(57)【要約】  セッションキーを計算するプロトコル（すなわち、方法）及び対応する装置。２つのピアは、共通のＤｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫｐｅｒｍと、他方のピアのアイデンティティとパブリックキーとを知っている。第１ピアは、第エフェメラルプライベートキーｘを選択し、第２ピアに送信される第１の対応するエフェメラルパブリックキーｇｘを計算する。第２ピアは、同様にして第２エフェメラルパブリックキーｇｙとエフェメラル共有キーＫｅｐｈを計算し、ｇｙ、Ｋｅｐｈ、Ｋｐｅｒｍ及びそれのアイデンティティをハッシュ処理し、ｇｙとハッシュを第１ピアに送信する。第１ピアは、Ｋｅｐｈを計算し、ハッシュを検証し、ｇｘ、Ｋｅｐｈ、Ｋｐｅｒｍ及びそれのアイデンティティをハッシュ処理し、それを当該ハッシュを検証する第２ピアに送信する。その後、両ピアはＫｅｐｈをハッシュ処理することによって、セッションキーを取得する。その後、これらの装置は、セッションキーを使用して、セキュア認証チャネル（ＳＡＣ）を確立する。
2008518530.tif 000002
【特許請求の範囲】
【請求項１】
第１装置と第２装置とによって共有されるセッションキーを計算する方法であって、
第１装置は、パブリックキーと該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
第２装置は、パブリックキーと該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、当該方法は、
前記第１装置において、
第１エフェメラルプライベートキーを選択するステップと、
第１エフェメラルパブリックキーを計算するステップと、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信するステップと、
前記第２装置において、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを受信するステップと、
前記第１装置の証明書を検証するステップと、
第２エフェメラルプライベートキーを選択するステップと、
第２エフェメラルパブリックキーを計算するステップと、
前記第１エフェメラルパブリックキーと前記第２エフェメラルプライベートキーとからエフェメラル共有キーを計算するステップと、
前記第１装置のパブリックキーと前記第２装置のプライベートキーとからパーマネントキーを計算するステップと、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第２装置に対応するアイデンティティとから第１の値を計算するステップと、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信するステップと、
前記第１装置において、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第２装置から受信するステップと、
前記第２装置の証明書を検証するステップと、
前記第２エフェメラルパブリックキーと前記第１エフェメラルプライベートキーとから前記エフェメラル共有キーを計算するステップと、
前記第１装置のパブリックキーとプライベートキーとから前記パーマネントキーを計算するステップと、
前記第１の値を検証するステップと、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから第２の値を計算するステップと、
前記第２の値を前記第２装置に送信するステップと、
前記第２装置において、
前記第２の値を受信するステップと、
前記第２の値を検証するステップと、
前記エフェメラル共有キーの関数としてセッションキーを計算するステップと、
前記エフェメラル共有キーの関数として前記セッションキーを計算するステップと、
を有する方法。
【請求項２】
第２装置と共に共有セッションキーの計算に参加する第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１の値とを、前記第２装置から受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
当該第１装置のパブリックキーとプライベートキーとから前記パーマネントキーを計算し、
前記第１の値を検証し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとから第２の値を計算し、
前記第２の値を前記第２装置に送信し、
前記エフェメラル共有キーの関数としてセッションキーを計算する、
ためのプロセッサを有する第１装置。
【請求項３】
第１装置と共に共有セッションキーの計算に参加する第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとから第１の値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２の値を前記第１装置から受信し、
前記第２の値を検証し、
前記エフェメラル共有キーの関数として前記セッションキーを計算する、
ためのプロセッサを有する第２装置。
【発明の詳細な説明】
【発明の詳細な説明】
【０００１】
［発明の技術分野］
本発明は、一般にセキュア認証チャネルに関し、より詳細には、デジタルテレビシステムなどにおけるデジタルコンテンツのプロテクションのための当該チャネルを確立するためのセッションキーの計算に関する。
［発明の背景］
暗号化の分野において周知であるセキュア認証チャネルは、２つの互いに認証した装置（しばしばピアと呼ばれる）が情報を秘密にやりとりすることを可能にするため確立される。セキュア認証チャネルは、好ましくは、以下の特性を有するべきである。
・ピアの相互認証
・キー確認  すなわち、共通の秘密が確立され、少なくとも１つのピアが、実際に秘密が共通であることを証明することが可能である。
・フォワード秘匿性（ｆｏｒｗａｒｄ  ｓｅｃｒｅｃｙ）  すなわち、古いセッションキーは、長期間秘密キー（認証秘密キーなど）が知られているときでさえ計算できない。
【０００２】
これらの特性は、形式的には数学的に証明可能であり、所与の暗号化プロトコルについて上記特性の１つを回避する方法が存在する場合、プロトコル全体が比較的容易に破られるかもしれない。
【０００３】
数年間に、暗号コミュニティは、セキュア認証チャネルについて多数のプロトコルを提案してきた。これらのチャネルのいくつかしか、上記特性を充足することが証明されていない。
【０００４】
求められる特性をチャネルに提供するプロトコルはすべて、いくつかの異なる暗号プリミティブ、すなわち、少なくとも１つの非対称プリミティブ（非対称暗号化又はデジタルシグネチャなど）、ハッシュ関数、メッセージ認証コード（ＭＡＣ）、及び上記のいくつかにおける対称暗号化などの他のプリミティブを利用する。これらのプロトコルによる問題点は、それらがリソースをとても消費するものであり、スマートカードなどの携帯セキュリティモジュールなどの限られた計算能力しか有しない装置において実現するには困難であるということである。他の問題点は、多数の暗号プリミティブの使用はプロトコルがセキュアであることを証明することを困難にするということである。
【０００５】
本発明は、要求される特性を有し、特に限られた計算能力しか有しない装置における実現に適したセキュアアクセスチャネルプロトコルを提供する。
【０００６】
本記載を通じて、暗号化は成熟した技術であるため、基本的コンセプトは周知であるということが仮定される。これらのコンセプトは、簡単化のため、本発明の理解に必要となるもの以上は説明されない。
［発明の概要］
第１の特徴では、本発明は、第１及び第２装置（１１，２１）に共通のセッションキーを計算する方法に関する。第１装置は、パブリックキー（ｇａ）と自らに対応するアイデンティティ（ＩＤａ）とから構成される証明書（Ｃａ）を有し、自らの対応するアイデンティティ（ＩＤａ）と、プライベートキー（ａ）と、パブリックキー（ｇａ）とを知っている。第２装置は、対応する証明書及び知識を有する。第１装置は、第１エフェメラルプライベートキー（ｘ）を選択し、第１エフェメラルパブリックキー（ｇｘ）を計算し、それの証明書（Ｃａ）と第１エフェメラルパブリックキー（ｇｘ）とを第２装置に送信する。第１装置の証明書（Ｃａ）と第１エフェメラルパブリックキー（ｇｘ）とを受信すると、第２装置は、第１装置の証明書（Ｃａ）を検証し、第２エフェメラルプライベートキー（ｙ）を選択し、第２エフェメラルパブリックキー（ｇｙ）を計算し、第１エフェメラルパブリックキー（ｇｘ）と第２エフェメラルプライベートキー（ｙ）とからエフェメラル共有キー（Ｋｅｐｈ）を計算し、第１装置のパブリックキー（ｇａ）と自らのプライベートキー（ｂ）とからパーマネントキー（Ｋｐｅｒｍ）を計算し、第２エフェメラルパブリックキー（ｇｙ）と、エフェメラル共有キー（Ｋｅｐｈ）と、パーマネントキー（Ｋｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤｂ）とから第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））を計算し、それの証明書（Ｃｂ）と、第２エフェメラルパブリックキー（ｇｙ）と、第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））とを第１装置に送信する。第２装置の証明書（Ｃｂ）と、第２エフェメラルパブリックキー（ｇｙ）と、第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））とを第２装置から受信すると、第１装置は、第２装置の証明書（Ｃｂ）を検証し、第２エフェメラルパブリックキー（ｇｙ）と第１エフェメラルプライベートキー（ｘ）とからエフェメラル共有キー（Ｋｅｐｈ）を計算し、第１装置のパブリックキー（ｇｙ）と自らのプライベートキー（ａ）とからパーマネントキー（Ｋｐｅｒｍ）を計算し、第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））を検証し、第１エフェメラルパブリックキー（ｇｘ）と、エフェメラル共有キー（Ｋｅｐｈ）と、パーマネントキー（Ｋｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤａ）とから第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を計算し、第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を第２装置に送信する。第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を受信すると、第２装置は、第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を検証し、エフェメラル共有キー（Ｋｅｐｈ）の関数としてセッションキー（Ｋｓｅｓｓ）を計算する。第１装置はまた、エフェメラル共有キー（Ｋｅｐｈ）の関数としてセッションキー（Ｋｓｅｓｓ）を計算する。
【０００７】
第２の特徴では、本発明は、第２装置（２１）と共にセッションキーの計算に参加する第１装置（１１）に関する。第１装置は、パブリックキー（ｇａ）と自らに対応するアイデンティティ（ＩＤａ）とから構成される証明書を有し、自らに対応するアイデンティティ（ＩＤａ）と、プライベートキー（ａ）と、パブリックキー（ｇａ）とを知っている。第１装置は、エフェメラルプライベートキー（ｘ）を選択し、第１エフェメラルパブリックキー（ｇｘ）を計算し、パブリックキー（ｇｂ）と第２装置のアイデンティティ（ＩＤｂ）とから構成されるそれの証明書（Ｃａ）と、第１エフェメラルパブリックキー（ｇｘ）とを第２装置に送信し、第２装置（Ｃｂ）の証明書と、第２エフェメラルパブリックキー（ｇｙ）と、第２エフェメラルパブリックキー（ｇｙ）、エフェメラル共有キー（Ｋｅｐｈ）、パーマネントキー（Ｋｐｅｒｍ）、及び第２装置に対応するアイデンティティ（ＩＤｂ）とから計算される第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））とを第２装置から受信し、第２装置の証明書（Ｃｂ）を検証し、第２エフェメラルパブリックキー（ｇｙ）とエフェメラルプライベートキー（ｘ）とからエフェメラル共有キー（Ｋｅｐｈ）を計算し、第１装置のパブリックキー（ｇｂ）と自らのプライベートキー（ａ）とからパーマネントキー（Ｋｐｅｒｍ）を計算し、第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））を検証し、第１エフェメラルパブリックキー（ｇｘ）と、エフェメラル共有キー（Ｋｅｐｈ）と、パーマネントキー（Ｋｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤａ）とから第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を計算し、第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を第２装置に送信し、エフェメラル共有キー（Ｋｅｐｈ）の関数としてセッションキー（Ｋｓｅｓｓ）を計算するプロセッサ（１２）を有する。
【０００８】
第３の特徴では、本発明は、第１装置（１１）と共にセッションキーの計算に参加する第２装置（２１）に関する。第２装置は、パブリックキー（ｇｂ）と自らに対応するアイデンティティとから構成される証明書（Ｃｂ）を有し、自らに対応するアイデンティティ（ＩＤｂ）と、プライベートキー（ｂ）と、パブリックキー（ｇｂ）とを知っている。第２装置は、第１装置のパブリックキー（ｇａ）とアイデンティティ（ＩＤａ）とから構成される第１装置の証明書（Ｃａ）と、第１エフェメラルパブリックキー（ｇｘ）とを受信し、エフェメラルプライベートキー（ｙ）を選択し、第２エフェメラルパブリックキー（ｇｙ）を計算し、第１エフェメラルパブリックキー（ｇｘ）とエフェメラルプライベートキー（ｙ）とからエフェメラル共有キー（Ｋｅｐｈ）を計算し、第１装置のパブリックキー（ｇａ）と自らのプライベートキー（ｂ）とからパーマネントキー（Ｋｐｅｒｍ）を計算し、第２エフェメラルパブリックキー（ｇｙ）と、エフェメラル共有キー（Ｋｅｐｈ）と、パーマネントキー（Ｋｐｅｒｍ）と、自らに対応するアイデンティティ（ＩＤｂ）とから第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））を計算し、それの証明書（Ｃｂ）と、第２エフェメラルパブリックキー（ｇｙ）と、第１の値（Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ））とを第１装置に送信し、第１装置から、第１エフェメラルパブリックキー（ｇｘ）と、エフェメラル共有キー（Ｋｅｐｈ）と、パーマネントキー（Ｋｐｅｒｍ）と、第１装置に対応するアイデンティティ（ＩＤａ）とから計算される第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を受信し、第２の値（Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ））を検証し、エフェメラル共有キー（Ｋｅｐｈ）の関数としてセッションキー（Ｋｓｅｓｓ）を計算するプロセッサ（２２）を有する。
［発明の詳細な説明］
図１は、本発明の実施例によるセッションキー交換を示す。
【０００９】
本方法のスタート前に、第１装置１１は、それのアイデンティティＩＤａと、それ自身のプライベートキーａと、パブリックキーｇａとを知っている。ｇａはｇａ  ｍｏｄ  ｐの略号であり、当該技術において周知であるように、ａは第１装置のプライベートキーであり、ｇは既知の生成器であり、ｐは既知の素数である。第２装置２１は、対応するＩＤｂ、ｂ、ｇｂを知っている。これらの装置の証明書は、パブリックキーとアイデンティティ、すなわち、Ｃａ（ｇａ，ＩＤａ）及びＣｂ（ｇｂ，ＩＤｂ）をそれぞれ有する。装置１１と１２はまた、本方法の各ステップを実行するよう構成されるプロセッサ（ＣＰＵ）１２と２２を有する。
【００１０】
ステップ２５２において、第１装置１１は、好ましくは、第１のエフェメラル（ｅｐｈｅｍｅｒａｌ）プライベートキーｘをランダムに選択し、それがメッセージ２５４によりそれの証明書Ｃａ（ｇａ，ＩＤａ）と共に送信するエフェメラルパブリックキーｇｘを計算する。
【００１１】
メッセージ２５４を受信すると、第２装置２１は、ステップ２５６において、第１装置１１の証明書Ｃａ（ｇａ，ＩＤａ）を検証する。当該検証が不成功である場合、第２装置２１は本方法を放棄する。しかしながら、検証が成功した場合、それは、好ましくはランダムに、第２エフェメラルプライベートキーｙを選択し、第２エフェメラルパブリックキーｇｙと、エフェメラル共有キーＫｅｐｈ＝ｇｘｙと、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫｐｅｒｍ＝ｇａｂとを、ステップ２５８において計算する。
【００１２】
ステップ２６０において、第２装置２１は、第２エフェメラルパブリックキーｇｙ、エフェメラル共有キーＫｅｐｈ、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫｐｅｒｍ及びそれのアイデンティティＩＤｂと、当該分野において既知の多数の関数の１つなどの適切なハッシュ関数を利用して、第１ハッシュ値Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ）を計算する。ハッシュ関数以外の適切な関数がこのためと、本実施例の以下のハッシュ値の計算に利用されてもよい。第２装置２１は、その後、第２エフェメラルパブリックキーｇｙ、それの証明書Ｃｂ（ｇｂ，ＩＤｂ）及び第１ハッシュ値Ｈ（ｇｙ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤｂ）をメッセージ２６２により第１装置１１に送信する。
【００１３】
メッセージ２６２を受信すると、第１装置１１は、ステップ２６４において、第２装置２１の証明書Ｃｂ（ｇｂ，ＩＤｂ）を検証する。当該検証が不成功である場合、第１装置１１は本方法を放棄する。しかしながら、検証が成功した場合、第１装置１１は、ステップ２６６において、エフェメラル共有キーＫｅｐｈとＤｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫｐｅｒｍとを計算する。ステップ２６８において、第１装置１１は、ステップ２６０において使用された第２装置２１と同一のハッシュ関数を利用して、第１ハッシュ値を検証する。第１ハッシュ値が認証されない場合、第１装置１１は本方法を中断するが、第１ハッシュ値が認証された場合、第１装置１１は、ステップ２７０において、第１エフェメラルパブリックキーｇｘ、エフェメラル共有キーＫｅｐｈ、Ｄｉｆｆｉｅ−ＨｅｌｌｍａｎパーマネントキーＫｐｅｒｍ及びそれのアイデンティティＩＤａを利用して、第２ハッシュ値Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ）を計算する。第１装置１１は、メッセージ２７２により第２ハッシュ値Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ）を第２装置２１に送信する。
【００１４】
メッセージ２７２を受信すると、第２装置２１は、ステップ２７４において、第１装置１０によりステップ２７０において使用されたものと同一のハッシュ関数を利用して、第２ハッシュ値Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ）を検証する。第２ハッシュ値が認証されない場合、第２装置２１は当該プロトコルを中断し、第２ハッシュ値が認証された場合、第２装置２１は、ステップ２７６において、エフェメラル共有キーＫｅｐｈのハッシュ値を計算することによって、セッションキーＫｓｅｓｓを計算する。その後、それは、第２ハッシュ値Ｈ（ｇｘ，Ｋｅｐｈ，Ｋｐｅｒｍ，ＩＤａ）が認証成功し、セッションキーＫｓｅｓｓが計算されたことを示すため、“ｒｅａｄｙ”メッセージ２７８を第１装置１１に送信する。
【００１５】
第２装置２１から“ｒｅａｄｙ”メッセージ２７８を受信すると、第１装置１１は、ステップ２８０において、第２装置２１によりステップ２７６において使用されたものと同一のハッシュ関数を利用して、エフェメラル共有キーＫｅｐｈのハッシュ値を計算することによって、同一のセッションキーＫｓｅｓｓを計算する。その後、第１装置１１は、それがまたセッションキーＫｓｅｓｓを計算したことを示すため、“ｒｅａｄｙ”メッセージ２８２を第２装置２１に送信する。
【００１６】
この時点において、第１装置１１と第２装置２１は、それらの間で送信された情報をプロテクトするのに利用可能なセッションキーＫｓｅｓｓを所有する。本発明のプロトコルによると、プライベートキーの秘匿性が保証され、認証及びキー確認が相互的なものとなる。さらに、前のセッションキーの漏洩に対するロウバストネスとフォワード秘匿性もまた保証される。ステップ２１２、２２０及び２２６に関して説明された３つのハッシュ関数が、異なっている、同一である、又はそのうちの２つが同一であり、他の１つが異なっていてもよいということを当業者は理解するであろう。
【００１７】
本記載が乱数について言及する場合、これらの数はしばしば実際には擬似ランダムであるということに留意すべきである。
【００１８】
「セキュリティモジュール」という表現は、プロセッサを有し、本発明によるセキュア認証チャネルを確立するのに利用可能な、スマートカード、ＰＣカード（以前はＰＣＭＣＩＡカードとして知られていた）、テレビなどの装置のプリント回路ボードに結合された集積回路など、携帯又は固定的な任意のタイプのセキュリティモジュールを含むものである。
【００１９】
上述した実施例は、特にデジタルテレビセット及びセキュリティモジュールにおける実現に適している。しかしながら、当業者は、本発明が実現可能であり、必要なリソース、すなわち、プロセッサと、好ましくは、必要な情報を格納するメモリとを有する任意のタイプの装置によって利用可能であるということを理解するであろう。他の装置の非限定的な具体例として、ＤＶＤプレーヤー、外部の付属物とやりとりするコンピュータ、ＡＴＭ（Ａｕｔｏｍａｔｉｃ  Ｔｅｌｌｅｒ  Ｍａｃｈｉｎｅ）、銀行カードなどがあげられる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の実施例によるセッションキー交換を示す。
【図１】
2008518530.tif 000003
【手続補正書】
【提出日】平成19年5月2日(2007.5.2)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１装置と第２装置とによって共有されるセッションキーを計算する方法であって、
第１装置は、パブリックキーと該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
第２装置は、パブリックキーと該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、当該方法は、
前記第１装置において、
第１エフェメラルプライベートキーを選択するステップと、
第１エフェメラルパブリックキーを計算するステップと、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信するステップと、
前記第２装置において、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを受信するステップと、
前記第１装置の証明書を検証するステップと、
第２エフェメラルプライベートキーを選択するステップと、
第２エフェメラルパブリックキーを計算するステップと、
前記第１エフェメラルパブリックキーと前記第２エフェメラルプライベートキーとからエフェメラル共有キーを計算するステップと、
前記第１装置のパブリックキーと前記第２装置のプライベートキーとからパーマネントキーを計算するステップと、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第２装置に対応するアイデンティティとから第１の値を計算するステップと、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信するステップと、
前記第１装置において、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第２装置から受信するステップと、
前記第２装置の証明書を検証するステップと、
前記第２エフェメラルパブリックキーと前記第１エフェメラルプライベートキーとから前記エフェメラル共有キーを計算するステップと、
前記第１装置のパブリックキーとプライベートキーとから前記パーマネントキーを計算するステップと、
前記第１の値を検証するステップと、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから第２の値を計算するステップと、
前記第２の値を前記第２装置に送信するステップと、
前記第２装置において、
前記第２の値を受信するステップと、
前記第２の値を検証するステップと、
前記エフェメラル共有キーの関数としてセッションキーを計算するステップと、
前記エフェメラル共有キーの関数として前記セッションキーを計算するステップと、
を有する方法。
【請求項２】
第２装置と共に共有セッションキーの計算に参加する第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１の値とを、前記第２装置から受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
当該第１装置のパブリックキーとプライベートキーとから前記パーマネントキーを計算し、
前記第１の値を検証し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとから第２の値を計算し、
前記第２の値を前記第２装置に送信し、
前記エフェメラル共有キーの関数としてセッションキーを計算する、
ためのプロセッサを有する第１装置。
【請求項３】
第１装置と共に共有セッションキーの計算に参加する第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとから第１の値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２の値を前記第１装置から受信し、
前記第２の値を検証し、
前記エフェメラル共有キーの関数として前記セッションキーを計算する、
ためのプロセッサを有する第２装置。
【請求項４】
ハッシュ値を検証するよう構成される第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１ハッシュ値とを、前記第２装置から受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
当該第１装置のパブリックキーとプライベートキーとから前記パーマネントキーを計算し、
前記第１ハッシュ値を検証する、プロセッサを有する第１装置。
【請求項５】
前記プロセッサはさらに、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとから第２ハッシュ値を計算し、
前記第２ハッシュ値を前記第２装置に送信する、請求項４記載の第１装置。
【請求項６】
ハッシュ値を検証するよう構成される第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとから第１ハッシュ値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１ハッシュ値とを前記第１装置に送信し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２ハッシュ値を前記第１装置から受信し、
前記第２ハッシュ値を検証する、プロセッサを有する第２装置。
【手続補正書】
【提出日】平成19年10月26日(2007.10.26)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１装置と第２装置とによって共有されるセッションキーを計算する方法であって、
第１装置は、パブリックキーと該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
第２装置は、パブリックキーと該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、当該方法は、
前記第１装置において、
第１エフェメラルプライベートキーを選択するステップと、
第１エフェメラルパブリックキーを計算するステップと、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信するステップと、
前記第２装置において、
前記第１装置の証明書と前記第１エフェメラルパブリックキーとを受信するステップと、
前記第１装置の証明書を検証するステップと、
第２エフェメラルプライベートキーを選択するステップと、
第２エフェメラルパブリックキーを計算するステップと、
前記第１エフェメラルパブリックキーと前記第２エフェメラルプライベートキーとからエフェメラル共有キーを計算するステップと、
前記第２装置のパブリックキーと前記第２装置のプライベートキーとからパーマネントキーを計算するステップと、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第２装置に対応するアイデンティティとから第１の値を計算するステップと、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信するステップと、
前記第１装置において、
前記第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第２装置から受信するステップと、
前記第２装置の証明書を検証するステップと、
前記第２エフェメラルパブリックキーと前記第１エフェメラルプライベートキーとから前記エフェメラル共有キーを計算するステップと、
前記第２装置のパブリックキーと前記第１装置のプライベートキーとから前記パーマネントキーを計算するステップと、
前記第１の値を検証するステップと、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから第２の値を計算するステップと、
前記第２の値を前記第２装置に送信するステップと、
前記第２装置において、
前記第２の値を受信するステップと、
前記第２の値を検証するステップと、
前記エフェメラル共有キーの関数としてセッションキーを計算するステップと、
前記エフェメラル共有キーの関数として前記セッションキーを計算するステップと、
を有する方法。
【請求項２】
第２装置と共に共有セッションキーの計算に参加する第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１の値とを、前記第２装置から受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
前記第２装置のパブリックキーと当該第１装置のプライベートキーとから前記パーマネントキーを計算し、
前記第１の値を検証し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとから第２の値を計算し、
前記第２の値を前記第２装置に送信し、
前記エフェメラル共有キーの関数としてセッションキーを計算する、
ためのプロセッサを有する第１装置。
【請求項３】
第１装置と共に共有セッションキーの計算に参加する第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとから第１の値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１の値とを前記第１装置に送信し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２の値を前記第１装置から受信し、
前記第２の値を検証し、
前記エフェメラル共有キーの関数として前記セッションキーを計算する、
ためのプロセッサを有する第２装置。
【請求項４】
ハッシュ値を検証するよう構成される第１装置であって、
当該第１装置は、パブリックキーと当該第１装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第１装置は、
エフェメラルプライベートキーを選択し、
第１エフェメラルパブリックキーを計算し、
前記証明書と前記第１エフェメラルパブリックキーとを前記第２装置に送信し、
前記第２装置のパブリックキーとアイデンティティとから構成される前記第２装置の証明書と、第２エフェメラルパブリックキーと、前記第２エフェメラルパブリックキー、エフェメラル共有キー、パーマネントキー及び前記第２装置に対応するアイデンティティから計算される第１ハッシュ値とを、前記第２装置から受信し、
前記第２装置の証明書を検証し、
前記第２エフェメラルパブリックキーと前記エフェメラルプライベートキーとから前記エフェメラル共有キーを計算し、
前記第２装置のパブリックキーと当該第１装置のプライベートキーとから前記パーマネントキーを計算し、
前記第１ハッシュ値を検証する、プロセッサを有する第１装置。
【請求項５】
前記プロセッサはさらに、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第１装置に対応するアイデンティティとから第２ハッシュ値を計算し、
前記第２ハッシュ値を前記第２装置に送信する、請求項４記載の第１装置。
【請求項６】
ハッシュ値を検証するよう構成される第２装置であって、
当該第２装置は、パブリックキーと当該第２装置に対応するアイデンティティとから構成される証明書を有し、前記アイデンティティと、プライベートキーと、前記パブリックキーとを知っており、
当該第２装置は、
前記第１装置のパブリックキーとアイデンティティとから構成される前記第１装置の証明書と、第１エフェメラルパブリックキーとを受信し、
前記第１装置の証明書を検証し、
エフェメラルプライベートキーを選択し、
第２エフェメラルパブリックキーを計算し、
前記第１エフェメラルパブリックキーと前記エフェメラルプライベートキーとからエフェメラル共有キーを計算し、
前記第１装置のパブリックキーと当該第２装置のプライベートキーとからパーマネントキーを計算し、
前記第２エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、当該第２装置に対応するアイデンティティとから第１ハッシュ値を計算し、
当該第２装置の証明書と、前記第２エフェメラルパブリックキーと、前記第１ハッシュ値とを前記第１装置に送信し、
前記第１エフェメラルパブリックキーと、前記エフェメラル共有キーと、前記パーマネントキーと、前記第１装置に対応するアイデンティティとから計算される第２ハッシュ値を前記第１装置から受信し、
前記第２ハッシュ値を検証する、プロセッサを有する第２装置。
【国際調査報告】
2008518530.tif 000004
2008518530.tif 000005