(57)【要約】本発明は、物理トークンに基づいて、２以上の当事者の間で共有される秘密を確立する方法に関する。本方法では、登録および認証測定の両方からのヘルパーデータを使用して、両測定での信頼できるレスポンスデータだけが共有される秘密の生成に使われるようにする。したがって、生成された共有される秘密は高い確度をもって両当事者にとって同一である。本発明はさらに、そのような共有される秘密を生成する、中央データベースサーバーおよび諸端末またはそれらのうちのいずれか一つを有するシステムに関する。
2008516472.tif 000002
【特許請求の範囲】
【請求項１】
証明者と検証者の間で、チャレンジをもってチャレンジされるとレスポンスを生成する物理トークンに基づいて共有される秘密を生成する方法であって、前記検証者は前記物理トークンにチャレンジするための一つまたは複数のチャレンジならびに該一つまたは複数のチャレンジの各チャレンジについて検証者固有レスポンスおよび検証者固有レスポンス信頼度情報を含む登録データへのアクセスを有しており、当該方法が：
・前記一つまたは複数のチャレンジからあるチャレンジを選択し、該選択されたチャレンジを送信して、前記証明者と前記検証者の両方が前記選択されたチャレンジへのアクセスを有するようにする段階と；
・前記選択されたチャレンジをもって物理トークンにチャレンジして証明者固有レスポンスを得て、その得られた証明者固有レスポンスから証明者固有レスポンス信頼度情報を導出する段階と；
・前記証明者におよび／または前記検証者に情報を送信して、前記証明者および前記検証者のうちの少なくとも一方が前記証明者固有レスポンス信頼度情報および前記検証者固有レスポンス信頼度情報にアクセスできるようにする段階と；
・前記証明者および前記検証者のうちの前記少なくとも一方において、前記証明者固有レスポンス信頼度情報、前記検証者固有レスポンス信頼度情報ならびに前記証明者固有レスポンスまたは前記検証者固有レスポンスに基づいて、前記共有される秘密を生成する段階、
とを有する方法。
【請求項２】
前記証明者と前記検証者との間の前記共有される秘密に関係する情報を送信して、前記証明者および前記検証者のいずれもが前記共有される秘密を決定できるようにする段階をさらに有する、請求項１記載の方法。
【請求項３】
前記情報を送信する段階が、前記証明者固有ヘルパーデータを前記証明者から前記検証者に送信することを含んでおり、前記共有される秘密が前記検証者において生成される、請求項１記載の方法。
【請求項４】
前記情報を送信する段階が、前記検証者固有ヘルパーデータを前記検証者から前記証明者に送信することを含んでおり、前記共有される秘密が前記証明者において生成される、請求項１記載の方法。
【請求項５】
前記得られた証明者固有レスポンスから証明者固有レスポンス信頼度情報を導出する段階が、補助装置にアウトソーシングされる、請求項１記載の方法。
【請求項６】
前記登録データが暗号化された登録データを含み、当該方法がさらに前記暗号化された登録データを復号する段階をさらに有する、請求項１記載の方法。
【請求項７】
前記暗号化された登録データを復号する段階が第三者にアウトソーシングされる、請求項６記載の方法。
【請求項８】
前記共有される秘密が前記証明者と前記検証者の間で認証のために使われる、請求項１記載の方法。
【請求項９】
前記共有される秘密が識別のために使われる、請求項１記載の方法。
【請求項１０】
前記共有される秘密が前記証明者と前記検証者の間の安全な通信のために使われる、請求項１記載の方法。
【請求項１１】
前記物理トークンがPUFである、請求項１記載の方法。
【請求項１２】
前記物理トークンが光学式識別体（identifier）であり、前記チャレンジが入射光ビームである、請求項１記載の方法。
【請求項１３】
物理トークンに基づいて共有される秘密を生成する、伝送手段によって互いに接続された二つの装置、証明装置と検証装置を有するシステムであって、前記物理トークンはチャレンジをもってチャレンジされるとレスポンスを生成し、前記検証装置は一つまたは複数のチャレンジならびに該一つまたは複数のチャレンジの各チャレンジについて検証者固有レスポンスおよび検証者固有レスポンス信頼度情報を含む登録データへのアクセスを有しており、当該システムが：
・前記一つまたは複数のチャレンジからあるチャレンジを選択する選択手段および該選択されたチャレンジを送信して前記証明者と前記検証者の両方が前記選択されたチャレンジへのアクセスを有するようにするユニットと；
・前記選択されたチャレンジをもって物理トークンにチャレンジして証明者固有レスポンスを得るため、および該証明者固有レスポンスを検出するための、証明装置内の、それぞれチャレンジ手段および検出手段と；
・前記得られた証明者固有レスポンスから証明者固有レスポンス信頼度情報を導出するレスポンス信頼度計算手段と；
・前記二つの装置のうちの少なくとも一方が前記証明者固有レスポンス信頼度情報および前記検証者固有レスポンス信頼度情報にアクセスできるようにする、前記二つの装置の間で情報を送信するための一つまたは複数のユニットと；
・前記証明者固有レスポンス信頼度情報、前記検証者固有レスポンス信頼度情報ならびに前記証明者固有レスポンスまたは前記検証者固有レスポンスに基づいて、前記共有される秘密を生成する共有秘密計算手段、
とを有するシステム。
【請求項１４】
チャレンジをもってチャレンジされるとレスポンスを生成する物理トークンに基づいて、共有される秘密を生成するためのシステムにおいて使用する証明装置であって、前記システムは当該証明装置のほかに当該証明装置に伝送手段によって接続された検証装置を有しており、当該証明装置が：
・一つまたは複数のチャレンジからあるチャレンジを選択する選択手段または選択されたあるチャレンジを受信するユニットと；
・前記選択されたチャレンジをもって物理トークンにチャレンジして証明者固有レスポンスを得るため、および該証明者固有レスポンスを検出するための、それぞれチャレンジ手段および検出手段と；
・前記得られた証明者固有レスポンスから証明者固有レスポンス信頼度情報を導出するレスポンス信頼度計算手段と；
・前記検証装置から前記選択されたチャレンジに対応する検証者固有レスポンス信頼度情報を受け取るユニットと；
・前記証明者固有レスポンス、前記証明者固有レスポンス信頼度情報および前記検証者固有レスポンス信頼度情報に基づいて、前記共有される秘密を生成する共有秘密計算手段、
とを有する装置。
【請求項１５】
チャレンジをもってチャレンジされるとレスポンスを生成する物理トークンに基づいて、共有される秘密を生成するためのシステムにおいて使用する検証装置であって、前記システムは当該検証装置のほかに当該検証装置に伝送手段によって接続された証明装置を有しており、当該検証装置が：
・一つまたは複数のチャレンジからあるチャレンジを選択する選択手段または選択されたあるチャレンジを受信するユニットと；
・前記一つまたは複数のチャレンジならびに前記一つまたは複数のチャレンジの各チャレンジについて検証者固有レスポンスおよび検証者固有レスポンス信頼度情報を含む登録データにアクセスする手段と；
・前記証明装置から、前記選択されたチャレンジに対応する証明者固有レスポンス信頼度情報を受信するユニットと；
・前記選択されたチャレンジに対応する検証者固有レスポンス、前記証明者固有レスポンス信頼度情報および前記検証者固有レスポンス信頼度情報に基づいて、前記共有される秘密を生成する共有秘密計算手段、
とを有する装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全なトランザクションにおける識別、認可および暗号の目的のために、物理トークンに基づいて、２以上の当事者の間で共有される秘密、特に物理的複製不能関数（PUF:  Physical  Uncloneable  Function）を確立する方法に関する。本発明はさらに、そのような共有される秘密を生成する、証明装置および検証装置を有するシステムに関する。本発明はまた、前記証明装置および前記検証装置にも関する。
【背景技術】
【０００２】
識別、認証および暗号化／復号鍵生成のための物理トークンの使用は当技術分野において知られている。トークンはたとえばスマートカードに埋め込まれ、安全なトランザクションにおいて使用されることができる。そのようなカードをユーザーに発行する前に、トークンは「登録段階」と呼ばれる段階で登録され、その際、一つまたは複数のチャレンジ〔誰何〕を受ける。チャレンジおよび対応するレスポンス〔応答〕はそのトークンを識別する情報と一緒に、可能性としては他のデータも一緒に保存され、「登録データ」をなす。「認証段階」と呼ばれる段階でユーザーがスマートカードを使うときは、そのトークンの素性は、そのトークンを識別する情報に対応する保存されているチャレンジのうちの一つまたは複数を用いてそのトークンにチャレンジすることによって検証される。得られる単数または複数のレスポンスが登録データに保存されている単数または複数のレスポンスと同じであれば、識別は成功である。いくつかのプロトコルでは、このチャレンジ・レスポンス手順は、トークンの物理的出力をビット列に変換する何らかの処理操作によってレスポンスから導出される共有される秘密をも生じる。するとこの共有される秘密は二者間の安全なトランザクションのためのセッション鍵として使うことができる。
【０００３】
物理トークンには多くの例がある：平面ファイバー分布（planar  fiber  distributions）（たとえばIEEE  ISIT  Conference  2004の講演集録  p.173において参照されているような）、すべてのバイオメトリクスそして特に物理的複製不能関数（PUF）である。「物理トークン」とは、一般に、メモリアクセス以外の手段によって探査され、その応答が当該オブジェクトの物理的構造に依存するような物理的オブジェクトであると理解される。物理トークンの処理されていない直接的な応答はアナログでもデジタルでもよい。その応答を処理してデジタルビット列を得ることができる。これに対し、デジタルトークンは、与えられたチャレンジの組に対するレスポンス、たとえば各アドレスにおいて書き込まれたビット列を保存したデジタルメモリからなる。
【０００４】
PUFは物理的ランダム関数または物理的一方向性関数としても知られている。米国特許2003/0,204,743は、一意的な測定可能特性をもつデバイスを認証目的で測定モジュールと一緒に使用することを記載している。３Ｄ構造、探査および比較に基づくもう一つの認証方法は、米国特許6,584,214において記載されている。一般に、PUFは複製がきわめて困難な物理トークンである。ここで、「複製（cloning）」とは、(i)物理的なコピーの作成または(ii)その振る舞いをまねるコンピュータモデルの作成でありうる。PUFは多数のランダムに分布した構成要素を有する複雑な物理系である。好適なチャレンジで探査されると、PUFとチャレンジとの間の相互作用を支配する複雑な物理、たとえば乱れた媒質中での波動の多重散乱などが、各個別のチャレンジについてランダムに見える出力すなわちレスポンスを導く。PUFの複雑な小スケールの構造が物理的なコピー作成を難しくする一方、物理的な相互作用の複雑さはコンピュータによるモデル化を阻む。たとえば、光学式PUFは多数のランダムに分布した散乱体を含んだ光学媒質でありうる。チャレンジは入射ビームなどであり、その場合、レスポンスは検出器上で検出される結果としてのスペックルパターンとなる。明暗のスポットのパターンがビット列に変換できる。
【０００５】
デジタルトークンに対し、あらゆる物理トークンに関する問題は、応答がノイズの影響を受けやすいということである。測定ノイズには多くの原因がありうる。たとえばトークン／検出器の整列乱れ、あるいは温度、湿気および振動のような環境の効果である。ノイズのため、レスポンスから引き出されるビット列が誤差を有しうる。たいていの暗号プロトコルは認証段階の間に得られたビット列が登録段階の間に得られたものと厳密に等しいことを要求する。たとえば、ビット列が暗号化鍵として使われる場合、鍵のうち１ビットでも反転すれば、認識できない役に立たない結果を生じる。
【０００６】
当技術分野において知られている二つの方法が、上記の問題を少なくとも部分的に改善するために使用できる。
【０００７】
一つの方法は、ビット列の全長のある割合に等しい数のビット誤りを検出および訂正することのできる誤り訂正符号の使用である。しかしながら、そのような符号の使用はビット列抽出のプロセスに負担を課すもので、訂正できる誤りの数とともに増大する。
【０００８】
もう一つの方法は、レスポンス信頼度情報（response  reliability  information）の使用である。レスポンス信頼度情報は当技術分野において「ヘルパーデータ（helper  data）」または副情報（side  information）としても知られる。一般に、レスポンス信頼度情報は、対応するチャレンジおよびレスポンスと一緒に保存されている追加的な情報からなり、これによりビット列抽出プロセスの堅牢性が改善できる。たとえば、レスポンス信頼度情報は、アナログ形またはデジタル化された形でのレスポンスの信頼できる部分、すなわちノイズによる影響を受けていなさそうな部分を指すポインタからなっていてもよい。認証の際、レスポンス信頼度情報は、物理的出力のある部分をビット列抽出プロセスのための成分として選択するために、あるいはいくつかの部分に他の部分よりも高い重みを与えるために、あるいは信頼性のない部分を破棄するために使われる。
【０００９】
レスポンス信頼度情報と誤り訂正符号の方法を組み合わせることも可能である。
【００１０】
レスポンス信頼度情報の方法の欠点は、「信頼性」という属性の割り当てが登録段階しか反映していないということである。その時点では、認証の際に生じるノイズの属性はわかっていない。多くの応用では、レスポンスデータは、登録の際には認証の際とは異なる試験ステーションで得られる。各試験ステーションはその固有の摂動および整列乱れを有する。さらに、スマートカードなどトークンの多くの応用では、認証の際には多数の試験ステーションから選ぶことができるので、ユーザーが使用する試験ステーションの特性を予期することは不可能である。最後に、上述したような環境の効果もノイズを生じるので、データの信頼性は同じ試験ステーションでも測定ごとに変わりうる。よって、登録の際に信頼できるとラベル付けされたビットが認証の際には実際には反転してしまい、その結果、二者間での共通の共有された秘密を生成することに失敗する確率が相変わらずかなりある。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
したがって、二者間で共有される秘密を生成するより堅牢な方法を提供することが本発明の目的である。
【００１２】
そのような共有される秘密を生成する、証明装置および検証装置を有するより堅牢なシステムを提供し、前記証明装置および前記検証装置を提供することが本発明のさらなる目的である。
【課題を解決するための手段】
【００１３】
本発明によれば、第一の目的は請求項によって定義される方法によって達成される。
【００１４】
この方法では、証明者固有のレスポンス信頼度情報を、検証者固有のレスポンス信頼度情報と組み合わせて使用することで、証明者固有レスポンスおよび／または検証者固有レスポンスから共有された秘密を生成する。その結果、共有される秘密を不揃いに生成してしまう、すなわち共有される秘密を生成し損なう確率は著しく低下する。
【００１５】
換言すれば、本発明によれば、ヘルパーデータの二側（two-way）使用が採用されるのである。
【００１６】
本発明に基づく方法のある実施形態によれば、両当事者が証明者固有レスポンス信頼度情報および検証者固有レスポンス信頼度情報へのアクセスを有し、両当事者が共有される秘密を生成する。ある代替的な実施形態では、一当事者のみが証明者固有レスポンス、証明者固有レスポンス信頼度情報および検証者固有レスポンス信頼度情報へのアクセスを有し、したがって共有される秘密を生成できる。この場合、共有される秘密を生成した当事者は他方の当事者に共有される秘密に関係した情報を送信し、他方の当事者も共有される秘密を判別できるようにする。
【００１７】
前記の共有される秘密に関係した情報は、レスポンスのうち、証明者固有レスポンス信頼度情報および検証者固有レスポンス信頼度情報の両方によって信頼できるとマークされているある部分へのポインタで、それに基づいて鍵が生成されるのでもよい。
【００１８】
本発明は以下の効果を有する：
・同じ物理的測定から、従来技術よりも信頼できる形でより長い識別ストリングを構築することが可能であり、識別番号のより大きな範囲が提供される；
・同じ物理的測定から、従来技術よりも長い暗号鍵を構築することが可能であり、セキュリティが改善される；
・従来技術と同じ鍵長を保ちながら今では改良されたノイズ許容度をもつことが可能である；
・前記の改良されたノイズ許容度によりトークンおよび測定装置についてのコスト削減が可能になる。
【００１９】
本発明のある実施形態では、共有される秘密の大きさは柔軟でありうる。前記二つのヘルパーデータが組み合わされたのち、共有される秘密の大きさが予見されたものとは実質的に異なるということが起こりうる。すると両当事者は使用すべき鍵の大きさを交渉し、一緒に、事前に定められたものとは異なるある鍵長を決定できる。物理トークンを含んでいるスマートカードの所有者が関与してもよい。たとえば、該所有者に若干短いセッション鍵を許容できるかどうかを尋ねてもよい。
【００２０】
さらに、誤り訂正符号は使用されたとしても従来ほど複雑ではなく、堅牢だが単純な誤り訂正方式を与える。
【００２１】
本発明によってビット列の導出における誤りの期待数が低減されるので、誤り訂正符号による誤り訂正の計算努力がさらに低減され、線形以上の計算に関する利点がある。このように、二側ヘルパーデータの誤り訂正符号との組み合わせにより、２つの部分の単なる合計以上の利点が得られるのである。
【００２２】
誤り確率の違いの簡単な例として、標準偏差σの単一のガウス分布の変数を考えることができる。第一の測定（登録）によって絶対値が何らかの閾値Tより大きいある値fが与えられる場合に、その変数は「堅牢」と見なされる。そのような堅牢な変数を与えられると、第二の測定においてビット反転が起こる確率は、従来技術の方法（一側（one-way）ヘルパーデータ）によれば、第二の測定がfとは符号が反対の数Fを与える確率に等しい。この確率は次式で与えられる。
【００２３】
ErrorProb(一側)＝(1/2)[1−Erf(f/2σ)]
しかし、本発明に基づく二側データ法を使う場合は、ビット反転の確率は、Fが逆符号をもつだけでなく、その絶対値が前記閾値Tより大きくもある確率
ErrorProb(二側)＝(1/2)[1−Erf((f＋T)/2σ)]
に等しい。以下の諸例のようにσより大きい閾値Tを選ぶのが論理的である。T＝1.5σでfがその閾値よりやや上だとすると、一側法は14%の誤り確率をもつが、二側法の誤り確率はたった2%である。T＝2σについては、割合は8%対0.2%となる。いずれの場合にも、本発明は誤り確率の劇的な低下をもたらす。
【００２４】
最後に、証明者と検証者の間の通信チャネルは公開チャネルであると想定される。本発明に基づいて交換されるあらゆる情報は開かれた公開チャネル上を危険なしにやりとりされることができる。情報の量および種類は、第三者が何らかの秘密を暴いたり、秘密のビット列のコピーを生成したりするには不十分なのである。さらに、一般にさらされる情報の量（高々：チャレンジの型と二組のヘルパーデータ）は二当事者が共同の秘密を決定できるようにするのにちょうど十分なものである。
【００２５】
異なる諸実施形態では、共有される秘密は前記二者間での識別、認可または安全な通信のために使用される。
【００２６】
本発明はさらに、証明者および検証者における処理ユニットをしてそれぞれ上記の方法を実行せしめるための命令が記憶されたコンピュータ可読媒体に関する。
【００２７】
本発明に基づく方法のさまざまな実施形態は従属請求項において定義される。
【００２８】
本発明によれば、前記さらなる目的は請求項によって定義されるシステム、請求項によって定義される証明装置および請求項によって定義される検証装置によって達成される。
【００２９】
選択手段は証明装置または検証装置または第三者のいずれに位置していてもよい。
【００３０】
選択手段とは独立に、レスポンス信頼度計算手段は証明装置または第三者のいずれかに位置していてよい。
【００３１】
選択手段およびレスポンス信頼度計算手段とは独立に、共有秘密計算手段は証明装置および検証装置のいずれかもしくは両方に、あるいは第三者に位置していてもよい。ある実施形態では、レスポンス信頼度計算手段および共有秘密計算手段は、証明装置の一部として一体であるか、または第三者に位置している。
【００３２】
本発明の好ましい実施形態についてこれから図面を参照しつつ説明する。
【発明を実施するための最良の形態】
【００３３】
図１は、本発明に基づく物理トークンの登録またはブートストラップ段階を示している。物理トークン１０２は図においてID#と称されている識別タグとともに試験装置１０５に挿入され、一連のチャレンジC_iを受ける。ここで、添え字iはチャレンジ番号である。本発明のある実施形態では、物理トークンはスマートカード１０１に埋め込まれている。例として、物理トークンはPUF、たとえば再現不能な散乱体をもつ3D不均一媒体からなっていてもよい。チャレンジは、入射角、波長などの何らかのパラメータによって識別される入射ビーム１０６である。
【００３４】
理論上は、物理トークンをチャレンジする方法は非常に多数ありうる。しかしながら、実際上は、登録の際に物理トークンが受けるチャレンジの数はむしろ、たとえば数百のオーダーである。それは主に二つの理由によるもので、第一に、物理的測定に費やされる時間を短縮するため、そして第二に、必要な記憶容量を合理的な範囲で低レベルに保つためである。したがって、チャレンジは必要な数だけなされうる。さらに、スマートカード上のデータはいつでも更新でき、新しいチャレンジの組を物理トークンに対してなすことができる。
【００３５】
物理トークンをチャレンジする各チャレンジC_iについて対応するレスポンスR_iが検出され、登録固有の副情報S_i（ヘルパーデータ・レスポンス信頼度情報とも呼ばれる）が導出される。登録固有ヘルパーデータS_iは、信頼できるデータと信頼できないデータについての情報を含む。試験がPUFの照射である例では、レスポンスは2Dスペックルパターンをフィルタ処理してビット列としたものでありうる。ここで、各ビットは特定の位置における光強度を表す。その際、ヘルパーデータは、レスポンスにおける、信頼できるデータを含んでいるビット、たとえば光強度が確実に低または確実に高である位置に対応するビットへのポインタの組からなる。ヘルパーデータはレスポンスのマスクの形をとってもよい。レスポンスのマスクとはすなわち、レスポンスを表すビット列と同じビット数をもち、「1」がレスポンス中の対応するビットが信頼できることを示し、「0」が信頼できないことを示すようなビットの配列である。
【００３６】
最後に、共同して登録データをなす物理トークンの識別情報ID#、チャレンジC_i、対応する検出されたレスポンスR_iおよび副情報S_iがデータベースサーバー１０３に保存され、その後の認証段階の間に検証装置によってアクセスできるようになる。データは、チャレンジならびに対応するレスポンスおよびヘルパーデータが物理トークンの識別情報ID#にリンクされているように格納されるので、これらのデータはのちにトークンの識別情報だけから引き出せる。
【００３７】
応用によっては、中央データベースは存在しないことも可能である。チャレンジ・レスポンス・データは完全に、または部分的にスマートカード上に必要なら暗号化された形で保存されてもよい。代替的に、チャレンジおよびレスポンスのデータは数多くの異なるデータ担体に分散されてもよい。
【００３８】
図２は、本発明の一つの実施形態に基づく証明装置２０３および検証装置２０５を用い、二側誤り訂正方式を使って二当事者がどのように共通かつ秘密の鍵Kを得るかを示している。識別情報ID#および物理トークン１０２を含むスマートカード１０１が証明装置２０３または端末において使用される。ID#が検証装置２０５に送られる。検証装置はたとえば、物理トークンの登録段階での保存された全測定すなわち登録データを含んでいるか、該登録データへの直接アクセスを有するかする中央データベースサーバーである。ID#はこれらの測定にリンクされており、測定のうちから保存されているチャレンジの一つCが選ばれて、対応するサーバー固有副情報Sとともに、開かれた公開通信チャネル上で端末に送り返される。端末（terminal）では、図２で破線で示されている測定／試験ステーション２０７において物理トークン１０２に対してチャレンジCが実行され、対応する端末固有レスポンスRTおよび端末固有副情報STが得られる。一般に、測定ステーション２０７は、図１のブートストラップ段階で使われたものとは異なっている。端末固有副情報STは、登録の際に用いられたのと同じ手順をヘルパーデータ抽出に使うことで得られる。物理的な測定におけるノイズならびに試験装置における可能性のある不正確さのため、レスポンスR Tはおそらくは登録段階で最初に測定されたRと同じではない。端末２０３による使用の際に生成されたレスポンスR Tに関する端末固有副情報S Tがデータベースサーバー２０５に送り返される。端末２０３およびデータベースサーバー２０５のいずれのシステムでも、二組のヘルパーデータ、すなわちサーバー固有のSおよび端末固有のS Tが組み合わされて、両システムに共通の組み合わされたヘルパーデータS′を生じる。最後に、両当事者は共通の手順を使って秘密鍵を生成する。サーバーはKをRおよびS′から生成する。端末はK
TをR TおよびS
Tから生成する。非常に高い確率で、KおよびK
Tは同一である。というのも、これらは今や両当事者によって信頼できると見出されている物理的出力の部分に基づいているからである。
【００３９】
本発明のある実施形態によれば、鍵長は柔軟でありうる。両当事者がS ′を知っているとき、両者は共同して事前に定められたのとは異なるある鍵長を決定することができる。使用後、鍵Kは破棄され、前記のチャレンジCはこの特定の物理トークンに対しては二度と使用されない。
【００４０】
上述した二側ヘルパーデータの使用は、何らかの種類の誤り訂正符号と組み合わせて、共有される秘密におけるビット誤りの確率をさらに低下させることもできる。
【００４１】
広い意味では、本発明は端末およびデータベースサーバーをカバーするのみならず、より一般に物理トークンをもつ証明者および検証者をもカバーする。
【００４２】
やはり図１に関連して述べたように、本発明によれば、登録データは全くどこに存在していてもよい。たとえばトークンのすぐ隣のスマートカード上（必要なら暗号化された形で）、あるいは種々の記憶媒体（たとえばインターネットを介してオンラインでアクセスできるもの）にわたって分散して存在していてもよい。一つの有望な選択肢は、端末とスマートカードだけを残して中央サーバーの必要をなくすことである。同様に、チャレンジはどこに保存されていてもよく、検証者がもっていなくてもよい。本発明によれば、検証者はチャレンジについてすべてを知っている必要はない。
【００４３】
さらに、証明者または端末は新しい端末固有ヘルパーデータをその文字通りの形で送る必要はない。証明者はたとえば、検証者がSTまたはS′を導出できるようにするS′またはSTの任意の関数を送るのでもよい。
【００４４】
本発明によれば、端末または証明者はほとんど計算資源をもたないことも可能である。この場合、端末または証明者はいくぶん生のままのレスポンスデータをサーバーに送ることができ、サーバーがヘルパーデータの第二の組を計算して端末にSTまたはS′の結果について伝えるようになる。このすべては、適正な暗号化が用いられていれば、安全な方法で行える。
【００４５】
上述した場合では、本発明は生のデータの前処理を含んでいて、サーバーに送られるデータが扱いやすいサイズになるようにしてもよい。
【００４６】
本発明のさらに別の実施形態では、認証の際のヘルパーデータの抽出は登録からのヘルパーデータに依存しうる。これはいかなる種類の関数の依存性でもよい。
【００４７】
本発明のあるさらなる実施形態では、検証者固有ヘルパーデータを生成するために使われた閾値は、証明者固有のヘルパーデータの抽出に関して助けるために証明者によってアクセスされうる。
【００４８】
上記の諸実施形態は本発明を限定するのではなく解説するものであり、当業者は付属の請求項の範囲から外れることなく数多くの代替的な実施形態を設計できるであろうことは注意しておくべきである。
【００４９】
請求項において、括弧内に参照符号があったとしてもその請求項を限定するものと解釈してはならない。動詞「有する」およびその活用形の使用は請求項において述べられているもの以外の要素またはステップの存在を排除しない。要素の単数形の表現はそのような要素の複数の存在を排除しない。本発明は、いくつかの相異なる要素を有するハードウェアによって、および好適にプログラミングされたコンピュータによって実装されてもよい。いくつかの手段を列挙している装置請求項においては、それらの手段のいくつかが同一のハードウェア項目によって具現されてもよい。ある種の施策が互いに異なる従属請求項において言及されているというだけの事実がそれらの施策の組み合わせが有利に使用できないことを示すものではない。
【図面の簡単な説明】
【００５０】
【図１】PUFカードのための登録すなわちブートストラップ段階を示す図である。
【図２】本発明に基づく二側誤り訂正方式に基づく、PUFカードの使用の際のPUFのチャレンジ、情報の流れおよびセッション鍵生成を示す図である。
【図１】
2008516472.tif 000003
【図２】
2008516472.tif 000004
【国際調査報告】
2008516472.tif 000005
2008516472.tif 000006
2008516472.tif 000007