(57)【要約】  装置グループ１１０に新たな装置１２１を追加する方法であって、前記装置グループは信用モジュール１５１をホストする少なくとも１つの装置１１１を有し、前記方法は、前記装置グループ内の前記信用モジュール１５１、１５３及び装置１１１、１１２、１１３、．．．、１１Ｎのキー、並びに前記新たな装置１２１のキーを生成するステップと、前記生成されたキーを、前記装置グループ１１０内の前記信用モジュール１５１、１５３に配布するステップと、前記生成されたキーを、前記装置グループ内の各装置が前記新たな装置の前記キー、前記装置グループ内の前記信用モジュール及び自らの装置キーを除く全ての他の装置の前記キーを受け取るように、前記装置グループ内の前記装置に配布するステップと、前記信用モジュール１５１と前記新たな装置１２１との間に安全な認証済み通信路１３０を確立するステップと、前記新たな装置の前記キーを除く前記生成されたキーを前記新たな装置１２１に送るステップと、を含む方法。
2014530554.tif 000002
【特許請求の範囲】
【請求項１】
装置グループに新たな装置を追加する方法であって、前記装置グループは、信用モジュールをホストする少なくとも１つの装置を有し、前記装置グループ内の各装置及び装置によってホストされる各信用モジュールは、メッセージを暗号化するための装置キーを保持し、前記方法は、
前記装置グループ内の前記１つ又は複数の信用モジュールの装置キー、前記装置グループ内の１つ又は複数の装置の装置キー、及び前記新たな装置の装置キーを生成するステップと、
前記生成された装置キーを前記装置グループ内の前記１つ又は複数の信用モジュールのそれぞれに配布するステップと、
前記装置グループ内の各装置が前記新たな装置の前記装置キー、前記装置グループ内の前記１つ又は複数の信用モジュールの前記装置キー、及び自らの装置キーを除く前記装置グループ内の他の装置の前記装置キーを受け取るように、前記生成された装置キーを前記装置グループ内の前記１つ又は複数の装置のそれぞれに配布するステップと、
前記１つ又は複数の信用モジュールのうちの信用モジュールと前記新たな装置との間に安全な認証済み通信路を確立するステップと、
前記新たな装置自体の前記装置キーを除く前記生成された装置キーを前記新たな装置に送るステップと、
を有する、方法。
【請求項２】
前記新たな装置によって生成された任意のキーを前記安全な認証済み通信路上で前記新たな装置から受け取るステップと、
前記装置自体の前記装置キーを除く前記受け取ったキーを前記装置グループ内の前記１つ又は複数の信用モジュール及び１つ又は複数の装置のそれぞれに配布するステップと、
をさらに有する、請求項１に記載の方法。
【請求項３】
前記装置グループ内の前記１つ又は複数の信用モジュールのそれぞれの前記装置キー及び前記１つ又は複数の装置のそれぞれの前記装置キーは、前記装置グループ内の前記信用モジュール及び装置のそれぞれの既存のキーに対して一方向性関数を実行することよって生成される、請求項１に記載の方法。
【請求項４】
前記全ての装置キーは前記１つ又は複数の信用モジュールの前記信用モジュールによって生成され、
前記装置グループ内の前記１つ又は複数の信用モジュールの前記信用モジュールは、前記装置グループ内の全ての信用モジュールの装置キー及び前記装置グループ内の全ての装置の装置キーを保持し、
前記装置グループ内の各装置は、自らの装置キーを除く前記装置グループ内の全ての信用モジュールの前記装置キー及び全ての他の装置の前記装置キーを保持する、請求項１に記載の方法。
【請求項５】
前記新たな装置の前記装置キーは、無作為に生成される、請求項１に記載の方法。
【請求項６】
前記装置グループ内の前記全ての装置の既存の装置キーから構築されたキーを使用し、メッセージ内の前記装置キーを暗号化することによって、前記全ての装置キーは、前記装置グループ内の全ての信用モジュールに配布される、請求項１に記載の方法。
【請求項７】
前記装置キーは、前記装置グループ内の全てのアドレス指定されていない装置の既存の装置キーから構築されたキーを使用し、メッセージ内の前記メッセージの宛先である前記装置の前記装置キーを除く前記全ての装置キーを暗号化することによって、前記装置グループ内の各装置に配布される、請求項１に記載の方法。
【請求項８】
装置グループに新たな装置を追加する方法であって、前記装置グループは信用モジュールをホストする少なくとも１つの装置を有し、前記追加される新たな装置が信用モジュールをホストし、前記装置グループ内の各装置及び装置によってホストされる各信用モジュールは、メッセージを暗号化するための装置キーを保持し、前記方法は、
前記装置グループ内の１つ又は複数の信用モジュールの装置キー、前記装置グループ内の１つ又は複数の装置の装置キー、前記新たな装置の装置キー、及び前記新たな装置によってホストされる前記信用モジュールの装置キーを生成するステップと、
前記生成された装置キーを前記装置グループ内の前記１つ又は複数の信用モジュールのそれぞれに配布するステップと、
前記装置グループ内の各装置が前記新たな装置の前記装置キー、前記新たな装置によってホストされる前記信用モジュールの前記装置キー、前記装置グループ内の前記１つ又は複数の信用モジュールの前記装置キー、及び自らの装置キーを除く前記装置グループ内の他の装置の前記装置キーを受け取るように、前記生成された装置キーを前記装置グループ内の前記１つ又は複数の装置のそれぞれに配布するステップと、
前記装置グループ内の前記１つ又は複数の信用モジュールのうちの信用モジュールと前記新たな装置によってホストされる前記信用モジュールとの間に安全な認証済み通信路を確立するステップと、
前記生成された装置キーを前記新たな装置によってホストされる前記信用モジュールに送るステップと、
前記新たな装置自体の前記装置キーを除く前記生成された装置キーを前記新たな装置に送るステップと、
を有する、方法。
【請求項９】
前記新たな装置によってホストされる前記信用モジュールにより生成された任意のキーを前記安全な認証済み通信路上で前記新たな装置によってホストされる前記信用モジュールから受け取るステップと、
前記装置自体の前記装置キーを除く前記受け取ったキーを前記装置グループ内の前記１つ又は複数の信用モジュール及び１つ又は複数の装置のそれぞれに配布するステップと、
をさらに有する、請求項８に記載の方法。
【請求項１０】
前記装置グループ内の前記１つ又は複数の信用モジュールのそれぞれの前記装置キー及び前記１つ又は複数の装置のそれぞれの前記装置キーは、前記装置グループ内の前記信用モジュール及び装置のそれぞれの既存のキーに対して一方向性関数を実行することよって生成される、請求項８に記載の方法。
【請求項１１】
前記全ての装置キーは、前記１つ又は複数の信用モジュールの前記信用モジュールによって生成され、
前記装置グループ内の前記１つ又は複数の信用モジュールの前記信用モジュールは、前記装置グループ内の全ての信用モジュールの装置キー及び前記装置グループ内の全ての装置の装置キーを保持し、
前記装置グループ内の各装置は、自らの装置キーを除く前記装置グループ内の全ての信用モジュールの前記装置キー及び全ての他の装置の前記装置キーを保持する、請求項８に記載の方法。
【請求項１２】
前記新たな装置の前記装置キー及び前記新たな装置によってホストされる前記信用モジュールの前記装置キーは、無作為に生成される、請求項８に記載の方法。
【請求項１３】
前記装置グループ内の前記全ての装置の既存の装置キーから構築されたキーを使用し、メッセージ内の前記装置キーを暗号化することによって、前記全ての装置キーは、前記装置グループ内の全ての信用モジュールに配布される、請求項８に記載の方法。
【請求項１４】
前記装置キーは、前記装置グループ内の全てのアドレス指定されていない装置の既存の装置キーから構築されたキーを使用し、メッセージ内の前記メッセージの宛先である前記装置の前記装置キーを除く前記全ての装置キーを暗号化することによって、前記装置グループ内の各装置に配布される、請求項８に記載の方法。
【請求項１５】
装置グループに新たな装置を追加する方法であって、前記装置グループは、前記装置の少なくとも１つが信用モジュールをホストした状態でｎ（ｎ＞０）の装置を有し、アドレス指定された装置だけがｋ−耐障害方式（ｋ＞１）の下で前記メッセージを復号できるように、前記装置グループ内の各装置及び装置によってホストされる各信用モジュールが、それにより前記全装置グループ又は前記装置グループの任意の部分集合へのメッセージを暗号化することができるキーマテリアルを保持し、前記方法は、
前記新たな装置によって拡張されるｋ−１以下のメンバを有する前記装置グループの部分集合、従ってｋメンバ装置以下の部分集合のために、前記装置グループの前記部分集合内の前記装置及び前記新たな装置を除く全ての装置によって復号され得るメッセージを暗号化するための、部分集合ごとのキーマテリアルを生成するステップと、
前記生成されたキーマテリアルを前記装置グループ内の１つ又は複数の信用モジュールに配布するステップと、
前記生成された部分集合ごとのキーマテリアルを、前記装置グループの前記部分集合の一部ではない前記装置グループ内の装置に配布するステップと、
前記信用モジュールと前記新たな装置との間に安全な認証済み通信路を確立するステップと、
前記新たな装置が属する前記部分集合のキーマテリアルを除く生成された装置キーマテリアルを前記新たな装置に送るステップと、
を有する、方法。
【請求項１６】
前記新たな装置によって生成された任意のキーマテリアルを前記安全な認証済み通信路上で前記新たな装置から受け取るステップと、
前記受け取ったキーマテリアルを前記１つ又は複数の信用モジュールのそれぞれに、及びに前記受け取った部分集合ごとのキーマテリアルを前記装置グループの前記部分集合の一部ではない前記装置グループ内の装置に配布するステップと、
をさらに有する、請求項１５に記載の方法。
【請求項１７】
装置グループに新たな装置を追加する方法であって、前記装置グループは、前記装置の少なくとも１つが信用モジュールをホストした状態でｎ（ｎ＞０）の装置を有し、前記追加される新たな装置が信用モジュールをホストし、アドレス指定された装置だけがｋ−耐障害方式（ｋ＞１）の下で前記メッセージを復号できるように、前記装置グループ内の各装置及び装置によってホストされる各信用モジュールが、それにより前記全装置グループ又は前記装置グループの任意の部分集合へのメッセージを暗号化することができるキーマテリアルを保持し、前記方法は、
前記新たな装置によって拡張されるｋ−１以下のメンバを有する前記装置グループの部分集合、従ってｋメンバ装置以下の部分集合のために、前記装置グループの前記部分集合内の前記装置及び前記新たな装置を除く全ての装置によって復号され得るメッセージを暗号化するための、部分集合ごとの新たなキーマテリアルを生成するステップと、
前記生成されたキーマテリアルを前記装置グループ内の１つ又は複数の信用モジュールに配布するステップと、
前記生成された部分集合ごとのキーマテリアルを、前記装置グループの前記部分集合の一部ではない前記装置グループ内の装置に配布するステップと、
前記装置グループ内の前記装置の前記少なくとも１つによってホストされる前記信用モジュールと前記新たな装置によってホストされる前記信用モジュールとの間に安全な認証済み通信路を確立するステップと、
前記生成された装置キーマテリアルを前記新たな装置によってホストされる前記信用モジュールに送るステップと、
前記新たな装置が属する前記部分集合のキーマテリアルを除く前記生成されたキーマテリアルを前記新たな装置に送るステップと、
を有する、方法。
【請求項１８】
前記新たな装置によってホストされる前記信用モジュールにより生成された任意のキーマテリアルを安全な認証済み通信路上で前記新たな装置から受け取るステップと、
前記受け取ったキーマテリアルを前記１つ又は複数の信用モジュールのそれぞれに、及び前記受け取った部分集合ごとのキーマテリアルを前記装置グループの前記部分集合の一部ではない前記装置グループ内の装置に配布するステップと、
をさらに含む、
請求項１７に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はグループ秘密の管理に関し、より詳細にはグループメンバがグループ秘密を管理するための方法及びシステムに関する。
【背景技術】
【０００２】
本明細書の特定の実施形態は、グループメンバへのキーを管理し配布する中央機関を必要とすることなしに、グループを開始すること、グループメンバシップを拡大すること、及びグループメンバシップを減らすことを含む、装置グループのキーを管理することを対象とする。特定の実施形態は、装置グループの或る装置が、グループメンバのうちの装置の任意のサブグループに保護されたメッセージを送ることを更に可能にし、アドレス指定されていない装置はそのメッセージを復号することができない。
【０００３】
メッセージ暗号化方式はよく知られており、例えば「ゼロメッセージブロードキャスティング」（ＺＭＢ：Zero Message Broadcasting）や「ブロードキャスト暗号化」などに基づくことができる。例えばAmos Fiat and Moni Naor, Broadcast Encryption, 1993（以下Fiat & Naor）を参照されたい。Fiat & Naorは、ブロードキャスト暗号化について検討している。一般に「ブロードキャスト暗号化」という用語は、単純にブロードキャストの暗号化を意味することができる。しかし、Fiat & Naorによって紹介されるように、この用語は特定の意味をもつ。Fiat & Naorの「ブロードキャスト暗号化」は、ブロードキャスタが既定の装置グループの部分集合にメッセージを安全にブロードキャストできるようにするために開発された。この既定のグループは装置グループと呼ばれる。
【０００４】
Fiat & Naorのブロードキャスト暗号化の最も単純な改変形態の中心概念は、装置グループ内の各装置が、自らの装置キーを除く装置グループ内の他の全ての装置の装置キーを保持することである。装置グループは、装置グループキーも有することができる。各装置にグループサイズ引く１よりも少ないキー、例えば２ｌｏｇ（グループサイズ）キーだけ発行されれば良く、各装置がそれらのキーから必要な全てのキーを計算できるように、大きいグループのためのキー管理手続きがあることに留意されたい。
【０００５】
メッセージのブロードキャスタが装置グループの装置の部分集合のアドレスにメッセージを安全に送りたい場合、ブロードキャスタはアドレス指定された装置のＩＤをメッセージの平文部分として入れ、アドレス指定されていない装置の全ての装置キーの関数である暗号化キーを計算する。アドレス指定された装置は自らのキーを有さないので、アドレス指定されていない装置の装置キーが使用される。ブロードキャスタがメッセージを暗号化し、ブロードキャストする。アドレス指定されていない装置グループ内の装置は、自らのキーを有さないのでメッセージを復号することができない。装置グループの外部の装置は、アドレス指定されていない装置のキーを有さないのでメッセージを復号することができない。装置グループ内のアドレス指定された装置だけがメッセージを復号することができる。当然ながら、装置グループに属する装置は、装置キーからメッセージキーを計算するためのアルゴリズムを知っている必要がある。概して、このアルゴリズムは装置グループの外部に秘密にしておく必要はない。
【０００６】
関連した概念がｋ−耐障害性（resiliency）である。“Broadcast Encryption,” Krishnaram Kenthapadi, November 11, 2003では、ｋ−耐障害性を以下のように定める。
【０００７】
ｎ利用者の組Ｕから成るシステムでは、１組の利用者Ｓとの共通部分をもたない部分集合Ｔごとに、Ｓの全ての秘密を有する傍受者がＴに共通である秘密に関する「知識」を得ることができない場合、ブロードキャスト方式は１組の利用者Ｓに対して耐障害性がある。セキュリティの情報理論的定義又は計算の定義を検討する。サイズｋの任意の組Ｓ⊂Ｕに対して耐障害性がある場合、その方式はｋ−耐障害である。
【０００８】
ｋ−耐障害性を定義するもう１つの方法は、ブロードキャスト方式は、全てのグループ秘密を得るために少なくともｋ＋１のメンバが結託又は協力し合う必要がある場合にｋ−耐障害である。グループの知識を組み合わせるそのような攻撃は結託攻撃と呼ばれる。
【０００９】
上記の方式は１−耐障害である。どのグループメンバも自らの欠落した秘密、自らのキーを他の任意のグループメンバから知ることができるので、上記の定義ではそれは簡単に分かる。
【００１０】
既存のｋ−耐障害ブロードキャスト暗号化方式の例は、Amos Fiat and Moni Naor, Broadcast Encryption, 1993、及びKrishnaram Kenthapadi, Broadcast Encryption, November 11, 2003の中で見つけることができる。
【００１１】
装置グループにメンバを追加する場合、全ての旧メンバは、通常新たなグループキーが発行され又は旧グループキーに対して一方向性関数を実行し、新たなメンバには新たなキーが発行される。一方向性関数とは、全ての入力について容易に計算できるが、逆関数の計算が非常に困難である数学関数であることに留意されたい。そうすることにより、新たなメンバはグループに送られる古いメッセージを復号することができない。実際の実装では、これは必要条件でもそうでなくても良い。
【００１２】
装置グループ内の全ての装置へのメッセージの送信
装置グループの外部のブロードキャスタが装置グループ内の全ての装置にメッセージをブロードキャストする必要がある場合、アドレス指定されていない装置がなく、そのためブロードキャスタは使用するキーを有さないので、上記の単純な方式では問題がある。ここでの解決策は、全ての装置が知っている専用の装置グループキーを使用することである。この装置グループキーは、存在しない装置の装置キーであると言える。ｋ−耐障害方式にも同様の解決策が存在する。
【００１３】
装置グループのメンバが装置グループ内の他の全ての装置にメッセージを送りたい場合、そのメンバは同じ問題を有する。従って、装置グループ内の他の全ての装置の装置キーに加え、各装置は装置グループキーも得る。その結果、装置グループの全てのメンバにメッセージを送るために、ブロードキャスタは装置グループキーを使用することになる。
【００１４】
ブロードキャスト暗号化方式の問題点は、かかる方式が各装置によって必要とされるキーを配布し、グループのメンバシップを管理するために中央機関に依拠することである。
【００１５】
米国特許出願第６１／５３６，７６１号は、かかる中央機関が必要なく、グループ装置自体が装置グループのセットアップ及び管理をこなすことができ、各装置によって必要とされるキーを更に管理することができるシステムを開示する。このシステムによれば、ｋ−耐障害方式で装置グループに新たな装置を追加することは、新たな装置と旧装置グループのｋ＋１の装置との間に安全な認証済み通信路（ＳＡＣ：secure authenticated channel）をセットアップすることによって行われる。ｋの最小許容値は１であり、そのため利用者は新たな装置と少なくとも２つの他の装置との間で接続を行うことに留意されたい。安全な認証済み通信路に近距離無線通信（ＮＦＣ）が使用される場合、ＮＦＣを使用することは、旧装置グループ内の装置の１つを新たな装置で「タッチ」し、次いで旧装置グループ内の少なくとも１つの他の装置をタッチすることを含む。ＮＦＣは、接続を開始するために典型的には４ｃｍ以下の長さを必要とする１組の短距離無線技術であることに留意されたい。使用される距離があまりに短いので、通信路が確立されるとき、装置が互いに接触しそうになり又は実際に接触する。従ってＮＦＣにおける「タッチ」とは、装置が互いに実際に接触し又は非常に近づくことを意味する。
【発明の概要】
【課題を解決するための手段】
【００１６】
本明細書で論じられる本発明の一実施形態によれば、如何なるｋ−耐障害方式でも、所要の安全な認証済み通信路の数が１つだけに減らされる。つまり、安全な認証済み通信路にＮＦＣが使用される場合、装置の利用者は、装置を装置グループに追加するために装置グループの他の１つの装置にしか「タッチ」しない。
【００１７】
本発明の一実施形態によれば、信用モジュールが少なくとも１つの装置に追加される。信用モジュールは、ｋ−耐障害方式では少なくともｋの装置の秘密を含むが、好ましくは全ての装置の秘密を含む。信用モジュールは、或る秘密を得ることを許可されている装置がそれらの秘密を入手できるようにするようにプログラムされる。ブロードキャスト暗号化では装置が自らのキーを知ることが許可されていないので、例えば信用モジュールは、自らのホスト装置の秘密を自らのホスト装置に知られないようにする。つまり、信用モジュールが少なくともｋの装置又は仮想装置の秘密を含んでいても、それらの秘密は結託攻撃において他の如何なる装置によっても使用され得ない。
【００１８】
信用モジュールは、自らをホストする装置の外側にある装置への安全な認証済み通信路をセットアップする準備が整っている。安全な認証済み通信路は、他の装置に装置キーを安全に配布することを助ける。装置キーは、自らのホスト装置から知り、他の装置向けに自らが生成する装置キーであり得る。
【００１９】
本発明の一実施形態によれば、信用モジュールが小規模キー配布センタの少なくとも一部を実装する。
【００２０】
本発明の一実施形態によれば、信用モジュールが理想的にはＮＦＣプロセッサのセキュアモジュールとの組合せに適している。
【００２１】
一実施形態では、本発明は装置グループに新たな装置を追加する方法に関し、装置グループは信用モジュールをホストする少なくとも１つの装置を含み、装置グループ内の各装置及び装置によってホストされる各信用モジュールはメッセージを暗号化するための装置キーを保持し、この方法は、装置グループ内の１つ又は複数の信用モジュールの装置キー、装置グループ内の１つ又は複数の装置の装置キー、及び新たな装置の装置キーを生成するステップと、生成された装置キーを装置グループ内の１つ又は複数の信用モジュールのそれぞれに配布するステップと、装置グループ内の各装置が新たな装置の装置キー、装置グループ内の１つ又は複数の信用モジュールの装置キー、自らの装置キーを除く装置グループ内の他の装置の装置キーを受け取るように、生成された装置キーを装置グループ内の１つ又は複数の装置のそれぞれに配布するステップと、１つ又は複数の信用モジュールのうちの信用モジュールと新たな装置との間に安全な認証済み通信路を確立するステップと、新たな装置自体の装置キーを除く生成された装置キーを新たな装置に送るステップとを含む。
【００２２】
別の実施形態では、本発明は装置グループに新たな装置を追加する方法に関し、装置グループは信用モジュールをホストする少なくとも１つの装置を含み、追加される新たな装置が信用モジュールをホストし、装置グループ内の各装置及び装置によってホストされる各信用モジュールはメッセージを暗号化するための装置キーを保持し、この方法は、装置グループ内の１つ又は複数の信用モジュールの装置キー、装置グループ内の１つ又は複数の装置の装置キー、新たな装置の装置キー、及び新たな装置によってホストされる信用モジュールの装置キーを生成するステップと、生成された装置キーを装置グループ内の１つ又は複数の信用モジュールのそれぞれに配布するステップと、装置グループ内の各装置が新たな装置の装置キー、新たな装置によってホストされる信用モジュールの装置キー、装置グループ内の１つ又は複数の信用モジュールの装置キー、及び自らの装置キーを除く装置グループ内の他の装置の装置キーを受け取るように、生成された装置キーを装置グループ内の１つ又は複数の装置のそれぞれに配布するステップと、１つ又は複数の信用モジュールのうちの信用モジュールと新たな装置によってホストされる信用モジュールとの間に安全な認証済み通信路を確立するステップと、生成された装置キーを新たな装置によってホストされる信用モジュールに送るステップと、新たな装置自体の装置キーを除く生成された装置キーを新たな装置に送るステップとを含む。
【００２３】
別の実施形態では、本発明は装置グループに新たな装置を追加する方法に関し、装置グループは装置の少なくとも１つが信用モジュールをホストした状態でｎ（ｎ＞０）の装置を含み、アドレス指定された装置だけがｋ−耐障害方式（ｋ＞１）の下でメッセージを復号できるように、装置グループ内の各装置及び装置によってホストされる各信用モジュールが、それにより全装置グループ又は装置グループの任意の部分集合へのメッセージを暗号化することができるキーマテリアルを保持し、この方法は、新たな装置によって拡張されるｋ−１以下のメンバを有する装置グループの部分集合、従ってｋメンバ装置以下の部分集合のために、装置グループの部分集合内の装置及び新たな装置を除く全ての装置によって復号され得るメッセージを暗号化するための、部分集合ごとのキーマテリアルを生成するステップと、生成されたキーマテリアルを装置グループ内の１つ又は複数の信用モジュールに配布するステップと、生成された部分集合ごとのキーマテリアルを、装置グループの部分集合の一部ではない装置グループ内の装置に配布するステップと、信用モジュールと新たな装置との間に安全な認証済み通信路を確立するステップと、新たな装置が属する部分集合のキーマテリアルを除く生成された装置キーマテリアルを新たな装置に送るステップとを含む。
【００２４】
別の実施形態では、本発明は装置グループに新たな装置を追加する方法に関し、装置グループは装置の少なくとも１つが信用モジュールをホストした状態でｎ（ｎ＞０）の装置を含み、追加される新たな装置が信用モジュールをホストし、アドレス指定された装置だけがｋ−耐障害方式（ｋ＞１）の下でメッセージを復号できるように、装置グループ内の各装置及び装置によってホストされる各信用モジュールが、それにより全装置グループ又は装置グループの任意の部分集合へのメッセージを暗号化することができるキーマテリアルを保持し、この方法は、新たな装置によって拡張されるｋ−１以下のメンバを有する装置グループの部分集合、従ってｋメンバ装置以下の部分集合のために、装置グループの部分集合内の装置及び新たな装置を除く全ての装置によって復号され得るメッセージを暗号化するための、部分集合ごとの新たなキーマテリアルを生成するステップと、生成されたキーマテリアルを装置グループ内の１つ又は複数の信用モジュールに配布するステップと、生成された部分集合ごとのキーマテリアルを、装置グループの部分集合の一部ではない装置グループ内の装置に配布するステップと、装置グループ内の装置の少なくとも１つによってホストされる信用モジュールと新たな装置によってホストされる信用モジュールとの間に安全な認証済み通信路を確立するステップと、生成された装置キーマテリアルを新たな装置によってホストされる信用モジュールに送るステップと、新たな装置が属する部分集合のキーマテリアルを除く生成されたキーマテリアルを新たな装置に送るステップとを含む。
【００２５】
概して本発明の様々な態様が、本発明の範囲内であり得る如何なる方法で組み合わせられ、結び付けられても良い。本発明と見なされる内容が添付の特許請求の範囲の中で詳細に指摘され、明確に主張されている。以下の詳細な説明を添付図面と共に解釈することにより、本発明の上記の及び他の特徴及び利点が明らかになる。
【図面の簡単な説明】
【００２６】
【図１】本発明の一実施形態による、既存の装置グループに新たな装置が追加されるときに形成される新たな装置グループを示す。
【図２】本発明の一実施形態による、２つの信用モジュール間の安全な認証済み通信路を示す。
【図３】本発明の一実施形態による、信用モジュールと装置との間の安全な認証済み通信路を示す。
【図４】本発明の一実施形態による、自らのホストに装置キーを配布する信用モジュールを示す。
【図５】本発明の一実施形態による、或る装置を装置グループに追加する流れ図を示す。
【図６】本発明の別の実施形態による、或る装置を装置グループに追加する流れ図を示す。
【図７】本発明の一実施形態による、或る装置を装置グループに追加する構成を示す。
【図８】本発明の別の実施形態による、或る装置を装置グループに追加する構成を示す。
【図９】本発明の別の実施形態による、或る装置を装置グループに追加する構成を示す。
【図１０】本発明の別の実施形態による、或る装置を装置グループに追加する構成を示す。
【発明を実施するための形態】
【００２７】
米国特許出願第６１／５３６，７６１号の中の先に開示されたシステムによれば、ｋ−耐障害システムのブロードキャスト暗号化システムでは、或る装置を装置グループに追加するために、ｋ＋１の安全な認証済み通信路がセットアップされる。ｋ−耐障害システムでは、装置グループの全てのキーマテリアルを得るために、少なくともｋ＋１の装置が一緒になる。最も単純なブロードキャスト暗号化方式は１−耐障害であり、１−耐障害では装置グループの全てのキーマテリアルを得るために、或る装置が装置グループに追加されるために２つの安全な認証済み通信路のセットアップを必要とする。
【００２８】
本明細書に開示される本発明の一実施形態では、ｋ−耐障害システムのブロードキャスト暗号化システムでは、或る装置を装置グループに追加するとき、安全な認証済み通信路が１つだけセットアップされる。例えば、追加される装置からグループの別の装置までの安全な認証済み通信路のセットアップは、或る装置を他の装置を用いて「タッチ」することを伴うＮＦＣを用いて行われても良い。この実施形態では、利用者が２つ以上ではなく１つの装置しか「タッチ」せず、このことは好都合に利用者にとってより便利且つ直感的であり得る。或る装置を装置グループから除去するには、安全な認証済み通信路は不要であることに留意されたい。
【００２９】
本発明の一実施形態によれば、装置グループ内の装置の少なくとも１つは信用モジュールをホストする。信用モジュールをホストする装置が、知ってはいけないことになっている秘密を知ることができないように、この信用モジュールは秘密を生成し、操作し、やり取りすることができる。例えば信用モジュールは、信用モジュールをホストする装置の装置キーをホストすることができ、信用モジュールを保持する装置は自らの装置キーを知ることはできない。従って、装置グループ内の装置の少なくとも１つが信用モジュールをホストする場合、例えキーを生成し配布する外部パーティがなくても、信用モジュールと対話することにより新たな装置が装置グループに追加され得る。
【００３０】
本明細書で扱われる例は、１−耐障害方式についてである。これらの例は、ｋ−耐障害方式に汎用化されても良い。
【００３１】
図１は、本発明の一実施形態による、既存の装置グループ１１０に新たな装置１２１が追加されていることを示す。或る装置が既存の装置グループ１１０に追加され又は既存の装置グループ１１０から除去されるとき、新たな装置グループ１２０が作成される。新たな装置グループ１２０は、次世代装置グループとも呼ばれる。装置グループの各世代は、１組の独自のキーマテリアルを有することができる。装置グループに新たな装置が追加され、次世代装置グループが作成される場合、装置グループ内の信用モジュール及び装置の１つ又は複数が次世代装置グループのキーマテリアルを作成する。従って、世代ｊの装置グループは世代ｊの装置キーを含む。
【００３２】
図１の例に示されているように、安全な認証済み通信路１３０を介した既存の装置グループに属する装置１１１との対話により、新たな装置１２１が追加され、次世代装置グループ１２０が作成される。装置１１１は、装置１２１への装置キーを生成し配布することができる信用モジュール１５１をホストする。本明細書の一実施形態によれば、ｋ−耐障害ブロードキャスト暗号化システム内に新たな装置を追加するために、装置グループに装置を追加するときに安全な認証済み通信路は１つしか要らない。従って、これらの２つの装置のうち、既に既存の装置グループのメンバである少なくとも装置１１１がセキュアモジュールをホストする。新たな装置１２１が信用モジュールをホストする必要はない。同様に、装置１１１、１１２、１１３、．．．、１１Ｎの中で、装置グループ内のそれぞれの装置１１１、１１３によってホストされる複数の信用モジュール１５１、１５３があっても良い。しかし、各装置が信用モジュールを必要とする訳ではない。装置グループのメンバが装置グループから除去される場合、信用モジュールは必要ない。
【００３３】
本発明の一実施形態によれば、１−耐障害ブロードキャスト暗号化方式では、世代ｊの装置グループの作成終了時に以下の規則が実施される。
【００３４】
規則１．  世代ｊの装置グループの一部である装置によってホストされる信用モジュールが、世代ｊの（信用モジュール及び装置両方の）全ての装置キーを知る。
【００３５】
規則２．  世代ｊの装置グループの装置が、自らの装置キーを除く世代ｊの（信用モジュール及び装置両方の）全ての装置キーを知る。
【００３６】
規則３．  世代ｊの装置グループの一部ではない装置が、世代ｊの如何なる（信用モジュール及び装置両方の）装置キーも知らない。
【００３７】
規則４．  世代ｊの装置グループの一部ではない装置によってホストされる信用モジュールが、世代ｊの如何なる（信用モジュール及び装置両方の）装置キーも知らない。
【００３８】
ｋ−耐障害ブロードキャスト暗号化方式では、装置は、自らがメンバである任意の装置の部分集合に関連するキーを知ることができない。
【００３９】
前世代の装置グループの装置の間でやり取りされるメッセージが、新たに追加される如何なる装置によっても読まれないことを確実にするために、次世代装置グループ用に新たなキーが生成される。新たなキーを生成することは、新たな装置が自らのキーを知ることなしに、新たな装置のキーを前世代の装置グループの装置に配布できるようにする装置追加手続きにも必要である。
【００４０】
次世代装置キーは、現在の装置キーに対して一方向性関数を使用して、又は乱数を選択することによって作成され得る。前世代キーを入手できない場合、又は装置グループから装置を除去する場合、乱数を選択することが有用であり得る。
【００４１】
様々な実施形態によれば、「信用モジュール」は以下の特性の１つ又は複数を含む。
【００４２】
特性１．  信用モジュールは、乱数発生器を使用し、暗証番号や秘密キーなどの秘密を生成し、記憶するように構成され得る。
【００４３】
特性２．  信用モジュールは、乱数発生器を使用する代替策として、秘密に対して一方向性関数を使用してその秘密の次世代版を生成するように構成され得る。この特徴は、セキュリティ上の配慮によって制限され得る。
【００４４】
特性３．  信用モジュールは、装置グループ識別名、指数、及び装置グループ世代番号を用いて操作用の秘密をアドレス指定するように構成され得る。装置グループ識別名及び世代番号により、秘密が特定の装置グループの特定の世代にリンクされる。指数により、秘密が装置、１組の装置、又は装置の部分集合にリンクされる。これらの３つの数は、信用モジュール内の秘密を一意にアドレス指定する。
【００４５】
特性４．  信用モジュールは、既定のアルゴリズムにより、並びに指数及び世代番号によって指示される記憶済みの秘密キーを使用し、暗号化キー又は復号キーを構築するように構成され得る。例えば、信用モジュールは、どちらも世代１０の装置グループ６のための秘密値２及び５を用いて暗号化キーを作成することができる。
【００４６】
特性５．  信用モジュールは、構築された暗号化キーによって自らの暗証番号の一部を暗号化し、その暗号化された値を自らのインターフェイスの１つで入手可能にするように構成され得る。
【００４７】
特性６．  信用モジュールは、自らのインターフェイスの１つで受け取るメッセージを、構築された復号キーによって復号し、復号されたコンテンツを安全に記憶するように構成され得る。
【００４８】
特性７．  復号されたメッセージが秘密を秘密の指数及び世代番号と共に含む場合、信用モジュールは、これらのキーがその指数及び世代番号によってアドレス指定される将来の操作の中でこれらの秘密を使用するように構成され得る。
【００４９】
特性８．  信用モジュールは、別の信用モジュールを相手に安全な認証済み通信路をセットアップするように構成され得る。
【００５０】
特性９．  信用モジュールは、自らをホストする装置以外の、信用モジュールをホストしない装置を相手に安全な認証済み通信路をセットアップするように構成され得る。つまり、信用モジュールをホストする装置は、信用モジュールと信用モジュールをホストしない他の装置との間のトラフィックを読み取ることができない。
【００５１】
特性１０．  信用モジュールは、秘密をその指数及び世代番号と共に上記の安全な通信路上で転送するように構成され得る。
【００５２】
特性１１．  信用モジュールは、自らのホストが知ることを許可されていない秘密を自らのホストが得るのを防ぐ方法で、１組の選択的な秘密を自らのホスト装置に安全に転送するように構成され得る。信用モジュールは、自らのホスト装置と通信していることが確実であるべきである。これは、例えばホスト装置への安全な認証済み通信路をセットアップすることによって実現され得る。この安全な認証済み通信路は、特性９においてセットアップされるような、自らをホストする装置以外の装置との安全な認証済み通信路と同様であり得る。ホスト装置は、この安全な認証済み通信路をセットアップするために、複数の識別名を担うことができないように構成され得る。
【００５３】
特性１２．  信用モジュールは、自らをホストする装置からキーを受け取り、それらのキーのそれぞれを１組の異なる装置グループ識別名、指数、及び装置グループ世代番号にリンクさせるように構成され得る。
【００５４】
一実施形態によれば、装置が以下の特性の１つ又は複数を有する。
【００５５】
特性２１．  装置が信用モジュールをホストする場合、その装置は、複数の識別名を担うのが非常に困難又は不可能であるような方法で、自らの信用モジュールからキーを受け取るように構成されても良く、さもなければ装置は自らの複数の識別名を用いて結託攻撃を加えることができる。
【００５６】
特性２２．  装置が信用モジュールをホストしない場合、その装置は、他の装置内の信用モジュールを相手に安全な認証済み通信路をセットアップするように構成され得る。この安全な認証済み通信路をセットアップするために、装置が複数の識別名を担うことは非常に困難又は不可能にされ、さもなければ装置は自らの複数の識別名を用いて結託攻撃を加えることができる。
【００５７】
特性２３．  装置は、自らがホストする信用モジュール内に自らが生成したキーを記憶するように構成されても良く、信用モジュールは、それらのキーのそれぞれを１組の異なる装置グループ識別名、指数、及び装置グループ世代番号にリンクさせる。
【００５８】
以下の表記は、１−耐障害ブロードキャスト暗号化方式が使用される一部の実施形態によるシナリオの例の中で使用される。以下の例では１つの装置グループしか関与しないので、明瞭にするために装置グループ識別名は省いてある。概して、信用モジュール及び装置は複数の装置グループのためのキーセットを有する。
【００５９】
Ｄ（ｉ）は、装置ｉを示す。指数ｉは、装置の識別名である。指数ｉは、信用モジュール内の秘密のアドレスの一部として使用され得る。
【００６０】
Ｔ（ｉ）は、信用モジュールｉを示す。指数ｉは、信用モジュールの識別名である。指数ｉは、信用モジュール内の秘密のアドレスの一部として使用され得る。
【００６１】
Ｋｊ（ｉ）は、ｊ番目の世代の装置ｉのキーである。指数ｉは装置の識別名であり、ｊは世代番号である。指数ｉ及び世代番号ｊは、信用モジュール内の秘密のアドレスの一部として使用され得る。
【００６２】
Ｑｊ（ｉ）は、ｊ番目の世代の信用モジュールｉのキーである。指数ｉは信用モジュールの識別名であり、ｊは装置グループの世代番号である。指数ｉ及び世代番号ｊは、信用モジュール内の秘密のアドレスの一部として使用され得る。
【００６３】
図５は、本発明の一実施形態による、或る装置を装置グループに追加するための全体的なステップを示す。図５に示されているステップは、或る装置を装置グループに追加するときに次世代キーを生成する特定の装置又は信用モジュールを指定しない。
【００６４】
以下の２つの異なる初期状況がある。
【００６５】
（１）第１の状況は、新たな装置グループが作成される場合である。新たな装置グループの作成は、何れも装置グループのメンバではない２つの装置を「一緒にする」ことによって行われる。２つの装置の少なくとも一方が信用モジュールをホストする。従って、サイズ１の装置グループに装置が追加される。
【００６６】
（２）第２の状況は、或る装置が既存の装置グループのメンバにされる場合である。これは、新たな装置を既存の装置グループのメンバである装置の１つと「一緒にする」ことによって行われる。これらの２つの装置のうち、少なくとも既に既存の装置グループのメンバである装置がセキュアモジュールをホストする。
【００６７】
本明細書で「一緒にする」という語句は、安全な認証済み通信路がセットアップされることを示す。この通信路は、両方の装置が信用モジュールをホストする場合は信用モジュール間にセットアップされ、又は装置の一方だけが信用モジュールをホストする場合は信用モジュールと他の装置との間にセットアップされる。この「一緒にする」という用語は、２つのＮＦＣモジュールの一方が他方のＮＦＣモジュールによってタッチされる場合に、２つのＮＦＣモジュール間の接続を安全に行う動作から発想を得たものである。
【００６８】
或る装置を１以上のサイズの装置グループに追加するとき、概して以下の手順が行われる。
【００６９】
一般性を失うことなく、Ｄ（１）は既存の装置グループに属し、これを介して新たな装置が追加される装置であるとここでは仮定される。Ｄ（１）は信用モジュールＱ（１）をホストする。
【００７０】
図５に示されているように、或る装置を装置グループに追加するときに行われる最初の２つの全体的プロセスは以下の通りである。
【００７１】
ステップ５１０：次世代キーの生成
新たな装置グループの装置のために、及び装置がホストする信用モジュールのために次世代装置キーが生成される。これらのキーは既に既存の装置グループの一部である装置Ｄ（１）によってホストされる、セキュアモジュールＱ（１）によって生成され得る。これは単純なキー生成方式である。
【００７２】
しかし、以下に明記されるように、次世代キーの一部又は全てが他の装置によって生成されても良い。１つ又は複数のキーが他の装置によって生成される場合、キーを生成し、全てのキーが生成されることを確実にする作業を分散させる何らかの方式が使用される。かかる方式については数多くの方法が存在するが、本明細書で詳しく説明することはない。
【００７３】
新たな装置及び既に既存の装置グループの一部である装置は、新たな装置グループ内の一部の又は他の全ての装置、及びそれらの装置がホストする信用モジュールの一部又は全てのために次世代装置キーを生成することができる。しかし、装置は自らのためのキーは生成できない（規則２）。従って、他の装置又は信用モジュールがその装置用のキーを生成する。
【００７４】
新たな装置によってホストされる、又は既に既存の装置グループの一部である装置によってホストされる任意の信用モジュールが、新たな装置グループ内の一部の又は他の全ての装置、及びそれらの装置がホストする信用モジュールの一部又は全てのために次世代装置キーを生成することができる。
【００７５】
前世代キーを有する装置又は信用モジュールは、一方向性関数を用いてそれらの前世代キーから次世代キーを生成することができる。この場合、これらの前世代キーを保持する装置及び信用モジュールは、次世代キーを自ら生成することができ、こうして生成される次世代キーは、前世代装置キーを保持しない新たな装置グループ内の装置及び信用モジュールだけに配布されれば良い。後者の装置は、次世代キーを生成した装置又は信用モジュールによって与えられるキーを使用し、ことによると乱数発生器によって自らが生成したキーを使用することはしない。
【００７６】
前の装置のキーが存在しない、又は生成側の装置若しくは信用モジュールによって知られていない場合、次世代キーを生成するために乱数発生器が使用されても良い。乱数発生器を使用し、装置又は信用モジュールの１つが次世代キーを生成し、このキーを他の装置又は信用モジュールにそれらによる使用のために配布する。
【００７７】
以下、暗号化キーを生成する方法について述べる。更に、暗号化キーは以下に示されるキーの関数、及び信用モジュールの前世代キーの何れかを使用して生成されても良く、それは既存の装置グループ内の全ての装置及び信用モジュールがこれらのキーを保持するからである。
【００７８】
ステップ５２０：既存の装置グループ内の次世代キーの最初の配布
既存の装置グループの装置によってホストされる信用モジュール、及び既存の装置グループの装置は、既存の装置グループの特定の装置のために生成した次世代キーを、その特定の装置の前世代装置キーを用いて暗号化することによって配布することができる。既存の装置グループの装置によってホストされる全ての信用モジュール、及びこのキーが生成される装置を除いた既存の装置グループの全ての装置が、このメッセージを読むことができる。従って、次世代キーは、特定の装置を除いて全ての信用モジュール及び装置に配布される。
【００７９】
既存の装置グループの装置によってホストされる信用モジュール、及び既存の装置グループの装置は、既存の装置グループの装置によってホストされる信用モジュールのために生成した次世代キーを、その信用モジュールの前世代装置キーを用いて暗号化することによって配布することができる。
【００８０】
生成側の装置又は信用モジュールが前世代キーを有さない場合、生成側の装置又は信用モジュールは、キーを配布するために自らがセットアップすることができる安全な認証済み通信路を使用する（特性８、９、１０、１１、２１、及び２２を参照されたい）。装置は、自らが生成したキーを自らがホストする信用モジュールに転送するために、特性２３及び特性１２を使用する。
【００８１】
ステップ５３０：追加される装置との次世代キーのやり取り
この特長には２つのバリエーションがある。
【００８２】
バリエーション１、追加される装置が信用モジュールをホストする
図２に示されているように、信用モジュール２５２をホストする新たな装置２１２が、信用モジュール２５１をホストする装置２１１を含む装置グループに追加され、それにより新たな装置グループを作成している。ここでは、信用モジュール２５１がＱ（１）として示される。キーをやり取りするために、装置２１２によってホストされる信用モジュール２５２と信用モジュール２５１をホストする装置２１１との間に安全な認証済み通信路２３０がセットアップされる。
【００８３】
信用モジュール２５２は、装置２１２が特性１２及び２３によって生成している可能性がある任意の次世代キーを装置２１２から受け取る。安全な認証済み通信路２３０を使用し、信用モジュール２５２が装置２１２から受け取る任意の次世代キー、及び信用モジュール２５２が生成している可能性がある任意の次世代キーがＱ（１）に安全に送られる。
【００８４】
今では、Ｑ（１）が、新たな装置グループの全ての次世代キーを保持する。
【００８５】
安全な認証済み通信路２３０を使用し、Ｑ（１）は、追加される装置２１２の信用モジュール２５２がまだ保持していない新たな装置グループの全ての次世代キーを、この信用モジュール２５２に送る。
【００８６】
図４に示されているように、及び図２に再び関連し、追加される装置４１１（装置２１２）によってホストされる信用モジュール４５１（信用モジュール２５２）は、特性１１及び２１を使用し、自らをホストする装置４１１に新たな装置グループの全ての次世代キーを、この装置４１１の装置キーを除いて送る。この例では、装置４１１がこれらのキーを記憶するための装置メモリモジュール４６１を含む。
【００８７】
バリエーション２、追加される装置が信用モジュールをホストしない
図３に示されているように、新たな装置３１３が、信用モジュール３５１をホストする装置３１１を含む装置グループに追加され、それにより新たな装置グループを作成している。ここでは、信用モジュール３５１がＱ（１）として示される。キーをやり取りするために、追加される新たな装置３１３と信用モジュール３５１をホストする装置３１１との間に安全な認証済み通信路３３０がセットアップされる（特性９及び２２を参照されたい）。
【００８８】
安全な認証済み通信路３３０を使用し、追加される装置３１３が生成している可能性がある次世代キーがＱ（１）に安全に送られる。
【００８９】
今では、Ｑ（１）が、新たな装置グループの全ての次世代キーを保持する。
【００９０】
安全な認証済み通信路３３０を使用し、Ｑ（１）は、追加される装置３１３がまだ保持していない新たな装置グループの全ての次世代キーを、この装置３１３の装置キーを除いて装置３１３に送る。
【００９１】
ステップ５３０の終了時に、追加される装置３１３は、有することが許可されている全ての次世代キーを保持する。
【００９２】
ステップ５４０：既存の装置グループ内の次世代キーの２回目の配布
欠落した任意の次世代キーをＱ（１）がステップ５３０で得る場合、ステップ５２０に示されているように、Ｑ１はこれらのキーを既存の装置グループの装置及び信用モジュールに配布する。
【００９３】
図６は、或る装置を装置グループに追加するための別の実施形態を示す。この実施形態は、或る装置を装置グループに追加することを目的とする以下の例を用いて説明され、装置グループは信用モジュールＱ（１）をホストする装置を含む。この例は、Ｑ（１）が次世代キーを生成することを示し、従って他の装置及び信用モジュールは、次世代キーの生成を配布する必要がなく、キーの生成及び配布において他の装置の動作を調整するための方式も必要とされない。但し、本発明がこの方式に限定されることはない。
【００９４】
ステップ６１０：次世代キーの生成
図６のプロセスを説明するために図２を使用し、信用モジュール２５１がＱ（１）で示され、次世代装置キーを自らのために、自らのホスト装置２１１（Ｄ１）のために、追加される装置２１２のために、装置２１２が信用モジュールをホストする場合は装置２１２の信用モジュール２５２のために、並びに既存の装置グループの全ての装置及びそれらの装置がホストする信用モジュールのために生成する。
【００９５】
既存の装置グループがＤ（１）及びＱ（１）だけから成る場合、Ｑ（１）が前世代キーを保持しないので、次世代キーの生成は乱数発生器を使用して実行される。
【００９６】
ステップ６２０：追加される装置との安全な通信
安全な認証済み通信路２３０が、Ｑ（１）と、追加される装置２１２が信用モジュールをホストする場合は装置２１２の信用モジュール２５２との間に確立され、装置２１２が信用モジュールをホストしない場合は追加される装置２１２自体を相手に確立される。
【００９７】
ステップ６３０：追加される装置への次世代キーの配布
追加される装置２１２が信用モジュールをホストする場合、Ｑ（１）はステップ６２０の安全な認証済み通信路２３０を使用し、全ての次世代キーを追加される装置によってホストされる信用モジュールに送る。この信用モジュール２５２は、追加される装置２１２に全ての次世代キーを、装置２１２自体の装置キーを除いて送る（特性１１及び２１）。
【００９８】
装置２５２が信用モジュールをホストしない場合、Ｑ（１）はステップ６２０の安全な認証済み通信路２３０を使用し、追加される装置に全ての次世代キーを、追加される装置自体の装置キーを除いて送る（特性９及び２２）。
【００９９】
ステップ６４０：既存の装置グループ内の信用モジュールへの次世代キーの配布
Ｑ（１）は、既存の装置グループ内の全ての装置の前世代装置キーから構築されたキーを使用し、新たな装置グループ用の次世代キーを暗号化する。信用モジュール自体の前世代キーも使用されて良いが、これは必須ではない。この暗号化メッセージは既存の装置グループの他の装置に送られ、信用モジュールをホストする装置によって、又はかかる装置を介して送られ得る。このメッセージを受け取ると、装置は自らがホストする信用モジュールがこのメッセージを入手できるようにする。既存の装置グループの装置によってホストされる信用モジュールだけがこのメッセージを復号でき、新たな装置グループの次世代装置キーを今度は保持する。
【０１００】
ステップ６５０：既存の装置グループ内の装置への次世代キーの配布
Ｑ（１）は、既存の装置グループ内の装置（自らをホストする装置Ｄ（１）を含む）のそれぞれについて、メッセージを別々に作成する。メッセージは、メッセージの宛先である装置の装置キーを除く、新たな装置グループの全ての第２世代キーを含む。使用される暗号化キーは、既存の装置グループの全てのアドレス指定されていない装置の前世代装置キーから構築される。
【０１０１】
Ｑ（１）が前世代キーを有さない唯一の事例は、既存の装置グループがＤ（１）だけから成る場合である。この場合、Ｑ（１）が、特性１１及び２１を使用し、追加される装置の装置キーをＤ（１）が入手できるようにしなければならない。
【０１０２】
或いは、信用モジュールをホストする前の装置グループ内の装置が、特性１１及び２１を使用し、自らがホストする信用モジュールから、自らの装置キーを除く新たな装置グループの全ての次世代キーを受け取る。
【０１０３】
他の配布方式も可能である。例えばＱ（１）は、次世代装置キーのそれぞれを、既存の装置グループ内の全ての装置（自らをホストする装置Ｄ（１）を含む）に別々に配布しても良い。装置キーはそれぞれの前世代装置キーによって暗号化されるため、装置が自らのキーを復号することはできない。しかし、先に論じたように、信用モジュールは自らのキーを読むことはできる。
【０１０４】
扱われる幾つかのシナリオの例
図６に示されているステップ６１０〜６５０がこれらのシナリオでは使用される。初期状況について言及されていない場合、直前のシナリオの状況が想定される。
【０１０５】
初期状況−装置グループが形成されていない
【０１０６】
【表１】
2014530554.tif 000003
【０１０７】
【表２】
2014530554.tif 000004
【０１０８】
【表３】
2014530554.tif 000005
【０１０９】
【表４】
2014530554.tif 000006
【０１１０】
例１−装置１だけから成る装置グループに装置２が追加される
例１の状況が図７に示されている。明瞭にするために、既存の装置グループ又は新たな装置グループの一部でない装置は図示されていない。
【０１１１】
ステップ６１０（例１）  次（第１）世代キーの生成：
信用モジュール１が、第１世代装置キーを自らのために、自らのホスト装置（Ｄ１）のために、追加される装置のために、及び追加される装置が信用モジュールをホストする場合はその装置の信用モジュールのために生成する。信用モジュール１は前世代キーを有さないので、第１世代装置キーの生成は乱数発生器を使用して実行される。
【０１１２】
信用モジュールのホスト装置が得ることを許可されていないキーが、１対の角括弧で囲まれている。
【０１１３】
【表５】
2014530554.tif 000007
【０１１４】
【表６】
2014530554.tif 000008
【０１１５】
【表７】
2014530554.tif 000009
【０１１６】
【表８】
2014530554.tif 000010
【０１１７】
ステップ６２０（例１）  追加される装置との安全な通信：
信用モジュール１と信用モジュール２との間に、安全な認証済み通信路が確立される。
【０１１８】
ステップ６３０（例１）  追加される装置への次（第１）世代キーの配布：
信用モジュール１は、自らが有する全ての第１世代キーを信用モジュール２に送る。
【０１１９】
信用モジュール２が、装置２自体の装置キーを除く全ての第１世代キーを装置２に送る。
【０１２０】
【表９】
2014530554.tif 000011
【０１２１】
【表１０】
2014530554.tif 000012
【０１２２】
【表１１】
2014530554.tif 000013
【０１２３】
【表１２】
2014530554.tif 000014
【０１２４】
ステップ６４０（例１）  既存の装置グループ内の信用モジュールへの次（第１）世代キーの配布：
信用モジュール１は既存の装置グループ内の唯一の信用モジュールなので、このステップでは何も行われる必要はない。
【０１２５】
ステップ６５０（例１）  既存の装置グループ内の装置への次（第１）世代キーの配布：
装置１は、既存の装置グループ内の唯一の装置である。信用モジュール１は、装置１自体の装置キーを除く全ての第１世代キーを既存の装置グループ内の全ての装置が入手できるようにする。
【０１２６】
【表１３】
2014530554.tif 000015
【０１２７】
【表１４】
2014530554.tif 000016
【０１２８】
【表１５】
2014530554.tif 000017
【０１２９】
【表１６】
2014530554.tif 000018
【０１３０】
この時点で追加手順が終了する。
【０１３１】
この手順の下では、上記に列挙された全ての規則（規則１〜４）が守られていることが分かる。
【０１３２】
今度は装置１と装置２とが、キーＱ１（１）若しくはＱ１（２）又はこの２つの組合せを用いてメッセージをやり取りすることができ、メッセージを安全にやり取りするためにＳＡＣは必要ない。どちらの信用モジュールもこれらのメッセージを読むことができるが、意図的に入手できるようにし得る情報以外の情報をこれらの信用モジュールから得ることはできないので、これは許容できることである。
【０１３３】
例２−装置３が装置１によって装置グループＤ１、Ｄ２に追加され、装置３は信用モジュールをホストする
例２の状況が図８に示されている。明瞭にするために、既存の装置グループ又は新たな装置グループの一部でない装置は図示されていない。
【０１３４】
ステップ６１０（例２）  次世代キーの生成：
信用モジュール１は、第２世代キーを作成するために自らの全ての第１世代キーを再生成する。この再生成は、一方向性関数を使用して、又は乱数発生器によって行われ得る。
【０１３５】
信用モジュール１は、乱数発生器を用いて装置３及び信用モジュール３のための第２世代装置キーを作成する。
【０１３６】
信用モジュールのホスト装置が得ることを許可されていないキーが、１対の角括弧で囲まれている。
【０１３７】
【表１７】
2014530554.tif 000019
【０１３８】
【表１８】
2014530554.tif 000020
【０１３９】
【表１９】
2014530554.tif 000021
【０１４０】
【表２０】
2014530554.tif 000022
【０１４１】
ステップ６２０（例２）  追加される装置との安全な通信：
信用モジュール１及び信用モジュール３が安全な認証済み通信路をセットアップする。
【０１４２】
装置３が信用モジュールをホストしない場合、信用モジュール１は装置３を相手に安全な認証済み通信路をセットアップしなければならない。これは以下の例３の中で扱われる。
【０１４３】
ステップ６３０（例２）  追加される装置への次世代キーの配布：
信用モジュール１は、自らが有する全ての第２世代キーを信用モジュール３に送る。
【０１４４】
信用モジュール３が、装置３自体の装置キーを除く全ての第２世代キーを装置３に送る。
【０１４５】
【表２１】
2014530554.tif 000023
【０１４６】
【表２２】
2014530554.tif 000024
【０１４７】
【表２３】
2014530554.tif 000025
【０１４８】
【表２４】
2014530554.tif 000026
【０１４９】
ステップ６４０（例２）  既存の装置グループ内の信用モジュールへの次世代キーの配布：
信用モジュール１は、（信用モジュールの装置を除く）既存の装置グループ内の全ての装置の第１世代装置キー（この場合はＫ１（１）及びＫ１（２））から構築されたキーを使用し、自らが有する全ての第２世代キーを暗号化する。この暗号化メッセージは（ことによると信用モジュールのホスト装置を介して、又は信用モジュールのホスト装置によって）他の全ての装置に送られる。かかるメッセージを受け取ると、装置は自らがホストする信用モジュールがこのメッセージを入手できるようにする。既存の装置グループの装置によってホストされる信用モジュール（この場合は信用モジュール１及び２だが、１は送信側である）だけがこのメッセージを復号することができる。
【０１５０】
【表２５】
2014530554.tif 000027
【０１５１】
【表２６】
2014530554.tif 000028
【０１５２】
【表２７】
2014530554.tif 000029
【０１５３】
【表２８】
2014530554.tif 000030
【０１５４】
ステップ６５０（例２）  既存の装置グループ内の装置への次世代キーの配布：
信用モジュール１は、既存の装置グループ内の装置（自らをホストする装置Ｄ（１）を含む）のそれぞれについて、メッセージを別々に作成する（この場合は装置１及び装置２）。メッセージは、メッセージの宛先である装置の装置キーを除く、新たな装置グループの全ての第２世代キーを含む。使用される暗号化キーは、既存の装置グループの全てのアドレス指定されていない装置の前世代装置キーから構築され、そのため装置１のためのメッセージはＫ１（２）によって暗号化され、装置２のためのメッセージはＫ１（１）によって暗号化される。
【０１５５】
【表２９】
2014530554.tif 000031
【０１５６】
【表３０】
2014530554.tif 000032
【０１５７】
【表３１】
2014530554.tif 000033
【０１５８】
【表３２】
2014530554.tif 000034
【０１５９】
この時点で追加手順が終了する。
【０１６０】
この手順の下では、上記に列挙された全ての規則（規則１〜４）が守られていることが分かる。
【０１６１】
装置１、２、及び３は、新たな装置グループ内の全ての装置がキーＱ２（１）、Ｑ２（２）、Ｑ２（３）、又はそれらの任意の組合せを用いて読むことができるメッセージをやり取りすることができる。
【０１６２】
装置（例えば装置１）は、新たな装置グループ内の他の装置（例えば装置２）がメッセージを読むのを、除外される装置のキー（この例ではＫ２（２））を用いてそれらのメッセージを暗号化するためのキーを構築することにより、防ぐことができる。
【０１６３】
上記のメッセージのやり取りにはＳＡＣは必要ない。
【０１６４】
例３−装置３が装置１によって装置グループＤ１、Ｄ２に追加され、装置３は信用モジュールをホストしない
例３の状況が図９に示されている。明瞭にするために、既存の装置グループ又は新たな装置グループの一部でない装置は図示されていない。
【０１６５】
初期状況
【０１６６】
【表３３】
2014530554.tif 000035
【０１６７】
【表３４】
2014530554.tif 000036
【０１６８】
【表３５】
2014530554.tif 000037
【０１６９】
【表３６】
2014530554.tif 000038
【０１７０】
ステップ６１０（例３）  次世代キーの生成：
信用モジュール１は、第２世代キーを作成するために自らの全ての第１世代キーを再生成する。
【０１７１】
この再生成は、一方向性関数を使用して、又は乱数発生器によって行われ得る。
【０１７２】
信用モジュール１が、装置３のための第２世代装置キーを生成する。信用モジュール１は装置３の前（第１）世代キーを有さないので、第２世代装置キーの生成は乱数発生器を使用して実行される。
【０１７３】
信用モジュールのホスト装置が得ることを許可されていないキーが、１対の角括弧で囲まれている。
【０１７４】
【表３７】
2014530554.tif 000039
【０１７５】
【表３８】
2014530554.tif 000040
【０１７６】
【表３９】
2014530554.tif 000041
【０１７７】
【表４０】
2014530554.tif 000042
【０１７８】
ステップ６２０（例３）  追加される装置との安全な通信：
信用モジュール１が、装置３を相手に安全な認証済み通信路をセットアップする。
【０１７９】
ステップ６３０（例３）  追加される装置への次世代キーの配布：
信用モジュール１は、装置３の装置キーを除き、自らが有する全ての第２世代キーを安全な認証済み通信路上で装置３に送る。
【０１８０】
【表４１】
2014530554.tif 000043
【０１８１】
【表４２】
2014530554.tif 000044
【０１８２】
【表４３】
2014530554.tif 000045
【０１８３】
【表４４】
2014530554.tif 000046
【０１８４】
ステップ６４０（例３）  既存の装置グループ内の信用モジュールへの次世代キーの配布：
信用モジュール１は、（信用モジュールの装置を除く）既存の装置グループ内の全ての装置の第１世代装置キー（この場合はＫ１（１）及びＫ１（２））から構築されたキーを使用し、自らが有する全ての第２世代キーを暗号化する。この暗号化メッセージは（ことによると信用モジュールのホスト装置を介して、又は信用モジュールのホスト装置によって）他の全ての装置に送られる。かかるメッセージを受け取ると、装置は自らがホストする信用モジュールがこのメッセージを入手できるようにする。既存の装置グループの装置によってホストされる信用モジュール（この場合は信用モジュール１及び２だが、１は送信側である）だけがこのメッセージを復号することができる。
【０１８５】
【表４５】
2014530554.tif 000047
【０１８６】
【表４６】
2014530554.tif 000048
【０１８７】
【表４７】
2014530554.tif 000049
【０１８８】
【表４８】
2014530554.tif 000050
【０１８９】
ステップ６５０（例３）  既存の装置グループ内の装置への次世代キーの配布：
信用モジュール１は、既存の装置グループ内の装置（自らをホストする装置Ｄ（１）を含む）のそれぞれについて、メッセージを別々に作成する（この場合は装置１及び装置２）。メッセージは、メッセージの宛先である装置の装置キーを除く、新たな装置グループの全ての第２世代キーを含む。使用される暗号化キーは、既存の装置グループの全てのアドレス指定されていない装置の前世代装置キーから構築され、そのため装置１のためのメッセージはＫ１（２）によって暗号化され、装置２のためのメッセージはＫ１（１）によって暗号化される。
【０１９０】
【表４９】
2014530554.tif 000051
【０１９１】
【表５０】
2014530554.tif 000052
【０１９２】
【表５１】
2014530554.tif 000053
【０１９３】
【表５２】
2014530554.tif 000054
【０１９４】
この時点で追加手順が終了する。
【０１９５】
この手順の下では、上記に列挙された全ての規則（規則１〜４）が守られていることが分かる。
【０１９６】
装置１、２、及び３は、新たな装置グループ内の全ての装置がキーＱ２（１）、Ｑ２（２）、又はそれらの任意の組合せを用いて読むことができるメッセージをやり取りすることができる。
【０１９７】
装置（例えば装置１）は、装置グループ内の他の装置（例えば装置２）がメッセージを読むのを、除外される装置のキー（この例ではＫ２（２））を用いてそれらのメッセージを暗号化するためのキーを構築することにより、防ぐことができる。
【０１９８】
上記のメッセージのやり取りにはＳＡＣは必要ない。
【０１９９】
例４−装置３が装置１によって装置グループＤ１、Ｄ２に追加され、装置２も装置３も信用モジュールをホストしない
例４の状況が図１０に示されている。明瞭にするために、既存の装置グループ又は新たな装置グループの一部でない装置は図示されていない。
【０２００】
初期状況
【０２０１】
【表５３】
2014530554.tif 000055
【０２０２】
【表５４】
2014530554.tif 000056
【０２０３】
【表５５】
2014530554.tif 000057
【０２０４】
【表５６】
2014530554.tif 000058
【０２０５】
ステップ６１０（例４）  次世代キーの生成：
信用モジュール１は、第２世代キーを作成するために自らの全てのキーを再生成する。この再生成は、一方向性関数を使用して、又は乱数発生器によって行われ得る。
【０２０６】
信用モジュール１が、装置３のための第２世代装置キーを生成する。信用モジュール１は前（第１）世代キーを有さないので、第２世代装置キーの生成は乱数発生器を使用して実行される。
【０２０７】
信用モジュールのホスト装置が得ることを許可されていないキーが、１対の角括弧で囲まれている。
【０２０８】
【表５７】
2014530554.tif 000059
【０２０９】
【表５８】
2014530554.tif 000060
【０２１０】
【表５９】
2014530554.tif 000061
【０２１１】
【表６０】
2014530554.tif 000062
【０２１２】
ステップ６２０（例４）  追加される装置との安全な通信：
信用モジュール１が、装置３を相手に安全な認証済み通信路をセットアップする。
【０２１３】
ステップ６３０（例４）  追加される装置への次世代キーの配布：
信用モジュール１は、装置３の装置キーを除き、自らが有する全ての第２世代キーを安全な認証済み通信路上で装置３に送る。やり取りされるキーが黄色で示されている。
【０２１４】
【表６１】
2014530554.tif 000063
【０２１５】
【表６２】
2014530554.tif 000064
【０２１６】
【表６３】
2014530554.tif 000065
【０２１７】
【表６４】
2014530554.tif 000066
【０２１８】
ステップ６４０（例４）  既存の装置グループ内の信用モジュールへの次世代キーの配布：
既存の装置グループ内の他のどの装置も信用モジュールをホストしないので、この事例ではこのステップはない。
【０２１９】
ステップ６５０（例４）  既存の装置グループ内の装置への次世代キーの配布：
信用モジュール１は、既存の装置グループ内の装置（自らをホストする装置Ｄ（１）を含む）のそれぞれについて、メッセージを別々に作成する（この場合は装置１及び装置２）。メッセージは、メッセージの宛先である装置の装置キーを除く、新たな装置グループの全ての第２世代キーを含む。使用される暗号化キーは、既存の装置グループの全てのアドレス指定されていない装置の前世代装置キーから構築され、そのため装置１のためのメッセージはＫ１（２）によって暗号化され、装置２のためのメッセージはＫ１（１）によって暗号化される。
【０２２０】
【表６５】
2014530554.tif 000067
【０２２１】
【表６６】
2014530554.tif 000068
【０２２２】
【表６７】
2014530554.tif 000069
【０２２３】
【表６８】
2014530554.tif 000070
【０２２４】
この時点で追加手順が終了する。
【０２２５】
この手順の下では、上記に列挙された全ての規則（規則１〜４）が守られていることが分かる。
【０２２６】
装置１、２、及び３は、新たな装置グループ内の全ての装置がキーＱ２（１）を用いて読むことができるメッセージをやり取りすることができる。
【０２２７】
装置（例えば装置１）は、装置グループ内の他の装置（例えば装置２）がメッセージを読むのを、除外される装置のキー（この例ではＫ２（２））を用いてそれらのメッセージを暗号化するためのキーを構築することにより、防ぐことができる。
【０２２８】
上記のメッセージのやり取りにはＳＡＣは必要ない。
【０２２９】
ｋ−耐障害方式
上記の方法は、ｋ−耐障害方式にも使用され得る。ｋ−耐障害方式では、装置ごとのキーの代わりに、最大ｋメンバを含むサイズの全ての部分集合についてキーが生成される。先の節の方法では、或る装置グループの一部である信用モジュールが、その装置グループ内の他の装置に宛てられたメッセージを復号することから除外される必要はないので、ｋ−耐障害方式では信用モジュール向けの装置キーだけが生成され、１つ又は複数の信用モジュールを含む、２つ以上のメンバを有する部分集合は生成されない。
【０２３０】
先の節の方法が装置キーについて言及するときはいつでも、装置がメンバである最大サイズがｋメンバの部分集合に属するキーが、或るキーを作成するために使用される。
【０２３１】
装置は、自らがメンバである任意の部分集合のキーを知ることを許可されていない（規則２のバリエーション）。キーの配布は、この規則が破られないものである。
【０２３２】
新たな装置を装置グループに追加するための図５に示されている全体的なステップは、ｋ−耐障害方式にも適用され得る。
【０２３３】
ステップ５１０で、装置グループの部分集合内の装置及び新たな装置を除く全ての装置によって復号され得るメッセージを暗号化するために、信用モジュールにより新たなキーマテリアルが部分集合ごとに生成される。新たなキーマテリアルの生成は、既存の装置グループのうちのｋ−１メンバ以下を有し、新たな装置を含む部分集合について行われ、そのためこれらはｋメンバ装置以下から成る部分集合である。
【０２３４】
ステップ５２０で、部分集合ごとの新たなキーマテリアルが、装置グループの部分集合の一部ではない装置グループ内の全ての装置に配布される。
【０２３５】
ステップ５３０で、新たな装置が属する部分集合のキーマテリアルを除く新たな装置のキーマテリアルが、信用モジュールと新たな装置との間でやり取りされる。このやり取りを行うために、安全な認証済み通信路がまず確立される。２つのバリエーションは、１−耐障害方式について上記で論じられたのと同様である。
【０２３６】
ステップ５４０で、欠落した任意の新たなキーを信用モジュールがステップ５３０で得る場合、ステップ５２０に示されているように、信用モジュールはこれらのキーを装置に配布する。
【０２３７】
本発明は、テレビ、ＰＣモニタ、（デジタル、ホーム）オーディオシステム、アクセスポイント、専用無線ドッキングステーション、ＰＣなどの装置に適用可能である。
【０２３８】
上記の詳細な説明では、本発明が取り得る多くの形態のうちの幾つかを記載した。上記の詳細な説明は、本発明の定義に対する限定ではなく、本発明が取り得る選択された形態の例示として理解されることを意図する。本発明の範囲を定めることを意図するのは、全ての等価物を含む特許請求の範囲だけである。例えば図５及び図６に示したプロセスフローでは、各ステップが特定の順序で行われる必要はない。
【０２３９】
最も好ましくは、本発明の原理はハードウェア、ファームウェア、及びソフトウェアの任意の組合せとして実装される。更にソフトウェアは、好ましくは部品、特定の装置、及び／又は装置の組合せから成るプログラム記憶ユニット若しくはコンピュータ可読記憶媒体上に有形に具体化されるアプリケーションプログラムとして実装される。アプリケーションプログラムは、任意の適切なアーキテクチャを含むマシンにアップロードされ、実行され得る。好ましくは、そのマシンは、１個又は複数の中央処理装置（「ＣＰＵ」）、メモリ、入出力インターフェイスなどのハードウェアを有するコンピュータプラットフォーム上に実装される。コンピュータプラットフォームは、オペレーティングシステム及びマイクロ命令コードも含むことができる。かかるコンピュータ又はプロセッサが明確に図示されていてもされていなくても、本明細書に記載した様々なプロセス及び機能は、ＣＰＵによって実行され得るマイクロ命令コードの一部、アプリケーションプログラムの一部、又はその任意の組合せとすることができる。更に、追加のデータ記憶ユニットや印刷ユニットなどの他の様々な周辺ユニットがコンピュータプラットフォームに接続されても良い。
【図１】
2014530554.tif 000071
【図２】
2014530554.tif 000072
【図３】
2014530554.tif 000073
【図４】
2014530554.tif 000074
【図５】
2014530554.tif 000075
【図６】
2014530554.tif 000076
【図７】
2014530554.tif 000077
【図８】
2014530554.tif 000078
【図９】
2014530554.tif 000079
【図１０】
2014530554.tif 000080
【国際調査報告】
2014530554.tif 000081
2014530554.tif 000082