(57)【要約】【課題】  車両アドホックネットワークにおいて効率的に認証を行う。【解決手段】  アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法は、  あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われるときのタイムフレーム内の時点に依存するものである、ステップと、  生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと  を含む。【選択図】  図２
2008312213.tif 000002
【特許請求の範囲】
【請求項１】
あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、ステップと、
生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと、
前記第１の端末ｋのシークレット値ｓｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、前記第１の端末ｋが初期値Ｐｋを生成するステップと、
信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するステップと、
前記第１の端末がシークレット値ｓｋに基づいて公開鍵と秘密鍵のペアを生成するステップであって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものであり、前記認証が、前記シークレット値ｓｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証することを含むものである、ステップと
を含む、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法。
【請求項２】
前記ハッシュ関数が適用される回数が、認証が実行されるまでに経過した固定長のタイムインターバルの数に依存する、請求項１に記載の方法。
【請求項３】
【数１】
2008312213.tif 000062
に基づいて初期値を生成するステップと、
【数２】
2008312213.tif 000063
と、前記得られた１つ以上の値とに基づいて、公開鍵と秘密鍵の前記ペアのうちの秘密鍵Ｋｉを生成するステップと、
【数３】
2008312213.tif 000064
に基づいて公開鍵と秘密鍵の前記ペアのうちの公開鍵を生成するステップと、
【数４】
2008312213.tif 000065
に基づいてヘルパー値Ｈｉを生成するステップと
をさらに含み、ここで、前記第２の端末による前記検証は、前記第１の端末により生成された公開鍵
【数５】
2008312213.tif 000066
が前記シークレット値Ｋにバインドされていることを検証するために
【数６】
2008312213.tif 000067
を計算するステップを含むものであり、ここで、ｆが暗号化（一方向）ハッシュ関数であり、Ｇ＝（Ｇ，＊）がある大きなｑを位数とする有限巡回群であり、ｇ∈ＧがＧの生成元である、請求項１又は２に記載の方法。
【請求項４】
得られた１つ以上の初期値が、前記シークレット鍵ＫをＰｋで除算することに基づいて得られる値Ｑｋを含み、公開鍵と秘密鍵の前記ペアのうちの秘密鍵が、
【数７】
2008312213.tif 000068
に基づいて生成されるものであり、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜３のいずれか一項に記載の方法。
【請求項５】
公開鍵と秘密鍵の前記ペアのうちの秘密鍵が、
【数８】
2008312213.tif 000069
に基づいて生成されるものであり、ここで、ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対してａｉ≠ａｉ＋ｎであり、
ヘルパー値が、
【数９】
2008312213.tif 000070
に基づいて生成されるものであり、ここで、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
得られた１つ以上の前記初期値が、Ｋ＝Ｐｋ＊Ｑｋ＋ｒｋに基づいて得られる値Ｑｋを含むものであり、
前記第２の端末が、認証を検証するために
【数１０】
2008312213.tif 000071
を計算するものである、請求項５に記載の方法。
【請求項７】
ある期間をｍ個のインターバルに分割するステップを含み、ここで、第ｉ番目のインターバルにおいて前記秘密鍵Ｋｉが
【数１１】
2008312213.tif 000072
に基づいて計算され、ｆが暗号化（一方向）ハッシュ関数である、請求項１〜６のいずれか一項に記載の方法。
【請求項８】
ある期間内に前記第２の端末が受信した有効な署名の個数がある閾値を超えた場合に限って認証が成功したものとみなされる、請求項１〜７のいずれか一項に記載の方法。
【請求項９】
前記値Ｋが前記第１の端末によって選択されるものであり、
該シークレット値から得られるハッシュ値が信頼できる機関によって証明されて、認証を検証するために使用されるものである、請求項１〜８のいずれか一項に記載の方法。
【請求項１０】
前記アドホックネットワークが車両アドホックネットワークであり、
初期化フェーズにおいて、ある自動車ｋに対しＰｋと得られる１つ以上の初期値とを計算するステップと、
タイムインターバルｉにおいて、前記秘密鍵Ｋｉと前記公開鍵と前記ヘルパー値とを計算するとともに、メッセージが暗号化されて署名されるときに用いられる秘密鍵Ｋｉに対応する公開鍵を含む証明書を生成するステップと、
暗号化されたメッセージ及び前記証明書と、前記ヘルパー値と、
【数１２】
2008312213.tif 000073
とを前記第２の端末へ送信するステップと、
前記第２の端末が、前記証明書の前記公開鍵が前記シークレット値Ｋにバインドされていることを検証することにより認証を検証するステップであって、ここで、ｆが暗号化（一方向）ハッシュ関数であり、Ｇ＝（Ｇ，＊）がある大きなｑを位数とする有限巡回群であり、ｇ∈ＧがＧの生成元である、ステップと
を含む請求項１〜９のいずれか一項に記載の方法。
【請求項１１】
前記メッセージの署名に用いられる前記秘密鍵が、検証に用いる前記証明書に署名するために使用される前記秘密鍵とは異なるものである、請求項１０に記載の方法。
【請求項１２】
あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するモジュールであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、モジュールと、
生成された公開鍵が、信頼できる機関により署名された公開ハッシュコード値Ｖへバインドされていることを検証することにより、該公開鍵の信頼性をチェックするために、該公開鍵をある端末へ送信するモジュールと、
前記第１の端末ｋのシークレット値ｓｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、該第１の端末ｋが初期値Ｐｋを生成するための手段であって、ここで、信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するものである、手段と、
前記第１の端末がシークレット値ｓｋに基づいて公開鍵と秘密鍵のペアを生成するための手段であって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものである、手段と
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置。
【請求項１３】
あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成することにより、該第１の端末が生成した公開鍵を受信するモジュールであって、ここで、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、モジュールと、
受信した公開鍵が、信頼できる機関により署名された公開ハッシュコード値Ｖへバインドされていることを検証することにより、該公開鍵の信頼性をチェックするモジュールであって、ここで、信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するものであり、前記第１の端末がシークレット値ｓｋに基づいて公開鍵と秘密鍵のペアを生成するものであり、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものである、モジュールと、
前記シークレット値ｓｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証する手段と
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置。
【請求項１４】
請求項２〜１１のいずれか一項に記載の方法を実行する１つ以上のモジュールをさらに備える請求項１２又は１３に記載の装置。
【請求項１５】
請求項１〜１１のいずれか一項に記載の方法をコンピュータに実行させるコンピュータプログラムコードを含むコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は認証方法及び装置に関し、具体的には車両アドホックネットワーク（vehicular ad-hoc network）における認証方法及び装置に関する。
【背景技術】
【０００２】
車両アドホックネットワーク（vehicular ad-hoc network：  ＶＡＮＥＴ）は、トラフィック情報の伝送を改良すること、ひいては民間輸送システムの性能並びに自動車のドライバー及び同乗者の両方の安全性を改善することが期待されている。車両アドホックネットワークは、マルチホップ通信を使用してトラフィック情報をやり取りするための無線通信機能を持つ自動車に依存している。しかし、車両アドホックネットワークが大規模で使用される前に、ある種のセキュリティ問題が解決されなければならない。セキュリティ問題の１つは、非特許文献１又は非特許文献２に記載されているように、自動車が受信するメッセージの信頼性のチェックを自動車に対して許可する際にプライバシーを提供することである。他の自動車から受信したメッセージは、個人の安全に影響を与えることがあるため、メッセージの信頼性をチェックすることが重要である。しかし、ＶＡＮＥＴにおいては、与えられた情報が真実であることを保証する能力を有する機関が常に存在するとは限らないため、自動車は受信した情報の信頼性を自ら評価できることが必要である。
【０００３】
このことを実現するための１つのアプローチは、情報が有効であると考えるために、あるタイムフレーム内で同じ情報を含む署名付きメッセージを送信したに違いない異なる自動車の最小の数に対応する閾値を定めることである。しかし、メッセージは秘密鍵の所有者の身元（identity）にバインドされた秘密鍵を用いて署名されるべきでない。その理由は、攻撃者がすべての受信メッセージに関してデジタル署名が特定の公開鍵を使って検証できるかどうかをチェックすることにより自動車の追跡が可能となるからである。この問題を解決する１つの可能性は、自動車が多くの公開鍵と秘密鍵のペアを使用し、この公開鍵と秘密鍵のペアに対応する証明書が身元を全く含まず、かつ短時間に限り有効であることである。このとき、攻撃者は、もはやあるデジタル署名をある自動車にリンクすることができない。この解決法は興味深い。しかし、この解決法は、自動車が使用する必要があるすべての公開鍵と秘密鍵のペアを事前に記憶することを必要とする。自動車が毎日多くの異なる公開鍵と秘密鍵のペアを使用する必要があることを考慮すると、自動車が特定のタイムフレーム（たとえば１年間）に使用する必要があるすべての鍵のペアを記憶するために必要となる記憶容量は数百メガビットに達する。この解決法は、第一に自動車の製造コストを増加させ、第二に認証局（ＣＡ）が自動車毎に数百メガビットを保持しなければならないために認証局におけるスケーラビリティの問題をもたらす。１つの自動車製造メーカーが毎年数十万台の自動車を販売できることを考慮すると、この解決法は、ＣＡにおける証明書管理の問題をもたらす。
【非特許文献１】Ｐ．Ｐａｐａｉｍｉｔｒａｔｏｓ，Ａ．Ｋｕｎｇ，Ｊ．−Ｐ．Ｈｕｂａｕｘ，ａｎｄ  Ｆ．Ｋａｒｇｌ，“Ｐｒｉｖａｃｙ  ａｎｄ  ｉｄｅｎｔｉｔｙ  ｍａｎａｇｅｍｅｎｔ  ｆｏｒ  ｖｅｈｉｃｕｌａｒ  ｃｏｍｍｕｎｉｃａｔｉｏｎ  ｓｙｓｔｅｍｓ：Ａ  ｐｏｓｉｔｉｏｎ  ｐａｐｅｒ，”ｉｎ  Ｗｏｒｋｓｈｏｐ  ｏｎ  Ｓｔａｎｄａｒｄｓ  ｆｏｒ  Ｐｒｉｖａｃｙ  ｉｎ  Ｕｓｅｒ−Ｃｅｎｔｒｉｃ  Ｉｄｅｎｔｉｔｙ  Ｍａｎａｇｅｍｅｎｔ，Ｊｕｌｙ  ２００６
【非特許文献２】Ｍ．Ｒａｙａ，Ｐ．Ｐａｐａｄｉｍｉｔｒａｔｏｓ，ａｎｄ  Ｊ．−Ｐ．Ｈｕｂａｕｘ，“Ｓｅｃｕｒｉｎｇ  Ｖｅｈｉｃｕｌａｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，”ｉｎ  ＩＥＥＥ  Ｗｉｒｅｌｅｓｓ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｍａｇａｚｉｎｅ，Ｓｐｅｃｉａｌ  Ｉｓｓｕｅ  ｏｎ  Ｉｎｔｅｒ−Ｖｅｈｉｃｕｌａｒ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２００６
【発明の開示】
【課題を解決するための手段】
【０００４】
一実施形態によれば、あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成するステップであって、該ハッシュ関数の適用回数は認証が行われる時点に依存するものである、ステップと、
生成された公開鍵が、信頼できる機関が署名した公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするステップと
を含む、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する方法が提供される。
【０００５】
その時点に依存して公開鍵と秘密鍵のペアを生成するためにハッシュ関数を繰り返して適用することにより、多くの鍵のペアを前もって端末に保存する必要がなくなる。さらに、公開ハッシュコード値へのバインドを検証することによるチェックは、必要とされているセキュリティを提供し、多くの端末のために使用される１つの公開ハッシュコード値により、処理が簡単なものとなる。
【０００６】
一実施形態によれば、前記方法は、
前記第１の端末ｋのシークレット値ｓｋに対して一方向ハッシュ関数をｍ回にわたり繰り返して適用することに基づいて、前記第１の端末ｋが初期値Ｐｋを生成するステップと、
信頼できる機関だけが認識しているか、又は該信頼できる機関によって証明されたシークレット値Ｋと前記値Ｐｋとに基づいて得られる１つ以上の初期値を信頼できる機関が計算するステップと、
前記第１の端末がシークレット値ｓｋに基づいて公開鍵と秘密鍵のペアを生成するステップであって、ここで、公開鍵と秘密鍵の前記ペアは、前記シークレット値ｓｋに対して一方向ハッシュ関数をｎ回にわたり繰り返して適用することと、前記得られた１つ以上の値とに基づいて生成されるものであり、ｎはｍより小さく、前記ハッシュ関数が適用される回数ｎは認証が実行される時点に依存するものであり、前記認証が、前記シークレット値ｓｋへ前記一方向ハッシュ関数をｎ回にわたり適用することにより得られる値に対して前記ハッシュ関数を（ｍ−ｎ）回にわたり適用することにより得られる値の使用に基づく前記シークレット値Ｋに対して、前記第１の端末により生成される公開鍵がバインドされていることを前記第２の端末が検証し、これにより、前記シークレット値Ｋに基づいて得られる前記公開ハッシュコード値Ｖへ前記公開鍵がバインドされていることを検証することを含むものである、ステップと
を含む。
【０００７】
初期値及び得られる１つ以上の値によりシークレット値Ｋへのバインドが得られる。
【０００８】
一実施形態によれば、前記ハッシュ関数が適用される回数が、認証が実行されるまでに経過した固定長のタイムインターバルの数に依存する。
【０００９】
このようにして、「総使用時間」が分割された固定的なタイムインターバルが提供される。ある瞬間の使用に該当するインターバルに依存して、ハッシュ関数が対応する回数にわたり適用される。
【００１０】
一実施形態によれば、前記方法は、
【数１】
2008312213.tif 000003
に基づいて初期値を生成するステップと、
【数２】
2008312213.tif 000004
と、前記得られた１つ以上の値とに基づいて、公開鍵と秘密鍵の前記ペアのうちの秘密鍵Ｋｉを生成するステップと、
【数３】
2008312213.tif 000005
に基づいて公開鍵と秘密鍵の前記ペアのうちの公開鍵を生成するステップと、
【数４】
2008312213.tif 000006
に基づいてヘルパー値Ｈｉを生成するステップと
を含み、ここで、前記第２の端末による前記検証が、前記第１の端末によって生成された公開鍵
【数５】
2008312213.tif 000007
が前記シークレット値Ｋにバインドされていることを検証するために
【数６】
2008312213.tif 000008
を計算するステップを含む。
【００１１】
ヘルパー値は、タイムインターバルＴｉにおいて初期値と公開鍵及び秘密鍵とを結びつける。その結果、初期値と公開鍵及び秘密鍵とを組み合わせると値Ｋへのバインドが証明できる。
【００１２】
一実施形態によれば、得られた１つ以上の前記初期値は、シークレット値ＫをＰｋで除算することに基づいて得られる値Ｑｋを含み、公開鍵と秘密鍵のペアのうちの秘密鍵は、
【数７】
2008312213.tif 000009
に基づいて生成される。
【００１３】
一実施形態によれば、公開鍵と秘密鍵の前記ペアのうちの秘密鍵は、
【数８】
2008312213.tif 000010
に基づいて生成されるものであり、ここで、ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対してａｉ≠ａｉ＋ｎであり、
前記ヘルパー値は、
【数９】
2008312213.tif 000011
に基づいて生成される。
【００１４】
値ａｉにより本メカニズムは匿名性を有する。
【００１５】
一実施形態によれば、得られる１つ以上の前記初期値は、Ｋ＝Ｐｋ＊Ｑｋ＋ｒｋに基づいて得られる値Ｑｋを含むものであり、
前記第２の端末は、認証を検証するために
【数１０】
2008312213.tif 000012
を計算する。
【００１６】
さらなる実施形態によれば、第２の端末は、代わりに、
【数１１】
2008312213.tif 000013
を計算する。ここで、値Ａは大きい整数である。
【００１７】
一実施形態によれば、前記方法は、
ある期間をｎ個のインターバルに分割するステップを含み、ここで、第ｉ番目のインターバルにおいて秘密鍵Ｋｉが、
【数１２】
2008312213.tif 000014
に基づいて計算される。
【００１８】
一実施形態によれば、ある期間内に第２の端末が受信した有効な署名の個数がある閾値を超えた場合に限って認証が成功したものとみなされる。
【００１９】
これは、さらなるセキュリティチェックをもたらし、メッセージの信頼性のチェックを可能とする。
【００２０】
一実施形態によれば、値Ｋは前記第１の端末又は自動車製造業者などの端末に関係する機関によって選択され、このシークレット値から得られるハッシュ値は信頼できる機関によって証明され、認証を検証するために使用される。
【００２１】
これは、端末と「信頼できる機関」として動作する証明機関との間で必要となる通信エフォートを低減する。
【００２２】
一実施形態によれば、前記アドホックネットワークが車両アドホックネットワークであり、前記方法は、
初期化フェーズにおいて、ある自動車ｋに対しＰｋと得られる１つ以上の初期値とを計算するステップと、
タイムインターバルｉにおいて、秘密鍵Ｋｉと公開鍵とヘルパー値とを計算し、メッセージが暗号化されて署名されるときに用いられる秘密鍵Ｋｉに対応する公開鍵を含む証明書を生成するステップと、
暗号化されたメッセージ及び証明書と、ヘルパー値と、
【数１３】
2008312213.tif 000015
とを第２の端末へ送信するステップと、
第２の端末が、証明書の公開鍵が前記シークレット値Ｋにバインドされていることを検証することにより認証を検証するステップと
を含む。
【００２３】
一実施形態によれば、
【数１４】
2008312213.tif 000016
の代わりに、
【数１５】
2008312213.tif 000017
が計算されて第２の端末へ送信され、ここで、Ａは大きい整数である。
【００２４】
一実施形態によれば、メッセージに署名するために用いられる秘密鍵は、検証に用いる証明書に署名するために使用される秘密鍵とは異なる。
【００２５】
これは、セキュア環境（ブラックボックス）から自動車へ秘密鍵を送信する必要をなくす。
【００２６】
一実施形態によれば、あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく前記第１の端末が使用する公開鍵と秘密鍵のペアを生成するモジュールであって、前記ハッシュ関数の適用回数は、前記認証が行われるタイムフレーム内の時点に依存するものである、モジュールと、
生成された公開鍵が、信頼できる機関によって署名された公開ハッシュコード値Ｖにバインドされていることを検証することにより、該公開鍵の信頼性をチェックするために、該公開鍵をある端末へ送信するモジュールと
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置が提供される。
【００２７】
一実施形態によれば、
あるユニークなシークレット値ｓｋに対して一方向ハッシュ関数を繰り返して適用することに基づいて、シークレット値ｓｋに基づく第１の端末ｋが使用する公開鍵と秘密鍵のペアを生成することにより該第１の端末が生成した公開鍵を受信するモジュールであって、ここで、前記ハッシュ関数の適用回数は、前記認証が実行される時点に依存するものである、モジュールと、
受信した公開鍵が、信頼できる機関によって署名された公開ハッシュコード値Ｖに対してバインドされていることを検証することにより、該公開鍵の信頼性をチェックするモジュールと
を備える、アドホックネットワークにおいて第２の端末のために第１の端末ｋを認証する装置が提供される。
【００２８】
一実施形態によれば、本発明の実施形態のうちの１つによる方法を実行する１つ以上のモジュールをさらに備える装置が提供される。
【００２９】
一実施形態によれば、本発明の実施形態のうちの１つによる方法をコンピュータに実行させるコンピュータプログラムコードを含むコンピュータプログラムが提供される。
【発明を実施するための最良の形態】
【００３０】
以下、典型的な実施形態を用いて本発明を説明する。
【００３１】
本発明の実施形態を詳細に説明する前に、以下に使用するいくつかの用語を説明する。
【００３２】
【表１】
2008312213.tif 000018
【００３３】
一実施形態によれば、自動車がユニークなシークレット値に基づいてあるタイムフレーム（たとえば１年）の範囲内に使用すべきすべての公開鍵と秘密鍵のペアの生成を許可するメカニズムが提供される。このようにして生成された公開鍵の信頼性は、信頼できるＣＡ（認証機関）により署名された公開ハッシュコード値Ｖへこれらの公開鍵がユニークにバインドされていることを検証することによってチェックすることができる。公開ハッシュコード値は、同じＣＡを使用するすべての自動車メーカー（又は、同じメーカーによって製造されたすべての自動車）に対して同一である。すべての自動車は、同じハッシュコード値に基づいて自己の公開鍵の有効性を検証する。したがって、どの自動車が公開鍵を生成したかをＶにより特定することはできない。これは、ある特定の製造業者のある１台の自動車が、（様々な自動車製造業者による）複数の自動車の間で追跡される思いもよらない状況を回避する。さらに、検証のためのＣＡは必要ない。
【００３４】
自動車がメッセージの信頼性を検証するとき、自動車はどのエンティティがメッセージを送信したかを推定することができない。メッセージの信頼性は、特定のエンティティまでメッセージをたどることなく検証できるので、匿名性が得られる。ＣＡ側では、ＣＡは１個のハッシュコード値を記憶する（又は、後ほど明らかにするように、製造業者毎にたった１個のハッシュコード値を記憶する）だけでよく、かつ、自動車は自己の証明書を自身で管理するため、この解決法では管理の要件が増えることはない。この解決法は、自動車側に要求される記憶能力を著しく低減できる。一実施形態によれば、このメカニズムはさらに、多くの異なる自動車がこのメッセージを送信したという印象を与えるために、自動車が異なる鍵を使って短期間に多くのメッセージに署名することを回避する。その上、さらなる実施形態によれば、このメカニズムは、異なるエンティティによって製造された自動車の間に相互運用性を提供する。
【００３５】
さらなる実施形態によれば、閾値がさらに定義される。そして、異なる自動車から受信した、同じ情報を含む有効なメッセージの数が閾値を超えた場合には、他の自動車から受信したメッセージに含まれている情報が信頼できるものとみなされる。これはさらに、メッセージに含まれている情報の信頼性を改善する。
【００３６】
次に、いくつかの実施形態を詳細に説明する。一実施形態では、（「第１の端末」である）１台の自動車が第２の自動車（「第２の端末」）によって認証される必要がある車両アドホックネットワーク（ＶＡＮＥＴ）へ認証方法を適用する。本実施形態では、自動車が、後述するように製造プロセス中に匿名の公開鍵及び秘密鍵のペアの生成を可能とするブラックボックスを備えていると仮定する。さらに、これらのブラックボックスは安全に動作でき、耐タンパー性があると仮定する。一実施形態におけるブラックボックスは、自動車が整備を受ける際に、定期的、たとえば１年に１回更新されるセキュリティパラメータを記憶する。これらのブラックボックスは公開鍵及び秘密鍵のペアを生成でき、証明書を発行できるとさらに仮定する。
【００３７】
本実施形態では、各自動車Ｃｋは、
・自動車ＣｋがＴｉ内に使用すべき公開鍵及び秘密鍵のペア
【数１６】
2008312213.tif 000019
と、
・後述するように、インターバルＴｉ内に限り有効なＢＢｋの秘密鍵Ｋｉを用いて署名された、対応する証明書Certiと、
・証明書の有効性のチェックに使用するための、証明書に署名するためにブラックボックスが使用する秘密鍵に対応する公開鍵
【数１７】
2008312213.tif 000020
などの公開パラメータと
を、長さlifetimeの各タイムインターバルＴｉにおいて、生成するブラックボックスＢＢｋを有する。これらの値は自動車Ｃｋへ送信される。
【００３８】
一実施形態によれば、証明書に署名するためにブラックボックスが使用する秘密鍵Ｋｉ及び対応する公開鍵
【数１８】
2008312213.tif 000021
は、以下のとおり、製造プロセス中にＢＢｋへ安全に転送されるシークレット値ｓｋに基づいて生成される。
・異なるブラックボックスは同じ鍵のペアを生成できない。
・証明書は、自動車メーカーによって定められた「セキュリティ要件」又は「セキュリティパラメータ」を順守するブロックボックスによって生成された場合に限り有効である。簡単にするため、すべての自動車製造業者が同じセキュリティ要件を使用するものとする。ここでセキュリティ要件という用語は、すべての自動車に対して同一であることが要求されうるlifetime及びmaxtimeなどのパラメータを意味する。しかし、一実施形態によれば、自動車製造業者は、異なるセキュリティ要件又はセキュリティパラメータを使用しても構わない。
【００３９】
上記セキュリティ要件又はパラメータは、メッセージが様々な自動車によって署名されたように見せかけるため、ある自動車が異なる鍵を使って同じメッセージに署名できることを防止し、それによりメッセージに含まれている情報の信頼性を高める。
【００４０】
Ｃｋが鍵のペア
【数１９】
2008312213.tif 000022
を受信した後、Ｃｋは、送信するメッセージを認証するために長さがlifeteimeのある期間内に鍵のペアを使用することができる。そのため、Ｃｋはブラックボックスから受信した秘密鍵
【数２０】
2008312213.tif 000023
を使って送信メッセージに署名し、署名したメッセージを、ＢＢｋが発行したCerti及び公開パラメータとともに他の自動車へ送信する。タイムインターバルlifetimeを図１に概略的に示している。
【００４１】
他の自動車が署名されたメッセージを受信すると、他の自動車は、受信した（インターバルＴｉ内に生成された）証明書Certiが有効であるかどうか、及び、定められたセキュリティ要件を順守するブラックボックスによって発行されたかどうかを検証する。検証できた場合には、他の自動車は、メッセージの署名が有効であることを検証するために、証明書に含まれる
【数２１】
2008312213.tif 000024
を使用する。署名が有効であれば、他の自動車は、同じメッセージが様々な自動車によって署名されたものと見せかけるために、何度も同じメッセージに署名する機能をもたない自動車からメッセージが送信されたことを認識する。他の自動車は、別の自動車から先に受信した情報の信頼性を評価し、及び／又は将来受信する情報の信頼性を評価するために、新たに受信したメッセージを使用することができる。
【００４２】
一実施形態に従って受信したメッセージに含まれる情報の信頼性の検証を可能にするプロセスについて図２を参照して詳細に説明する。図１に示されているように、第１番目のタイムインターバルＴ０は自動車が販売されたときに開始し、ｓｋのように整備中に更新される。
【００４３】
最初に、自動車ｋのブラックボックスは、現在有効な公開鍵及び秘密鍵のペアと、対応する証明書と、（後述する）ヘルパー値などの公開パラメータとを生成する。次に、これらは、ブラックボックスから自動車へ送信される。次に、自動車は、現在有効な秘密鍵を使ってメッセージに署名し、メッセージ及び対応する証明書を他の自動車へブロードキャストする。他の自動車Ｃｋ’は、受信した証明書が信頼できる自動車製造業者によって定められたセキュリティ要件を順守するブラックボックスによって発行されたものであることを検証し、メッセージの署名が正しいことを検証する。一実施形態によれば、これは、証明書の署名が有効であることと、公開鍵が適切な関係によってＶにバインドされていることとをチェックすることにより行われる。このことは、ＣＡによって証明されたチェック値を有するエンティティ、つまりmaxtime及びlifetimeに関する要件を順守するエンティティによって自動車が製造されたことを証明する。署名と公開鍵の両方が正しい場合には、メッセージは有効なものとして認証されると考えることができる。
【００４４】
一実施形態によれば、自動車が異なる公開鍵と秘密鍵のペアを使用して何度も所与のメッセージに署名することを回避することを目的とするさらなるメカニズムが使用される。このメカニズムを以下に説明する。
【００４５】
ある自動車が異なる秘密鍵を使って何度も同じメッセージに署名することを回避するために、タイムフレームmaxtimeの間にメッセージに署名していなければならない異なる自動車の最小の台数に対応する閾値ｔが定められる。maxtimeは、好ましくは、発行された証明書のlifetimeより短く、好ましくはずっと短い。
【数２２】
2008312213.tif 000025
である。
【００４６】
ｍａｘｔｉｍｅとｌｉｆｅｔｉｍｅとの関係が図３に示されている。ｌｉｆｅｔｉｍｅ及びｔの値は、自動車を製造するときに定めることができる。ｍａｘｔｉｍｅの値が小さいほど、自動車が同じメッセージに署名をするために異なる鍵を使用する可能性が小さくなる。しかし、少しでも異なる自動車から同じメッセージを受信するある程度の可能性を残すため、ｍａｘｔｉｍｅは小さくし過ぎないことが必要である。ｍａｘｔｉｍｅのため選択される個々の値は、これらの２つの競合する要件に合わせて設計されたシステムにより与えられる重み（weight）に依存するものとすることができる。
【００４７】
この基本的な構造を用いると、自動車は自己のメッセージに署名するために異なる秘密鍵を使用することができるが、十分に小さいｍａｘｔｉｍｅが選択されると、自動車は、そのメッセージに含まれる情報を信頼できるものとするため、すなわち閾値ｔを超えるために、十分に様々な鍵を使って同じメッセージに署名することは不可能となる。
【００４８】
次に、メッセージ発信元を識別し、同時に匿名性を提供することができる実施形態を詳細に説明する。
【００４９】
発明の実施形態に基づく認証スキームを使用する前に、あるシステムパラメータは、以下のとおり、すべての当事者が合意している必要がある。
・Ｇ＝（Ｇ，＊）が（ある大きな）位数（order）ｑの有限巡回群（finite cyclic group）であり、ｇ∈ＧがＧの生成元（generator）であり、ｇに関してＧにおける離散対数の計算は計算上実行不可能であると仮定する。たとえば、Ｇはある大きな素数ｐに対する
【数２３】
2008312213.tif 000026
の大きい乗法部分群（large multiplicative subgroup）とすることができ、ｑはｐ−１の大きな素因数であり、或いはＧは楕円曲線上の一群の点とすることができる（通常は加法的に記述される）。
・ｈは、任意長のバイナリ文字列を固定長（ｌとする。ここで、典型的なｌの値は２２４である）の文字列へマッピングする暗号化（一方向）ハッシュ関数である。
・ｆは、集合｛０，１，．．．，ｑ−１｝をそれ自体にマッピングする暗号化（一方向）ハッシュ関数である。実際には、ｆは、たとえばｈから導かれる。
・ｍ≧１は、インターバルＴｉにわたって端末で利用できる鍵のペアの個数を決定する正の整数である。
【００５０】
本実施形態では、自動車が自己のブラックボックスによって使用されるチェック値を使って追跡されることを防ぐため、製造業者に対してチェック値Ｖを含む証明書がＣＡにより発行される。
【数２４】
2008312213.tif 000027
ここで、ＫはＣＡだけが把握するシークレット値である。Ａは後のステップにおいて計算をより簡単なものとするため指数を整数とするための大きい整数である。ｇは後で詳細に説明するある生成元（generator）である。ｈは、逆計算を実行することが計算上実施不可能である一方向ハッシュ関数又は暗号化ハッシュ関数である。
【００５１】
証明書は製造プロセスにおいて安全にブラックボックスへ転送される。このアプローチにより、異なる自動車製造業者によって製造される自動車が、受信した情報の信頼性を検証するために同じチェック値を使用することが可能となる。
【００５２】
以下では、一実施形態によって、Ｖに対してユニークにバインドされる（又はＫにバインドされ、Ｋを介してＶにもバインドされる）匿名の鍵のペアを自動車がどのようにして生成できるかを説明する。解決法は、引用することにより本明細書の一部をなすものとする、使用する一方向ハッシュ関数及び鍵生成元のさらなる説明が利用できる、本願の出願人と同一出願人による欧州特許出願第０６１２２０４１．４号に記載のアプローチに類似した一方向ハッシュ関数の繰り返しの適用に基づいている。
【００５３】
一実施形態によれば、式１において、Ｋは、
【数２５】
2008312213.tif 000028
という正の整数に対して、Ｋ＞Ｐｋ（すなわち、ＫはＰｋより大きい）となるような大きい正の整数である。好ましくは、さらに、Ｋ＞＞Ｐｋである。Ａは大きい整数であり、ｍは、（ある程度の猶予期間を加えた）１回の整備インターバル内のタイムインターバルの個数にも対応する、（多少条件付きで）次の整備までに自動車が使用する異なる鍵のペアの最大の数である。換言すると、ｍは少なくともタイムインターバルＴｉの総数と同じ大きさの整数である。したがって、
【数２６】
2008312213.tif 000029
となる正の整数Ｑｋ及びｒｋが常に存在する。
【００５４】
換言すると、値Ｑｋ及びｒｋは、シークレット値Ｋと、一方向ハッシュ関数ｆをシークレット値ｓｋに繰り返し適用することに基づくＰｋとに基づいて導かれる「導出値（derived value）」である。式２における関係は、シークレット値を導出値Ｑｋ及びｒｋにバインドし、さらに、一方向ハッシュ関数ｆをｓｋに繰り返し適用することにより得られる値にもバインドする。
【００５５】
式２によって、値Ｋは、ＰｋとＱｋの積に剰余ｒｋを加えたものとして表現されている。これにより、異なる自動車に対する値Ｑｋ及びｒｋを見つけることがより容易となるので、Ｋ＞＞Ｐｋであることが好ましい理由を明らかにする。
【００５６】
しかし、式２の積が剰余ｒｋを持たないということもあり、この場合、ＫはＰｋとＱｋの積に過ぎない。しかし、これは、セキュリティの観点からは、式２が剰余を有する場合より好ましくない。一実施形態によれば、式２が剰余を有さないならば、ＣＡはＰｋが変更されることを要求する。一実施形態によれば、ｒｋが大きくなるように、Ｋ＞＞Ｐｋ＊Ｑｋとすべく、Ｑｋを定めるべきである。
【００５７】
全ての自動車Ｃｋは、シークレット値ｓｋを受信するブラックボックスＢＢｋを有する。製造プロセスは、ｋ≠ｋ’として、ｓｋが別のブラックボックスＢＢｋ’によって使用されないことを保証する必要がある。
【００５８】
Ｐｋはｓｋを用いて以下のように生成される。
【数２７】
2008312213.tif 000030
【００５９】
その後、Ｐｋは、製造業者に対してＶを含んだ証明書を発行したＣＡへ送信される。ＣＡは、Ｋ＞＞Ｐｋとなるようなシークレット値Ｋを有する（式２を参照）。Ｐｋを受信した後、ＣＡは、
【数２８】
2008312213.tif 000031
及びＱｋを計算する。ここで、Ｑｋ及びｒｋは式２を満たし、ＣＡはそれを製造業者へ返送する。次に、製造業者はパラメータとして、
【数２９】
2008312213.tif 000032
を自動車ＣｋのブラックボックスＢＢｋへ安全に送信する。これらの値はＢＢｋによって安全に記憶されている。
【００６０】
発明の実施形態において使用するパラメータ、及びパラメータの関係は図４に概略的に示されている。
【００６１】
タイムインターバルＴｉにおいて、ＢＢｋは、決して公開されないランダムな整数ａｉを選択する。ａｉは以下を満たすように選択される。
・（Ａ＊ａｉ＊ｒｋ）ｍｏｄ  Ｐｋ＝０又はＰｋがＡ＊ａｉ＊ｒｋの倍数
・ｉ∈０，１，．．．，ｍ−１及びｎ∈１，２，．．．，ｍ−ｉ−１に対して、ａｉ≠ａｉ＋ｎ
【００６２】
一方向ハッシュ関数ｆを繰り返して適用するシーケンスをどのように行うかについてのヒントにつながるやり方で、送信されたメッセージを追跡することを困難なものにするため、値ａｉの使用はメカニズムに匿名性を提供する。これは、公然と送信された値ａｉが、個別の端末又は自動車によって送信されたメッセージに基づいてその端末又は自動車を追跡することを非常に困難なものとする、攻撃者にはわからないさらなる要素をもたらすからである。
【００６３】
次に、ＢＢｋは、以下のようにして証明書Ｃｅｒｔｉに署名するために使用する秘密鍵Ｋｉを生成する。
【数３０】
2008312213.tif 000033
【００６４】
対応する公開鍵は、以下の通りである。
【数３１】
2008312213.tif 000034
【００６５】
ＢＢｋはさらにヘルパー値
【数３２】
2008312213.tif 000035
を生成する。
【００６６】
その後、ＢＢｋは、証明書ＣｅｒｔｉをＣｋすなわち自動車ｋに対して発行する。Ｃｅｒｔｉは、公開鍵
【数３３】
2008312213.tif 000036
と、ＣＡによって署名されたハッシュコード値Ｖとを含んでおり、Ｋｉを使って署名される。署名されたハッシュコードＶは、本実施形態において、互いに信頼できる異なるＣＡによって発行されたチェック値を有する自動車が使用できるようにするために証明書に含まれている。ＢＢｋはさらに
【数３４】
2008312213.tif 000037
を自動車Ｃｋへ送信する。
【００６７】
Ｃｋは、他の自動車へ送信されるメッセージに署名するために
【数３５】
2008312213.tif 000038
を使用する。その後、署名されたメッセージｍｓｇをＣｋが送信するとき、Ｃｋは自己の公開鍵とともに
【数３６】
2008312213.tif 000039
と
【数３７】
2008312213.tif 000040
とＨｉと
【数３８】
2008312213.tif 000041
とを含む証明書Ｃｅｒｔｉも送信する。自動車が以前の要素を受信すると、自動車は、ＣｅｒｔｉがＢＢｋによって正しく署名されていることと、Ｃｅｒｔｉが有効であることとを検証する。これらの検証を実行するために自動車は、
【数３９】
2008312213.tif 000042
を計算する。
【００６８】
本発明の一実施形態により生成され送信されたメッセージを図５に示している。
【００６９】
ここで注意を要するのは、
【数４０】
2008312213.tif 000043
である。
【００７０】
さらに、上記の解決法では、秘密鍵Ｋｉがメッセージに署名するためには使用されず、そのため、別の秘密鍵
【数４１】
2008312213.tif 000044
が使用されることに注意を要する。Ｋｉは、公開鍵
【数４２】
2008312213.tif 000045
の有効性を検証するために使用される証明書Ｃｅｒｔｉに署名するためだけに使用される。メッセージｍｓｇに署名するために異なる公開鍵
【数４３】
2008312213.tif 000046
を使用する理由は、このアプローチによれば、扱いに注意を要する秘密鍵Ｋｉをブラックボックスの外側（自動車）に配信する必要がない。そうでなければ、自動車は、「自己の」証明書を生成し、このようにして生成された証明書を使用して１つのメッセージに複数回にわたり署名しようとするかもしれない。これは、秘密鍵Ｋｉをブラックボックス内に保存し、証明書Ｃｅｒｔｉだけを自動車へ送信することにより回避できる。秘密鍵
【数４４】
2008312213.tif 000047
及び対応する公開鍵は任意の適切なやり方で生成され、その後にブラックボックスによって自動車へ送信され、その後に署名又はチェックのために使用される。その後、実際の認証は、証明書Ｃｅｒｔｉに含まれている公開鍵を使って行われる。
【００７１】
このため、自動車がＶ＊を計算した後、自動車は、ｈ（Ｖ＊）＝Ｖであるかどうかを検証する。もしそうであるならば、自動車は、
【数４５】
2008312213.tif 000048
を使ってＣｅｒｔｉに対する署名をチェックする。署名が有効であれば、自動車は、それまでに定められた時間の要件を順守するやり方で動作するブラックボックスを有する自動車により署名が生成されたものであることを認識できる。換言すると、メカニズムのセキュリティ要件に基づくやり方、すなわちタイムインターバルＴｉ内に、安全かつ耐タンパー性のあるやり方で端末（又は端末のブラックボックス）に転送される、ＣＡのシークレット値Ｋにバインドされている値に基づいて、対応する公開鍵及び秘密鍵のペアが生成され、これは、図３に示しているようにｍａｘｔｉｍｅとｌｉｆｅｔｉｍｅとの間の関係を表現している。その後、Ｃｅｒｔｉの有効期間が経過していなければ、自動車はｍｓｇに対する署名を検証するためにＣｅｒｔｉを使用できる。それまでの検証のうちの１つが失敗であれば、自動車は、受信したメッセージに対する署名が不正であるとみなす。この検証プロセスは自動車が受信したメッセージ毎に繰り返される。
【００７２】
本メカニズムがさらに上記の閾値を使用する場合、すなわちｔに達すると、言い換えれば、自動車が同じ情報を含む少なくともnbSignatures個のメッセージを時間maxtime内に受信すると、nbSignatures個の異なる署名によって署名されたメッセージに含まれている情報が信頼できるものとみなされる。
【００７３】
自動車は、インターバルＴｉ内に最初にＣｅｒｔｉを受信したときにＣｅｒｔｉの有効性をチェックするだけでよいことに注意を要する。これは、有効な証明書はタイムインターバルの全体にわたって有効な状態を維持するからである。
【００７４】
以下、メカニズムのセキュリティについて説明する。上述したメカニズムでは、各ブラックボックスＢＢｋは、値ｈ（ｇＡ＊Ｋ）だけを認識している。一方向ハッシュ関数は逆計算することが実際には計算上実施不可能であり、かつＫが大きいとき、ｇＡ＊Ｋに基づいてＫを見つけることが同様に計算上実施不可能であるため、ブラックボックスはＫを見つけることができない。同様に、ＢＢｋは
【数４６】
2008312213.tif 000049
しか認識していないため、ｒｋを見つけることができない。したがって、ＢＢｋはＱｋを認識していてもＫを見つけることができない。
【００７５】
検証を行う自動車に焦点を当てると、検証を行う自動車は、Ｑｋを認識しておらず、
【数４７】
2008312213.tif 000050
に基づいてＱｋを見つけることができない。さらに、検証を行う自動車は、Ｋもｒｋも認識しておらず、
【数４８】
2008312213.tif 000051
に基づいてこれらを見つけることもできない。これは、ａｉがＢＢｋによって公開されていないためである。
【００７６】
ここで、ヘルパー値の間の既存のつながりを利用した自動車の追跡も同様に行うことができない。なぜならば、ＨｉによってＨｉ＋１を求め、Ｈｉ＋１によってＨｉ＋２を求めることによって、自動車は、
【数４９】
2008312213.tif 000052
及び
【数５０】
2008312213.tif 000053
を取得するからである。
【００７７】
【数５１】
2008312213.tif 000054
であるため、
【数５２】
2008312213.tif 000055
となる。
【００７８】
以下、製造プロセスにおいてＣＡとの相互作用を削減するための、少し修正したメカニズムを提供する実施形態について説明する。
【００７９】
セキュリティパラメータをブラックボックスへ転送することを可能とするプロセスを簡略化するため、たとえば製造業者とＣＡとの間の相互作用の回数を削減することができる。これは、チェック値の生成を各製造業者が行い、もはやＣＡが行わない場合に達成できる。この場合、各製造業者は、以下を満たす必要がある。
【数５３】
2008312213.tif 000056
【００８０】
Ｖが生成されると、製造業者は、Ｖを含んだ証明書を発行するＣＡへＶを送信する。次に、製造プロセスにおいて、製造業者はＫを認識しているので、Ｋ＞＞ＰｋとなるようなＰｋを常に定めることができる。製造業者は、ブラックボックスへ転送されるすべての値を生成することもできる。一実施形態によれば、ｒｋが大きくなるようにＫ＞＞Ｐｋ＊ＱｋとすべくＱｋを定める。
【００８１】
ＣＡは、あるセキュリティメカニズム又はセキュリティ要件を順守するブラックボックスを有する自動車を製造するすべての製造業者のチェック値を含んだリストを管理することができる。１つの特定の製造業者の１台の自動車が（異なる自動車製造業者による）多くの自動車の中から追跡されることを回避するため、このリストはチェック値を使用している製造業者の名称を含むべきではない。このリストは、本明細書に定義されている解決法が異なる自動車製造業者によっても使用できることを可能とする。
【００８２】
リストは、製造プロセスが開始される前に自動車製造業者に対して発行されるべきである。その後、各製造業者は、受信したメッセージの信頼性を検証するためにリストを使用できるブラックボックス内にリストを転送することができる。その結果、ＶがＴｉ内に発行された証明書Ｃｅｒｔｉに含まれる必要はない。
【００８３】
以下、各タイムインターバル内に自動車が保存する証明書の数を削減するさらなる実施形態について説明する。
【００８４】
前のセクションに定められたメカニズムは、Ｃｋが記憶する必要がある鍵のペアの数を削減するために改善することができる。これは、ＢＢｋがＣｋによって送信されたメッセージに署名をする場合に達成できる。そのとき、ＢＢｋは
【数５４】
2008312213.tif 000057
又は
【数５５】
2008312213.tif 000058
をＣｋに対して発行することはもはや不要である。ＢＢｋは以下のものだけをＣｋへ送信する。
【数５６】
2008312213.tif 000059
ＢＢｋがメッセージに署名した後、ＢＢｋは、Ｃｅｒｔｉ、Ｈｉ及び
【数５７】
2008312213.tif 000060
と共にこのメッセージをブロードキャストするＣｋへこのメッセージを送信する。その後、Ｃｋが送信したメッセージの有効性をチェックする自動車は、メッセージの署名の有効性を検証するために
【数５８】
2008312213.tif 000061
を使用する。
【００８５】
上述した実施形態が、ハードウェア、ソフトウェア、又は、ソフトウェアとハードウェアの組み合わせによって実施できることを当業者は理解されたい。本発明の実施形態に関連して説明したモジュール及び機能は、本発明の実施形態と関連して説明した方法に従って動作するように適切にプログラミングされているマイクロプロセッサ又はコンピュータによって全体的又は部分的に実施できる。本発明の実施形態を実施する装置は、たとえば、本発明の実施形態に記載したように認証できるよう適切にプログラミングされたネットワーク内のノード又は要素を含む。
【００８６】
本発明の実施形態によれば、記録媒体又は伝送リンクのような物理的手段によって具現化されたデータ担体又は別の手段に記憶され、上述した本発明の実施形態に従ってコンピュータを動作させるコンピュータプログラムが提供される。
【００８７】
本発明の実施形態は、たとえば上述した認証メカニズムに従って動作するようにプログラミングされているネットワーク内のノード又はネットワーク内の任意のエンティティによって実施することができる。
【図面の簡単な説明】
【００８８】
【図１】本発明の実施形態により鍵を生成するタイミングスキームの概略的な説明図である。
【図２】本発明の実施形態による認証方法の概略的な説明図である。
【図３】本発明のさらなる実施形態によるタイミングスキームの概略的な説明図である。
【図４】本発明の実施形態において使用するパラメータと式の関係の概略的な説明図である。
【図５】本発明の実施形態において生成され送信されるメッセージの概略的な説明図である。
【図１】
2008312213.tif 000074
【図３】
2008312213.tif 000075
【図４】
2008312213.tif 000076
【図５】
2008312213.tif 000077
【図２】
2008312213.tif 000078
【外国語明細書】
2008312213.tif 000079
2008312213.tif 000080
2008312213.tif 000081
2008312213.tif 000082
2008312213.tif 000083
2008312213.tif 000084
2008312213.tif 000085
2008312213.tif 000086
2008312213.tif 000087
2008312213.tif 000088
2008312213.tif 000089
2008312213.tif 000090
2008312213.tif 000091
2008312213.tif 000092
2008312213.tif 000093
2008312213.tif 000094
2008312213.tif 000095
2008312213.tif 000096
2008312213.tif 000097
2008312213.tif 000098
2008312213.tif 000099
2008312213.tif 000100
2008312213.tif 000101
2008312213.tif 000102
2008312213.tif 000103
2008312213.tif 000104
2008312213.tif 000105
2008312213.tif 000106
2008312213.tif 000107
2008312213.tif 000108
2008312213.tif 000109
2008312213.tif 000110
2008312213.tif 000111
2008312213.tif 000112
2008312213.tif 000113
2008312213.tif 000114
2008312213.tif 000115
2008312213.tif 000116