(57)【要約】  仮名デジタル認証書(１６０ｐ)がさらに他のエンティティ−登録機関(ＲＡ)−を介してデバイスと通信する仮名認証機関(ＰＣＡ)によりデバイス１１０，１５０のために生成されて、ＰＣＡ及びＲＡが認証書をデバイスに連関させることができない。各認証書は共用署名キーに連関し、認証書を暗号化するために、ＰＣＡにより使用される共用暗号化キーに連関してＲＡから認証書を隠す。２つのキーはＰＣＡにより単一キーから由来する。例えば、署名キーは独立して生成されるよりは、共用暗号化キーから由来する。しかし、ＰＣＡが暗号化された認証書を署名しなかった時にも高い保安が要求される。その結果、帯域幅及び演算費用が減少する。その他の実施例も提供できる。【選択図】図９Ａ
2021500832.tif 000002
【特許請求の範囲】
【請求項１】
デジタル値の演算を行い、互いに通信するように動作可能なエンティティによりデジタル認証書を提供する方法において、デジタル認証書は認証動作においてデバイスにより使用され、夫々のデバイスはエンティティの一つであり、夫々のデジタル認証書は関連するデバイスによる使用のためのデジタル認証書の共用キーデータを含み、前記方法は、
第１エンティティによりデジタル認証書を生成するための要請を受信する段階を含み、前記第１エンティティはデジタル認証書が関連するデバイスで通知され、デジタル認証書はデジタル認証書に関連する個人復号化キーを用いてデジタル認証書が関連するデバイスにより復元可能な暗号化されたパッケージの関連するデバイスに送信され、前記要請は(ａ)署名−関連キー及び(ｂ)暗号化−関連キーのうちの一つを含み、
前記方法はさらに、第１エンティティにより以下の動作を行う、
署名−関連キー及び暗号化−関連キーのうちの一方から署名−関連キー及び暗号化−関連キーのうちの他方を生成する段階と、
署名−関連キーからデジタル認証書の共用キーデータを生成し、デジタル認証書の共用キーデータを含むデジタル認証書を含む関連するパッケージを生成する段階と、
関連する暗号化パッケージを生成するために暗号化−関連キーを用いて、関連するパッケージを暗号化する段階と、
伝達のための関連する暗号化パッケージを関連するデバイスに送信する段階を含む、デジタル認証書を提供する方法。
【請求項２】
前記要請は多数の要請の一つであり、各要請はデジタル認証書を生成するためのものであり、第１エンティティは任意の他の認証書が同じデバイス又は他のデバイスに連関するか否かに関係なく、夫々のデジタル認証書が関連するデバイスで通知され、夫々のデジタル認証書はデジタル認証書に関連する個人復号化キーを用いてデジタル認証書が関連するデバイスにより復元可能な関連する暗号化されたパッケージの関連するデバイスに送信され、前記要請は夫々のデジタル認証書に対して、(ａ)関連する署名−関連キー及び(ｂ)関連する暗号化−関連キーのうちの一つを含み、
前記方法はさらに、夫々のデジタル認証書に対して第１エンティティにより以下の動作を行う、
関連する署名−関連キー及び関連する暗号化−関連キーのうちの一方から関連する署名−関連キー及び関連する暗号化−関連キーのうちの他方を生成する段階と、
関連する署名−関連キーからデジタル認証書の共用キーデータを生成し、デジタル認証書の共用キーデータを含むデジタル認証書を含む関連するパッケージを生成する段階と、
関連する暗号化パッケージを生成するために関連する暗号化−関連キーを用いて、関連するパッケージを暗号化する段階と、
伝達のための関連する暗号化パッケージを関連するデバイスに送信する段階を含む、請求項１に記載のデジタル認証書を提供する方法。
【請求項３】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータと暗号化−関連キーは、確認動作において関連するデバイスにより暗号化−関連キーの変更を探知できるように互いに関連している、請求項２に記載のデジタル認証書を提供する方法。
【請求項４】
さらに夫々のデジタル認証書に対して、関連するデバイスによる確認動作を行う段階を含む、請求項３に記載のデジタル認証書を提供する方法。
【請求項５】
暗号化されたパッケージは第１エンティティにより署名されていない、請求項３に記載のデジタル認証書を提供する方法。
【請求項６】
前記要請は夫々のデジタル認証書に対して暗号化−関連キーを含む、請求項２に記載のデジタル認証書を提供する方法。
【請求項７】
前記要請は夫々のデジタル認証書に対して署名−関連キーを含む、請求項２に記載のデジタル認証書を提供する方法。
【請求項８】
前記第１エンティティは第２エンティティから前記要請を受信し、暗号化されたパッケージを関連するデバイスへの伝達のために第２エンティティに送信する、請求項２に記載のデジタル認証書を提供する方法。
【請求項９】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータは、第２エンティティに知られていない値を用いて生成される、請求項８に記載のデジタル認証書を提供する方法。
【請求項１０】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータは、第１エンティティにより生成されたランダム値を用いて生成され、ランダム値は関連するパッケージの一部である、請求項２に記載のデジタル認証書を提供する方法。
【請求項１１】
第１エンティティに関連するシステムにおいて、第１エンティティの各々はデジタル値の演算を行い、互いに通信するように動作可能なエンティティの一つであり、前記システムは、
機械実行可能なコードを貯蔵する機械読み取り可能な媒体を含むメモリと、
メモリに結合され、機械実行可能なコードを実行するように構成された一つ以上のプロセッサと、を含み、
前記一つ以上のプロセッサが第１エンティティにより、デジタル認証書を生成するための要請を受信し、前記第１エンティティは任意の他の認証書が同じデバイス又は他のデバイスに連関するか否かに関係なく、デジタル認証書が関連するデバイスで通知され、夫々のデジタル認証書はデジタル認証書に関連する個人復号化キーを用いてデジタル認証書が関連するデバイスにより復元可能な暗号化されたパッケージの関連するデバイスに送信され、前記要請は夫々のデジタル認証書に対して、(ａ)署名−関連キー及び(ｂ)暗号化−関連キーのうちの一つを含み、
署名−関連キー及び暗号化−関連キーのうちの一方から署名−関連キー及び暗号化−関連キーのうちの他方を生成する段階と、
署名−関連キーからデジタル認証書の共用キーデータを生成し、デジタル認証書の共用キーデータを含むデジタル認証書を含む関連するパッケージを生成する段階と、
関連する暗号化パッケージを生成するために暗号化−関連キーを用いて、関連するパッケージを暗号化する段階と、
伝達のための関連する暗号化パッケージを関連するデバイスに送信する段階を含む、デジタル認証書を提供する方法。
【請求項１２】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータと暗号化−関連キーは、確認動作において関連するデバイスにより暗号化−関連キーの変更を探知できるように互いに関連している、請求項１１に記載のシステム。
【請求項１３】
暗号化されたパッケージは第１エンティティにより署名されていない、請求項１２に記載のシステム。
【請求項１４】
前記要請は夫々のデジタル認証書に対して暗号化−関連キーを含む、請求項１１に記載のシステム。
【請求項１５】
前記要請は夫々のデジタル認証書に対して署名−関連キーを含む、請求項１１に記載のシステム。
【請求項１６】
前記一つ以上のプロセッサは第２エンティティから前記要請を受信し、暗号化されたパッケージを関連するデバイスへの伝達のために第２エンティティに送信する、請求項１１に記載のシステム。
【請求項１７】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータは、第２エンティティに知られていない値を用いて生成される、請求項１６に記載のシステム。
【請求項１８】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータは、第１エンティティにより生成されたランダム値を用いて生成され、ランダム値は関連するパッケージの一部である、請求項１１に記載のシステム。
【請求項１９】
デジタル値の演算を行い、互いに通信するように動作可能な多数のエンティティの一つであるデバイスによりデジタル認証書を得る方法において、
前記デバイスにより、前記デバイスの個人キー及び前記デバイスの該当共用キーを含む個人／共用キーの対を生成する段階と、
前記デバイスにより、前記デバイスの共用キーを前記エンティティの一つであるエンティティに送る段階と、
前記デバイスの共用キーの送信に対する応答として、前記デバイスにより一つ以上の応答を受信する段階、各応答は暗号化されたパッケージを含み、各暗号化されたパッケージは関連するデジタル認証書を含むパッケージの暗号化を含み、
各暗号化されたパッケージに対して、
前記デバイスにより、関連する復号化キーを前記デバイスの個人キーの関数として生成する段階と、
関連する復号化キーを用いる前記デバイスにより、前記デジタル認証書を復元するために暗号化されたパッケージを復号する段階、前記デジタル認証書は前記デジタル認証書の共用キーデータを含み、
前記デバイスにより、前記デジタル認証書の共用キーデータに該当する前記デジタル認証書の個人キーを生成する段階を含み、前記デジタル認証書の個人キーは前記デバイスの個人キーの関数として生成される、デジタル認証書を得る方法。
【請求項２０】
夫々のデバイスにより、前記デジタル認証書が有効であることを確認する段階をさらに含み、前記確認する段階は、デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチされることを確認する段階を含む、請求項１９に記載のデジタル認証書を得る方法。
【請求項２１】
各応答は署名されていない、請求項２０に記載のデジタル認証書を得る方法。
【請求項２２】
前記デジタル認証書の個人キーは関連する復号化キーに関連するデータから生成され、デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチすることを確認する段階は、デジタル認証書の共用キーデータがデジタル認証書の個人キーにマッチすることを確認する段階を含む、請求項２０に記載のデジタル認証書を得る方法。
【請求項２３】
前記デジタル認証書は暗示的であり、デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチすることを確認する段階は、
(ａ)デジタル認証書の個人キーを使用せず、デジタル認証書の共用キーデータを使用してデジタル認証書の共用キーを生成する段階と、
(ｂ)デジタル認証書の個人キーを使用してデジタル認証書の共用キーを生成する段階と、
(ｃ)前記(ａ)及び(ｂ)により提供されたデジタル認証書の共用キーをマッチングする段階を含む、請求項２０に記載のデジタル認証書を得る方法。
【請求項２４】
前記デバイスは車両を含み、前記送信及び受信の動作は無線送信である、請求項１９に記載のデジタル認証書を得る方法。
【請求項２５】
前記デバイスが他のエンティティと通信するにおいて、自分を認証するためにデジタル認証書を用いる段階をさらに含む、請求項１９に記載のデジタル認証書を得る方法。
【請求項２６】
デジタル値の演算を行い、互いに通信するように動作可能な多数のエンティティの一つであるデバイスにおいて、前記デバイスは前記一つ以上の他のエンティティと通信してデジタル認証書を得るように構成され、
機械実行可能なコードを貯蔵する機械読み取り可能な媒体を含むメモリと、
メモリに結合され、機械実行可能なコードを実行するように構成された一つ以上のプロセッサと、を含み、
前記一つ以上のプロセッサが、
前記デバイスの個人キー及び前記デバイスの該当共用キーを含む個人／共用キーの対を生成し、
前記デバイスの共用キーをさらに他のエンティティに送り、
前記デバイスの共用キーの送信に対する応答として、一つ以上の暗号化されたパッケージを受信し、各暗号化されたパッケージは関連するデジタル認証書を含み、
各暗号化されたパッケージに対して、
暗号化されたパッケージに関連する復号化キーを前記デバイスの個人キーの関数として生成し、
関連する復号化キーを用いて、前記関連するデジタル認証書を復元するために暗号化されたパッケージを復号し、前記デジタル認証書は前記デジタル認証書の共用キーデータを含み、
前記デジタル認証書の共用キーデータに該当する前記デジタル認証書の個人キーを生成し、前記デジタル認証書の個人キーは前記デバイスの個人キーの関数として生成される、デバイス。
【請求項２７】
前記一つ以上のプロセッサはさらに、夫々のデジタル認証書に対して、前記デジタル認証書が有効であることを確認するように構成され、前記確認する段階は、デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチされることを確認する段階を含む、請求項２６に記載のデバイス。
【請求項２８】
前記デバイスの共用キーの送信に応答して前記デバイスにより受信された各応答は署名されていない、請求項２７に記載のデバイス。
【請求項２９】
前記一つ以上のプロセッサは、夫々のデジタル認証書に対して、関連する復号化キーに関連するデータからデジタル認証書の個人キーを生成するように構成され、前記デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチされることを確認する段階は、デジタル認証書の共用キーデータがデジタル認証書の個人キーにマッチされることを確認する段階を含む、請求項２７に記載のデバイス。
【請求項３０】
夫々のデジタル認証書は暗示的であり、デジタル認証書の共用キーデータが関連する共用暗号化キーにマッチすることを確認する段階は、
(ａ)デジタル認証書の個人キーを使用せず、デジタル認証書の共用キーデータを使用してデジタル認証書の共用キーを生成する段階と、
(ｂ)デジタル認証書の個人キーを使用してデジタル認証書の共用キーを生成する段階と、
(ｃ)前記(ａ)及び(ｂ)により提供されたデジタル認証書の共用キーをマッチングする段階を含む、請求項２７に記載のデバイス。
【請求項３１】
前記デバイスは車両を含み、前記送信及び受信の動作は無線送信である、請求項２６に記載のデバイス。
【請求項３２】
前記一つ以上のプロセッサは他のエンティティとの通信を認証するために、さらにデジタル認証書を用いる、請求項２６に記載のデバイス。
【請求項３３】
デジタル値の演算を行い、互いに通信するように動作可能なエンティティによりデジタル認証書を生成する方法において、デジタル認証書は認証動作においてデバイスにより使用され、夫々のデバイスはエンティティの一つであり、夫々のデジタル認証書は関連するデバイスによる使用のためのデジタル認証書の共用キーデータを含み、前記方法は、
第１エンティティによりデジタル認証書を生成するための要請を受信する段階を含み、前記第１エンティティは、任意の他の認証書が同じデバイス又は他のデバイスに連関するか否かに関係なく、デジタル認証書が関連するデバイスで通知され、夫々のデジタル認証書は関連する個人復号化キーを用いてデジタル認証書が関連するデバイスにより復元可能な暗号化されたパッケージの関連するデバイスに送信され、前記要請は夫々のデジタル認証書に対してキーデータを要請して第１エンティティが、
該当キーが前記デバイスに利用可能に構成されるデジタル認証書共用キーを定義するようにデジタル認証書に挿入のためのデジタル認証書の共用キーデータを得、
関連する暗号化パッケージを得るための共用暗号化キーを得、共用暗号化キーは前記デバイスにより得られる個人復号化キーに該当し、
夫々のデジタル認証書に対して、要請キーデータのサイズはデジタル認証書の共用キーデータと共用暗号化キーが結合したサイズより小さく、
前記方法は第１エンティティにより夫々のデジタル認証書に対して、
要請キーデータにより提供された共用暗号化キーに該当する個人復号化キーを使用して、関連するデバイスによりデジタル認証書が復元可能な関連するパッケージを要請キーデータを使用して生成する段階と、
関連するパッケージを要請キーデータから得る関連する共用暗号化キーで暗号化する段階と、
伝達のための関連する暗号化パッケージを関連するデバイスに送信する段階をさらに含む、デジタル認証書を生成する方法。
【請求項３４】
夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータ及び関連する共用暗号化キーは、確認動作においてデジタル認証書の共用キーデータの変更が関連するデバイスにより探知できるように互いに関連しており、各関連するパッケージは第１エンティティにより署名されていない、請求項３３に記載のデジタル認証書を生成する方法。
【請求項３５】
夫々のデジタル認証書に対して、前記要請キーデータは関連する共用暗号化キーで構成される、請求項３３に記載のデジタル認証書を生成する方法。
【請求項３６】
夫々のデジタル認証書に対して、関連するパッケージを生成する段階は、関連する共用暗号化キーからデジタル認証書の共用キーを生成する段階を含む、請求項３５に記載のデジタル認証書を生成する方法。
【請求項３７】
前記第１エンティティは第２エンティティから前記要請を受信し、暗号化されたパッケージを関連するデバイスへの伝達のために第２エンティティに送信する、請求項３３に記載のデジタル認証書を生成する方法。
【請求項３８】
関連するパッケージを生成する段階において、前記デジタル認証書の共用キーデータは第２エンティティに知られていない値を用いて生成される、請求項３７に記載のデジタル認証書を生成する方法。
【請求項３９】
関連するパッケージを生成する段階は、
第１エンティティの外側に予測できない値を生成する段階と、
第１エンティティの外側に予測できない関連する認証書の共用キーデータを形成するように予測できない値を用いる段階を含み、
関連するパッケージは予測できない値を含む、請求項３３に記載のデジタル認証書を生成する方法。
【請求項４０】
夫々のデジタル認証書に対して、関連するパッケージを生成する段階は、ランダム値を生成する段階を含み、前記デジタル認証書の共用キーデータは前記ランダム値の関数であり、前記ランダム値は関連するパッケージの一部である、請求項３３に記載のデジタル認証書を生成する方法。
【請求項４１】
さらに、デバイスのための要請キーデータを得るために使用する関連する第１共用キーを夫々のデバイスから第２エンティティにより受信する段階と、
第１共用キーが受信されたデバイスから第１エンティティに知らせず、第１共用キーから得た要請キーデータを第２エンティティにより第１エンティティに送信する段階を含む、請求項３３に記載のデジタル認証書を生成する方法。
【請求項４２】
全てのデジタル認証書に対して、
第１共用キーは有限の代数群のメンバーであり、
要請キーデータ、デジタル認証書の共用キーデータ及び関連する共用暗号化キーは、有限の代数群のメンバーである、請求項４１に記載のデジタル認証書を生成する方法。
【請求項４３】
全てのデジタル認証書に対して、
要請キーデータは、有限の代数群のグループ動作である一つ以上の動作を第２エンティティにより具現することにより関連する第１共用キーから受信され、
デジタル認証書の共用キーデータ及び関連する共用暗号化キーは、有限の代数群のグループ動作である一つ以上の動作を第１エンティティにより具現することにより関連する要請キーデータから受信される、請求項４２に記載のデジタル認証書を生成する方法。
【請求項４４】
デジタル値の演算を行い、互いに通信するように動作可能な第１エンティティを含むエンティティによりデジタル認証書を生成する方法を行うように構成された第１エンティティにおいて、デジタル認証書は認証動作においてデバイスにより使用され、夫々のデバイスは前記エンティティの一つであり、夫々のデジタル認証書は関連するデバイスによる使用のためのデジタル認証書の共用キーデータを含み、前記方法は、
第１エンティティによりデジタル認証書を生成するための要請を受信する段階を含み、前記第１エンティティは、任意の他の認証書が同じデバイス又は他のデバイスに連関するか否かに関係なく、デジタル認証書が関連するデバイスで通知され、夫々のデジタル認証書は関連する個人復号化キーを用いて暗号化されるが、復元可能な関連するパッケージの関連するデバイスに送信され、前記要請は夫々のデジタル認証書に対してキーデータを要請して第１エンティティが、
該当キーが前記デバイスに利用可能に構成されるデジタル認証書共用キーを定義するようにデジタル認証書に挿入のためのデジタル認証書の共用キーデータを得、
関連する暗号化パッケージを得るための共用暗号化キーを得、共用暗号化キーは前記デバイスにより得られる個人復号化キーに該当し、
夫々のデジタル認証書に対して、要請キーデータのサイズはデジタル認証書の共用キーデータと共用暗号化キーが結合したサイズより小さく、
前記方法は第１エンティティにより夫々のデジタル認証書に対して、
デジタル認証書を含む関連するパッケージを要請キーデータを使用して生成する段階、デジタル認証書の共用キーデータは要請キーデータから得られ、
関連するパッケージを要請キーデータから得る関連する共用暗号化キーで暗号化する段階と、
伝達のための関連する暗号化パッケージを関連するデバイスに送信する段階をさらに含む、第１エンティティ。
【請求項４５】
前記方法において、夫々のデジタル認証書に対して、前記デジタル認証書の共用キーデータ及び関連する共用暗号化キーは、確認動作においてデジタル認証書の共用キーデータの変更が関連するデバイスにより探知できるように互いに関連しており、各関連するパッケージは第１エンティティにより署名されていない、請求項４４に記載の第１エンティティ。
【請求項４６】
前記方法において、夫々のデジタル認証書に対して、前記要請キーデータは関連する共用暗号化キーで構成される、請求項４４に記載の第１エンティティ。
【請求項４７】
前記方法において、第１エンティティは第２エンティティから前記要請を受信し、暗号化されたパッケージを関連するデバイスへの伝達のために第２エンティティに送信する、請求項４４に記載の第１エンティティ。
【発明の詳細な説明】
【背景技術】
【０００１】
発明者：Ｍａｒｃｏｓ  Ａ．Ｓｉｍｐｌｉｃｉｏ  Ｊｒ．，Ｅｄｕａｒｄｏ  Ｌｏｐｅｓ  Ｃｏｍｉｎｅｔｔｉ，Ｈａｒｓｈ  Ｋｕｐｗａｄｅ  Ｐａｔｉｌ，Ｊｅｆｆｅｒｓｏｎ  Ｅ．Ｒｉｃａｒｄｉｎｉ  Ｆｅｒｎａｎｄｅｚ，Ｍａｒｃｏｓ  Ｖｉｎｉｃｉｕｓ  Ｍ．Ｓｉｌｖａ
［関連出願の相互参照］
【０００２】
本出願は、この明細書に参照のために組み込まれ、２０１７年１０月２２日に出願された米国特許仮出願６２／５７５,５１４“車両通信の保安”及び２０１８年１０月１９日に出願された米国特許出願１６／１６５,８７１に基づいて優先権を主張する。
［著作権案内］
【０００３】
この特許書類開示の一部には、著作権保護の対象となる資料が含まれている。著作権所有者は、特許庁の出願ファイル又は記録に記載されているように、特許書類又は特許開示のいかなる者によるファクシミリ複製にも異議がないが、その他の点では全ての著作権を留保する。
【０００４】
本発明は、歩行者、スマートフォン、トラフィック信号及びその他の基盤施設だけではなく、自動車、トラック、汽車及び可能なその他の車両のうち、交通関連通信を含む保安通信に関する。
【０００５】
最近、モノインターネット(ＩｏＴ)として知られた物理的客体に内装されたデジタル技術が急増している。このようなトレンドは、車両対車両(Ｖ２Ｖ)、車両対インフラ(Ｖ２Ｉ)及び車両対歩行者(Ｖ２Ｐ)、総合して車両対事物(Ｖ２Ｘ)通信と呼ばれる相互作用モデルに対する探求に関心が増加した自動車産業にも至っている。Ｖ２Ｘは交通安全、効率及び人間対機械の相互作用を向上させることを目標とするいくつかの適用を可能にする。例えば、Ｖ２Ｘによって、車両は運転者に適当な速度を維持しながら、他の車両との安全距離を維持するようにする情報(例えば、速度、方向及び制動状態)を交換したり、通信したりすることができる。
【０００６】
実際にアメリカ交通局では、自動車、バス、トラック、汽車、道路及びその他のインフラ、そして人々のスマートフォン及びその他の装置が互いに‘対話’できるようにする技術をテストして評価するための“接続車両”プログラムに着手している。高速道路上で自動車は、例えば、近距離無線信号を互いに通信するように使用して、道路上の全ての車両は近所に他の車両があることを知ることができる。運転者はカーブの向こうの見えないところの交差路近所の自動車又は近づく自動車がある時、だれかが道路上の事物を避けるために彼らの車線に方向を変更して赤信号に走行するような危険な状況に関する案内及び警報を受けることができる。ｈｔｔｐｓ：／／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｃｖ＿ｂａｓｉｃｓ／ｃｖ＿ｂａｓｉｃｓ＿ｗｈａｔ.ｈｔｍのアメリカ交通局。“接続した車両は道路及び高速道路上で事故による死亡者及び重傷者の数を急に減少させることができる。また接続した車両は交通オプションを増加させ、走行時間を減少させることができる。トラフィックマネージャーは進和した通信データによって、トラフィックの流れを容易に統制して、増加する混雑を防止又は減少させることができる。これにより、燃料の消耗、燃料の排出を減らして、環境にも重要な影響を及ぼすことができる”
【０００７】
Ｖ２Ｘ技術及び接続した車両は増加した安全、トラフィック流れ、効率などの約束を提供する一方、かかる技術の大規模展開は若干の挑戦、特に、保安及びプライバシー関連問題の処理を必要とする。特に、Ｖ２Ｘ構造では、(１)車両間交換メッセージが合法的であり、ユーザーの不正行為を禁止していることを保証し、(２)正直なユーザーの匿名性を維持するため、他の車両やシステム自体によってその動きを簡単に追跡できないことが期待される。
【発明の概要】
【０００８】
このセクションでは、発明のいくつかの特徴を要約する。他の特徴については、後続のセクションで説明する。この発明は、参照のためにこのセクションに含まれた添付の請求範囲によって定義される。
【０００９】
本発明のいくつかの実施例は、高い保安力を提供しながら、証明書発行過程の処理及び帯域幅コストを削減する証明書管理技術を提供する。
【図面の簡単な説明】
【００１０】
【図１】この出願のシステム及び方法が動作する環境を表す図である。
【図２】例示の環境への使用のためのコンピューティングデバイスを示すブロック図である。
【図３】例示の環境において車両及びその他の装置のうち、通信の表現を示す図である。
【図４】メッセージ認証のためのデジタル認証書を例示する図である。
【図５Ａ】メッセージ認証のためのデジタル認証書を例示する図である。
【図５Ｂ】メッセージ認証のためのデジタル認証書を例示する図である。
【図６】デジタル認証書の管理に適合するコンピューターシステムを示すブロック図である。
【図７】デジタル認証書を生成するための従来技術の過程を示すフローチャートである。
【図８】デジタル認証書を生成するための従来技術の過程を示すフローチャートである。
【図９Ａ】デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。
【図９Ｂ】デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。
【図１０】従来技術に関連する本発明のいくつかの実施例の推定費用を示す図である。
【図１１Ａ】デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。
【図１１Ｂ】デジタル認証書を生成するために本発明のいくつかの実施例で使用する過程を示すフローチャートである。
【図１２】従来技術及び本発明のいくつかの実施例によるデジタル認証書の生成のための方法を示す比較表である。
【図１３】従来技術及び本発明のいくつかの実施例によるデジタル認証書の生成のための方法を示す比較表である。
【発明を実施するための形態】
【００１１】
観点、実施形態、具現又は出願を説明する本明細書及び添付の図面は、請求範囲が保護する発明を定義するものであり、制限して解釈してはいけない。様々な機械的、構成的、構造的、電気的及び動作的の変化は、本説明及び請求の範囲の思想及び範囲から逸脱しない範囲内で変更することができる。いくつの場合、周知の回路、構造又は技術は当業者に知られているので、詳しい説明及び図示を省略する。２つ以上の図において、類似する図面番号は同一又は類似する構成要素を示す。
【００１２】
この明細書には、本出願と一致するいくつかの実施例を説明する具体的な事項が提示されている。実施例に関する完全な理解のために、多い具体的な事項が提示されている。いくつかの実施例が具体的な事項の一部又は全部なしに実施可能であることは、当該技術分野における通常の知識を有する者にとって明らかである。ここに開示する特定の実施例は制限的に解釈してはいけず、例示的なものとして考えなければならない。当該技術分野における通常の知識を有する者であれば、ここに具体的に説明していないが、本発明の範囲及び思想内における他の構成要素を認識することができる。また、不要な繰り返しを避けるために、実施例に関連して説明された一つ以上の特徴は、特に言及しない限り又は一つ以上の特徴が非機能的な実施例を形成する場合、他の実施例と併合することができる。
例示の環境
【００１３】
図１は本出願のシステム及び方法が動作できる環境を示す。図１は車両１１０Ｖ(自動車、トラック、可能な他のタイプ、例えば、汽車又は自転車)、歩行者１１０Ｐ、路辺の装備１１０Ｌ(例えば、近距離通信及び遠距離通信のためのハブ(ｈｕｂ)又はゲートウェイに従うトラフィック信号)のような様々なエンティティ又はオブジェクトとの複雑な交差点を示す。オブジェクト又はエンティティ１１０(１１０Ｖ、１１０Ｌ、１１０Ｐなど)は各々、スマートフォン、自動車情報装置又はその他のコンピューティングデバイスのような装備を運んだり含んだりする。各々のコンピューティングデバイスを用いて、オブジェクト又はエンティティ１１０は、情報、座標などを共有するために通信する(例えば、無線で)。各々の車両１１０Ｖは、例えば、自分の位置、速度、加速度、路線、方向、天気情報などをブロードキャストすることができる。かかるブロードキャストにより交通渋滞、事故、滑らかな道路条件に関するアドバンス情報を得て、各車両は他の車両がどこにあるかを把握することができる。これに対応して、かかる情報の車両受信器は、彼らの運転者に運行を中断したり、減速したり、路線を変更したり、又は迂回の助言を提供するために警報を発することができる。トラフィック信号は、車両及び／又はその他のオブジェクト１１０によりブロードキャストされるトラフィック条件に基づいて自動に調整できる。
【００１４】
図２は図１の環境において、例えば、通信及び調整などのために車両又はその他のエンティティ及びオブジェクトにより使用されるコンピューティングデバイス１５０の実施例を示す。図２に示すように、コンピューティングデバイス１５０は、コンピューター貯蔵庫(メモリ)１５０Ｓに接続する一つ以上のコンピュータープロセッサ１５０Ｐと、無線通信のための無線通信装備１５０Ｗとを含む。コンピューティングデバイス１５０の動作は、コンピューティングデバイス１５０Ｐにおいて、一つ以上の中央処理装置、マルチ−コアプロセッサ、マイクロプロセッサ、マイクロコントローラ、デジタル信号処理器、フィールドプログラム可能なゲートアレイ(ＦＰＧＡｓ)、アプリケーション特定の集積回路(ＡＳＩＣｓ)、グラフィックプロセシングユニット(ＧＰＵｓ)、テンソル(ｔｅｎｓｏｒ)プロセシングユニット(ＴＰＵｓ)、及び／又はその他の具現可能なプロセッサ１５０Ｐにより制御される。
【００１５】
メモリ１５０Ｓは、コンピューティングデバイス１５０及びコンピューティングデバイス１５０の動作時に使用される一つ以上のデータ構造により実行されたソフトウェアを貯蔵するために使用される。メモリ１５０Ｓは、一つ以上の機械読み取りメディアタイプを含む。機械読み取りメディアのいくつの共通様式は、フロッピーディスク、フレキシブルディスク、ハードディスク、マグネチックディスク、その他のマグネチックミディアム、ＣＤ−ＲＯＭ、その他の光学ミディアム、パンチカード、ペーパーテープ、ホールのパターンからなるその他の物理的媒体、ＲＡＭ、ＰＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、その他のメモリチップ又はカートリッジ、及び／又はプロセッサ又はコンピューターが読み取るように順応されたその他のミディアムを含む。
【００１６】
プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、適合する物理的配置で設けられる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、同じボード上、同じパッケージ(例えば、パッケージ内のシステム)、同じチップ(例えば、チップ上システム(ｓｙｓｔｅｍ−ｏｎ−ｃｈｉｐ)、及び／又はその他に具現されることができる。いくつかの実施例において、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、分散した、仮想化された、及び／又はコンテナーに輸送されたコンピューティングリソースを含む。これらの実施例と一致して、プロセッサ１５０Ｐ及び／又はメモリ１５０Ｓは、一つ以上のデータセンター及び／又はグラウトコンピューティングの設備に位置することができる。いくつかの例示において、メモリ１５０Ｓは、コンピューティングデバイス１５０が単独で又は環境内の他のコンピューティングデバイスに連関して、この明細書でさらに説明される方法のいずれかを行うようにする、一つ以上のプロセッサ(例えば、プロセッサ１５０Ｐ)により実行される時、実行可能なコードを含む、一時的ではない、実存する機械読み取りメディアを含む。
【００１７】
コンピューティングデバイス又は装備１５０は、歩行者、車両の運転者、乗客、トラフィックマネージャー及びその他の人による使用のためのユーザインターフェース１５０ｉ、例えば、スマートフォン内のユーザインターフェース１５０i、自動車情報装置又はその他の装置の自動車情報装置を含む。
【００１８】
図３はＶ２Ｘ又は接続した車両技術により相互作用するエンティティ又はオブジェクト１１０又はこれらのコンピューティングデバイス１５０(オブジェクト１１０、ユーザ１１０、装備１５０は、混同がない時に相互作用して使用できる)のための通信技法の例を示す。場面３０８において、車両１１０Ｖは凍りついた路面に直面する。
【００１９】
車両１１０Ｖは、車両１１０Ｖ内又は車両１１０Ｖの周辺における急な制動、空回り、潜在的衝突などの条件をセンシングするための加速度計、制動モニタ、オブジェクト探知機、ＬＩＤＡＲなどの一つ以上のセンサーを含むか又は合体することができる。かかるセンサを用いて、車両１１０Ｖは、例えば、場面３０８において、凍り付いた路面を探知することができる。これらのセンサは、コンピューティングデバイス又は装備１５０(図２)に情報を提供して自動にブレーキを適用し、ステアリングを調整してユーザが反応すべき場合にディスプレイ１５０ｉによりユーザに知らせることによりアクションを取ることができる。コンピューティングデバイス１５０は、これらのセンサにより提供された情報に関する診断又は分析を行うオン・ボード診断モジュール１６８を備える。
【００２０】
車両１１０Ｖ上において、複数の装備部品が基本安全メッセージ(ＢＳＭ)及び／又はその他のメッセージを相互又は他の車両と交換しながら通信する。ＢＳＭメッセージは、参照のために含まれた、Ｗｈｙｔｅ ｅｔ ａｌ.，“Ｖ２Ｖ通信のための保安資格マネジメントシステム”、ＩＥＥＥ Ｖｅｈｉｃｕｌａｒ Ｎｅｔｗｏｒｋｉｎｇ Ｃｏｎｆｅｒｅｎｃｅ、２０１３、ｐｐ.１−８、及びＣＡＭＰ、“保安資格マネジメントシステム概念の検証を具現−ＳＣＭＳソフトウェアリリース１．１を支援するＥＥ要件及びスペック”車両安全通信コンソーシアム、Ｔｅｃｈ. Ｒｅｐ.，２０１６年５月(利用可能な資料：ｈｔｔｐｓ：Ｆ／ｗｗｗ.ｉｔｓ.ｄｏｔ.ｇｏｖ／ｐｉｌｏｔｓ／ｐｄｆ／ＳＣＭＳ_ＰＯＣ＿ＥＥ＿Ｒｅｑｕｉｒｅｍｅｎｔｓ.ｐｄｆ)に詳しく記載されている。
【００２１】
車両又はその他のオブジェクト１１０は、例えば、ＧＰＳ衛星１１７０又はセルラー三角測量を用いて、その位置を得ることができる。また車両１１０Ｖは、いくつかの実施例において、モバイルフォンのようなダイレクト近距離通信(ＤＳＲＣ)無線及び非−ＤＳＲＣ無線装備を含む通信装備１５０Ｗを含む。従って、車両はセルラーシステム又は路辺の装備(ＲＳＥ)１１０ＲＳＥにより直接、即ち、中間ネットワークスイッチを介さず、通信することができる。ＲＳＥは他のネットワーク、例えば、インターネットにゲートウェイのように作用することができる。この通信装備１５０Ｗを用いて、車両１１０はＶ２Ｘ及び接続した車両環境において、他の車両、エンティティ、オブジェクト１１０とＢＳＭメッセージ及びその他の情報を通信することができる。従って、車両１１０Ｖ／１６０は、場面３０８において、他のパートに凍り付いた路面の環境を知らせることができる。これと同様に、他の車両１１０は場面１０２０に位置することができ、該当場面において他の車両に冬の保持動作を警告することができる。
【００２２】
トラフィックマネジメントシステム１１０Ｌは、例えば、道路又は路辺、高速道路、横断歩道などに位置する停止信号、横断歩道信号などの装備を備えて、車両、人又はその他のオブジェクト及びエンティティの交通を管理し、制御することができる。トラフィックマネジメントシステム１１０Ｌは、コンピューティングデバイス１５０、センサ、ユーザインターフェース、通信装備などを含み、車両１１０Ｖと同一又は類似する装備を含む。
【００２３】
コンピューターシステム３１６は、Ｖ２Ｘ又は接続された車両の技術環境において、車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０に送信されるか、又は車両１１０Ｖ、トラフィックマネジメントシステム１１０Ｌ及びその他のオブジェクト又はエンティティ１１０から受信された情報に対して、これら各々のコンピューティングデバイス１５０と共に処理し、集合させ、発生させ又は作動させる。図示したものは走行情報システム３１８である。コンピューターシステム３１６は、例えば、一つ以上のサーバーに具現されるか又は併合される。かかるコンピューターシステム３１６は、例えば、位置及びマップ情報、走行指示、トラフィック警報及び警告、路辺のサービス(例えば、ガソリンスタンド、食堂、ホテルなど)に関する情報を提供又は支持する。かかるコンピューターシステム３１６は、例えば、トラフィック信号上でシグナリングを調整し、トラフィックを変更し、警報又は警告をポスティングしてオブジェクトを管理するために、環境において様々な車両、エンティティ及びオブジェクト１１０から情報を受信し、情報を処理して、環境により情報又は指示を通信する。
【００２４】
接続された車両又はＶ２Ｘ技術環境において、かかる通信能力は潜在的にエラー及び乱用に弱い。悪意のあるユーザ１１０(例えば、車両運営者又はトラフィックマネージャー)及び／又は欠陥のある装備１５０が偽り又は不正確な情報を他の車両に送信して、トラフィックに悪い影響を及ぼすことができる。かかる否定行為から保護するために、例えば、共用キーインフラ(ＰＫＩ)を用いて通信を認証する必要がある。ＰＫＩにおいて、各車両１１０Ｖ又はその他の装備は、個人キー(例えば、メッセージを署名するための)及び共用キーで備えられる。共用キーは公共に分散されるが、個人キーは秘密が保障される。
【００２５】
図４、図５Ａ及び図５Ｂは、接続車両又はＶ２Ｘ技術環境において、メッセージ認証のために使用できるデジタル認証書の例を示す。図４を参照すると、デジタル認証書１６０が示されている。
【００２６】
デジタル認証書１６０は多数のフィールド又はパラメータを有する。いくつかの実施例において、かかるフィールド又はパラメータは、認証書の有効期間１６５、署名スキームの識別及びその他の認証書ＩＤ１６１、ユーザＩＤ１６２(例えば、車両ＩＤ番号又はユーザＥメールアドレス)、車両(又はユーザ)の共用キー１６４及び可能な他のパラメータ(メタデータとも呼ばれる)を含む。また認証書１６０は、署名自体を除いた認証書の全分野に対して認証機関(ＣＡ)により形成された署名を含む。ＣＡは、例えば、コンピューター３１６上に存在するか、又はコンピューター３１６で具現される。
【００２７】
デジタル認証書１６０は、共用キー１６４を認証するために車両１１０Ｖに発行される。車両１１０Ｖは、車両の認証書１６０を車両により送信された各メッセージに付着する。メッセージ１７０は、メッセージボディー又はコンテンツ１７１及び個人キーを用いて車両により生成されたデジタル署名１７２を含む。メッセージ受信者は、ＣＡの共用キーを使用して署名１６６を確認し、共用キー１６４を含む認証書１６０を認証する。その後、受信者はメッセージ署名１７２を確認するために、共用キー１５４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６６及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。
【００２８】
車両が否定行為をすると(悪意のある又は故障により)、車両の認証書１６０が撤回される。例えば、ＣＡは有効期間１６５の満了後、新しい認証書を発行しない。有効期間１６５はメッセージ受信者が満了した認証書を検出するために使用することができる。
【００２９】
かかるスキームの不利益は、潜在的にユーザのプライバシーを含む、車両の送信が遮断されると、車両は認証書ＩＤ１６１又は車両により送信されたユーザＩＤ１６２をトラッキングして追跡される。ユーザのプライバシーを保護するために、ユーザにはＩＤ１６１及び１６２の代わりに、ランダムに見えるストリング(“仮名”)からなる多数の仮名認証書１６０ｐ(図５Ａ)が発行される。その後、車両はメッセージ送信に認証書１６０の代わりに仮名認証書を使用する。車両はトラッキングを避けるために、他のメッセージに対する他の仮名認証書を自動に使用することができる。
【００３０】
図５Ａはメッセージ１７０を伴う仮名認証書１６０ｐを示す。この認証書は仮名の認証機関(ＰＣＡ)により生成される。仮名１６４はＵで示され、認証書ＩＤ及び共用キーの役割を果たす。認証書１６０ｐは図４の認証書１６０と同様に、有効期間１６５、署名スキームの識別、ＰＣＡ署名１６７及びその他のパラメータを含む。仮名認証書１６０ｐは後述するように、認証書撤回のために使用された連鎖値(ｌｖ)(ｌｉｎｋａｇｅ値)を含む。
【００３１】
車両は、車両の仮名認証書１６０ｐのうちの一つを車両により送信された各メッセージ１７０に付着する。メッセージ受信者は、ＰＣＡ署名を確認するためにＰＣＡの共用キーを使用し、メッセージ署名１７２を確認するために仮名１６４を使用してメッセージを認証する。いくつかの実施例においては、認証書署名１６７及びメッセージ署名１７２の確認が結合される(例えば、より良好な性能のために)。かかる仮名認証書は保安資格管理システム(ＳＣＭＳ)で使用され、Ｗｈｙｔｅ ｅｔ ａｌ.に提案されており、その後にＣＡＭＰに拡張される。
【００３２】
“暗示的な認証書”と呼ばれる変異(図５Ｂ)において、共用キーＵの代わりに、仮名フィールド１６４はＶで示され、ＰＣＡの共用キーを有する誰かが認証書の共用キーＵを誘導するように許容する“資格(ｃｒｅｄｅｎｔｉａｌ)”データ(又は“共用キー復元”データ)である(Ｕは認証書１６０ｐに貯蔵される)。例えば、この明細書に参照のために含まれた“Ｃｅｒｔｉｃｏｍ. Ｓｅｃ４Ｖ１．０：Ｅｌｌｉｐｔｉｃ ｃｕｒｖｅ Ｑｕ−Ｖａｎｓｔｏｎｅ、暗示的な認証書スキーム(ＥＣＱＶ)。技術リポート、Ｃｅｒｔｉｃｏｍリサーチ、２０１３．ｈｔｔｐ:／／ｗｗｗ.ｓｅｃｇ.ｏｒｇ／ｓｅｃ４−１．０.ｐｄｆ”、(“Ｃｅｒｔｉｃｏｍ” ｂｅｌｏｗ)を参照。
【００３３】
メッセージ受信者は、メッセージ署名１７２を確認する必要がある時、まず仮名１６４(Ｖ)及びＰＣＡ共用キーからユーザの共用キーＵを再構成した後、署名を確認するために、ユーザの共用キーＵを使用する。かかる過程ではＰＣＡ共用キーを使用するので、認証書１６０ｐを処理したユーザからのものであり、メッセージ１７０を認証するだけではなく、ＰＣＡ２１０により認証されたものとして認証書１６０ｐを確認することができる。従って、特にＰＣＡの署名１６７が不要であり、省略されて認証書のサイズを減少させる。Ｃｅｒｔｉｃｏｍを参照。
保安資格管理システム(ＳＣＭＳ)
【００３４】
保安資格管理システム(ＳＣＭＳ)は、Ｖ２Ｘのための様々な仮名基盤の保安解決策のうち、最も優れた解決策である。実際、アメリカでＳＣＭＳはＶ２Ｘ−Ｖ２Ｖ及びＶ２Ｉ通信を保護するための先頭の車両共用−キーインフラ(ＶＰＫＩ)候補デザインの一つである。ＳＣＭＳは与えられた任意の認証書管理エンティティがエンティティそれ自体によってデバイス１１０，１５０をトラッキングすることを防止しながら、その他のシステムエンティティと衝突せず、取り消し可能なプライバシーを処理することができる。これにより、ＳＣＭＳでは、システムのエンティティが“ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ”として考慮できる、即ち、この文書に参照として含まれた、Ｋｈｏｄａｅｉ ｅｔ ａｌ.，“知能型交通に対するキー：車両通信システムにおける身元及び資格管理”、ＩＥＥＥ Ｖｅｈｉｃｕｌａｒ Ｔｅｃｈｎｏｌｏｇｙ Ｍａｇａｚｉｎｅ、ｖｏｌ.１０、ｎｏ．４、ｐｐ．６３−６９、Ｄｅｃ ２０１５に説明されているように、エンティティが正確なプロトコルに従うが、感知できない方式で行われば、車両を追跡できる脅威モデルをエレガントにアドレスしながら、Ｖ２Ｘの保安要求をコピーすることができる。
一般表記
【００３５】
便宜上、表IはＶ２Ｘ、接続車両及び／又はＳＣＭＳを含む関連環境について、この出願で採択した一般表記及びシンボルのリストを含む。
【００３６】
【表１】
2021500832.tif 000003
【００３７】
ｓｔｒ１||ｓｔｒ２はビットストリングｓｔｒ１及びｓｔｒ２の連結を示すために使用される。ｅｎｃ(キー、ｓｔｒ)はビットストリングｓｔｒのキーへの暗号化を示し、この暗号化は２００１年１１月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ(Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ及びＴｅｃｈｎｏｌｏｇｙ)、進化した暗号化標準(ＡＥＳ)、ＦＩＰＳ Ｉ９７(Ｆｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ)に詳しく説明されているように、ＡＥＳのような標準ブロック暗号を用いて行われることができる。利用可能な資料：ｈｔｔｐ：／／ｃｓｒｃ.ｎｉｓｔ.ｇｏｖ／ｐｕｂｌｉｃａｔｉｏｎｓ／ｆｉｐｓ／ｆｉｐｓ１９７／ｆｉｐｓ−Ｌ９７.ｐｄｆ。これと同様に、ｈａｓｈ(ｓｔｒ)はｓｔｒのハッシュ(ｈａｓｈ)を示し、この文書に参考のために含まれた、２０１５年８月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ、ＦＩＰＳ １８０−４−Ｓｅｃｕｒｅ Ｈａｓｈ Ｓｔａｎｄａｒｄ(ＳＨＳ)、ＤＯＩ：Ｌ０．６０２８／ＮＩＳＴ.ＦｌＰＳ.１８０−４、及び２０１５年８月、アメリカ、ＭＤ、Ｇａｉｔｈｅｒｓｂｕｒｇ、アメリカ商務省のＮＩＳＴ、ＦＩＰＳ ２０２−ＳＨＡ−３ Ｓｔａｎｄａｒｄ：Ｐｅｒｍｕｔａｔｉｏｎ−Ｂａｓｅｄ Ｈａｓｈ及びＥｘｔｅｎｄａｂｌｅ−Ｏｕｔｐｕｔ Ｆｕｎｃｔｉｏｎｓ、ＤＯＩ：１０．６０２８／ＮＩＳＴ.ＦｌＰＳ.２０２に詳しく説明されているように、ＳＨＡ−２又はＳＨＡ−３のような標準ハッシュ機能を利用する。
【００３８】
与えられたストリングｓｔｒのバイト(ｂｙｔｅｓ)長さは|ｓｔｒ|で示す。“ＧＥ”で示した楕円形の曲線グループ(さらに表記された)の生成ポイントをＧで示す。
【００３９】
ＳＣＭＳにおいて、各々のデバイス１１０，１５０は２つのタイプの認証書を受信する、長い有効期間Ｔを有し、システムにおいて有効なデバイスを識別する登録認証書１６０、及び多数の仮名認証書１６０ｐ。各々の仮名認証書はσ≧１の仮名認証書が同時に有効な方式で短い有効期間(例えば、数日)を有する。プライバシーを保護するために、特定の車両が車両通信に使用する仮名認証書を頻繁に変更するので、近所の車両又は路辺の装置によるトラッキングを避けることができる。実際に、一つの車両がシステムにより利点を得ることを目標とするプラトーン(ｐｌａｔｏｏｎ)として姿勢を取る“ｓｙｂｉｌ−ｌｉｋｅ”攻撃を避けるために、σの値を小さい数に制限することが有用である。(この攻撃は、参考のために含まれた、２００２年１月、Ｓｐｒｉｎｇｅｒ、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ １ｓｔ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｐｅｅｒ−ｔｏ−Ｐｅｅｒ ｓｙｓｔｅｍｓ(ＩＰＴＰＳ)。Ｄｏｕｃｅｕｒ、“Ｔｈｅ Ｓｙｂｉｌ攻撃”に詳しく説明されている。利用可能な資料：ｈｔｔｐｓ：／／ｗｗｗ.ｍｉｃｒｏｓｏｆｔ.ｃｏｍ／ｅｎ−ｕｓ／ｒｅｓｅａｒｃｈ／ｐｕｂｌｉｃａｔｉｏｎ／ｔｈｅ−ｓｙｂｉｌ−攻撃／)(参考のために含まれた、Ｍｏａｌｌａ ｅｔ ａｌ.，“Ｒｉｓｋ ａｎａｌｙｓｉｓ ｓｔｕｄｙ ｏｆ ＩＴＳ ｃｏｍｍｕｎｉｃａｔｉｏｎ ａｒｃｈｉｔｅｃｔｕｒｅ,”３ｒｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ及びＴｈｅ Ｎｅｔｗｏｒｋ ｏｆ ｔｈｅ Ｆｕｔｕｒｅ、２０１２、ｐｐ．２０３６−２０４０を参照)。例えば、このようなフェイクプラトーンは結局、混雑な道路に高い優先権を付与するためにプログラムされた信号灯から優先権を与える処理を受信する。
ＳＣＭＳ構造の例
【００４０】
図６はＳＣＭＳの例示的なコンピューターシステム構造の環境を示す。ＳＣＭＳは車両所有者の否定行為があった場合、多数の仮名認証書を容易に撤回するメカニズムを提供しながら、多数の仮名認証書を車両に効率的な方式で分配するように設計されている。
【００４１】
ＳＣＭＳにおいて、登録機関(ＲＡ)２２０は、仮名認証書集団１６０ｐを車両又はオブジェクト１１０／１５０に提供する。バタフライ・キーの拡張過程において、車両から受信された単一の要求から集団(ｂａｔｃｈ)が生成される。ＰＡ２２０は、車両の登録認証書１６０により車両要請を有効化する。登録認証書に加えて、各要求は、仮名認証書の提供過程の間に車両により生成された一部の共用キーを含む(１６４は除く)。かかる共用キーは、以下の図７に示すように、７１０で示される。またＰＡ２２０は、仮名認証機関(ＰＣＡ)２１０に共用キーを個々に送る前に、他のユーザに属する共用キー１７０を混ぜる。このようにＰＣＡ２１０は、要請グループを同じオブジェクト１１０／デバイス１５０にリンクすることができない。ＰＣＡ２１０は有効な認証書１６０ｐを交互に生成し、有効な認証書をデバイスにフォーワーディングするためのＲＡに伝達する前に、暗号化して符号化する。認証書１６０ｐが暗号化されるので、ＲＡは仮名認証書１６０ｐをデバイス１１０／１５０にリンクすることができない。ＰＣＡとＲＡが衝突しないと、これらは認証書１６０ｐをその所有者１１０／１５０にリンクすることができない。
【００４２】
連結機関(ｌｉｎｋａｇｅ ａｕｔｈｏｒｉｔｙ、ＬＡ)２３０又はより正確には２３０.１及び２３０.２で示される連結機関ＬＡ１及びＬＡ２は、仮名認証書１６０ｐに追加された連鎖値(図５Ａ及び図５Ｂにおいてｌｖ２３４)を生成するように結合されたランダムのビットストリングを生成して、仮名認証書を効率的に撤回することができる。連鎖値(ｌｖ)は仮名認証書によって異なるが、与えられた登録認証書１６０のために一緒にリンクされる。この明細書に参照のために含まれた、２０１７年９月２１日に出願されたアメリカ出願１６／１３６,６２１を参照。またこの明細書に参照のために含まれた、２０１８年Ｍａｒｃｏｓ Ａ.Ｓｉｍｐｌｉｃｉｏ Ｊｒ. ｅｔ ａｌ.，“車両ネットワークにおいて仮名認証書を臨時連結又は撤回するためのプライバシー保存方法”を参照。
【００４３】
否定行為機関(ＭＡ)２５０は否定行為デバイスの認証書１６０ｐを得、同じデバイスの認証書１６０を全て撤回するように認証書の連鎖値２３４、ＲＡ及びＰＣＡから得たデータを使用する。
【００４４】
いくつかの実施例において、ＰＡ２２０、ＰＣＡ２１０、ＬＡｓ２３０及びＭＡ２５０は各々、一つ以上のコンピューティングデバイス(例えば、コンピューティングデバイス１５０又はコンピューターシステム３１６)と共に具現されるか、又は一つ以上のコンピューティングデバイスを含む。
ＳＣＭＳのバタフライ・キー拡張
【００４５】
ＳＭＣＳにおいて、仮名認証書の提供過程は、スモールサイズの要請メッセージを有する(短期)認証書１６０ｐの大規模集団を任意に得るためにデバイスの効率的なメカニズムを提供する。かかる過程は図７に示されている。まず要請デバイス１１０／１５０は２対の“キャタピラー”個人／共用キー７１０を生成する。
2021500832.tif 000004
【００４６】
個人キーs及びeはランダムである。楕円形のカーブ暗号法を用いてキーが生成される。キー(s,S)は仮名１６４(図５Ａ、図５Ｂ)の生成に関し、上述したように、認証書１６４が署名確認によりメッセージ認証のために使用されるので、“署名キー”とも呼ばれる。キー(e,E)は、後述するように、ＲＡから仮名を隠すために行われた仮名認証書の暗号化に関する；これらのキーは“暗号化キー”とも呼ばれる。
【００４７】
段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。ＲＡに送られた要請は７１０で示された共用キャタピラー・キーS及びEを含む。キー７１０に加えて、要請は
2021500832.tif 000005
で示された２つの適合する仮名機能(ＰＲＦ)７１４を定義するデータを含む。(いくつかの実施例において、機能定義データはかかる機能のシード(ｓｅｅｄｓ)である；機能の出力はシードから演算できる。又は、非効率的ではあるが、機能定義データはＰＲＦ用の演算アルゴリズムの説明を含めてＰＲＦの全体説明を含むことができる。
【００４８】
ＲＡは複数の装置１１０から上記要請を受信し、各々のデバイスに対するβ仮名認証書１６０ｐを以下のように生成する。各々の要請に対して、該当キーS及びEは段階８１４において共用コクーン・キー７１８を生成するＲＡにより使用される。より具体的には、段階８１４において、キーSは
2021500832.tif 000006
共用コクーン署名キーの生成に使用される：
2021500832.tif 000007
全てのiに対して
2021500832.tif 000008
が成立するように。同様に、同じ段階８１４において、ＲＡは
2021500832.tif 000009
共用コクーン暗号化キーを生成するためにキーEを使用する：
2021500832.tif 000010
【００４９】
コクーン・キー７１８の対、即ち、複数のデバイス１１０からの
2021500832.tif 000011
はＲＡにより混ぜられ(段階８１８)、及び該当仮名認証書１６０ｐの生成のために、ＰＣＡ２１０に個々に又は集団で送られる。各コクーン・キーの対は有効期間１６５及び連鎖値(ｌｖ)２３４の演算に必要なデータのようなメタデータにより伴われる。図４、図５Ａ及び図５Ｂを参照。
【００５０】
各々のコクーン・キーの対
2021500832.tif 000012
において、ＰＣＡは図７の方法を用いて明示的な仮名認証書１６０ｐ(図５Ａ)を生成するか、又は図８に示したように、暗示的な認証手順(図５Ｂ及びＣｅｒｔｉｃｏｍ)に関与する。明示的又は暗示的な認証書１６０ｐはＰＣＡにより暗号化されて、ＲＡ(図７、図８における段階９００)に送られる。ＲＡは仮名認証書を“アン−シャッフル”(“ｕｎ−ｓｈｕｆｆｌｅｓ”)して、各々の仮名認証書を該当(関連する)デバイス１１０に送る。各々のデバイスのβ仮名認証書は該当デバイスに集団で送られる。
【００５１】
明示的な過程のために(図５Ａ、図７)、上記ＰＣＡは段階８２２において任意の値riを演算し、以下の式(Ｅｑ．１)によって認証書の共用署名キー(仮名)１６４を生成する：
2021500832.tif 000013
【００５２】
段階８２６において、ＰＣＡは、(１)Uiとメタデータを結合して、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合して；(２)署名１６７(図５Ａ)を形成するように前記結合をデジタル方式で署名してcertiで示された認証書１６０ｐを形成する。
【００５３】
その後、ＰＣＡは該当コクーン・キー
2021500832.tif 000014
を用いて値
2021500832.tif 000015
と共に認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値ri)はＰＣＡ個人署名キーを用いてＰＣＡにより再度署名される(段階８３４)。この署名は７３０で示される。
【００５４】
この結果、暗号化されて署名されたパッケージがＲＡに送られる(段階９００)。ＲＡは上記結果を要請するデバイス１１０に伝達される。
【００５５】
要請するデバイス１１０のみが該当値を復号する：
2021500832.tif 000016
【００５６】
(段階８３４を参照)要請するデバイス１１０のみがコクーン・キー
2021500832.tif 000017
に該当する個人キーを知っているためである。かかる個人キーは以下の式(Ｅｑ．２)により与えられる：
2021500832.tif 000018
【００５７】
従って、デバイス１１０が上記仮名Ui(認証書１６０ｐの部分として)を知ることができ、該当個人署名キーを演算することができる：
2021500832.tif 000019
【００５８】
またデバイス１１０は以下の式をチェックして署名キーui、Ui を確認することができる：
2021500832.tif 000020
【００５９】
なお、デバイス１１０は、後述するように、ＲＡによる中間者攻撃(Ｍａｎ−ｉｎ−ｔｈｅ−Ｍｉｄｄｌｅ ａｔｔａｃｋ)を防止するために、ＰＣＡ署名７３０を確認する。
【００６０】
暗示的な認証書１６０ｐにおいて、上記過程は以下の通りである(図８を参照)。コクーン・キーの生成(段階８１０、段階８１４、段階８１８)は、明示的な認証書と同様である。また段階８２２において、ＰＣＡは任意の値riを演算して資格証明１６４を演算する：
2021500832.tif 000021
【００６１】
その後、段階８２６において、ＰＣＡはcertiとも示された暗示的な認証書１６０ｐを生成する：
2021500832.tif 000022
即ち、
2021500832.tif 000023
【００６２】
ここで、“ｍｅｔａ”はメタデータである(有効期間１６５などを含む)。
【００６３】
段階８２６において、ＰＣＡは以下のような署名sigiを得るために、この認証書を署名する：
2021500832.tif 000024
【００６４】
ここで、
2021500832.tif 000025
であり、uＰＣＡはＰＣＡの個人署名キーである。
【００６５】
認証書生成の残りの段階は図７の通りである。より具体的には、ＰＣＡは該当コクーン・キー
2021500832.tif 000026
を用いてsigiの署名値と共に、認証書１６０ｐを暗号化する(段階８３０)。暗号化されたパッケージ(認証書１６０ｐ及び値sigi)はＰＣＡの個人署名キーを用いてＰＣＡにより署名される(段階８３４)。この署名は７３０で示される。段階９００において、上記結果(暗号化された構造及び署名７３０)はＰＡ２２０を介して上記要請するデバイス１１０に送られる。
【００６６】
デバイス１１０はＰＣＡ署名７３０を確認し、パッケージcerti||sigiを復号して以下を演算する：
2021500832.tif 000027
【００６７】
その後、デバイス１１０は自分の個人署名キーを以下のようにセットする：
2021500832.tif 000028
【００６８】
反面、該当共用署名キーは以下のような形式である：
2021500832.tif 000029
【００６９】
デバイス１１０は以下の式を確認することにより、共用キーUiの有効性を確認することができる。
2021500832.tif 000030
【００７０】
ここで、UＰＣＡはuＰＣＡに該当するＰＣＡの共用署名キーである。
【００７１】
どの認証書モデルが採択されても、図７及び図８の段階８３４において、暗号化されたＰＣＡ応答はＰＣＡ自分の個人署名キーuＰＣＡを用いて署名し、“ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ”ＲＡの中間者攻撃(ＭｉｔＭ)への参与を防止することを目標とする。即ち、かかる署名７３０無しに、ＲＡによる中間者攻撃が以下のように行われる：(１)
2021500832.tif 000031
の代わりに、ＲＡは段階８１８において任意の値zに対するフェイクコクーン暗号化キー
2021500832.tif 000032
をＰＣＡに送り；(２)段階９００において、ＲＡはzを用いてＰＣＡの応答を復号して仮名
2021500832.tif 000033
(図７)又はVi(図８)を把握し；(３)ＲＡは正確な
2021500832.tif 000034
を有する認証書を再暗号化して、その結果をデバイスに送り、普段の通りプロトコルに進行する。しかし、ＰＣＡが署名７３０を生成し、デバイス１１０がＲＡの応答として署名７３０を確認すると、ＲＡは段階(３)で生成された再暗号化された認証書のための有効な署名７３０を提供できないので、上記の攻撃は失敗する。
【００７２】
採択された認証書(明示的又は暗示的)のタイプに関係なく、ユーザのプライバシーはＲＡとＰＣＡが衝突しない限り、この過程で保護される。結局、ＲＡにより行われた共用コクーン・キーのシャッフリング(段階８１８)は、キー７１８が同じデバイスに属するか否かをＰＣＡが知ることを防止する。キー７１８が同じデバイスに属さない場合、riを用いてＰＣＡによりランダムに抽出されたUi又はVi の値を知らないので、共用キーUi(図７)又はVi(図８)のＲＡのためのデバイスへの不連携性が得られる。
【００７３】
非常に効率的ではあるが、特にデバイス１１０の観点では、上記過程はより最適化されることができる。より具体的には、いくつかの実施例において、元々のＳＭＣＳ認証書提供プロトコルは、この明細書に説明されているように、処理費用及び帯域幅使用の観点で向上される。
統合されたバタフライ・キーの拡張の過程
【００７４】
図７及び図８において、バタフライ・キーの拡張(段階８１４)は、仮名認証の提供過程でＲＡにより２回行われる：署名キー
2021500832.tif 000035
のために１回、そして暗号化キー
2021500832.tif 000036
のために１回。この結果、デバイス１１０は段階８１０において、該当コクーン・キー
2021500832.tif 000037
の演算のために、該当疑似乱数
2021500832.tif 000038
だけではなく、２つのキャタピラー・キー(S及びE)をＲＡに送る必要がある。またＰＣＡはＲＡによる操作を避けるために、認証書を暗号化するだけではなく(段階８３０)、その結果、暗号化されたパッケージを署名する(段階８３４)。かかるエキストラ署名は、多数の場所で追加オーバーヘッドに繋がる：ＰＣＡ上で、エキストラ署名７３０の演算及び送信により；ＲＡ上で、エキストラ署名７３０の受信及び再送信により；そしてデバイス１１０の終端で、認証書の署名自体の確認以外に署名の受信及び確認により((Ｅｑ．4)又は(Ｅｑ．１０))。
【００７５】
本発明のいくつかの実施例によれば、キャタピラー・キーの生成及び使用が統合された方式で行われ、保安又は機能性の損失無しにより良好な効率が得られる。
明示的な認証書過程の例示
【００７６】
本発明の一実施例が図９Ａ及び図９Ｂに示されている。まず、(段階９０４)、要請するデバイス１１０は単一のキャタピラー個人／共用キーの対７１０のみを生成する：
2021500832.tif 000039
。ＳＣＭＳでのように、個人キーx がランダムに生成される。共用キーXは認証書１６０ｐを暗号化するためのＰＣＡにより使用され、ＰＣＡによりランダムに抽出された後、後述するように、認証書に同封される共用キー又は仮名１６４を生成するＰＣＡにより使用される(段階８２４)。
【００７７】
段階８１０において、デバイス１１０はＲＡに所定の数βの仮名認証書１６０ｐを生成することを要請する。デバイスによりＲＡに送られたデバイス要請は、固有のＩＤ(“デバイス要請ＩＤ”)、固有のデバイスＩＤ、共用の統合されたキャタピラー・キーX,及び簡単にfで示された適合する疑似乱数関数(ＰＲＦ)７１４を定義するデータを含む。この関数fはＳＣＭＳにおいてfs又はfeと同一である。各々のデバイス要請の写しが上記デバイスによりメモリに貯蔵される。
【００７８】
段階８１４において、ＲＡは各々のデバイスのための
2021500832.tif 000040
共用の統合されたコクーン署名キーを生成する(ＳＣＭＳと同様に)：
2021500832.tif 000041
【００７９】
段階８１８において、ＲＡは複数のデバイスのためのコクーン・キーを混ぜ、各コクーン・キー
2021500832.tif 000042
のために、ＲＡは仮名認証書１６０ｐのための(“ＲＡ要請”)をＰＣＡ２１０に送る。複数のデバイス１１０からの要請を集団でＰＣＡに送ることができるが、これは不要である。
【００８０】
各々のＲＡ要請において、ＲＡは固有の要請ＩＤ(“ＲＡ要請ＩＤ”)を生成し、ＲＡ要請ＩＤ、コクーン・キーインデックスi(式(Ｅｑ．１１)を参照)、及び関連するデバイス要請を含むデータ構造(“ＲＡ要請データ構造”)を生成する。ＲＡ要請ＩＤは要請によってＰＣＡに提供される。デバイスＩＤはＰＣＡに提供されず、ＰＣＡはこの要請をデバイスに連関させることができない。ＰＣＡは複数の要請が同一又は異なるデバイスに連関するか否かを決定することができない。
【００８１】
各々のコクーン・キー
2021500832.tif 000043
において、ＰＣＡは明示的又は暗示的な仮名認証書１６０ｐを生成することができる。図９Ａ及び図９Ｂは明示的な認証書のための過程を示す。いずれの場合でも、明示的又は暗示的な認証書１６０ｐは今後ＰＣＡに暗号化されてＲＡに送られる(段階９００)。各々の暗号化された仮名認証書は要請ＩＤにより伴われて、ＲＡが仮名認証書を“アン−シャッフル”(“ｕｎ−ｓｈｕｆｆｌｅ”)、即ち、各暗号化されたパッケージをデバイスに連関させて、暗号化されたパッケージを関連するデバイスに送る。選択的には、各々のデバイスのβ仮名認証書が集団でデバイスに送られることができる。
【００８２】
明示的な認証書において、段階８２２において、ＰＣＡは任意の値riを生成し、認証書の共用署名キー(仮名)１６４をコクーン・キー
2021500832.tif 000044
のランダム関数、即ち、
2021500832.tif 000045
及びriの関数として生成する。例えば、以下の式(Ｅｑ．１２)、式(Ｅｑ．１２’)のうちのいずれか一つが使用される：
2021500832.tif 000046
【００８３】
また、(段階８２４)、ＰＣＡは共用コクーン暗号化キー
2021500832.tif 000047
を生成する。いくつかの実施例において、
2021500832.tif 000048
は
2021500832.tif 000049
のようにセットされる。即ち、
2021500832.tif 000050
【００８４】
2021500832.tif 000051
に対する他の表現を使用できる。例えば：
2021500832.tif 000052
【００８５】
残りの段階は図７と同様の場合と、そうでない場合があるが、ＰＣＡ署名７３０の生成は省略できる。より具体的には、いくつかの実施例において、段階８２６において、ＰＣＡは(１)Uiとメタデータを結合し、例えば、認証書の有効期間１６５と連鎖値(ｌｖ)２３４を結合し；(２)署名１６７(図５Ａ)を形成するように、前記結合をデジタル方式で署名して、certiで示された認証書１６０ｐを形成する(図５Ａ)。
【００８６】
段階８３０において、ＰＣＡは認証書１６０ｐ及び値
2021500832.tif 000053
を含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー
2021500832.tif 000054
を使用する。例示的な暗号化スキームはＥＣＩＥＳであり；この明細書に参照のために含まれたＩＥＥＥを参照、ＩＥＥＥ Ｓｔａｎｄａｒｄ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ ｆｏｒ 共用−キーＣｒｙｐｔｏｇｒａｐｈｙ - Ａｍｅｎｄｍｅｎｔ １：Ａｄｄｉｔｉｏｎａｌ Ｔｅｃｈｎｉｑｕｅｓ、ＩＥＥＥ ｃｏｍｐｕｔｅｒ Ｓｏｃｉｅｔｙ、２００４。またその他の暗号化スキームを使用できる。
【００８７】
その結果、暗号化されたパッケージが段階８１８でＰＣＡにより受信されたＲＡ要請と共にＲＡに送られる(段階９００)。上述したように、署名７３０は省略される。ＲＡはパッケージを復号できない。
【００８８】
ＲＡはＰＣＡから受信したデータをアンーシャッフルする(“ｕｎ−ｓｈｕｆｆｌｅｓ”)。この動作を行うために、ＲＡは各暗号化されたパッケージを伴うＲＡ要請ＩＤをＲＡのメモリに貯蔵されたＲＡ要請ＩＤにマッチさせる(段階８１８)。ＲＡは各装置１１０に対する暗号化されたパッケージを各々のデバイスに伝達する(段階９１０)。各暗号化されたパッケージによって、ＲＡは関連するコクーン・キーを定義する該当i値をデバイスに送る；式(Ｅｑ．１１)を参照。ＲＡはＲＡ要請に関連するデバイス要請からi値を得る。
【００８９】
段階９１４において、各認証書１６０ｐに対して、関連するデバイス１１０は暗号化(コクーン)キー
2021500832.tif 000055
に該当する復号キー
2021500832.tif 000056
を演算する。
2021500832.tif 000057
が
2021500832.tif 000058
のようにセットされていると、(式(Ｅｑ.１３)：
2021500832.tif 000059
【００９０】
式(Ｅｑ．１３’)の場合：
2021500832.tif 000060
式(Ｅｑ．１３’)で使用されたものと同じハッシュ関数“ｈａｓｈ”を利用して、
【００９１】
デバイス１１０はパッケージを復号化するために、復号化キー
2021500832.tif 000061
を使用して認証書１６０ｐ及び該当riを復元する。式(Ｅｑ．１３)及び式(Ｅｑ．１４)の場合、暗号化共用キーは以下の通りであるので、かかる復号化キーが作用する：
2021500832.tif 000062
【００９２】
式(Ｅｑ．１３’)、式(Ｅｑ．１４’)の場合、暗号化共用キーが以下の通りであるので、復号化が作用する：
2021500832.tif 000063
【００９３】
段階９１８において、デバイスはＰＣＡ’ｓ共用署名キーUＰＣＡを用いてＰＣＡ署名１６７を確認する。
【００９４】
段階９２２において、デバイスはUiに該当する自分の個人署名キーuiを演算する。Uiが式(Ｅｑ．１２)のように演算されると、個人署名キーが以下のように生成される：
2021500832.tif 000064
【００９５】
式(Ｅｑ．１２’)が使用されると、個人署名キーが以下のように使用される：
2021500832.tif 000065
【００９６】
(Ｅｑ．１２)を参照。段階９２４において、デバイスは以下を確認する。
2021500832.tif 000066
【００９７】
上記のうちのいずれか一つをチェックするか、又は確認に失敗すると、デバイスは認証書１６０ｐ及び／又は集団における全ての認証書を拒絶することができる。またデバイスは保持及び／又は故障又は不正直なＲＡやＰＣＡ上での保安動作をトリガーするために、エラーに対して適切な機関(例えば、飛行機関２５０)に知らせることができる。
【００９８】
保安分析：かかる過程は署名７３０の演算を含まないが、この過程はＲＡにより相変わらず中間者攻撃を防止する。共用キーUiを有効化する時、ＲＡによる操作が装置により探知可能であるように、ＰＣＡは
2021500832.tif 000067
から暗号化キー
2021500832.tif 000068
を演算するためである(段階８２４、式(Ｅｑ．１３)又は式(Ｅｑ．１３’))(段階９２２、段階９２４)。特に、ＰＣＡが式(Ｅｑ．１３)を使用する例を仮定し、悪意のあるＲＡがｚの任意値に対する以下の式により
2021500832.tif 000069
の正確な値に代える：
2021500832.tif 000070
この場合、段階８３０において、ＰＣＡはＲＡが復号化キー
2021500832.tif 000071
によりＰＣＡの応答を復号するように許容する
2021500832.tif 000072
(段階８２４、式(Ｅｑ．１３))に認証書を暗号化することにより、デバイスの最終共用キー
2021500832.tif 000073
(段階８２２で生成)を把握する。しかし、認証書が変更されると、ＲＡはＰＣＡ署名１６７を偽造することができないので、ＲＡが認証書１６０ｐ、特に、仮名Ui*を変更すると、デバイスは段階９１８において不正確な署名１６７を探知することができない。従って、認証書を再暗号化する前に、ＲＡはUi*をマッチする値
2021500832.tif 000074
を探す必要がある。例えば、式(Ｅｑ．１２)の場合、値
2021500832.tif 000075
は以下を満たさなければならない：
2021500832.tif 000076
従って、
2021500832.tif 000077
はＲＡ−対−デバイス応答において、ＰＣＡにより提供された元々の
2021500832.tif 000078
に代えることができる。そうではないと、デバイスは段階９２４において、提供された値
2021500832.tif 000079
Ｅｑ．１６、即ち、以下を満たさないことに注目する。
2021500832.tif 000080
【００９９】
この確認に失敗し、該当キーはデバイスにより有効ではないと識別されて攻撃を妨害する。この場合、悪意のあるＲＡに対して、
2021500832.tif 000081
はポイント
2021500832.tif 000082
に対する楕円曲線の離散対数の問題(ＥＣＤＬＰ)解決に相応する以下の式のようにセットされる必要があることを意味する：
2021500832.tif 000083
実際に、
2021500832.tif 000084
はＲＡに知られており、zはＲＡにより自由に選択でき、
2021500832.tif 000085
は攻撃により把握されるので、かかる問題は、ＥＣＤＬＰの場合である車両により提供されたＸ値により与えられたｘを探すことに減少される。従って、ＥＣＤＬＰの計算硬度を推定して、攻撃それ自体は暗号化により担保される楕円曲線に対して計算的に不可能である。
【０１００】
ＲＡは有効な
2021500832.tif 000086
を探す代わりに(又はそれに加えて)、
2021500832.tif 000087
を操作することにより式(Ｅｑ．１８)を満たすことを選好するが、提案したスキームでは不可能である：結局、
2021500832.tif 000088
はＰＣＡにより署名されて完全無欠(ｉｎｔｅｇｒｉｔｙ)の違反を末端デバイスにより探知することができる。
【０１０１】
性能分析：ＳＣＭＳの保安特性保護以外に、かかる統合されたバタフライ・キーの拡張は、元々の過程に比較してオーバーヘッドを減少させる：
【０１０２】
デバイス１１０：ＲＡに送られた要請は、図７及び図８に示すように、２つのキー及び関数よりは単一のコクーン共用キー(X)及び疑似乱数関数(f)を含むので、処理及び帯域幅の費用はかかるプロセスドラップの半分だけ関与する。また段階９００で受信された認証書パッケージはＰＣＡ署名７３０を省略するので、より少ない。最終的に、受信された認証書を有効化する処理費用を署名７３０の確認除去により容易に減らすことができる。ＲＡによる中間者攻撃を避けるための
2021500832.tif 000089
を有効化させることは、式(Ｅｑ．１６)の署名７３０の確認に通常に関与することよりは少ない単一の楕円曲線(ＥＣ)の掛け算を取るためである。
【０１０３】
ＲＡ：署名キーのためのバタフライ・キーの拡張を行ってプロセシングオーバーヘッドを半分に誘導する。補助的なメタデータを無視し、２つよりは単一のコクーン・キーと疑似乱数関数を含むＰＣＡに要請をフォーワーディングする時(段階８１８)、帯域幅の使用が類似して減少する。最終的には、ＰＣＡによる応答(段階９００)は暗号化されたパッケージ上で署名７３０の不在によりもっと小さい。
【０１０４】
ＰＣＡ：各認証書の発行には、２つではなく１つの署名(１６７)(署名７３０が省略されるので)が含まれるので、処理費用が低くなる。インバウンド及びアウトバウンドの帯域幅も節約でき、ＲＡの要請が少なくなるので
2021500832.tif 000090
、ＰＣＡの応答も少なくなる(署名７３０の省略により)。
【０１０５】
名数(ｃｏｎｃｒｅｔｅ ｎｕｍｂｅｒｓ)を提供するために、図１０は推薦されたアルゴリズム(署名の生成／確認のためのＥＣＤＳＡ及び非対称暗号化／復号化のためのＥＣＩＥＳ)を仮定して、ＣＡＭＰに説明されたように提案された手順の推定費用と元々のＳＣＭＳとを比較する表を示す。２つのアルゴリズムは１２８−ｂｉｔ保安レベルを提供するように構成される。完成のために、車両による集団確認の処理費用を測定する時、ＥＣＤＳＡのための２つの異なるセッティングを考慮する：即ち、ＥＣＤＳＡの確認過程が基本的に生成器Ｇによる一つの固定ポイントＥＣ掛け算及びＰＣＡの署名キーＵＰＣＡによる一つのランダムポイント掛け算を取る標準具現(“ＲＰ”と表記)；またＵＰＣＡが固定ポイントを考慮する最適の具現(“ＦＰ”と表記)(即ち、この動作は前置計算によりもっと速くなる)。性能費用はＩｎｔｅｌ ｉ５ ４５７０プロセッサ上で実行されるＲＥＬＩＣ暗号ライブラリ(ｃｒｙｐｔｏｇｒａｐｈｙ ｌｉｂｒａｒｙ)を用いて周期的に測定される。ＲＥＬＩＣは、この明細書に参照のために含まれた、
2021500832.tif 000091
、“ＲＥＬＩＣ ｉＳ ａｎ Ｅｆｆｉｃｉｅｎｔ ＬＩｂｒａｒｙ ｆｏｒ Ｃｒｙｐｔｏｇｒａｐｈｙ,”ｈｔｔｐｓ:／／ｇｉｔｈｕｂ.ｃｏｍ／ｒｅｌｉｃ−ｔｏｏｌｋｉｔ／ｒｅｌｉｃに説明されている。帯域幅の費用はバイト単位で測定されて、バタフライ・キーの拡張過程(例えば、事前リンク値、認証書が連関される時間周期など)とは厳密に関連のない最終メタデータを無視する。
暗示的な認証書過程の例
【０１０６】
この発明は図９Ａ、図９Ｂの実施例に限られない。例えば、暗示的な認証書が使用される。図１１Ａ、図１１Ｂは暗示的な認証書スキームを示す。段階９０４、段階８１０、段階８１４及び段階８１８は図９Ａ、図９Ｂと同様である。段階８２２において、ＰＣＡは任意の値riを演算し、ｃｒｅｄｅｎｔｉａｌ１６４を演算する：
2021500832.tif 000092
【０１０７】
段階８２４において、ＰＣＡは明示的な認証書に対する過程と同じ過程を用いて、例えば、式(Ｅｑ.１３)又は式(Ｅｑ.１３’)によって共用のコクーン暗号化キー
2021500832.tif 000093
を生成する。
【０１０８】
段階８２６において、ＰＣＡはcertiで示される暗示的な認証書１６０ｐを以下のように生成する：
2021500832.tif 000094
即ち、
2021500832.tif 000095
ここで、“ｍｅｔａ”はメタデータである(有効期間１６５などを含む)。
【０１０９】
段階８２６において、ＰＣＡはかかる認証書に署名して以下のように署名sigiを得る：
2021500832.tif 000096
ここで、
2021500832.tif 000097
【０１１０】
段階８３０において、ＰＣＡは認証書１６０ｐ及び署名sigiを含む(構成される)パッケージを暗号化する。暗号化は該当コクーン・キー
2021500832.tif 000098
を使用する。例示的な暗号化スキームはＥＣＩＥＳであるが、その他のスキームも使用できる。
【０１１１】
段階９００及び段階９１０において、暗号化されたパッケージが図９Ａ、図９Ｂのように同じ過程及びデータ構造(ＲＡ要請データ構造を含む)を用いてＲＡ２２０を介して要請デバイス１１０に送られる。ＲＡはパッケージを復号できない。
【０１１２】
段階９１４において、デバイス１１０は暗号化されたパッケージ及び該当値iを受信し、式(Ｅｑ.１４)又は式(Ｅｑ.１４’)のように、個人キー
2021500832.tif 000099
を演算し、かかるキーを使用してＰＣＡの応答パッケージcerti|| sigiを復号して、以下のように演算する：
2021500832.tif 000100
【０１１３】
段階９２２において、デバイスは自分の個人署名キーを以下のようにセットし：
2021500832.tif 000101
段階９２３において、該当共用の署名キーを以下のように演算する：
2021500832.tif 000102
【０１１４】
デバイス１１０は以下の式を確認することにより、共用キーUiの有効性を確認することができる。
2021500832.tif 000103
ここで、UＰＣＡはＰＣＡの共用の署名キーである。
【０１１５】
図１２はＳＣＭＳアルゴリズム及び上述した実施例の一部からなる表を示す。ＳＣＭＳ明示的な認証書の生成は１２１０で示される。ＳＣＭＳ暗示的な認証書の生成は１２１４で示される。本発明のいくつかの実施例による明示的な認証書の生成は１２３０で示される。本発明のいくつかの実施例による暗示的な認証書の生成は１２３４で示される。以下の表記が使用される:
【０１１６】
“ｐｋｇ”はＰＣＡにより行われた暗号化段階８３０の出力を示す。“ｒｅｓ”は同じ出力を示すが、署名を形成するためにＰＣＡにより出力される；即ち、“ｒｅｓ”はＳＣＭＳにおいて段階８３４の出力である；
【０１１７】
最後のコラムにおいて、“Ｖｅｒ”はデバイス１１０により行われた署名確認を示す；
【０１１８】
Ｕp及びupは各々ＰＣＡの共用キー及び個人キーである。
【０１１９】
発明のいくつかの実施例の他の特徴が、この明細書に参照のために含まれた、Ｍａｒｃｏｓ Ａ. Ｓｉｍｐｌｉｃｉｏ Ｊｒ. ｅｔ. ａｌ.，“統合されたバタフライ効果：車両通信のための効率的な保安資格管理システム”、２０１８、Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ：Ｒｅｐｏｒｔ ２０１８／０８９、ｈｔｔｐｓ:／／ｅｐｒｉｎｔ.ｉａｃｒ.ｏｒｇ／２０１８／０８９.ｐｄｆに説明されている。
保安及び性能
【０１２０】
提案されたスキームの全般的な保安は、元々のＳＣＭＳバタフライ・キーの拡張と同じ原理に基づく。即ち、キャタピラー及びコクーン署名キーの生成及び利用はＰＣＡに基づき、ＲＡはＳＣＭＳと同じである。従って、デバイスの個人キャタピラー・キーx(s又はe)がプロトコルの全体実行時に楕円曲線の離散対数の問題(ＥＣＤＬＰ、以下の定義１に提供される)により保護されるという事実に基づくＳＣＭＳに対する保安論争は有効である。従って、ＲＡとＰＣＡが衝突しても、ＲＡとＰＣＡもキャタピラー・キーから由来する署名又は復号化個人キーを復元することができない。ＲＡとＰＣＡが衝突しない限り、認証書の間の不連携性も同様に保護される：ＲＡにより行われたシャッフリング(ｓｈｕｆｆｌｉｎｇ)(段階８１８)は、同じ車両１１０を対象とする認証書要請(ＲＡ要請)間の関係をＰＣＡから隠す；一方、ＰＣＡの暗号化された応答により、復号化キーの所有者１１０以外がcertiを分からないようになる。
【０１２１】
定義１．楕円曲線離散対数の問題(ＥＣＤＬＰ)。Eを有限フィールドKに対する楕円曲線とする。Qが＜Ｐ＞内にいるように(即ち、Pを含む最小規模のサブグループ)与えられたＥ(Ｋ)にポイントＰ、Ｑを仮定する。Ｑ＝Ｋ・Ｐになるようにｋを決定する(この明細書に参照のために含まれた、Ｋｒｉｓｔｉｎ Ｅ．Ｌａｕｔｅｒ及びＫａｔｈｅｒｉｎｅ Ｅ．Ｓｔａｎｇｅ、“楕円の可分性シーケンスに対する楕円曲線の離散対数の問題と等価のハード問題”、Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｅｌｅｃｔｅｄ Ａｒｅａｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ、ｐａｇｅｓ３０９−３２７、Ｓｐｒｉｎｇｅｒ、２００８を参照)。
【０１２２】
統合されたキー接近は、ＳＣＭＳに対する２つの変更を導入する：(１)コクーン暗号化キーが演算される方式を変更し、(２)暗号化されたパッケージ上でＰＣＡの署名７３０を除去する。第１の変更は、通信の機密性に影響を与える可能性があるので、ＲＡはcertiを分かる。一方、応答としてＰＣＡにより作成された最終署名は、ＲＡによる中間者攻撃に対するシステムの保安を確保することを目標とするので、この観点では、第２の変更は脆弱性があり得る。しかし、ＥＣＤＬＰの硬度を推定して統合されたキー接近が相変わらず仮名認証書の内容を保護し、中間者攻撃を防止することに注目する。より詳しくは、
2021500832.tif 000104
に暗号化されたＰＣＡの応答を復号する問題がＥＣＤＬＰの場合に減少されることに注目する。
【０１２３】
明示的又は暗示的に共用キーＵi を有効化する時、ＲＡによる操作がデバイスによって探知されるようにＰＣＡの応答が処理されることを注目する場合に対する中間者攻撃に同じ演算硬度が適用される。
仮名認証書の機密性
【０１２４】
ＳＣＭＳにおいて、応答パッケージを共用暗号化キー
2021500832.tif 000105
に暗号化する目的は、ＲＡが応答パッケージのコンテンツを知ることを防止するためである。これは該当個人キー
2021500832.tif 000106
がＲＡに知られていない
2021500832.tif 000107
を用いて簡単に達成できる。提案された統合接近は、暗号化
2021500832.tif 000108
及び署名
2021500832.tif 000109
の個人キーがＳＣＭＳで保護された状態で保存する必要があるという観測に基づき、暗号化
2021500832.tif 000110
及び署名
2021500832.tif 000111
の個人キーが単一の情報に結合される場合に相変わらず実行可能である。実際に、
2021500832.tif 000112
を暗号化キーとして直接使用する保安は、以下の整理１から分かることができる。
【０１２５】
整理１．ＲＡによる盗聴に対して統合されたバタフライ・キー拡張の保安：ＲＡはｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ保安モデルに従うと仮定し、正確な
2021500832.tif 000113
をＰＣＡに送る。この場合、ＲＡは多項式時間に楕円曲線の離散対数の問題(ＥＣＤＬＰ)の場合を解決できないと、多項式時間にＰＣＡの暗号化された応答ｐｋｇのコンテンツを復元することができない。
【０１２６】
証拠．証拠は複雑ではない(ｓｔｒａｉｇｈｔｆｏｒｗａｒｄ)：暗号化が安全なアルゴリズムで行われると、
2021500832.tif 000114
を知らないまま、復号化を許容する多項式時間アルゴリズム及びｐｋｇからこのようなキーの復元を許容する多項式時間アルゴリズムが存在しない。従って、スキームの機密性違反はＸ又は
2021500832.tif 000115
から
2021500832.tif 000116
の復元を必要とする。結局、ｐｋｇ以外に、復号化キー
2021500832.tif 000117
との関係を運ぶＲＡにより保有された情報が存在する。しかし、f(i)がＲＡにより知られた
2021500832.tif 000118
であるので、かかるタスクはＸからx探し、即ち、Ｘに対するＥＣＤＬＰ解決と等価である。
暗示的モデルにおいてＲＡによる中間者(ＭｉｔＭ)攻撃に対する保安
【０１２７】
すぐ得られた保安結果は、ＲＡが統合されたキー拡張プロトコルに従うことを仮定して、ＰＣＡに正確な
2021500832.tif 000119
を提供する。しかし、ＲＡはかかるキーを任意値ｚに対して
2021500832.tif 000120
に代替することを選好することができる。この場合、ＰＣＡはｐｋｇを
2021500832.tif 000121
に暗号化し、その結果は該当個人キーzを用いてＲＡにより復号化されるので、この過程の機密性が消える。従って、以前に仮定された“ｈｏｎｅｓｔ−ｂｕｔ−ｃｕｒｉｏｕｓ”シナリオを補完する中間者シナリオの保安を考慮する必要がある。ＲＡは(否定)行為に対する制約がなく、選択が、(１)ＲＡが若干の利点を得、特にｐｋｇの機密性又は完全無欠を違反する能力が得られ、(２)否定行為が車両１１０により探知されないので、車両が該当認証書を安全に使用できることを信じる限り、ＲＡは
2021500832.tif 000122
を自由に選択することができる。かかるシナリオからして、整理２を体系的に示すことができる。
【０１２８】
整理２.暗示的モデルにおいて、中間者攻撃に対する統合されたバタフライ・キー拡張の保安：ＰＣＡに送られた暗示的な認証書のための要請において、ＲＡが
2021500832.tif 000123
を任意値
2021500832.tif 000124
に代替すると仮定する。ランダムオラクルモデルにおいて、ＥＣＤＬＰの硬度を仮定すると、ＲＡは要請する車両に関する知識無しに、ＰＣＡの応答ｐｋｇの完全無欠又は機密性を違反することができない。
【０１２９】
証拠.ｐｋｇコンテンツの完全無欠がＰＣＡ署名の不足にもかかわらず保護されることに注目する。実際に、ＲＡが多少ｐｋｇの機密性を違反しても、(署名された)暗示的な認証書certiを得ることができる。しかし、certiは暗示的認証モデル(Ｃｅｒｔｉｃｏｍ、セクション３.４)では機密として処理されず、かかるモデルはＥＣＤＬＰの硬度を仮定するランダムオラクルモデルにおいて、certiの完全無欠を保障する。従って、暗示的認証、その自体はcertiの変更が直接(即ち、ｐｋｇ復号化後)又は間接(即ち、暗号文のみを変更することにより)に車両により探知できることを予め保障する。
【０１３０】
しかし、統合されたキー拡張の機密性を提供することは、暗示的な認証書の保安特性に直接依存できないので、さらに努力が必要である。再度、還元注意者的な接近によれば、ｐｋｇの機密性違反はＥＣＤＬＰの場合の解決を必要とする。
【０１３１】
悪意のあるＲＡは任意値zに対して
2021500832.tif 000125
の正確な値を
2021500832.tif 000126
に代替する。ＲＡにより選択されたzの実際値に原則的にいかなる制約も加えられないので、かかる仮定は一般性を失わず、行われることができる。ＲＡ要請の受信によって、ＰＣＡは否定行為を探知できないので、結局、暗示的な認証書certi を
2021500832.tif 000127
に暗号化する。その結果、ＲＡはzを復号化キーとして用いてＰＣＡの応答を復号することができ、システムの機密性を違反してしまう。かかる攻撃により、ＲＡは該当署名
2021500832.tif 000128
だけではなく、車両の暗示的な認証書
2021500832.tif 000129
を知ることができる。
【０１３２】
しかし、
2021500832.tif 000130
に対して、結果的なsigi* が車両により予測された実際の
2021500832.tif 000131
に対する有効な署名ではないので、ＲＡによるかかる否定行為は車両により探知される。より正確には、車両が
2021500832.tif 000132
を演算した後、
2021500832.tif 000133
ではないと、暗示的確認
2021500832.tif 000134
に失敗する：
2021500832.tif 000135
と仮定すれば
【０１３３】
従って、車両の確認を迂回できるように、ＲＡはいかなるzも選択することができない。その代わりに、
2021500832.tif 000136
が成立する。f(i)がＲＡにより知られても、かかる特性を有するzの演算を許容するx 値を探すことは、Xに対するＥＣＤＬＰ解決と等価である。
明示的モデルにおいてＲＡによる中間者攻撃に対する保安 
【０１３４】
明示的な認証書に対する保安論争は、整理３に要約するように、暗示的モデルのための直前セクションに提示された論争と類似する。
【０１３５】
整理３.暗示的モデルにおいて、中間者攻撃に対する統合されたバタフライ・キー拡張の保安：ＰＣＡに送られた明示的な認証書のための要請において、ＲＡが
2021500832.tif 000137
を任意値
2021500832.tif 000138
に代替すると仮定する。ＥＣＤＬＰの硬度を仮定すると、ＲＡは要請する車両に関する知識無しに、ＰＣＡの応答ｐｋｇの完全無欠又は機密性を違反することができない。
【０１３６】
証拠．再度、ＰＣＡ’ｓ暗号化された応答ｐｋｇに同封された明示的な認証書certiが車両による探知を避けながら変更できないことを見せることは容易である。結局、certi自体はＰＣＡによりデジタル方式で署名され、変更は安全なアルゴリズムが自分の演算のために採択されたと仮定する署名を無効化する。従って、ｐｋｇの機密性がＲＡにより多少違反されても、それは(署名されない)値riが変更されるように許容することができるが、(署名された)certiの変更は許容されない。しかし、間接的には、certiの非柔軟性は車両によりriの可能な変更が探知可能であることを保障する。これはcertiから得られたUiの値が
2021500832.tif 000139
を演算して、
2021500832.tif 000140
であるか否かをチェックする時、車両により確認されるためである。x及びf(i)が車両により知られ(即ち、ＲＡにより操作できず)、Uiが認証書で固定されるので、
2021500832.tif 000141
への転換は
2021500832.tif 000142
に繋がる。従って、ｐｋｇのコンテンツのいずれも車両による探知なしには変更できない。
【０１３７】
また車両により行われた最終確認は、統合されたキー拡張の機密性を保障し、かかる問題が減少可能なＥＣＤＬＰの硬度を推定する。これを証明するために、悪意のあるＲＡはランダムに選択された値zに対して
2021500832.tif 000143
を
2021500832.tif 000144
に代替することを、一般性を失わず、再度仮定することができる。この場合、ＲＡはＰＣＡ'ｓ応答を復号するためにzを使用し、(１)認証書に同封されたデバイスの最終共用キー
2021500832.tif 000145
と、(２)ri自体の値を知ることができる。
【０１３８】
探知を避けるために、ＲＡは
2021500832.tif 000146
が受信されたUi*の演算に使用されなかったことを車両が分からないように、ＰＣＡの応答を再暗号化する必要がある。これは、元々のriを車両で行われた確認過程を通過するri*、即ち、
2021500832.tif 000147
を満足するri*に代替することを必要とする。そうではないと、かかる最終確認を行う車両が受信されたUi*を有効でないものと識別して、攻撃を妨害する。しかし、残念ながら、ＲＡにおいて、これはri*が
2021500832.tif 000148
にセットされることを意味し、かかるri* を探すことは、ポイント
2021500832.tif 000149
に対するＥＣＤＬＰを解決することと同等である。同様に、f(i)がＲＡにより知られるので、zはＲＡにより自由に選択され、riは攻撃により分かることができ、この問題は車両により提供されたX値により与えられたxを探すことに減少される。それにもかかわらず、これは相変わらず証拠の結論をつけるＥＣＤＬＰの場合である。
追加保安の観点
【０１３９】
更なる注目事項として、元々のＳＣＭＳデザインは暗号化及び署名のための同一の(又は連関性のある)共用／個人キーの対を用いることを避けるための好ましい実行であると考慮されるので、最もあり得る２つのキャタピラー・キーの採用を提案する。かかる推薦の主要理由は、一方の過程で発見された可能な脆弱性(例、具現エラー)が他方に対するキーを流出することができるためである。この明細書に参照のために含まれた、
2021500832.tif 000150
、“Ｕｎｉｖｅｒｓａｌ ｐａｄｄｉｎｇ ｓｃｈｅｍｓ ｆｏｒ ＲＳＡ”、Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２２Ｎｄ Ａｎｎｕａｌ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｒｙｐｔｏｌｏｇｙ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ、ＣＲＹＰＴＯ ’０２、ｐａｇｅｓ ２２６−２４１、Ｌｏｎｄｏｎ、ＵＫ、２００２、Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇを参照。従って、攻撃者が、(１)車両が一方の過程のためのオラクルとして動作し、(２)使用された個人キーを復元する方式で攻撃者が車両と相互作用する場合、(３)他方の過程のための個人キーを流出する。
【０１４０】
最初には、上記説明された戦略は暗号化(ＰＣＡによる)及びデジタル署名(車両による)を生成するために使用されるキー
2021500832.tif 000151
を生成することにより、かかる一般的な規則を違反していると思われる。しかし、これは提案されたスキームの場合ではない。
2021500832.tif 000152
に該当する個人キー
2021500832.tif 000153
は実際にデータのどの部分を署名するために、全く使用されない。その代わりに、車両は
2021500832.tif 000154
を明示的モデルにおいて署名キーとして使用し、暗示的モデルにおいて
2021500832.tif 000155
を使用し、ここで、
2021500832.tif 000156
は車両及びＰＣＡにより知られた秘密値である。
2021500832.tif 000157
が成立する限り、暗号化及び署名過程の間の予測可能な相関関係がＰＣＡ自体を除いた全てのエンティティ(ランダムに生成されたキーから予測されるように)の観点から除去される。特に、かかる接近はＳＣＭＳの根拠であるバタフライ・キー拡張過程の後に考えられた同じラインに従う：他の署名コクーン・キーが同一の秘密情報(キャタピラー・キー)から生成されるが、かかる相関関係は車両及びシステムエンティティ(個の場合、ＲＡ)のみによって知られる。従って、提案された変更は元々のＳＣＭＳプロトコルの自然な開発として思われることができる。
【０１４１】
最終的には、練習として、どの種類の具現欠陥が結果的なシステムの保安を危険にするために必要であることを考慮することが有用である。署名キーuiが多少折衝される場合であっても、折衝されたＵiに関連する
2021500832.tif 000158
を知っている唯一のエンティティであることができるので、かかる欠陥の結果として
2021500832.tif 000159
を復旧することはＰＣＡのみによって実現可能である。しかし、ＰＣＡは
2021500832.tif 000160
キー対に保護された平文(ｐｌａｉｎｔｅｘｔ)をすでに知っているので、なにも得られない：結局、ＰＣＡは最初に平文を暗号化した唯一のものである。従って、ＵＢＫ過程に対する有用な攻撃に繋がる唯一の具現は暗号化キー
2021500832.tif 000161
の折衝をいう。かかる攻撃は
2021500832.tif 000162
を運ぶＰＣＡの応答をキャプチャーすることを必要とし、署名キーuiが復元されることができ、メッセージが署名キーに偽造できる。しかし、これは再度ＲＡ又はＰＣＡにより実現できるが、外部エンティティにより実現不可能である。ＳＣＭＳにおいて、ＰＣＡ−ＲＡ及びＲＡ−車両通信は常に安全な(例、ＴＬＳ−基盤)チャネルを用いて保護され、ＲＡ及びＰＣＡがＰＣＡの応答として接続する唯一のエンティティである(車両事態を除外)。一方、ＲＡ及びＰＣＡは自体的に(衝突無しに)有効な認証書を生成し、該当メッセージを署名するので、かかる攻撃に関与することにより得られることが(あっても)多くない。
性能分析
【０１４２】
ＳＣＭＳの保安特性を保護することを除いて、かかる統合されたバタフライ・キーの拡張によれば、元々の過程に比較して減少したオーバーヘッドが得られる：
【０１４３】
車両：ＲＡに送られた要請は、２つよりは単一のコクーン共用キー及び単一のＰＲＦを含むので、処理及び帯域幅の費用はかかるプロセスドラップの半分だけ関与する。受信された集団は認証書を含む各暗号化されたパッケージが署名されていないので(認証書自体のみを署名)より少ない。最終的には、暗号化されたパッケージ上でＰＣＡ署名の確認が除去されるので、受信された認証書を有効化する処理費用がＳＣＭＳよりは少ない。これは、特に確認手順がシグナリングメッセージより普通高価であるＥＣＤＳＡのようなデジタル署名スキームで興味深い。この明細書に参照のために含まれた、Ｄａｎｉｅｌ Ｊ. Ｂｅｒｎｓｔｅｉｎ、Ｎｉｅｌｓ Ｄｕｉｆ、Ｔａｎｊａ Ｌａｎｇｅ、Ｐｅｔｅｒ Ｓｃｈｗａｂｅ、ａｎｄ Ｂｏ−Ｙｉｎ Ｙａｎｇ、“Ｈｉｇｈ−ｓｐｅｅｄ ｈｉｇｈ−ｓｅｃｕｒｉｔｙ ｓｉｇｎａｔｕｒｅｓ”、Ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｈａｒｄｗａｒｅ ａｎｄ Ｅｍｂｅｄｄｅｄ ｓｙｓｔｅｍｓ - ＣＨＥＳ ２０１１、ｐａｇｅｓ １２４-１４２、Ｂｅｒｌｉｎ、Ｈｅｉｄｅｌｂｅｒｇ、２０１１、Ｓｐｒｉｎｇｅｒ Ｂｅｒｌｉｎ Ｈｅｉｄｅｌｂｅｒｇを参照。
【０１４４】
ＲＡ：署名キーのためのバタフライ・キーの拡張を行ってプロセシングオーバーヘッドを半分に誘導する。補助的なメタデータを無視し、２つよりは単一のコクーン・キーと疑似乱数関数を含むＰＣＡに要請をフォーワーディングする時、帯域幅の使用が類似して減少する。最終的には、ＰＣＡによる応答は暗号化されたパッケージ上で署名の不在によりもっと小さい。
【０１４５】
ＰＣＡ：発行された各(暗示的又は明示的)認証書が２つの代わりに単一の署名を取ることから処理費用を節約できる。インバウンド及びアウトバウンドの帯域幅も節約でき、ＲＡの要請がもっと少なくなるので
2021500832.tif 000163
、ＰＣＡの応答も少なくなる(少なくなった署名が送られる)。
【０１４６】
名数(ｃｏｎｃｒｅｔｅ ｎｕｍｂｅｒｓ)を提供するために、図１３の表は推薦されたアルゴリズム(署名の生成／確認のためのＥＣＤＳＡ及び非対称暗号化／復号化のためのＥＣＩＥＳ)を仮定して、ＣＡＭＰに説明されたように提案された手順の推定費用と元々のＳＣＭＳとを比較する。２つのアルゴリズムは１２８−ｂｉｔ保安レベルを提供するように構成される。特に、図１３は要請及び応答を含むβ認証書を発行する時、元々のＳＣＭＳと提案された解決策との間の処理(グレイバックグラウンドで示された周期的に)及び通信(バイト単位で)の比較を示す。
【０１４７】
帯域幅の費用はバイト単位で測定され、バタフライ・キー拡張の過程(例、事前リンク値、認証書が連関される時間周期など)に関連のない最終メタデータを無視する。Ｉｎｔｅｌ ｉ５ ４５７０プロセッサ上で実行されるＲＥＬＩＣ暗号ライブラリバージョン０.４.１(Ａｒａｎｈａ ｅｔ ａｌ.を参照)を用いて、処理費用が周期的に測定される。完成のために、車両による集団確認の処理費用を測定する時、ＥＣＤＳＡのための２つの他のセットを考慮する：即ち、確認過程が基本的に生成器Ｇによる一つの固定ポイントＥＣ掛け算及びＰＣＡの署名キーＵによる一つのランダムポイント掛け算を取る標準具現；そしてＵが固定ポイントとして考慮される最適の具現。より正確には、ＲＥＬＩＣはｗ＝８の固定したｃｏｍｂ方法を用いて固定されたポイントＥＣ掛け算に対する前置計算に依存する。ランダム−ポイント掛け算のために、ＲＥＬＩＣはＭｏｎｔｇｏｍｅｒｙ ｌａｄｄｅｒ方法を用いるようにセットされて同時性動作を提供する。その結果、固定ポイント掛け算はランダムポイントパートよりも約８倍速くなる。実際に、Ｕによる掛け算が集団ごとに複数回行われるので、この最適のバージョンの採用は興味深いものであり、基本となる事前計算費用を分割償還することができる。それにもかかわらず、例えば、複数のＰＣＡが接続されるので、一つのＰＣＡの撤回は全体集団を有効化しないことをＲＡの政策が指示するので、又は向上したプライバシーのために実際の配置は集団ごとにＵの多重値を含むことができる。
【０１４８】
図１３に示したように、提案された統合バタフライ・キー拡張過程の帯域幅及び処理の利得は５０％に達するが、最悪の場合、ＳＣＭＳの元々の接近だけ最小限に効率的である。かかる利得は標準化ＣＡＭＰのために提案された接近である暗示的認証モデルにおいてより重要であることに注目することは興味深い。
【０１４９】
結論.データ認証及びユーザプライバシーは、運転者又はシステム自体により知能型交通システムの乱用を防止するために必須である。しかし、これらは収容可能な解決策が制限された連結性及び処理パワーのような車両側での制約を処理する必要があるので、特に挑戦的なタスク(ｔａｓｋ)である。幸いにも、ＳＣＭＳの仮名認証書の提供及び撤回の過程は、性能及び拡張性イシューを考慮しながら、かかる要求過程をアドレスすることができる。
【０１５０】
かかる過程を最適化することができる。即ち、本発明のいくつかの実施例は、２つの車両に備えられたキーが単一のキーにより代替される新規の統合バタフライ・キーの拡張を提供する。このようなエキストラキーを車両の要請に含める要求を除去することに加えて、この接近では、応答で生成された各仮名認証書から一つの署名を削除する(これにより、仮名認証書の生成、送信及び確認のための該当費用)。その結果、ＳＣＭＳの仮名認証書の提供プロトコルと比較する時、５０％高い処理及び帯域幅の節約(下流及び上流)が得られる。これは、車両ごとに備えられた認証書の数が数千(Ｗｈｙｔｅ ｅｔ ａｌ.を参照)から数万の範囲(この明細書に参照のために含まれた、Ｖｉｒｅｎｄｒａ Ｋｕｍａｒ、Ｊｏｎａｔｈａｎ Ｐｅｔｉｔ、ａｎｄ Ｗｉｌｌｉａｍ Ｗｈｙｔｅ、“Ｂｉｎａｒｙ ｈａｓｈ ｔｒｅｅ ｂａｓｅｄ ｃｅｒｔｉｆｉｃａｔｅ ａｃｃｅｓｓ ｍａｎａｇｅｍｅｎｔ ｆｏｒ ｃｏｎｎｅｃｔｅｄ ｖｅｈｉｃｌｅｓ”、Ｉｎ Ｐｒｏｃ. ｏｆ ｔｈｅ １０ｔｈ ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ ｓｅｃｕｒｉｔｙ ａｎｄ ｐｒｉｖａｃｙ ｉｎ Ｗｉｒｅｌｅｓｓ ａｎｄ Ｍｏｂｉｌｅ Ｎｅｔｗｏｒｋｓ、ＷｉＳｅｃ’１７、ｐａｇｅｓ １４５−１５５、Ｎｅｗ Ｙｏｒｋ、ＮＹ、ＵＳＡ、２０１７、ＡＣＭを参照)になると予想されることを考慮する時、特に意味がある。上記利得は車両の方でもっと注目する必要があり、車両はシステムにおいて正確に最も資源−限定的なエンティティである。最終的には、提案されたスキームは暗示的又は明示的な認証書のために作用し、２つの場合において、相変わらずシステムの保安、柔軟性及び拡張性を保護する。
【０１５１】
いくつかの実施例の利点は、最新の技術で特定された非効率性を避けながら、小さい情報から多数の仮名認証書を発行するための効率的な接近である。特に、ＳＣＭＳで採択された元々の"バタフライ・キー拡張"過程に比較する時、帯域幅及び演算節約が提供される。
【０１５２】
いくつかの実施例において、疑似乱数関数f、fs、f-e がＳＣＭＳでのように存在することができる。特に、(Ｗｈｙｔｅ ｅｔ ａｌ.及びＣＡＭＰを参照)、対又は整数
2021500832.tif 000164
が与えられた状態で、関数
2021500832.tif 000165
はＮＩＳＴ曲線ＮＩＳＴｐ２５６(この明細書に参照のために含まれた、Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ及びＴｅｃｈｎｏｌｏｇｙ．(１９９９、Ｊｕｌｙ) Ｒｅｃｏｍｍｅｎｄｅｄ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅｓ ｆｏｒ ｆｅｄｅｒａｌ ｇｏｖｅｒｎｍｅｎｔ ｕｓｅ．利用可能な資料：ｈｔｔｐ：／／ｃｓｒｃ.ｎｉｓｔ.ｇｏｖ／ｇｒｏｕｐＳ／ＳＴ／ｔｏｏｌｋｉｔ／ｄｏｃｕｍｅｎｔｓ／ｄｓｓ／ＮＩＳＴＲｅＣｕｒ.ｄｏｃを参照)のように定義でき、特に：
2021500832.tif 000166
、ｗｈｅｒｅ：
１)
2021500832.tif 000167
は
2021500832.tif 000168
、のビッグエンディアン整数の表現である、
２)x＋１、x＋２及びx＋３
は毎時間１ほどxを簡単に増分して得られる、例えば、
x＝０１・・・００であると、x＋１＝０１...０１、x＋２＝０１・・・１０、x＋３＝０１...１１である、
３)ＡＥＳに対する１２８ｂｉｔ入力x(シード)が時間周期から由来する。
2021500832.tif 000169
【０１５３】
暗号化キーのための拡張関数xが
x＝１３２||i||j||０３２
から由来することを除いて、上記のように定義できる。
【０１５４】
上記定義において、fkが可逆的である必要はないので、ＡＥＳがＤａｖｉｅｓ−Ｍｅｙｅｒモードで使用される。Ｄａｖｉｅｓ−Ｍｅｙｅｒモードは“−−.ＴＳ１０２ ８６７ｖ１.１.１、知能型交通システム(ＩＴＳ)に説明される；保安；この明細書に参照のために含まれたＩＥＥＥ １６０９.２に対してマッピングする段階３”。
【０１５５】
ＡＥＳはfkの出力が無視できるほどのバイアスで均一に分布されることを保障するために、３回適用される。
【０１５６】
バタフライ・キー拡張の過程において、２つの整数(i,j)のうちの一つは所定の常数値に維持され、他の一つは０からβまで可変する。
【０１５７】
その他の疑似乱数関数が使用される。疑似乱数関数(ＰＲＦ)は効率的なアルゴリズムがＰＲＦファミリーからランダムに選択された関数とランダムオラクル(出力がランダムに完全に固定した関数)の間で(相当な利点を有し)区別されないようにする。また非−疑似乱数関数が使用される。
【０１５８】
本発明は特定の代数群に限定されない。安全なグループが適切である。いくつかの実施例がＳＣＭＳと同じ楕円曲線グループを使用する。ＮＩＳＴ−承認された楕円曲線が適切である。かかる楕円曲線はｈｔｔｐｓ：／／ｎｖｌｐｕｂｓ.ｎｉｓｔ.ｇｏｖ／ｎｉｓｔｐｕｂｓ／ＦＩＰＳ／ＮＩＳＴ.ＦＩＰＳ.１８６−４.ｐｄｆに説明されている。
【０１５９】
本発明による方法は、段階の特定の手順に制限されない。例えば、図９Ａ及び図９Ｂにおいて、段階８２４は段階８２２の前に行われることができ、又は２つの段階が同時に行われることもできる。他の変更も可能である。
【０１６０】
上記方法以外に、本発明では、発明の方法のうちの一部又は全部を行うように構成された演算及び通信エンティティ及びエンティティの一部を含む。例えば、図２に示すように、エンティティは貯蔵庫１５０Ｓに貯蔵されたコンピューター命令を実行する一つ以上のコンピュータープロセッサを含む。本発明では、上記方法のうちの一部又は全部を行うように貯蔵庫１５０Ｓ又は上述した要請ＩＤのような適切なデータ又はその一部からなり、及び／又はコンピュータープロセッサに対するコンピューター命令からなるその他のコンピューター読み取り可能な媒体を含む。本発明はデータ構造及び命令、そして送信(ネットワーク又は他のものによる)又はかかるデータ及び／又は命令を含む。
【０１６１】
本発明はＰＣＡ、ＲＡ及び他の部分を行う特定のタイプのコンピューターシステムに制限されない。デバイス１１０は車両に設けられたデバイスに制限されない。
【０１６２】
本発明はデジタル値の演算を行って、互いに通信するように動作可能なエンティティによる動作を含む。エンティティは例えば、ＲＡ又はＰＣＡ又はＭＡである。各エンティティは別途の装置、例えば、各エンティティに対する別途のプロセッサ１５０P及び別途の貯蔵庫１５０Ｓからなる図２に示すように、例えば、コンピューターにより具現されることができる。貯蔵庫１５０Ｓはプロセッサ１５０Ｐにより実行されたデータ及びコンピューター命令を保有する。他のエンティティが他の地理的領域に位置することができる。しかし、他のエンティティが同じコンピューター、例えば、クラウドコンピューター上で具現されることができる。各々のエンティティは他のエンティティのデータに接近しない。
【０１６３】
例示的な実施形態が示され、説明されたが、上記開示では、広範囲の修正、変更及び置換が考慮され、場合によっては、実施形態のいくつかの特徴は、他の特徴の該当使用なしに採用され得る。当業者は、多くの変形、代替及び修正を認識するであろう。従って、本出願の範囲は、添付の特許請求の範囲によってのみ制限されるべきであり、特許請求の範囲は本明細書に開示される実施形態の範囲と一致する方法で広く解釈されることが適切である。
【図１】
2021500832.tif 000170
【図２】
2021500832.tif 000171
【図３】
2021500832.tif 000172
【図４】
2021500832.tif 000173
【図５Ａ】
2021500832.tif 000174
【図５Ｂ】
2021500832.tif 000175
【図６】
2021500832.tif 000176
【図７】
2021500832.tif 000177
【図８】
2021500832.tif 000178
【図９Ａ】
2021500832.tif 000179
【図９Ｂ】
2021500832.tif 000180
【図１０】
2021500832.tif 000181
【図１１Ａ】
2021500832.tif 000182
【図１１Ｂ】
2021500832.tif 000183
【図１２】
2021500832.tif 000184
【図１３】
2021500832.tif 000185
【国際調査報告】
2021500832.tif 000186
2021500832.tif 000187