす。物理トークンの構造が複雑で小さなスケールであることは、物理コピーが作られることを困難にする。
【００３６】
例えば、光学物理トークンは、多くのランダムに分布する光散乱器を含む光学媒体を有することができる。チャレンジは、入射ビームとすることができ、レスポンスは、検出器により検出される結果としてのスペックルパターンとすることができる。製品の認証における更なる使用のため、輝スポット及び暗スポットのパターンが、ビットストリングに変換されることができる。
【００３７】
デジタルトークンと比較するとき物理トークンでの問題は、レスポンスがノイズ及び摂動である疑いがあり、その場合同一のチャレンジに対するレスポンスにおける差をもたらすことである。斯かる取得ノイズは、多くの原因を持つことができる。例えば、トークン／検出器のずれ、又は温度、湿度及び振動といった環境効果である。ノイズが原因で、レスポンスから抽出されるビットストリングがエラーを含む場合がある。
【００３８】
しかしながら、多くの暗号化プロトコルは、特定のチャンレンジで物理トークンがチャレンジされるとき、毎回得られるビットストリングが同一であることを必要とする。例えば、もしビットストリングが暗号化鍵として使用される場合、シングルビットをトグルすると、理解できない無駄な結果を生み出すことになる。
【００３９】
物理トークンとチャレンジレスポンス手段との組み合わせからより堅牢なレスポンスを得るために、エラー訂正コードが適用されることができる。このため、物理トークンのための個別のチャレンジレスポンスペアに対して、実際の認証に先立ちヘルパーデータが生成されることができる。特定のチャレンジが与えられると、測定されたレスポンスと組み合わせて、レスポンスの冗長な表現を与えるヘルパーデータが構築されることができる。エラー訂正コードは、この冗長性を利用することができ、取得プロセスから生じるビットエラーを訂正することができる。
【００４０】
前述されるように、ヘルパーデータは、例えばレスポンスRとそのヘルパーデータとの排他的論理和を取ることにより秘密Sをランダム化するのに使用されることもできる。このランダム化処理は、異なる目的のためチャレンジレスポンスペアを再利用するのに使用されることができる。そのようなものとして、ランダム化処理は、安全性を追加するものではなく、柔軟性を追加するものである。ヘルパーデータの他の使用は、様々な被認証部により共有される秘密S'の生成を含むことができるが、異なる物理トークンに基づかれる。
【００４１】
図１は、本発明による方法での、被認証部PRV、信頼できる第三者機関TTP、及び認証部VER間の通信の図式的表現を示す。被認証部PRVは、物理トークンを用いて生成されることができる少なくとも１つの秘密Sを持つ。被認証部PRVは、新しいものが欲しい場合毎回物理トークンを用いて新たに秘密Sを生成することができる。事実上、秘密Sは物理トークン内部に格納される。
【００４２】
真正性の証明の間、被認証部PRVは、秘密Sを知ることはできない。なぜなら、これは安全性を危険にさらすことになるからである。本発明は、秘密Sを認証部VERに明らかにすることなく、秘密Sを用いて被認証部PRVが認証部VERに真正性を証明することを可能にする方法を提供する。このため、秘密Sに基づき公開値PVが生成される。秘密Sを明らかにすることを回避するため、公開値PVは、一方向関数又は落とし戸付き一方向関数を用いて生成されることができる。どちらの特定の関数が適用されるかは、ゼロ知識プロトコルの選択により決定される。
【００４３】
一旦被認証部PRVが秘密Sを生成すると、公開値PVが生成されることができる。公開値PVは、被認証部PRV又は信頼できる第三者機関TTPにより生成されることができる。一旦公開値PVが生成されると、認証局がそれに署名をし、結果として証明書ができる。認証部VERは、認証局の署名を確認することができ、それにより、公開値PVが実際に本物であるかを証明することができる。また、図１に表されるように、信頼できる第三者機関TTPが公開値PVに署名することができ、結果として証明書CERTを生じさせる。
【００４４】
信頼できる第三者機関TTPからの証明書CERTは、単一の公開値PV又は公開値PVへのリンクから構成されることができる。斯かるリンクは、認証部が実際の公開値PVを得ることができる場所を示すURLとすることができる。また、証明書CERTが１つ又は複数の被認証部に対して様々な公開値を有することができる。複数のチャレンジレスポンスペアが被認証部PRVに対して利用可能である場合、認証部VERは、特定のチャレンジを選択することができ、そうすることで、悪意のある相手に対しては事態を複雑にすることができる。
【００４５】
特に有利な実施形態においては、被認証部PRVは、信頼できる第三者機関TTPにより署名された証明書CERTを認証部VERに提供する。その証明書は、被認証部PRVが対応する秘密Sを生成することができる公開値PVを有する。認証部VERは、公開値PVを抽出することができ、公開値PVが正当であることを署名を用いて確認することができる。それにより、真正性のオフラインでの証明が容易になり、公開値のデータベースを必要とすることもない。
【００４６】
図１における通信は３ステップに分割される。(i)公開値PVが交換され、信頼できる第三者機関により署名される間のステップSGNと、(ii)ステップIT1の準備のためのステップPREPと、(iii)ゼロ知識プロトコルの反復を有するステップIT1とである。
【００４７】
第１のステップSGNにおいて、被認証部は、公開値PVを信頼できる第三者機関TTPに提供する。それに応じて、信頼できる第三者機関TTPは、公開値PVに署名をし、公開値を有する証明書を被認証部PRVに戻す。その後被認証部は、証明書CERTを格納する。
【００４８】
図１の実施形態では、被認証部PRVが公開値PVを信頼できる第三者機関TTPに与えるが、代替的に被認証部PRVは、秘密Sを与え、信頼できる第三者機関TTPに一方向関数Fを実行させることもできる。これは、署名の間秘密Sを明らかにすることになるが、特に一方向関数Fが複雑な処理を含む場合、被認証部PRVに対する事項を簡略化することができる。
【００４９】
第２のステップPREPの間、認証部VERは、被認証部PRVから公開値PVを有する証明書CERTを要求する。被認証部PRVは、認証部VERに証明書CERTを与える。次に、認証部VERは、公開値PVを抽出する。認証部VERは、信頼できる第三者機関の公開鍵を用いて、証明書CERTにある署名をチェックすることができ、それにより公開値PVの真正性を証明することができる。
【００５０】
第３のステップIT1において、ゼロ知識プロトコルの１回の反復が行われる。被認証部PRVは、ランダム化係数に基づき、コミットメント値U1を生成する。コミットメント値U1は認証部VERに提出され、認証部は、チャレンジ値C1を生成し、それを被認証部PRVに提出する。
【００５１】
ランダム化係数、チャレンジ値C1及び秘密Sに基づき、被認証部は、レスポンスR1を生成する。このレスポンスは認証部VERに送られ、認証部は、U1と公開値PVとに基づき、レスポンスR1が秘密Sを知る被認証部のレスポンスと一致するかを確認する。
【００５２】
図２は、米国特許第5,140,634号(代理人整理番号 PHQ 87030)に記載されるギューキスケータに基づくゼロ知識プロトコルの詳細をより詳細に示す図を与える。ギューキスケータゼロ知識プロトコルは、以下GQ ZKPと表され、値をNで割った余りのe乗根(eth root)を計算することが難しいという事実を利用する。
【００５３】
GQ ZKPに対して、公開値は、
PV = Se mod N
と表されることができる。
【００５４】
ここで、eは素数であり、Nは、２つの素数p及びqの積である。被認証部PRV及び認証部VERは共に、値e及びNを知っている。このプロトコルの安全性は、Nとして大きな数字を選択することで改善されることができる。
【００５５】
図２は、GQ ZKPの２回の反復を表す。第１の反復IT1の間、被認証部PRVは、範囲{0,1,..,N-1}からランダム値t1を選択する。この値は、コミットメントU1を計算するのに使用される。
U1 = t1e mod N
【００５６】
U1は、認証部VERに送信される。認証部VERは、範囲{0,1,..,e-1}からランダムチャレンジ値C1を選択し、それを被認証部PRVに送る。すると被認証部PRVは、秘密S、ランダム値t1及びチャレンジ値C1を用いてレスポンスR1を計算する。このレスポンスは、認証部VERに送られる。
2008545323.tif 000003
【００５７】
すると認証部VERは、式
2008545323.tif 000004
が成立するかどうかを確認することができる。
【００５８】
この式が成立する場合、被認証部PRVは正当であり、秘密Sへのアクセスを持つ。そうでない場合には、被認証部PRVは、チャレンジC1を推測し、レスポンスR1を偽造することでだました偽者である。不正な被認証部がこのようにしてだます確率は1/eである。ゼロ知識プロトコルにおいて使用される反復の回数を増加させることにより、不正なユーザが正確なレスポンス値R1を繰り返し推測できる確率を更に減少させることができる。所定の信頼性要求が与えられると、十分なレベルの信頼性を実現するための適切な反復の回数を選択することが可能である。
【００５９】
図２に表される例は、ギューキスケータゼロ知識プロトコルを表すが、本発明は、当業者に知られている他のゼロ知識プロトコルと組み合わせて使用されることもできる。良く知られたゼロ知識プロトコルは、特定の計算が難しいことが知られているか、計算機的に高くつくことが知られているという事実を利用する。斯かる計算の２つの例は、(i)素数の因数分解(RSAアルゴリズムに基づく)又は(ii)離散的対数を計算すること(エルガマルアルゴリズムに基づく)である。
【００６０】
比較すると、離散的対数、特に、(超)楕円曲線離散的対数の計算に基づかれるゼロ知識プロトコルは、よりコンパクトなハードウェアソリューションを生じさせる傾向にあり、有利であると考えられる。
【００６１】
本発明による真正性を証明するための物PRVRは、認証されなければならない製品とともに出荷されることができる。また、物PRVRは、製品に埋め込まれる、及び／又はその製品の機能的要素を共有することができる。
【００６２】
図３は、真正性を証明するための物PRVRを表す。ブロック図において、秘密生成手段SGMが表される。秘密生成手段では、チャレンジレスポンス手段CRMが、チャレンジCを物理トークンPUFに与える。このチャレンジは、チャレンジレスポンス手段により測定され、続いて秘密Sを生成するのに使用されるレスポンスRを生じさせる。
【００６３】
秘密Sは、認証検証装置VERFを用いて、ゼロ知識プロトコルを実行するため、第１のゼロ知識プロトコル手段ZKPM1において使用される。第１のゼロ知識プロトコル手段ZKPM1は、認証検証装置VERFと、少なくとも１つのランダム化値UN、少なくとも１つのチャレンジCN及び少なくとも１つのレスポンスRNを交換するよう構成される。
【００６４】
図３に表される真正性を証明するための物PRVRの実施形態は、ヘルパーデータHとレスポンスRとを結合し、かつその結合されたデータにエラー訂正コードデコーダを適用する結合器COMBを更に有する。エラー訂正コードデコーダの出力は、秘密Sである。図３の実施形態において、レスポンスRとヘルパーデータHとは、エラー訂正コードを適用する前に結合されるが、他の実施形態も実現可能である。
【００６５】
図示される実施形態は、秘密Sに(落とし戸付き)一方向関数を適用することにより、公開値PVを計算するのに使用される関数手段FMを更に有する。公開値PVは、署名のため信頼できる第三者機関TTP又は認証局に送られることができる。秘密Sではなく公開値PVを通信することにより、秘密Sが安全に保たれる。
【００６６】
図３に表される物PRVRは、ヘルパーデータHと署名付き公開値PVとを格納する格納手段STMを有する。ここで、公開値PVは、信頼できる第三者機関TTPにより戻される証明書CERTの形式で格納される。
【００６７】
本発明の特に有利な実施形態は、実際の半導体に配置されるセキュリティコーティングの形式で物理トークンを有する単一の半導体に、すべての要素が一体化されるような物PRVRである。半導体からセキュリティコーティングを除去することにより、半導体はもはや秘密Sを生成することができない。秘密Sがメモリに格納される必要がないので、セキュリティコーティングを除去し、半導体をプローブすれば、悪意あるユーザは、半導体から秘密Sを入手することができない。しかしながら、セキュリティコーティングを配置する場所によっては、半導体をプローブすることが困難になる。セキュリティコーティングは、プローブに対する追加的な障壁を与える。
【００６８】
図３における物PRVRは、第１の通信手段CM1を更に具備する。第１の通信手段は、信頼できる第三者機関TTP及び認証検証装置VERFの両方と短距離無線通信(Near Field Communication)を行うよう構成される。短距離無線通信は、RF IDタグにとっては特に興味深い。タグ読出器の近くに、短距離無線通信可能なタグを持ってくることにより、読出器により生成される電磁放射線を用いてタグは電源供給されることができる。次に、物PRVRは、本発明による方法を用いて、認証検証装置VERFに対し真正性を証明することができる。
【００６９】
短距離無線通信はIDタグには特に有益であるが、他の用途は異なる通信手段を必要とする場合がある。これらの通信手段は、従来のソケット又は接触表面を用いる接触ベースとするか、又はIRを利用する光学通信手段といった別の非接触通信手段に基づかれることができる。
【００７０】
本発明は、ネットワークID及び／又はネットワークアドレスといったネットワークに関連する情報を明らかにする前に、ベースステーション及びクライアントが本発明を用いて認証されることができるような無線LANを手助けするのに使用されることができる。実際、本発明は、ネットワークにおける新たなデバイスの認証の間における初期段階を実行するのに特に適している。そのデバイスは一般に無線又は有線である。
【００７１】
図３は、認証検証装置VERFも表す。この装置は、物PRVRの対をなすもう一方のものである。図３に表される実施形態は、物PRVRと通信する第２の通信手段CM2だけでなく、第１のゼロ知識プロトコル手段ZKPM1により与えられるレスポンスを確認するよう構成される第２のゼロ知識プロトコル手段ZKPM2を有する。更に、認証検証装置VERFは、証明書CERTから公開値PVを抽出し、対応する署名を確認する取得手段OBを有する。公開値PVが本物であり、第１のゼロ知識プロトコル手段ZKPM1からのレスポンスが正しい場合、第２のゼロ知識プロトコル手段ZKPM2は肯定的決定DECを生成することになる。
【００７２】
公開値PVを得るのに図３に表される物PRVRは証明書CERTを用いるが、信頼できる公開値PVを備える装置を提供する他の手段が想定されることもできる。これらの代替手段は、(i)信頼できる第三者機関TTPから公開値PVが直接得られるような方法、(ii)認証部に知られた秘密鍵を用いて暗号化された公開値PVが得られるような方法を含む。
【００７３】
製品の真正性を証明するための物PRVRは、デバイス又は装置へのアクセスの有効化及び無効化を繰り返すのに使用されることもできる。本発明による物を具備するタグが、従来の車の鍵の変わりに使用されることができる。
【００７４】
図４は、インストール前の認証部にソフトウェアの真正性を証明するシステムの実施形態を表す。そのシステムは、真正性を証明するための物PRVRと組み合わせて用いられることになるソフトウェアSWを有する。物PRVRは、担体、宝石ケース、パッケージ又はマニュアルに付けられることができる。代替的に、ソフトウェアがダウンロードされ、物PRVRがイネーブルトークンとして使用されることができる。そのシステムは、コンピュータCMPと第２の通信手段CM2とを有する認証検証装置VERFを有することもできる。第２の通信手段CM2は、ここでは、別々のデバイスとして表されるが、前述のコンピュータCMPに一体化されることができる。
【００７５】
コンピュータがインストールプログラムをロードすると、そのプログラムを実行し、ソフトウェアの真正性を証明するための物PRVRを用いてゼロ知識プロトコルを実行することができる。真正品であることが確認されると、インストールに進むことができる。その物が偽造であることがわかると、インストールは中止されるべきである。斯かるシステムの利点は、ネットワークにアクセスする必要がなく、エンドユーザのプライバシーを保証する点にある。
【００７６】
物PRVRが物理トークンPUFを有するという事実を更に利用して、続いてその物理トークンPUFを用いて、ディスクの暗号化された部分を解読するための暗号化鍵をPUFから更に得ることも可能である。また、ソフトウェアの通常の使用の間、又はパッチのインストールの間、複数のチャレンジレスポンスが検証されることができる。
【００７７】
図５は、無線ネットワークWLANにおける認証検証装置に無線デバイスWDEVの真正性を証明するシステムのブロック図を示す。そのシステムは、本発明による物PRVRを有する無線デバイスWDEVを有する。無線デバイスWDEVが無線ネットワークWLANに参加することを許可する前に、無線デバイスWDEVは、無線ネットワークWLANの一部である認証検証装置VERFに対し真正性を証明しなければならない。好ましい実施形態において、後者の装置は、ベースステーションである。ユーザが安全でないとみなす無線デバイスに対するアクセスを認証検証装置VERFが拒絶するよう、ユーザは構成することができる。認証検証装置VERFを構成するため、ユーザは、インストールの間に無線ネットワークWLANへのアクセスを許可されたすべてのデバイスを登録することができる。
【００７８】
本発明は、有線ネットワークにおいても利用されることができる。図５は、有線ネットワークLANにおける追加的な認証検証装置VERF'にデバイスDEVの真正性を証明する追加的なシステムも表す。デバイスDEVは、その中に、真正性を証明するための本発明による追加的な物PRVR'を埋め込んでいる。
【００７９】
図６は、本発明による変形例のシステムを表す。ここでは、真正性を証明するための物PRVRが埋め込まれて備えられるパスポートPSSPがパスポート認証端末TRMの近くに持ち込まれている。本発明による方法を用いて、真正性は確認されることができる。それにより、パスポートPSSPが実際に本物であるという事実を断言することができる。
【００８０】
上述された実施形態は、本発明を説明するものであり限定するものではなく、当業者であれば、添付された請求項の範囲から逸脱することなく、多くの変形的な実施形態をデザインすることができるであろうことに留意されたい。
【００８１】
請求項において、括弧内のいかなる参照符号も請求項を限定するものとして解釈されるべきでない。単語「comprising(有する)」は、請求項に記載されている以外の構成要素又はステップの存在を排除するものではない。要素の前に付く単語「a」又は「an」は、斯かる要素が複数存在する場合を排除するものではない。
【００８２】
本発明は、複数の個別の要素を有するハードウェアを用いて、及び適切にプログラムされたコンピュータを用いて実現されることができる。複数の手段を列挙するデバイスクレームにおいて、複数のこれらの手段がハードウェアの１つの同じアイテムにより実現されることができる。特定の手段が相互に異なる従属項に述べられているという単なる事実は、これらの手段の組み合わせが有利に使用されることができないことを意味するものではない。
【図面の簡単な説明】
【００８３】
【図１】本発明による方法におけるゼロ知識プロトコルでの単一の反復と、その反復の準備とを表す通信ダイアグラムである。
【図２】本発明による方法におけるギューキスケータ・ゼロ知識プロトコルにおける２つの反復を表す通信ダイアグラムである。
【図３】本発明による真正性を証明するための物と、認証検証装置とを有するブロック図である。
【図４】本発明によるインストール前にソフトウェアの真正性を認証部に証明するシステムのブロック図である。
【図５】ネットワークにおける認証部にデバイスの真正性を証明する２つのシステムのブロック図である。
【図６】本発明によるパスポート認証端末にパスポートの真正性を証明するシステムのブロック図である。
【図１】
2008545323.tif 000005
【図２】
2008545323.tif 000006
【図３】
2008545323.tif 000007
【図４】
2008545323.tif 000008
【図５】
2008545323.tif 000009
【図６】
2008545323.tif 000010
【国際調査報告】
2008545323.tif 000011
2008545323.tif 000012
2008545323.tif 000013