(57)【要約】  暗号化によるセキュリティに関する方法は、「ハード」な認証情報とは異なる「ファジー」な認証情報を用いて、物理的攻撃を受けやすい場合があるデバイス上の暗号アルゴリズムの繰り返し性を無くす。アルゴリズム（例えば、ゲート又はソフトウェア）のレベルで実行される繰り返し性を無くすことにより、デバイスは、ある特定の分類のサイドチャネル、故障注入、タイミング、及び関係する攻撃に関連する基本的な構図の想定のうちの１つを本質的に欠くことになり、したがって、システムの暗号化によるセキュリティを維持しながら、このような攻撃からシステムを保護するのに役立つ。
2014523192.tif 000002
【特許請求の範囲】
【請求項１】
第１のデバイスと第２のデバイスとの間でセキュアな通信セッションを確立するための方法であって、前記第１のデバイスが、物理的複製不可能関数（ＰＵＦ）要素を備え、前記方法が、前記第２のデバイスで実行される、
チャレンジの第２の部分を生成するステップと、
前記第１のデバイスでの署名認証のために前記チャレンジの前記第２の部分に署名し、前記第１のデバイスに前記チャレンジの前記署名された第２の部分を送信するステップと、
前記第１のデバイスでの前記物理的複製不可能関数要素への入力としての前記チャレンジの使用を表す、前記第１のデバイスからのレスポンスの暗号化を受信するステップと、
前記暗号化されたレスポンスを解読する（decrypting）ステップと、
前記チャレンジに対して予測されるレスポンスを決定し、前記解読された（decrypted）レスポンスが前記予測されるレスポンスと十分にマッチングするかどうかを判定するステップと、
前記解読されたレスポンスに基づいて対称鍵を生成するステップと、
前記第１のデバイスとの通信のために前記対称鍵を使用するステップと
を含む方法。
【請求項２】
第１のデバイスからチャレンジの第１の部分を受信するステップをさらに含む、請求項１に記載の方法。
【請求項３】
第１の部分を受信するステップが、前記第１の部分の暗号化を受信するステップと、前記受信された暗号化を解読するステップとを含む、請求項２に記載の方法。
【請求項４】
チャレンジに対して予測されるレスポンスを決定するステップが、前記チャレンジに、第１のデバイスでの物理的複製不可能関数（ＰＵＦ）要素に対応する計算的モデルを適用するステップを包含する、請求項１に記載の方法。
【請求項５】
ＰＵＦ要素の計算モデルを特徴付けるデータを第２のデバイスで受信するステップをさらに含む、請求項４に記載の方法。
【請求項６】
さらに、計算モデルを特徴付けるデータを第２のデバイスで受信するステップが、第１のデバイスから前記データの暗号化を受信するステップを含む、請求項５に記載の方法。
【請求項７】
さらに、計算的モデルが回路ベースのＰＵＦの計算モデルを含む、請求項４に記載の方法。
【請求項８】
回路ベースのＰＵＦが遅延ベースのＰＵＦを含む、請求項７に記載の方法。
【請求項９】
さらに、計算的モデルがバイオメトリックスベースのＰＵＦの計算モデルを含む、請求項４に記載の方法。
【請求項１０】
解読されたレスポンスが予測されるレスポンスと十分にマッチングするかどうかを判定するステップが、前記解読されたレスポンスの複数の部分と、前記予測されるレスポンスの対応する複数の部分との類似度を計算するステップを含む、請求項１に記載の方法。
【請求項１１】
解読されたレスポンス及び予測されるレスポンスの各々の複数の部分の各々の部分が１ビット部分である、請求項１０に記載の方法。
【請求項１２】
チャレンジの第２の部分に署名するステップが、署名処理手順において第２のデバイスに関連するプライベート鍵を使用するステップを含む、請求項１に記載の方法。
【請求項１３】
暗号化されたレスポンスを解読するステップが、解読処理手順において第２のデバイスに関連するプライベート鍵を使用するステップを含む、請求項１２に記載の方法。
【請求項１４】
チャレンジ値の第２の部分を生成するステップが、乱数生成器を用いて前記チャレンジの前記第２の部分を生成するステップを含む、請求項１に記載の方法。
【請求項１５】
同じ第１のデバイスとともに請求項１に記載のすべてのステップを繰り返すステップであり、そのことにより、繰り返し中は、チャレンジの第２の部分及び解読されたレスポンスが前の繰り返しとは異なるステップをさらに含む、請求項１に記載の方法。
【請求項１６】
第１のデバイスと第２のデバイスとの間でセキュアな通信セッションを確立するための方法であって、前記第１のデバイスが、物理的複製不可能関数（ＰＵＦ）要素を備え、前記方法が、
前記第１のデバイスでチャレンジの第１の部分を生成し、前記第２のデバイスで前記チャレンジの第２の部分を生成するステップと、
前記第１のデバイスでの署名認証のために前記第２の部分に署名するステップを含み、前記第１のデバイスと前記第２のデバイスとの間で、前記チャレンジの前記第１の部分及び前記第２の部分を交換するステップと、
前記第１のデバイスで、前記署名された第２の部分が前記第２のデバイスの有効な署名を有するかどうかを判定するステップと、
前記第１のデバイスで、前記第１のデバイスに特徴的なレスポンスを形成するために、前記物理的複製不可能関数要素への入力として前記チャレンジを使用するステップと、
前記レスポンスを暗号化された形式で前記第２のデバイスに渡すステップと、
前記第２のデバイスで、前記第１のデバイスから渡された前記レスポンスが、前記複製不可能関数要素の予測されるレスポンスと十分にマッチングするかどうかを判定するステップと、
前記物理的複製不可能関数要素の前記レスポンスに基づいて、前記第１のデバイス及び前記第２のデバイスの各々で、マッチングする通信鍵を別々に生成するステップと
を含む方法。
【請求項１７】
第１のデバイス及び第２のデバイスとセキュアな通信セッションを確立するための第２のデバイスであって、前記第１のデバイスが、物理的複製不可能関数（ＰＵＦ）要素を備え、前記第２のデバイスが、
チャレンジの第２の部分を予測不可能に生成するように構成されるチャレンジ生成器と、
前記第１のデバイスでの署名認証のために前記チャレンジの前記第２の部分に署名するための署名モジュールと、
前記第１のデバイスに前記チャレンジの前記署名された第２の部分を送信し、前記チャレンジの第１の部分の暗号化を受信し、前記第１のデバイスでの前記物理的複製不可能関数要素への入力としての前記チャレンジの使用を表す、前記第１のデバイスからのレスポンスの暗号化を受信するためのインターフェースと、
前記チャレンジの前記第１の部分を解読し、前記暗号化されたレスポンスを解読するための解読モジュールと、
前記チャレンジに対して予測されるレスポンスを決定するように構成される予測モジュールと、
前記解読モジュールから前記解読されたレスポンス、及び前記予測モジュールから前記予測されるレスポンスを受け取り、前記解読されたレスポンスが前記予測されるレスポンスと十分にマッチングするかどうかを判定するためのレスポンス認証モジュールと、
前記解読されたレスポンスに基づいて対称鍵を生成するように構成される鍵生成器と、
前記第１のデバイスとの通信の暗号処理のために前記対称鍵を使用するように構成される通信モジュールと
を備える第２のデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本出願は、参照により本明細書に組み込まれている、「Cryptographic Session Key Exchange Without a Device Root Key」と題された、２０１１年７月７日に出願した米国仮出願第６１／５０５，４５２号明細書の、及び、「Cryptographic Security Using Fuzzy Credentials for Device and Server Communications」と題された、２０１２年２月１６日に出願した米国仮出願第６１／５９９，５１５号明細書の利益を主張するものである。
【０００２】
本発明は、デバイスに関連する物理的複製不可能関数（ＰＵＦ，physical unclonable function）又は他の擬似ランダムノイズ源（noisy pseudo-random sources）から導出される「ファジー」な認証情報（credential）を用いて、デバイスとサーバとの間の通信の暗号化によるセキュリティを強化することに関する。
【背景技術】
【０００３】
「デバイス」と「サーバ」との間の通信は、広い意味では、よく用いられる構成である。この構成は、数例を挙げれば、コンピューティングクライアントとクラウドサーバとの間の、スマートカードとアプリケーションプロセッサとの間の、システムオンチップの内部に両方が集積されているデバイスモジュールとサーバモジュールとの間の、コンピューティング周辺機器とコンピューティングボックスとの間の、一方がデバイスとして機能し、他方がサーバとして機能する２つのセキュアな要素間の、又は、類似するスレーブ及びマスタの関係を伴う２つのエンティティ間の通信を含み得る。
【０００４】
従来の方法を用いて、このような通信において暗号化によるセキュリティを実現するために、暗号アルゴリズム及び「ハード」な認証情報を使用することが一般的には必要である。本願では、ハードな認証情報とは、繰り返しビットイグザクト（repeatedly bit-exact）である１つの情報を示すものとする。
【０００５】
ユーザ名及びパスワードは、例えば、銀行のウェブサイトにログインするために使用されている。この場合、ユーザのコンピューティングエンティティが「デバイス」であり、銀行のウェブサイトが「サーバ」である。サーバにログインするデバイスは、ユーザ名及びパスワードからなる「ハード」な認証情報を使用する。デバイスはサーバの公開鍵を有する。サーバは、サーバのプライベート鍵を秘密にしておく必要がある。
【０００６】
本願では、ユーザログインがセキュアな方式で自動化されることになっているならば、コンピューティングエンティティは、ユーザ名及びパスワードを、その情報を暗号化するための別の「ハード」な認証情報（例えば、暗号鍵）を使用して記憶する必要があることに留意する。
【０００７】
ユーザ名及びパスワードは、バイオメトリックスの読み取りデータ、及び、前もって供給された値にバイオメトリックスの読み取りデータを誤り訂正するためのシンドロームで置き換えられる場合もある。誤り訂正されたバイオメトリックスの読み取りデータもまた、そのデータが繰り返しビットイグザクトであるという点で「ハード」な認証情報である。
【０００８】
別の例では、セットトップボックス（「デバイス」）内のスマートカードが、コンテンツ配給者（「サーバ」）と、各々が他方の公開鍵を所有し、各々がそれ自体のプライベート鍵を秘密にしておく場合に通信可能である。プライベート鍵は、プライベート鍵が繰り返しビットイグザクトであるという点で「ハード」な認証情報である。
【０００９】
暗号アルゴリズムの背景において、「ハード」な認証情報の使用に関連するいくつかの成り行きがある。例えば、暗号鍵がＡＥＳアルゴリズムとともに使用される場合、その構図はサイドチャネル攻撃を受けやすく（P. Kocher, J. Jaffe, B. Jun,“Differential Power Analysis”, Lecture Notes in Computer Science, vol.1666, pp.388-397, 1999）、プレーンテキスト／暗号テキストペアにアクセスし、これらのペアに関連する電力を追跡する相手方は、統計的相関解析を使用して、分割統治法により、指数関数的な鍵検索空間を低減する（例えば、線形化する）ことが可能である。アルゴリズムの暗号の性質（例えば、その混乱、拡散特性）に起因して、鍵に関係する値に対するＤＰＡ仮定が正しいならば、鋭い相関スパイクが存在することになり、そうでないならば、相関は比較的平坦となる。再度言えばこの挙動（鋭い相関スパイク）は、アルゴリズムが暗号的であり（混乱、拡散特性を有し）、鍵が繰り返しビットイグザクトである（すなわち「ハード」な認証情報である）という事実に起因するものである。この部類の攻撃は、非対称アルゴリズム（鍵ペアのプライベート鍵の形式でのデバイスルート鍵を抽出する）、又は鍵導出関数（セッション鍵を導出するために使用される、又は、デバイスに関連するチャレンジ／レスポンス機構を形成するために使用される、対称鍵の形式でのデバイスルート鍵を抽出する）にもまた適用される。
【００１０】
従来の暗号技術が使用される１つの典型的なタスクは、２つの当事者間の、例えば、サーバと遠隔デバイスとの間の相互認証及びセキュアな通信である。相互認証されることにより、各々の当事者は、通信において他方の当事者の識別情報を信頼することが可能であり、各々の当事者が詐称者（他人になりすました者）と通信していないことを保証することが可能である。セキュアな通信により、各々の当事者は、例えば、通信を傍受する可能性がある他の当事者によりアクセスすることができない、２つの当事者間の通信を信頼することが可能である。
【００１１】
このタスクを実装するための１つの従来の方法は、デバイスが、そのデバイスの中に、「デバイスルート鍵」、例えば、公開−プライベート鍵ペアのプライベート鍵が符号化されていることである。一部の例ではサーバは、デバイスルート鍵に真に対応するとサーバが信頼する、対応する公開鍵のコピーを有する。この方法では、デバイスは、デバイスルート鍵を使用して、暗号署名又は解読（decryption）などの暗号関数を実行することが可能であり（より一般的には、別々のデバイスルート鍵が異なる関数のために、１つは署名のために、及び別のものは解読のために使用される）、サーバは、そのような関数の結果を分析して、正しいデバイスルート鍵が使用されたかどうかを決定することが可能である。この方法では、サーバは、デバイスルート鍵を保持する当事者としてデバイスを認証することが可能である。しかしながら、デバイスルート鍵が他の当事者に開示されている場合、それらの他の当事者が真のデバイスに対する詐称者になり得ることは明白である。同様に、サーバは、デバイスルート鍵の保持者のみがアクセスできるように、デバイスに情報をセキュアに渡すことが可能である。逆方向では、デバイスがサーバの公開鍵のコピーを信頼する場合、デバイスは、サーバを認証することが可能であり、セキュアな方式でサーバに情報を渡すことができる。一部の例では、やりとりされる情報は、セッション鍵、又はセッション鍵を生成するために使用される量（quantity）であり、セッション鍵は、さらなる情報をやりとりするために使用される。
【先行技術文献】
【非特許文献】
【００１２】
【非特許文献１】P. Kocher, J. Jaffe, B. Jun,“Differential Power Analysis”, Lecture Notes in Computer Science, vol.1666, pp.388-397, 1999
【発明の概要】
【課題を解決するための手段】
【００１３】
一態様では、一般的に、新しい方法は、「ハード」な認証情報とは異なり「ファジー」な認証情報を使用して、暗号アルゴリズムの繰り返し性（再現性）をなくし、この構図は、アルゴリズム的な（例えば、ゲート又はソフトウェア）レベルで実行される繰り返し性をなくすことにより、数例を挙げれば、ＤＰＡ、故障注入（fault injection）、タイミング攻撃などの、ある特定の分類のサイドチャネル攻撃に関連する基本的な構図の想定のうちの１つを本質的に欠く。したがって、システムの暗号化によるセキュリティを維持しながら、そのような攻撃からシステムを保護するのに役立つ（同じ暗号のハード性に関する問題及び情報理論構成が、セキュリティの基礎である）。
【００１４】
暗号鍵の形式でのハードな認証情報の使用に関連する別の成り行きは、システムの侵入的又は半侵入的な探索に関連する。暗号鍵は、デバイス上の不揮発性のセキュアなメモリに記憶される。例えば、相手方が、デバイスのデレイヤリング（delayering）によってメモリビットを探索し、メモリの状態を物理的に観察することが可能であるならば、鍵が複製され、セキュリティは危険にさらされる。暗号鍵は、例えば、暗号鍵がＡＥＳ暗号化エンジンにより使用されている間に、鍵スケジュールに関連する鍵を推測するために、エンジンの内部のレジスタ又はバスを探索し、逆方向に作動することにより、セキュアなメモリから下流の場所で攻撃される場合もある。或いは、中間結果（中間データ）がダイナミックメモリ内に存在する場合があり、これらの値は、デバイスがフリーズされ、その後に観察される場合に長時間残存し、或いは、これらの値はメモリ内に痕跡を残す場合があり、そのことによってメモリの閾値電圧が偏移し、そのことが相手方により観察される場合がある。或いは、暗号鍵は、繰り返しビットイグザクトである値に到達するための誤り訂正の助力を伴って、（鍵を記憶する代わりに）バイオメトリックスの読み取りデータから、又はＰＵＦから生成される。そのようなシステムは依然として、上記で説明したような「下流」で攻撃を受けやすい。
【００１５】
一部の態様では、新しい方法が、上記で説明した探索攻撃に対処するのに役立つ「ファジー」な認証情報を使用する。「ハード」な認証情報のケースでは、固定長のビットシーケンスが抽出の目標である。「ファジー」な認証情報が、計算的に多数のチャレンジ／レスポンスペアに関連して使用されるとき、観察されるビットシーケンスは、毎回のトランザクションで異なる。観察される値は、特定のセッションに固有である。探索攻撃を成功させるためには、固定長のビットシーケンス（すなわち、ハードな認証情報を形成する繰り返しのビットシーケンス）を抽出する代わりに、物理的な擬似ランダムノイズシステムのチャレンジ／レスポンス特性をリバースエンジニアリングする必要があり、そのことは、バス、メモリ、又はレジスタの探索での成功を超える追加的な労力を必要とする。
【００１６】
デバイス及びサーバの通信の関係において、ファジーな認証情報は、デバイス認証、暗号セッション鍵交換、及びデバイス上で保護すべき「ハード」な認証情報を用いない他の暗号通信に用いられる。加えて、本発明は、デバイス上の「ハード」な認証情報（例えば、従前の暗号鍵）を配布、認証、及びアップデートするために使用される。ファジーな認証情報の使用は、ハードな認証情報（鍵）を記憶、又は生成するよりセキュアであるので、このスキームは、鍵配布のメカニズムとして、デバイスルート鍵を認証するために、複製されたデバイスルート鍵を検出するために、鍵を再供給又はアップデートするために、並びにファームウェア及びソフトウェアをアップデートするために使用される。また、デバイス上で保護すべきデバイスルート鍵が存在しない、比較的軽量であるがセキュアなデバイスを開発するために、特定のユースケースにおいて使用することができる。
【００１７】
ファジーな認証情報を使用する、暗号化によるセキュリティは、ＰＵＦを用いて実現することができる。しかしながら、ＰＵＦは、ＰＵＦの２つの一般的なユースケースと異なる、（本出願において後述する）構成において使用する必要がある。本願では、ここで、この違いを正しく認識するように、ＰＵＦと一般的に関連する２つの分類の用途を説明する。
【００１８】
第１の分類の用途は、ハミング距離比較に基づくＰＵＦベースの認証である。ここで、ＰＵＦのレスポンスビットは、それらのビットの「ファジー」な形式で使用され、それらのビットは誤り訂正されず、そのようなシステムのセキュリティは、計算的に多数のチャレンジ／レスポンスペアに関連するとき、そのシステムが相手方に利用可能であるブラックボックスとして扱われるときに、ＰＵＦはリバースエンジニアリングするのが困難であるという想定（すなわち、ＰＵＦモデリング想定）に依拠する。そのような想定は、暗号化による等級（cryptographic-grade）のセキュリティを必要とする用途に適する場合もあれば、適さない場合もある。例えば、「Non-Networked RFID PUF Authentication」と題された、米国特許出願公開第２０１０／０１２７８２２号明細書において、デバイスは、ＰＵＦを使用してチャレンジへのレスポンスを生成し、サーバは、ＰＵＦのモデルを有し、そのモデルを用いて、生成されたレスポンスがモデリングされたレスポンスと十分にマッチするか検証する。
【００１９】
第２の分類の用途は、ＰＵＦベースの鍵生成である。ここで、ＰＵＦレスポンスは、繰り返しビットイグザクトである形式で使用される。誤り訂正を使用して、デバイスに一意的であるビットの繰り返し性のストリングに、「ファジー」なＰＵＦレスポンスを訂正することにより、ＰＵＦで導出された値が、繰り返し性のビットイグザクトの暗号鍵を導出するために使用される。そのようなシステムのセキュリティは、ＰＵＦモデリング想定に依拠する必要はもはやない。代わりにセキュリティは、暗号化による等級の用途とより合致する、暗号又は情報理論の想定に変えられる。例えば、「Data protection and cryptographic functions using a device-specific value」と題された、米国特許第７，８１８，５６９号明細書は、ＰＵＦのそのような使用の説明を含む。例として、鍵生成関数が暗号鍵を決定するために適用され、関数への入力はシリコンＰＵＦの出力である。この方法は、不揮発性記憶装置に入力又は鍵を記憶することを必要としない。一部の例では、例えば「Reliable Generation Of A Device-specific Value」と題された、米国特許第７，６８１，１０３号明細書において対処されているように、例えば、誤り訂正コードを使用して、ビットのいずれにおいても外れることなく、ＰＵＦの出力を前の出力に対応付けすることにより、ＰＵＦの前の出力がマッチングするように、ＰＵＦの前の出力を再生成するために、デバイス上で冗長情報が使用される。
【００２０】
説明したように、ＰＵＦベースの認証においてのＰＵＦレスポンスのファジーな使用には、計算的に多数のチャレンジ／レスポンスペアに関連するとき、暗号化による等級の用途に適さない場合があるＰＵＦモデリング想定に依拠するセキュリティの論点がある。対照的に、ＰＵＦベースの鍵生成においてのＰＵＦレスポンスの繰り返し性でありビットイグザクトの使用は、暗号化による等級の用途とより合致する、暗号又は情報理論の想定に依拠する方式で使用される。本発明は、ファジーな認証情報として、ファジーな誤り訂正されないＰＵＦレスポンスを使用して、暗号化による等級の認証及び暗号セッション鍵交換などの関数を実行することにより、後者（暗号、又は情報理論の想定に基づくセキュリティ）を実現する。
【００２１】
暗号化による等級のセキュリティを実現するために、ファジーな認証情報を使用することは、いくつかの利点がある。
【００２２】
誤り訂正ブロックは任意となり、システムの複雑性は低減される。
【００２３】
ファジーな認証情報の使用は、ＰＵＦデバイス上で、ある特定の分類のサイドチャネル攻撃に対して、より良好な耐性をもたらす。差分電力解析（ＤＰＡ，Differential Power Analysis）又は故障注入の攻撃などのサイドチャネル攻撃は、暗号アルゴリズムの繰り返し性に依拠することが多い。ファジーなＰＵＦ認証情報を使用して暗号化による等級のシステムを構築することにより、システムは、ある特定の分類のトランザクション（例えば、デバイス認証、セッション鍵交換、鍵アップデート）が、セキュリティのためにビットの繰り返し性のストリング（例えば、デバイスルート鍵）に依拠しないように構築されるものであり、したがって、ある特定の分類のサイドチャネル攻撃において利用されることが多い暗号アルゴリズムの繰り返し性を有さない。
【００２４】
別の例として、ファジーな認証情報の使用は、ＰＵＦデバイス上の侵入型攻撃に対して、より良好な耐性をもたらす。ファジーな認証情報、及び計算的に多数のチャレンジ／レスポンスペアを用いるシステムへの侵入型攻撃を成功させるためには、相手方は、物理的システムのチャレンジ／レスポンス特性を文字通りリバースエンジニアリングしなければならない。このことは、デバイスを侵入的に探索して、不揮発性メモリを使用して記憶された、又はＰＵＦを使用して生成された、ビットの繰り返し性のストリング（デバイスルート鍵）を抽出することより困難である。
【００２５】
（形式的な、立証可能な観点から）暗号化による等級のセキュリティを実現する方式での「ファジー」な認証情報として、したがって、ビットの繰り返しビットイグザクトであるストリングに依拠するＰＵＦベースの鍵生成又は他の方法を使用して実現される、暗号化による等級のセキュリティに対する利点としての、ＰＵＦレスポンスの使用。ファジーな認証情報によって、ある特定の分類の推論攻撃及び直接攻撃に対処するのに役立つ、システム及びプロトコルの構築が可能になる。
【００２６】
別の態様では、一般的に、相互認証されたセキュアな通信に対する方法は、デバイスでのルート鍵の不揮発性の記憶又は生成を必要としない。一部の例では、サーバはプライベート鍵を有し、デバイスは、サーバの公開鍵の信頼されるコピーを有する（又は、そのようなコピーを取得することが可能である）。このことはそれだけで、サーバ又はサーバのプライベート鍵にアクセス可能な別の当事者以外の他の当事者が情報にアクセス可能であり得ないことを知れば、デバイスがサーバにセキュアに情報を渡すのに十分である。他方で、デバイスがサーバから情報をセキュアに受信可能であるように、又はその結果サーバがデバイスを認証可能であるように、デバイスにデバイスルート鍵を記憶又は（例えば、ＰＵＦを使用して）再生成させるのではなく、デバイスは、（例えば、安定的なビットシーケンスを導出して鍵を生成するための誤り訂正を必要とせずに）直接ＰＵＦを利用して、様々なセキュリティの関数を実行する。
【００２７】
一部の例では、セッション鍵は、ＰＵＦ出力（ＰＵＦのチャレンジ出力、例えば、デバイス及びサーバの各々により部分的に生成されたチャレンジを使用したＰＵＦの出力）に基づいてデバイスで生成される。ＰＵＦ出力は、例えば、デバイスにより知られ、信頼されているサーバの公開鍵を使用して暗号化され、デバイスからサーバにセキュアに提供される。サーバは、例えば、サーバにより保持されるＰＵＦの信頼されるパラメータ又はモデルに基づく、予期されるＰＵＦ出力とＰＵＦ出力を比較することにより、セッション鍵の使用が継続される期間においてデバイスを認証する。デバイス及びサーバは両方とも、実際のＰＵＦ出力に基づいてセッション鍵を生成し、ある程度の時間、例えば、セッション鍵が更新される必要があるまで通信する。セッション鍵は、デバイスで実行される、ごくわずかな秘密の計算（例えば、デバイスルート鍵からのセッション鍵導出、誤り訂正）によって更新される。
【００２８】
別の態様では、一般的に、セキュアな通信セッションが、第１のデバイスでチャレンジ値の第１の部分を生成し、第２のデバイスでチャレンジ値の第２の部分を生成することにより、２つのデバイス間で確立される。チャレンジの第１の部分及び第２の部分は、第２のデバイスでの解読のために第１の部分を暗号化し、第１のデバイスでの署名認証のために第２の部分に署名することにより、第１のデバイスと第２のデバイスとの間で交換される。その後に、第１のデバイスで、署名された第２の部分が第２のデバイスの有効な署名を有するかどうかを判定する。チャレンジは、第１のデバイスで、第１のデバイスに特徴的なレスポンスを形成するために、物理的複製不可能関数要素への入力として使用され、レスポンスが、暗号化された形式で第２のデバイスに渡される。次いで第２のデバイスは、第１のデバイスから渡されたレスポンスが、複製不可能関数要素の予測されたレスポンスと十分にマッチングするかどうかを決定する。次いで、マッチングする通信鍵が、物理的複製不可能関数要素のレスポンスに基づいて、第１のデバイス及び第２のデバイスの各々で生成される。
【００２９】
１つの具体例では、デバイスがサーバの公開鍵の信頼されるコピーを保持し、サーバがデバイスのＰＵＦの信頼されるパラメータ又はモデルを保持することを想定して、以下の交換がセッション鍵を生成するために使用される。
Ａ）ノンス（nonce）ＮＤＥＶ及びＮＳＲＶが、デバイス間で交換される。前者は、復号化するためにサーバのプライベート鍵を必要とする形で暗号化され、後者は、それが提供される際に受信者がサーバを認証可能である方式で、サーバにより署名される。デバイス及びサーバは各々、Ｎ＝ＮＤＥＶ||ＮＳＲＶであるようにチャレンジ値を形成する。デバイスにより実行されるすべての計算は公開である（すなわち、署名検証及び暗号化は両方とも、デバイス上の公開鍵を使用し、公開の計算は、デバイス上では秘密の計算より保護しやすい）ことに留意されたい。
Ｂ）デバイスは、チャレンジＮに基づいてＰＵＦレスポンスＲを生成し、サーバは、ＰＵＦのパラメータ又はモデル、及び同じチャレンジに基づいて、モデリングされたレスポンスＲ’を生成する。ランダム変動以外では、レスポンスは、デバイスが真正であるならばきわめて類似しているはずであり、デバイスが真正でないならばまったく異なるはずである。
Ｃ）デバイスは、復号化するためにサーバのプライベート鍵を必要とする形式で暗号化されたＲをサーバに送出する。
Ｄ）サーバは、ＲをＲ’と比較して、デバイスが真正であることを明らかにするため、十分にＲがマッチングするかどうかを確認する。
Ｅ）各々の当事者は、両方の当事者に正確に知られている、最低でもＰＵＦレスポンスＲの関数である（及び、より一般的には、ノンス及び他の値もまた組み込む関数である）セッション鍵Ｋを生成する。
Ｆ）当事者が、セッション鍵Ｋを使用して通信する。
【００３０】
サーバ及びデバイスは各々、やりとりを傍受した相手方当事者が、セッション鍵Ｋを使用して暗号化された情報にアクセスするためには、相手方当事者は、サーバのプライベート鍵、及び、デバイスのＰＵＦのパラメータ、又はモデルの両方を知らなければならないことになる。さらにサーバは、パラメータ又はモデルにマッチングしたＰＵＦレスポンスをデバイスが提供可能であったので、通信が真正であることを知っており、デバイスは、量（quantities）ＮＤＥＶ及びＲが提供され、そのことで、サーバのプライベート鍵（及び、デバイスのＰＵＦのモデル）の保持者のみがセッション鍵を生成することが可能であったので、サーバが真正であることを知っている。
【００３１】
一部の例では、デバイスはデバイスルート鍵を伴って構成され、暗号処理手順（例えば署名及び／又は暗号化）はその鍵を利用する。それでも別の当事者が、例えば、予定通りに、又はルート鍵が危険にさらされていた可能性がある場合に、ルート鍵の有効性を認証し、ルート鍵を更新することを望む場合がある。
【００３２】
例として、デバイスルート鍵の更新は、デバイスと、ルート鍵を更新することを望む当事者との間にセキュアな通信を確立することを必然的に含む。次いで、新しいルート鍵がデバイスに転送される。同様に、何人かの当事者の各々は、これらの当事者がデバイス上のＰＵＦの信頼されるモデル又はパラメータにアクセス可能である限り、デバイスに対する自分自身のルート鍵を確立することが可能である。
【００３３】
一部の例では、セッション鍵は、デバイスとセキュアなセッションを確立するために使用され、セキュアなセッションを介したさらなる通信が、例えば、さらなるチャレンジとともにＰＵＦを使用することにより、真正性をさらに確立するために使用される。この方法では、これらのさらなるやりとりは、相手方当事者により傍受又は改ざんされることから保護され、そのことにより、例えばモデリング攻撃からのＰＵＦ自体の保護を強める。
【００３４】
利点は、以下のうちの１又は２以上を含み得る。
【００３５】
セッション鍵を確立することは、デバイスで比較的ほとんど計算を必要としない。例えば、ＰＵＦを使用して鍵を生成して、デバイスにより生成されるセッション鍵に対して署名又は暗号化を行うことと比較して、この方法は、正確なデバイスルート鍵の信頼性の高い再生成、又は、セッション鍵の生成の間のデバイスルート鍵の一時的な記憶を必要としない。
【００３６】
計算を低減することで、少なくとも２つの利点を供給する。第１に、計算が少ないほど、本質的に必要とされるリソース（例えば回路面積、処理時間、電力要件等）はより少ない。第２に、同じ秘密扱いの情報を繰り返し使用することを必然的に含む計算が少ないほど、例えば、差分電力解析などのサイドチャネル技術を使用する攻撃のために提供する機会はより少ない。秘密扱いの情報がデバイス上で処理されなければならない限りでは、関係する利点は、追加的なリソースが、処理中にその情報を保護するためには必要とされないということである。
【００３７】
一部の例では、ＰＵＦ出力の誤り訂正処理を保護する必要がないことが、現実化され得る利点を提供する。攻撃（又は保護）すべき、誤り訂正アルゴリズムが存在しない。攻撃（又は保護）すべき、（デバイスルート鍵からセッション鍵を導出する）セッション鍵導出関数が存在しない。デバイスを複製するためにデバイス上で攻撃すべき、繰り返し性のビットのストリング（すなわち、デバイスルート鍵）が存在せず、代わりに、物理的システムのチャレンジ／レスポンス特性が、デバイスを複製するためにデバイスを攻撃するときにモデリングされる必要がある。
【００３８】
一般的には、セッション鍵は、（デバイスルート鍵を用いずに）物理的関数から導出され、暗号アルゴリズムの繰り返し性を必要とする繰り返されるビットのストリングからは導出されないので、記憶されようと誤り訂正によって再生成されようと、ルート鍵の使用を回避することが、下流の論理の保護を与える。従来の方法では、デバイスルート鍵を繰り返し使用することが、本発明が使用される場合には必要とされない方式で、下流の論理に対する保護を加えることを必要とする場合がある。適正に設計された実装形態では、本発明においてのすべての「鍵を用いる（keyed）」計算は、公開鍵を使用する。プライベート鍵計算は追加され得るが、必要とはされない。公開鍵計算は、プライベート鍵計算より必要とする保護が少ない。
【００３９】
さらに、デバイス上のすべて又は大部分の暗号計算は、公開であり（例えば、公開鍵を使用し）、そのことにより、より保護しやすい。これらの計算に関して使用される値を成功裏に抽出しても、相手方が、デバイスと関係している物理的システムのチャレンジ／レスポンス特性のリバースエンジニアリングに成功しない限り、将来のトランザクションのなりすましはできない。対照的に、デバイスルート鍵を使用する体系を用いると、（ＰＵＦ出力で、又は下流の暗号論理の部分で）値の探索又は抽出に成功すると、デバイスの複製が容易にもたらされる。
【００４０】
パラメータ又はモデルは、サーバデータベースが盗まれる場合にサーバでのセキュリティ違反から保護するのに役立つように、署名され、暗号化され、デバイスに戻されて記憶される場合があることに留意されたい。一部の例では、署名及び暗号化されたモデル又はパラメータは、（前もって供給された）デバイスルート鍵が認証及びアップデートされる必要があるときに、並びに（例えば、上記で概説したような、セッション鍵を使用して確立されたセキュアなセッションを介して）セキュリティアップデートを実行するために取り出される。
【００４１】
この方法は、鍵配布及びセキュリティアップデートの両方が、危険にさらされていないデバイスルート鍵に依拠することなく実行され得るので、鍵配布及びセキュリティアップデート機構をサポートすることが可能である。代わりに、製造変動（及び、より具体的には物理的チャレンジ／レスポンス特性）が使用される。これは、おそらく、デバイスルート鍵の電子的な遠隔の「無線経由の（over-the-air）」セキュアなアップデートが、デバイス上のすべてのデバイスルート鍵が危険にさらされていても可能である、現在までのところ知られている最初の体系である（これは、チャレンジ／レスポンスペアがそれから決定される、ＰＵＦのモデル又はパラメータで表される製造変動特性が、危険にさらされていないことを想定している）。このように、鍵配布及びセキュリティアップデートは、デバイスの物理的特性に依拠し、そのことが、デバイスルート鍵を認証及びアップデートするために使用されるセキュリティの下部の（物理的な）層をもたらす。
【００４２】
この方法は、侵入的な攻撃へのより高いレベルの抵抗性を有し得る。従前の体系では、デバイスルート鍵を使用する下流の論理は、それらの値を取得することがデバイスの複製を可能にすることになるので、スヌーピングから保護される必要がある。本体系では、相手方が下流の論理を成功裏に探索する場合でも、物理的システムのチャレンジ／レスポンス特性をリバースエンジニアリングしなければ、相手方により取得された値は、後続のトランザクションのなりすましを行うためには使用され得ない。
【００４３】
この方法は、サイドチャネル攻撃のより高いレベルの抵抗性をさらに与え得る。差分電力解析では、暗号鍵が、繰り返し使用される鍵、及び繰り返されるアルゴリズムの計算の統計的解析を実行することにより抽出される。この方法は、繰り返し性の暗号アルゴリズムのステップが、同じデバイスルート鍵からセッション鍵を導出するために使用されないので、ある構造レベルでのある特定の分類の攻撃に対して、もとから備わった保護を有する。
【００４４】
上記で概説したこの方法の重要な用途は、そのようなデバイスルート鍵を配布するための（すなわち、鍵配布を実行するための）、デバイスルート鍵を認証して、本物のデバイスと、複製されたルート鍵を包含する複製されたデバイスとの間で区別するための、危険にさらされていないデバイスルート鍵に完全に依拠することなく、違反を引き起こした可能性がある、デバイスルート鍵の、及びソフトウェア／ファームウェア／ブートローダの、本物のデバイス上でのセキュリティアップデートを実行するための方法に関係する。代わりに、認証及びセキュアなチャネルの確立のためのセキュリティは、繰り返し記憶／生成されるビットのストリング（すなわち、デバイスルート鍵）ではなく、物理的システムのチャレンジ及びレスポンス特性に根付かせたものである。
【００４５】
一部の用途では、デバイス複製のタスクは、今度は物理的システムのチャレンジ及びレスポンス特性をリバースエンジニアリングすることを必要とし、単にビットの繰り返されるストリングの抽出を必要とするものではない。デバイスルート鍵から下流である暗号関数はまた、結果として攻撃に対する耐性がより高い。デバイスルート鍵を用いると、下流の暗号関数の侵入的な探索がデバイスルート鍵をもたらす場合がある。本発明を使用すると、（物理的チャレンジ／レスポンスシステムの完全なリバースエンジニアリングを伴わない）そのような探索攻撃は、その１つの個別のセッションに対して効力のある情報のみをもたらし、後続の暗号セッションに対して効力のある情報はもたらさない。
【００４６】
一部の用途では、この体系によってデバイスが、サーバへの人間のユーザ名／パスワードのログインと類似して、物理的に数値が求められるチャレンジ／レスポンスペアを使用してサーバにログインすることが可能になる。
【００４７】
本発明の他の特徴及び利点は、以下の説明から、及び特許請求の範囲から明らかになる。
【図面の簡単な説明】
【００４８】
【図１Ａ−１Ｂ】セッション鍵がデバイスルート鍵を使用せずに生成される、システムの実施形態のブロック図である。
【発明を実施するための形態】
【００４９】
図１Ａ及び図１Ｂを参照すると、デバイス１１０が、サーバ１５０とセキュアな通信セッションを確立するように構成されている。デバイス１１０は、チャレンジ入力を受け取り、そのチャレンジの関数を出力するモジュールである、物理的複製不可能関数（ＰＵＦ）１３０に依拠する。入力から出力への（すなわち、チャレンジからレスポンスへの）対応付けは、デバイスに一意的である（又は、より一般的には、ユーザ、デバイス、若しくはユーザ−デバイスの組み合わせに一意的である）。一部の実装形態では、ＰＵＦは集積回路の部分として実装され、対応付けの一意性は、少なくとも部分的には製作変動から生じる。例えば、異なる半導体ウェハ上の、又はウェハ上の異なる場所でのＰＵＦ回路の異なる実例は、異なる対応付けの特性を有する。様々なシリコンＰＵＦ実装形態が、以下の特許及び特許出願公開、すなわち、米国特許第７，９０４，７３１号明細書、米国特許第７，５６４，３４５号明細書、米国特許出願公開第２００７−０２５０９３８号明細書、米国特許出願公開第２００９−００８３８３３号明細書、及び米国特許出願公開第２０１０−０１２７８２２号明細書のうちの１又は２以上において説明されており、それらの文献は参照により本明細書に組み込まれている。ＰＵＦがシリコン内に全体的に実装されることは必要とされないことを理解されたい。例えば、デバイス特性と、個別のヒト対象の特性（例えば、網膜又は指紋のパターン）とを結び付ける、バイオメトリックスの入力に依拠するＰＵＦが、以下で説明する技術において使用される。
【００５０】
サーバ１５０は、一般的には数値パラメータ１７２によって構成される、デバイスのＰＵＦのモデル１７０に依拠する。例えば、回路遅延ベースのＰＵＦでは、数値パラメータは、異なる回路構成要素の遅延値を表す場合がある。これらのモデル又はパラメータをサーバ１５０に提供することに対する様々な方法を、この発明を実施するための形態において後で考察する。サーバが、モデル及びパラメータがデバイスに真に関連すると確信していることに留意されたい。例えば、相手方当事者が詐称者のデバイスのパラメータに置き換えるならば、サーバは、サーバが通信しているデバイスが詐称者のデバイスであると判断できない場合がある。同様に、サーバは、パラメータが相手方当事者に開示されていたならば、その当事者は、サーバが真のデバイスと通信しているのか、それとも複製と通信しているのかをサーバがわからないような形式で、真のデバイスを複製することが可能であるので、パラメータを非公開に保つ。
【００５１】
下記で説明する交換のシーケンスの前に、デバイス１１０は、サーバ公開鍵１２２の記憶された信頼されるコピーを取得していることが想定され、サーバ１５０は、デバイスでのＰＵＦ１３０のモデルパラメータ１７２の信頼される非公開のコピーを取得していることが想定される。
【００５２】
鍵交換処理手順は、デバイス又はサーバのいずれかにより起動される。例えば、デバイスが、デバイスでの乱数生成器１３８を使用して、処理手順において１回使用されることになる乱数であるノンス１３６を生成することにより、処理手順を開始する場合がある。デバイスは、ノンスの一時的なコピーを保管し、サーバの公開鍵１２２を使用する公開鍵暗号化器１２０を作動させて、ノンスを暗号化する。暗号化されたノンスは、サーバ１５０に送出される。
【００５３】
サーバ１５０では、解読器（decryptor）１６０が、暗号化されたノンスを受け取り、デバイスのプライベート鍵１６２を使用して、デバイスで生成されたノンスを決定し、デバイスで一時的に記憶されたノンス１３６と同一である、一時的なコピー１７６を記憶する。デバイスから受信されたノンス、及びサーバで生成されたノンスは、連結されて（又は、他の方法で組み合わされて）、組み合わされたノンスを形成する。暗号化されたノンスは、同様に暗号化される他の情報とともに送信されることに留意されたい。例えば、送信は、セキュアな通信メッセージを確立するための要求メッセージである場合があり、デバイスの識別子及び／又はサーバの識別子を含む。処理手順は、このノンスが秘密に保たれることを必要としない。そのノンスが傍受される場合でも、全体的な処理手順はセキュアなままである。プライバシーの理由で秘密に保たれることが有用であり得る他の内容（例えば、デバイスの識別子）が存在する場合があり、そのため、デバイスノンスは、サーバに送信される前に暗号化された方がよい。
【００５４】
サーバ１５０は、乱数生成器１７８を作動させてノンス１７４を生成する。サーバは、サーバのプライベート鍵１６２により構成される署名モジュール１６４を作動させて、署名されたノンスをデバイスに送信する。
【００５５】
デバイス１１０では、署名されたノンスが受信され、サーバの公開鍵１２２を使用するように構成される署名認証器１２４において、署名が認証される（本願では、より一般的には、複数の公開鍵が、例えば、１つは署名認証のために、１つは暗号化のために使用されることに留意する）。署名が有効でないならば、処理手順はデバイスにより終了される。例えば、無効な署名は、サーバからデバイスへの通信経路の中間においての当事者による置き換え又は攻撃を表す場合がある。
【００５６】
デバイスがサーバの署名を認証することを想定し、デバイスは、サーバから受信されたノンス及びデバイスで生成されたノンスを、それらがサーバで組み合わされたのと同じ方式で組み合わせ、そのことにより、サーバで形成されていた同じ組み合わされたノンスを形成する。本願では、ノンスの両方の部分を完全に相手方が知っていることは、セキュリティを危険にさらすものではないことに留意する。さらに、場合によっては悪意をもって制御される単一の側が、鍵交換を完全にデランダマイズすることを防止するために、完全なノンスを２つの部分で形成することで、（半分の鍵交換ではなく）両方の側が交換のためのランダム部分に寄与する、完全な鍵交換を形成する。サーバの署名されたノンスは、相互認証の一方の側（デバイスにより認証されたサーバ）を形成する。本願の後のほうで、デバイスが物理的ＰＵＦを使用してＰＵＦレスポンスを生成し、サーバがエミュレート／モデリングされたＰＵＦを使用してＰＵＦレスポンスを検証する場合に、デバイスがサーバによりどのように認証されるかを説明する。
【００５７】
デバイスは、デバイスのＰＵＦ１３０へのチャレンジ入力として、組み合わされたノンス１３４、１３６を使用し、結果が、サーバの公開鍵を伴って構成される暗号化器１２０に渡される。この計算は公開され、公開鍵を使用する。公開鍵暗号化は、プライベート鍵暗号化より必要とするリソースが少ない（例えば、べき指数の大きさがより小さい）。実際、デバイス上のすべての計算に関して、ここまでは公開され、従来の相互認証された鍵交換体系とは異なり、（非対称）プライベート鍵演算、又は（対称）秘密鍵演算は存在しない。保護される必要がある、デバイスルート鍵、又はビットの繰り返されるストリングは存在しない。公開の計算は、非公開の計算より保護するのが簡単である。さらに、組み合わされたノンスのランダムな性質によって、処理手順の異なる実行で、デバイス上で同じＰＵＦ出力を生成することが回避されることに留意されたい。
【００５８】
デバイスは、暗号化されたＰＵＦレスポンス出力をサーバに送信し、サーバは、デバイスＰＵＦ出力を解読する。
【００５９】
サーバ１５０では、サーバは、デバイスに対するパラメータ１７２を伴って構成されるデバイスのＰＵＦのモデル１７０への入力として、組み合わされたノンスを使用し、モデルＰＵＦレスポンス出力を生成する。一般的には、モデルＰＵＦレスポンス出力は、デバイスＰＵＦレスポンス出力と異なることになる。しかしながら、出力が十分に類似しているならば、デバイスＰＵＦがデバイスＰＵＦ出力を生成したのであり、詐称者のデバイスではないという、可能性が非常に高くなる。レスポンス認証器１８０は、デバイスＰＵＦ出力をモデルＰＵＦ出力と比較し、それらが十分に類似しているかどうかを判定する。それらが十分に類似していないならば、サーバは、処理手順を打ち切る場合があり、又は、処理が新しいノンス値を用いて再開されることを要求する場合がある。
【００６０】
この時点で、デバイス及びサーバの両方は、同じデバイスＰＵＦ出力を有する。デバイスは、セッション鍵１１４を形成するために、一般的には一方向関数であるセッション鍵生成器１１６を作動させる。サーバは、セッション鍵生成器１５６のそのコピーを作動させる、デバイスにより生成されるセッション鍵と同一であるセッション鍵１５４を生成する。
【００６１】
次に、デバイス及びサーバは、セッション鍵、並びにセッション暗号化器／解読器１１２、及び１５２を使用して通信する。
【００６２】
上記で説明した処理手順は、デバイスにより起動されることに留意されたい。処理手順は、署名されたサーバノンスを送信し、デバイスが交換でデバイスノンスを送信することにより、サーバにより起動される場合もある。
【００６３】
一部の例では、セッション鍵は定期的に更新される。一部のそのような例では、ノンスは上記で説明したように交換される。一部の例では、後続のノンスはセキュアなセッションを介して交換される。
【００６４】
一部の使用では、セッション鍵によりセキュアにされるセッションが、さらなる暗号情報を交換するために使用される。１つの個別のそのような交換が、他の通信セッションをセキュアにするために使用される、デバイスに対するルート鍵をアップデートするために、サーバ公開鍵、鍵配布、及び鍵管理等をアップデートするために使用される。
【００６５】
一部の例では、デバイスのＰＵＦに対するモデル又はパラメータは、サーバにアクセス可能であるデータベースに保管される。他の例ではパラメータは、デバイス上に暗号化された形式で、例えば、サーバにより解読可能である方式で暗号化されて保管され、サーバにより認証可能な方式で署名されていてもよい。暗号化／署名されたモデル又はパラメータはサーバに転送され、そのことによってサーバは、モデルＰＵＦレスポンスを生成することが可能である。モデルパラメータは、未処理のＰＵＦ出力（例えば、一般的にＰＵＦの内部にあるＰＵＦ値）が、モデルパラメータを推定するために計算を実行する登録エンティティに提供される、登録段階において導出される。
【００６６】
デバイス（例えば、ユーザの携帯電話）とサーバ（例えば、インターネットを介してアクセス可能なアプリケーションサーバ）との関係において、上記で説明したが、類似したやりとりが、いくつかの異なる用途において実行される。例えば、デバイス／サーバのペアは、セキュアなコンピュータプロセッサ／周辺機器又は記憶デバイスのペアである場合があり、セキュアなセッションは、（例えば、ＰＣＩ相互接続を介して）コンピューティングデバイスの内側で内部的である。そのような例では、攻撃すべきデバイス上にデバイスルート鍵が存在する必要はない。
【００６７】
一部の例では、処理はセッション鍵を生成する前に停止される場合がある。その時点で、デバイス及びサーバは互いに相互認証されている。
【００６８】
これらの方法の実施形態は、上記で説明した処理手順の一部又は全部にプロセッサを与えるための命令を含む有形の機械可読媒体に記憶されるソフトウェアにおいて実行される。一部の実施形態は、ハードウェア（例えば、特定用途向け集積回路（ＡＳＩＣ，application specific integrated circuit）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ，field programmable gate array））及びソフトウェアの組み合わせを使用する。一部の例では、有形の機械可読媒体に記憶されるデータは、例えば、上記で説明した処理手順又は関数の一部又は全部を実行する回路のハードウェア記述言語（ＨＤＬ，hardware description language、例えば、Verilog）の表現を含む、回路の設計又はレイアウトのシステムに対して機能性を付与する命令及び／又はデータを含む。
【００６９】
前述の説明は、添付の特許請求の範囲の範囲により定義される本発明の範囲を例示すること、及びその本発明の範囲を限定しないことが意図されることを理解されたい。他の実施形態が、以下の特許請求の範囲の範囲内にある。
【図１Ａ】
2014523192.tif 000003
【図１Ｂ】
2014523192.tif 000004
【国際調査報告】
2014523192.tif 000005
2014523192.tif 000006