(57)【特許請求の範囲】
【請求項１】
それぞれ異なる値でワークファクタを持つ暗号化キーを受入れる互換暗号化アルゴリズムで動作する、
ワークファクタ値を決定する決定手段と、
暗号化キーを供給する供給手段と、
ワークファクタ値を比較する比較手段と、
中間キーを抽出する第１抽出手段と、
暗号化キーを抽出する第２抽出手段と、
暗号化キーを使用する使用手段と、を具備するＣＰＵまたはコントローラを具備する局の２局間の暗号化通信を許可するための方法において、
ＣＰＵを具備する移動局およびコントローラを具備する基地局を含む２局のうち少なくともどちらか一方で、
第１の決定ステップで、前記決定手段が、異なるワークファクタ値の低値の方のワークファクタ値を決定し；
前記供給手段が、第１のワークファクタ値を持つ最初の暗号化キーを供給し；
前記比較手段が、第１のワークファクタ値を、前記決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値と比較し；
前記比較手段により、第１のワークファクタ値が、前記決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値より大きいことが見出されたとき：
前記ＣＰＵおよび前記コントローラにおいて、
前記第１抽出手段が、中間キーを生じるため最初の暗号化キーを含む第１のワード上でハッシュ関数を実行し、且つ中間キーから、前記決定ステップで決定された異なるワークファクタ値の低値の方のワークファクタ値より大きくないワークファクタ値を持つ修正中間キーを引出し；
前記第２抽出手段が、第２の出力を生じるため修正中間キーを含む第２のワード上でハッシュ関数を実行し、且つ第２の出力から、前記決定ステップで決定された異なるワークファクタ値の低値の方のワークファクタ値より大きくないワークファクタ値を持つ最後の暗号化キーを引出し；そして
前記使用手段が、２局間の通信を暗号化するため最後の暗号化キーを使用するステップを実行し；
前記比較手段により、第１のワークファクタ値が、前記決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値より大きくないことが見出されたとき、前記使用手段が、２局間の通信を暗号化するため最初の暗号化キーを使用する；
ことを含む方法。
【請求項２】
ソールトを構成するマルチビットデータ項目を備えることをさらに含み、且つ第１及び第２のワードの少なくとも１つが、それぞれのキー及びソールトの組合わせである請求項１の方法。
【請求項３】
第１及び第２のワードの各々が、それぞれのキー及びソールトの組合わせである請求項２の方法。
【請求項４】
第１及び第２のワードの各々が、それぞれのキー及びソールトの連結である請求項３の方法。
【請求項５】
中間キーが、ハッシュ関数によって決定されるビット長、及び異なるワークファクタ値の低値の方のワークファクタ値に等しいワークファクタ値を持つ請求項１の方法。
【請求項６】
第１のワード上で実行されるハッシュ関数が、第２のワード上で実行されるハッシュ関数と同一である請求項１の方法。
【請求項７】
局の各々が、所与のワークファクタを持つ暗号化キーを受入れことができる暗号化アルゴリズムで動作する、
暗号化キーを供給する供給手段と、
中間キーを抽出する第１抽出手段と、
暗号化キーを抽出する第２抽出手段と、
暗号化キーを使用する使用手段と、を具備するＣＰＵまたはコントローラを具備する局の２局間の暗号化通信を許可するための方法において、
ＣＰＵを具備する移動局およびコントローラを具備する基地局を含む２局のうち少なくともどちらか一方で、
前記供給手段が、各局によって受入れられ得る暗号化キーの所与のワークファクタ値より小さい第１のワークファクタ値を持つ最初の暗号化キーを供給し；
前記第１抽出手段が、中間キーを生じるため最初の暗号化キーを含む第１のワード上でハッシュ関数を実行し、且つ中間キーから、事前計算的攻撃に対し第１のワークファクタ値より高い抵抗力を持ち且つ各局によって受入れられ得る暗号化キーの所与のワークファクタ値より大きくないワークファクタ値を持つ修正中間キーを引出し；
前記第２抽出手段が、第２の出力を生じるため修正中間キーを含む第２のワード上でハッシュ関数を実行し、且つ第２の出力から、第１の中間キーのワークファクタ値に等しいワークファクタ値を持つ最後の暗号化キーを引出し；そして
前記使用手段が、２局間の通信を暗号化するため最後の暗号化キーを使用する；
ことを含む方法。
【請求項８】
ソールトを構成するマルチビットデータ項目を備えることをさらに含み、かつ第１及び第２のワードの少なくとも１つが、それぞれのキー及びソールトの組合わせである請求項７の方法。
【請求項９】
第１及び第２のワードの各々が、それぞれのキー及びソールトの組合わせである請求項８の方法。
【請求項１０】
第１及び第２のワードの各々が、それぞれのキー及びソールトの連結である請求項９の方法。
【請求項１１】
中間キーが、第１のワード上で実行されるハッシュ関数によって決定されるビット長、及び異なるワークファクタ値の低値の方のワークファクタ値に等しいワークファクタ値を持つ請求項７の方法。
【請求項１２】
第１のワード上で実行されるハッシュ関数が、第２のワード上で実行されるハッシュ関数と同一である請求項７の方法。
【発明の詳細な説明】
【０００１】
発明の背景
本発明は、無線通信信号の暗号化に関し、特に、異なる暗号化要求を持つシステム間の通信に関する。ディジタルデータの形式で、無線通信システム及び／又はインターネットを介してメッセージを伝送することは、有り触れたことになっている。
【０００２】
暗号の一般的な２つのタイプは、秘密キー暗号（ｓｅｃｒｅｔ  ｋｅｙ  ｃｒｙｐｔｏｇｒａｐｈｙ）及び公開キー暗号（ｐｕｂｌｉｃ  ｋｅｙ  ｃｒｙｐｔｏｇｒａｐｈｙ）である。秘密キー暗号の場合、しばしば“なま文（ｐｌａｉｎｔｅｘｔ）”として参照され、差出人から差出人の意図する受取人へ伝送されるメッセージは、秘密キーを使用して暗号化され、そして差出人の意図する受取人は、同様な秘密キーを使用して、しばしば“暗号文（ｃｉｐｈｅｒｔｅｘｔ）”即ち、“暗号文（ｃｒｙｐｔｏｇｒａｍ）”として参照される、暗号化されたメッセージを復号する。秘密キーは、メッセージを暗号化及び復号するのに使用され得るのみであり、そして他のキーを以てメッセージを復号しようとしてなされる企ては失敗するだろう。広く使用されている秘密キーシステムは、５６ビットのキー及び８つの非キーパリティビット（ｎｏｎ−ｋｅｙ  ｐａｒｉｔｙ  ｂｉｔ）を使用するデータ暗号化標準（Ｄａｔａ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ（ＤＥＳ））である。ＤＥＳは、米国政府情報処理標準（Ｕ．Ｓ．  Ｆｅｄｅｒａｌ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｐｒｏｃｅｓｓｉｎｇ  Ｓｔａｎｄａｒｄ）として、１９７７年に刊行された。
【０００３】
本発明は、本質的に秘密キー暗号に関する。
【０００４】
所与の暗号化システムによって提供される安全性の度合（ｄｅｇｒｅｅ  ｏｆ  ｓｅｃｕｒｉｔｙ）は、システムの強度（ｓｔｒｅｎｇｔｈ）、又はワークファクタ（ｗｏｒｋ  ｆａｃｔｏｒ）に依存し、そしてそれは、一般にキーの中のビット数に換算して測られる。
【０００５】
ワークファクタは、ビットで表現される数で、そしてその数は、試行キーが暗号化のために使用された実際のキーに相当すると確信を以て決定するために、異なる試行キーを使用して実行されねばならない基本的復号操作の最大数の、２を底とする対数である。例えば、ＤＥＳアルゴリズムは、５６ビットのワークファクタを持つ。何故なら、それが２５６回の可能値をもつキーを提供するからである。技術的に判るように、任意の試行キーは、正当なキーであり得る。故に、正当なキーは、通常２５６回未満の試行後に見出されるだろう。平均すると、正当なキーは、試行キーの回数可能値の半分がテストされた後に見出されるだろう。しかしながら、キーの回数可能値の最大数のワークファクタに基づき実行されることは、日常普通のことで、そしてこれは、異なるワークファクタの比較のための妥当な原理である。
【０００６】
かくして、例えば、秘密キー暗号化システムにおいて、３バイト長、即ち２４ビットからなるキーは、理解されるなま文が得られるまで２２４回の全ての可能なキーを試行することにより、比較的容易に破られ得る。この手法は、ときどき“猛威的攻撃（ｂｒｕｔｅ  ｆｏｒｃｅ  ａｔｔａｃｋ）”又は“徹底的解読（ｅｘｈａｕｓｔｉｖｅ  ｃｒｙｐｔｏａｎａｌｙｓｉｓ）”として参照されるものの一形式である。キーの中のビット数が多ければ多いほど、その強度は高くなるだろう。例えば、秘密暗号化アルゴリズムのための１２８ビットのキーは、現在、少なくとも猛威的方法によっては完全に突破不可能であろうと、信じられている。
【０００７】
暗号化キーのワークファクタは、キーの物理的大きさ（ｐｈｙｓｉｃａｌ  ｓｉｚｅ）より小さくても、又は小さくなくてもよい。しかしながら、ワークファクタは、キーの物理的大きさより大きくあり得ない。これは、ワークファクタがキーの中の秘密情報の量にのみ依存しているからである。暗号化キーの物理的大きさが秘密ではない情報を付加することによって増大しても、そのワークファクタは増大しない。
【０００８】
攻撃の他のタイプは、メッセージの一部のなま文についての予備知識（ａｄｖａｎｃｅ  ｋｎｏｗｌｅｄｇｅ）、又は想定された予備知識による。例えば、電子メールのメッセージが、節の表題（ｓｅｃｔｉｏｎ  ｈｅａｄｉｎｇ）のような確かな句（ｐａｓｓａｇｅ）を常に含むことは、知り得る。このようなメッセージを傍受（ｉｎｔｅｒｃｅｐｔ）し、そして復号することを探索する者は、各可能なキーを用いて、周知の句の暗号化形式を事前に計算（ｐｒｅｃｏｍｐｕｔｅ）し、各キーによる結果及びキーそれ自身を表（ｔａｂｌｅ）に蓄積し得るだろう。その後、もしメッセージが傍受されると、周知の文脈の暗号化部分は、表の中に見出され、そしてそれは、正当なキーを生じる。この手法は、事前計算的攻撃（ｐｒｅｃｏｍｐｕｔａｔｉｏｎ  ａｔｔａｃｋ）として知られている。
【０００９】
事前計算的攻撃は、たとえ暗号化キーが高いワークファクタを持っているときでも、傍受されたメッセージが比較的に素早くそして費用をかけずに復号されることを許容するが、しかし、それは、“ソールト（ｓａｌｔ）”の使用によって撃退され得る。このことは、以下詳細に説明しよう。
【００１０】
他方において、猛威的接近（ａｐｐｒｏａｃｈ）によって傍受されたメッセージを復号するのに要求される時間及び費用は、本質的に暗号化キーのワークファクタに依存する。しかしながら、ある種の状況では、縮小されたワークファクタを持つキーを利用する必要がある。例えば、米国法律は、暗号アルゴリズム又は限定されたキー長を持つ暗号製品の輸出を許可している。例えば、あるアルゴリズムは、もし４０ビットのキー長に限定されるならば、現在では輸出され得る。さらに、ある外国での法律は、より上の制限をキー長に置いている。
【００１１】
発明の概要
本発明の目的は、異なるワークファクタを持つキーで動作するユーザ間又は局（ｓｔａｔｉｏｎ）間の通信を容易にすることにある。
【００１２】
本発明のより明確な目的は、２局間で、これらの局間の通信を許容するそれぞれ異なるワークファクタ能力（ｃａｐａｂｉｌｉｔｙ）を持つ、２局によって使用され得るワークファクタを確立することにある。
【００１３】
上記及び他の目的は、本発明に従えば、それぞれ異なる値のワークファクタを持つ暗号化キーを受入れる暗号化アルゴリズムで動作する、２局間の暗号化通信を許可するための方法によって達成され、その方法は以下のステップを含む：
第１の決定ステップで、異なるワークファクタ値の低値の方のワークファクタ値を決定し；
第１のワークファクタ値を持つ最初の暗号化キーを供給し；
第１のワークファクタ値を、上記決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値と比較し；
比較ステップで、第１のワークファクタ値が、上記決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値より大きいことが見出されたとき、
第１の出力を生じるため最初の暗号化キー上にハッシュ関数（ｈａｓｈ  ｆｕｎｃｔｉｏｎ）を実行し、且つ第１の出力から、決定ステップで決定された異なるワークファクタ値の低値の方のワークファクタ値より大きくないワークファクタ値を持つ第１の中間キーを引出し；
第２の出力を生じるため第１の中間キー上にハッシュ関数を実行し、且つ第２の出力から、上記決定ステップで決定された異なるワークファクタ値の低値の方のワークファクタ値より大きくないワークファクタ値を持つ最後の暗号化キーを引出し；そして
２局間の通信を暗号化する最後の暗号化キーを使用する諸ステップを実行し；そして
比較ステップで、第１のワークファクタ値が、決定ステップで決定されたワークファクタ値の低値の方のワークファクタ値より大きくないことが見出されたとき、２局間の通信を暗号化する最初の暗号化キーを使用する。
【００１４】
本発明に従う目的は、さらに、本発明に従い、各局が所与のワークファクタを持つ暗号化キーを受入れ得る暗号化アルゴリズムで動作する、２局間の暗号化通信を許可するための方法によって達成され、その方法は以下のステップを含む：
各局によって受入れられ得る暗号化キーの所与のワークファクタ値より小さい第１のワークファクタ値を持つ最初の暗号化キーを供給し；
中間キーを生じるため最初の暗号化キーを含む第１のワード（ｗｏｒｄ）上にハッシュ関数を実行し、そして中間キーから、事前計算的攻撃に対し最初のワークファクタ値より大きな抵抗力を持ち且つ各局によって受入れられ得る暗号化キーの所与のワークファクタ値より大きくないところのワークファクタ値を持つ修正中間キー（ｍｏｄｉｆｉｅｄ  ｉｎｔｅｒｍｅｄｉａｔｅ  ｋｅｙ）を引出し；
第２の出力を生じるため修正中間キーを含む第２のワード上にハッシュ関数を実行し、且つ第２の出力から、第１の中間キーのワークファクタ値に等しいワークファクタ値を持つ最後の暗号化キーを引出し；そして
２局間の通信を暗号化する最後の暗号化キーを使用する。
【００１５】
発明の詳細な説明
図１は、本発明が適用され得る移動通信システムの基本的構成要素を示す。このシステムは、複数の移動局を含み、各移動局は、本質的にＣＰＵ２、メモリ４及び無線インタフェース６から構成される。全部のデータ処理及び信号処理は、技術的には慣習的原理に従い、ＣＰＵ２によって制御される。メモリ４は、移動システムによって要求されるデータを蓄積し、そのデータは、暗号化キー、ソールト及びシステム動作のために要求される他のデータを含む。このデータは、メモリに永久的に蓄積され、又はインタフェース６によって受信される信号に応答してメモリに書込まれ得る。インタフェース６は、無線通信を送信及び受信するのに必要な動作を行なう。
【００１６】
システムは、さらに移動局コントローラ１０に接続された基地局８を含む。移動局コントローラ１０は、とりわけ、認証センタ１４を含むホーム網（ｈｏｍｅ  ｎｅｔｗｏｒｋ）と通信している。コントローラ１０は、無線リンク、専用回線（ｄｅｄｉｃａｔｅｄ  ｌｉｎｅ）、又は通信網によって、網１２に結合され得る。図１に示された全構成要素は、技術的には既に周知であるが、本発明において働く周知のものの間の基本的相違は、公認の受信局による受信に基づいて、データが伝送のため暗号化されそして復号される方法に存する。
【００１７】
本発明に従う方法の一例は、ここに以下説明する。この方法は、通信がセルラ網において基地局及び移動局間で生じるときに、実行され得る。
【００１８】
本発明に従う方法の実行は、以下の４つの項目の入力を要求する：
前に言及したように、ある用途に対して余りにも強力であり得る所与のワークファクタＷｋを持つキーＫ。移動局キーＫは、また認証センタ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｃｅｎｔｅｒ）に知られていて、そして電話交換網を通して基地局に伝送されるかも知れないが、その伝送は安全であると思われ、そこで両局で知られることになる。これは、北米ＩＳ−４１移動電話システムにおいて使用されているような長い項のキー（ｌｏｎｇ  ｔｅｒｍ  ｋｅｙ）、このような長い項のキーから引出された一時的なキー、又は欧州ＧＳＭシステムにおいて送出されている、このような一時的なキー、すなわち基礎的暗号化アルゴリズムによって受入れられ得るＬｃビットのワード長のキーであろう。基礎的暗号化アルゴリズムは、上述のＬｃが５６ビット又は任意の他の秘密キーアルゴリズムのためのＤＥＳアルゴリズムであり得るだろう。
【００１９】
選択された基地局における装置によって許容される最大ワークファクタを表す整数Ｗｂ。この整数は、基地局及び移動局間の通信の立上げ時間の暫くの間、選択された基地局から移動局へ伝送されるだろう。又は、それは、プロトコル識別器（ｉｄｅｎｔｉｆｉｅｒ）、又は技術的に知られそして使用されている手順に従って、移動局が基地局によってカバー（ｃｏｖｅｒ）される範囲に入って来たときに基地局から移動局へ以前に伝送されたプロトコル版数（ｖｅｒｓｉｏｎ  ｎｕｍｂｅｒ）、のような幾つかの他の情報から推測され得る。
【００２０】
移動局によって許容される最大ワークファクタを表す整数Ｗｍ。これは、製造時に移動局に蓄積され得るし、又は、もしも移動局に既にプログラムされた値より大きなＷｍの値をセットする企てがあるならば、そのようなプログラミングは拒絶されるという制限があることを条件として、その後、移動局の中にプログラムされ得る。そして
基地局及び移動局の両方に知られているが、局間の通信を傍受することができ、かつその時間に公認の当事者（ｐａｒｔｙ）のみに知られる方法で代わることができる、他の当事者には事前に知られていないデータ項目。これは、“ソールト（ｓａｌｔ）”Ｓと呼ばれ、そしてキーを識別する事前計算されたルックアップテーブル（ｐｒｅｃｏｍｐｕｔｅｄ  ｌｏｏｋ−ｕｐ  ｔａｂｌｅ）の使用を防止するのに使用それる。ソールトは、例えば、移動局の装置の電子連続番号（ｅｌｅｃｔｒｏｎｉｃ  ｓｅｒｉａｌ  ｎｕｍｂｅｒ）又は認証処理の間使用されるＲＡＮＤ値、又はこれらの連結（ｃｏｎｃａｔｅｎａｔｉｏｎ）であり得るだろう。一例を引用すると、移動局の電子連続番号は、現在は呼の始めに伝送され、それで両当事者に知られる。特定の電話に対しては、それは時間が超過しても変化しないが、しかし、異なる人々から沢山の通信を復号することを試みている攻撃者（ａｔｔａｃｋｅｒ）の見地から見れば、それは、攻撃者が一般の事前計算をなし得ないように変化する。攻撃者がなし得る最上のものは、１つ又はそれより多い特定の電話に対して事前計算をすることであり、そして他の電話からの通信を傍受することが不可能ということだろう。そして
反転することが困難な属性を持つ一方向（ｏｎｅ−ｗａｙ）の関数Ｈ。言い換えれば、関数ｙ＝Ｈ（ｘ）の任意の出力に関して、出力値ｙから入力値ｘを決定すること、又は同じ出力値を生じる２つの入力値を見出すことは、計算的に実行不可能である。出力値ｙは、一般にハッシュ（ｈａｓｈ）として知られており、そしてＨは、一般にハッシュ関数として知られている。様々な強度を有するハッシュ関数はよく知られており、商用的に有効である。
【００２１】
ＣＡＶＥとして知られているこのようなハッシュ関数は、ＩＳ−４１標準の装置に現存する。その代替として、安全ハッシュ標準（Ｓｅｃｕｒｅ  Ｈａｓｈ  Ｓｔａｎｄａｒｄ）（ＦＩＰＳ１８０−１）は、また同じく使用され得る関数ＳＨＡ−１を指定する。ハッシュ関数の入力は、任意の長さを持ち得る。ハッシュ関数の出力は、少なくともＷｍ、Ｗｂ及びＬｃの各々を表すビット数と同じ大きさの多数のビットＬｈを持つと想定される。
【００２２】
本発明に従う方法の一実施形態は、図２のフローチャートに示され、そしてデータの交換（ｅｘｃｈａｎｇｅ）が生じ得る前に、移動局及び基地局の両方で実行される下記のステップから構成されるだろう。
ステップ１
目標ワークファクタＷｔ  は、移動局のワークファクタＷｍ  に等しくセットされる。
ステップ２
基地局のワークファクタＷｂは、Ｗｍと比較され、もし比較したところ、Ｗｂが、Ｗｍより小さいか又は等しいことを示すならば、そのとき、ＷｔはＷｂに等しくなるようにセットされる。そうでなければ、Ｗｔは、ステップ１でセットされた値を保持する。
ステップ３
もし目標ワークファクタＷｔが、暗号化アルゴリズムＬｃによって受入れられるキー長より大きいか又は等しいならば、キーＫの最下位のＬｃビットは、暗号化伝送に直接使用され、そして以下のステップは、省略される。もしＷｔが、Ｌｃより小さいならば、以下のステップは、新しい暗号化キーを発生するために実行される。
ステップ４
ワークファクタＷｋを持つキーＫは、ソールトＳと連結（ｃｏｎｃａｔｅｎａｔｅ）され、そして結果としてのワードは、一方向の関数Ｈへの入力として使用される。結果としての出力は、長さＬｈを持つ中間キーＫ′であるが、しかしまだワークファクタＷｂであるのみである。何故なら、認可なしにメッセージ傍受しそして復号する探索（ｓｅｅｋｉｎｇ）者が、そのソールトＳを知ると想定されるからである。
ステップ５
Ｋ′は、Ｋ′の最上位ビット（Ｌｈ−Ｗｔ）を０にセットすることによって、意味のあるビットＷｔのみを含むように修正される。そこではＷｔは、ステップ１及び２において生じる値を持つ。Ｋ′と関連するワークファクタは、今やＷｔビットに減らされてしまっている。
ステップ６
キーＫ′は、ステップ５で修正されたように、ソールトＳと連結され、そして結果としてのワードは、出力値ＫOUTを形成するために、一方向の関数Ｈへの入力として使用される。
ステップ７
ＫOUTの最下位ビットＬｃは、暗号化キーＫ″として使用される。
【００２３】
ステップ４から７までは、両局で同時に実行される。
【００２４】
上述の手順において、キーＫ″は、Ｗｔによって表されるビット数より大きな沢山のビットを持ち得る。しかしながら、ステップ５におけるキーＫ′の修正のために、キーＫ″は、Ｗｋ又はＷｈのいずれかより大きくないワークファクタＷｔを持つのみだろう。この計算におけるソールトＳの使用のため、事前計算的攻撃は、より多くの努力（ａ  ｇｒｅａｔｅｒ  ｅｆｆｏｒｔ）及び準備さるべき表のためにより大きな蓄積容量（ａ  ｌａｒｇｅｒ  ｓｔｏｒａｇｅ  ｃａｐａｃｉｔｙ）を必要とするだろう。この努力及び蓄積容量は、Ｌｃ又はＷｔ＋Ｌｓの小さい方であるワークファクタに相当するだろう。
【００２５】
又、上述の手順において、同様な一方向の関数Ｈは、ステップ４及び６において使用されていると想定され、そしてこれは、実際には正常になされているだろう。しかしながら、ステップ４において第１の一方向の関数、及びステップ６において第１の一方向の関数とは異なる第２の一方向の関数を使用することは可能である。
【００２６】
上述の方法の特定例によれば、最初に、キーＫは、６４ビットに等しいワークファクタＷｋで、技術的には従来の手法で発生される。使用されるものは、３２ビットの長さを持つソールトＳでつくられる。この例では、Ｗｍは、６４ビットの値を持ち、そしてＷｂは、４０ビットの値を持つ。それ故に、ステップ１においては、Ｗｔは、６４ビットに等しい第１のセットであり、そして次にステップ２においては、４０ビットに等しいセットである。
【００２７】
この例においては、ＤＥＳは、ステップ３において、ＷｔがＷｃより小さいことが見出されるように、５６ビットのキー長Ｌｃを持つ基礎的暗号化アルゴリズムである。それ故に、それは、ここで１６０ビットに等しい長さＬｈを持つＫ′を生じるステップ４に進む。
【００２８】
ステップ５においては、修正された結果としてキーＫ′が４０の意味のあるビット及びこれ故に４０ビットのワークファクタＷｔを持つように、キーＫ′の１２０の最上位ビットが０（ｚｅｒｏ）にセットされる。
【００２９】
ステップ６において実行される処理は、１６０ビットの長さを持つ出力値ＫＯＵＴを生じる。基礎的暗号化アルゴリズムが５６ビット長のキーを受入れるので、ＫＯＵＴの最下位５６ビットは、暗号化キーとして使用される。
【００３０】
本発明の他の実施形態によれば、暗号化キーは、より長いキーに変換され得る。両局は、アルゴリズムによって受入れられる同じ長さのキーを用いて、同じ暗号化アルゴリズムを使用可能でなければならない。もしこのキー長が当局に受入れ可能なものより大きいならば、上述の克服（ｎｅｇｏｔｉａｔｉｏｎ）は、ワークファクタが適当に制限されることを確実にするだろう。例えば、最初に供給されたキーより長いキーを受入れ可能な暗号的アルゴリズムを利用することが望まれ得る。この場合、本発明に従う方法は、同じワークファクタを持つキーを生じるように利用され得るだろう。このより長いファクタは、最初のキーを破るように要求されたものより長くない徹底的探索によって破られ得るだろうが、事前計算によるどの企ても、ソールトとの合同により、より長い計算及びより多くの蓄積を要求するような結果になるだろう。
【００３１】
本発明のこの実施形態に従う方法は、初めに説明した本発明の実施形態のステップ１及び２が、ＷｔをＷｂ、Ｗｍ及びＷｋの最小値にセットすることによって変化されることを必要とするのみだろう。
【００３２】
以上述べた説明は、２つの当事者のみを含む暗号化キーの設立（ｅｓｔａｂｌｉｓｈｍｅｎｔ）に関する。しかしながら、手順上任意の所与の点で、２つの当事者のみの間で、交換が生じるだろうが、普通ではない環境下では、暗号化キーの計算に２つより多い当事者が含まれることが起こり得る。例えば、基地局８又は移動局コントローラ１０が米国から輸出され、そして結果として、そのワークファクタ上に置かれた幾らかの制限を持たされる。さらに、移動局２−６が、ワークファクタ上により大きな制限を構成するフランスで使用されるためにあることが起るかもしれない。この場合においては、本発明に従う方法は、認証センタ１４を持つことによって実行される得、一方コントローラ１０を用いて通信することは、フランスの法律によって課せられるより低い制限に到達する。そのとき、移動局２−６は、それがコントローラ１０と相互作用することによって到達する強度制限を課し得るだろう。特に、ステップ１−３は、ホーム及び被訪問網間（ｂｅｔｗｅｅｎ  ｔｈｅ  ｈｏｍｅ  ａｎｄ  ｖｉｓｉｔｅｄ  ｎｅｔｗｏｒｋｓ）で、Ｗｂに対する受入れ可能値に到達するように実行されるだろう。この値は、それから移動局及び基地局によって使用されるだろう。
【００３３】
上記説明は、本発明の特定実施形態を参照したが、多くの変更が本発明の精神から逸脱することなくなされ得ることは、理解されるだろう。付随する諸請求項は、本発明の真の範囲及び精神の中に入るように、このような変更をカバーするものとする。
【００３４】
それ故に、ここに開示された実施形態は、全ての点で例示的且つ非制限的であると思考され、本発明の範囲は、上述の説明よりむしろ添付の諸請求項によって示され、そしてそれ故に、諸請求項と等価の意味及び範囲の中に入る全ての変形は、その中に含まれるものとする。
【図面の簡単な説明】
【図１】  本発明の過程（ｐｒｏｃｅｓｓ）に従って動作され得る通信システムのブロック図である。
【図２】  本発明に従う方法の一実施形態を説明するプログラムフロー図である。
【符号の説明】
２…ＣＰＵ  ４…メモリ  ６…無線インタフェース  ８…基地局  １０…移動局コントローラ  １２…網  １４…認証センタ
【図１】
0004611527.tif 000002
【図２】
0004611527.tif 000003